1/33 Expediente N.º: EXP202306266 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES PRIMERO: Con fecha 12/03/2021, tuvo entrada en esta Agencia un escrito presentado por el AYUNTAMIENTO DE BARCELONA mediante el que informa que la actuación de ECO-LÓGICA TURISMO SOSTENIBLE, con NIF B70548375 (en adelante, IBERSCOT), puede dar lugar a un incumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal. Los motivos son los siguientes: “[…] I.- ANTECEDENTES. […] Entre otras, se adjudicaron un total de 1.392 licencias temporales de uso común especial del dominio público para el estacionamiento de ciclomotores y motocicletas de uso compartido en régimen de explotación económica al término municipal de Barcelona entre los cuatro operadores (Tucycle Bikesharing, SL, Avant Fullstep, SL , Eco-logica Turismo Sostenible, SL, Oiz Ridesharing, SL). […] 7. Las cuatro empresas Tucycle Bikesharing, SL, Avant Fullstep, SL , Eco-logica Turismo Sostenible, SL, Oiz Ridesharing, SL, también participaron en el procedimiento de otorgamiento a precario de licencias temporales y en consecuencia, presentaron declaraciones responsables en las que ratificaban su condición de empresas independientes, y se comprometían y aceptaban a cumplir con las condiciones y obligaciones de la convocatoria. Mediante este procedimiento, se adjudicaron un total de 854 licencias temporales de uso común especial del dominio público a los cuatro operadores. Así pues, los cuatro operadores son adjudicatarios de un total de 2.246 licencias temporales de uso común especial del dominio público para el estacionamiento de ciclomotores y motocicletas de uso compartido en régimen de explotación económica al término municipal del Barcelona. […] 9. En virtud del expuesto anteriormente, para operar al espacio público cada empresa dispone de una aplicación móvil para que los usuarios se puedan registrar y hacer uso del servicio de alquiler de bicicletas y motocicletas, que están estacionadas en el espacio público de Barcelona. En estas aplicaciones móviles, se han detectado los incumplimientos por parte de las cuatro empresas, dado que cuando una persona se registra en una de las aplicaciones de las cuatro empresas, la aplicación reconoce al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/33 usuario y comparte los datos entre las cuatro empresas, sin que el usuario se haya dado de alta en el resto de las aplicaciones de las empresas o lo haya consentido (este punto se detalla más adelante). Adicionalmente, debemos añadir a otra empresa, REBY RIDES S.L, que no es adjudicataria de licencias, pero que en las actas de inspección de fecha 1 de diciembre de 2020 e informe de la Gerencia de Movilidad e Infraestructuras de 29 de diciembre de 2020 y que luego se menciona, se demuestra que aparentemente, también facilita el alquiler de las motocicletas de las cuatro empresas anteriores en su aplicación móvil , y en consecuencia facilita los datos de los usuarios registrados en las aplicaciones anteriores, sin consentimiento previo de los usuarios. 10. En fecha 27 de agosto de 2020 y 14 de septiembre de 2020, YEGO URBAN MOBILITY (adjudicataria definitiva de licencias) envió correos electrónicos a la corporación en los que avisaba que había detectado determinadas prácticas efectuadas por los cuatro adjudicatarios definitivos de licencias que podrían suponer una vulneración de la normativa de protección de datos en relación con el Decreto de regulación y del decreto de convocatoria. 11. Por este motivo, el Ayuntamiento de Barcelona efectuó las propias comprobaciones en fecha 19 de agosto de 2020 y se emitió un acta de inspección en la que se recogían los incumplimientos detectados (…). 12. Así mismo, en fecha 6 de octubre de 2020 esta Dirección recibió escrito de la empresa CITYSCOOT ESPAÑA, S.L., adjudicataria de licencias, en el que manifestaba que determinadas prácticas efectuadas por los cuatro operadores y adjudicatarios definitivos de licencias (Tucycle Bikesharing, SL, Avant Fullstep, SL , Eco-logica Turismo Sostenible, SL, Oiz Ridesharing, SL) podrían suponer una vulneración de la normativa de la competencia así como de la normativa de protección de datos (…). 13. A la vista del expuesto, la Gerencia de Movilidad e Infraestructuras, nuevamente efectuó sus comprobaciones y en fecha 26 de octubre de 2020 se procedió a comprobar personalmente y directamente por las funcionarias y funcionarios municipales las mencionadas actuaciones realizadas por Tucycle Bikesharing, SL, Avant Fullstep, SL, Eco-logica Turismo Sostenible, SL, Oiz Ridesharing, SL y en consecuencia, se emitieron cuatro actas de inspección que se adjuntan como ANEJOS 4, 5, 6 y 7 respectivamente, en las que se pone de manifiesto determinadas actuaciones que podrían ser constitutivas de una infracción de la normativa de la protección de datos y que se detallan a continuación. Se adjunta como ANEJO 8 acta de inspección emitida en data 1 de diciembre de 2020 en la que se demuestra que aparentemente, REBY RIDES, empresa que no dispone de licencias ni se ha presentado al procedimiento, también facilita el alquiler de las motocicletas de las cuatro empresas anteriores en su aplicación móvil, y en consecuencia facilita los datos de los usuarios registrados en las aplicaciones anteriores, sin consentimiento previo de los usuarios. […] IV.- OBJETO DE LA DENUNCIA. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/33 […] En las inspecciones realizadas el pasado 26/10/2020 se comprueba que cuando un usuario se registra a la aplicación de Iberscot, queda automáticamente registrado a las aplicaciones de Oiz, Tucycle y Avant, y así lo indican en la misma aplicación, al no requerir nuevamente la documentación necesaria para realizar el registro del nuevo usuario, y con el siguiente mensaje que constan en los pantallazos de las Actas: “Ya estás registrado! Hemos detectado que ya te has registrar a otra plataforma colaboradora. Utilizaremos los datos que has añadido para agilizar el proceso”. (…) En las Inspecciones realizadas el 26/10/2020 se comprueba que introduciendo 10€ en la aplicación de Avant, que se suman a los 22 céntimos previos de la cuenta, y realizando un viaje con esta misma aplicación, el saldo se ve reducido en 66 céntimos, pasando de 10,22€ a 9,56€. (…). Indicar que el saldo, una vez introducidos los 10€ en la cartera de la aplicación de Avant, en el caso de la cartera de la empresa OIZ, se añade 1 euro adicional de regalo a la cuenta como indica la promoción de la propia aplicación (enmarcado en verde a la captura). A la vez, se comprueba que habiendo realizado únicamente un viaje con la empresa Avant con un cargo de 66 céntimos, se reducen las cuentas de las otras tres empresas también en 66 céntimos (ver Anejos 4, 5, 6 y 7). Se comprueba como con las otras tres empresas, Oiz, Tucycles y Iberscot, no se han realizado viajes. Aun así, el saldo en cartera también ha disminuido (…). 3. En la política de privacidad de las empresas, se informa a los usuarios que se comparten los datos personales con las entidades del mismo grupo (…). Así mismo, en relación con el Informe de Inspección del pasado 1 de diciembre de 2020 relativo a la empresa externa REBY RIDES, S.L. se comprueba que: Que las empresas Avant, Oiz, Tucycle y Iberscot, comparten las bases de datos de los registros y usuarios con una quinta empresa: REBY RIDES SL (empresa externa que no ha resultado adjudicataria de licencias). […]” Junto a la reclamación aporta la siguiente documentación: - Copia del Decreto de Alcaldía de 04/07/2019 por el que se aprueba la regulación sobre el número y las condiciones de las licencias temporales de uso común especial del dominio público para el estacionamiento de bicicletas, ciclomotores y motocicletas de uso compartido en régimen de explotación económica al término municipal de Barcelona (BOPB 8/8/2019). - Copia del Decreto de Alcaldía de 10/10/2019 por el que se aprueba la convocatoria del procedimiento por el otorgamiento de las licencias temporales de uso común especial del dominio público para el estacionamiento de bicicletas, ciclomotores y motocicletas de uso compartido en régimen de explotación económica al término municipal de Barcelona, (BOPB 11/10/2019). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/33 - Copia del Acta de inspección emitida por el AYUNTAMIENTO que recoge las comprobaciones realizadas en fecha 19 y 26/08/2020, 26/10/2020 y 01/12/2020, en relación con las siguientes entidades: Tucycle Bikesharing, S.L., Avant Fullstep, S.L., Eco-logica Turismo Sostenible, S.L., Oiz Ridesharing, S.L. y Reby Rides, S.L. - Copia de las Declaraciones Responsables firmadas por las siguientes entidades: Tucycle Bikesharing, S.L., Avant Fullstep, S.L., Eco-logica Turismo Sostenible, S.L., Oiz Ridesharing, S.L.. en las que declaran expresamente que cumplen con las condiciones y obligaciones de la convocatoria. - Copia de las Declaraciones Responsables de aceptación de las condiciones para participar en el procedimiento de otorgamiento a precario de las licencias temporales de uso común especial del dominio público para el estacionamiento de bicicletas, ciclomotores y motocicletas de uso compartido en régimen de explotación económica en Barcelona vacantes, firmadas por Tucycle Bikesharing, S.L., Avant Fullstep, S.L., Eco-logica Turismo Sostenible, S.L., Oiz Ridesharing, S.L. - Copia del informe técnico, de fecha 29/01/2021, emitido por la Gerencia de Movilidad e Infraestructuras, en el que solicita poner en conocimiento de las autoridades competentes en materia de protección de datos el análisis recogido en su informe y en las actas, a fin que se puedan iniciar las correspondientes investigaciones, y caso que se confirme una vulneración de la normativa por parte de Avant Fullstep SL (Avant), Oiz Ridesharing SL (Oiz), Tucycle Bikesharing SL (Tucycle) y Eco-logica Turismo Sostenible SL (Iberscot), solicita iniciar el correspondiente expediente de revocación de licencias y la adopción de las correspondientes sanciones o medidas necesarias. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 19/04/2021 se dio traslado de dicha reclamación a IBERSCOT, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 19/04/2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 19/05/2021, se recibe en esta Agencia escrito de respuesta en el que manifiesta: “[…] Como ya hemos referido anteriormente IBERSCOT recibió un primer requerimiento (nº de requerimiento E/10004/2020) en diciembre de 2020 en relación con su servicio de motosharing en la ciudad de Barcelona. La Agencia después de recibir la respuesta de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/33 IBERSCOT y tras hacer un profundo análisis y considerar las cuestiones alegadas por las partes procedió a acordar el archivo de la reclamación en cuestión examinada. […] 2. Informe sobre funcionamiento de IBERSCOT a través de su aplicación y en relación con plataformas de agregación. IBERSCOT es una empresa que da servicios de movilidad compartida que actualmente ofrece a sus usuarios la posibilidad alquilar motos compartidas en la ciudad de Barcelona por medio de su aplicación móvil. (…) Además IBERSCOT, también ofrece la posibilidad a sus usuarios de conocer la disponibilidad de sus vehículos en varias plataformas (como es el caso de la app SMOU, ofrecida por la empresa municipal BARCELONA DE SERVICIOS MUNICIPALES, SA (B:SM)) e incluso de contratar sus servicios en varias plataformas. Entre estas plataformas se encuentra la App de Reby (ofrecida por Reby Rides S.L.), que proporciona un servicio de agregación a IBERSCOT a través de su aplicación móvil. Este servicio consiste en agregar la oferta de servicios de movilidad compartida a través de la App de Reby (plataforma Mobility as a Service o MaaS). De esta forma, cualquier usuario de la aplicación puede geolocalizar y alquilar distintos vehículos de movilidad compartida (patinetes, motocicletas y bicicletas), entre ellos las motocicletas de IBERSCOT. (…) El funcionamiento del servicio requiere que el usuario, en primer lugar, se dé de alta en la plataforma de Reby, donde da su consentimiento para que únicamente Reby haga tratamiento de sus datos personales. Posteriormente, en el caso de que el usuario quiera hacer uso de los servicios ofrecidos por otro operador del servicio de alquiler que aparezca en el agregador, por ejemplo IBERSCOT, deberá darse de alta como usuario del operador previamente. Para facilitar el proceso de registro de un usuario de la plataforma MaaS de Reby en IBERSCOT, se le solicita previamente al usuario que consienta expresamente, de manera previa, a que Reby comunique a IBERSCOT determinados datos personales. El objetivo final de la misma es facilitar el proceso de registro del usuario que esté interesado en acceder a un nuevo servicio dentro de la plataforma de Reby. Es por ello, que tras analizar el proceso de registro que siguen los usuarios de IBERSCOT para darse de alta en el servicio de movilidad de Reby, se considera que ya se viene procediendo de tal manera que el usuario debe consentir la comunicación de sus datos a otros operadores de movilidad. Por otra parte en el apartado de obtención de datos personales de la Política de Privacidad de IBERSCOT, tal y como la propia Agencia pudo constatar, se contempla el supuesto de recibirlos procedentes de terceras empresas colaboradoras, tales como Reby, siempre bajo autorización del interesado. (…) 3. Informe sobre el funcionamiento del sistema de pago de los usuarios de IBERSCOT. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/33 IBERSCOT facilita un modo de pago seguro y sencillo a los usuarios que utilizan su aplicación. Tal y como se informa a los usuarios del servicio en los Términos y Condiciones de su aplicación, los pagos de los Usuarios se gestionan de forma segura a través de la entidad Kernel Labs, S.L.U, con domicilio en Av. Meridiana, 89, Planta 4, CP 08026 de Barcelona, Identificación ES867169961, que actúa en calidad de encargada de tratamiento. Los datos de pago son tratados única y exclusivamente por el proveedor para la finalidad por la que se han contratado sus servicios, que es la transacción necesaria del pago correspondiente al uso del servicio de movilidad que lleva a cabo el usuario a través de la App de IBERSCOT. (…) En el proceso de registro del usuario, el usuario introduce sus datos bancarios desde la aplicación de IBERSCOT pero no se almacenan los datos, sino que los traslada a Kernel directamente. Kernel es el encargado de realizar las comprobaciones oportunas con el banco, de tal forma que verifica que la tarjeta bancaria introducida sea válida y correcta, y, una vez verificada, le traslada a IBERSCOT un “token de pago” de la tarjeta o tarjeta digital. El Card Token reemplaza los datos sensibles de las tarjetas por un código único identificativo. (…) Tal y como se explicó en detalle en respuesta al anterior requerimiento de la AEPD, hoy archivado, cuando el usuario quiere darse de alta en dichos servicios, IBERSCOT comunica algunos de los datos personales de sus usuarios a otros operadores de movilidad compartida con los que mantiene una relación de colaboración siempre y cuando el usuario haya consentido expresamente, de manera previa, dicha posibilidad. De entre las categorías de datos que se comunican a los otros operadores de movilidad compartida, se encuentra el “token” de pago del usuario, es decir, el acceso al código numérico o “wallet” en el que se almacena el crédito introducido por el usuario personalmente. Cuando IBERSCOT comunica datos de un usuario a un operador de movilidad compartida colaborador, siempre con el consentimiento expreso del usuario, este operador no puede acceder ni utilizar el dinero que se ha almacenado en la tarjeta digital del usuario, que pertenece exclusivamente al usuario. Únicamente puede conocer si existe saldo disponible en la misma y realizar cobros sobre dicho medio de pago por los servicios prestados. […]” Junto al escrito aporta, entre otros, la siguiente documentación: - Copia de la Política de Privacidad en su versión de 15/05/2021. Del contenido de este documento cabe destacar: “2. Responsable del tratamiento de tus datos. El responsable del tratamiento de los datos del Usuario es ECOLOGICA TURISMO SOSTENIBLE, S.L (en adelante, IBERSCOT), B70548375. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/33 Dirección postal: Paseo Da Lagoa 10, Planta 0, Oleiros (150177 A Coruña). Correo electrónico: help@iberscot.net 3. ¿De dónde obtenemos tus Datos Personales? Los Datos Personales que IBERSCOT obtiene pueden ser facilitados por (
- i)el propio Usuario al darse de alta en la App y crear una cuenta, (
- ii)de la propia App un vez el usuario tiene su cuenta activada y hace uso del Servicio, y (iii) de terceras empresas de movilidad colaboradoras. Los Datos Personales del interesado que obtenemos serán tratados para las finalidades indicadas en el apartado 4 de la presente Política de Privacidad. I. Datos personales que tratamos que proceden del propio Usuario. Recibimos y almacenamos toda la información que nos facilitas a través de tu cuenta de usuario. Las categorías de datos que se tratan son las siguientes: Datos de identificación (nombre, apellidos, DNI o pasaporte); Teléfono; Dirección electrónica; Carnet de conducir; Datos económicos (datos de tarjeta de crédito). II. Datos personales que tratamos a través de la App cuando el Usuario hace uso del Servicio. Cuando la App de IBERSCOT esté en uso, y estés utilizando uno de nuestros vehículos, recopilaremos y almacenaremos de forma automática cierta información sobre el uso que haces de los servicios de IBERSCOT, incluyendo la ubicación del vehículo, la ubicación del dispositivo, tu dirección IP, un histórico de los trayectos que realizas en nuestros vehículos, el código de identificación que te asignaremos internamente, fechas y horas en las que accedes a la App o el hardware, software y navegador de internet que utilizas, datos sobre el sistema operativo, así como la versión de la Aplicación y la configuración de idioma. En ningún caso IBERSCOT comercializará con terceros los datos recopilados. III. Datos personales que tratamos que proceden de terceras empresas colaboradoras. Al crear tu cuenta de Usuario, pediremos tu permiso para verificar si ya estás registrado en otras plataformas de movilidad colaboradoras. Los datos que nos comunican con el fin de prestarte nuestros servicios, son los siguientes: C/ Jorge Juan, 6 28001 – Madrid Datos de identificación (nombre, apellidos, DNI o pasaporte); Dirección electrónica; Carnet de conducir; Token de pago. El token es un código numérico único formado por dígitos similares que reemplaza los datos de la tarjeta de crédito durante la transacción. Por lo tanto, no se transmitirán los datos de tu tarjeta sino únicamente éste código seguro. www.aepd.es sedeagpd.gob.es 8/33 De esta forma, tu proceso de registro en nuestra App será mucho más ágil, ya que no tendrás que volver a introducir manualmente todos los datos. IBERSCOT solamente tendrá acceso a los datos que has informado a nuestros colaboradores en el caso de que nos des tu autorización previa. En ningún caso esos datos serán cotejados sin tu consentimiento. Las plataformas de movilidad colaboradoras de IBERSCOT en la ciudad de Barcelona se puede consultar aquí. 7. ¿Compartimos tus Datos Personales con terceros? Garantizarr la privacidad de los datos de nuestros Usuarios es fundamental para nosotros. En ningún caso comercializamos con tus datos personales. Sin embargo, determinados datos personales que han sido facilitados a IBERSCOT podrán ser cedidos a terceros, para posibilitar, facilitar y mejorar nuestros servicios. No realizamos transferencias internacionales de datos. Todos los datos que mantenemos están almacenados en servidores ubicados dentro del Espacio Económico Europeo, y que, por lo tanto, garantizan los niveles de protección adecuados según la normativa aplicable. Los Datos Personales del Usuario podrán ser cedidos a los siguientes destinatarios: C/ Jorge Juan, 6 28001 – Madrid Entidades del Grupo IBERSCOT o que puedan llegar a ser miembros del Grupo en un futuro (entendiéndose por grupo de empresas conforme a lo dispuesto en el artículo 42 del Código de Comercio), o a cualquier tercero que adquiera la totalidad o una parte sustancial de los activos de IBERSCOT, con fines de gestión y administración del Grupo principalmente. Administraciones Públicas, Juzgados y Tribunales: la información personal subministrada por los Usuarios se cederá a los organismos mencionados siempre que exista una disposición legal aplicable que obligue a IBERSCOT a asistir a estas entidades, para los fines propios de las mismas. También cederemos los datos facilitados por los Usuarios cuando consideremos que tal acción es razonablemente necesaria para cumplir con un proceso judicial; para contestar cualquier reclamación o demanda jurídica; o para proteger los derechos de IBERSCOT o de sus clientes y el público en general. Proveedores que prestan servicios a IBERSCOT: terceras empresas prestadoras de servicios administrativos, contables, fiscales y de marketing y que tienen la condición de encargados del tratamiento. En cualquier caso, los terceros con los que se compartan determinados datos de carácter personal del Usuario habrán acreditado previamente la adopción de medidas adecuadas para la correcta protección de estos. Estos terceros proveedores de servicios tendrán acceso a la www.aepd.es sedeagpd.gob.es 9/33 información personal necesaria para realizar sus funciones, pero no podrán utilizarla para otros fines. - Entidades de pago: Los pagos de los Usuarios se gestionarán de forma segura a través de la entidad Kernel Labs, S.L.U, con domicilio en Av. Meridiana, 89, Planta 4, CP 08026 de Barcelona, Identificación ES867169961. En ningún caso utilizarán los datos personales de los Usuarios para fines propios o distintos de la gestión de pagos encomendada por IBERSCOT. Disponemos de un contrato de confidencialidad firmado con esta entidad a tal efecto. Autoridades de tráfico para fines de identificación del conductor en caso de infracción; Entidades de movilidad colaboradoras de IBERSCOT: cuando introduces tus datos personales en la plataforma de la App de IBERSCOT, se te solicitará que autorices la cesión de dichos datos a terceras empresas colaboradoras con las que compartimos plataforma. El único objetivo de esta cesión es agilizar el proceso de registro en sus respectivas aplicaciones en caso de que desees registrarte y utilizar las mismas en un futuro. Está cesión solamente se producirá con el consentimiento previo y expreso del usuario. Las empresas colaboradoras de IBERSCOT son las indicadas en el apartado 3, de la presente Política de Privacidad.” Copia de la contestación de IBERSCOT al traslado en el marco del E/ 10004/2020 y la Resolución dictada por esta Agencia, en fecha 25/02/2021, por la que se acuerda proceder al archivo de actuaciones. TERCERO: Con fecha 26/05/2021, tuvo entrada en esta Agencia un escrito presentado por A.A.A. mediante el que formula reclamación contra IBERSCOT, por la comunicación de datos de usuarios entre distintas empresas que prestan servicio de bikesharing sin informar a estos de tales comunicaciones y no recabar su consentimiento. En dicha reclamación se pone de manifiesto lo siguiente: La parte reclamante se registró como usuaria de OIZ en octubre de 2020, facilitando sus datos personales, fotografía de su DNI, carnet de conducir, un selfi y datos bancarios. Después del proceso de registro aceptó la política de privacidad, en la que se informa lo siguiente: “Los datos personales del usuario podrán ser cedidos a los siguientes destinatarios: Entidades del Grupo OIZ o que puedan llegar a ser miembros del grupo en un futuro (entendiéndose por grupo de empresas conforme a Io dispuesto en eI art. 42 del Código de Comercio), o a cualquier tercero que adquiera la totalidad o una parte sustancial de los activos de OIZ, con fines de gestión y administración del Grupo principalmente”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/33 Con ese motivo contactó con el servicio de Atención al Cliente, que le informó sobre la cesión de sus datos personales a las siguientes entidades: Ecológica Turismo Sostenible, S.L. (IBERSCOT), Avant Fullstep, S.L. (AVANT), Reby Rides, S.L. (REBY) y TUCYCLE BIKE SHARING, S.L., con NIF B52553385 (TUCYCLE). Añade que accedió a las políticas de privacidad de todas las entidades indicadas, comprobando que ninguna informaba sobre los destinatarios de la comunicación de datos personales; que, en la actualidad, OIZ, AVANT y REBY siguen sin indicar a quién ceden los datos, mientras que TUCYCLE e IBERSCOT sí lo indican; y que no recibió información de OIZ sobre la modificación de la app y de su política de privacidad. Advierte que la nueva configuración de la app, al inicio del proceso de alta solicita el consentimiento del usuario para la cesión de sus datos personales a empresas colaboradoras, pero sin indicar los destinatarios y sin permitir completar el proceso de alta en caso de no prestar dicho consentimiento. La parte reclamante manifiesta que realizó el proceso de registro en la app de IBERSCOT, similar al de OIZ, con la misma sucesión de pantallas, datos solicitados, avisos, etc. Tras marcar la casilla de verificación, necesaria para continuar, recibió el mensaje siguiente: “Tras comprobarlo, hemos detectado que ya te has registrado en Oiz. Aceptas que este nos comunique a Iberscot los siguientes datos para agilizar el proceso de registro, con el fin de prestarte nuestros servicios: nombre, apellidos, email, DNI/ Carnet de conducir/Pasaporte, token de pago.” Aporta captura de pantalla en la que figura el texto anterior y dos botones: uno con el texto “volver a registrar” y otro con el texto “entendido”. Considera la parte reclamante que la información ha tenido que ser ya compartida, al menos parcialmente, para que IBERSCOT pueda saber que se dio de alta previamente en OIZ. Señala que probó a denegar el permiso pulsando el botón “volver a registrar” y comprueba que no puede introducir los datos sin autorizar la compartición, que al optar por “volver a registrar” la APP lleva de nuevo a la pantalla de inicio, donde comienza el mismo proceso, la misma verificación SMS y la misma pantalla. Sin pulsar la opción “Entendido” no se puede continuar el proceso. Que lo dicho es igual en el caso de OIZ, IBERSCOT, AVANT y TUCYCLE (aporta captura de pantalla con las opciones antes señaladas para la aceptación de los Términos y Condiciones y la Política de Privacidad, y para aceptar la comprobación del registro previo en otras plataformas), siendo algo distinto en el caso de REBY. Al entrar en IBERSCOT comprueba que ya están volcados todos sus datos (aporta captura de pantalla con los datos relativos a nombre, apellidos, mail, número de teléfono, dirección y tarjeta bancaria). Posteriormente, añadió saldo en IBERSCOT para empezar a utilizarla y dicho saldo se actualizó también en la app de OIZ y el resto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/33 de las compañías indicadas (aporta captura de pantalla con la actualización del saldo en OIZ). Junto a la reclamación aporta, entre otra, la siguiente documentación: - Capturas de pantalla de la conversación que mantuvo la parte reclamante con el departamento de “Atención al cliente” de la aplicación OIZ a lo largo del mes de octubre de 2020; tras haber solicitado información sobre las entidades cesionarias de sus datos personales. De las respuestas ofrecidas por OIZ destacamos las siguientes: “… Somos varias empresas que trabajamos juntos, prestamos el mismo servicio y colaboramos entre sí para beneficio del cliente. En caso de que se comparta información del cliente de una empresa a otra siempre le pedirá su autorización y consentimiento para hacerlo… Los datos nunca son cedidos a ninguna empresa que el usuario no haya dado su consentimiento…”. “Las empresas son las siguientes. Reby, OIZ, Iberscot, Tucycle y Avant”. “Se trata de una colaboración para ofrecer un servicio más cómodo; de forma que si te descargas la app de cualquiera de estas empresas, ya no necesitas validar tu información en cada una de ellas”. - Dos capturas de pantalla de las apps de IBERSCOT y OIZ, ambas con la misma estructura e información. En esta pantalla se requiere al usuario un número de línea de telefonía y se ofrecen dos casillas para marcar sendas opciones con el siguiente texto: “Continuando confirmo que tengo 18 años o más y que acepto que… (nombre de la entidad: OIZ o IBERSCOT), en su condición de responsable del tratamiento ( ) Trate mis datos para la prestación del servicio contratado según los Términos y Condiciones y Política de Privacidad que he leído y acepto” ( ) Consiento que… (nombre de la entidad: OIZ o IBERSCOT) compruebe si ya estoy registrado/a en otras plataformas de movilidad colaborativa para facilitar el proceso de registro”. En ambas capturas de pantalla aparecen marcadas las dos opciones y el botón “Continuar” activado. - Copia del apartado relativo a la cesión de datos de las Políticas de Privacidad de las entidades cesionarias. El contenido de la política de IBERSCOT (https://iberscot.net/pp//) es el siguiente: “7. ¿Compartimos tus Datos Personales con terceros? C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/33 Sí, Compartimos tus Datos Personales (
- i)con otras entidades del grupo IBERSCOT, (
- ii)con proveedores externos que nos ayundan con diferentes cuestiones relacionadas con el Servicio y (iii) con autoridades u organismos públicos. En algunos casos, estos terceros están ubicados fuera de la Unión Europea, pero las transferencias de tus Datos Personales se realizan con garantías adecuadas: o hemos firmado con estas entidades Cláusulas Contractuales Tipo aprobadas por la Comisión europea o bien están adheridas al Privacy Shield. CUARTO: Con fecha 18/06/2021, esta Agencia accede a la Política de Privacidad de IBERSCOT, disponible en la dirección web https://iberscot.net/, de fecha 15/05/2021. Su contenido coincide con el reseñado en el punto segundo, del apartado “Hechos”. En la misma fecha del 18/06/2021 se comprobó, asimismo, que en la url ***URL.1 constan las “Plataformas de movilidad colaboradoras en la ciudad de Barcelona”: AVANT FULLSTEP, S.L.., ECOLÓFICA TURISMO SOSTENIBLE, S.L., OIZ RIDESHARING S.L., REBY RIDES S.L. y TUCYCLE BIKE SHARING, S.L. QUINTO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 05/07/2021 se dio traslado de dicha reclamación a IBERSCOT, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 15/07/2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 13/08/2021, se recibe en esta Agencia escrito de respuesta en el que manifiesta: “[…] PRIMERA.- Consideraciones previas sobre las medidas adoptadas por IBERSCOT en su calidad de responsable del tratamiento de los datos personales de los usuarios de sus servicios. IBERSCOT es una compañía que desarrolla su actividad económica en el sector de la movilidad eléctrica compartida por medio de su aplicación móvil y, en concreto, ha sido adjudicataria de un número determinado de licencias temporales de uso común especial del dominio público para el estacionamiento de ciclomotores de uso compartido en la ciudad de Barcelona. Esas licencias han sido concedidas por el Ayuntamiento de Barcelona tras un proceso competitivo. (…) 2.- Hay que destacar que IBERSCOT está, junto con otras empresas, siendo objeto de una persecución indiscriminada por parte de competidores dentro del mercado de movilidad compartida de motocicletas en la ciudad de Barcelona. Desde el portal web del Ayuntamiento de Barcelona (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/33 La presente reclamación es la tercera recibida por IBERSCOT en los últimos meses, existiendo estas dos anteriores (…). 3.- Salta a la vista que a pesar de que la reclamación parezca haber sido interpuesta por una usuaria del servicio, en los datos de contacto que constan en la reclamación, se desprende que A.A.A. es abogada del despacho colectivo (…) El despacho (…) ejerce las labores de delegado de Protección de Datos (“DPD”) de la sociedad de Cooltra Motos, S.L. (…) Cooltra es un competidor directo de IBERSCOT dentro de la ciudad de Barcelona (…) SEGUNDA.- Sobre el cumplimiento de IBERSCOT en relación con la normativa de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantías de los Derechos Digitales Actualmente, IBERSCOT ofrece a sus usuarios la posibilidad de alquilar motos compartidas en la ciudad de Barcelona por medio de su aplicación móvil. Y lo hace a través de diversas plataformas de agregación, entre estas, se encuentra la plataforma de la empresa Reby Rides, S.L., que, en Barcelona, actúa como un agregador de movilidad compartida. (…) IBERSCOT cumple escrupulosamente con sus obligaciones en materia de protección de datos como empresa que ofrece servicios a los usuarios. (…) Así pues, IBERSCOT en fecha 15 de mayo de 2021, procedió a realizar una actualización en sus textos legales, unos días antes de que se interpusiera la Reclamación en la AEPD. Tales cambios al no consistir en cambios sustanciales, sino en cambios de redacción, explicaciones más detalladas y ampliación de algunos tratamientos (en ningún caso, de nuevos tratamientos), no fueron comunicados directamente a los usuarios, aunque evidentemente han estado disponibles al público desde su actualización en la dirección (…) TERCERA.- Cumplimiento de los derechos regulados en los artículos 15 a 22 del RGPD. Como se indicaba anteriormente, cabe destacar que la reclamante, en ningún momento, se ha puesto en contacto con el servicio de Atención al Cliente de IBERSCOT, (…) Por parte de IBERSCOT, venimos a poner de manifiesto que IBERSCOT puede ceder los datos personales de un usuario introducidos en la plataforma de su App a otras entidades de movilidad colaboradoras, siempre previa autorización de la cesión de dichos datos a terceras empresas colaboradoras con las que compartimos plataforma. […] Elisabet Gratti ha venido a actuar aquí como abogada de la empresa competidora Cooltra, con la voluntad de auditar y perseguir a IBERSCOT, y obligarla a destinar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/33 tiempo y esfuerzo a procedimientos ante esta Agencia en los que realmente no se han producido perjuicios a ningún usuario real de la aplicación. La reclamante no realizó en ningún momento ningún viaje con los ciclomotores de IBERSCOT en Barcelona, no habiendo utilizado ningún servicio después de su registro. […] QUINTA.- Sobre el resto de cuestiones planteadas en la reclamación. […] Sobre la cuestión planteada y relativa a los problemas para completar el proceso de registro si no se consiente a la cesión de datos, procedemos a ofrecer la explicación de forma inmediata. Para completar el proceso de registro, a la usuaria se le mostró el siguiente texto, con dos apartados o casillas disponibles para su selección ( captura de pantalla). Para que el botón de “Continuar” esté habilitado para el usuario, este debe haber marcado al menos el primero de los apartados/ casillas disponibles, consintiendo el tratamiento de los datos personales del usuario y aceptando los Términos y Condiciones, así como la Política de Privacidad, que confirma haber leído y aceptado. El segundo apartado es opcional e informa al usuario de la posibilidad de que se realice una comprobación sobre la existencia de un registro previo en la Aplicación de otro operador de movilidad que colabore con IBERSCOT, si así lo consiente. En relación con que, en el proceso de registro, se vuelve a solicitar el consentimiento para la cesión de datos personales, a pesar de que la usuaria entiende que la información ya ha tenido que ser compartida al menos parcialmente para que IBERSCOT sepa que se ha registrado en OIZ y viceversa, conviene tener en cuenta lo siguiente […] En el caso que el proceso de comprobación de un resultado positivo, el usuario accede a un segundo paso, cuya imagen se muestra a continuación y también se aporta en la reclamación de la usuaria. Seguidamente, se informa al usuario del resultado de la comprobación y se le informa de nuevo para que acepte un segundo tratamiento de sus datos personales, es decir, que consienta que la compañía en la que se ha dado previamente de alta comunique a IBERSCOT los datos personales descritos (tanto en pantalla como en la política de privacidad), a efectos de completar la información del usuario y simplificar el proceso de registro en IBERSCOT. Por otra parte, al revés de lo declarado por la usuaria, no se vuelve a solicitar el consentimiento por el mismo tratamiento, sino que se han solicitado dos consentimientos para dos tratamientos distintos. (…) SEXTA.- Informe sobre las medidas adoptadas para evitar que se produzcan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/33 incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. […] En todo caso, es relevante mencionar que IBERSCOT ha revisado recientemente y de nuevo el proceso de registro en su aplicación, como parte del proceso de mejora continua, realizada con el equipo de diseño y experiencia de usuario. Como resultado de este proceso y tras las nuevas modificaciones introducidas, IBERSCOT ya no comprueba si un usuario se ha registrado previamente en las entidades colaboradoras de movilidad Oiz, Tucycle o Avant, y tampoco cede directamente datos a las mismas ni las susodichas con IBERSCOT. En este sentido, se ha considerado que la experiencia del usuario sería mejor en el proceso de registro actual, que igual que todos los anteriores sigue cumpliendo con la normativa de protección de datos a todos los niveles. […]” Junto al escrito aporta la siguiente documentación: - Copia de la Política de Privacidad en su versión de 19/05/2021. Del contenido cabe señalar lo siguiente: “2. Responsable del tratamiento de tus datos. El responsable del tratamiento de los datos del Usuario es ECOLOGICA TURISMO SOSTENIBLE, S.L (en adelante, IBERSCOT), B70548375. Dirección postal: Paseo Da Lagoa 10, Planta 0, Oleiros (150177 A Coruña). Correo electrónico: help@iberscot.net 3. ¿De dónde obtenemos tus Datos Personales? Los Datos Personales que IBERSCOT obtiene pueden ser facilitados por (
- i)el propio Usuario al darse de alta en la App y crear una cuenta, (
- ii)de la propia App un vez el usuario tiene su cuenta activada y hace uso del Servicio, y (iii) de terceras empresas de movilidad colaboradoras. Los Datos Personales del interesado que obtenemos serán tratados para las finalidades indicadas en el apartado 4 de la presente Política de Privacidad. I. Datos personales que tratamos que proceden del propio Usuario. Recibimos y almacenamos toda la información que nos facilitas a través de tu cuenta de usuario. Las categorías de datos que se tratan son las siguientes: C/ Jorge Juan, 6 28001 – Madrid Datos de identificación (nombre, apellidos, DNI o pasaporte); Teléfono; www.aepd.es sedeagpd.gob.es 16/33 Dirección electrónica; Carnet de conducir; Datos económicos (datos de tarjeta de crédito). II. Datos personales que tratamos a través de la App cuando el Usuario hace uso del Servicio. Cuando la App de IBERSCOT esté en uso, y estés utilizando uno de nuestros vehículos, recopilaremos y almacenaremos de forma automática cierta información sobre el uso que haces de los servicios de IBERSCOT, incluyendo la ubicación del vehículo, la ubicación del dispositivo, tu dirección IP, un histórico de los trayectos que realizas en nuestros vehículos, el código de identificación que te asignaremos internamente, fechas y horas en las que accedes a la App o el hardware, software y navegador de internet que utilizas, datos sobre el sistema operativo, así como la versión de la Aplicación y la configuración de idioma. En ningún caso IBERSCOT comercializará con terceros los datos recopilados. III. Datos personales que tratamos que proceden de terceras empresas colaboradoras. Al crear tu cuenta de Usuario, pediremos tu permiso para verificar si ya estás registrado en otras plataformas de movilidad colaboradoras. Los datos que nos comunican con el fin de prestarte nuestros servicios, son los siguientes: Datos de identificación (nombre, apellidos, DNI o pasaporte); Dirección electrónica; Carnet de conducir; Token de pago. El token es un código numérico único formado por dígitos similares que reemplaza los datos de la tarjeta de crédito durante la transacción. Por lo tanto, no se transmitirán los datos de tu tarjeta sino únicamente éste código seguro. De esta forma, tu proceso de registro en nuestra App será mucho más ágil, ya que no tendrás que volver a introducir manualmente todos los datos. IBERSCOT solamente tendrá acceso a los datos que has informado a nuestros colaboradores en el caso de que nos des tu autorización previa. En ningún caso esos datos serán cotejados sin tu consentimiento. Las plataformas de movilidad colaboradoras de IBERSCOT en la ciudad de Barcelona se puede consultar aquí. 7. ¿Compartimos tus Datos Personales con terceros? Garantizar la privacidad de los datos de nuestros Usuarios es fundamental para nosotros. En ningún caso comercializamos con tus datos personales. Sin embargo, determinados datos personales que han sido facilitados a IBERSCOT podrán ser cedidos a terceros, para posibilitar, facilitar y mejorar nuestros servicios. No realizamos transferencias internacionales de datos. Todos los datos que mantenemos están almacenados en servidores ubicados dentro del Espacio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/33 Económico Europeo, y que, por lo tanto, garantizan los niveles de protección adecuados según la normativa aplicable. Los Datos Personales del Usuario podrán ser cedidos a los siguientes destinatarios: C/ Jorge Juan, 6 28001 – Madrid Entidades del Grupo IBERSCOT o que puedan llegar a ser miembros del Grupo en un futuro (entendiéndose por grupo de empresas conforme a lo dispuesto en el artículo 42 del Código de Comercio), o a cualquier tercero que adquiera la totalidad o una parte sustancial de los activos de IBERSCOT, con fines de gestión y administración del Grupo principalmente. Administraciones Públicas, Juzgados y Tribunales: la información personal subministrada por los Usuarios se cederá a los organismos mencionados siempre que exista una disposición legal aplicable que obligue a IBERSCOT a asistir a estas entidades, para los fines propios de las mismas. También cederemos los datos facilitados por los Usuarios cuando consideremos que tal acción es razonablemente necesaria para cumplir con un proceso judicial; para contestar cualquier reclamación o demanda jurídica; o para proteger los derechos de IBERSCOT o de sus clientes y el público en general. Proveedores que prestan servicios a IBERSCOT: terceras empresas prestadoras de servicios administrativos, contables, fiscales y de marketing y que tienen la condición de encargados del tratamiento. En cualquier caso, los terceros con los que se compartan determinados datos de carácter personal del Usuario habrán acreditado previamente la adopción de medidas adecuadas para la correcta protección de estos. Estos terceros proveedores de servicios tendrán acceso a la información personal necesaria para realizar sus funciones, pero no podrán utilizarla para otros fines. Entidades de pago: Los pagos de los Usuarios se gestionarán de forma segura a través de la entidad Kernel Labs, S.L.U, con domicilio en Av. Meridiana, 89, Planta 4, CP 08026 de Barcelona, Identificación ES867169961. En ningún caso utilizarán los datos personales de los Usuarios para fines propios o distintos de la gestión de pagos encomendada por IBERSCOT. Disponemos de un contrato de confidencialidad firmado con esta entidad a tal efecto. Autoridades de tráfico para fines de identificación del conductor en caso de infracción; Entidades de movilidad colaboradoras de IBERSCOT: cuando introduces tus datos personales en la plataforma de la App de IBERSCOT, se te solicitará que autorices la cesión de dichos datos a www.aepd.es sedeagpd.gob.es 18/33 terceras empresas colaboradoras con las que compartimos plataforma. El único objetivo de esta cesión es agilizar el proceso de registro en sus respectivas aplicaciones en caso de que desees registrarte y utilizar las mismas en un futuro. Está cesión solamente se producirá con el consentimiento previo y expreso del usuario. Las empresas colaboradoras de IBERSCOT son las indicadas en el apartado 3, de la presente Política de Privacidad.” SEXTO: Con fecha 06/10/2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. SÉPTIMO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1) Mediante diligencia realizada por esta Agencia en fecha 22/02/2022, se consulta la url https://ajuntament.barcelona.cat/gracia/es/noticia/adjudicacion-definitiva-de-laslicencias-de-motos-y-bicis-de-uso-compartido_951038 y el DPD de COOLTRA MOTOS, S.L. en la web de esta Agencia www.aepd.es. 2) Con fecha 25/02/2022, se incorpora a las actuaciones de inspección diligencia realizada por esta Agencia, en fecha 22/02/2022, relativa al proceso de registro de usuario de la app de IBERSCOT, en cuyo proceso no se recibe ningún SMS. 3) Mediante diligencia realizada por esta Agencia en fecha 01/03/2022, se realiza un segundo intento de registro en la app de IBERSCOT hasta el paso que solicita la introducción del documento de identidad y el permiso de conducción. 4) Con fecha 18/03/2022, se incorpora a las actuaciones de inspección diligencia realizada por esta Agencia, en fecha 22/02/2022, tras consultar la Política de Privacidad y los Términos y Condiciones de servicio de la app IBERSCOT. 5) Con fecha 23/03/2022, esta Agencia recibe respuesta elaborada por IBERSCOT al requerimiento de información de fecha 28/02/2022: En relación con las cuestiones generales, manifiesta: 1. Que IBERSCOT no es parte de un Grupo de empresas como se prevé en el artículo 42 del Código de Comercio, sino que, utiliza esa expresión en un sentido comercial y no legal. En relación con el tratamiento de datos personales de los usuarios: 1. Aporta copia del Registro de Actividades del Tratamiento en su versión de agosto de 2020 y actualizado en agosto de 2021. En la versión de agosto de 2020, en el detalle relativo a los tratamientos que IBERSCOT lleva a cabo para la gestión, prestación y facturación del servicio se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/33 indican las categorías de destinatarios a quienes se comunican los datos: “Terceras empresas de movilidad que prestan sus servicios conjuntamente; Ayuntamiento de Barcelona; administraciones públicas, juzgados y tribunales; entidades del grupo Iberscot; proveedores de servicios administrativos, contables, fiscales, informáticos y de marketing; entidades de pago; autoridades de tráfico”. En la versión de agosto de 2021, respecto de los mismos tratamientos y comunicaciones de datos se indica: “Administraciones públicas, juzgados y tribunales; proveedores de servicios administrativos, contables, fiscales, informáticos y de marketing; entidades de pago; autoridades de tráfico”. En relación con la Política de Privacidad y Términos de uso de la app: o Aporta copia de las distintas versiones de su Política de Privacidad de fechas 10/06/2020, 25/01/2021, 19/05/2021 y 23/03/2022. 1. Los apartados correspondientes a la procedencia de los datos personales y a la comunicación de datos a terceros de las versiones de fecha 25/01/2021 y 19/05/2021 coinciden con la información reseñada en el punto quinto, del apartado “Hechos” del presente acuerdo de inicio. 2. La versión de fecha 23/03/2022 incluye el siguiente apartado relativo a la obtención de datos personales: “3. ¿De dónde obtenemos tus Datos Personales? […] III. Datos personales del servicio de agregación. Si eres usuario del servicio de agregación de movilidad prestado por Reby Rides S.L., en el momento en que quieras conducir un vehículo de IBERSCOT se te informará de que para la realización del viaje tus datos serán compartidos entre Reby y IBERSCOT, en virtud de la relación que mantenemos, siendo Reby Rides, S.L. nuestro encargado del tratamiento. La compartición de estos datos es necesaria para prestarte nuestros servicios: o o o o Datos de identificación (nombre, apellidos, DNI o pasaporte); Dirección electrónica; Carnet de conducir; Token de pago. El token es un código numérico único formado por dígitos similares que reemplaza los datos de la tarjeta de crédito durante la transacción. Por lo tanto, no se transmitirán los datos de tu tarjeta sino únicamente este código seguro. Asimismo, en el apartado relativo a la compartición de datos personales (¿Compartimos tus Datos Personales con terceros?), elimina de la lista a las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/33 entidades del Grupo IBERSCOT y Entidades de movilidad colaboradoras de IBERSCOT. o Aporta diferentes versiones de los Términos y Condiciones del Servicio de fecha 10/06/2020, 25/01/2021 y 19/05/2021 En relación con el funcionamiento de la app de IBERSCOT: 1. IBERSCOT manifiesta que no puede llevar a cabo la prueba solicitada por esta Agencia en la versión de la app que se usaba en fecha 19/08/2020 ni durante el E/10004/2020 por imposibilidad técnica, al encontrarse obsoleta y no mantenida la API-REST usada durante ese periodo. 2. En relación con la versión de la app actual (prueba de 22/03/2022) señala lo siguiente: o El proceso de registro de un nuevo usuario. o Completando el proceso. 1. En la primera pantalla del proceso de registro, en la que se introduce el número de teléfono, consta una única casilla para marcar (y desmarcada por defeco) con el siguiente texto: “Trate mis datos para la prestación del servicio contratado según los Términos y condiciones y Política de Privacidad que he leído y acepto”. 2. Tras introducir el código de confirmación que se envía por SMS, en la base de datos se crea un perfil de usuario en el que figuran los siguientes campos: a. b. c. d. e. f. User_id: identificador único. Created_at: fecha y hora de creación. Phone_number: número de telefonía móvil con el que se registra. Company: Iberscot. Payment_processor__token y email: vacíos. Consent_from_reby, driving_licence y national_id: figura un “f” (false). 3. En la siguiente pantalla, se solicita al usuario su localización con el siguiente texto: “¿Permitir a Iberscot acceder a la ubicación de este dispositivo?” con dos casillas “Denegar” o “Permitir”. En caso afirmativo, debe introducir su nombre y apellidos, dirección de correo electrónico, teléfono, dirección, provincia y código postal; y, a continuación, aparecen los vehículos disponibles en su zona. 4. Para poder conducir un vehículo se exige introducir el documento de identidad y permiso de conducir, así como un método de pago verificados. Estos datos se incorporan a la base de datos en los apartados: national_d, driving_licente y payment_processor__token. o C/ Jorge Juan, 6 28001 – Madrid Compartición de datos con otros Operadores: www.aepd.es sedeagpd.gob.es 21/33 1. IBERSCOT aclara que no existe ninguna comunicación de datos con otras empresas, ya que actualmente no se puede solicitar el consentimiento desde su app. 2. IBERSCOT reconoce que recibe comunicaciones de datos desde el servicio de agregación de movilidad de Reby. En este caso, la comunicación se produce cuando el usuario autoriza de forma voluntaria la cesión de sus datos personales a través del servicio de agregación de Reby para poder conducir vehículos de IBERSCOT. o Consentimientos otorgados o no otorgados de 200 usuarios reales desde el 19/08/2020 hasta la fecha. 1. Se aportan capturas de pantalla de la base de datos de IBERSCOT donde constan los siguientes campos descriptivos: a. User_id: identificador del usuario. b. Consent_timestamp: momento en el que se obtiene el consentimiento. c. Consent_from: vía por la que se obtiene el consentimiento. Dentro del mismo pueden aparecer los siguientes valores: i. Consent_from_co_app: consentimiento obtenido antes de la decisión de no compartir los datos personales entre los operadores de movilidad. ii. Consent_from_reby_app: consentimiento obtenido a través de la app de Reby. iii. Null-Other: usuarios que por ser únicamente usuarios de IBERSCOT, no han tenido que facilitar su consentimiento. En relación con los acuerdos de encargo del tratamiento: 1. Se aportan copia del acuerdo de encargo del tratamiento suscrito por IBERSCOT (responsable del tratamiento) y Reby Rides, S.L. (encargado del tratamiento), en fecha 17/02/2020. En el acuerdo se estipula que el encargado del tratamiento ejecutará los siguientes servicios, entre otros: la prestación del servicio de la plataforma y App al responsable del tratamiento y servicios de mantenimiento de la Plataforma y de la App. 3) Con fecha 04/05/2022, esta Agencia recibe respuesta elaborada por IBERSCOT a un segundo requerimiento de información de fecha 11/04/2022: En relación con el funcionamiento de la APP de IBERSCOT: o Compartición de datos con otros Operadores: 1. IBERSCOT confirma que los operadores de movilidad entre los que se compartían los datos eran REBY, OIZ, IBERSCOT, AVANT y TUCYCLE. En concreto, los siguientes: nombre, apellidos, teléfono móvil, correo electrónico, DNI o pasaporte, Carné de conducir y token de pago. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/33 2. IBERSCOT aclara que la compartición de datos personales se inició el 04/08/2020 y finalizó el 16/08/2021. 3. En relación con las medidas de seguridad implantadas para impedir que un operador acceda a los datos de un usuario registrado en IBERSCOT cuando dicho usuario no prestó su consentimiento para ello. Como respuesta a esta cuestión, la citada entidad informó como sigue: “La base principal es que la interfaz con el usuario (frontend) y la plataforma de gestión de datos (backend) se comuniquen de forma segura y garanticen la seguridad. Para garantizar estos puntos, en IBERSCOT se dispone de un método basado en la generación de un token de sesión que se genera cada vez que un usuario inicia sesión en IBERSCOT. Este token de sesión se genera en el momento de identificar al usuario y, relaciona de forma inequívoca, al usuario con una compañía. Es decir, el token de sesión de una misma persona en diferentes operadores es distinto. El token de sesión se pasa como header http en todas las peticiones al API que realiza la app de IBERSCOT contra el backend. El backend consulta la validez del token y rechaza la conexión si la validación falla. En caso de que el token se considere correcto, un mecanismo automático inyecta el identificador de usuario y de la compañía IBERSCOT en el contexto de la petición http del backend. Todos los flujos de ejecución del backend usarán el identificador de usuario y compañía inyectado en el contexto cada vez que haya que realizar una consulta sobre la base de datos. El mecanismo de contexto está construido sobre la librería nativa “context” del lenguaje de programación Go. (https://pkg.go.dev/context). Por ello, tenemos absoluta confianza en que los contextos están perfectamente aislados entre las diferentes llamadas al API. Por ello, se garantiza que la información relativa a un usuario en una compañía no se mezcle con otra compañía. Por ejemplo, cuando una persona en IBERSCOT solicita ver su historial de viajes o historial de pagos, la información que se devuelve es relativa al token de sesión, que intrínsecamente contiene el identificador del usuario y compañía sobre los que se solicita información.” o Consentimientos otorgados hasta el momento: 1. IBERSCOT informa que un total de 505 usuarios se dieron de alta inicialmente en su app y, posteriormente, fueron importados por otros operadores cuando el usuario hubiera dado su consentimiento. 2. IBERSCOT confirma que el consentimiento tipo “consent-from-co-app” es la denominación actual que se da a los consentimientos anteriores al cambio llevado a cabo el 16/08/2021. Según IBERSCOT, la finalidad de ese consentimiento era “verificar si el usuario ya estaba registrado en alguno de los otros operadores de movilidad colaboradores del servicio de agregación. Si este C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/33 usuario ya estuviera registrado en otro de los operadores de movilidad, se pasaba a importar sus datos con el único propósito de facilitar el proceso de registro.” 3. Aporta capturas de pantalla del proceso de registro en la antigua versión de la app correspondientes al consentimiento referido. En la primera de las pantallas constan dos check box con los textos siguientes: “( )Trate mis datos para la prestación del servicio contratado según los términos y condiciones y política de privacidad que he leído y acepto” ( ) Consiento que Iberscot compruebe si ya estoy registrado/a en otras plataformas de movilidad colaborativa para facilitar el proceso de registro.” Y un botón “Continuar” en la parte inferior de la pantalla. En la segunda pantalla se informa: “¡Ya queda poco! Tras comprobarlo, hemos detectado que ya te has registrado en [Incluir nombre del Operador]. Aceptas que este nos comunique a Iberscot los siguientes datos para agilizar el proceso de registro, con el fin de prestarte nuestros servicios: nombre, apellidos, email, DNI/ Carnet de conducir/Pasaporte, token de pago. Te recordamos que puedes ejercitar tus derechos según se describe en nuestra Política de Privacidad.” Al final de la pantalla se ofrece al usuario las opciones “Volver a registrarme” y “¡Entendido!”. 6) Mediante diligencia realizada por esta Agencia en fecha 27/06/2022, se incorpora Anuncio del Decreto de Alcaldía (21/D/2019-2142), de 10/10/2019, por el que se convoca el procedimiento de otorgamiento de licencias temporales del uso común especial del dominio público para el estacionamiento de bicicletas, ciclomotores y motocicletas de uso compartido en régimen de explotación económica en el término municipal de Barcelona. OCTAVO: Mediante Resolución de fecha 14/10/2022 se declaró la caducidad de las actuaciones previas de investigación reseñadas en el punto quinto, del apartado “Hechos”, por el transcurso del plazo de doce meses contados desde la admisión a trámite de la reclamación sin que se hubiese dictado acuerdo de inicio de procedimiento sancionador. En la misma resolución indicada se acordó, asimismo, abrir nuevas actuaciones de investigación e incorporar a estas nuevas actuaciones la documentación que integra las actuaciones previas que se declaran caducadas. NOVENO: En las nuevas actuaciones previas de investigación acordadas: 1) Mediante diligencia realizada por esta Agencia en fecha 27/02/2023, se comprueba que, tras intentar un alta de usuario en la app de IBERSCOT e introducir el número C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/33 móvil aceptando las condiciones, no se recibe SMS necesario para continuar con el proceso de alta. Se aportan capturas de pantalla. 2) Con motivo del escrito y reclamación reseñados en el punto primero y tercero, en el apartado “Hechos”, también se llevaron a cabo actuaciones previas de investigación ante la entidad REBY, en el marco de las cuales se realizó una inspección en fecha 07 y 08/03/2023. Durante esta inspección, los representantes de la citada entidad realizaron las manifestaciones siguientes, que constan recogidas en el Acta de Inspección respectiva, la cual fue suscrita por todos los intervinientes: “2.1. Que proporcionan toda la plataforma tecnológica, incluido el desarrollo de la APP móvil y la base de datos asociada, a los operadores ECO-LÓGICA TURISMO SOSTENIBLE, S.L. (en adelante IBERSCOT), OIZ RIDESHARING, S.L. (en adelante OIZ), TUCYCLE BIKESHARING, S.L. (en adelante TUCYCLE) y AVANT FULLSTEP, S.L. (en adelante AVANT) los cuales prestan un servicio de movilidad en la ciudad de Barcelona. (…). 2.2. Que respecto a si los operadores IBERSCOT, OIZ, TUCYCLE, AVANT siguen dando servicio manifiestan que ya no dan servicio desde el 16 de febrero de 2023. 2.3. (…). 2.4. Que actualmente REBY ha cesado completamente su actividad. 2.5. En relación con los contratos del servicio de la plataforma tecnológica y APP, incluyendo el servicio de agregación, prestada por REBY a los operadores aporta dichos contratos, los cuales se adjuntan al presente Acta como Doc 3. 2.6. Que no tienen conocimiento de que los operadores puedan tener contratos de colaboración entre ellos en el contexto del servicio que presta REBY. 2.7. Que solo existe un contrato de encargo del tratamiento por parte de REBY, que es el que ya han facilitado a la Agencia con anterioridad. En relación al acceso de los operadores a la base de datos y herramientas asociadas de consulta a la base de datos manifiestan: 2.8. Que REBY solo proporcionaba a cada operador informes con datos agregados o estadísticos de uso de la flota del operador en cuestión. Que no pueden aportar ninguna petición de los operadores relativa a esos informes. 2.9. (…). 2.10. Que a las herramientas de consulta de base de datos (…) sí tenían acceso directo los respectivos operadores. Sin embargo, a través de estas herramientas solo tenían acceso a sus propios usuarios. 2.11. (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/33 […] En relación a la compartición de datos entre todos los operadores: 2.14. Que todas las tablas de la base de datos son comunes a todos los operadores. 2.15. Que la persona que accede a los datos en REBY como prestador de servicios a los operadores es la misma que accede por parte de REBY prestando sus servicios en calidad de operador independiente. 2.16. Que con anterioridad a agosto 2021 solo existía 1 registro en base de datos por cada usuario. Que a dicho único registro accedían todos los operadores, aunque solo una vez que el usuario hubiera dado el permiso en la APP de cada operador. 2.17. Que con posterioridad a agosto 2021 existía en base de datos 1 registro por cada usuario y por cada operador en el que estuviera dado de alta. Que, en la migración, se tuvieron que replicar de forma forzada los registros únicos por usuario que existían previamente, tantas veces como operadores en los que se hubiera registrado. 2.18. Que, en potencia, y desde el punto de vista de los permisos de acceso a la base de datos, todas las APP de todos los operadores incluyendo a REBY, podían acceder a la base de datos completa tanto antes como después de agosto de 2021. En relación al consentimiento para la compartición de datos de los usuarios entre los operadores: 2.19. Que con anterioridad a agosto de 2021 no se permitía a un usuario registrarse si no daba el consentimiento para comprobar si su número de teléfono ya se había registrado con algún operador y, en caso afirmativo, para importar sus datos al operador en el que se está registrando. El motivo es porque solo existía un único registro por usuario en la base de datos al que necesitaban acceder todos los operadores. Un usuario se determina exclusivamente por el número de teléfono con el que se registraba. En el software no se podían definir distintos usuarios asociados a un mismo número de teléfono. 2.20. Que respecto a la primera pantalla de la App de los operadores donde consta: “Consiento que [OPERADOR] compruebe si ya estoy registrado/a en otras plataformas de movilidad colaborativa para facilitar el proceso de registro.” Que esa casilla había que marcarla forzosamente para continuar con el proceso de registro. 2.21. Que respecto a la segunda pantalla de la App de los operadores donde consta “Tras comprobarlo, hemos detectado que ya te has registrado en [incluir nombre del Operador]. Aceptas que este nos comunique a Iberscot los siguientes datos para agilizar el proceso de registro, con el fin de prestarte nuestros servicios: nombre, apellidos, email, DNI/ Carnet de conducir/Pasaporte, token de pago. Te recordamos que puedes ejercitar tus derechos según se describe en nuestra Política de Privacidad.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/33 Y constan dos opciones; una con el texto “Volver a registrarme” y otro de “¡Entendido!”. Que al hacer clic en “Entendido” sí se registraba un consentimiento. Si se hacía clic en “Volver a registrarme”, se volvía a la pantalla inicial donde se introduce el número de teléfono para recibir un sms. 2.22. Que no recuerda cómo era el proceso para el caso de la App de REBY. 2.23. Que con anterioridad a agosto de 2021, por tanto, los cinco operadores compartían de forma automática todos los datos de los usuarios registrados, si previamente estos habían dado consentimiento para importar sus datos, al existir 1 único registro en base de datos. 2.24. Que con anterioridad a agosto de 2021 la “importación” de datos desde otros operadores no era tal, sino que era realmente permitir el acceso al único registro de ese usuario existente en base de datos. 2.25. Que, con anterioridad a agosto de 2021, REBY también accedía al registro único de un usuario al igual que hacían el resto de operadores. Que desconocen dónde se encuentran los consentimientos del usuario para este acceso por parte de REBY. 2.26. Que, antes de agosto 2021, las App de todos los operadores, incluyendo REBY, funcionaban igual, que recuerden, es decir, si se quería dar de alta un usuario y ya estaba dado de alta en otro operador, pedían el consentimiento siempre. 2.27. Que antes de agosto de 2021, cuando un usuario hacía uso del servicio de agregación, REBY no cedía datos de ese usuario al operador del cual quería conducir el vehículo, asumiendo que ese usuario ya estuviera dado de alta en ese operador. Y que, en este caso, REBY, no recogía un nuevo consentimiento. Que no pueden aportar captura de pantalla de la app REBY con la interacción del usuario en este caso de uso por imposibilidad técnica. 2.28. Que, con posterioridad a agosto 2021, ya no se daba la opción de “importación” de los datos del usuario cuando un usuario estaba registrado en otro operador, por lo que el usuario debía de completar todo el proceso de registro. Que ningún operador pedía el consentimiento al usuario durante el proceso su registro, solo REBY para prestar el servicio de agregación. Que donde consten fechas del consentimiento posteriores a agosto 2021 es porque se refiere realmente a consentimientos dados desde app REBY por el uso del servicio de agregación. 2.29. Que la única tabla de la que tienen constancia que almacena consentimientos se llama (…). Que la descripción de campos de esta tabla es: id: identificador único del consentimiento timestamp: fecha del consentimiento y fecha en la que se crea el registro. origin_company_user_id: usuario que da el consentimiento (equivalente a su número de teléfono) destination_company:id: compañía a la que se le da el consentimiento para que acceda a los datos. type: desconocen su significado y siempre tiene el valor 1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/33 2.30. Que desconocen dónde se encuentran los consentimientos dados desde la app REBY. […]”. Durante la inspección indicada, los Servicios de esta Agencia accedieron a la base de datos que soporta el servicio de movilidad prestado por la propia REBY como operador, el servicio de agregación de movilidad que presta REBY, como también soporta la plataforma tecnológica y App móvil con la que operan el resto de operadores. Mediante este acceso se comprueba: 1. Que el número total de usuarios son: REBY IBERSCOT OIZ TUCYCLE AVANT 1,034,859 13,023 14,657 10,604 15,557 2. Que los datos asociados a un usuario dado de alta con posterioridad a agosto de 2021 en los distintos operadores, excluyendo REBY, pueden variar, incluyendo el token de pago y el saldo. 3. Que existen consentimientos en la tabla de consentimientos (…) para los operadores TUCYCLE, AVANT, OIZ, IBERSCOT. Se comprueba que no consta registros asociados a REBY. 4. Que la fecha de consentimiento más antigua es 29/05/2020 08:44. 5. Se comprueba que: a. Para el operador AVANT el primer consentimiento consta de fecha 29/05/2020 y el último de fecha 14/02/2023. b. Que el consentimiento más antiguo dado desde IBERSCOT es en fecha 30/06/2020 y el más reciente es en fecha 12/02/2023. c. Que el consentimiento más antiguo dado desde OIZ es en fecha 30/06/2020 y el más reciente es en fecha 12/02/2023. d. Que el consentimiento más antiguo dado desde TUCYCLE es en fecha 30/06/2020 y el más reciente es en fecha 13/02/2023. 6. Que la forma de conocer a qué operadores ha cedido los datos un operador en cuestión, o siquiera si los ha cedido o no, es con el siguiente procedimiento: Para un usuario concreto, hay que buscar en la tabla de sesiones las primeras sesiones de ese usuario para cada operador, es decir, cuándo fue la primera vez que ese usuario utilizó la app de cada operador. Si la primera sesión de todas es del operador en cuestión, se infiere que ha debido “ceder” los datos al resto de operadores cuya primera sesión para ese usuario son posteriores. Se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/33 comprueba que la fecha de la primera sesión en un operador coincide con la fecha del consentimiento dado desde ese operador. 3) Mediante diligencia realizada por esta Agencia en fecha 24/03/2023, se comprueban las distancias entre distintas coordinadas geográficas. En el correspondiente informe de actuaciones previas de investigación, los Servicios de Inspección de esta Agencia concluyen lo siguiente: “3. Se comprueba que actualmente ni la App REBY ni la App IBERSCOT permiten el registro de nuevos usuarios. REBY manifiesta que actualmente ha cesado completamente su actividad y que está en situación preconcursal. No se ha podido constatar, por no haberse requerido, la situación actual de IBERSCOT en este sentido. 4. En relación a la compartición de datos entre operadores y al consentimiento, REBY manifiesta que: a. Con anterioridad a agosto de 2021, solo existía un único registro por cada usuario, al que tenían acceso todos los operadores. Por tanto, se compartía de forma completa y en todo momento todos los datos asociados al usuario, entre todos los operadores, entre otros, nombre, apellidos, teléfono móvil, email, DNI o pasaporte, Carnet de conducir, token de pago, saldo. b. Con anterioridad a agosto de 2021, el consentimiento que da el usuario no es para importar datos pues nada se importa, es para acceder al registro único del usuario. c. Que, con anterioridad a agosto de 2021, no se permitía a un usuario registrarse si no daba el consentimiento para comprobar si su número de teléfono ya se había registrado con algún operador y, en caso afirmativo, para “importar” sus datos al operador en el que se está registrando. Dado que IBERSCOT informa de que no pueden disponer de las versiones antiguas de su App por cuestiones técnicas, no se ha podido constatar si, para completar el registro en la App, era un requisito para el usuario otorgar el consentimiento para el cotejo de datos. d. La compartición de datos entre operadores comenzó, según manifiesta en fecha 04/08/2020, sin embargo se comprueba que el consentimiento más antiguo es de fecha 30/06/2020. También manifiesta que la compartición de datos existió hasta el 16 de agosto de 2021. Se ha constatado que, en una fecha posterior a agosto de 2021, la app IBERSCOT ya no recogía consentimientos. 8. Constan deficiencias en la información facilitada a los usuarios en la política de privacidad: a. En fecha de 10 de junio 2020 no informaban a los usuarios acerca de la compartición de datos con otros operadores ni cuáles eran. Consta que en fecha 25 de enero de 2021 sí informaban.” FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/33 I Competencia y normativa aplicable De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del RGPD confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la LOPDGDD, es competente para dictar la presente resolución la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Posibles infracciones Con fecha 06/11/2020, tuvo entrada en esta Agencia una reclamación dirigida contra las entidades TUCYCLE, AVANT, OIZ e IBERSCOT por la cesión de datos personales de los usuarios que se registran en las correspondientes "apps" móviles para acceder al servicio de alquiler de vehículos. En esta reclamación se advierte que cuando una persona se da de alta en una de las "apps" de estas entidades y posteriormente instala otra de ellas, la segunda reconoce al usuario y reutiliza los datos que le proporciona la otra "plataforma colaboradora", con la finalidad de "agilizar el proceso". En la misma reclamación se ponía de manifiesto que ninguna de estas entidades informaba al usuario que sus datos personales se compartían con terceras empresas, que se compartían entre las entidades mencionadas. Esta reclamación dio lugar a las actuaciones señaladas con el número E/10004/2020, en las que, mediante resolución de 25/02/2021, se acordó el archivo de la reclamación en cuestión por no proceder el inicio de un procedimiento sancionador al haber sido atendida la reclamación. El archivo de actuaciones se acordó después de seguir los trámites regulados en el artículo 65.4 de la LOPDGDD, previstos para evaluar si procede o no admitir a trámite la reclamación de que se trate. Este artículo dispone lo siguiente: “4. Antes de resolver sobre la admisión a trámite de la reclamación, la Agencia Española de Protección de Datos podrá remitir la misma al delegado de protección de datos que hubiera, en su caso, designado el responsable o encargado del tratamiento o al organismo de supervisión establecido para la aplicación de los códigos de conducta a los efectos previstos en los artículos 37 y 38.2 de esta ley orgánica. La Agencia Española de Protección de Datos podrá igualmente remitir la reclamación al responsable o encargado del tratamiento cuando no se hubiera designado un delegado de protección de datos ni estuviera adherido a mecanismos de resolución extrajudicial de conflictos, en cuyo caso el responsable o encargado deberá dar respuesta a la reclamación en el plazo de un mes”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/33 A su vez, el artículo 37 “Intervención del delegado de protección de datos en caso de reclamación ante las autoridades de protección de datos.” de la LOPDGDD citado en el precepto anterior establece: “1. Cuando el responsable o el encargado del tratamiento hubieran designado un delegado de protección de datos el afectado podrá, con carácter previo a la presentación de una reclamación contra aquéllos ante la Agencia Española de Protección de Datos o, en su caso, ante las autoridades autonómicas de protección de datos, dirigirse al delegado de protección de datos de la entidad contra la que se reclame. En este caso, el delegado de protección de datos comunicará al afectado la decisión que se hubiera adoptado en el plazo máximo de dos meses a contar desde la recepción de la reclamación. 2. Cuando el afectado presente una reclamación ante la Agencia Española de Protección de Datos o, en su caso, ante las autoridades autonómicas de protección de datos, aquellas podrán remitir la reclamación al delegado de protección de datos a fin de que este responda en el plazo de un mes. Si transcurrido dicho plazo el delegado de protección de datos no hubiera comunicado a la autoridad de protección de datos competente la respuesta dada a la reclamación, dicha autoridad continuará el procedimiento con arreglo a lo establecido en el Título VIII de esta ley orgánica y en sus normas de desarrollo. 3. El procedimiento ante la Agencia Española de Protección de Datos será el establecido en el Título VIII de esta ley orgánica y en sus normas de desarrollo. Asimismo, las comunidades autónomas regularán el procedimiento correspondiente ante sus autoridades autonómicas de protección de datos”. De acuerdo con lo señalado, el indicado mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos consiste en dar traslado de las mismas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, o a éstos cuando no los hubieren designado, para que procedan al análisis de las reclamaciones y a darles respuesta en el plazo de un mes. De este modo, cuando las acciones llevadas a cabo a la vista de la reclamación den respuesta a las cuestiones suscitadas por la parte reclamante y la entidad responsable adopte las medidas necesarias para adecuar su actuación a los requisitos previstos en la normativa de protección de datos, esta Agencia podrá acordar no continuar el procedimiento que sigue a la admisión a trámite, establecido en el Título VIII de la LOPDGDD, que contempla la posibilidad de realizar actuaciones previas y la incoación de un procedimiento sancionador, si procede. Así ocurrió en el precedente reseñado (E/10004/2020), en el que se acodó el archivo de la reclamación, considerando la respuesta dada por la entidad IBERSCOT. Según consta en la citada resolución de archivo de actuaciones, de fecha 25/02/2021, en su respuesta al trámite de traslado, de 11/02/2021, IBERSCOT informó que había C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/33 acometido modificaciones en sus políticas de privacidad para informar sobre la cesión de datos de los usuarios a terceras empresas colaboradoras con las que comparten plataforma. De igual manera, informó que estaba en proceso de incorporar en el proceso de alta de usuario en su aplicación móvil un mecanismo para recoger su consentimiento a la obtención de sus datos a partir de otras plataformas de movilidad colaborativa, con el propósito de facilitar el proceso de registro. Una vez analizadas las razones expuestas, se consideró que no procedía el inicio de un procedimiento sancionador, por cuanto la tramitación de la reclamación conforme a lo dispuesto en el artículo 65.4 de la LOPDGDD dio lugar a la solución de las cuestiones planteadas, sin necesidad de depurar responsabilidades administrativas en el marco de un procedimiento sancionador. Ello sin perjuicio de que la Agencia, aplicando los poderes de investigación y correctivos que ostenta, pueda llevar a cabo posteriores actuaciones relativas al tratamiento de datos referido en la reclamación. Poco tiempo después de dictarse la resolución que dio por finalizadas las actuaciones precedentes, el 12/03/2023 esta Agencia recibe escrito del AYUNTAMIENTO DE BARCELONA en el que se aporta informe técnico, de fecha 29/01/2021, de la Gerencia de Movilidad e Infraestructuras. En este escrito se informa de las mismas circunstancias de hecho ya analizadas en dicho precedente, en relación con la comunicación de datos de usuarios entre las distintas empresas que prestan servicio de bikesharing, por no informar a sus usuarios de tales comunicaciones y por no recabar su consentimiento. También se denuncia a una quinta empresa, Reby Rides, S.L., por la compartición de las bases de datos de los registros y usuarios sin consentimiento previo de los mismos. Además, los hechos que motivan el escrito en cuestión acontecieron en un periodo temporal anterior a que se dictase la resolución de archivo del expediente número E/10004/2020. En concreto, las comprobaciones se realizaron en las siguientes fechas: 10/08/2020, 26/10/2020 y 01/12/2020. Con posterioridad, se recibió en esta Agencia la reclamación formulada por A.A.A. en fecha 26/05/2021 contra las mismas entidades y Reby, en la que se vuelve a poner de manifiesto los mismos hechos, en concreto, la falta de información sobre las comunicaciones de datos de usuarios entre las distintas empresas, así como el no recabar su consentimiento. En ambos casos, se estimó oportuno admitir a trámite el escrito y reclamación presentados para llevar a cabo las comprobaciones oportunas respecto de las informaciones recibidas de IBERSCOT. Así, se acordó la apertura de actuaciones previas de investigación para comprobar si las medidas informadas por IBERSCOT en aquel precedente se implantaron efectiva y adecuadamente. Estas actuaciones han permitido constatar, efectivamente, las entidades implicadas compartieron los datos personales de los usuarios desde el inicio de su actividad en la ciudad de Barcelona en el verano de 2020, sin el consentimiento de los afectados y sin C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/33 informarles debidamente sobre dicho tratamiento de datos personales, que sí estaba previsto en su Registro de Actividades de Tratamiento. La entidad Reby, que proporcionaba la plataforma tecnológica necesaria para la prestación del servicio a los usuarios, ha reconocido que en la base de datos solo existía un registro por cada usuario, asociado a su número de teléfono, al que accedían todos los operadores. Esta entidad manifestó que ese acceso solo se realizaba cuando el usuario la hubiera consentido, pero también aclaró que no se permitía a un usuario registrarse si no prestaba su consentimiento para comprobar si su número de teléfono ya figuraba registrado con otro operador y, en caso afirmativo, para que el operador en el que se estaba registrando accediera al único registro de ese usuario existente en la base de datos; y que ello era debido a que el software no permitía definir distintos usuarios asociados a un mismo número de teléfono. En cuanto a la información ofrecida a los usuarios, los Servicios de Inspección comprobaron que inicialmente no se daba cuenta a los usuarios de esa “compartición” de datos con entidades de movilidad colaboradoras de IBERSCOT, aunque en las versiones de la Política de Privacidad de IBERSCOT de fechas 25/01/2021 y 19/05/2021 se incluyó el detalle de los destinatarios de la información. La primera de estas versiones es anterior a la resolución de archivo dictada en el expediente E/10004/2020 y al escrito del AYUNTAMIENTO DE BARCELONA, mientras que la segunda es simultánea a la presentación de la reclamación de A.A.A.. No obstante lo anterior, consta en las actuaciones que la entidad IBERSCOT informó a los Servicios de Inspección que, tras los requerimientos de esta Agencia y las modificaciones realizadas para simplificar los procedimientos, con fecha 16/08/2021 dejaron de comprobar si un usuario figuraba registrado en alguna de las otras entidades colaboradoras de movilidad y cesaron las comunicaciones de datos, no existiendo ninguna prueba de contrario al respecto. Por otra parte, los Servicios de Inspección comprobaron que, en una fecha posterior a agosto de 2021, la app móvil de IBERSCOT ya no recogía consentimientos, que durante el procedimiento de registro de un usuario no se requería la prestación del consentimiento para la comunicación de datos a terceros, sino únicamente para el tratamiento de datos necesario para la prestación del servicio; que su Política de Privacidad no contenía referencia alguna a la compartición de datos con otras empresas de movilidad colaboradoras; y que en su Registro de Actividad de Tratamientos, en la versión de agosto de 2021, desapareció el relativo a la comunicación de datos a “terceras empresas de movilidad que prestan sus servicios conjuntamente”. Puede concluirse, por tanto, que con las medidas indicadas IBERSCOT llevó a cabo la adecuación normativa exigida por esta Agencia. De acuerdo con lo expuesto, esta Agencia estima procedente acordar el archivo de las reclamaciones que han dado lugar a las presentes actuaciones, en relación con la entidad IBERSCOT. Se tiene en cuenta, asimismo, (
- i)que la compartición de datos denunciada había finalizado en el momento en que se admite a trámite la reclamación; y (
- ii)IBERSCOT C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/33 no presta servicio desde el pasado 16/02/2023, habiéndose comprobado que en la actualidad la app de IBERSCOT no permite registro de nuevos usuarios. Procede, por tanto, el archivo de las actuaciones, sin perjuicio de que la Agencia aplicando los poderes de investigación y correctivos que ostenta, pueda llevar a cabo posteriores actuaciones relativas al tratamiento de datos referido en la reclamación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR el presente acuerdo a ECO-LÓGICA TURISMO SOSTENIBLE, con NIF B70548375, a A.A.A. y al AYUNTAMIENTO DE BARCELONA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es