1/9 Expediente N.º: EXP202315380 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 6 de octubre de 2023, A.A.A. con NIF ***NIF.1, (en adelante la parte reclamante), presentó reclamación ante la Agencia Española de Protección de Datos contra CLARA BIKES, S.L. con NIF B66440702 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que es cliente de la entidad reclamada y que, a partir de una incidencia, intentó solicitar la supresión de sus datos ante la entidad reclamada. Señala que acudió a la web de la entidad para recabar información para realizar su solicitud de supresión y comprobó que la Política de Privacidad de la entidad se encuentra obsoleta, por lo que procedió a remitir un burofax en fecha 23 de mayo de 2023 a la entidad reclamada, remitiendo su solicitud de supresión de datos, habiendo sido recogido el mismo, conforme a la información de envío facilitada por CORREOS, en fecha 15 de junio de 2023, sin que haya recibido contestación a su petición, una vez transcurrido el plazo para obtener dicha contestación a su solicitud. Aporta copia del escrito por el que solicita la supresión de sus datos y comprobante emitido por CORREOS de remisión de burofax a la entidad reclamada. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 10 de noviembre de 2023 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Dicho requerimiento se reiteró el 21 de noviembre de 2023 y el 4 de diciembre de 2023. A fecha 4 de enero de 2024 no se había recibido respuesta alguna de la parte reclamada TERCERO: Con fecha 6 de enero de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 CUARTO: La parte reclamada responde a los requerimientos indicados en el hecho segundo el 20 de enero de 2024. En concreto, la parte reclamada ha presentado las siguientes manifestaciones: “1).- Esta parte pone de manifiesto, tal y como puede verse en el texto de la reclamación aportado por el propio Sr. A.A.A., que todo ello proviene de una reclamación por un servicio prestado en la bicicleta del Sr. A.A.A. por la empresa. 2) .- Nunca después de recibir el burofax que ha aportado se han utilizado los datos del Sr. A.A.A. para publicidad, ni para enviar ningún tipo de comunicación relacionada con la empresa o nuestra marca. Tan sólo se procedieron a responder a las reclamaciones que el mismo realizaba directamente al mail y al teléfono de la empresa, contestándole soluciones sobre lo que planteaba sobre la bicicleta. El Sr. A.A.A. en conversaciones por Whatssap (18-05-2022) incluye una captura de una conversación con B.B.B. de la incidencia por él presentada al SRAM (por las cuestiones técnicas de la bicicleta), en el que facilita sus dos correos electrónicos de contacto. Se adjunta captura de dicha comunicación. El propio Sr. A.A.A. envía un burofax solicitando la supresión de sus datos en fecha 16 de mayo de 2023, pero él mismo envía correo a la empresa en fecha 25 de mayo de 2023 a ***EMAIL.1 con dos de sus correos personales (***EMAIL.2 y ***EMAIL.3) contestando en un PDF adjunto en el que él mismo contesta al mail recibido, contradiciendo su propia actuación, pues él es el que comunicó tanto su teléfono como sus correos y todo lo que se le escribe o llama es en referencia a la queja sobre el tema de la bicicleta. En ese mismo texto al final de todo, viene a volver a manifestar que "Por último, acabo de hablar con correos y me confirman que el burofax lo recibiréis hoy mismo. Y así fue, el burofax en el que después de contestar todo lo referente a su reclamación con el arreglo de la bicicleta, al final de todo pide su supresión de sus datos personales fue recibido el 25 de mayo de 2023. A partir de esa fecha, sus datos fueron eliminados y nunca más CLARA BIKES, S.L. se ha puesto en contacto con él. 3) Asimismo, en cuanto a la referencia de que consideraba obsoleta la legislación indicada en la página y correo de nuestra empresa, debemos poner de manifiesto que en ningún momento ello le impidió ejercer su derecho, pues como así ha sido, tras recibir su requerimiento el 25 de mayo de 2023 sus datos fueron borrados del sistema. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 Repetimos, que el propio Sr. A.A.A. se contradice él mismo en su queja, pues si envió un burofax el 16 de mayo dándose de baja, ¿porque él mismo contesta el 25 de mayo siguiente?, aportando de nuevo sus dos correos electrónicos. Se adjunta el mencionado correo y PDF adjunto. Así, esta parte pone de manifiesto que, de conformidad con el art.64 de la L.O. 3/2018, de 5 de diciembre, no cabe inicio del procedimiento, pues no se han vulnerado ninguno de los derechos del Sr. A.A.A., pues, al recibo de su solicitud, recibo efectivo de su burofax, se suprimieron sus datos, por lo que no hay infracción alguna de los derechos previstos en los artículos 15 a 22 de la ley. No se ha causado perjuicio alguno al Sr. A.A.A., como su derecho a la supresión de los datos ha quedado totalmente garantizado con la aplicación de la supresión de sus datos, sin que se hayan utilizado en ningún medio.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas La AEPD ha constatado a través de la documentación aportada por la entidad reclamada que se ha procedido a dar respuesta al derecho de supresión ejercicio por la parte reclamante, y los datos personales de la parte reclamante han sido objeto de supresión en respuesta a su solicitud. En relación con la política de privacidad de CLARA BIKE S.L, siguiendo este enlace ***ENLACE.1, se accede al siguiente contenido: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 “¿Quién es el responsable del tratamiento de los datos personales? Los datos están registrados en la base de datos propiedad de C.C.C., con domicilio en ***DIRECCIÓN.1. ¿Qué datos recopilamos y procesamos? Los datos personales que recabamos para las finalidades explicadas en esta Declaración son: Datos identificativos, datos de contacto y datos de pago (nombre y apellidos, correo electrónico, número de documento, NIF, dirección). Queremos que sepa que no tiene ninguna obligación de proporcionarnos información personal detallada, aunque el rechazo o la inexactitud de dicha información nos impediría ofrecer los servicios o productos ofrecidos en este sitio web. La inexactitud o falsedad de los datos personales que nos facilite puede causar daños a sus derechos o intereses, a los nuestros o a los de terceros. ¿Qué hacemos con sus datos personales? Sus datos personales detallados anteriormente se recopilan y procesan para los siguientes fines: Procesamiento de compras y facturación. Gestión de consultas. Publicidad, ofertas y/o promociones. El uso de sus datos para cualquier finalidad distinta a las detalladas le será comunicado antes de que procedamos a su tratamiento. ¿Cómo compartimos sus datos personales? Nos comprometemos a no vender, divulgar, transferir ni distribuir de ningún otro modo sus datos personales a terceros, salvo lo dispuesto en esta Declaración de privacidad. En este sentido, le informamos que el proveedor de la plataforma y tecnología de este sitio web actuará como operador de los datos y se compromete a tratarlos de conformidad con la presente Declaración de Privacidad. Entre nosotros y el prestador, trataremos tus datos para prestarte los servicios o productos que adquieras a través del sitio web. Además, los datos personales pueden ser transferidos a otros terceros que actúen en nuestro nombre para procesarlos de acuerdo con los fines para los que fueron recopilados originalmente o pueden procesarse de otra manera lícita, como la prestación de servicios (como pagos o logística), la evaluación de la utilidad del sitio web, el marketing, la gestión de datos o la asistencia técnica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 Estos terceros han celebrado un contrato con nosotros para utilizar exclusivamente los datos personales para los fines acordados y no vender ni divulgar sus datos personales a terceros, salvo que lo exija la ley, lo permitamos o lo indiquemos en esta Declaración de privacidad. ¿Durante cuánto tiempo conservaremos sus datos personales? Solo almacenaremos sus datos personales durante el tiempo que sea necesario para cumplir con el propósito para el que fueron recopilados o para cumplir con los requisitos reglamentarios o legales. Al final del período, los datos se eliminarán o anonimizarán para que no se puedan individualizar. ¿Cómo puede ejercer sus derechos de control de sus datos personales? La normativa aplicable le otorga ciertos derechos con respecto a su Información Personal, tales como: (
- i)información sobre el tratamiento de sus datos; (
- ii)acceso a los datos recopilados; (iii) la "anonimización", el bloqueo o la eliminación de sus datos; (
- iv)la revocación del consentimiento que nos otorgó previamente; (
- v)la rectificación desactualizados, y de sus datos cuando sean incompletos, inexactos o (
- vi)la portabilidad de sus datos personales a otro proveedor de servicios o productos. Puede realizar cualquier pregunta, queja y/o solicitud con respecto a su información personal ***EMAIL.4 ciertos casos, mantendremos en nuestros archivos sus datos personales que nos haya solicitado eliminar para cumplir con los fines descritos en esta Declaración de privacidad o cuando exista una obligación contractual, legal o reglamentaria de conservar su información personal. Una vez cumplida esta finalidad o eliminada la obligación contractual, legal o reglamentaria, procederemos a la supresión de sus datos personales. Le informamos que la AUTORIDAD NACIONAL DE PROTECCIÓN DE DATOS (ANPD) tiene competencia para responder a las solicitudes de quienes se vean afectados por sus derechos por violación de las normas vigentes en materia de protección de datos personales. (…) Cambios en la Declaración de Privacidad Si realizamos cambios en la forma en que procesamos sus datos personales, se lo notificaremos con anticipación mediante notificación individual a través de nuestros C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 canales de comunicación habituales (por ejemplo, por correo electrónico), así como a través de nuestros sitios web o aplicaciones (a través de banners, ventanas emergentes u otros mecanismos de notificación).” III Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
- f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." IV Derecho de supresión («el derecho al olvido») El artículo 17 del RGPD dispone lo siguiente: "1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
- a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
- b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
- c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
- d)los datos personales hayan sido tratados ilícitamente; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9
- e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
- f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
- a)para ejercer el derecho a la libertad de expresión e información;
- b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
- c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
- h)e i), y apartado 3;
- d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
- e)para la formulación, el ejercicio o la defensa de reclamaciones." V Conclusión El artículo 65.6 de la LOPDGDD, establece lo siguiente: “Tras la admisión a trámite, si el responsable o encargado del tratamiento demuestran haber adoptado medidas para el cumplimiento de la normativa aplicable, la Agencia Española de Protección de Datos podrá resolver el archivo de la reclamación, cuando en el caso concreto concurran circunstancias que aconsejen la adopción de otras soluciones más moderadas o alternativas a la acción correctiva, siempre que no se hayan iniciado actuaciones previas de investigación o alguno de los procedimientos regulados en esta ley orgánica.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Por lo tanto, tras haber constatado la AEPD, a través de la documentación aportada por la entidad reclamada el 20 de enero de 2024, que se ha procedido a dar respuesta al derecho de supresión ejercicio por la parte reclamante, y que su política de privacidad es acorde a la normativa de protección de datos, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a CLARA BIKES, S.L. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es