AI-00234-2022

1/6  Expediente N.º: EXP202203684 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Don A.A.A. (en adelante, la parte reclamante), con fecha 16 de febrero de 2022, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra GOLDRYS PARTNERS S.L., con NIF B87869921 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante expone que, en fecha 29 de enero de 2022, ha recibido un correo electrónico remitido por la parte reclamada, en el que se incluía un documento con sus datos referido a un encargo de limpieza supuestamente realizado por la parte reclamante, si bien el reclamante no reconoce haber realizado dicho encargo. Señala que se puso en contacto con la entidad reclamada mediante correo electrónico y estos le respondieron señalando que se trataba de la confirmación de un pedido de ropa depositada en una tintorería de la entidad reclamada, si bien el reclamante señala que no ha contratado dicho servicio y que no ha facilitado a la entidad reclamada sus datos, por lo que les solicitó información de la procedencia de sus datos, sin haber obtenido respuesta adecuada. Aporta copia de las comunicaciones intercambiadas con la entidad reclamada y el documento remitido, en el que se constata que la parte reclamante pidió explicaciones sobre el origen de los datos incluido en el encargo de limpieza los habían obtenido del pedido de su ropa depositada en la tintorería de la calle ***DIRECCIÓN.1 esa misma mañana. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada/ALIAS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 1 de abril de 2022, como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 TERCERO: Con fecha 16 de mayo de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: En los términos y condiciones que se incluyen al pie de la página web de la parte reclamada, consta la información siguiente: “2. En el resguardo se designarán las prendas recibidas, especificando la cantidad o tipo de características identificativas de las prendas. En el caso de que Goldrys Partners S.L ponga alguna objeción importante respecto al estado o condiciones de la prenda que se entregue, éstas deberán aparecer debidamente especificadas en el resguardo que se entrega al cliente o mediante llamada telefónica posterior, el cual podrá también hacer constar las observaciones que crea oportunas. Igualmente se podrá especificar en el resguardo el valor de la prenda, previo acuerdo de ambas partes. 3. La presentación del resguardo es obligatoria en el momento de recoger las prendas, Goldrys Partners S.L debe sellar o firmar el resguardo y retornarlo o bien entregar un recibo de pago. En el supuesto de pérdida del resguardo, la entrega de las piezas se ha de hacer previa identificación mediante documento oficial al titular del resguardo y éste ha de firmar la copia en poder de Goldrys Partners S.L conforme ha recibido las prendas. Podrá tener valor probatorio mostrar el email de confirmación del pedido”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
10. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
11. c)y e), deberá ser establecida por:
12. a)el Derecho de la Unión, o
13. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
14. a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
15. b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
16. c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
17. d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
18. e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." En el supuesto objeto de reclamación la base legitimadora del tratamiento aparece en el apartado b), párrafo 1 del artículo 6 del RGPD arriba reseñado. El tratamiento de los datos personales es necesario para la ejecución del contrato. Se recaban los datos para saber quien es la persona que contrata el servicio de lavandería, dejando unas prendas para su limpieza, y después entregarlas a la persona que contrató el servicio o alguna otra persona autorizada por aquella al entregarle el resguardo del mismo. III Derecho de acceso e información del tratamiento La parte reclamante remitió un correo electrónico a la parte reclamada, en fecha 29 de enero de 2022, tras recibir el resguardo de haber dejado en la tintorería 7 prendas, en el que incluían su nombre, apellidos, dirección y número de teléfono móvil, en el que solicitaba de donde habían obtenido esos datos, que eran ciertos, y él no había facilitado. El mismo día, la parte reclamada contestaba: “El email corresponde a la confirmación del pedido que ha depositado en nuestra tintorería de la calle ***DIRECCIÓN.1 esta misma mañana…” Tanto en el resguardo como al pie del correo, se incluye la siguiente información: “En cumplimiento del RGPD UE2016/679 y de la LSSICE 34/2002, le comunicamos que disponemos de sus datos, tratándolos de manera lícita, leal, transparente, adecuada, pertinente, limitada, exacta y actualizada. Usted se compromete a comunicarnos cualquier variación, de lo contrario, entenderemos que sus datos no han sido modificados. Sus datos serán conservados durante el plazo estrictamente necesario hasta cumplir el fin que motivó su tratamiento, excepto que nos lo soliciten con anterioridad, y no se cederán a terceros salvo en los casos en que exista obligación legal. Recordarle que podrá ejercer los derechos de acceso, rectificación, limitación de tratamiento, supresión, portabilidad y oposición al tratamiento de sus datos de carácter personal, así como revocar el consentimiento prestado, dirigiendo su petición al responsable del tratamiento a través de la dirección de correo electrónico Goldrysapp@gmail.com. También podrá dirigirse a la Autoridad de Control competente para prestar la reclamación que considere oportuna. Si no desea recibir más propuestas, responda al correo con asunto Borrar.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. En el supuesto presente, la parte reclamante ejerció el derecho de acceso frente a la tintorería, por correo electrónico, solicitando que le informasen de donde habían obtenido los datos que constaban en el resguardo facilitado. En menos de una hora, la parte reclamada le informó del origen de sus datos, tal y como había solicitado. Asimismo, en el resguardo y en el correo consta información acerca del tratamiento de datos, de conformidad con lo exigido en el artículo 13 del RGPD. Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A. y a GOLDRYS PARTNERS S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
19. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es