AI-00362-2022

1/34  Expediente N.º: EXP202306265 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES PRIMERO: Con fecha 12/03/2021, tuvo entrada en esta Agencia un escrito presentado por el AYUNTAMIENTO DE BARCELONA mediante el que informa que la actuación de AVANT FULLSTEP, S.L., con NIF B67468694 (en adelante, AVANT), puede dar lugar a un incumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal. Los motivos son los siguientes: “[…] I.- ANTECEDENTES. […] Entre otras, se adjudicaron un total de 1.392 licencias temporales de uso común especial del dominio público para el estacionamiento de ciclomotores y motocicletas de uso compartido en régimen de explotación económica al término municipal de Barcelona entre los cuatro operadores (Tucycle Bikesharing, SL, Avant Fullstep, SL , Eco-logica Turismo Sostenible, SL, Oiz Ridesharing, SL). […] 7. Las cuatro empresas Tucycle Bikesharing, SL, Avant Fullstep, SL , Eco-logica Turismo Sostenible, SL, Oiz Ridesharing, SL, también participaron en el procedimiento de otorgamiento a precario de licencias temporales y en consecuencia, presentaron declaraciones responsables en las que ratificaban su condición de empresas independientes, y se comprometían y aceptaban a cumplir con las condiciones y obligaciones de la convocatoria. Mediante este procedimiento, se adjudicaron un total de 854 licencias temporales de uso común especial del dominio público a los cuatro operadores. Así pues, los cuatro operadores son adjudicatarios de un total de 2.246 licencias temporales de uso común especial del dominio público para el estacionamiento de ciclomotores y motocicletas de uso compartido en régimen de explotación económica al término municipal del Barcelona. […] 9. En virtud del expuesto anteriormente, para operar al espacio público cada empresa dispone de una aplicación móvil para que los usuarios se puedan registrar y hacer uso del servicio de alquiler de bicicletas y motocicletas, que están estacionadas en el espacio público de Barcelona. En estas aplicaciones móviles, se han detectado los incumplimientos por parte de las cuatro empresas, dado que cuando una persona se registra en una de las aplicaciones de las cuatro empresas, la aplicación reconoce al usuario y comparte los datos entre las cuatro empresas, sin que el usuario se haya C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/34 dado de alta en el resto de las aplicaciones de las empresas o lo haya consentido (este punto se detalla más adelante). Adicionalmente, debemos añadir a otra empresa, REBY RIDES S.L, que no es adjudicataria de licencias, pero que en las actas de inspección de fecha 1 de diciembre de 2020 e informe de la Gerencia de Movilidad e Infraestructuras de 29 de diciembre de 2020 y que luego se menciona, se demuestra que aparentemente, también facilita el alquiler de las motocicletas de las cuatro empresas anteriores en su aplicación móvil , y en consecuencia facilita los datos de los usuarios registrados en las aplicaciones anteriores, sin consentimiento previo de los usuarios. 10. En fecha 27 de agosto de 2020 y 14 de septiembre de 2020, YEGO URBAN MOBILITY (adjudicataria definitiva de licencias) envió correos electrónicos a la corporación en los que avisaba que había detectado determinadas prácticas efectuadas por los cuatro adjudicatarios definitivos de licencias que podrían suponer una vulneración de la normativa de protección de datos en relación con el Decreto de regulación y del decreto de convocatoria. 11. Por este motivo, el Ayuntamiento de Barcelona efectuó las propias comprobaciones en fecha 19 de agosto de 2020 y se emitió un acta de inspección en la que se recogían los incumplimientos detectados (…). 12. Así mismo, en fecha 6 de octubre de 2020 esta Dirección recibió escrito de la empresa CITYSCOOT ESPAÑA, S.L., adjudicataria de licencias, en el que manifestaba que determinadas prácticas efectuadas por los cuatro operadores y adjudicatarios definitivos de licencias (Tucycle Bikesharing, SL, Avant Fullstep, SL , Eco-logica Turismo Sostenible, SL, Oiz Ridesharing, SL) podrían suponer una vulneración de la normativa de la competencia así como de la normativa de protección de datos (…). 13. A la vista del expuesto, la Gerencia de Movilidad e Infraestructuras, nuevamente efectuó sus comprobaciones y en fecha 26 de octubre de 2020 se procedió a comprobar personalmente y directamente por las funcionarias y funcionarios municipales las mencionadas actuaciones realizadas por Tucycle Bikesharing, SL, Avant Fullstep, SL, Eco-logica Turismo Sostenible, SL, Oiz Ridesharing, SL y en consecuencia, se emitieron cuatro actas de inspección que se adjuntan como ANEJOS 4, 5, 6 y 7 respectivamente, en las que se pone de manifiesto determinadas actuaciones que podrían ser constitutivas de una infracción de la normativa de la protección de datos y que se detallan a continuación. Se adjunta como ANEJO 8 acta de inspección emitida en data 1 de diciembre de 2020 en la que se demuestra que aparentemente, REBY RIDES, empresa que no dispone de licencias ni se ha presentado al procedimiento, también facilita el alquiler de las motocicletas de las cuatro empresas anteriores en su aplicación móvil, y en consecuencia facilita los datos de los usuarios registrados en las aplicaciones anteriores, sin consentimiento previo de los usuarios. […] IV.- OBJETO DE LA DENUNCIA. […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/34 En las inspecciones realizadas el pasado 26/10/2020 se comprueba que cuando un usuario se registra a la aplicación de Iberscot, queda automáticamente registrado a las aplicaciones de Oiz, Tucycle y Avant, y así lo indican en la misma aplicación, al no requerir nuevamente la documentación necesaria para realizar el registro del nuevo usuario, y con el siguiente mensaje que constan en los pantallazos de las Actas: “Ya estás registrado! Hemos detectado que ya te has registrar a otra plataforma colaboradora. Utilizaremos los datos que has añadido para agilizar el proceso”. (…) En las Inspecciones realizadas el 26/10/2020 se comprueba que introduciendo 10€ en la aplicación de Avant, que se suman a los 22 céntimos previos de la cuenta, y realizando un viaje con esta misma aplicación, el saldo se ve reducido en 66 céntimos, pasando de 10,22€ a 9,56€. (…). Indicar que el saldo, una vez introducidos los 10€ en la cartera de la aplicación de Avant, en el caso de la cartera de la empresa OIZ, se añade 1 euro adicional de regalo a la cuenta como indica la promoción de la propia aplicación (enmarcado en verde a la captura). A la vez, se comprueba que habiendo realizado únicamente un viaje con la empresa Avant con un cargo de 66 céntimos, se reducen las cuentas de las otras tres empresas también en 66 céntimos (ver Anejos 4, 5, 6 y 7). Se comprueba como con las otras tres empresas, Oiz, Tucycles y Iberscot, no se han realizado viajes. Aun así, el saldo en cartera también ha disminuido (…). 3. En la política de privacidad de las empresas, se informa a los usuarios que se comparten los datos personales con las entidades del mismo grupo (…). Así mismo, en relación con el Informe de Inspección del pasado 1 de diciembre de 2020 relativo a la empresa externa REBY RIDES, S.L. se comprueba que: Que las empresas Avant, Oiz, Tucycle y Iberscot, comparten las bases de datos de los registros y usuarios con una quinta empresa: REBY RIDES SL (empresa externa que no ha resultado adjudicataria de licencias). […]” Junto a la reclamación aporta la siguiente documentación: - Copia del Decreto de Alcaldía de 04/07/2019 por el que se aprueba la regulación sobre el número y las condiciones de las licencias temporales de uso común especial del dominio público para el estacionamiento de bicicletas, ciclomotores y motocicletas de uso compartido en régimen de explotación económica al término municipal de Barcelona (BOPB 8/8/2019). - Copia del Decreto de Alcaldía de 10/10/2019 por el que se aprueba la convocatoria del procedimiento por el otorgamiento de las licencias temporales de uso común especial del dominio público para el estacionamiento de bicicletas, ciclomotores y motocicletas de uso compartido en régimen de explotación económica al término municipal de Barcelona, (BOPB 11/10/2019). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/34 - Copia del Acta de inspección emitida por el AYUNTAMIENTO que recoge las comprobaciones realizadas en fecha 19 y 26/08/2020, 26/10/2020 y 01/12/2020, en relación con las siguientes entidades: Tucycle Bikesharing, S.L., Avant Fullstep, S.L., Eco-logica Turismo Sostenible, S.L., Oiz Ridesharing, S.L. y Reby Rides, S.L. - Copia de las Declaraciones Responsables firmadas por las siguientes entidades: Tucycle Bikesharing, S.L., Avant Fullstep, S.L., Eco-logica Turismo Sostenible, S.L., Oiz Ridesharing, S.L.. en las que declaran expresamente que cumplen con las condiciones y obligaciones de la convocatoria. - Copia de las Declaraciones Responsables de aceptación de las condiciones para participar en el procedimiento de otorgamiento a precario de las licencias temporales de uso común especial del dominio público para el estacionamiento de bicicletas, ciclomotores y motocicletas de uso compartido en régimen de explotación económica en Barcelona vacantes, firmadas por Tucycle Bikesharing, S.L., Avant Fullstep, S.L., Eco-logica Turismo Sostenible, S.L., Oiz Ridesharing, S.L. - Copia del informe técnico, de fecha 29/01/2021, emitido por la Gerencia de Movilidad e Infraestructuras, en el que solicita poner en conocimiento de las autoridades competentes en materia de protección de datos el análisis recogido en su informe y en las actas, a fin que se puedan iniciar las correspondientes investigaciones, y caso que se confirme una vulneración de la normativa por parte de Avant Fullstep SL (Avant), Oiz Ridesharing SL (Oiz), Tucycle Bikesharing SL (Tucycle) y Eco-logica Turismo Sostenible SL (Iberscot), solicita iniciar el correspondiente expediente de revocación de licencias y la adopción de las correspondientes sanciones o medidas necesarias. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 19/04/2021 se dio traslado de dicha reclamación a AVANT, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 27/04/2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 27/05/2021, se recibe en esta Agencia escrito de respuesta en el que manifiesta: “[…] III. Que, previo al análisis por puntos de las actuaciones llevadas a cabo por Avant de manera proactiva frente a la presente reclamación, consideramos de gran relevancia indicar a la AEPD que Avant es una empresa dedicada a la movilidad sostenible, que opera el servicio de alquiler compartido (“sharing”) de ciclomotores eléctricos en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/34 mercado español. Para ello, Avant pone a disposición de sus usuarios una App en la que permite que los mismos se registren, visualicen los diferentes vehículos georeferenciados en el mapa de la ciudad, los reserven para finalmente poder desplazarse, terminar su trayecto en el punto habilitado que deseen y abonar el precio del servicio utilizado. A la vista del tratamiento de datos que efectúa Avant para poder ofrecer su servicio, y en calidad de responsable del tratamiento de los mismos, dispone de la oportuna política de protección de datos configurada por medio de los diferentes textos legales, a disposición del usuario en todo momento y en cuanto procede a iniciar su registro; así como de un proceso de registro informado por capas, con tal de dar cumplimiento a las obligaciones de información y transparencia al usuario. IV. Que, una vez descrita cuál es la actividad económica de Avant y el tratamiento de datos que lleva a cabo, convenimos poner de manifiesto ante la AEPD, cuál es la circunstancia en la que se produce el requerimiento por la parte reclamante. En primer lugar, que Avant recibió un primer requerimiento con número E/10004/2020 el pasado mes de diciembre de 2020. En dicho requerimiento, se solicitaba a Avant que aportase y explicase cuál es el tratamiento de los datos que realiza para con sus usuarios, y si cumple con la ley vigente en la materia. Tras recibir la Agencia las alegaciones de Avant, de hacer un análisis de estas y considerarlas, procedió al archivo de dicho requerimiento. […] Esta segunda revisión que Avant ha llevado a cabo ha sido una ocasión para realizar algunas correcciones sobre pequeños errores: - Los usuarios de Avant pueden consultar tanto los Términos y Condiciones, como la Política de Privacidad en las diferentes plataformas, es decir, tanto desde la aplicación como desde la web corporativa. Sin embargo, aun estando disponibles, mediante la revisión realizada hemos facilitado la accesibilidad de estos textos legales a los usuarios. En concreto, se ha añadido un enlace directo desde la web que permite acceder de forma más clara a los Términos y Condiciones, así como a la Política de Privacidad. Facilitamos, a continuación, una captura de la web de Avant en la que se pueden ver los cambios realizados. - Avant ha corregido algunos fallos técnicos y de configuración como son: la activado el enlace del texto legal de Política de Privacidad en el que se puede acceder a la información de cuales son las plataformas de movilidad colaboradoras en la ciudad de Barcelona, y la eliminación del último párrafo duplicado. - Otra de las actualizaciones y mejoras que Avant ha aprovechado para realizar es añadir en los Términos y Condiciones algunos aspectos relacionados con los servicios prestados. Se ha incluido más detalladamente el coste de determinados servicios, como puede ser el coste por el servicio de grúa, o detallar que no se permite el uso del servicio de Avant con un permiso de conducción provisional. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/34 […] VII. Sobre los hechos que motivan la reclamación. - Funcionamiento de Avant a través de la aplicación y en relación con la plataforma de agregación. Como hemos expuesto en el punto III, Avant es una empresa dedicada a la movilidad sostenible, que opera el servicio de alquiler compartido (“sharing”) de ciclomotores eléctricos en el mercado español. Avant ofrece dicho servicio a través de varias plataformas entre las que se encuentran: la app SMOU, ofrecida por la empresa municipal BARCELONA DE SERVICIOS MUNICIPALES, SA (B:SM) y la app de Reby, que es la que nos concierne por las alegaciones planteadas en la presente reclamación. Reby Rides S.L. ofrece un servicio de agregación a Avant a través de su App móvil, plataforma Mobility as a Service o MaaS. De esta manera los usuarios de la aplicación de Reby pueden geolocalizar y alquilar diferentes vehículos de movilidad compartida, entre los que se encuentran los de Avant. Para que el usuario pueda hacer uso del servicio es necesario que: 1. El usuario se debe dar de alta en la plataforma de Reby, donde da el consentimiento para que Reby haga tratamiento de sus datos personales. 2. Si el usuario quiere hacer uso de los servicios de alguno de los otros operadores integrados en la app, como es Avant, tendrá que darse de alta como usuario del operador previamente. Para facilitar este proceso de registro de los usuarios de la plataforma MaaS de Reby en Avant, se le solicita al usuario que dé previamente su consentimiento para que Reby comunique a Avant determinados datos personales. Por otra parte en el apartado de obtención de datos personales de la Política de Privacidad de Avant , tal y como la propia Agencia pudo constatar, se contempla el supuesto de recibir los datos procedentes de terceras empresas colaboradoras, tales como Reby, siempre bajo autorización del interesado. Es decir, se actúa de tal manera que el usuario debe consentir siempre, de manera previa, la comunicación de sus datos a otros operadores de movilidad al contrario de lo alegado por el Ayuntamiento de Barcelona. (…) - Funcionamiento del sistema de pago de los usuarios de Avant a través de la aplicación y en relación con la plataforma de agregación. Avant informa a sus usuario, en los Términos y Condiciones, que los pagos de los usuarios se gestionan a través de la entidad Kernel Labs, S.L.U, con domicilio en Av. Meridiana, 89, Planta 4, CP 08026 de Barcelona, Identificación ES867169961, y que actúa en calidad de encargada de tratamiento. Que los pagos se gestionan a través del proveedor Kernel da mayores garantías ya que este cumple con los más altos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/34 estándares de seguridad y cuenta con la certificación de la Payment Card Industry (PCI DSS). Es decir, que los pagos se realicen a través de esta entidad externa permite que los datos vinculados al pago de los servicios sean tratados de manera segura y cumpliendo con la normativa. […] Como explicamos en la respuesta al requerimiento anterior de la Agencia, Avant comunica algunos de los datos personales del usuario, previo consentimiento, a otros operadores con los que mantiene una relación de colaboración. De entre los datos que se comunican se encuentra el “token” de pago del usuario, que es el acceso al código numérico o “wallet” en el que se almacena el crédito introducido por el usuario personalmente, que le pertenece exclusivamente a dicho usuario. Esta comunicación de datos se hace siempre con el expreso consentimiento previo del usuario. Respecto a la plataforma de agregación de Reby, una parte importante del valor añadido que aporta a los usuarios es que permite a éstos contratar los servicios de otros operadores, tales como Avant, sin tener que cambiar de aplicación. Además, permite consultar la información sobre los trayectos que los usuarios hayan realizado desde la aplicación en cualquiera de los operadores que han utilizado. Como hemos dicho, para poder utilizar el servicio de Avant desde la plataforma de agregación los usuarios se han dado de alta previamente en un proceso simplificado. Por otro lado, los usuarios de la plataforma de agregación pueden conocer el crédito disponible en su tarjeta digital y las cantidades facturadas por el uso de los servicios integrados en la plataforma. […]” Junto a la reclamación aporta la siguiente documentación: - Copia de la Política de Privacidad, de fecha 26/05/2021. Del contenido de este documento cabe destacar lo siguiente: “2. Somos el responsable del tratamiento de tus datos. El responsable del tratamiento de los datos del Usuario es Avant Fullstep, S.L (Avant), sociedad inscrita en el Registro Mercantil de Barcelona, con NIF B67468694. Los datos de contacto de Avant son los siguientes: o o Dirección postal: Passeig de Gràcia, 118 Plta. Principal 08002 (Barcelona). Correo electrónico: support@avant.fun 3. Obtención de datos. En Avant obtenemos los datos personales de nuestros usuarios por tres vías, que te indicamos a continuación. Cuando hayamos obtenido tus datos persoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/34 nales, los trataremos para llevar a cabo las finalidades indicadas en el punto 4º de la presente Política.

1. a)Datos introducidos por el propio Usuario. Recibimos y almacenamos toda la información que nos facilitas a través de tu cuenta de usuario. Las categorías de datos que se tratan son las siguientes: o o o o o Datos de identificación (nombre, apellidos, DNI o pasaporte); Teléfono; Dirección electrónica; Carnet de conducir; Datos económicos (datos de tarjeta de crédito).
2. a)Datos obtenidos durante el uso del servicio. Podremos obtener datos personales relacionados con el uso que haces de nuestros servicios, a través de nuestra App. Recopilaremos y almacenaremos de forma automática la información sobre la ubicación del vehículo, la ubicación del dispositivo, tu dirección IP, un histórico de los trayectos que realizas en nuestros vehículos, el código de identificación que te asignaremos internamente, fechas y horas en las que accedes a la App o el hardware, software y navegador de internet que utilizas, datos sobre el sistema operativo, así como la versión de la Aplicación y la configuración de idioma. En ningún caso Avant comercializará con terceros los datos recopilados.
3. b)Datos personales que proceden de terceras empresas colaboradoras. Al crear tu cuenta de Usuario, te pediremos permiso para verificar si ya estás registrado en otras plataformas de movilidad que colaboran con Avant para poder obtener los siguientes datos, necesarios para prestarte nuestros servicios: o o o o Datos de identificación (nombre, apellidos, DNI o pasaporte); Dirección electrónica; Carnet de conducir; Token de pago. El token es un código numérico único formado por dígitos similares que reemplaza los datos de la tarjeta de crédito durante la transacción. Por lo tanto, no se transmitirán los datos de tu tarjeta sino únicamente este código seguro. De esta forma, tu proceso de registro en nuestra App será mucho más ágil, ya que no tendrás que volver a introducir manualmente todos los datos. Avant solamente tendrá acceso a los datos que has informado a nuestros colaboradores en el caso de que nos des tu autorización previa. En ningún caso esos datos serán cotejados sin tu consentimiento. Puedes consultar la lista de plataformas de movilidad colaboradoras de Avant en la ciudad de Barcelona en este enlace. 7. Compartición de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/34 En Avant te garantizamos que tus datos personales nunca serán comercializados con terceros. Sin embargo, queremos explicarte que, algunos de tus datos podrán ser cedidos, de manera segura y acorde a nuestras obligaciones como responsables del tratamiento de los mismos, a terceros con los que trabajamos para facilitar y mejorar nuestros servicios. No realizamos transferencias internacionales de datos. Todos los datos que mantenemos están almacenados en servidores ubicados dentro del Espacio Económico Europeo, y que, por lo tanto, garantizan los niveles de protección adecuados según la normativa aplicable. Los Datos Personales del Usuario podrán ser cedidos a los siguientes destinatarios: C/ Jorge Juan, 6 28001 – Madrid o Entidades del Grupo Avant o que puedan llegar a ser miembros del Grupo en un futuro (entendiéndose por grupo de empresas conforme a lo dispuesto en el artículo 42 del Código de Comercio), o a cualquier tercero que adquiera la totalidad o una parte sustancial de los activos de Avant, con fines de gestión y administración del Grupo principalmente. o Administraciones Públicas, Juzgados y Tribunales: la información personal subministrada por los Usuarios se cederá a los organismos mencionados siempre que exista una disposición legal aplicable que obligue a Avant a asistir a estas entidades, para los fines propios de las mismas. También cederemos los datos facilitados por los Usuarios cuando consideremos que tal acción es razonablemente necesaria para cumplir con un proceso judicial; para contestar cualquier reclamación o demanda jurídica; o para proteger los derechos de Avant o de sus clientes y el público en general. o Proveedores que prestan servicios a Avant: terceras empresas prestadoras de servicios administrativos, contables, fiscales y de marketing y que tienen la condición de encargados del tratamiento. En cualquier caso, los terceros con los que se compartan determinados datos de carácter personal del Usuario habrán acreditado previamente la adopción de medidas adecuadas para la correcta protección de estos. Estos terceros proveedores de servicios tendrán acceso a la información personal necesaria para realizar sus funciones, pero no podrán utilizarla para otros fines. o Entidades de pago: Los pagos de los Usuarios se gestionarán de forma segura a través de la entidad Kernel Labs, S.L.U, con domicilio en Av. Meridiana, 89, Planta 4, CP 08026 de Barcelona, Identificación ES867169961. En ningún caso utilizarán los datos personales de los Usuarios para fines propios o distintos de la gestión de pagos encomendada por Avant. Disponemos de un contrato de confidencialidad firmado con esta entidad a tal efecto. www.aepd.es sedeagpd.gob.es 10/34 - o Autoridades de tráfico para fines de identificación del conductor en caso de infracción; o Entidades de movilidad colaboradoras de Avant: cuando introduces tus datos personales en la plataforma de la App de Avant, se te solicitará que autorices la cesión de dichos datos a terceras empresas colaboradoras con las que compartimos plataforma. El único objetivo de esta cesión es agilizar el proceso de registro en sus respectivas aplicaciones en caso de que desees registrarte y utilizar las mismas en un futuro. Está cesión solamente se producirá con el consentimiento previo y expreso del usuario. Las empresas colaboradoras de Avant son las indicadas en el apartado 3, de la presente Política de Privacidad.” Copia de la contestación de AVANT al traslado con número de referencia E/ 10004/2020 y la Resolución dictada por esta Agencia, en fecha 25/02/2021, por la que se acuerda proceder al archivo de actuaciones. TERCERO: Con fecha 26/05/2021, tuvo entrada en esta Agencia un escrito presentado por A.A.A. mediante el que formula reclamación contra AVANT, por la comunicación de datos de usuarios entre distintas empresas que prestan servicio de bikesharing sin informar a estos de tales comunicaciones y no recabar su consentimiento. En dicha reclamación se pone de manifiesto lo siguiente: La parte reclamante se registró como usuaria de OIZ en octubre de 2020, facilitando sus datos personales, fotografía de su DNI, carnet de conducir, un selfi y datos bancarios. Después del proceso de registro aceptó la política de privacidad, en la que se informa lo siguiente: “Los datos personales del usuario podrán ser cedidos a los siguientes destinatarios: Entidades del Grupo OIZ o que puedan llegar a ser miembros del grupo en un futuro (entendiéndose por grupo de empresas conforme a Io dispuesto en eI art. 42 del Código de Comercio), o a cualquier tercero que adquiera la totalidad o una parte sustancial de los activos de OIZ, con fines de gestión y administración del Grupo principalmente”. Con ese motivo contactó con el servicio de Atención al Cliente, que le informó sobre la cesión de sus datos personales a las siguientes entidades: Ecológica Turismo Sostenible, S.L. (IBERSCOT), Avant Fullstep, S.L. (AVANT), Reby Rides, S.L. (REBY) y TUCYCLE BIKE SHARING, S.L., con NIF B52553385 (TUCYCLE). Añade que accedió a las políticas de privacidad de todas las entidades indicadas, comprobando que ninguna informaba sobre los destinatarios de la comunicación de datos personales; que, en la actualidad, OIZ, AVANT y REBY siguen sin indicar a quién ceden los datos, mientras que TUCYCLE e IBERSCOT sí lo indican; y que no recibió información de OIZ sobre la modificación de la app y de su política de privacidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/34 Advierte que la nueva configuración de la app, al inicio del proceso de alta solicita el consentimiento del usuario para la cesión de sus datos personales a empresas colaboradoras, pero sin indicar los destinatarios y sin permitir completar el proceso de alta en caso de no prestar dicho consentimiento. La parte reclamante manifiesta que realizó el proceso de registro en la app de IBERSCOT, similar al de OIZ, con la misma sucesión de pantallas, datos solicitados, avisos, etc. Tras marcar la casilla de verificación, necesaria para continuar, recibió el mensaje siguiente: “Tras comprobarlo, hemos detectado que ya te has registrado en Oiz. Aceptas que este nos comunique a Iberscot los siguientes datos para agilizar el proceso de registro, con el fin de prestarte nuestros servicios: nombre, apellidos, email, DNI/ Carnet de conducir/Pasaporte, token de pago.” Aporta captura de pantalla en la que figura el texto anterior y dos botones: uno con el texto “volver a registrar” y otro con el texto “entendido”. Considera la parte reclamante que la información ha tenido que ser ya compartida, al menos parcialmente, para que IBERSCOT pueda saber que se dio de alta previamente en OIZ. Señala que probó a denegar el permiso pulsando el botón “volver a registrar” y comprueba que no puede introducir los datos sin autorizar la compartición, que al optar por “volver a registrar” la APP lleva de nuevo a la pantalla de inicio, donde comienza el mismo proceso, la misma verificación SMS y la misma pantalla. Sin pulsar la opción “Entendido” no se puede continuar el proceso. Que lo dicho es igual en el caso de OIZ, IBERSCOT, AVANT y TUCYCLE (aporta captura de pantalla con las opciones antes señaladas para la aceptación de los Términos y Condiciones y la Política de Privacidad, y para aceptar la comprobación del registro previo en otras plataformas), siendo algo distinto en el caso de REBY. Al entrar en IBERSCOT comprueba que ya están volcados todos sus datos (aporta captura de pantalla con los datos relativos a nombre, apellidos, mail, número de teléfono, dirección y tarjeta bancaria). Posteriormente, añadió saldo en IBERSCOT para empezar a utilizarla y dicho saldo se actualizó también en la app de OIZ y el resto de compañías indicadas (aporta captura de pantalla con la actualización del saldo en OIZ). Junto a la reclamación aporta, entre otra, la siguiente documentación: - Capturas de pantalla de la conversación que mantuvo la parte reclamante con el departamento de “Atención al cliente” de la aplicación OIZ a lo largo del mes de octubre de 2020; tras haber solicitado información sobre las entidades cesionarias de sus datos personales. De las respuestas ofrecidas por OIZ destacamos las siguientes: “… Somos varias empresas que trabajamos juntos, prestamos el mismo servicio y colaboramos entre sí para beneficio del cliente. En caso de que se com- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/34 parta información del cliente de una empresa a otra siempre le pedirá su autorización y consentimiento para hacerlo… Los datos nunca son cedidos a ninguna empresa que el usuario no haya dado su consentimiento…”. “Las empresas son las siguientes. Reby, OIZ, Iberscot, Tucycle y Avant”. “Se trata de una colaboración para ofrecer un servicio más cómodo; de forma que si te descargas la app de cualquiera de estas empresas, ya no necesitas validar tu información en cada una de ellas”. - Dos capturas de pantalla de las apps de IBERSCOT y OIZ, ambas con la misma estructura e información. En esta pantalla se requiere al usuario un número de línea de telefonía y se ofrecen dos casillas para marcar sendas opciones con el siguiente texto: “Continuando confirmo que tengo 18 años o más y que acepto que… (nombre de la entidad: OIZ o IBERSCOT), en su condición de responsable del tratamiento ( ) Trate mis datos para la prestación del servicio contratado según los Términos y Condiciones y Política de Privacidad que he leído y acepto” ( ) Consiento que… (nombre de la entidad: OIZ o IBERSCOT) compruebe si ya estoy registrado/a en otras plataformas de movilidad colaborativa para facilitar el proceso de registro”. En ambas capturas de pantalla aparecen marcadas las dos opciones y el botón “Continuar” activado. - Copia del apartado relativo a la cesión de datos de las Políticas de Privacidad de las entidades cesionarias. El contenido de la política de AVANT (https://avant.fun/pp/) es el siguiente: “7. ¿Compartimos tus Datos Personales con terceros?  Sí, Compartimos tus Datos Personales (
4. i)con otras entidades del grupo AVANT FULLSTEP, (
5. ii)con proveedores externos que nos ayundan con diferentes cuestiones relacionadas con el servicio y (iii) con autoridades u organismos públicos. En algunos casos, estos terceros están ubicados fuera de la Unión europea, pero las transferencias de tus Datos Personales se realizan con garantías adecuadas: o hemos firmado con estas entidades Cláusulas Contractuales Tipo aprobadas por la Comisión europea o bien están adheridas al Privacy Shield. CUARTO: Con fecha 11/06/2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/34 QUINTO: Con fecha 18/06/2021, esta Agencia accede a la Política de Privacidad de AVANT, disponible en la dirección web https://avant.fun/pp/. Del contenido de este documento cabe destacar lo siguiente: “3. Obtención de datos. En Avant obtenemos los datos personales de nuestros usuarios por tres vías, que te indicamos a continuación. Cuando hayamos obtenido tus datos personales, los trataremos para llevar a cabo las finalidades indicadas en el punto 4º de la presente Política. 1. Datos introducidos por el propio Usuario. (…) 2. Datos obtenidos durante el uso del servicio. (…) 3. Datos personales que proceden de terceras empresas colaboradoras. Al crear tu cuenta de Usuario, te pediremos permiso para verificar si ya estás registrado en otras plataformas de movilidad que colaboran con Avant para poder obtener los siguientes datos, necesarios para prestarte nuestros servicios: - Datos de identificación (nombre, apellidos, DNI o pasaporte); - Dirección electrónica; - Carnet de conducir; - Token de pago. El token es un código numérico único formado por dígitos similares que reemplaza los datos de la tarjeta de crédito durante la transacción. Por lo tanto, no se transmitirán los datos de tu tarjeta sino únicamente este código seguro. De esta forma, tu proceso de registro en nuestra App será mucho más ágil, ya que no tendrás que volver a introducir manualmente todos los datos. Avant solamente tendrá acceso a los datos que has informado a nuestros colaboradores en el caso de que nos des tu autorización previa. En ningún caso esos datos serán cotejados sin tu consentimiento. Las plataformas de movilidad colaboradoras de Avant en la ciudad de Barcelona Se pueden consultar aquí”. 7. Compartición de datos. En Avant te garantizamos que tus datos personales nunca serán comercializados con terceros. Sin embargo, queremos explicarte que, algunos de tus datos podrán ser cedidos, de manera segura y acorde a nuestras obligaciones como responsables del tratamiento de los mismos, a terceros con los que trabajamos para facilitar y mejorar nuestros servicios. No realizamos transferencias internacionales de datos. Todos los datos que mantenemos están almacenados en servidores ubicados dentro del Espacio Económico Europeo, y que, por lo tanto, garantizan los niveles de protección adecuados según la normativa aplicable. Los Datos Personales del Usuario podrán ser cedidos a los siguientes destinatarios: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/34 - Entidades del Grupo Avant o que pueden llegar a ser miembros del Grupo en un futuro (…). Administraciones Públicas, Juzgados y Tribunales (…). Proveedores que prestan servicios a Avant (…). Entidades de pago (…). Autoridades de tráfico (…). Entidades de movilidad colaboradoras de Avant: cuando introduces tus datos personales en la plataforma de la App de Avant, se te solicitará que autorices la cesión de dichos datos a terceras empresas colaboradoras con las que compartimos plataforma. El único objetivo de esta cesión es agilizar el proceso de registro en sus respectivas aplicaciones en caso de que desees registrarte y utilizar las mismas en un futuro. Está cesión solamente se producirá con el consentimiento previo y expreso del usuario. Las empresas colaboradoras de Avant son las indicadas en el apartado 3, de la presente Política de Privacidad.” En la misma fecha del 18/06/2021 se comprobó, asimismo, que en la url ***URL.1 constan las “Plataformas de movilidad colaboradoras de AVANT en la ciudad de Barcelona”: AVANT FULLSTEP, S.L.., ECOLÓFICA TURISMO SOSTENIBLE, S.L., OIZ RIDESHARING S.L., REBY RIDES S.L. y TUCYCLE BIKE SHARING, S.L. SEXTO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 05/07/2021 se dio traslado de dicha reclamación a AVANT, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 05/07/2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 05/08/2021, se recibe en esta Agencia escrito de respuesta en el que manifiesta: “[…] IV. Sobre la actividad económica y el tratamiento de datos de Avant. Avant es una empresa dedicada a la movilidad sostenible, que opera el servicio de alquiler compartido (“sharing”) de ciclomotores eléctricos en el mercado español. En concreto, ha sido adjudicataria de un número determinado de licencias temporales de uso común especial del dominio Pág: 808 público para el estacionamiento de ciclomotores de uso compartido en la ciudad de Barcelona. Esas licencias han sido concedidas por el Ayuntamiento de Barcelona Para ello, Avant pone a disposición de sus usuarios una App en la que permite que los mismos se registren, visualicen los diferentes vehículos georeferenciados en el mapa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/34 de la ciudad, los reserven para finalmente poder desplazarse, terminar su trayecto en el punto habilitado que deseen y abonar el precio del servicio utilizado. […] V. Sobre las circunstancias en la que se produce el Requerimiento por la parte Reclamante. En primer lugar, consideramos importante destacar que Avant está, junto con otras empresas, siendo objeto de una persecución indiscriminada por parte de competidores dentro del mercado de movilidad compartida de motocicletas en la ciudad de Barcelona, siendo público los nombres de las 10 empresas que tienen licencia para operar el servicio de motosharing en la ciudad. Prueba de esta persecución indiscriminada que está sufriendo Avant es que la Reclamación a la que estamos dando respuesta mediante el presente escrito es la tercera recibida en menos de un año. […] VI. Sobre la falta de fundamentación y vinculación del escrito de Reclamación con Avant. […] Si bien la Reclamación se dirige a Avant, a lo largo del cuerpo del escrito la parte Reclamante no aporta pruebas relativas al proceso de registro de Avant, (…). Por otra parte, la única captura de pantalla que se aporta en la reclamación relacionada con Avant, consiste en la primera pantalla de registro de la aplicación en la que, como se puede observar, no se encuentran los datos de la propia usuaria cumplimentados. En todo caso como se ha mencionado anteriormente se ha comprobado que A.A.A. se dio de alta en la aplicación de Avant el 24 de mayo de 2021, a las 9:20 horas, si bien nunca ha realizado ningún viaje en la aplicación. […] VII. Sobre el cumplimiento de Avant en relación con la normativa de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantías de os Derechos Digitales. Avant es una empresa dedicada a la movilidad sostenible, que opera el servicio de alquiler compartido (“sharing”) de ciclomotores eléctricos en el mercado español. Avant ofrece dicho servicio a través de varias plataformas entre las que se encuentran: la app SMOU, ofrecida por la empresa municipal BARCELONA DE SERVICIOS MUNICIPALES, SA (B:SM) y la app de Reby. Reby Rides S.L. ofrece un servicio de agregación a Avant a través de su App móvil, plataforma Mobility as a Service o MaaS. De esta manera los usuarios de la aplicación de Reby pueden geolocalizar y alquilar diferentes vehículos de movilidad compartida, entre los que se encuentran los de Avant. […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/34 VIII. Sobre el modo de registro en Avant y su cumplimiento con la normativa vigente. Avant puede llevar a cabo una cesión de los datos personales introducidos por el usuario siempre que se cumpla, en primer lugar, que el usuario lo consienta previamente; en segundo lugar, que dichos datos se cedan a empresas colaboradoras de Avant; y en tercer lugar, que el único objetivo de esta cesión sea agilizar el proceso de registro en las respectivas aplicaciones de las entidades colaboradoras en caso de que el usuario desee registrarse y utilizar las mismas en un futuro. Todo ello queda debidamente explicado en la Política de Privacidad de Avant, de forma clara y entendedora para los usuarios. Consideramos importante destacar que no se tratan de empresas del grupo Avant en el sentido del artículo 42 del Código de Comercio, actualmente no se están cediendo datos por parte de Avant a ninguna empresa en esta calidad. Con respecto a las entidades a las que la se pueden ceder los datos del usuario, siempre con su expreso y previo consentimiento, se puede consultar en el siguiente enlace; https://avant.fun/plataformas-de-movilidad-colaboradoras-en-la-ciudad-debarcelona/ dentro de la Política de Privacidad de la compañía. Las compañías son: - IBERSCOT (Ecológica Turismo Sostenible, S.L.), - REBY (Reby Rides, S.L.) - TUCYCLE (Tucycle Bike Sharing, S.L). - OIZ (OIZ RIDESHARING, S.L.) Además debemos señalar que como viene explicado en el apartado séptimo de la Política de Privacidad de Avant, la información no se comparte por defecto con los posibles destinatarios, sino que se comparte solo cuando se producen las circunstancias necesarias que son, que durante el proceso de registro en la app de Avant y en el momento en el que realice el proceso de registro en la app de otra de las entidades colaboradoras, reiteradamente, se haya obtenido de manera previa el consentimiento expreso del usuario. Es por todo lo apenas expuesto, que al contrario de lo indicado por la Reclamante se especifica siempre en los casos en los que ocurre, quién es el destinatario de la cesión de datos del usuario que efectúa Avant a otra entidad colaboradora en la que éste quiere registrarse y consiste en una cesión específica para facilitar el proceso de registro al usuario. […]” Junto al escrito aporta la siguiente documentación: - Copia de la Política de Privacidad en su versión de 26/05/2021. Su contenido coincide con el reseñado en el punto segundo y cuarto, del apartado “Hechos”. SÉPTIMO Con fecha 06/10/2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. OCTAVO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/34 artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1) Mediante diligencia realizada por esta Agencia en fecha 18/03/2022, se comprueba la Política de Privacidad y os Términos y Condiciones de servicio de la app de AVANT extraídos con fecha 22/02/2022. 2) Con fecha 24/03/2022, esta Agencia recibe respuesta elaborada por AVANT al requerimiento de información de fecha 28/02/2022:  En relación con las cuestiones generales, manifiesta: 1. Que AVANT no es parte de un Grupo de empresas como se prevé en el artículo 42 del Código de Comercio, sino que, utiliza esa expresión en un sentido comercial y no legal.  En relación con el tratamiento de datos personales de los usuarios: 1. Aporta copia del Registro de Actividades del Tratamiento en su versión de agosto de 2020 y actualizado en agosto de 2021. En la versión de agosto de 2020, en el detalle relativo a los tratamientos que AVANT lleva a cabo para la gestión, prestación y facturación del servicio se indican las categorías de destinatarios a quienes se comunican los datos: “Terceras empresas de movilidad que prestan sus servicios conjuntamente; Ayuntamiento de Barcelona; administraciones públicas, juzgados y tribunales; entidades del grupo Tucycle; proveedores de servicios administrativos, contables, fiscales, informáticos y de marketing; entidades de pago; autoridades de tráfico”. En la versión de agosto de 2021, respecto de los mismos tratamientos y comunicaciones de datos se indica: “Ayuntamiento de Barcelona; administraciones públicas, juzgados y tribunales; entidades del grupo Tucycle; proveedores de servicios administrativos, contables, fiscales, informáticos y de marketing; entidades de pago; autoridades de tráfico”.  En relación con la Política de Privacidad y Términos de uso de la app: o Aporta copia de las distintas versiones de su Política de Privacidad de fechas 29/07/2020, 25/01/2021 y 26/05/2021. 1. La versión de fecha 29/07/2020 incluye el siguiente apartado relativo a la comunicación de datos personales y obtención de los mismos: “3. ¿De dónde obtenemos tus Datos Personales? C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/34 Los Datos Personales que AVANT FULLSTEP obtiene son de ti mismo, al crearte una cuenta de usuario; (
6. ii)de la información que obtenemos del uso que realizas de los servicios de AVANT FULLSTEP y (iii) de redes sociales. AVANT FULLSTEP necesita recoger los Datos Personales de sus usuarios para prestar su Servicio de la forma más profesional y segura. ¿Cuáles son los Datos Personales que compartes con AVANT FULLSTEP? AVANT FULLSTEP recopila y usa la información que nos proporcionas a fin de proceder al registro, instalación, acceso y uso de la Aplicación de AVANT FULLSTEP. En concreto, AVANT FULLSTEP requiere los siguientes datos personales:    Respecto a los usuarios: Nombre completo, contraseña, correo electrónico, número de teléfono, dirección postal, país, información bancaria, fecha de nacimiento, ubicación, carnet de conducir y documento nacional de identificación. También utilizaremos otra información sobre ti que podamos llegar a conocer gracias al uso que realizas del Servicio: tu ubicación; tu dirección IP; los viajes que realizas; el código de identificación que te asignamos internamente; tu navegación por la Plataforma (fechas y horas en las que accedes, clics que realizas, etc.) y el hardware, software y navegador de internet que uses. Por último, obtendremos información de diferentes redes sociales, que nos la facilitarán en caso de que lo hayas autorizado aceptado sus correspondientes términos y condiciones. ¿Cuáles son los Datos Personales que AVANT FULLSTEP recopila de forma automática? Cuando utilizas AVANT FULLSTEP, recopilamos cierta información de forma automática. Esta información incluye tu dirección IP, la fecha y la hora en la que has accedido a nuestra Aplicación, el hardware, software o navegador de internet que uses y los datos sobre el sistema operativo, así como la versión de la Aplicación y la configuración de idioma. Además, y para prestarte el Servicio de la manera más eficaz posible, identificaremos tu dispositivo, sus configuraciones y características específicas, así como los datos de ubicación, fallos de nuestra Aplicación. En ningún caso, AVANT FULLSTEP comercializará con terceros los datos de ubicación recopilados. 7. ¿Compartimos tus Datos Personales con terceros? Sí. Compartimos tus Datos Personales (
7. i)con otras entidades del grupo AVANT FULLSTEP, (
8. ii)con proveedores externos que nos ayudan con diferentes cuestiones relacionadas con el Servicio y (iii) con autoridades u organismos públicos. En algunos casos, estos terceros están ubicados fuera de la Unión Europea, pero las transferencias de tus Datos Personales se realizan con garantías adecuadas: o hemos firmado con estas entidades Cláusulas ContracC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/34 tuales Tipo aprobadas por la Comisión Europea o bien están adheridas al Privacy Shield.  Entidades que nos ayudan con diferentes cuestiones relacionadas con el Servicio. Nos aseguramos de que todos nuestros proveedores que pueden tener acceso a tus Datos Personales actúen de manera confidencial, leal y cumpliendo escrupulosamente la normativa aplicable sobre protección de datos. A tal fin, les exigimos que formalicen con nosotros acuerdos específicos que regulan la utilización por su parte de tus Datos Personales. Algunos de nuestros principales proveedores son los siguientes: Entidades que prestan servicios de procesamiento de datos. En AVANT FULLSTEP recurrimos a terceras entidades para ejecutar y procesar los pagos que realices en relación con el Servicio. Estas entidades recopilan información de tu tarjeta de crédito o débito (como el tipo de tarjeta y la fecha de vencimiento), además de otra información financiera que necesitamos para procesar tu pago. También podemos recopilar información como tu código postal, número de teléfono móvil y detalles sobre tu historial de transacciones. El tratamiento de todos estos es necesario para procesar el pago. Por último, nos proporcionan otra información sobre ti como el token único que te permite realizar compras adicionales utilizando información almacenada previamente. Entidad prestadora de servicio de almacenamiento. Esta entidad nos ayuda a almacenar tus Datos Personales y otra información relacionada con el Servicio de forma segura. Entidad prestadora de servicio de realización de encuestas o estudios de mercado. Nos apoyamos en esta entidad para realizar estudios estadísticos y de mercado sobre la valoración de AVANT FULLSTEP. Como te decíamos en el apartado 4, todos los Datos Personales que les podamos compartir se encuentran pseudonimizados, por lo que a la hora de realizar sus análisis no sabrán qué persona se encuentra detrás de cada opinión.  Autoridades u organismos públicos para el desarrollo de sus funciones. En algunas ocasiones, la normativa nos obliga a ceder tus Datos Personales a autoridades u organismos públicos para que puedan desarrollar sus funciones. Por ejemplo, autoridades fiscales o judiciales. De este modo, los utilizarán para sus propios fines. Sin perjuicio de que el país en el que te encuentres esté situado fuera del Espacio Económico Europeo, queremos informarte de que algunas de las entidades anteriores se encuentran situados o pueden acceder a tus Datos Personales desde países que, a juicio de la Comisión Europea, no proporcionan un nivel de protección para los mismos similar al que existe en la Unión Europea. Sabemos que estos países no proporcionan un nivel equiparable de protección porque la Comisión Europea no ha aprobado una “decisión de adecuación”. En estos casos, las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/34 transferencias de tus Datos Personales se realizan en todo caso con las garantías adecuadas para proteger su seguridad.  Entidades de pago: Los pagos de Usuarios se gestionarán de forma segura a través de la entidad EASY PAYMENT AND FINANCE, E.P., S.A., entidad de pago autorizada por el Banco de España con el número 6849. Constituida de acuerdo con la legislación española con NIF A85785905 e inscrita en el Registro Mercantil de Madrid en el tomo 27.111, Folio 157, Sección 8, Hoja M-488476, Inscripción 1ª.” 2. Los apartados correspondientes a la procedencia de los datos personales y a la comunicación de datos a terceros de las versiones de fecha 25/01/2021 y 26/05/2021 coinciden con la información reseñada en los puntos segundo y cuarto, del apartado “Hechos” del presente acuerdo de inicio. o  Aporta diferentes versiones de los Términos y Condiciones del Servicio de fecha 29/07/2020, 25/01/2021 y 26/05/2021. En relación con el funcionamiento de la APP de AVANT: 1. AVANT manifiesta que no puede llevar a cabo la prueba solicitada por esta Agencia en la versión de la APP que se usaba en fecha 19/08/2020 ni durante el E/1004/2020 por imposibilidad técnica, al encontrarse obsoleta y no mantenida la API-REST usada durante ese periodo. 2. En relación con la versión de la app actual señala lo siguiente: o El proceso de registro de un nuevo usuario (Prueba realizada el 24/02/2022). 1. En la primera pantalla del proceso de registro, en la que se introduce el número de teléfono, consta una única casilla para marcar (y desmarcada por defeco) con el siguiente texto: “Trate mis datos para la prestación del servicio contratado según los Términos y condiciones y Política de Privacidad que he leído”. 2. Tras introducir el código de confirmación que se envía por SMS, en la base de datos se crea un perfil de usuario en el que figuran los siguientes campos: a. b. c. d. e. f. User_id: identificador único. Created_at: fecha y hora de creación. Phone_number: número de telefonía móvil con el que se registra. Company: Avant. Payment_processor__token y email: vacíos. Consent_from_reby, driving_licence y national_id: figura un “f” (false). 3. En la siguiente pantalla, se solicita al usuario su localización con el siguiente texto: “¿Permitir a Avant acceder a la ubicación de este dispositivo?” con dos casillas “Denegar” o “Permitir”. En caso afirmativo, debe introducir su dirección C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/34 de correo electrónico y, a continuación, aparecen los vehículos disponibles en su zona. 4. Para poder conducir un vehículo se exige introducir el documento de identidad y permiso de conducir, así como un método de pago verificados. Estos datos se incorporan a la base de datos en los apartados: national_d, driving_licente y payment_processor__token. o Compartición de datos con otros Operadores: 1. AVANT aclara que no existe ninguna comunicación de datos con otras empresas de movilidad colaboradoras, ya que actualmente no se puede solicitar el consentimiento desde su app. Este cambio se produjo en agosto de 2021. 2. AVANT reconoce que recibe comunicaciones de datos desde el servicio de agregación de movilidad de Reby. En este caso, la comunicación se produce cuando el usuario autoriza de forma voluntaria la cesión de sus datos personales a través del servicio de agregación de Reby para poder conducir vehículos de AVANT. o Consentimientos otorgados o no otorgados de 200 usuarios reales desde el 19/08/2020 hasta la fecha. 1. Se aportan capturas de pantalla de la base de datos de AVANT donde constan los siguientes campos descriptivos: a. User_id: identificador del usuario. b. Consent_timestamp: momento en el que se obtiene el consentimiento. c. Consent_from: vía por la que se obtiene el consentimiento. Dentro del mismo pueden aparecer los siguientes valores: i. Consent_from_co_app: consentimiento obtenido antes de la decisión de no compartir los datos personales entre los operadores de movilidad. ii. Consent_from_reby_app: consentimiento obtenido a través de la app de Reby. iii. Other: usuarios que por ser únicamente usuarios de AVANT, no han tenido que facilitar su consentimiento.  En relación con los acuerdos de encargo del tratamiento: 1. Se aportan copia del acuerdo de encargo del tratamiento suscrito por AVANT (responsable del tratamiento) y REBY (encargado del tratamiento), en fecha 03/03/2020. En el acuerdo se estipula que el encargado del tratamiento ejecutará los siguientes servicios, entre otros: la prestación del servicio de la plataforma y App al responsable del tratamiento y servicios de mantenimiento de la Plataforma y de la App. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/34 3) Con fecha 26/04/2022, se incorpora a las actuaciones de inspección diligencia realizada por esta Agencia, en fecha 04/03/2022, relativa al proceso de registro de usuario de la app de AVANT hasta el paso que solicita la introducción del documento de identidad y el permiso de conducción. 4) Con fecha 06/05/2022, esta Agencia recibe respuesta elaborada por AVANT a un segundo requerimiento de información de fecha 11/04/2022:  En relación con el funcionamiento de la APP de REBY: o Compartición de datos con otros Operadores: 1. AVANT confirma que los operadores de movilidad entre los que se compartían los datos eran REBY, OIZ, IBERSCOT y TUCYCLE. En concreto, los siguientes: nombre, apellidos, teléfono móvil, correo electrónico, DNI o pasaporte, Carnet de conducir y token de pago. 2. AVANT aclara que la compartición de datos personales se inició el 04/08/2020 y finalizó el 16/08/2021. 3. En relación con las medidas de seguridad implantadas para impedir que un operador acceda a los datos de un usuario registrado en AVANT cuando dicho usuario no prestó su consentimiento para ello. Como respuesta a esta cuestión, la citada entidad informó como sigue: “La base principal es que la interfaz con el usuario (frontend) y la plataforma de gestión de datos (backend) se comuniquen de forma segura y garanticen la seguridad. Para garantizar estos puntos, en AVANT se dispone de un método basado en la generación de un token de sesión que se genera cada vez que un usuario inicia sesión en AVANT. Este token de sesión se genera en el momento de identificar al usuario y, relaciona de forma inequívoca, al usuario con una compañía. Es decir, el token de sesión de una misma persona en diferentes operadores es distinto. El token de sesión se pasa como header http en todas las peticiones al API que realiza la app de AVANT contra el backend. El backend consulta la validez del token y rechaza la conexión si la validación falla. En caso de que el token se considere correcto, un mecanismo automático inyecta el identificador de usuario y de la compañía AVANT en el contexto de la petición http del backend. Todos los flujos de ejecución del backend usarán el identificador de usuario y compañía inyectado en el contexto cada vez que haya que realizar una consulta sobre la base de datos. El mecanismo de contexto está construido sobre la librería nativa “context” del lenguaje de programación Go. (https://pkg.go.dev/context). Por ello, tenemos absoluta confianza en que los contextos están perfectamente aislados entre las diferentes llamadas al API. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/34 Por ello, se garantiza que la información relativa a un usuario en una compañía no se mezcle con otra compañía. Por ejemplo, cuando una persona en AVANT solicita ver su historial de viajes o historial de pagos, la información que se devuelve es relativa al token de sesión, que intrínsecamente contiene el identificador del usuario y compañía sobre los que se solicita información.” o Consentimientos otorgados hasta el momento: 1. AVANT informa que un total de 909 usuarios se dieron de alta inicialmente en su app y, posteriormente, fueron importados por otros operadores cuando el usuario hubiera dado su consentimiento. 2. Aporta un listado con todos los consentimientos tipo “consent-from-co-app” donde constan 9235 registros hasta el 20/03/2022 en el campo “consent_timestamp”. 3. AVANT confirma que el consentimiento tipo “consent-from-co-app” es la denominación actual que se da a los consentimientos anteriores al cambio llevado a cabo el 16/08/2021. Según AVANT, la finalidad de ese consentimiento era “que nuestra empresa estuviera autorizada para llevar a cabo la comprobación relativa a si el usuario ya estaba dado de alta en alguno de los otros operadores de movilidad colaboradores. Esto llevaba a agilizar el proceso de registro, al importar los datos del usuario si éste ya se había dado de alta en uno de los otros operadores”. 4. Aporta capturas de pantalla del proceso de registro en la antigua versión de la app correspondientes al consentimiento referido. En la primera de las pantallas constan dos check box con los textos siguientes: “( )Trate mis datos para la prestación del servicio contratado según los términos y condiciones y política de privacidad que he leído y acepto” ( ) Consiento que Avant compruebe si ya estoy registrado/a en otras plataformas de movilidad colaborativa para facilitar el proceso de registro.” Y un botón “Continuar” en la parte inferior de la pantalla. En la segunda pantalla se informa: “¡Ya queda poco! Tras comprobarlo, hemos detectado que ya te has registrado en Reby Aceptas que este nos comunique a Avant los siguientes datos para agilizar el proceso de registro, con el fin de prestarte nuestros servicios: nombre, apellidos, email, DNI/ Carnet de conducir/Pasaporte, token de pago. Te recordamos que puedes ejercitar tus derechos según se describe en nuestra Política de Privacidad.” Al final de la pantalla se ofrece al usuario las opciones “Volver a registrarme” y “¡Entendido!”. NOVENO: Mediante Resolución de fecha 14/10/2022 se declaró la caducidad de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/34 actuaciones previas de investigación reseñadas en el punto quinto, del apartado “Hechos”, por el transcurso del plazo de doce meses contados desde la admisión a trámite de la reclamación sin que se hubiese dictado acuerdo de inicio de procedimiento sancionador. En la misma resolución indicada se acordó, asimismo, abrir nuevas actuaciones de investigación e incorporar a estas nuevas actuaciones la documentación que integra las actuaciones previas que se declaran caducadas. DÉCIMO: En las nuevas actuaciones previas de investigación acordadas: 1) Con fecha 21/10/2022, se incorpora a las actuaciones de inspección diligencia realizada por esta Agencia, en fecha 27/06/2022, relativa al Anuncio del Decreto de Alcaldía (21/D/2019-2142), de 10/10/2019, por el que se convoca el procedimiento de otorgamiento de licencias temporales del uso común especial del dominio público para el estacionamiento de bicicletas, ciclomotores y motocicletas de uso compartido en régimen de explotación económica en el término municipal de Barcelona. 2) Mediante diligencia realizada por esta Agencia en fecha 27/02/2023, se comprueba que, tras intentar un alta de usuario en la app de AVANT e introducir el número móvil aceptando las condiciones, no se recibe SMS necesario para continuar con el proceso de alta. Se aportan capturas de pantalla. 3) Con motivo del escrito y reclamación reseñados en el punto primero y tercero, en el apartado “Hechos”, también se llevaron a cabo actuaciones previas de investigación ante la entidad REBY, en el marco de las cuales se realizó una inspección en fecha 07 y 08/03/2023. Durante esta inspección, los representantes de la citada entidad realizaron las manifestaciones siguientes, que constan recogidas en el Acta de Inspección respectiva, la cual fue suscrita por todos los intervinientes: “2.1. Que proporcionan toda la plataforma tecnológica, incluido el desarrollo de la APP móvil y la base de datos asociada, a los operadores ECO-LÓGICA TURISMO SOSTENIBLE, S.L. (en adelante IBERSCOT), OIZ RIDESHARING, S.L. (en adelante OIZ), TUCYCLE BIKESHARING, S.L. (en adelante TUCYCLE) y AVANT FULLSTEP, S.L. (en adelante AVANT) los cuales prestan un servicio de movilidad en la ciudad de Barcelona. (…). 2.2. Que respecto a si los operadores IBERSCOT, OIZ, TUCYCLE, AVANT siguen dando servicio manifiestan que ya no dan servicio desde el 16 de febrero de 2023. 2.3. (…). 2.4. Que actualmente REBY ha cesado completamente su actividad. 2.5. En relación con los contratos del servicio de la plataforma tecnológica y APP, incluyendo el servicio de agregación, prestada por REBY a los operadores aporta dichos contratos, los cuales se adjuntan al presente Acta como Doc 3. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/34 2.6. Que no tienen conocimiento de que los operadores puedan tener contratos de colaboración entre ellos en el contexto del servicio que presta REBY. 2.7. Que solo existe un contrato de encargo del tratamiento por parte de REBY, que es el que ya han facilitado a la Agencia con anterioridad. En relación al acceso de los operadores a la base de datos y herramientas asociadas de consulta a la base de datos manifiestan: 2.8. Que REBY solo proporcionaba a cada operador informes con datos agregados o estadísticos de uso de la flota del operador en cuestión. Que no pueden aportar ninguna petición de los operadores relativa a esos informes. 2.9. (…). 2.10. Que a las herramientas de consulta de base de datos (…) sí tenían acceso directo los respectivos operadores. Sin embargo, a través de estas herramientas solo tenían acceso a sus propios usuarios. 2.11. (…). […] En relación a la compartición de datos entre todos los operadores: 2.14. Que todas las tablas de la base de datos son comunes a todos los operadores. 2.15. Que la persona que accede a los datos en REBY como prestador de servicios a los operadores es la misma que accede por parte de REBY prestando sus servicios en calidad de operador independiente. 2.16. Que con anterioridad a agosto 2021 solo existía 1 registro en base de datos por cada usuario. Que a dicho único registro accedían todos los operadores, aunque solo una vez que el usuario hubiera dado el permiso en la APP de cada operador. 2.17. Que con posterioridad a agosto 2021 existía en base de datos 1 registro por cada usuario y por cada operador en el que estuviera dado de alta. Que, en la migración, se tuvieron que replicar de forma forzada los registros únicos por usuario que existían previamente, tantas veces como operadores en los que se hubiera registrado. 2.18. Que, en potencia, y desde el punto de vista de los permisos de acceso a la base de datos, todas las APP de todos los operadores incluyendo a REBY, podían acceder a la base de datos completa tanto antes como después de agosto de 2021. En relación al consentimiento para la compartición de datos de los usuarios entre los operadores: 2.19. Que con anterioridad a agosto de 2021 no se permitía a un usuario registrarse si no daba el consentimiento para comprobar si su número de teléfono ya se había C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/34 registrado con algún operador y, en caso afirmativo, para importar sus datos al operador en el que se está registrando. El motivo es porque solo existía un único registro por usuario en la base de datos al que necesitaban acceder todos los operadores. Un usuario se determina exclusivamente por el número de teléfono con el que se registraba. En el software no se podían definir distintos usuarios asociados a un mismo número de teléfono. 2.20. Que respecto a la primera pantalla de la App de los operadores donde consta: “Consiento que [OPERADOR] compruebe si ya estoy registrado/a en otras plataformas de movilidad colaborativa para facilitar el proceso de registro.” Que esa casilla había que marcarla forzosamente para continuar con el proceso de registro. 2.21. Que respecto a la segunda pantalla de la App de los operadores donde consta “Tras comprobarlo, hemos detectado que ya te has registrado en [incluir nombre del Operador]. Aceptas que este nos comunique a Iberscot los siguientes datos para agilizar el proceso de registro, con el fin de prestarte nuestros servicios: nombre, apellidos, email, DNI/ Carnet de conducir/Pasaporte, token de pago. Te recordamos que puedes ejercitar tus derechos según se describe en nuestra Política de Privacidad.” Y constan dos opciones; una con el texto “Volver a registrarme” y otro de “¡Entendido!”. Que al hacer clic en “Entendido” sí se registraba un consentimiento. Si se hacía clic en “Volver a registrarme”, se volvía a la pantalla inicial donde se introduce el número de teléfono para recibir un sms. 2.22. Que no recuerda cómo era el proceso para el caso de la App de REBY. 2.23. Que con anterioridad a agosto de 2021, por tanto, los cinco operadores compartían de forma automática todos los datos de los usuarios registrados, si previamente estos habían dado consentimiento para importar sus datos, al existir 1 único registro en base de datos. 2.24. Que con anterioridad a agosto de 2021 la “importación” de datos desde otros operadores no era tal, sino que era realmente permitir el acceso al único registro de ese usuario existente en base de datos. 2.25. Que, con anterioridad a agosto de 2021, REBY también accedía al registro único de un usuario al igual que hacían el resto de operadores. Que desconocen dónde se encuentran los consentimientos del usuario para este acceso por parte de REBY. 2.26. Que, antes de agosto 2021, las App de todos los operadores, incluyendo REBY, funcionaban igual, que recuerden, es decir, si se quería dar de alta un usuario y ya estaba dado de alta en otro operador, pedían el consentimiento siempre. 2.27. Que antes de agosto de 2021, cuando un usuario hacía uso del servicio de agregación, REBY no cedía datos de ese usuario al operador del cual quería conducir el vehículo, asumiendo que ese usuario ya estuviera dado de alta en ese operador. Y que, en este caso, REBY, no recogía un nuevo consentimiento. Que no pueden aportar captura de pantalla de la app REBY con la interacción del usuario en este caso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/34 de uso por imposibilidad técnica. 2.28. Que, con posterioridad a agosto 2021, ya no se daba la opción de “importación” de los datos del usuario cuando un usuario estaba registrado en otro operador, por lo que el usuario debía de completar todo el proceso de registro. Que ningún operador pedía el consentimiento al usuario durante el proceso su registro, solo REBY para prestar el servicio de agregación. Que donde consten fechas del consentimiento posteriores a agosto 2021 es porque se refiere realmente a consentimientos dados desde app REBY por el uso del servicio de agregación. 2.29. Que la única tabla de la que tienen constancia que almacena consentimientos se llama data_sharing_consent. Que la descripción de campos de esta tabla es: id: identificador único del consentimiento timestamp: fecha del consentimiento y fecha en la que se crea el registro. origin_company_user_id: usuario que da el consentimiento (equivalente a su número de teléfono) destination_company:id: compañía a la que se le da el consentimiento para que acceda a los datos. type: desconocen su significado y siempre tiene el valor 1. 2.30. Que desconocen dónde se encuentran los consentimientos dados desde la app REBY. […]”. Durante la inspección indicada, los Servicios de esta Agencia accedieron a la base de datos que soporta el servicio de movilidad prestado por la propia REBY como operador, el servicio de agregación de movilidad que presta REBY, como también soporta la plataforma tecnológica y App móvil con la que operan el resto de operadores. Mediante este acceso se comprueba: 1. Que el número total de usuarios son: REBY IBERSCOT OIZ TUCYCLE AVANT 1,034,859 13,023 14,657 10,604 15,557 2. Que los datos asociados a un usuario dado de alta con posterioridad a agosto de 2021 en los distintos operadores, excluyendo REBY, pueden variar, incluyendo el token de pago y el saldo. 3. Que existen consentimientos en la tabla de consentimientos (…) para los operadores TUCYCLE, AVANT, OIZ, IBERSCOT. Se comprueba que no consta registros asociados a REBY. 4. Que la fecha de consentimiento más antigua es 29/05/2020 08:44. 5. Se comprueba que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/34 a. Para el operador AVANT el primer consentimiento consta de fecha 29/05/2020 y el último de fecha 14/02/2023. b. Que el consentimiento más antiguo dado desde IBERSCOT es en fecha 30/06/2020 y el más reciente es en fecha 12/02/2023. c. Que el consentimiento más antiguo dado desde OIZ es en fecha 30/06/2020 y el más reciente es en fecha 12/02/2023. d. Que el consentimiento más antiguo dado desde TUCYCLE es en fecha 30/06/2020 y el más reciente es en fecha 13/02/2023. 6. Que la forma de conocer a qué operadores ha cedido los datos un operador en cuestión, o siquiera si los ha cedido o no, es con el siguiente procedimiento: Para un usuario concreto, hay que buscar en la tabla de sesiones las primeras sesiones de ese usuario para cada operador, es decir, cuándo fue la primera vez que ese usuario utilizó la app de cada operador. Si la primera sesión de todas es del operador en cuestión, se infiere que ha debido “ceder” los datos al resto de operadores cuya primera sesión para ese usuario son posteriores. Se comprueba que la fecha de la primera sesión en un operador coincide con la fecha del consentimiento dado desde ese operador. 4) Mediante diligencia realizada por esta Agencia en fecha 24/03/2023, se comprueban las distancias entre distintas coordinadas geográficas. En el correspondiente informe de actuaciones previas de investigación, los Servicios de Inspección de esta Agencia concluyen lo siguiente: “3. Se comprueba que actualmente ni la App REBY ni la App AVANT permiten el registro de nuevos usuarios. REBY manifiesta que actualmente ha cesado completamente su actividad y que está en situación preconcursal. No se ha podido constatar, por no haberse requerido, la situación actual de AVANT en este sentido. 4. En relación a la compartición de datos entre operadores y al consentimiento, REBY manifiesta que: a. Con anterioridad a agosto de 2021, solo existía un único registro por cada usuario, al que tenían acceso todos los operadores. Por tanto, se compartía de forma completa y en todo momento todos los datos asociados al usuario, entre todos los operadores, entre otros, nombre, apellidos, teléfono móvil, email, DNI o pasaporte, Carnet de conducir, token de pago, saldo. b. Con anterioridad a agosto de 2021, el consentimiento que da el usuario no es para importar datos pues nada se importa, es para acceder al registro único del usuario. c. Que, con anterioridad a agosto de 2021, no se permitía a un usuario registrarse si no daba el consentimiento para comprobar si su número de teléfono ya se había registrado con algún operador y, en caso afirmativo, para “importar” sus datos al operador en el que se está registrando. Dado que AVANT informa de que no pueden C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/34 disponer de las versiones antiguas de su App por cuestiones técnicas, no se ha podido constatar si, para completar el registro en la App, era un requisito para el usuario otorgar el consentimiento para el cotejo de datos. d. La compartición de datos entre operadores comenzó, según manifiesta en fecha 04/08/2020, sin embargo, se comprueba que el consentimiento más antiguo es de fecha 29/05/2020. También manifiesta que la compartición de datos existió hasta el 16 de agosto de 2021. Se ha constatado que, en una fecha posterior a agosto de 2021, la app AVANT ya no recogía consentimientos. 8. Constan deficiencias en la información facilitada a los usuarios en la política de privacidad: a. En fecha de 29 de julio 2020 no informaban a los usuarios acerca de la compartición de datos con otros operadores ni cuáles eran. Consta que en fecha 25 de enero de 2021 sí informaban.” FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con las funciones que el artículo 57.1 a),
9. f)y
10. h)del RGPD confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la LOPDGDD, es competente para dictar la presente resolución la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Posibles infracciones Con fecha 06/11/2020, tuvo entrada en esta Agencia una reclamación dirigida contra las entidades TUCYCLE, AVANT, OIZ e IBERSCOT por la cesión de datos personales de los usuarios que se registran en las correspondientes "apps" móviles para acceder al servicio de alquiler de vehículos. En esta reclamación se advierte que cuando una persona se da de alta en una de las "apps" de estas entidades y posteriormente instala otra de ellas, la segunda reconoce al usuario y reutiliza los datos que le proporciona la otra "plataforma colaboradora", con la finalidad de "agilizar el proceso". En la misma reclamación se ponía de manifiesto que ninguna de estas entidades informaba al usuario que sus datos personales se compartían con terceras empresas, que se compartían entre las entidades mencionadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/34 Esta reclamación dio lugar a las actuaciones señaladas con el número E/10004/2020, en las que, mediante resolución de 25/02/2021, se acordó el archivo de la reclamación en cuestión por no proceder el inicio de un procedimiento sancionador al haber sido atendida la reclamación. El archivo de actuaciones se acordó después de seguir los trámites regulados en el artículo 65.4 de la LOPDGDD, previstos para evaluar si procede o no admitir a trámite la reclamación de que se trate. Este artículo dispone lo siguiente: “4. Antes de resolver sobre la admisión a trámite de la reclamación, la Agencia Española de Protección de Datos podrá remitir la misma al delegado de protección de datos que hubiera, en su caso, designado el responsable o encargado del tratamiento o al organismo de supervisión establecido para la aplicación de los códigos de conducta a los efectos previstos en los artículos 37 y 38.2 de esta ley orgánica. La Agencia Española de Protección de Datos podrá igualmente remitir la reclamación al responsable o encargado del tratamiento cuando no se hubiera designado un delegado de protección de datos ni estuviera adherido a mecanismos de resolución extrajudicial de conflictos, en cuyo caso el responsable o encargado deberá dar respuesta a la reclamación en el plazo de un mes”. A su vez, el artículo 37 “Intervención del delegado de protección de datos en caso de reclamación ante las autoridades de protección de datos.” de la LOPDGDD citado en el precepto anterior establece: “1. Cuando el responsable o el encargado del tratamiento hubieran designado un delegado de protección de datos el afectado podrá, con carácter previo a la presentación de una reclamación contra aquéllos ante la Agencia Española de Protección de Datos o, en su caso, ante las autoridades autonómicas de protección de datos, dirigirse al delegado de protección de datos de la entidad contra la que se reclame. En este caso, el delegado de protección de datos comunicará al afectado la decisión que se hubiera adoptado en el plazo máximo de dos meses a contar desde la recepción de la reclamación. 2. Cuando el afectado presente una reclamación ante la Agencia Española de Protección de Datos o, en su caso, ante las autoridades autonómicas de protección de datos, aquellas podrán remitir la reclamación al delegado de protección de datos a fin de que este responda en el plazo de un mes. Si transcurrido dicho plazo el delegado de protección de datos no hubiera comunicado a la autoridad de protección de datos competente la respuesta dada a la reclamación, dicha autoridad continuará el procedimiento con arreglo a lo establecido en el Título VIII de esta ley orgánica y en sus normas de desarrollo. 3. El procedimiento ante la Agencia Española de Protección de Datos será el establecido en el Título VIII de esta ley orgánica y en sus normas de desarrollo. Asimismo, las comunidades autónomas regularán el procedimiento correspondiente ante sus autoridades autonómicas de protección de datos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/34 De acuerdo con lo señalado, el indicado mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos consiste en dar traslado de las mismas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, o a éstos cuando no los hubieren designado, para que procedan al análisis de las reclamaciones y a darles respuesta en el plazo de un mes. De este modo, cuando las acciones llevadas a cabo a la vista de la reclamación den respuesta a las cuestiones suscitadas por la parte reclamante y la entidad responsable adopte las medidas necesarias para adecuar su actuación a los requisitos previstos en la normativa de protección de datos, esta Agencia podrá acordar no continuar el procedimiento que sigue a la admisión a trámite, establecido en el Título VIII de la LOPDGDD, que contempla la posibilidad de realizar actuaciones previas y la incoación de un procedimiento sancionador, si procede. Así ocurrió en el precedente reseñado (E/10004/2020), en el que se acodó el archivo de la reclamación, considerando la respuesta dada por la entidad AVANT. Según consta en la citada resolución de archivo de actuaciones, de fecha 25/02/2021, en su respuesta al trámite de traslado, de 18/02/2021, AVANT informó que había acometido modificaciones en sus políticas de privacidad para informar sobre la cesión de datos de los usuarios a terceras empresas colaboradoras con las que comparten plataforma. De igual manera, informó que estaba en proceso de incorporar en el proceso de alta de usuario en su aplicación móvil un mecanismo para recoger su consentimiento a la obtención de sus datos a partir de otras plataformas de movilidad colaborativa, con el propósito de facilitar el proceso de registro. Una vez analizadas las razones expuestas, se consideró que no procedía el inicio de un procedimiento sancionador, por cuanto la tramitación de la reclamación conforme a lo dispuesto en el artículo 65.4 de la LOPDGDD dio lugar a la solución de las cuestiones planteadas, sin necesidad de depurar responsabilidades administrativas en el marco de un procedimiento sancionador. Ello sin perjuicio de que la Agencia, aplicando los poderes de investigación y correctivos que ostenta, pueda llevar a cabo posteriores actuaciones relativas al tratamiento de datos referido en la reclamación. Poco tiempo después de dictarse la resolución que dio por finalizadas las actuaciones precedentes, el 12/03/2023 esta Agencia recibe escrito del AYUNTAMIENTO DE BARCELONA en el que se aporta informe técnico, de fecha 29/01/2021, de la Gerencia de Movilidad e Infraestructuras. En este escrito se informa de las mismas circunstancias de hecho ya analizadas en dicho precedente, en relación con la comunicación de datos de usuarios entre las distintas empresas que prestan servicio de bikesharing, por no informar a sus usuarios de tales comunicaciones y por no recabar su consentimiento. También se denuncia a una quinta empresa, Reby Rides, S.L., por la compartición de las bases de datos de los registros y usuarios sin consentimiento previo de los mismos. Además, los hechos que motivan el escrito en cuestión acontecieron en un periodo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/34 temporal anterior a que se dictase la resolución de archivo del expediente número E/10004/2020. En concreto, las comprobaciones se realizaron en las siguientes fechas: 10/08/2020, 26/10/2020 y 01/12/2020. Con posterioridad, se recibió en esta Agencia la reclamación formulada por A.A.A. en fecha 26/05/2021 contra las mismas entidades y Reby, en la que se vuelve a poner de manifiesto los mismos hechos, en concreto, la falta de información sobre las comunicaciones de datos de usuarios entre las distintas empresas, así como el no recabar su consentimiento. En ambos casos, se estimó oportuno admitir a trámite el escrito y reclamación presentados para llevar a cabo las comprobaciones oportunas respecto de las informaciones recibidas de AVANT. Así, se acordó la apertura de actuaciones previas de investigación para comprobar si las medidas informadas por AVANT en aquel precedente se implantaron efectiva y adecuadamente. Estas actuaciones han permitido constatar, efectivamente, las entidades implicadas compartieron los datos personales de los usuarios desde el inicio de su actividad en la ciudad de Barcelona en el verano de 2020, sin el consentimiento de los afectados y sin informarles debidamente sobre dicho tratamiento de datos personales, que sí estaba previsto en su Registro de Actividades de Tratamiento. La entidad Reby, que proporcionaba la plataforma tecnológica necesaria para la prestación del servicio a los usuarios, ha reconocido que en la base de datos solo existía un registro por cada usuario, asociado a su número de teléfono, al que accedían todos los operadores. Esta entidad manifestó que ese acceso solo se realizaba cuando el usuario la hubiera consentido, pero también aclaró que no se permitía a un usuario registrarse si no prestaba su consentimiento para comprobar si su número de teléfono ya figuraba registrado con otro operador y, en caso afirmativo, para que el operador en el que se estaba registrando accediera al único registro de ese usuario existente en la base de datos; y que ello era debido a que el software no permitía definir distintos usuarios asociados a un mismo número de teléfono. En cuanto a la información ofrecida a los usuarios, los Servicios de Inspección comprobaron que inicialmente no se daba cuenta a los usuarios de esa “compartición” de datos con entidades de movilidad colaboradoras de AVANT, aunque en las versiones de la Política de Privacidad de AVANT de fechas 25/01/2021 y 26/05/2021 se incluyó el detalle de los destinatarios de la información. La primera de estas versiones es anterior a la resolución de archivo dictada en el expediente E/10004/2020 y al escrito del AYUNTAMIENTO DE BARCELONA, mientras que la segunda es simultánea a la presentación de la reclamación de A.A.A.. No obstante lo anterior, consta en las actuaciones que la entidad AVANT informó a los Servicios de Inspección que, tras los requerimientos de esta Agencia y las modificaciones realizadas para simplificar los procedimientos, con fecha 16/08/2021 dejaron de comprobar si un usuario figuraba registrado en alguna de las otras entidades colaboradoras de movilidad y cesaron las comunicaciones de datos, no existiendo ninguna prueba de contrario al respecto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/34 Por otra parte, los Servicios de Inspección comprobaron que, en una fecha posterior a agosto de 2021, la app móvil de AVANT ya no recogía consentimientos, que durante el procedimiento de registro de un usuario no se requería la prestación del consentimiento para la comunicación de datos a terceros, sino únicamente para el tratamiento de datos necesario para la prestación del servicio; que su Política de Privacidad no contenía referencia alguna a la compartición de datos con otras empresas de movilidad colaboradoras; y que en su Registro de Actividad de Tratamientos, en la versión de agosto de 2021, desapareció el relativo a la comunicación de datos a “terceras empresas de movilidad que prestan sus servicios conjuntamente”. Puede concluirse, por tanto, que con las medidas indicadas AVANT llevó a cabo la adecuación normativa exigida por esta Agencia. De acuerdo con lo expuesto, esta Agencia estima procedente acordar el archivo de las reclamaciones que han dado lugar a las presentes actuaciones, en relación con la entidad AVANT. Se tiene en cuenta, asimismo, (
11. i)que la compartición de datos denunciada había finalizado en el momento en que se admite a trámite la reclamación; y (
12. ii)que AVANT no presta servicio desde el pasado 16/02/2023, habiéndose comprobado que en la actualidad la app de AVANT no permite registro de nuevos usuarios. Procede, por tanto, el archivo de las actuaciones, sin perjuicio de que la Agencia aplicando los poderes de investigación y correctivos que ostenta, pueda llevar a cabo posteriores actuaciones relativas al tratamiento de datos referido en la reclamación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR el presente acuerdo a AVANT FULLSTEP, S.L., con NIF B67468694, a A.A.A. y al AYUNTAMIENTO DE BARCELONA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
13. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/34 Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es