AI-00152-2025

1/4  Expediente N.º: EXP202505582 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 7 de abril de 2023, se presentó reclamación ante la Agencia Española de Protección de Datos contra SURECOM CORPORATION, N.V. (en adelante la parte reclamada) con domicilio en LANDHUIS JOONCHI, KAYA RICHARD J. BEAUJON Z/N, - PO BOX 837, WILLEMSTAD, CURAÇAO. La parte reclamante manifiesta que tenía una cuenta en el sitio web ***WEB.1, que fue cerrada por el responsable de manera automática tras no acceder a la misma durante mucho tiempo, y que al tratar de registrarse de nuevo utilizando la misma dirección de correo electrónico no pudo. El motivo proporcionado por el sistema era que esa dirección de correo electrónico ya estaba siendo utilizada, por lo que solicitó la supresión de ese dato. Su solicitud no fue satisfecha, siendo informado de la conservación de ese dato y sugiriendo la creación de una nueva cuenta con otra dirección de correo electrónico. Se aportan capturas de pantalla de los correos electrónicos intercambiados con el servicio de soporte de (…) en los que se desprende que el mencionado servicio de soporte

1. i)informa al reclamante de que la cuenta se cerró automáticamente por inactividad por motivos de seguridad y que no se podrá restaurar indicándole que deberá crear una nueva cuenta
2. ii)el reclamante manifiesta su deseo de que su correo electrónico se mantenga en los servidores de la parte reclamada iii) el reclamante solicita la supresión de sus datos personales
3. iv)la parte reclamada le informa de que la aceptación de los términos y condiciones del servicio conlleva la conservación de cierta información del reclamante, ante lo que éste manifiesta su rechazo. SEGUNDO: Con fecha 7 de junio de 2023, de conformidad con lo establecido en el artículo 56 del RGPD, se remitió la reclamación a la Autoridad de Control de Irlanda la reclamación al considerar que GRANITY ENTERTAINMENT, DAC - designado como responsable del tratamiento en la política de privacidad de la plataforma- tenía su establecimiento principal en dicho país y por ende correspondería a la autoridad de protección de datos de ese Estado actuar como autoridad de control principal. De dicho trámite se informó al reclamante. El 3 de agosto de 2023, la Autoridad de Control irlandesa comunicó a esta Agencia que, tras haber recibido con fecha 2 de agosto el cuestionario que remitió a (…), se había determinado que el responsable del tratamiento tenía su sede en Curaçao, por lo que sería competencia de esta Agencia la tramitación y resolución de la reclamación. Además, facilitaba la información de contacto del representante de la parte reclamada en la Unión Europea, SMARTX NET APPS SRL. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/4 TERCERO: Con fecha 13 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: Con fecha 22 de noviembre de 2023 se dio traslado de dicha reclamación al representante la parte reclamada en la Unión Europea, SMARTX NET APPS SRL, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 04 de diciembre de 2023 se recibe en esta Agencia escrito de respuesta indicando que la no supresión de los datos del reclamante, y por tanto la no aplicación de los apartados 1 y 2 del artículo 17 RGPD, se debe al cumplimiento de la legislación federal de Estados Unidos que le es de aplicación a la parte reclamada -18 US Code §2257 y §2257A, y 28 CFR Part.75 - y que exigiría la conservación de la dirección de correo electrónico al menos 7 años tras el cierre de la cuenta. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. Las actuaciones se destinaron a recabar información relativa a la finalidad y la base legal del tratamiento de los datos personales del reclamante, en particular de la dirección de correo electrónico. Así como los procesos aplicados a los datos personales de los usuarios tras la solicitud de baja de su cuenta y durante el periodo de conservación posterior a la solicitud a dicha baja, incluidas las medidas de seguridad técnicas y organizativas aplicadas durante este periodo. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
4. f)y
5. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/4 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Caducidad de las actuaciones El artículo 67 de la LOPDGDD determina lo siguiente, respecto a las actuaciones previas de investigación: “1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a dieciocho meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.” Por su parte, el Reglamento de desarrollo de la LOPD (RLOPD), aprobado por Real Decreto 1720/2007, de 21 de diciembre, en vigor en todo aquello que no contradiga, se oponga o resulte incompatible con lo dispuesto en el RGPD y en la LOPDGDD, dispone en su artículo 122.4 lo siguiente: “El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas.” A tenor de lo dispuesto en los artículos transcritos, las actuaciones previas han de entenderse caducadas si, transcurridos más de dieciocho meses contados desde la fecha de admisión a trámite de la reclamación no se ha procedido a dictar y notificar el acuerdo de inicio de procedimiento sancionador. III Conclusión En el presente supuesto el cómputo de los dieciocho meses de duración máxima de las actuaciones previas se inició el día 13 de noviembre de 2023, sin que hasta el momento se haya iniciado procedimiento alguno, por lo que dichas actuaciones deben declararse caducadas. Por lo tanto, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/4 PRIMERO: DECLARAR la CADUCIDAD de las presentes actuaciones previas de investigación. SEGUNDO: NOTIFICAR la presente resolución a SURECOM CORPORATION, N.V. y a la parte reclamante. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
6. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1245-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es