← España

AI-00363-2022

1/25  Expediente N.º: EXP202306264 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 12/03/2021, tuvo entrada en esta Agencia un escrito presentado por el Ayuntamiento de Barcelona mediante el que informa que la actuación de Oiz Bikesharing, S.L., con NIF B95976106 (en adelante OIZ), puede dar lugar a un incumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal. Los motivos en los que basa su denuncia son los siguientes: “I.- Antecedentes… Entre otras, se adjudicaron un total de 1.392 licencias temporales de uso común especial del dominio público para el estacionamiento de ciclomotores y motocicletas de uso compartido en régimen de explotación económica al término municipal de Barcelona entre los cuatro operadores (Tucycle Bikesharing, SL, Avant Fullstep, SL, Eco-logica Turismo Sostenible, SL, Oiz Ridesharing, SL)… 7. Las cuatro empresas Tucycle Bikesharing, SL, Avant Fullstep, SL, Eco-logica Turismo Sostenible, SL, Oiz Ridesharing, SL, también participaron en el procedimiento de otorgamiento a precario de licencias temporales y en consecuencia, presentaron declaraciones responsables en las que ratificaban su condición de empresas independientes, y se comprometían y aceptaban a cumplir con las condiciones y obligaciones de la convocatoria. Mediante este procedimiento, se adjudicaron un total de 854 licencias temporales de uso común especial del dominio público a los cuatro operadores. Así pues, los cuatro operadores son adjudicatarios de un total de 2.246 licencias temporales de uso común especial del dominio público para el estacionamiento de ciclomotores y motocicletas de uso compartido en régimen de explotación económica al término municipal del Barcelona… 9. En virtud del expuesto anteriormente, para operar al espacio público cada empresa dispone de una aplicación móvil para que los usuarios se puedan registrar y hacer uso del servicio de alquiler de bicicletas y motocicletas, que están estacionadas en el espacio público de Barcelona. En estas aplicaciones móviles, se han detectado los incumplimientos por parte de las cuatro empresas, dado que cuando una persona se registra en una de las aplicaciones de las cuatro empresas, la aplicación reconoce al usuario y comparte los datos entre las cuatro empresas, sin que el usuario se haya dado de alta en el resto de las aplicaciones de las empresas o lo haya consentido (este punto se detalla más adelante). Adicionalmente, debemos añadir a otra empresa, Reby Rides S.L, que no es adjudicataria de licencias, pero que en las actas de inspección de fecha 1 de diciembre de 2020 e informe de la Gerencia de Movilidad e Infraestructuras de 29 de diciembre de 2020 y que luego se menciona, se demuestra que aparentemente, también facilita el alquiler de las motocicletas de las cuatro empresas anteriores en su aplicación móvil , y en consecuencia facilita los datos de los usuarios registrados en las aplicaciones anteriores, sin consentimiento previo de los usuarios. 10. En fecha 27 de agosto de 2020 y 14 de septiembre de 2020… (denominación de una entidad tercera) (adjudicataria definitiva de licencias) envió correos electrónicos a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/25 corporación en los que avisaba que había detectado determinadas prácticas efectuadas por los cuatro adjudicatarios definitivos de licencias que podrían suponer una vulneración de la normativa de protección de datos en relación con el Decreto de regulación y del decreto de convocatoria. 11. Por este motivo, el Ayuntamiento de Barcelona efectuó las propias comprobaciones en fecha 19 de agosto de 2020 y se emitió un acta de inspección en la que se recogían los incumplimientos detectados (…). 12. Así mismo, en fecha 6 de octubre de 2020 esta Dirección recibió escrito de la empresa… (denominación de una entidad tercera, distinta a la anterior), adjudicataria de licencias, en el que manifestaba que determinadas prácticas efectuadas por los cuatro operadores y adjudicatarios definitivos de licencias (Tucycle Bikesharing, SL, Avant Fullstep, SL, Eco-logica Turismo Sostenible, SL, Oiz Ridesharing, SL) podrían suponer una vulneración de la normativa de la competencia así como de la normativa de protección de datos (…). 13. A la vista de lo expuesto, la Gerencia de Movilidad e Infraestructuras, nuevamente efectuó sus comprobaciones y en fecha 26 de octubre de 2020 se procedió a comprobar personalmente y directamente por las funcionarias y funcionarios municipales las mencionadas actuaciones realizadas por Tucycle Bikesharing, SL, Avant Fullstep, SL, Eco-logica Turismo Sostenible, SL, Oiz Ridesharing, SL y en consecuencia, se emitieron cuatro actas de inspección que se adjuntan como ANEJOS 4, 5, 6 y 7 respectivamente, en las que se pone de manifiesto determinadas actuaciones que podrían ser constitutivas de una infracción de la normativa de la protección de datos y que se detallan a continuación. Se adjunta como ANEJO 8 acta de inspección emitida en data 1 de diciembre de 2020 en la que se demuestra que aparentemente, Reby Rides, empresa que no dispone de licencias ni se ha presentado al procedimiento, también facilita el alquiler de las motocicletas de las cuatro empresas anteriores en su aplicación móvil, y en consecuencia facilita los datos de los usuarios registrados en las aplicaciones anteriores, sin consentimiento previo de los usuarios… IV.- Objeto de la denuncia… En las inspecciones realizadas el pasado 26/10/2020 se comprueba que cuando un usuario se registra a la aplicación de Iberscot, queda automáticamente registrado a las aplicaciones de Oiz, Tucycle y Avant, y así lo indican en la misma aplicación, al no requerir nuevamente la documentación necesaria para realizar el registro del nuevo usuario, y con el siguiente mensaje que constan en los pantallazos de las Actas: “Ya estás registrado! Hemos detectado que ya te has registrar a otra plataforma colaboradora. Utilizaremos los datos que has añadido para agilizar el proceso”… En las Inspecciones realizadas el 26/10/2020 se comprueba que introduciendo 10€ en la aplicación de Avant, que se suman a los 22 céntimos previos de la cuenta, y realizando un viaje con esta misma aplicación, el saldo se ve reducido en 66 céntimos, pasando de 10,22€ a 9,56€. (…). Indicar que el saldo, una vez introducidos los 10€ en la cartera de la aplicación de Avant, en el caso de la cartera de la empresa OIZ, se añade 1 euro adicional de regalo a la cuenta como indica la promoción de la propia aplicación (enmarcado en verde a la captura). A la vez, se comprueba que habiendo realizado únicamente un viaje con la empresa Avant con un cargo de 66 céntimos, se reducen las cuentas de las otras tres empresas también en 66 céntimos (ver Anejos 4, 5, 6 y 7). Se comprueba como con las otras tres empresas, Oiz, Tucycles y Iberscot, no se han realizado viajes. Aun así, el saldo en cartera también ha disminuido (…). 3. En la política de privacidad de las empresas, se informa a los usuarios que se comparten los datos personales con las entidades del mismo grupo… C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/25 Así mismo, en relación con el Informe de Inspección del pasado 1 de diciembre de 2020 relativo a la empresa externa Reby Rides, S.L. se comprueba que: Que las empresas Avant, Oiz, Tucycle y Iberscot, comparten las bases de datos de los registros y usuarios con una quinta empresa: Reby Rides SL (empresa externa que no ha resultado adjudicataria de licencias)…”. Junto a la reclamación aporta, entre otra, la siguiente documentación: . Copia del Acta de inspección emitida por el Ayuntamiento de Barcelona que recoge las comprobaciones realizadas en fecha 19 y 26/08/2020, 26/10/2020 y 01/12/2020, en relación con las siguientes entidades: Tucycle Bikesharing, S.L., Avant Fullstep, S.L., Eco-logica Turismo Sostenible, S.L., Oiz Ridesharing, S.L. y Reby Rides, S.L. . Copia del informe técnico, de fecha 29/01/2021, emitido por la Gerencia de Movilidad e Infraestructuras, en el que solicita poner en conocimiento de las autoridades competentes en materia de protección de datos el análisis recogido en su informe y en las actas, a fin que se puedan iniciar las correspondientes investigaciones, y caso que se confirme una vulneración de la normativa por parte de Avant Fullstep SL (Avant), Oiz Ridesharing SL (Oiz), Tucycle Bikesharing SL (Tucycle) y Eco-logica Turismo Sostenible SL (Iberscot), solicita iniciar el correspondiente expediente de revocación de licencias y la adopción de las correspondientes sanciones o medidas necesarias. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 19/04/2021 se dio traslado de dicha reclamación a OIZ, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 22/04/2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 21/05/2021, se recibe en esta Agencia escrito de respuesta en el que OIZ manifiesta: “OIZ es una compañía que desarrolla su actividad económica en el sector de la movilidad eléctrica compartida, y en concreto, ha sido adjudicataria de un número determinado de licencias temporales de uso común especial del dominio público para el estacionamiento de ciclomotores de uso compartido en la ciudad de Barcelona... En primer lugar, es importante destacar que el pasado 26 de enero de 2021, tras el requerimiento realizado por la AEPD (nº de requerimiento E/10004/2020), OIZ presentó un escrito informativo en el que se detallaba información sobre las cuestiones solicitadas. La AEPD tras su recepción y posterior análisis decidió tramitar el archivo del requerimiento, al considerar que por parte de OIZ no existe vulneración alguna de la normativa vigente relativa a Protección de Datos… Sin perjuicio de las manifestaciones precedentes, OIZ… ha procedido a realizar nuevamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/25 una revisión interna para verificar la Política de Privacidad… En la revisión realizada se ha detectado que, por un error técnico, el enlace al listado de plataformas colaboradoras en la ciudad de Barcelona, facilitado para mejor información del usuario, no se encontraba activo, lo que ha sido corregido y habilitado… La revisión ha permitido constatar que con carácter general se ofrece información adecuada y comprensible a los usuarios que existe la posibilidad de que se comuniquen datos personales de los usuarios que hayan realizado un registro previo en la Aplicación de un operador de movilidad que colabore con OIZ, siempre y cuando lo consientan expresamente de forma previa. Las mejoras introducidas a raíz del primer requerimiento de la AEPD se consideran adecuadas y suficientes… En relación con la consideración primera sobre funcionamiento de OIZ a través de su aplicación y en relación con plataformas de agregación, OIZ conviene manifestar que: …OIZ ofrece sus servicios a través de diversas plataformas para ofrecer un servicio de mayor calidad a sus usuarios, entre estas se encuentra la plataforma Reby, una plataforma que en Barcelona actúa como un agregador de movilidad compartida, lo que se conoce como una plataforma Mobility as a Service. Consideramos que no procede reiterar cuál es el proceso de registro de los usuarios, ni el mecanismo de recogida del consentimiento de los usuarios para la obtención de sus datos en la aplicación de OIZ al haberlo contado de manera detallada en la respuesta a la anterior reclamación llevada a cabo por la Agencia... En la reclamación que nos concierne se hace especial referencia a la app de Reby, a través de la cual se pueden alquilar motos de OIZ, procedemos a explicar a continuación cómo funciona: 1. El usuario se debe dar de alta en la app de Reby, aceptando expresamente tanto los Términos y Condiciones de la app como su Política de Privacidad. En ese proceso de alta, Reby se convierte en responsable del tratamiento de los datos personales del usuario una vez éste ha prestado su consentimiento. 2. En el caso de que el usuario quiera hacer uso de los servicios ofrecidos por OIZ, uno de los operadores del servicio de alquiler que está integrado en el agregador, deberá darse de alta como usuario previamente. 3. En este caso, para facilitar el proceso de registro al usuario en la app de Reby en OIZ, se pide al usuario que consienta previamente y expresamente que Reby pueda comunicar a OIZ una serie de datos. De este modo resulta más sencillo para el usuario acceder a un nuevo servicio desde la aplicación de Reby. Teniendo en cuenta los pasos apenas expuestos consideramos que los usuarios de OIZ vienen cumpliendo el requisito de otorgar su consentimiento expreso para la comunicación de sus datos a otros operadores de movilidad, al contrario de lo alegado por el ayuntamiento. OIZ, por otro lado, explica en su Política de Privacidad que en determinados supuestos recibirá datos de terceras empresas que son colaboradoras, siempre con autorización. En relación con la consideración segunda sobre el funcionamiento del sistema de pago de los usuarios de OIZ, conviene manifestar que: El sistema pago de OIZ es un sistema de pago seguro y sencillo, que funciona a través de un token de pago. La tokenización es un proceso por el cual se cambian determinados datos que pueden considerarse como personales o sensibles, por un valor aleatorio o token. Es un sistema muy utilizado en las transacciones bancarias, ya que permite sustituir los números de la tarjeta por otro valor único, que no revela la identidad del dueño de la tarjeta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/25 …los pagos de los Usuarios se gestionan de forma segura a través de la entidad Kernel Labs, S.L.U… que actúa en calidad de encargada de tratamiento. Los datos de pago los trata única y exclusivamente Kernel… El sistema funciona de la siguiente manera; 1. Aunque el usuario introduzca los datos bancarios en la aplicación de OIZ esta no almacena los datos, sino que directamente los traslada a Kernel, que por el referido contrato es quién se encarga de hacer las comprobaciones para cerciorarse de que dicho medio de pago es válido… 2. Una vez verificado, le traslada a OIZ un Card Token o tarjeta digital. El Card Token reemplaza los datos sensibles de las tarjetas por un código único identificativo. 3. Las tarifas aplicables al servicio se cobran por OIZ de forma automática, una vez finalizado el desplazamiento, a través del método de pago facilitados por el usuario. OIZ no dispone de los datos completos de la tarjeta facilitada por el usuario, sino del “token de pago” de la tarjeta o tarjeta digital del usuario en Kernel... Además de lo apenas referido consideramos pertinente indicar algunas ventajas de este sistema de pago… - Respecto a la app MaaS de Reby, la particularidad es que desde esa aplicación, un usuario de Reby que se haya dado de alta también en OIZ podrá consultar no sólo el saldo disponible en su tarjeta digital, sino también conocer un histórico de los viajes o trayectos que ha realizado en todos los servicios agregados en la aplicación en los que se haya dado de alta el usuario. Como se explicó en la respuesta al anterior requerimiento, OIZ comunica algunos de los datos personales del usuario, siempre con consentimiento expreso y previo del usuario, a otros operadores de movilidad compartida con los que mantiene una relación de colaboración. Entre estos datos se encuentra el “Token” de pago del usuario, es decir, el acceso al código numérico o “wallet” en el que se almacena el crédito introducido por el usuario personalmente y que permite cobrar los servicios prestados por OIZ al usuario… En resumen, el usuario es informado adecuadamente en la Política de Privacidad de que OIZ almacena los datos de su token de pago y puede recibir datos de su token de pago de otras empresas colaboradoras si así lo ha permitido el usuario…”. Junto al escrito aporta, entre otros, la siguiente documentación: . Copia de la Política de Privacidad en su versión de 21/05/2021. Del contenido de este documento cabe destacar lo siguiente: “Obtención de datos En OIZ obtenemos los datos personales de nuestros usuarios por tres vías, que te indicamos a continuación… 1. Datos introducidos por el propio usuario… 2. Datos obtenidos durante el uso del servicio… 3. Datos personales que proceden de terceras empresas colaboradoras. Al crear tu cuenta de Usuario, te pediremos permiso para verificar si ya estás registrado en otras plataformas de movilidad que colaboran con OIZ para poder obtener los siguientes datos, necesarios para prestarte nuestros servicios: . Datos de identificación (nombre, apellidos, DNI o pasaporte); . Dirección electrónica; . Carnet de conducir; . Token de pago. El token es un código numérico único formado por dígitos similares que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/25 reemplaza los datos de la tarjeta de crédito durante la transacción. Por lo tanto, no se transmitirán los datos de tu tarjeta sino únicamente este código seguro. De esta forma, tu proceso de registro en nuestra App será mucho más ágil, ya que no tendrás que volver a introducir manualmente todos los datos. OIZ solamente tendrá acceso a los datos que has informado a nuestros colaboradores en el caso de que nos des tu autorización previa. En ningún caso esos datos serán cotejados sin tu consentimiento. Puedes consultar la lista de plataformas de movilidad colaboradoras de OIZ en la ciudad de Barcelona en este enlace (https://oizbike.com/plataformas-de-movilidad-colaboradoras-en-la-ciudad-de-barcelona/)”. “7. Compartición de datos En OIZ te garantizamos que tus datos personales nunca serán comercializados con terceros. Sin embargo, queremos explicarte que, algunos de tus datos podrán ser cedidos, de manera segura y acorde a nuestras obligaciones como responsables del tratamiento de los mismos, a terceros con los que trabajamos para facilitar y mejorar nuestros servicios… Los Datos Personales del Usuario podrán ser cedidos a los siguientes destinatarios: . Entidades del Grupo OIZ… . Administraciones Públicas, Juzgados y Tribunales… . Proveedores que prestan servicios a OIZ… . Entidades de pago… . Entidades de movilidad colaboradoras de OIZ: cuando introduces tus datos personales en la plataforma de la App de OIZ, se te solicitará que autorices la cesión de dichos datos a terceras empresas colaboradoras con las que compartimos plataforma. El único objetivo de esta cesión es agilizar el proceso de registro en sus respectivas aplicaciones en caso de que desees registrarte y utilizar las mismas en un futuro. Esta cesión solamente se producirá con el consentimiento previo y expreso del usuario. Las empresas colaboradoras de OIZ son las indicadas en el apartado 3, de la presente Política de Privacidad”. En el escrito de respuesta al trámite de traslado de la reclamación, OIZ advierte que ya fue objeto de otras actuaciones precedentes similares, señaladas con el número E/10004/2020, en las que se acordó el archivo de la reclamación respectiva, una vez se comprobó el cumplimiento por parte de OIZ de la normativa de protección de datos personales. La resolución a la que hace referencia la citada entidad se dictó en fecha 25/02/2021 y resuelve una reclamación formulada contra las entidades TUCYCLE, AVANT, OIZ e IBERSCOT por la cesión de datos personales de los usuarios que se registran en las correspondientes "apps" móviles para acceder al servicio de alquiler de vehículos. En esta reclamación se advierte que cuando una persona se da de alta en una de las "apps" de estas entidades y posteriormente instala otra de ellas, la segunda reconoce al usuario y reutiliza los datos que le proporciona la otra "plataforma colaboradora", con la finalidad de "agilizar el proceso". Se añade que ninguna de estas entidades informa al usuario de la posibilidad de compartir datos de carácter personal a terceras empresas distintas de proveedores de servicios o empresas del grupo. Dicha reclamación fue igualmente trasladada a OIZ, conforme a lo dispuesto en el artículo 65.4 de la LOPDGDD, para que procediese a su análisis e informase de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Según consta en la citada resolución de archivo de actuaciones, en su respuesta al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/25 trámite de traslado, de fecha 27/01/2021, OIZ informó que había acometido modificaciones en sus políticas de privacidad para informar de la cesión de datos de los usuarios a terceras empresas colaboradoras con las que comparten plataforma, con el único objetivo de agilizar el proceso de registro en sus respectivas aplicaciones en caso de que un usuario desee registrarse y utilizar las mismas en un futuro, destacando que dicha cesión solamente se producirá con el consentimiento previo y expreso del usuario. Asimismo, en el apartado de obtención de datos personales, contemplan el supuesto de recibirlos procedentes de terceras empresas colaboradoras, siempre bajo autorización del interesado. Se indica que los datos extraídos son datos de identificación (nombre, apellidos, DNI o pasaporte); dirección electrónica; carnet de conducir y token de pago. De igual manera, informó que estaba en proceso de incorporar en el proceso de alta de usuario en su aplicación móvil un mecanismo para recoger su consentimiento a la obtención de sus datos a partir de otras plataformas de movilidad colaborativa, con el propósito de facilitar el proceso de registro. Una vez analizadas las razones expuestas, se consideró que no procedía el inicio de un procedimiento sancionador, por cuanto la tramitación de la reclamación conforme a lo dispuesto en el artículo 65.4 de la LOPDGDD dio lugar a la solución de las cuestiones planteadas, sin necesidad de depurar responsabilidades administrativas en el marco de un procedimiento sancionador. Ello sin perjuicio de que la Agencia, aplicando los poderes de investigación y correctivos que ostenta, pueda llevar a cabo posteriores actuaciones relativas al tratamiento de datos referido en la reclamación, como bien se señaló en la citada resolución de 25/02/2021. TERCERO: A.A.A. (en adelante, la parte reclamante) con fecha 26/05/2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra OIZ en relación con la comunicación de datos de usuarios entre distintas empresas que prestan servicio de bikesharing, por no informar a sus usuarios de tales comunicaciones y no recabar su consentimiento. En dicha reclamación se pone de manifiesto lo siguiente: La parte reclamante se registró como usuaria de OIZ en octubre de 2020, facilitando sus datos personales, fotografía de su DNI, carnet de conducir, un selfie y datos bancarios. Después del proceso de registro aceptó la política de privacidad, en la que se informa lo siguiente: “Los datos personales del usuario podrán ser cedidos a los siguientes destinatarios: Entidades del Grupo OIZ o que puedan llegar a ser miembros del grupo en un futuro (entendiéndose por grupo de empresas conforme a Io dispuesto en eI art. 42 del Código de Comercio), o a cualquier tercero que adquiera la totalidad o una parte sustancial de los activos de OIZ, con fines de gestión y administración del Grupo principalmente”. Con ese motivo contactó con el servicio de Atención al Cliente, que le informó sobre la cesión de sus datos personales a las entidades Ecológica Turismo Sostenible, S.L. (IBERSCOT), Avant Fullstep, S.L. (AVANT), Reby Rides, S.L. (REBY) y Tucycle Bike C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/25 Sharing, S.L., (TUCYCLE). Añade que accedió a las políticas de privacidad de todas las entidades indicadas, comprobando que ninguna informaba sobre los destinatarios de la comunicación de datos personales; que, en la actualidad, OIZ, AVANT y REBY siguen sin indicar a quién ceden los datos, mientras que TUCYCLE e IBERSCOT sí lo indican; y que no recibió información de OIZ sobre la modificación de la app y de su política de privacidad. Advierte que la nueva configuración de la app, al inicio del proceso de alta, solicita el consentimiento del usuario para la cesión de sus datos personales a empresas colaboradoras, pero sin indicar los destinatarios y sin permitir completar el proceso de alta en caso de no prestar dicho consentimiento. En relación con esta cuestión, aporta dos capturas de pantalla de las Apps de IBERSCOT y OIZ, ambas con la misma estructura e información. En esta pantalla se requiere al usuario un número de línea de telefonía y se ofrecen dos casillas para marcar sendas opciones con el siguiente texto: “Continuando confirmo que tengo 18 años o más y que acepto que… (nombre de la entidad: OIZ o IBERSCOT), en su condición de responsable del tratamiento ( ) Trate mis datos para la prestación del servicio contratado según los Términos y Condiciones y Política de Privacidad que he leído y acepto” ( ) Consiento que… (nombre de la entidad: OIZ o IBERSCOT) compruebe si ya estoy registrado/a en otras plataformas de movilidad colaborativa para facilitar el proceso de registro”. La parte reclamante manifiesta que realizó el proceso de registro en la app de IBERSCOT, similar al de OIZ, con la misma sucesión de pantallas, datos solicitados, avisos, etc. Tras marcar la casilla de verificación, necesaria para continuar, recibió el mensaje siguiente: “Tras comprobarlo, hemos detectado que ya te has registrado en Oiz. Aceptas que este nos comunique a Iberscot los siguientes datos para agilizar el proceso de registro, con el fin de prestarte nuestros servicios: nombre, apellidos, email, DNI/Carnet de conducir/Pasaporte, token de pago.” Aporta captura de pantalla en la que figura el texto anterior y dos botones: uno con el texto “volver a registrar” y otro con el texto “entendido”. Considera la parte reclamante que la información ha tenido que ser ya compartida, al menos parcialmente, para que IBERSCOT pueda saber que se dio de alta previamente en OIZ. Señala que probó a denegar el permiso pulsando el botón “volver a registrar” y comprueba que no puede introducir los datos sin autorizar la compartición, que al optar por “volver a registrar” la APP lleva de nuevo a la pantalla de inicio, donde comienza el mismo proceso, la misma verificación SMS y la misma pantalla. Sin pulsar la opción “Entendido” no se puede continuar el proceso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/25 Que lo dicho es igual en el caso de OIZ, IBERSCOT, AVANT y TUCYCLE (aporta captura de pantalla con las opciones antes señaladas para la aceptación de los Términos y Condiciones y la Política de Privacidad, y para aceptar la comprobación del registro previo en otras plataformas), siendo algo distinto en el caso de REBY. Al entrar en IBERSCOT comprueba que ya están volcados todos sus datos (aporta captura de pantalla con los datos relativos a nombre, apellidos, mail, número de teléfono, dirección y tarjeta bancaria). Posteriormente, añadió saldo en IBERSCOT para empezar a utilizarla y dicho saldo se actualizó también en la app de OIZ y el resto de compañías indicadas (aporta captura de pantalla con la actualización del saldo en OIZ). Con su reclamación aporta la documentación siguiente:

  1. a)Copia de las conversaciones mantenidas con el servicio de Atención al Cliente de OIZ con ocasión de la consulta que la parte reclamante realiza en fecha 02/10/2021 para que informen a qué entidades ceden sus datos personales. De las respuestas ofrecidas por OIZ destacamos las siguientes: “… Somos varias empresas que trabajamos juntos, prestamos el mismo servicio y colaboramos entre sí para beneficio del cliente. En caso de que se comparta información del cliente de una empresa a otra siempre le pedirá su autorización y consentimiento para hacerlo… Los datos nunca son cedidos a ninguna empresa que el usuario no haya dado su consentimiento…”. “Las empresas son las siguientes. Reby, OIZ, Iberscot, Tucycle y Avant”. “Se trata de una colaboración para ofrecer un servicio más cómodo; de forma que si te descargas la app de cualquiera de estas empresas, ya no necesitas validar tu información en cada una de ellas”.
  2. b)Extracto de la política de privacidad disponibles en la web de OIZ, aunque no está referido a la comunicación de datos personales a entidades terceras. CUARTO: Con fecha 18/06/2021, por la Subdirección General de Inspección de Datos se accede a la Política de Privacidad de OIZ, disponible en la web oizbike.com. Del contenido de este documento, en el que consta la indicación “actualizado a 25/05/2021”, cuyo contenido coincide con el reseñado en el Antecedente Segundo. En la misma fecha del 18/06/2021 se comprobó, asimismo, que en la web oizbike.com constan las “Plataformas de movilidad colaboradoras en la ciudad de Barcelona-OIZ”: AVANT, IBERSCOT, OIZ, REBY y TUCYCLE. QUINTO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a OIZ, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/25 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 05/07/2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 05/08/2021 se recibe en esta Agencia escrito de respuesta de OIZ en el que, después de indicar que la reclamación se ha presentado por competidores que no se han dirigido de manera directa a OIZ para resolver las cuestiones, aporta la información siguiente: . OIZ es una empresa de movilidad eléctrica compartida que ofrece servicios de alquiler de motos a través de aplicación móvil en la ciudad de Barcelona con licencia del Ayuntamiento de esta ciudad. Para ofrecer el servicio se sirve de diversas plataformas que permiten al usuario contratar los servicios, entre las que se encuentra la de la entidad REBY, la cual ofrece a OIZ un servicio de agregación a través de su App móvil. . En fecha 21/05/2021, unos días antes de que se interpusiera la reclamación, actualizó su Política de Privacidad, que se encuentra accesible en su web, y amplió la información facilitada a los usuarios en durante el proceso de registro. Aporta el documento, cuyo texto, en relación con la cesión de datos personales a entidades de movilidad colaboradoras coincide con el que consta reseñado en el Antecedente Segundo. . OIZ puede llevar a cabo una cesión de los datos personales a otras entidades de movilidad colaboradoras siempre previa autorización del interesado. . Los datos son cedidos a empresas colaboradoras de OIZ, que no son empresas de un grupo en el sentido del artículo 42 del Código de Comercio. . El objeto único de dicha cesión es agilizar el proceso de registro en las respectivas aplicaciones de las entidades colaboradoras, en el caso de que el usuario desee registrarlas y usarlas en un futuro. . Tal y como se informa en la Política de Privacidad, la información no se comparte por defecto con los posibles destinatarios, sino solo cuando se haya obtenido de manera previa el consentimiento expreso del usuario durante el proceso de registro en la app de OIZ o durante el registro en la app de otra de las entidades colaboradoras, que pueden consultarse en la web. . Sobre la incidencia manifestada por la parte reclamante en relación con el “permiso” para la cesión, advierto OIZ que la misma no contactó con la entidad en ese momento para comprobar si se estaba produciendo un error en la aplicación que justificara dicha circunstancia. Y añade que de las capturas de pantalla aportadas no permiten comprobar cuál era la situación. . La comprobación sobre la existencia de un registro previo solo se realiza si el interesado lo consiente. En este caso, se comprueba si el número de teléfono ya se ha registrado previamente en una de las entidades colaboradoras. Se informa del resultado de la comprobación al cliente y, en su caso, se le solicita el consentimiento para completar la información, simplificando así el registro. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/25 . OIZ no tiene acceso a los datos de cobro, que son registrados directamente por el proveedor de servicios de pago, tal y como se informa al interesado. El sistema genera un código numérico o token de pago anónimo, que no permite acceder a los datos personales, el cual puede ser compartido con otras entidades colaboradoras con el consentimiento expreso del usuario. Las entidades, incluida OIZ, solo conocen el saldo para poder informar al usuario si puede hacer uso del servicio o no. . Actualmente, únicamente es necesario para los usuarios aceptar los Términos y Condiciones, así como la Política de Privacidad de OIZ para que los usuarios puedan completar su proceso de registro, y no se comprueba si un usuario se ha registrado previamente en las entidades colaboradoras. Se aporta captura de pantalla de la aplicación OIZ, donde consta un único check box con el texto “Trate mis datos para la prestación del servicio contratado según los términos y condiciones y política de privacidad que he leído y acepto”. . Mantiene la relación de prestación de servicios con REBY, que le permite el uso de la plataforma de esta entidad, como servicio de agregación que aúna en una única plataforma diferentes opciones. En el mismo escrito de respuesta al trámite de traslado, OIZ advierte nuevamente que ya fue objeto de otras actuaciones precedentes similares, señaladas con el número E/ 10004/2020, en las que se acordó el archivo de la reclamación respectiva, una vez se comprobó el cumplimiento por parte de OIZ de la normativa de protección de datos personales. SEXTO: Con fecha 06/10/2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. SÉPTIMO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos:
  3. a)Con fecha 22/02/2022 se comprueba que en la dirección web https://ajuntament.barcelona.cat/gracia/es/noticia/adjudicacion-definitiva-de-laslicencias-de-motos-y-bicis-de-uso-compartido_951038 constan como operadoras del servicio de motos TUCYCLE, AVANT, IBERSCOT y OIZ. Esta información está fechada el 19/05/2020 y corresponde a la adjudicación definitiva de licencias de motos de uso compartido (348 vehículos cada una de las entidades).
  4. b)Con fecha 21/03/2022, se recibe en la AEPD la respuesta elaborada por OIZ al requerimiento de información que le fue efectuado por los Servicios de Inspección, en la que informa lo siguiente: . Los Servicios de Inspección solicitaron a OIZ la realización de distintas pruebas en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/25 versión actual de su aplicación para móviles, en la versión que estaba en producción el 19/08/2020 y en la que tenían previsto implantar. OIZ aclara que no puede llevar a cabo ninguna prueba en versiones pasadas de la aplicación por imposibilidad técnica, al haberse cambiado la infraestructura y por la tecnología en que se basan estas aplicaciones. En relación con la aplicación actual, informa que, tras los requerimientos de la AEPD y las modificaciones realizadas para simplificar los procesos, no se comprueba si un usuario se ha registrado en entidades colaboradoras de movilidad como AVANT, IBERSCOT o TUCYCLE, que no existe cesión de datos entre estas entidades y que únicamente existe relación con REBY, que actúa como encargada del tratamiento de OIZ y presta el servicio desde la aplicación de la propia REBY. Asimismo, en relación con el servicio de saldo de la aplicación, señala que está en proceso para integrarse en un nuevo proveedor. En la prueba realizada para el registro de un usuario nuevo, después de cumplimentar los datos, no se requiere la prestación del consentimiento para la comunicación de datos a otras entidades. A este respecto, aporta capturas de pantalla de la aplicación. En la primera pantalla del proceso de registro, en la que se introduce el número de teléfono, consta una única casilla para marcar (y desmarcada por defecto) con el texto siguiente: “Trate mis datos para la prestación del servicio contratado según los Términos y Condiciones y Política de Privacidad que he leído y acepto”. . Se requirió, por otra parte, que OIZ aportase el detalle que consta en sus sistemas de información sobre consentimientos otorgados y no otorgados de usuarios reales entre el 19/08/2020 y la actualidad. OIZ informó que el 16/08/2021 cesaron las comunicaciones de datos desde su aplicación hacia otras aplicaciones colaboradoras, de modo que los consentimientos obtenidos son anteriores a dicha fecha, y que actualmente los únicos consentimientos que constan son los que provienen del servicio de agregación que ofrece la empresa REBY. De la misma forma, OIZ solo recibe datos personales provenientes del servicio de agregación que ofrece la empresa REBY y únicamente de aquellos usuarios que hayan aceptado expresamente que REBY le transmita sus datos personales. . Que en el momento del registro del usuario no se llevan comprobaciones para conocer si el usuario está registrado en otras plataformas. “Únicamente puede darse el caso, en el uso de la aplicación de Reby Rides, S.L., quien actúa en calidad de encargado del tratamiento, en el supuesto de que un usuario quiera hacer uso del servicio de agregación de movilidad, con un vehículo de OIZ; momento en el cual será advertido de que, para la prestación del servicio, OIZ tendrá acceso a los datos facilitados. No obstante, no se realizan comprobaciones en otras bases de datos, ya que los datos son actualizados directamente en la base de datos de OIZ”. . Aportó resultados de bases de datos con el contenido de los consentimientos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/25 otorgados por los usuarios. Constan exclusivamente los campos “User_id” siendo éste, según manifiesta, el identificador único asociado al usuario, un campo de fecha de obtención del consentimiento “consent_timestamp” y un campo descriptivo del consentimiento “consent_from” el cual adopta únicamente los valores “consent-fromreby-app”, “consent-from-co-app”, “other”. . Aportó copia del Registro de Actividades del Tratamiento (RAT) en sus versiones de agosto de 2020 y agosto de 2021 En la versión de agosto de 2020, en el detalle relativo a los tratamientos que TUCYCLE lleva a cabo para la gestión, prestación y facturación del servicio se indican las categorías de destinatarios a quienes se comunican los datos: “Terceras empresas de movilidad que prestan sus servicios conjuntamente; Ayuntamiento de Barcelona; administraciones públicas, juzgados y tribunales; entidades del grupo Oiz; proveedores de servicios administrativos, contables, fiscales, informáticos y de marketing; entidades de pago; autoridades de tráfico”. En la versión de agosto de 2021, respecto de los mismos tratamientos y comunicaciones de datos se indica: “Ayuntamiento de Barcelona; administraciones públicas, juzgados y tribunales; proveedores de servicios administrativos, contables, fiscales, informáticos y de marketing; entidades de pago; autoridades de tráfico”. . OIZ aportó copia de las distintas versiones de su Política de Privacidad, de fechas 24/06/2020, 19/01/2021, 21/05/2021 y 21/03/2022. La versión de fecha 24/06/2020 incluye el siguiente apartado relativo a la comunicación de datos personales: “7. ¿Compartimos tus datos personales con terceros?” Sí. Compartimos tus Datos Personales (
  5. i)con otras entidades del grupo OIZ, (
  6. ii)con proveedores externos que nos ayudan con diferentes cuestiones relacionadas con el Servicio y (iii) con autoridades u organismos públicos...”. Los apartados correspondientes a la procedencia de los datos personales y a la comunicación de datos a terceros de las versiones de fecha 19/01/2021 y 21/05/2021 coinciden con la información reseñada en el Antecedente Segundo. Estos apartados se modifican en la versión de 21/03/2022, quedando como sigue: “3. Obtención de datos. En OIZ obtenemos los datos personales de nuestros usuarios por tres vías, que te indicamos a continuación… I. Datos introducidos por el propio Usuario... C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/25 ll. Datos obtenidos durante el uso del Servicio... III. Datos personales del servicio de agregación. Si eres usuario del servicio de agregación de movilidad prestado por Reby Rides S.L., en el momento en que quieras conducir un vehículo de OIZ se te informará de que para la realización del viaje tus datos serán compartidos entre Reby y OIZ, en virtud de la relación que mantenemos, siendo Reby Rides, S.L. nuestro encargado del tratamiento. La compartición de estos datos es necesaria para prestarte nuestros servicios: Datos de identificación (nombre, apellidos, DNI o pasaporte); Dirección electrónica; Carnet de conducir; Token de pago. El token es un código numérico único formado por dígitos similares que reemplaza los datos de la tarjeta de crédito durante la transacción. Por lo tanto, no se transmitirán los datos de tu tarjeta sino únicamente este código seguro”. “7. Compartición de datos” En OIZ te garantizamos que tus datos personales nunca serán comercializados con terceros. Sin embargo, queremos explicarte que, algunos de tus datos podrán ser cedidos, de manera segura y acorde a nuestras obligaciones como responsables del tratamiento de los mismos, a terceros con los que trabajamos para facilitar y mejorar nuestros servicios… Los Datos Personales del Usuario podrán ser cedidos a los siguientes destinatarios: . Administraciones Públicas, Juzgados y Tribunales… . Proveedores que prestan servicios a OIZ… . Entidades de pago… . Autoridades de tráfico…”. . Se aporta copia de contrato de encargo del tratamiento por REBY (encargado del tratamiento) y OIZ (responsable del tratamiento) de fecha 27/02/2020. En este contrato se estipula que el encargado del tratamiento ejecutará los siguientes servicios, entre otros: la prestación del servicio de la plataforma y App al responsable del tratamiento y servicios de mantenimiento de la Plataforma y de la App.
  7. c)Con fecha 05/05/2022, se recibe en la AEPD la respuesta elaborada por OIZ a un segundo requerimiento de información que le fue efectuado por los Servicios de Inspección, en la que manifiesta lo siguiente: . Que los datos empezaron a compartirse con fecha 04/08/2020 y dejaron de compartirse con fecha 16/08/2021. . Que al usuario se le solicita consentimiento en el momento de verificar si ya está registrado en otro operador de movilidad y para importar sus datos desde otro operador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/25 Aporta capturas de pantalla de la antigua versión de la app donde consta, en la primera pantalla, constan con dos check box donde consta el siguiente texto: “Trate mis datos para la prestación del servicio contratado según los términos y condiciones y política de privacidad que he leído y acepto” “Consiento que OIZ compruebe si ya estoy registrado/a en otras plataformas de movilidad colaborativa para facilitar el proceso de registro.” Y consta un botón “Continuar” en la parte inferior de la pantalla. En la segunda pantalla consta el texto: “Tras comprobarlo, hemos detectado que ya te has registrado en [incluir nombre del Operador]. Aceptas que este nos comunique a OIZ los siguientes datos para agilizar el proceso de registro, con el fin de prestarte nuestros servicios: nombre, apellidos, email, DNI/ Carnet de conducir/Pasaporte, token de pago. Te recordamos que puedes ejercitar tus derechos según se describe en nuestra Política de Privacidad.” Y constan dos opciones; una con el texto “Volver a registrarme” y otro de “¡Entendido!”. . Que en relación con el consentimiento “consent-from-co-app” manifiesta: “La finalidad era autorizar a OIZ a comprobar si el usuario ya estaba registrado en alguno de los otros operadores de movilidad colaboradores. Si este usuario ya estuviera registrado en otro de los operadores de movilidad, se procedía a importar sus datos con el objetivo de agilizar el proceso de registro.” “[…]confirmamos que sendos consentimientos se refieren al mismo tipo de consentimiento para la importación de los datos del usuario. El consentimiento denominado "Consent-from-co-app" es el nombre que actualmente se ha dado a los consentimientos recogidos con anterioridad al cambio del 16 de agosto de 2021 y que, de acuerdo con la prescripción de las infracciones consideradas muy graves del artículo 71 de la Ley Orgánica de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/25 Personales y Garantía de los Derechos Digitales, podrá archivarse durante un período de 3 años.” . Que los datos se compartían entre los operadores REBY, TUCYCLE, IBERSCOT y AVANT. . “[…]la base de datos a la que tenía acceso OIZ antes del cambio producido el 16 de agosto de 2021, sólo podía consultarse si el usuario había autorizado a OIZ para tener acceso a su perfil y si este acceso se le había concedido desde OIZ o, si se había otorgado desde la aplicación de Reby en caso de querer utilizar un vehículo propiedad de OIZ en el servicio de agregación.” . Que los datos compartidos eran nombre, apellidos, teléfono móvil, email, DNI o pasaporte, Carnet de conducir y token de pago. . “Según nuestros datos, existen 718 usuarios que fueron dados de alta inicialmente en la aplicación de OIZ y, posteriormente, siempre que el usuario diera su consentimiento, fueron importados por otro o otros operadores colaboradores, de los que se han listado en el apartado 1.d anterior.” . En relación a las medidas que tenían implantadas para que los operadores accedieran a la misma base de datos, manifiesta: (…) Hay que destacar que los datos de los usuarios en ningún momento se compartían (en sentido estricto) entre los operadores de movilidad, es decir, antes del cambio del 16 de agosto de 2021 existía un único perfil de usuario al que se concedía acceso a los operadores o no, en función de los consentimientos otorgados por el usuario”. OIZ aporta un listado con todos los consentimientos tipo “consent-from-co-app” donde constan 5955 registros de consentimiento y un rango de fechas para el campo ”consent_timestamp” entre el 30/06/2020 hasta el 22/03/2022. Que el campo “Consent-from-co-app” no existía en la anterior versión de la aplicación, sino que es el nombre actual que se ha dado a los consentimientos anteriores al cambio producido tras el 16/08/2021. OCTAVO: Mediante resolución de fecha 13/10/2022 se declaró la caducidad de las actuaciones previas de investigación reseñadas en el Antecedente Séptimo, por el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/25 transcurso del plazo de doce meses contados desde la admisión a trámite de la reclamación sin que se hubiese dictado acuerdo de inicio de procedimiento sancionador. En la misma resolución indicada se acordó, asimismo, abrir nuevas actuaciones de investigación e incorporar a estas nuevas actuaciones la documentación que integra las actuaciones previas que se declaran caducadas. NOVENO: En las nuevas actuaciones previas de investigación acordadas se llevan a cabo las comprobaciones siguientes: . Con fecha 27/02/2023 se comprueba que la App OIZ no permite el registro de nuevos usuarios. . Con fecha 03/03/2022 se comprueba en la aplicación OIZ que, en la primera pantalla del proceso de registro de un nuevo usuario, donde se introduce el número de teléfono, consta una única casilla para marcar (y desmarcada por defecto) con el texto siguiente “Trate mis datos para la prestación del servicio contratado según los Términos y Condiciones y Política de Privacidad que he leído y acepto”. . Con motivo de las reclamaciones reseñadas también se llevaron a cabo actuaciones previas de investigación ante la entidad REBY, en el marco de las cuales se realizó una inspección en los locales de la entidad en Barcelona, en fecha 07 y 08/03/2023. Durante esta inspección, los representantes de la citada entidad realizaron las manifestaciones siguientes, que constan recogidas en el Acta de Inspección respectiva, la cual fue suscrita por todos los intervinientes: “2.1. Que proporcionan toda la plataforma tecnológica, incluido el desarrollo de la APP móvil y la base de datos asociada, a los operadores Eco-Lógica Turismo Sostenible, S.L. (en adelante IBERSCOT), Oiz Ridesharing, S.L. (en adelante OIZ), Tucycle Bikesharing, S.L. (en adelante TUCYCLE) y Avant Fullstep, S.L. (en adelante AVANT) los cuales prestan un servicio de movilidad en la ciudad de Barcelona. (…) 2.2. Que respecto a si los operadores IBERSCOT, OIZ, TUCYCLE, AVANT siguen dando servicio manifiestan que ya no dan servicio desde el 16 de febrero de 2023. 2.3. (…) 2.4. Que actualmente REBY ha cesado completamente su actividad. 2.5. En relación con los contratos del servicio de la plataforma tecnológica y APP, incluyendo el servicio de agregación, prestada por REBY a los operadores aporta dichos contratos… 2.6. Que no tienen conocimiento de que los operadores puedan tener contratos de colaboración entre ellos en el contexto del servicio que presta REBY. 2.7. Que solo existe un contrato de encargo del tratamiento por parte de REBY, que es el que ya han facilitado a la Agencia con anterioridad. En relación al acceso de los operadores a la base de datos y herramientas asociadas de consulta a la base de datos manifiestan: 2.8. Que REBY solo proporcionaba a cada operador informes con datos agregados o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/25 estadísticos de uso de la flota del operador en cuestión. Que no pueden aportar ninguna petición de los operadores relativa a esos informes. 2.9. (…) 2.10. Que a las herramientas de consulta de base de datos (…) sí tenían acceso directo los respectivos operadores. Sin embargo, a través de estas herramientas solo tenían acceso a sus propios usuarios. 2.11. (…) (…) En relación a la compartición de datos entre todos los operadores: 2.14. Que todas las tablas de la base de datos son comunes a todos los operadores. 2.15. Que la persona que accede a los datos en REBY como prestador de servicios a los operadores es la misma que accede por parte de REBY prestando sus servicios en calidad de operador independiente. 2.16. Que con anterioridad a agosto 2021 solo existía 1 registro en base de datos por cada usuario. Que a dicho único registro accedían todos los operadores, aunque solo una vez que el usuario hubiera dado el permiso en la APP de cada operador. 2.17. Que con posterioridad a agosto 2021 existía en base de datos 1 registro por cada usuario y por cada operador en el que estuviera dado de alta. Que, en la migración, se tuvieron que replicar de forma forzada los registros únicos por usuario que existían previamente, tantas veces como operadores en los que se hubiera registrado. 2.18. Que, en potencia, y desde el punto de vista de los permisos de acceso a la base de datos, todas las APP de todos los operadores incluyendo a REBY, podían acceder a la base de datos completa tanto antes como después de agosto de 2021. En relación al consentimiento para la compartición de datos de los usuarios entre los operadores: 2.19. Que con anterioridad a agosto de 2021 no se permitía a un usuario registrarse si no daba el consentimiento para comprobar si su número de teléfono ya se había registrado con algún operador y, en caso afirmativo, para importar sus datos al operador en el que se está registrando. El motivo es porque solo existía un único registro por usuario en la base de datos al que necesitaban acceder todos los operadores. Un usuario se determina exclusivamente por el número de teléfono con el que se registraba. En el software no se podían definir distintos usuarios asociados a un mismo número de teléfono. 2.20. Que respecto a la primera pantalla de la App de los operadores donde consta: “Consiento que [OPERADOR] compruebe si ya estoy registrado/a en otras plataformas de movilidad colaborativa para facilitar el proceso de registro.” Que esa casilla había que marcarla forzosamente para continuar con el proceso de registro. 2.21. Que respecto a la segunda pantalla de la App de los operadores donde consta “Tras comprobarlo, hemos detectado que ya te has registrado en [incluir nombre del Operador]. Aceptas que este nos comunique a… [OPERADOR] los siguientes datos para agilizar el proceso de registro, con el fin de prestarte nuestros servicios: nombre, apellidos, email, DNI/ Carnet de conducir/Pasaporte, token de pago. Te recordamos que puedes ejercitar tus derechos según se describe en nuestra Política de Privacidad.” Y constan dos opciones; una con el texto “Volver a registrarme” y otro de “¡Entendido!”. Que al hacer clic en “Entendido” sí se registraba un consentimiento. Si se hacía clic en “Volver a registrarme”, se volvía a la pantalla inicial donde se introduce el número de teléfono para recibir un sms. 2.22. Que no recuerda cómo era el proceso para el caso de la App de REBY. 2.23. Que con anterioridad a agosto de 2021, por tanto, los cinco operadores compartían de forma automática todos los datos de los usuarios registrados, si previamente estos habían C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/25 dado consentimiento para importar sus datos, al existir 1 único registro en base de datos. 2.24. Que con anterioridad a agosto de 2021 la “importación” de datos desde otros operadores no era tal, sino que era realmente permitir el acceso al único registro de ese usuario existente en base de datos. 2.25. Que, con anterioridad a agosto de 2021, REBY también accedía al registro único de un usuario al igual que hacían el resto de operadores. Que desconocen dónde se encuentran los consentimientos del usuario para este acceso por parte de REBY. 2.26. Que, antes de agosto 2021, las App de todos los operadores, incluyendo REBY, funcionaban igual, que recuerden, es decir, si se quería dar de alta un usuario y ya estaba dado de alta en otro operador, pedían el consentimiento siempre. 2.27. Que antes de agosto de 2021, cuando un usuario hacía uso del servicio de agregación, REBY no cedía datos de ese usuario al operador del cual quería conducir el vehículo, asumiendo que ese usuario ya estuviera dado de alta en ese operador. Y que, en este caso, REBY, no recogía un nuevo consentimiento. Que no pueden aportar captura de pantalla de la app REBY con la interacción del usuario en este caso de uso por imposibilidad técnica. 2.28. Que, con posterioridad a agosto 2021, ya no se daba la opción de “importación” de los datos del usuario cuando un usuario estaba registrado en otro operador, por lo que el usuario debía de completar todo el proceso de registro. Que ningún operador pedía el consentimiento al usuario durante el proceso su registro, solo REBY para prestar el servicio de agregación. Que donde consten fechas del consentimiento posteriores a agosto 2021 es porque se refiere realmente a consentimientos dados desde app REBY por el uso del servicio de agregación. 2.29. Que la única tabla de la que tienen constancia que almacena consentimientos se llama ***TABLA.1. Que la descripción de campos de esta tabla es: id: identificador único del consentimiento timestamp: fecha del consentimiento y fecha en la que se crea el registro. origin_company_user_id: usuario que da el consentimiento (equivalente a su número de teléfono) destination_company:id: compañía a la que se le da el consentimiento para que acceda a los datos. type: desconocen su significado y siempre tiene el valor 1. 2.30. Que desconocen dónde se encuentran los consentimientos dados desde la app REBY. (…)”. Durante la inspección indicada, los Servicios de la AEPD accedieron a la base de datos que soporta el servicio de movilidad prestado por la propia REBY como operador, el servicio de agregación de movilidad que presta REBY, como también soporta la plataforma tecnológica y App móvil con la que operan el resto de operadores. Mediante este acceso se comprueba: 1. Que el número total de usuarios son: REBY 1,034,859 IBERSCOT 13,023 OIZ 14,657 TUCYCLE 10,604 AVANT 15,557 2. Que los datos asociados a un usuario dado de alta con posterioridad a agosto de 2021 en los distintos operadores, excluyendo REBY, pueden variar, incluyendo el token de pago y el saldo. 3. Que existen consentimientos en la tabla de consentimientos ***TABLA.1 para los operadores TUCYCLE, AVANT, OIZ, IBERSCOT. Se comprueba que no consta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/25 registros asociados a REBY. 4. Que la fecha de consentimiento más antigua es 29/05/2020 08:44. 5. Se comprueba que: a. Para el operador AVANT el primer consentimiento consta de fecha 29/05/2020 y el último de fecha 14/02/2023. b. Que el consentimiento más antiguo dado desde IBERSCOT es en fecha 30/06/2020 y el más reciente es en fecha 12/02/2023. c. Que el consentimiento más antiguo dado desde OIZ es en fecha 30/06/2020 y el más reciente es en fecha 12/02/2023. d. Que el consentimiento más antiguo dado desde TUCYCLE es en fecha 30/06/2020 y el más reciente es en fecha 13/02/2023. 6. Que la forma de conocer a qué operadores ha cedido los datos un operador en cuestión, o siquiera si los ha cedido o no, es con el siguiente procedimiento: Para un usuario concreto, hay que buscar en la tabla de sesiones las primeras sesiones de ese usuario para cada operador, es decir, cuándo fue la primera vez que ese usuario utilizó la app de cada operador. Si la primera sesión de todas es del operador en cuestión, se infiere que ha debido “ceder” los datos al resto de operadores cuya primera sesión para ese usuario son posteriores. Se comprueba que la fecha de la primera sesión en un operador coincide con la fecha del consentimiento dado desde ese operador. En el correspondiente informe de actuaciones previas de investigación, los Servicios de Inspección de la AEPD concluyen lo siguiente: “3. Se comprueba que actualmente ni la App REBY ni la App OIZ permiten el registro de nuevos usuarios. REBY manifiesta que actualmente ha cesado completamente su actividad y que está en situación preconcursal. No se ha podido constatar, por no haberse requerido, la situación actual de OIZ en este sentido. 4. En relación a la compartición de datos entre operadores y al consentimiento, REBY manifiesta que: a. Con anterioridad a agosto de 2021, solo existía un único registro por cada usuario, al que tenían acceso todos los operadores. Por tanto, se compartía de forma completa y en todo momento todos los datos asociados al usuario, entre todos los operadores, entre otros, nombre, apellidos, teléfono móvil, email, DNI o pasaporte, Carnet de conducir, token de pago, saldo. b. Con anterioridad a agosto de 2021, el consentimiento que da el usuario no es para importar datos pues nada se importa, es para acceder al registro único del usuario. c. Que, con anterioridad a agosto de 2021, no se permitía a un usuario registrarse si no daba el consentimiento para comprobar si su número de teléfono ya se había registrado con algún operador y, en caso afirmativo, para “importar” sus datos al operador en el que se está registrando. Dado que OIZ informa de que no pueden disponer de las versiones antiguas de su App por cuestiones técnicas, no se ha podido constatar si, para completar el registro en la App, era un requisito para el usuario otorgar el consentimiento para el cotejo de datos. d. La compartición de datos entre operadores comenzó, según manifiesta en fecha 04/08/2020, sin embargo se comprueba que el consentimiento más antiguo es de fecha 30/06/2020. También manifiesta que la compartición de datos existió hasta el 16 de agosto de 2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/25 Se ha constatado que, en una fecha posterior a agosto de 2021, la app OIZ ya no recogía consentimientos… 8. Constan deficiencias en la información facilitada a los usuarios en la política de privacidad: a. En fecha de 24 de junio 2020 no informaban a los usuarios acerca de la compartición de datos con otros operadores ni cuáles eran. Consta que en fecha 19 de enero de 2021 sí informaban”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
  8. f)y
  9. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para dictar la presente resolución la Directora de la Agencia Española de Protección de Datos. II Posibles infracciones Con fecha 06/11/2020, tuvo entrada en esta Agencia una reclamación dirigida contra las entidades TUCYCLE, AVANT, OIZ e IBERSCOT por la cesión de datos personales de los usuarios que se registran en las correspondientes "apps" móviles para acceder al servicio de alquiler de vehículos. En esta reclamación se advierte que cuando una persona se da de alta en una de las "apps" de estas entidades y posteriormente instala otra de ellas, la segunda reconoce al usuario y reutiliza los datos que le proporciona la otra "plataforma colaboradora", con la finalidad de "agilizar el proceso". En la misma reclamación se ponía de manifiesto que ninguna de estas entidades informaba al usuario que sus datos personales se compartían con terceras empresas, que se compartían entre las entidades mencionadas. Esta reclamación dio lugar a las actuaciones señaladas con el número E/10004/2020, en las que, mediante resolución de 25/02/2021, se acordó el archivo de la reclamación respectiva por no proceder el inicio de un procedimiento sancionador al haber sido atendida la reclamación. El archivo de actuaciones se acordó después de seguir los trámites regulados en el artículo 65.4 de la LOPDGDD, previstos para evaluar si procede o no admitir a trámite la reclamación de que se trate. Este artículo dispone lo siguiente: “4. Antes de resolver sobre la admisión a trámite de la reclamación, la Agencia Española de Protección de Datos podrá remitir la misma al delegado de protección de datos que hubiera, en su caso, designado el responsable o encargado del tratamiento o al organismo de supervisión establecido para la aplicación de los códigos de conducta a los efectos previstos en los artículos 37 y 38.2 de esta ley orgánica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/25 La Agencia Española de Protección de Datos podrá igualmente remitir la reclamación al responsable o encargado del tratamiento cuando no se hubiera designado un delegado de protección de datos ni estuviera adherido a mecanismos de resolución extrajudicial de conflictos, en cuyo caso el responsable o encargado deberá dar respuesta a la reclamación en el plazo de un mes”. A su vez, el artículo 37 de la LOPDGDD citado en el precepto anterior establece: “Artículo 37. Intervención del delegado de protección de datos en caso de reclamación ante las autoridades de protección de datos. 1. Cuando el responsable o el encargado del tratamiento hubieran designado un delegado de protección de datos el afectado podrá, con carácter previo a la presentación de una reclamación contra aquéllos ante la Agencia Española de Protección de Datos o, en su caso, ante las autoridades autonómicas de protección de datos, dirigirse al delegado de protección de datos de la entidad contra la que se reclame. En este caso, el delegado de protección de datos comunicará al afectado la decisión que se hubiera adoptado en el plazo máximo de dos meses a contar desde la recepción de la reclamación. 2. Cuando el afectado presente una reclamación ante la Agencia Española de Protección de Datos o, en su caso, ante las autoridades autonómicas de protección de datos, aquellas podrán remitir la reclamación al delegado de protección de datos a fin de que este responda en el plazo de un mes. Si transcurrido dicho plazo el delegado de protección de datos no hubiera comunicado a la autoridad de protección de datos competente la respuesta dada a la reclamación, dicha autoridad continuará el procedimiento con arreglo a lo establecido en el Título VIII de esta ley orgánica y en sus normas de desarrollo. 3. El procedimiento ante la Agencia Española de Protección de Datos será el establecido en el Título VIII de esta ley orgánica y en sus normas de desarrollo. Asimismo, las comunidades autónomas regularán el procedimiento correspondiente ante sus autoridades autonómicas de protección de datos”. De acuerdo con lo señalado, el indicado mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos consiste en dar traslado de las mismas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, o a éstos cuando no los hubieren designado, para que procedan al análisis de las reclamaciones y a darles respuesta en el plazo de un mes. De este modo, cuando las acciones llevadas a cabo a la vista de la reclamación den respuesta a las cuestiones suscitadas por la parte reclamante y la entidad responsable adopte las medidas necesarias para adecuar su actuación a los requisitos previstos en la normativa de protección de datos, la AEPD podrá acordar no continuar el procedimiento que sigue a la admisión a trámite, establecido en el Título VIII de la LOPDGDD, que contempla la posibilidad de realizar actuaciones previas y la incoación de un procedimiento sancionador, si procede. Así ocurrió en el precedente reseñado (E/10004/2020), en el que se acodó el archivo de la reclamación, considerando la respuesta dada por la entidad OIZ. Según consta en la citada resolución de archivo de actuaciones, de fecha 25/02/2021, en su respuesta al trámite de traslado, de 21/01/2021, OIZ informó que había acometido modificaciones en sus políticas de privacidad para informar sobre la cesión de datos de los usuarios a terceras empresas colaboradoras con las que comparten C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/25 plataforma. De igual manera, informó que estaba en proceso de incorporar en el proceso de alta de usuario en su aplicación móvil un mecanismo para recoger su consentimiento a la obtención de sus datos a partir de otras plataformas de movilidad colaborativa, con el propósito de facilitar el proceso de registro. Una vez analizadas las razones expuestas, se consideró que no procedía el inicio de un procedimiento sancionador, por cuanto la tramitación de la reclamación conforme a lo dispuesto en el artículo 65.4 de la LOPDGDD dio lugar a la solución de las cuestiones planteadas, sin necesidad de depurar responsabilidades administrativas en el marco de un procedimiento sancionador. Ello sin perjuicio de que la Agencia, aplicando los poderes de investigación y correctivos que ostenta, pueda llevar a cabo posteriores actuaciones relativas al tratamiento de datos referido en la reclamación. Poco tiempo después de dictarse la resolución que dio por finalizadas las actuaciones precedentes, el 12/03/2023 esta Agencia recibe escrito del Ayuntamiento de Barcelona en el que se aporta informe técnico, de fecha 29/01/2021, de la Gerencia de Movilidad e Infraestructuras. En este escrito se informa de las mismas circunstancias de hecho ya analizadas en dicho precedente, en relación con la comunicación de datos de usuarios entre las distintas empresas que prestan servicio de bikesharing, por no informar a sus usuarios de tales comunicaciones y por no recabar su consentimiento. También se denuncia a una quinta empresa, REBY, por la compartición de las bases de datos de los registros y usuarios sin consentimiento previo de los mismos. Además, los hechos que motivan el escrito del Ayuntamiento de Barcelona acontecieron en un periodo temporal anterior a que se dictase la resolución de archivo del expediente número E/10004/2020. En concreto, las comprobaciones se realizaron en las siguientes fechas: 10/08/2020, 26/10/2020 y 01/12/2020. Con posterioridad, se recibió en esta Agencia la reclamación formulada por A.A.A. en fecha 26/05/2021 contra las mismas entidades, en la que se ponen de manifiesto las mismas circunstancias de hecho ya analizadas en dicho precedente, en relación con la comunicación de datos de usuarios entre las distintas empresas que prestan servicio de bikesharing, por no informar a sus usuarios de tales comunicaciones y por no recabar su consentimiento. En ambos casos, se estimó oportuno admitir a trámite la reclamación para llevar a cabo las comprobaciones oportunas respecto de las informaciones recibidas de OIZ. Así, se acordó la apertura de actuaciones previas de investigación para comprobar si las medidas informadas por dicha entidad en aquel precedente se implantaron efectiva y adecuadamente. Estas actuaciones han permitido constatar, efectivamente, que las entidades implicadas compartieron los datos personales de los usuarios desde el inicio de su actividad en la ciudad de Barcelona en el verano de 2020, sin el consentimiento de los afectados y sin informarles debidamente sobre dicho tratamiento de datos personales, que sí estaba previsto en su Registro de Actividades de Tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/25 La entidad REBY, que proporcionaba la plataforma tecnológica necesaria para la prestación del servicio a los usuarios, ha reconocido que en la base de datos solo existía un registro por cada usuario, asociado a su número de teléfono, al que accedían todos los operadores. Esta entidad manifestó que ese acceso solo se realizaba cuando el usuario la hubiera consentido, pero también aclaró que no se permitía a un usuario registrarse si no prestaba su consentimiento para comprobar si su número de teléfono ya figuraba registrado con otro operador y, en caso afirmativo, para que el operador en el que se estaba registrando accediera al único registro de ese usuario existente en la base de datos; y que ello era debido a que el software no permitía definir distintos usuarios asociados a un mismo número de teléfono. En cuanto a la información ofrecida a los usuarios, los Servicios de Inspección comprobaron que inicialmente no se daba cuenta a los usuarios de esa “compartición” de datos, aunque en las versiones de la Política de Privacidad de OIZ de fechas 19/01 y 21/05/2021 se incluyó el detalle de los destinatarios de la información. La primera de estas versiones es anterior a la resolución de archivo dictada en el expediente E/10004/2020 y a la denuncia del Ayuntamiento de Barcelona y la segunda es simultánea a la presentación de la reclamación por A.A.A.. No obstante lo anterior, consta en las actuaciones que la entidad OIZ informó a los Servicios de Inspección que, tras los requerimientos de la AEPD y las modificaciones realizadas para simplificar los procedimientos, con fecha 16/08/2021 dejaron de comprobar si un usuario figuraba registrado en alguna de las otras entidades colaboradoras de movilidad y cesaron las comunicaciones de datos, no existiendo ninguna prueba de contrario al respecto. Por otra parte, los Servicios de Inspección comprobaron que, en una fecha posterior a agosto de 2021, la app móvil de OIZ ya no recogía consentimientos, que durante el procedimiento de registro de un usuario no se requería la prestación del consentimiento para la comunicación de datos a terceros, sino únicamente para el tratamiento de datos necesario para la prestación del servicio; que su Política de Privacidad no contenía referencia alguna a la compartición de datos con otras empresas de movilidad colaboradoras; y que en su Registro de Actividad de Tratamientos, en la versión de agosto de 2021, desapareció el relativo a la comunicación de datos a “terceras empresas de movilidad que prestan sus servicios conjuntamente”. Puede concluirse, por tanto, que con las medidas indicadas OIZ llevó a cabo la adecuación normativa exigida por esta Agencia. De acuerdo con lo expuesto, Esta Agencia estima procedente acordar el archivo de la reclamación que ha dado lugar a las presentes actuaciones, en relación con la entidad OIZ. Se tiene en cuenta, asimismo, (
  10. i)que la compartición de datos denunciada había finalizado en el momento en que se admite a trámite la presente reclamación; y (
  11. ii)que OIZ no presta servicio desde el pasado 16/02/2023, habiéndose comprobado que en la actualidad la App de OIZ no permite el registro de nuevos usuarios. Procede, por tanto, el archivo de las actuaciones, sin perjuicio de que la Agencia, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/25 aplicando los poderes de investigación y correctivos que ostenta, pueda llevar a cabo posteriores actuaciones relativas al tratamiento de datos referido en la reclamación. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a A.A.A., al AYUNTAMIENTO DE BARCELONA y a OIZ BIKESHARING, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  12. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.