AI-00332-2024

1/7  Expediente N.º: EXP202405645 RESOLUCION DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, A.A.A.) con fecha 9/03/2024, interpuso reclamación ante la Agencia Española de Protección de Datos (AEPD) en la que indicaba haber recibido en su domicilio publicidad postal de GAES (AMPLIFON IBÉRICA SAU en la que constaban su nombre, apellidos y dirección. En el pie del envío, se informa: - “sus datos proceden de un fichero de TRACKME NICE SL al que usted proporcionó sus datos. Puede ejercitar sus derechos….”, poniéndose en contacto con la misma, figurando una dirección electrónica, y para más información una dirección web. A.A.A. manifiesta que no ha consentido recibir publicidad comercial de esa empresa ni de ninguna tercera ni ha tenido relación previa con GAES. A.A.A. añade que se le ha de acreditar que en su caso él hubiera dado el consentimiento para la recepción de dicho envío publicitario, “ sin que valga un simple escrito de GAES o de alguna empresa con vinculación comercial con GAES que pudiera mostrar un supuesto consentimiento electrónico mío.” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 11/04/2024, se dio traslado de dicha reclamación a TRACK ME NICE SL, (TMN) para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Siendo el envío notificado telemáticamente con resultado expirado, se reiteró hasta en tres ocasiones, con fechas 22/04, 23/05 y 4/06/2014 con resultados infructuosos. TERCERO: Con fecha 9/06/2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 En el marco de dichas actuaciones de investigación se realizaron dos requerimientos de información fechados el 9 y el 11/07/2025. En sus respuestas, TMN en síntesis indica que los datos de A.A.A. (nombre, apellidos, teléfono móvil, fecha de nacimiento, edad, datos postales, e mail ) constaban en su base de datos desde su inscripción en una web de su titularidad por figurar en un formulario online (18/12/2023) vinculado a una acción promocional aceptando los términos y condiciones que autorizaban el tratamiento de sus datos con fines publicitarios propios o de terceros, entre otros, la política de privacidad, y las condiciones del sorteo o muestra de bases legales de la promoción Añadió que la base legitimadora era el consentimiento, de acuerdo con lo que figuraba en el registro de actividades de tratamiento: “ACCIONES PROMOCIONALES CON CAPTACIÓN DE DATOS” que fue aportado por TMN, y la finalidad del tratamiento: captación de datos personales a través de formularios online en acciones promocionales para el envío de comunicaciones comerciales propias o de terceros, y segmentación publicitaria. La actuación de TMN como proveedor de listas de datos personales fruto de su recopilación por medios web para la realización de campañas publicitarias en favor de terceros, se ejecutaba mediante el contrato que TMN tenía suscrito con AGME DIRECT SL de 13/12/2021, empresa dedicada a intermediar entre proveedores de listas y anunciantes para facilitar la elaboración de campañas publicitarias. En el contrato se establecen los requisitos que ha de cumplir el proveedor en cuanto a la cesión de datos, las casillas de marcación del consentimiento y las relativas a las cesiones para campaña publicitaria y AGME para destinarlos a fines publicitarios iniciándose con la hoja de pedido . Figura expresamente que “En ningún caso podrá exigirse al usuario que acepte el tratamiento de sus datos personales para la recepción de publicidad de terceros a cambio de permitirle el acceso al contenido de que se trate (como podría ser la participación en un sorteo). Por tanto, el usuario podrá acceder al contenido incluso si no acepta la recepción de publicidad.” TMN reconoció que los datos de A.A.A. fueron utilizados en el envío de publicidad de la marca GAES mediante su intermediaria AGME DIRECT, significando que aquella realizaba la petición con los criterios de segmentación, siendo los envíos realizados directamente por GAES. Asimismo, informan del cese de su actividad comercial y operativa desde el 31 de diciembre de 2024 fecha a partir de la cual, no realizan captación, cesión, tratamiento ni explotación de datos personales. Por dicho motivo, indican que la base de base de datos ha sido bloqueada en atención a lo previsto en el artículo 32 de la LOPDGDD y que sólo mantienen el canal necesario para solicitudes de baja y la atención a los derechos en materia de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento de datos personales mediante el consentimiento El considerando 32 del RGPD, dispone: “El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un sitio web en Internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta.” El artículo 4 de este Reglamento establece: «A efectos del presente Reglamento se entenderá por: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7 1) “datos personales”: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) “tratamiento”: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” […] 11) “consentimiento del interesado”: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen;” El artículo 6 del referido Reglamento prevé: «1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;” El artículo 6, apartado 1, del RGPD prevé, por tanto, “una lista exhaustiva y taxativa” de los casos en los que un tratamiento de datos personales puede considerarse lícito. El artículo 6 del RGPD especifica el alcance del principio de licitud del tratamiento de datos al permitir una limitación del derecho a la protección de los datos personales. III Conclusión El considerando 129 del RGPD indica que “ […] Los poderes de las autoridades de control deben ejercerse de conformidad con garantías procesales adecuadas establecidas en el Derecho de la Unión y los Estados miembros, de forma imparcial, equitativa y en un plazo razonable. En particular, toda medida debe ser adecuada, necesaria y proporcionada con vistas a garantizar el cumplimiento del presente Reglamento, teniendo en cuenta las circunstancias de cada caso concreto…” La sentencia del Tribunal de Justicia de la Unión Europea, (STJUE) de 26/09/2024, en el asunto C-768/2021, señala (el subrayado es de la AEPD): C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7 “41 En consecuencia, no puede deducirse ni del artículo 58, apartado 2, del RGPD ni del artículo 83 de este, la existencia de una obligación a cargo de la autoridad de control de adoptar, en todos los casos, cuando constate una violación de la seguridad de datos personales, una medida correctora, en particular una multa administrativa, siendo su obligación, en tales circunstancias, reaccionar adecuadamente para subsanar la deficiencia constatada. (…) En estas circunstancias, como señaló el Abogado General en el punto 81 de sus conclusiones, el autor de una reclamación cuyos derechos han sido vulnerados no dispone de un derecho subjetivo a que la autoridad de control imponga una multa administrativa al responsable del tratamiento. (…) 43 A este respecto, no se excluye que, con carácter excepcional y habida cuenta de las circunstancias particulares del caso concreto, la autoridad de control pueda abstenerse de adoptar una medida correctora aunque se haya constatado una violación de la seguridad de datos personales. Tal puede ser el caso, en particular, cuando la violación constatada no haya persistido, por ejemplo cuando el responsable del tratamiento, que, en principio, había aplicado medidas técnicas y organizativas apropiadas en el sentido del artículo 24 del RGPD, haya adoptado, tan pronto como haya tenido conocimiento de dicha violación, las medidas adecuadas y necesarias para que la violación finalice y no vuelva a producirse, habida cuenta de las obligaciones que le incumben, en particular, en virtud de los artículos 5, apartado 2, y 24 del mencionado Reglamento. (…) 46 De lo anterior se infiere que la adopción de una medida correctora puede, con carácter excepcional y habida cuenta de las circunstancias particulares del caso concreto, no imponerse, siempre que la situación de infracción del RGPD ya haya sido subsanada y que se garantice la conformidad de los tratamientos de datos personales con dicho Reglamento por su responsable y que tal abstención de la autoridad de control no menoscabe la exigencia de una aplicación rigurosa de las normas, tal como se ha recordado en el apartado 38 de la presente sentencia.”. El TJUE incide, por tanto, en el margen de apreciación que tienen las autoridades de control para, en el ejercicio de sus funciones, desarrollar y optar entre los poderes atribuidos por el artículo 58 del RGPD, teniendo en cuenta las circunstancias del caso concreto, así como velando por el pleno respeto del RGPD. La consigna que debe regir siempre la actuación de una autoridad de control es asegurar un nivel alto de protección de los datos personales. Así, cabe que, aun cuando se hubiera constatado o se tuvieran indicios de que se ha producido una vulneración en materia de protección de datos, las autoridades de control pueden abstenerse de ejercitar sus poderes correctivos cuando esta presunta infracción hubiera sido subsanada y se garantice la conformidad de los tratamientos de datos personales con el RGPD. Lo señalado por el TJUE en la sentencia antes citada, refuerza la idea de proporcionalidad de actuación de las autoridades de control que se recoge, con anterioridad a que fuera dictada la mencionada sentencia, en los artículos 65.4 y 65.6 de la LOPDGDD, por los que se permite a la AEPD, en atención a las circunstancias C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7 del caso concreto, la inadmisión a trámite o el archivo de reclamaciones, cuando, tras el traslado de las mismas al responsable del tratamiento, este demostrara haber adoptado medidas para el cumplimiento de la normativa aplicable. En el presente caso, los hechos que impulsaron el inicio de actuaciones previas de investigación conforme al artículo 67 de la LOPDGDD -tras la recepción de una reclamación presentada a la AEPD- se referían a la disposición de los datos del reclamante en un fichero de TMN usado para el envío de publicidad postal por GAES, anunciante y beneficiario de la publicidad. Durante las actuaciones previas de investigación se ha comprobado que, efectivamente, TMN contaba desde el año 2023 con los datos del reclamante. No obstante, ante la posibilidad de un incumplimiento de la normativa en materia de protección de datos y, en particular, para asegurar la legalidad del tratamiento, TMN dejó de utilizar el sistema y de captar o explotar datos, cesando, por tanto, en el tratamiento de los datos personales que motivó el inicio de la actuación de esta AEPD. Se subraya que las actuaciones anteriormente nombradas, se realizaron con carácter previo a la recepción, el 7/07/2025, del primer requerimiento efectuado por la AEPD en el marco de las actuaciones previas de investigación. De esta manera, antes de que se le hubiere sido notificado el primer requerimiento de información de las actuaciones previas de investigación llevadas a cabo por la AEPD, el 7/07/2025, TMN había dejado de tratar los datos del reclamante, y había cesado así como toda actividad de captación, explotación y cesión de datos personales dejando de operar activamente desde 1/01/2025 como declara reiteradamente TMN. En consecuencia, de conformidad con la citada STJUE y atendiendo a las singulares circunstancias que conforman este caso, en particular, la desaparición del sistema de registro de jornada objeto de investigación con carácter previo a la actuación de la AEPD, esta Agencia considera que no procede el despliegue de sus poderes correctivos previstos en el artículo 58 del RGPD. Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a TRACKME NICE SL., con NIF B76336874. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
4. c)de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 las Administraciones Públicas (LPACAP), y de conformidad con lo establecido en los arts. 112 y 123 de la citada LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es