AI-00364-2022

1/33  Expediente N.º: EXP202306267 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 12/03/2021, tuvo entrada en esta Agencia un escrito presentado por el AYUNTAMIENTO DE BARCELONA mediante el que informa que la actuación de REBY RIDES, S.L. con NIF B67301473 (en adelante, REBY), puede dar lugar a un incumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal. Los motivos son los siguientes: “[…] I.- ANTECEDENTES. […] Entre otras, se adjudicaron un total de 1.392 licencias temporales de uso común especial del dominio público para el estacionamiento de ciclomotores y motocicletas de uso compartido en régimen de explotación económica al término municipal de Barcelona entre los cuatro operadores (Tucycle Bikesharing, SL, Avant Fullstep, SL , Eco-logica Turismo Sostenible, SL, Oiz Ridesharing, SL). […] 7. Las cuatro empresas Tucycle Bikesharing, SL, Avant Fullstep, SL , Eco-logica Turismo Sostenible, SL, Oiz Ridesharing, SL, también participaron en el procedimiento de otorgamiento a precario de licencias temporales y en consecuencia, presentaron declaraciones responsables en las que ratificaban su condición de empresas independientes, y se comprometían y aceptaban a cumplir con las condiciones y obligaciones de la convocatoria. Mediante este procedimiento, se adjudicaron un total de 854 licencias temporales de uso común especial del dominio público a los cuatro operadores. Así pues, los cuatro operadores son adjudicatarios de un total de 2.246 licencias temporales de uso común especial del dominio público para el estacionamiento de ciclomotores y motocicletas de uso compartido en régimen de explotación económica al término municipal del Barcelona. […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/33 9. En virtud del expuesto anteriormente, para operar al espacio público cada empresa dispone de una aplicación móvil para que los usuarios se puedan registrar y hacer uso del servicio de alquiler de bicicletas y motocicletas, que están estacionadas en el espacio público de Barcelona. En estas aplicaciones móviles, se han detectado los incumplimientos por parte de las cuatro empresas, dado que cuando una persona se registra en una de las aplicaciones de las cuatro empresas, la aplicación reconoce al usuario y comparte los datos entre las cuatro empresas, sin que el usuario se haya dado de alta en el resto de las aplicaciones de las empresas o lo haya consentido (este punto se detalla más adelante). Adicionalmente, debemos añadir a otra empresa, REBY RIDES S.L, que no es adjudicataria de licencias, pero que en las actas de inspección de fecha 1 de diciembre de 2020 e informe de la Gerencia de Movilidad e Infraestructuras de 29 de diciembre de 2020 y que luego se menciona, se demuestra que aparentemente, también facilita el alquiler de las motocicletas de las cuatro empresas anteriores en su aplicación móvil , y en consecuencia facilita los datos de los usuarios registrados en las aplicaciones anteriores, sin consentimiento previo de los usuarios. 10. En fecha 27 de agosto de 2020 y 14 de septiembre de 2020, YEGO URBAN MOBILITY (adjudicataria definitiva de licencias) envió correos electrónicos a la corporación en los que avisaba que había detectado determinadas prácticas efectuadas por los cuatro adjudicatarios definitivos de licencias que podrían suponer una vulneración de la normativa de protección de datos en relación con el Decreto de regulación y del decreto de convocatoria. 11. Por este motivo, el Ayuntamiento de Barcelona efectuó las propias comprobaciones en fecha 19 de agosto de 2020 y se emitió un acta de inspección en la que se recogían los incumplimientos detectados (…). 12. Así mismo, en fecha 6 de octubre de 2020 esta Dirección recibió escrito de la empresa CITYSCOOT ESPAÑA, S.L., adjudicataria de licencias, en el que manifestaba que determinadas prácticas efectuadas por los cuatro operadores y adjudicatarios definitivos de licencias (Tucycle Bikesharing, SL, Avant Fullstep, SL , Eco-logica Turismo Sostenible, SL, Oiz Ridesharing, SL) podrían suponer una vulneración de la normativa de la competencia así como de la normativa de protección de datos (…). 13. A la vista del expuesto, la Gerencia de Movilidad e Infraestructuras, nuevamente efectuó sus comprobaciones y en fecha 26 de octubre de 2020 se procedió a comprobar personalmente y directamente por las funcionarias y funcionarios municipales las mencionadas actuaciones realizadas por Tucycle Bikesharing, SL, Avant Fullstep, SL, Eco-logica Turismo Sostenible, SL, Oiz Ridesharing, SL y en consecuencia, se emitieron cuatro actas de inspección que se adjuntan como ANEJOS 4, 5, 6 y 7 respectivamente, en las que se pone de manifiesto determinadas actuaciones que podrían ser constitutivas de una infracción de la normativa de la protección de datos y que se detallan a continuación. Se adjunta como ANEJO 8 acta de inspección emitida en data 1 de diciembre de 2020 en la que se demuestra que aparentemente, REBY RIDES, empresa que no dispone de licencias ni se ha presentado al procedimiento, también facilita el alquiler de las motocicletas de las cuatro empresas anteriores en su aplicación móvil, y en consecuencia facilita los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/33 de los usuarios registrados en las aplicaciones anteriores, sin consentimiento previo de los usuarios. […] IV.- OBJETO DE LA DENUNCIA. […] En las inspecciones realizadas el pasado 26/10/2020 se comprueba que cuando un usuario se registra a la aplicación de Iberscot, queda automáticamente registrado a las aplicaciones de Oiz, Tucycle y Avant, y así lo indican en la misma aplicación, al no requerir nuevamente la documentación necesaria para realizar el registro del nuevo usuario, y con el siguiente mensaje que constan en los pantallazos de las Actas: “Ya estás registrado! Hemos detectado que ya te has registrar a otra plataforma colaboradora. Utilizaremos los datos que has añadido para agilizar el proceso”. (…) En las Inspecciones realizadas el 26/10/2020 se comprueba que introduciendo 10€ en la aplicación de Avant, que se suman a los 22 céntimos previos de la cuenta, y realizando un viaje con esta misma aplicación, el saldo se ve reducido en 66 céntimos, pasando de 10,22€ a 9,56€. (…). Indicar que el saldo, una vez introducidos los 10€ en la cartera de la aplicación de Avant, en el caso de la cartera de la empresa OIZ, se añade 1 euro adicional de regalo a la cuenta como indica la promoción de la propia aplicación (enmarcado en verde a la captura). A la vez, se comprueba que habiendo realizado únicamente un viaje con la empresa Avant con un cargo de 66 céntimos, se reducen las cuentas de las otras tres empresas también en 66 céntimos (ver Anejos 4, 5, 6 y 7). Se comprueba como con las otras tres empresas, Oiz, Tucycles y Iberscot, no se han realizado viajes. Aun así, el saldo en cartera también ha disminuido (…). 3. En la política de privacidad de las empresas, se informa a los usuarios que se comparten los datos personales con las entidades del mismo grupo (…). Así mismo, en relación con el Informe de Inspección del pasado 1 de diciembre de 2020 relativo a la empresa externa REBY RIDES, S.L. se comprueba que: Que las empresas Avant, Oiz, Tucycle y Iberscot, comparten las bases de datos de los registros y usuarios con una quinta empresa: REBY RIDES SL (empresa externa que no ha resultado adjudicataria de licencias). […]” Junto a la reclamación aporta la siguiente documentación: - Copia del Decreto de Alcaldía de 04/07/2019 por el que se aprueba la regulación sobre el número y las condiciones de las licencias temporales de uso común especial del dominio público para el estacionamiento de bicicletas, ciclomotores y motocicletas de uso compartido en régimen de explotación económica al término municipal de Barcelona (BOPB 8/8/2019). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/33 - Copia del Decreto de Alcaldía de 10/10/2019 por el que se aprueba la convocatoria del procedimiento por el otorgamiento de las licencias temporales de uso común especial del dominio público para el estacionamiento de bicicletas, ciclomotores y motocicletas de uso compartido en régimen de explotación económica al término municipal de Barcelona, (BOPB 11/10/2019). - Copia del Acta de inspección emitida por el AYUNTAMIENTO que recoge las comprobaciones realizadas en fecha 19 y 26/08/2020, 26/10/2020 y 01 y 11/12/2020, en relación con las siguientes entidades: Tucycle Bikesharing, S.L., Avant Fullstep, S.L., Eco-logica Turismo Sostenible, S.L., Oiz Ridesharing, S.L. y Reby Rides, S.L. - Copia de las Declaraciones Responsables firmadas por las siguientes entidades: Tucycle Bikesharing, S.L., Avant Fullstep, S.L., Eco-logica Turismo Sostenible, S.L., Oiz Ridesharing, S.L.. en las que declaran expresamente que cumplen con las condiciones y obligaciones de la convocatoria. - Copia de las Declaraciones Responsables de aceptación de las condiciones para participar en el procedimiento de otorgamiento a precario de las licencias temporales de uso común especial del dominio público para el estacionamiento de bicicletas, ciclomotores y motocicletas de uso compartido en régimen de explotación económica en Barcelona vacantes, firmadas por Tucycle Bikesharing, S.L., Avant Fullstep, S.L., Eco-logica Turismo Sostenible, S.L., Oiz Ridesharing, S.L. - Copia del informe técnico, de fecha 29/01/2021, emitido por la Gerencia de Movilidad e Infraestructuras, en el que solicita poner en conocimiento de las autoridades competentes en materia de protección de datos el análisis recogido en su informe y en las actas, a fin que se puedan iniciar las correspondientes investigaciones, y caso que se confirme una vulneración de la normativa por parte de Avant Fullstep SL (Avant), Oiz Ridesharing SL (Oiz), Tucycle Bikesharing SL (Tucycle) y Eco-logica Turismo Sostenible SL (Iberscot), solicita iniciar el correspondiente expediente de revocación de licencias y la adopción de las correspondientes sanciones o medidas necesarias. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 19/04/2021 se dio traslado de dicha reclamación a REBY, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 20/04/2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 02/06/2021, se recibe en esta Agencia escrito de respuesta en el que manifiesta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/33 “[…] I. Introducción. Explicación sobre el funcionamiento de Reby. 1. De manera previa a exponer la decisión y/o medidas adoptadas por Reby, en su calidad de responsable del tratamiento de los datos personales de los usuarios de sus servicios y en calidad de encargada del tratamiento de los datos personales de los usuarios de las empresas de movilidad (“Operadores”) citadas en el Requerimiento, resulta relevante llevar a cabo ciertas puntualizaciones. 2. Reby es una empresa de movilidad que gestiona de manera independiente y en calidad de responsable del tratamiento sus vehículos, usuarios, trayectos y procesos internos. Además, ha desarrollado un servicio de agregación, contratado por diferentes operadores del mismo territorio, en el cual Reby les presta determinados servicios, única y exclusivamente en calidad de encargado del tratamiento. (…) 3. El modelo de servicio de agregación desarrollado por Reby funciona de forma similar a otras plataformas similares que operan en España. Mediante la colaboración con otros agentes del sector, proporciona a los usuarios, a través de su plataforma, más opciones de movilidad para permitir a los ciudadanos poder moverse libremente por la ciudad, de una manera rápida y sencilla, velando siempre por la integridad y confidencialidad de la información personal que se trata como consecuencia de este servicio. 4. La plataforma de agregación ofrece al usuario información técnica sobre la ubicación, batería y otros extremos de los vehículos puestos a su disposición. Por tanto, no es de extrañar que, dentro de este servicio de agregación, Reby ponga a disposición del usuario todos los vehículos disponibles tanto propios como de los Operadores, sin que esto pueda implicar en modo alguno que Reby ofrece información falsa sobre los vehículos de los que dispone1 o que se produzca una comunicación de datos no solicitada. 5. Cuando Reby informa acerca del número de motos a disposición del usuario, en la ciudad de Barcelona en concreto, en su aplicación no se están produciendo incumplimientos en materia de protección de datos (que no alcanzamos a comprender cuáles serían). Simple y llanamente, Reby informa de manera veraz del número de vehículos disponibles independientemente del Operador, porque el servicio de agregación es esencialmente eso, la colaboración de diferentes empresas que ponen a disposición de los ciudadanos sus vehículos y deciden coexistir en la misma aplicación. […] 7. Como consecuencia de lo anterior, Reby cuenta con diferentes avisos de privacidad, protocolos internos y contratos que regulan su relación tanto con los usuarios propios, como con los usuarios de los Operadores, al igual que su relación con dichos Operadores y con terceros, todo lo cual está a disposición de la AEPD si esta lo requiriese, por estimarlo necesario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/33 […] 11. Los datos que recaba Reby son (

1. i)los identificativos y de contacto del usuario (nombre, apellido, número de teléfono, correo electrónico); (
2. ii)el carné de conducir y su documento de identificación (DNI o Pasaporte), cuando es imprescindible para cumplir con las normas de circulación vial; (iii) determinados datos bancarios para poder cobrar el servicio; y finalmente también (
3. iv)pide acceso a la cámara (no a la fototeca), única y exclusivamente para registrar el código QR del vehículo que se va a utilizar y para tomar una fotografía al final del trayecto que permite verificar el correcto estacionamiento del vehículo. Huelga decir que la aplicación de Reby no accede a la cámara para absolutamente ninguna finalidad adicional y sólo lo hace con un comportamiento activo por parte del usuario, cuando este utiliza la aplicación y los servicios de Reby. 12. Por otro lado, al contrario de lo que afirma el Reclamante, Reby no comparte datos personales de los cuales es responsable del tratamiento con los Operadores, ni con ninguna otra tercera empresa. Durante la prestación del servicio de agregación, los datos personales de los usuarios de Reby no salen del ámbito de control de Reby al igual que los datos personales de los usuarios de los demás Operadores no salen del ámbito de control de estos. Es decir, Reby es un mero encargado del tratamiento respecto de los datos personales responsabilidad de los Operadores y no adquiere autonomía ni poder de decisión sobre aquellos, por lo que no se produce una comunicación de datos personales, según el criterio de la normativa de protección de datos. […] II. La decisión adoptada a propósito de esta reclamación. […] 27. En este sentido, y sin perjuicio de lo descrito hasta ahora sobre la adecuación de Reby al RGPD y a la LOPDGDD, la empresa ha vuelto a analizar sus procesos internos y sus textos legales para identificar aquellos aspectos susceptibles de mejora. Como consecuencia de dicho análisis, se ha concluido que Reby cumple con la normativa de protección de datos, si bien se han detectado determinados aspectos a mejorar, que ya han sido implementados y que se detallan en el apartado V del presente escrito. […] IV. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. […] 31. Asimismo, encontramos relevante poner de manifiesto que Reby no ha recibido nunca ninguna reclamación por parte de ningún usuario relacionada con los hechos que han motivado esta Reclamación, ni con cualquier otro potencial incumplimiento de sus obligaciones como responsable o encargado del tratamiento, simple y llanamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/33 porque el tratamiento de datos personales llevado a cabo por Reby se adecúa al RGPD y a la LOPDGDD. V. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. 33. Como se ha puesto de manifiesto en el apartado IV anterior, en el presente caso no ha existido incidencia alguna, por lo que ningún dato personal ha sido afectado y, por ende, ninguna medida en este sentido ha podido ser adoptada. 34. No obstante, y una vez más poniendo de manifiesto la concienciación que tiene Reby con el cumplimiento de la normativa de protección de datos, la empresa ha vuelto a revisar y actualizar los siguientes documentos: - Política de Privacidad para los usuarios, que se aporta como Documento nº2; - Términos & Condiciones del servicio de agregación, que se aportan como Documento nº3; […]” Junto al escrito aporta, entre otros, la siguiente documentación: - Copia del modelo de “Acuerdo de Encargado del Tratamiento” que REBY (encargado de tratamiento) suscribe con la entidad correspondiente (responsable del tratamiento). - Copia de la Política de Privacidad en su versión de 26/05/2021. Del contenido de este documento cabe destacar: “1. Información relacionada con el servicio de movilidad 1.1. Responsable del tratamiento El responsable del tratamiento de los datos del interesado es Reby Rides, S.L. (“REBY”), con NIF número B- 67301473. Los datos de contacto de REBY son los siguientes: - Dirección postal: Av. Diagonal, 444, 6ª, 08037, Barcelona. - Correo electrónico: support@reby.co Se informa al interesado de que REBY ha nombrado a un Delegado de Protección de Datos (DPD) ante el cual podrá poner de manifiesto cualquier cuestión relativa al tratamiento de sus datos personales. El interesado podrá contactar con el DPD a través de los siguientes datos de contacto: - Dirección postal: Plaza Josep Pla i Casadevall, 20, 17001, Girona - Teléfono: 902 107 741 - Correo electrónico: dpo@anima-lopd.com 1.5.¿A qué destinatarios podemos comunicar los datos? C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/33 Los datos personales del interesado podrán ser cedidos a los siguientes destinatarios: ● Empresas del Grupo REBY situadas dentro del Espacio Económico Europeo, para finalidades administrativas dentro del Grupo REBY. ● Administraciones Públicas cuando así lo establezca una disposición legal aplicable, en particular las autoridades de tráfico para fines de identificación del conductor en caso de infracción y Juzgados y Tribunales cuando sea necesario o preceptivo. ● Entidades aseguradoras y otras empresas relacionadas cuando sea necesario para tramitar un siniestro. ● Proveedores que prestan servicios a REBY relacionados con la gestión del contrato formalizado y que tienen la condición de encargados del tratamiento. En cualquier caso, los terceros con los que se compartan determinados datos de carácter personal del interesado habrán acreditado previamente la adopción de medidas adecuadas para la correcta protección de estos. ● Operadores de movilidad con los que REBY ha suscrito un acuerdo de colaboración, cuando se haya obtenido el consentimiento. ● Entidades de pago: Los pagos de los Usuarios se gestionarán de forma segura a través de la entidad Kernel Labs, S.L.U, con domicilio en Av. Meridiana, 89, Planta 4, CP 08026 de Barcelona, Identificación ES867169961. En ningún caso utilizarán los datos personales de los Usuarios para fines propios o distintos de la gestión de pagos encomendada por Reby, que dispone de un contrato de encargado del tratamiento de datos firmado con esta entidad a tal efecto. 1.7.¿Cómo obtenemos los datos? Los datos personales que tratamos proceden del propio interesado mediante su Registro en la App y el uso de nuestros servicios. Las categorías de datos que se tratan son las siguientes: • Datos de identificación (nombre completo, DNI o pasaporte), • Carné de conducir • Dirección electrónica • Teléfono • Datos económicos o Token (datos parciales del medio de pago proporcionado por el Pág: 755 usuario) • Ubicación Asimismo, durante la prestación del servicio de movilidad REBY puede recoger datos generados durante el uso de dicho servicio. Para las finalidades descritas anteriormente REBY no trata datos especialmente protegidos. 2. Información relacionada con el servicio de agregación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/33 Además del servicio de movilidad, desde REBY prestamos un servicio de agregación para otros operadores de movilidad, con la única finalidad de facilitar la movilidad de una manera rápida y sencilla para todos los usuarios en las ciudades en las que estamos (“Servicio de Agregación de Movilidad”). Pará más información sobre el Servicio de Agregación de Movilidad, puedes dirigirte a nuestros Términos y Condiciones. A efectos de protección de datos, REBY actúa en calidad de encargado del tratamiento respecto de los datos de los terceros operadores que han contratado su servicio de agregación y lleva a cabo la gestión de la cuenta del usuario para el mantenimiento de la relación contractual, incluyendo la reserva de los vehículos y gestión de los trayectos, posibles cambios en la cuenta, relación de viajes históricos, pago del servicio, etc. En el supuesto de que el usuario opte por contratar un servicio de movilidad de un tercer operador a través del Servicio de Agregación de Movilidad de REBY, tendrá la opción de permitir a REBY la comunicación de los datos de registro con los que cuenta esta, descritos en el apartado 1.7, al tercer operador que, en su caso, actúe en calidad de responsable del tratamiento, para facilitar el proceso de registro en el mismo. Dejamos a continuación el nombre de los operadores de movilidad a los que prestamos nuestro servicio de agregación, junto con un enlace a los términos y condiciones y a las políticas de privacidad que son de aplicación a sus usuarios: Tucycle Bikesharing, S.L. Términos y Condiciones Política de Privacidad Oiz Ridesharing, S.L. Términos y Condiciones Política de Privacidad Avant Fullstep, S.L. Términos y Condiciones Política de Privacidad Eco-lógica Turismo Sostenible S.L. Términos y Condiciones Política de Privacidad.” TERCERO: Con fecha 26/05/2023, tuvo entrada en esta Agencia un escrito presentado por A.A.A. (en adelante, la parte reclamante) mediante el que formula reclamación contra REBY RIDES, S.L. con NIF B67301473 (en adelante, la REBY), por un posible incumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal. Los motivos en que basa la reclamación son los siguientes: “El inicio de mi registro como usuaria de OIZ BIKESHARING SL (OIZ) sucedió en octubre de 2020. Al registrarme facilité mis datos personales así como la fotografía de mi DNI, carnet de conducir, un selfie y datos bancarios. Posteriormente acepté su política de privacidad. Una vez dada de alta pude observar en su política de privacidad que en apartado de cesión de datos la cláusula decía textualmente: “Los datos personales del usuario podrán ser cedidos a los siguientes destinatarios: Entidades del Grupo OIZ o que puedan llegar a ser miembros del grupo en un futuro (entendiéndose por grupo de empresas conforme a lo dispuesto en el art. 42 del Código de Comercio), o a cualquier tercero que adquiera la totalidad o una parte sustancial de los activos de OIZ, con fines de gestión y administración del Grupo principalmente.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/33 Así las cosas, al leer está información tan opaca y poco transparente decidí contactar con Atención al Cliente para preguntar a quién estaban cediendo mis datos (adjunto Doc 1 la conversación) y tardaron 14 días en darme la respuesta que estaba solicitando desde el primer día. Finalmente pude saber que mis datos se habían cedido a: Ecológica Turismo Sostenible, S.L. (IBERSCOT), Avant Fullstep, S.L., Reby Rides, S.L. (en adelante REBY) y TUCYCLE BIKE SHARING, S.L., con NIF B52553385 (en adelante TUCYCLE). Accedí a todas sus políticas de privacidad (que adjunto como Doc 2) y en todas ellas no se indicaba en ningún momento quienes eran los destinatarios de la cesión. […] En la actualidad, (…) y REBY siguen sin indicar a quién ceden sus datos (…). […]” Junto a la reclamación aporta, entre otra, la siguiente documentación: - Capturas de pantalla de la conversación que mantuvo la parte reclamante con el departamento de “Atención al cliente” de la aplicación OIZ a lo largo del mes de octubre de 2020; tras haber solicitado información sobre las entidades cesionarias de sus datos personales. De las respuestas ofrecidas por OIZ destacamos las siguientes: “… Somos varias empresas que trabajamos juntos, prestamos el mismo servicio y colaboramos entre sí para beneficio del cliente. En caso de que se comparta información del cliente de una empresa a otra siempre le pedirá su autorización y consentimiento para hacerlo… Los datos nunca son cedidos a ninguna empresa que el usuario no haya dado su consentimiento…”. “Las empresas son las siguientes. Reby, OIZ, Iberscot, Tucycle y Avant”. “Se trata de una colaboración para ofrecer un servicio más cómodo; de forma que si te descargas la app de cualquiera de estas empresas, ya no necesitas validar tu información en cada una de ellas”. - Copia del apartado relativo a la cesión de datos de las Políticas de Privacidad de las entidades cesionarias. El contenido de la política de REBY (reby.com) es el siguiente: “¿A qué destinatarios podemos comunicar los datos? Los datos personales del interesado podrán ser cedidos a los siguientes destinatarios:  Reby Inc y el resto de las empresas del Grupo REBY.  Administraciones y autoridades Públicas cuando así lo establezca una disposición legal aplicable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/33    Juzgados, Tribunales, o autoridades locales cuando así lo precisen, amparadas por un fin legítimo. Proveedores que prestan servicios a REBY relacionados con la gestión del contrato formalizado y que tienen la condición de encargados del tratamiento. En cualquier caso, los terceros con los que se compartan determinados datos de carácter personal del interesado habrán acreditado previamente la adopción de medidas adecuadas para la correcta protección de estos. Entidades de pago: Los pagos de Usuarios se gestionarán de forma segura a través de la entidad EASY PAYMENT AND FINANCE, E.P., S.A., entidad de pago autorizada por el Banco de España con el número 6849. Constituida de acuerdo con la legislación española con NIF (…) e inscrita en el Registro Mercantil de Madrid (…).” CUARTO: Con fecha 18/06/2021, esta Agencia accede a la Política de Privacidad de REBY, disponible en la dirección web https://www.reby.co/pp. Del contenido de este documento cabe destacar lo siguiente: “1. Información relacionada con el servicio de movilidad. 1.5. ¿A qué destinatarios podemos comunicar los datos? Los datos personales del interesado podrán ser cedidos a los siguientes destinatarios: - Empresas del Grupo REBY situadas dentro del Espacio Económico Europeo, para finalidades administrativas (…). - Administraciones Públicas cuando así lo establezca una disposición legal aplicable, en particular las autoridades de tráfico para fines de (…). - Entidades aseguradoras y otras empresas relacionadas (…). - Proveedores que prestan servicios a REBY relacionados con la gestión (…) - Operadores de movilidad con los que REBY ha suscrito un acuerdo de colaboración, cuando se haya obtenido el consentimiento. - Entidades de pago (…). 1.7. ¿Cómo obtenemos los datos? Los datos personales que tratamos proceden del propio interesado mediante su Registro en la App y el uso de nuestros servicios. Las categorías de datos que se tratan son las siguientes: - Datos de identificación (nombre completo, DNI o pasaporte) Carné de conducir. Dirección electrónica. Teléfono. Datos económicos o Token (…) Ubicación. Asimismo, durante la prestación del servicio de movilidad REBY puede recoger datos generados durante el uso de dicho servicio. Para las finalidades descritas anteriormente REBY no trata datos especialmente protegidos. 2. Información relacionada con el servicio de agregación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/33 Además del servicio de movilidad, desde REBY prestamos un servicio de agregación para otros operadores de movilidad, con la única finalidad de facilitar la movilidad de una manera rápida y sencilla para todos los usuarios en las ciudades en las que estamos (“Servicio de Agregación de Movilidad”)… A efectos de protección de datos, REBY actúa en calidad de encargado del tratamiento respecto de los datos de los terceros operadores que han contratado su servicio de agregación y lleva a cabo la gestión de la cuenta del usuario para el mantenimiento de la relación contractual, incluyendo la reserva de los vehículos y gestión de los trayectos, posibles cambios en la cuenta, relación de viajes históricos, pago del servicio, etc. En el supuesto de que el usuario opte por contratar un servicio de movilidad de un tercer operador a través del Servicio de Agregación de Movilidad de REBY, tendrá la opción de permitir a REBY la comunicación de los datos de registro con los que cuenta esta, descritos en el apartado 1.7, al tercer operador que, en su caso, actúe en calidad de responsable del tratamiento, para facilitar el proceso de registro en el mismo. Dejamos a continuación el nombre de los operadores de movilidad a los que prestamos nuestro servicio de agregación, junto con un enlace a los términos y condiciones y a las políticas de privacidad que son de aplicación a sus usuarios: Tucycle Bikesharing, S.L., Oiz Ridesharing, S.L., Avant Fullstep, S.L y Eco-lógica Turismo Sostenible S.L.” QUINTO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 05/07/2021 se dio traslado de dicha reclamación a REBY, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 06/07/2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 06/08/2021 se recibe en esta Agencia escrito de respuesta en el que manifiesta, en síntesis, lo siguiente: “[…] 1. De manera previa a exponer la decisión y/o medidas adoptadas por Reby, en su calidad de responsable del tratamiento de los datos personales de los usuarios de sus servicios y en calidad de encargada del tratamiento de los datos personales de los usuarios de las empresas de movilidad (los “Operadores”) citadas en el Requerimiento, resulta relevante llevar a cabo ciertas puntualizaciones. […] B. Instrumentalización de la protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/33 […] 7. Prueba de lo anterior es que, si bien la Reclamación se dirige a Reby, a lo largo del escrito, la Reclamante no aporta ni una sola captura de pantalla relativa al proceso de registro o inicio de sesión en la plataforma de la Compañía y sólo se muestra el procedo de alta de las diversas aplicaciones de los Operadores que, como se expondrá más adelante, son compañías independientes entre sí y no poseen ninguna vinculación societaria con Reby. (…). 9. (…). Así las cosas, Reby, en calidad de encargado del tratamiento de los Operadores, no dispone de capacidad y/o legitimación para dar respuesta a las acusaciones relativas a: las políticas de privacidad de los Operadores, incluyendo su contenido o sus modificaciones; el funcionamiento el sistema de atención al cliente de los Operadores; y/o las actividades del tratamiento efectuadas por los mismos. 10. Aún más, nos sorprende que la Reclamante interponga una Reclamación contra Reby sin demostrar que sea usuaria de nuestra plataforma, indicando únicamente que el proceso de registro en el servicio de Reby es “algo distinto” al de los Operadores y sin haberse dirigido previamente a nosotros para poner de manifiesto su supuesta preocupación o desconcierto en relación con nuestras políticas de privacidad que, como se demostrará a continuación, han sido revisadas recientemente y cumplen de manera escrupulosa con la normativa de protección de datos. (…) C. Explicación sobre el funcionamiento Reby. 12. Reby es una empresa de movilidad que gestiona de manera independiente y en calidad de responsable del tratamiento sus vehículos, usuarios, trayectos y procesos internos. Además, ha desarrollado un servicio de agregación y una plataforma como servicio (Platform-as-a-Service), contratada por diferentes operadores del mismo territorio, a través de la cual Reby les presta determinados servicios, única y exclusivamente en calidad de encargado del tratamiento. […] 14. La plataforma de agregación ofrece al usuario información técnica sobre la ubicación, batería y otros extremos de los vehículos disponibles de Reby y de los Operadores, permitiendo a los usuarios el pago mediante una plataforma externa. (…). 15. Como consecuencia de lo anterior, Reby cuenta con diferentes avisos de privacidad, protocolos internos y contratos que regulan su relación tanto con los usuarios propios como con los usuarios de los Operadores, al igual que su relación con dichos Operadores y con terceros. 16. A estos efectos, dado que el cumplimiento de la normativa de protección de datos es un proceso dinámico, por el cual es necesario analizar cada cierto tiempo los procesos internos para comprobar que no ha habido cambios sustanciales que requieran de un análisis y medidas diferentes, Reby actualizó sus textos legales, en fecha 26 de mayo de 2021, (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/33 17. Por otro lado, al contrario de lo que alega la Reclamante, Reby no comparte datos personales de los cuales es responsable del tratamiento con los Operadores, ni con ninguna otra empresa, sin contar con una base legitimadora y cumpliendo, en todo caso, con el principio de transparencia, así como con el deber de información establecido en el artículo 13 RGPD. En este sentido, Reby informa debidamente a los usuarios del tratamiento de sus datos, en los siguientes términos: “¿A qué destinatarios podemos comunicar los datos? Operadores de movilidad con los que REBY ha suscrito un acuerdo de colaboración, cuando se haya obtenido el consentimiento.” […] “En el supuesto de que el usuario opte por contratar un servicio de movilidad de un tercer operador a través del Servicio de Agregación de Movilidad de REBY, tendrá la opción de permitir a REBY la comunicación de los datos de registro con los que cuenta esta, descritos en el apartado 1.7, al tercer operador que, en su caso, actúe en calidad de responsable del tratamiento, para facilitar el proceso de registro en el mismo. Dejamos a continuación el nombre de los operadores de movilidad a los que prestamos nuestro servicio de agregación, junto con un enlace a los términos y condiciones y a las políticas de privacidad que son de aplicación a sus usuarios: Tucycle Bikesharing, S.L. - Términos y Condiciones - Política de Privacidad Oiz Ridesharing, S.L. - Términos y Condiciones - Política de Privacidad Avant Fullstep, S.L. - Términos y Condiciones - Política de Privacidad Eco-lógica Turismo Sostenible S.L. - Términos y Condiciones - Política de Privacidad. […] 20. Por lo tanto, el funcionamiento del sistema de pago es el siguiente: […] […] (
4. i)No es cierto que Reby incumpla con el principio de transparencia y/o con el deber de información, establecidos en el RGPD, en tanto que todos los tratamientos de datos llevados a cabo por la Compañía, incluyendo las comunicaciones de datos a terceras empresas, se encuentran debidamente plasmados en la política de privacidad, tal y como ha sido mencionado en el párrafo número 16. (
5. ii)Reby no lleva a cabo comunicaciones o cesiones de datos sin contar con una base legitimadora. En este sentido, Reby únicamente comparte los datos con terceras compañías cuando se encuentra debidamente justificado por la necesidad contractual o, en caso contrario, si los usuarios han prestado su consentimiento expreso. (iii) Reby no comparte los datos relativos a los pagos y saldos de sus usuarios. Esto ha quedado debidamente acreditado en el párrafo 20 y siguientes, en los que se expone de manera detallada cómo dichos datos van asociados a un identificador único generado por Kernel y no se alojan en los servidores de Reby o los Operadores, sino que se intercambian entre Kernel y el usuario, viajan encriptados y desencriptándose en la propia app, mostrándose únicamente en la interfaz gráfica del cliente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/33 […]” Junto al escrito aporta la siguiente documentación: - Copia de la Política de Privacidad en su versión de 26/05/2021. Su contenido coincide con el reseñado en el punto segundo, del apartado “Hechos”. SEXTO: Con fecha 06/10/2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. SÉPTIMO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1) Mediante diligencia realizada por esta Agencia en fecha 01/03/2022, se comprueba el proceso de registro de usuario en la aplicación móvil REBY hasta el paso que solicita la tarjeta de crédito. 2) Con fecha 14/03/2022, esta Agencia recibe la respuesta elaborada por REBY al requerimiento de información de fecha 28/02/2022:  En relación con cuestiones generales, manifiesta: 1. Que REBY es una empresa de movilidad que, para la prestación de sus Servicios, gestiona de manera independiente y en calidad de responsable del tratamiento sus vehículos, usuarios, trayectos y procesos internos. Además, ha desarrollado un servicio de agregación contratado por diferentes Operadores del mismo territorio, mediante el cual presta igualmente servicios, única y exclusivamente en calidad de encargado del tratamiento. 2. Que no puede proporcionar pruebas realizadas en versiones pasadas de la aplicación por imposibilidad técnica al haberse cambiado la infraestructura y por la tecnología en que se basan estas aplicaciones. 3. Que actualizan la aplicación móvil cada dos o tres semanas y que solo almacenan las últimas tres o cuatro versiones de su App. 4. Que las empresas del grupo REBY que tienen acceso a los datos personales de los usuarios de REBY, para fines estrictamente administrativos y de gestión son exclusivamente REBY GLOBAL S.L., RODEA ELECTRIC VEHICLES, S.L., REBY ITALIA S.R.L. Todas ellas ubicadas dentro del EEE. Que los procesos internos de REBY están diseñados para evitar las transferencias y el acceso a datos por parte de REBY INC., empresa ubicada fuera del EEE.  En relación con el tratamiento de datos personales de los usuarios, manifiesta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/33 1. Aporta copia del Registro de Actividades del Tratamiento en calidad de Responsable del Tratamiento en sus versiones de diciembre de 2019, noviembre de 2020 y marzo de 2022, y de Encargado del tratamiento (servicio de agregación) en las versiones de 2020 y 2022. En estas dos últimas versiones, cuando REBY actúa en calidad de encargado del tratamiento, en el detalle “Operadores del servicio de agregación” y “Usuarios del servicio de agregación” se indica lo siguiente: ” Entidades Responsables: Tucycle Bike Sharing S.L. (TUCYCLE) C/ Guillermo Marconi, 296, Polígono de Roces, 33212, (Gijón) info@tucycle.com OIZ Bikesharing S.L. (OIZ) C/San Vicente 5, Bilbao, 48001, (Bizkaia) hola@oizbike.com Avant Fullsteo S.L. (AVANT) Passeig de Gràcia 118 Plta. Principal 08002 (Barcelona) support@avant.fun Ecologica Turismo Sostenible S.L. (IBERSCOT) Paseo Da Lagoa 10, Planta 0, Oleiros, 150177 (A Coruña) help@iberscot.net”.  En relación con la Política de Privacidad y Términos de uso de la app: o Aporta copia de las distintas versiones de su Política de Privacidad de fechas 27/08/2020, 02/11/2020, 26/05/2021, 07/09/2021, 20/12/2021 y 28/02/2022. 1. La versión de fecha 27/08/2020 incluye el siguiente apartado relativo a la comunicación de datos personales y obtención de los mismos: “¿A qué destinatarios podemos comunicar los datos? Los datos personales del interesado podrán ser cedidos a los siguientes destinatarios: - REBY Inc. o Empresas del Grupo REBY. - Administraciones Públicas cuando así lo establezca una disposición legal aplicable (…). - Proveedores que presten servicios a REBY relacionados con la gestión del contrato formalizado y que tienen la condición de encargados del tratamiento (…). - Entidades de pago (…)”. “¿Cómo obtenemos los datos? Los datos personales que tratamos proceden del propio interesado mediante su Registro en la App y el Uso de sus servicios. Las categorías de datos que se tratan son las siguientes: datos de identificación, DNI/pasaporte, dirección electrónica, teléfono, datos económicos, ubicación.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/33 2. En la versión de fecha 26/05/2021 los apartados correspondientes a la comunicación de datos a terceros y a la obtención de los mismos se incorpora lo siguiente: “¿A qué destinatarios podemos comunicar los datos? […] Entidades aseguradoras y otras empresas relacionadas cuando sea necesario para tramitar un siniestro. Operadores de movilidad con los que REBY ha suscrito un acuerdo de colaboración, cuando se haya obtenido el consentimiento. “¿Cómo obtenemos los datos? Asimismo, durante la prestación del servicio de movilidad REBY puede recoger datos generados durante el uso de dicho servicio.” Asimismo, se incorpora el apartado “Información relacionada con el servicio de agregación” que señala lo siguiente: “Además del servicio de movilidad, desde REBY prestamos un servicio de agregación para otros operadores de movilidad, con la única finalidad de facilitar la movilidad de una manera rápida y sencilla para todos los usuarios en las ciudades en las que estamos (“Servicio de Agregación de Movilidad”). Pará más información sobre el Servicio de Agregación de Movilidad, puedes dirigirte a nuestros Términos y Condiciones. A efectos de protección de datos, REBY actúa en calidad de encargado del tratamiento respecto de los datos de los terceros operadores que han contratado su servicio de agregación y lleva a cabo la gestión de la cuenta del usuario para el mantenimiento de la relación contractual, incluyendo la reserva de los vehículos y gestión de los trayectos, posibles cambios en la cuenta, relación de viajes históricos, pago del servicio, etc. En el supuesto de que el usuario opte por contratar un servicio de movilidad de un tercer operador a través del Servicio de Agregación de Movilidad de REBY, tendrá la opción de permitir a REBY la comunicación de los datos de registro con los que cuenta esta, descritos en el apartado 1.7, al tercer operador que, en su caso, actúe en calidad de responsable del tratamiento, para facilitar el proceso de registro en el mismo. Dejamos a continuación el nombre de los operadores de movilidad a los que prestamos nuestro servicio de agregación, junto con un enlace a los términos y condiciones y a las políticas de privacidad que son de aplicación a sus usuarios: Tucycle Bikesharing, S.L. (…), Oiz Ridesharing, S.L. (…), Avant Fullstep, S.L. (…), Eco-lógica Turismo Sostenible S.L. (…).” 3. Los apartados correspondientes a la procedencia de los datos personales y a la comunicación de datos a terceros de las versiones de fecha 07/09/2021 y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/33 20/12/2021 coinciden con la información reseñada en el anterior punto. Sin embargo, en la última versión de 28/02/2022 se incorpora lo siguiente: “¿A qué destinatarios podemos comunicar los datos? […] Cuando el interesado utilice los servicios de REBY por ser empleado de nuestros clientes corporativos, los datos vinculados al uso de los vehículos (detalle del trayecto realizado y costes asociados) podrán ser comunicados y accedidos por el cliente corporativo del que el interesado es empleado en virtud del contrato celebrado entre REBY y el cliente corporativo en interés del interesado.” o  Aporta diferentes versiones de los Términos y Condiciones de fecha 29/06/2020, 02/11/2020, 07/01/2021, 27/04/2021, 26/05/2021 y 28/02/2022. En relación con el funcionamiento de la APP de REBY: 1. REBY manifiesta que no puede llevar a cabo la prueba solicitada por esta Agencia en la versión de la APP que se usaba en fecha 01/12/2020 por imposibilidad técnica, al encontrarse obsoleta y no mantenida la interfaz de programación de aplicaciones (API). 2. En relación con la aplicación actual, informa que el registro en la APP de REBY solo puede efectuarse a través de esta, no de aplicaciones de terceros; actuando únicamente como encargado del tratamiento de los datos recabados mediante las aplicaciones de los Operadores. o El proceso de registro de un nuevo usuario. 1. En la primera pantalla del proceso de registro, en la que se introduce el número de teléfono, consta una única casilla de “Aceptar” con el siguiente texto: “Reby Rides, SL es el responsable de los datos personales que nos facilitas para ofrecerte nuestro servicio de movilidad. Para saber cómo ejercitar tus derechos de protección de datos y obtener toda la información sobre los tratamientos que realizamos, puedes dirigirte a nuestro. He leído y acepto los Términos y condiciones y la Política de privacidad”. 2. Tras introducir el código de confirmación que se envía por SMS y la dirección de correo electrónico, aparece una pantalla donde constan dos casillas, “Denegar” y “Permitir”, con la siguiente pregunta: ¿Permitir a Reby acceder a la ubicación de este dispositivo?”. 3. Tras completar la fase inicial del registro, en la base de datos se crea un campo descriptivo del consentimiento (“consent_from_reby”) que aparece vacío. REBY aclara que la base legitimadora para el uso de la APP es el mantenimiento, desarrollo y ejecución de la relación contractual, por lo que ese apartado no se corresponde con ningún consentimiento real. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/33 4. Para poder conducir un vehículo se exige un método de pago verificado, cuyos datos se incorporan a la base de datos en el apartado “payment_processor__token”. En caso de querer conducir motocicletas o, en determinadas áreas, también patinetes/bicicletas, se debe introducir los datos relativos al carnet de conducir y DNI. o Compartición de datos con otros Operadores: 1. Se aportan capturas de pantalla de una prueba con la versión actual de la app REBY relativas al proceso seguido por el mismo usuario anterior para la conducción de vehículos de otros operadores, en este caso de IBERSCOT. Consta un aviso con el siguiente texto: “Esta es la primera vez que quieres conducir un vehículo de Iberscot. Este vehículo no es de Reby, sino de Iberscot. Si continuas, aceptas sus Términos y condiciones y su Política de privacidad.” Asimismo, figura una casilla sin seleccionar por defecto que señala: “Doy mi consentimiento para la compartición de mis datos personales con Iberscot para facilitar el proceso de registro, como se describe en nuestra política de privacidad.” Consta, en las capturas de pantalla aportadas, que cuando se selecciona el consentimiento se activa el botón “Aceptar”. 2. Se aporta captura de pantalla del sistema de REBY tras no otorgar el consentimiento para la cesión de datos en la que se observa que en el campo “company” figura “Reby”, en el campo “consent_from_reby” valor “true” y en el campo “created_at” la fecha y hora de ejecución de la acción según consta en la pantalla del terminal móvil utilizado. Asimismo, REBY manifiesta que en este caso el campo “consent_from_reby”: “true” significa que el consentimiento se ha prestado desde la app REBY. 3. Se aporta captura de pantalla del sistema REBY otorgando el consentimiento para la cesión de datos en la que se observa que en el campo “company” figura “IberScot” y el relativo a “payment_processor__token” aparece vacío. En este sentido, REBY manifiesta que dicho usuario tendría que introducir nuevamente el método de pago en la propia app del Operador. 4. REBY manifiesta que únicamente comparte los datos estrictamente necesarios en relación con el Servicio de Agregación (número de teléfono, la dirección de correo y la verificación válida de los documentos de identidad y carnet de conducir) y que solo los facilita una vez, cuando el usuario presta su consentimiento. Por lo tanto, si cambia algún dato personal, la información no se vuelve a transferir al Operador. A mayor abundamiento, incluso si el usuario se da de alta en la aplicación de un Operador después de haber utilizado la App de Reby y de haber prestado el consentimiento para la comunicación de los datos a dicho Operador, el usuario tendría que rellenar el registro por completo, siendo completamente independiente la cuenta del usuario en la App de Reby respecto de ese Operador y la cuenta del usuario en la propia aplicación del Operador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/33 o Consentimientos otorgados o no otorgados de usuarios reales desde el 19/08/2020 hasta la fecha. 1. Se aportan capturas de pantalla de la base de datos de REBY de usuarios reales registrados entre el 19/08/2020 y 10/03/2022. En esta muestra consta un campo descriptivo (“migration_consent_date”) en el que se indica si se ha prestado consentimiento o no y, en caso afirmativo, cuándo. REBY señala que en ese campo pueden aparecer los siguientes valores:  o Consentimiento desde app company pre-migración: sirve para identificar a los usuarios del Servicio de Agregación de Reby que prestaron el consentimiento a través de las aplicaciones de los Operadores antes de la actualización de la App de Reby en fecha agosto de 2021. o Consentimiento desde app Reby pre-migración: sirve para identificar a los usuarios del Servicio de Agregación de Reby que prestaron el consentimiento a través de su App antes de la actualización de la misma en fecha agosto de 2021. o Consentimiento desde app Reby post-migración: sirve para identificar a los usuarios del Servicio de Agregación de Reby que prestaron el consentimiento a través de su App tras la actualización de la misma en fecha agosto de 2021. En relación con los acuerdos de encargo del tratamiento: 1. Se aportan copias de los acuerdos de encargo del tratamiento suscritos por REBY (encargado del tratamiento) con los siguientes Operadores (responsable del tratamiento): a. b. c. d. ECO-LÓGICA TURISMO SOSTENIBLE, S.L. (firmado el 17/02/2020). TUCYCLE BIKE SHARING, S.L. (firmado el 18/02/2020). OIZ RIDESHARING, S.L. (firmado el 27/02/2020). AVANT FULLSTEP, S.L. (firmado el 03/03/2020). En todos los acuerdos se estipulan que el encargado del tratamiento ejecutará los siguientes servicios, entre otros: la prestación del servicio de la plataforma y App al responsable del tratamiento y servicios de mantenimiento de la Plataforma y de la App. 4) Mediante diligencia realizada por esta Agencia en fecha 18/03/2022, se comprueba la Política de Privacidad y el Acuerdo del Usuario extraídos con fecha 22/02/2022. La versión de la Política de Privacidad continúa siendo la de 26/05/2021, cuyo contenido se reseña arriba; mientras que el Acuerdo de Usuario ha sido actualizado en fecha 26/05/2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/33 5) Mediante diligencia realizada por esta Agencia en fecha 26/04/2022, se comprueba la Política de Privacidad y Términos de servicio de REBY extraídos el 22/02/2022 de la web.archive.org guardada a fecha 18/01/2021. 6) Con fecha 06/05/2022, esta Agencia recibe la respuesta elaborada por REBY a un segundo requerimiento de información de fecha 11/04/2022:  En relación con cuestiones generales, manifiesta: 1. Que REBY, para la prestación del servicio de agregación de movilidad, gestiona a través de su app los diferentes trayectos que los usuarios solicitan, tanto a través de los vehículos propios (como responsable del tratamiento) como de los de terceros operadores (como encargado del tratamiento).  En relación con el funcionamiento de la APP de REBY: o Compartición de datos con otros Operadores: 1. REBY manifiesta que la importación de datos entre los operadores de movilidad para acelerar el proceso de registro se inició el 04/08/2020 y finalizó el 16/08/2021. Desde su app solo se han compartido datos personales para el uso del servicio de agregación de movilidad (viaje con un vehículo propiedad de otro operador), que empezó a prestarse en noviembre de 2020 y que continúa en la actualidad. 2. De la información aportada por REBY, se extraen los siguientes puntos: ANTES DEL 16/08/2021 Existe un único perfil de usuario al que se le daba acceso al resto de operadores en función de los consentimientos otorgados. En el campo “app_company_name” figura el nombre del operador al que se le ceden los datos del usuario que otorga su consentimiento. Aporta capturas de pantalla del sistema de REBY. El consentimiento puede otorgarse en 2 momentos: - Alta en la app del operador: durante el proceso de registro en cualquier app de los operadores de movilidad (Oiz, Avant, Tucycle o Iberscot), como responsables del tratamiento. Se comprueba si están registrados en una app colaboradora y, en caso afirmativo, se importan los datos. C/ Jorge Juan, 6 28001 – Madrid DESPUÉS DEL 16/08/2021 Cada usuario es único independiente en cada operador. e En el campo “app_company_name” aparece “Reby”, porque solo se obtiene el consentimiento del usuario a través de su app. Únicamente varía el campo “vehicle_company” en función del operador que haya seleccionado el usuario en la app de REBY. El consentimiento sólo puede otorgarse a través de la app de REBY en el momento de utilizar el servicio de agregación de movilidad. www.aepd.es sedeagpd.gob.es 22/33 - App de REBY: cuando el usuario selecciona un vehículo de otro operador. Si ya estaba registrado en la app del operador en cuestión, no se le volvía a requerir. En la app consta una check box con el siguiente texto: “¡Estás a punto de utilizar el vehículo! El último paso es que nos dejes compartir con Tucycle tus datos para darte de alta a su servicio y poder conducir. ¡Así de fácil!”. Consta una casilla desmarcada para aceptar, con el texto “Acepto los Términos y condiciones y la Política de Privacidad”. Más abajo consta un botón “Registrarme”. En la app consta una check box que indica: “¡Hola! El vehículo que vas a utilizar no es de Reby, sino de [*]. Si das a continuar, estás aceptando sus Términos y Condiciones y su Política de Privacidad”. Consta una casilla desmarcada para marcarla, con el texto “Consiento la comunicación de mis datos personales a [*] para facilitar el proceso de registro, según se describe en nuestra Política de Privacidad”. Y consta un botón “Aceptar”. Se comparten los siguientes datos: Se comparten los siguientes datos: nombre y apellidos, número de nombre y apellidos, número de telefonía móvil, correo electrónico, telefonía móvil, correo electrónico, DNI/pasaporte, carné de conducir y DNI/pasaporte y carné de conducir. token de pago. 3. En relación con las medidas de seguridad que tenía implantadas como encargado del tratamiento de los demás operadores, para impedir a un operador de movilidad (incluyendo REBY como responsable del tratamiento) consultar la base de datos, pero sin acceder a datos del resto de operadores; REBY informa como sigue: “La seguridad de la aplicación de Reby está basada en un sistema de autorización tipo oAuth. Todas las llamadas “https” que realiza la aplicación al servidor incluyen un header "Authorization” con un token JWT emitido y firmado por el servidor. Las medidas de seguridad han sufrido pequeñas evoluciones con el tiempo, pero en esencia las aplicadas antes del 16 de agosto de 2021 y las que se aplican en la actualidad son similares. Por ejemplo, se puede destacar que inicialmente se usaba un token con formato propio, y con la última versión de la app pasamos a utilizar los tokens JWT que se explican a continuación. Los tokens JWT siguen la especificación RFC 7519: (***URL.1) Los tokens contienen el identificador de la sesión para ese usuario en concreto sobre el dominio Reby. Están firmados por el servidor de oAuth, de manera que el backend de Reby puede comprobar un token manipulado y descartar la petición inmediatamente. Para mayor seguridad, cada sesión de usuario mantiene dos tokens. Uno de corta vida (unas pocas horas) que denominamos token de acceso y otro de larga vida (unos 30 días), que denominamos token de refresco. Los tokens de refresco sirven para obtener tokens de acceso frescos antes de que estos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/33 caduquen. El proceso detallado es el siguiente: El usuario inicia sesión identificándose en Reby con su terminal telefónico y un SMS que recibe a través del operador de telefonía. El servidor crea una nueva sesión para el usuario y emite dos tokens firmados, de acceso y de refresco. Ambos tokens contienen una referencia a la sesión del usuario. Todas las peticiones siguientes al API deberán ir acompañadas del token de acceso. De manera automática, el servidor verifica la firma del token. En caso de ser correcta, se inyecta en el contexto de la petición el identificador del usuario en Reby. Si la firma del token fuese incorrecta, la petición se rechaza automáticamente. El controlador que atiende la petición usa el identificador de usuario en Reby inyectado automáticamente en el contexto en cualquier consulta a la base de datos que necesite acceder a los datos del usuario. El mecanismo de contexto está construido sobre la librería nativa "context" del lenguaje de programación Go. (***URL.2). Por ello, tenemos absoluta confianza en que los contextos están perfectamente aislados entre las diferentes llamadas al API. Por ello, se garantiza que la información relativa a un usuario en Reby no se mezcla con la información del mismo, u otro usuario, en otra compañía. Cuando una persona en Reby solicita ver su historial de viajes o historial de pagos, por ejemplo, la información que se devuelve es relativa al identificador de sesión enlazado en su token JWT, que intrínsecamente contiene el identificador del usuario y compañía sobre los que se solicita información.” o Consentimientos otorgados hasta el momento: 1. REBY confirma lo señalado anteriormente sobre los consentimientos y los valores “app company pre-migración”, “app Reby pre-migración” y “app Reby post-migración”. A este respecto, aporta una tabla con 27.080 registros que contiene los siguientes campos: a. “from_co_cu_id”: identificador único del usuario que da el consentimiento. b. “consent_timestamp”: fecha y hora del consentimiento. Toma valores de fechas entre junio de 2020 y el 16/06/2021. c. “company_name”: operador al que se le otorga consentimiento para compartir los datos de usuario desde la app de REBY. Toma valores AVANT, TUCYCLE, OIZ, IBERSCOT. d. “consent_from”: valor constante “consentimiento desde app company pre-migracion”. 2. REBY indica que el término “null” en el campo “migration_consent_date” se refiere a que el usuario no consiente la cesión de sus datos o que solo ha utilizado la app del operador en el que aparece registrado. 3) Con fecha 30/06/2022, se incorpora a las actuaciones de inspección diligencia realizada por esta Agencia el 22/02/2022 relacionada con las consultas de la url ***URL.3; y del DPD de COOLTRA MOTOS, S.L. en la web de esta AEPD. OCTAVO: Mediante Resolución de fecha 14/10/2022 se declaró la caducidad de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/33 actuaciones previas de investigación reseñadas en el punto quinto, del apartado “Hechos”, por el transcurso del plazo de doce meses contados desde la admisión a trámite de la reclamación sin que se hubiese dictado acuerdo de inicio de procedimiento sancionador. En la misma resolución indicada se acordó, asimismo, abrir nuevas actuaciones de investigación e incorporar a estas nuevas actuaciones la documentación que integra las actuaciones previas que se declaran caducadas. NOVENO: En las nuevas actuaciones previas de investigación acordadas: 1) Con fecha 21/10/2022, se incorpora a las actuaciones de inspección diligencia realizada por esta Agencia, en fecha 27/06/2022, relativa al Anuncio del Decreto de Alcaldía (21/D/2019-2142), de 10/10/2019, por el que se convoca el procedimiento de otorgamiento de licencias temporales del uso común especial del dominio público para el estacionamiento de bicicletas, ciclomotores y motocicletas de uso compartido en régimen de explotación económica en el término municipal de Barcelona. 2) Mediante diligencia realizada por esta Agencia en fecha 27/02/2023, se comprueba que, tras intentar un alta de usuario en la app de REBY e introducir el número móvil aceptando las condiciones, no se recibe SMS necesario para continuar con el proceso de alta. Se aportan capturas de pantalla. 3) Con fecha 01/03/2023, esta Agencia recibe escrito de REBY en el que, en síntesis, manifiesta lo siguiente: “[…] Que, a fin de acreditar la situación preconcursal de REBY, venimos a aportar como DOC. 1, Auto de fecha 22 de febrero de 2023 del Juzgado de lo Mercantil nº XX de Barcelona, donde queda constancia de que en fecha 23 de diciembre de 2022, REBY RIDES, S.L., presentó un escrito donde ponía en conocimiento de este Órgano judicial la apertura de negociaciones con los acreedores. Que, aunque se puso en conocimiento del inspector de esta autoridad de control, que la demanda de concurso sería presentada de forma inminente en la semana en curso, lamentamos informar de que aún se están ultimando los detalles asociados a la documentación financiera y no se ha llevado a término. […] 4) Con fecha 7 y 08/03/2023, tiene lugar una inspección a REBY en las dependencias de esta Agencia. Los representantes legales de la entidad realizaron las manifestaciones siguientes, que constan recogidas en el Acta de Inspección respectiva, la cual fue suscrita por todos los intervinientes: “2.1. Que proporcionan toda la plataforma tecnológica, incluido el desarrollo de la APP móvil y la base de datos asociada, a los operadores ECO-LÓGICA TURISMO SOSTENIBLE, S.L. (en adelante IBERSCOT), OIZ RIDESHARING, S.L. (en adelante OIZ), TUCYCLE BIKESHARING, S.L. (en adelante TUCYCLE) y AVANT FULLSTEP, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/33 S.L. (en adelante AVANT) los cuales prestan un servicio de movilidad en la ciudad de Barcelona. (…). 2.2. Que respecto a si los operadores IBERSCOT, OIZ, TUCYCLE, AVANT siguen dando servicio manifiestan que ya no dan servicio desde el 16 de febrero de 2023. 2.3. (…). 2.4. Que actualmente REBY ha cesado completamente su actividad. 2.5. En relación con los contratos del servicio de la plataforma tecnológica y APP, incluyendo el servicio de agregación, prestada por REBY a los operadores aporta dichos contratos, los cuales se adjuntan al presente Acta como Doc 3. 2.6. Que no tienen conocimiento de que los operadores puedan tener contratos de colaboración entre ellos en el contexto del servicio que presta REBY. 2.7. Que solo existe un contrato de encargo del tratamiento por parte de REBY, que es el que ya han facilitado a la Agencia con anterioridad. En relación al acceso de los operadores a la base de datos y herramientas asociadas de consulta a la base de datos manifiestan: 2.8. Que REBY solo proporcionaba a cada operador informes con datos agregados o estadísticos de uso de la flota del operador en cuestión. Que no pueden aportar ninguna petición de los operadores relativa a esos informes. 2.9. (…). 2.10. Que a las herramientas de consulta de base de datos (…) sí tenían acceso directo los respectivos operadores. Sin embargo, a través de estas herramientas solo tenían acceso a sus propios usuarios. 2.11. (…). […] En relación a la compartición de datos entre todos los operadores: 2.14. Que todas las tablas de la base de datos son comunes a todos los operadores. 2.15. Que la persona que accede a los datos en REBY como prestador de servicios a los operadores es la misma que accede por parte de REBY prestando sus servicios en calidad de operador independiente. 2.16. Que con anterioridad a agosto 2021 solo existía 1 registro en base de datos por cada usuario. Que a dicho único registro accedían todos los operadores, aunque solo una vez que el usuario hubiera dado el permiso en la APP de cada operador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/33 2.17. Que con posterioridad a agosto 2021 existía en base de datos 1 registro por cada usuario y por cada operador en el que estuviera dado de alta. Que, en la migración, se tuvieron que replicar de forma forzada los registros únicos por usuario que existían previamente, tantas veces como operadores en los que se hubiera registrado. 2.18. Que, en potencia, y desde el punto de vista de los permisos de acceso a la base de datos, todas las APP de todos los operadores incluyendo a REBY, podían acceder a la base de datos completa tanto antes como después de agosto de 2021. En relación al consentimiento para la compartición de datos de los usuarios entre los operadores: 2.19. Que con anterioridad a agosto de 2021 no se permitía a un usuario registrarse si no daba el consentimiento para comprobar si su número de teléfono ya se había registrado con algún operador y, en caso afirmativo, para importar sus datos al operador en el que se está registrando. El motivo es porque solo existía un único registro por usuario en la base de datos al que necesitaban acceder todos los operadores. Un usuario se determina exclusivamente por el número de teléfono con el que se registraba. En el software no se podían definir distintos usuarios asociados a un mismo número de teléfono. 2.20. Que respecto a la primera pantalla de la App de los operadores donde consta: “Consiento que [OPERADOR] compruebe si ya estoy registrado/a en otras plataformas de movilidad colaborativa para facilitar el proceso de registro.” Que esa casilla había que marcarla forzosamente para continuar con el proceso de registro. 2.21. Que respecto a la segunda pantalla de la App de los operadores donde consta “Tras comprobarlo, hemos detectado que ya te has registrado en [incluir nombre del Operador]. Aceptas que este nos comunique a Iberscot los siguientes datos para agilizar el proceso de registro, con el fin de prestarte nuestros servicios: nombre, apellidos, email, DNI/ Carnet de conducir/Pasaporte, token de pago. Te recordamos que puedes ejercitar tus derechos según se describe en nuestra Política de Privacidad.” Y constan dos opciones; una con el texto “Volver a registrarme” y otro de “¡Entendido!”. Que al hacer clic en “Entendido” sí se registraba un consentimiento. Si se hacía clic en “Volver a registrarme”, se volvía a la pantalla inicial donde se introduce el número de teléfono para recibir un sms. 2.22. Que no recuerda cómo era el proceso para el caso de la App de REBY. 2.23. Que con anterioridad a agosto de 2021, por tanto, los cinco operadores compartían de forma automática todos los datos de los usuarios registrados, si previamente estos habían dado consentimiento para importar sus datos, al existir 1 único registro en base de datos. 2.24. Que con anterioridad a agosto de 2021 la “importación” de datos desde otros C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/33 operadores no era tal, sino que era realmente permitir el acceso al único registro de ese usuario existente en base de datos. 2.25. Que, con anterioridad a agosto de 2021, REBY también accedía al registro único de un usuario al igual que hacían el resto de operadores. Que desconocen dónde se encuentran los consentimientos del usuario para este acceso por parte de REBY. 2.26. Que, antes de agosto 2021, las App de todos los operadores, incluyendo REBY, funcionaban igual, que recuerden, es decir, si se quería dar de alta un usuario y ya estaba dado de alta en otro operador, pedían el consentimiento siempre. 2.27. Que antes de agosto de 2021, cuando un usuario hacía uso del servicio de agregación, REBY no cedía datos de ese usuario al operador del cual quería conducir el vehículo, asumiendo que ese usuario ya estuviera dado de alta en ese operador. Y que, en este caso, REBY, no recogía un nuevo consentimiento. Que no pueden aportar captura de pantalla de la app REBY con la interacción del usuario en este caso de uso por imposibilidad técnica. 2.28. Que, con posterioridad a agosto 2021, ya no se daba la opción de “importación” de los datos del usuario cuando un usuario estaba registrado en otro operador, por lo que el usuario debía de completar todo el proceso de registro. Que ningún operador pedía el consentimiento al usuario durante el proceso su registro, solo REBY para prestar el servicio de agregación. Que donde consten fechas del consentimiento posteriores a agosto 2021 es porque se refiere realmente a consentimientos dados desde app REBY por el uso del servicio de agregación. 2.29. Que la única tabla de la que tienen constancia que almacena consentimientos se llama (…). Que la descripción de campos de esta tabla es: id: identificador único del consentimiento timestamp: fecha del consentimiento y fecha en la que se crea el registro. origin_company_user_id: usuario que da el consentimiento (equivalente a su número de teléfono) destination_company:id: compañía a la que se le da el consentimiento para que acceda a los datos. type: desconocen su significado y siempre tiene el valor 1. 2.30. Que desconocen dónde se encuentran los consentimientos dados desde la app REBY. […]”. Durante la inspección indicada, los Servicios de esta Agencia accedieron a la base de datos que soporta el servicio de movilidad prestado por la propia REBY como operador, el servicio de agregación de movilidad que presta REBY, como también soporta la plataforma tecnológica y App móvil con la que operan el resto de operadores. Mediante este acceso se comprueba: 1. Que el número total de usuarios son: REBY C/ Jorge Juan, 6 28001 – Madrid 1,034,859 www.aepd.es sedeagpd.gob.es 28/33 IBERSCOT OIZ TUCYCLE AVANT 13,023 14,657 10,604 15,557 2. Que los datos asociados a un usuario dado de alta con posterioridad a agosto de 2021 en los distintos operadores, excluyendo REBY, pueden variar, incluyendo el token de pago y el saldo. 3. Que existen consentimientos en la tabla de consentimientos (…) para los operadores TUCYCLE, AVANT, OIZ, IBERSCOT. Se comprueba que no consta registros asociados a REBY. 4. Que la fecha de consentimiento más antigua es 29/05/2020 08:44. 5. Se comprueba que: a. Para el operador AVANT el primer consentimiento consta de fecha 29/05/2020 y el último de fecha 14/02/2023. b. Que el consentimiento más antiguo dado desde IBERSCOT es en fecha 30/06/2020 y el más reciente es en fecha 12/02/2023. c. Que el consentimiento más antiguo dado desde OIZ es en fecha 30/06/2020 y el más reciente es en fecha 12/02/2023. d. Que el consentimiento más antiguo dado desde TUCYCLE es en fecha 30/06/2020 y el más reciente es en fecha 13/02/2023. 6. Que la forma de conocer a qué operadores ha cedido los datos un operador en cuestión, o siquiera si los ha cedido o no, es con el siguiente procedimiento: Para un usuario concreto, hay que buscar en la tabla de sesiones las primeras sesiones de ese usuario para cada operador, es decir, cuándo fue la primera vez que ese usuario utilizó la app de cada operador. Si la primera sesión de todas es del operador en cuestión, se infiere que ha debido “ceder” los datos al resto de operadores cuya primera sesión para ese usuario son posteriores. Se comprueba que la fecha de la primera sesión en un operador coincide con la fecha del consentimiento dado desde ese operador. 4) Mediante diligencia realizada por esta Agencia en fecha 24/03/2023, se comprueban las distancias entre distintas coordinadas geográficas. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con las funciones que el artículo 57.1 a),
6. f)y
7. h)del RGPD confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la LOPDGDD, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/33 es competente para dictar la presente resolución la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Posibles infracciones El presente caso está relacionado con la plataforma tecnológica REBY y la prestación de servicios de bikesharing que ofrecen otros 4 operadores: AVANT, TUCYCLE, IBERSCOT y OIZ. Tanto en el escrito de 12/03/2021 remitido por el AYUNTAMIENTO DE BARCELONA como en la reclamación de 26/05/2021 formulada por A.A.A., se pone de manifiesto la comunicación de datos personales sin consentimiento de los usuarios de las citadas empresas que se registran en las correspondientes "apps" móviles para acceder al servicio de alquiler de vehículos. Se advierte que cuando una persona se da de alta en una de las "apps" de estas entidades y posteriormente instala otra de ellas, la segunda reconoce al usuario y reutiliza los datos que le proporciona la otra "plataforma colaboradora", con la finalidad de "agilizar el proceso". También, que ninguna de las entidades informa con claridad quiénes son las “plataformas colaboradoras” de las que se pueden compartir los datos personales. En ambos casos, se estimó oportuno admitir a trámite el escrito del Ayuntamiento y la reclamación para llevar a cabo las comprobaciones oportunas respecto de las informaciones recibidas de REBY. Ello dio lugar a la apertura de actuaciones previas de investigación. Llegados a este punto, resulta necesario precisar el carácter bajo el que actúan las entidades que intervienen, desde el punto de vista de la protección de datos personales. Las entidades AVANT, TUCYCLE, IBERSCOT y OIZ, son las empresas que resultaron adjudicatarias de las licencias temporales de uso común especial del dominio público para el estacionamiento de ciclomotores y motocicletas de uso compartido en régimen de explotación económica al término municipal de Barcelona, convocadas por el AYUNTAMIENTO DE BARCELONA en fecha 10/10/2019. En consecuencia, la entidad REBY no resultó beneficiaria de esta licencia. A la luz de la documentación que obra en el expediente, los Servicios de Inspección comprobaron que a lo largo del año 2020 REBY suscribió contratos de prestación de servicios con cada uno de los operadores citados, que tienen por objeto, entre otras, las siguientes funciones: la prestación del servicio de la plataforma y App al responsable del tratamiento y los servicios de mantenimiento de la plataforma y de la App. En todo caso, REBY interviene en los hechos bajo la condición de encargado del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/33 Las figuras de “responsable del tratamiento” y “encargado del tratamiento” se definen en el artículo 4 del RGPD como sigue: “Responsable del tratamiento o responsable: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. “Encargado del tratamiento o encargado: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. El artículo 24 del RGPD, referido a la “Responsabilidad del responsable del tratamiento”, establece lo siguiente: “1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. 2. Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos…”. El Informe 0064/2020 del Gabinete Jurídico de esta Agencia ha expresado con rotundidad que “El RGPD ha supuesto un cambio de paradigma al abordar la regulación del derecho a la protección de datos personales, que pasa a fundamentarse en el principio de “accountability” o “responsabilidad proactiva” tal y como ha señalado reiteradamente la AEPD (Informe 17/2019, entre otros muchos) y se recoge en la Exposición de motivos de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD)”. Sigue diciendo el citado informe lo siguiente: “…los criterios sobre cómo atribuir los diferentes roles siguen siendo los mismos (apartado 11), reitera que se trata de conceptos funcionales, que tienen por objeto asignar responsabilidades de acuerdo con los roles reales de las partes (apartado 12), lo que implica que en la mayoría de los supuestos deba atenderse a las circunstancias del caso concreto (case by case) atendiendo a sus actividades reales en lugar de la designación formal de un actor como "responsable" o "encargado" (por ejemplo, en un contrato), así como de conceptos autónomos, cuya interpretación debe realizarse al amparo de la normativa europea sobre protección de datos personales (apartado 13), y teniendo en cuenta (apartado 24) que la necesidad de una evaluación fáctica también significa que el papel de un responsable del tratamiento no se deriva de la naturaleza de una entidad que está procesando datos sino de sus actividades C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/33 concretas en un contexto específico…”. De acuerdo con lo expuesto, los conceptos de responsable y encargado de tratamiento no son formales, sino funcionales y deben atender al caso concreto. Por otra parte, la existencia de un encargado del tratamiento depende de una decisión adoptada por el responsable del tratamiento, que podrá decidir realizar por sí mismo determinadas operaciones de tratamiento o contratar la totalidad o parte del tratamiento con un encargado. La esencia de la función del encargado el tratamiento es que los datos personales sean tratados en nombre y por cuenta del responsable del tratamiento. En la práctica, es el responsable el que determina la finalidad y los medios, al menos los esenciales, mientras que el encargado del tratamiento tiene la función de prestar servicios a los responsables del tratamiento. En otras palabras, “actuando en nombre y por cuenta del responsable del tratamiento” significa que el encargado del tratamiento está al servicio del interés del responsable del tratamiento en llevar a cabo una tarea específica y que, por tanto, sigue las instrucciones establecidas por éste, al menos en lo que se refiere a la finalidad y a los medios esenciales del tratamiento encomendado. El responsable del tratamiento es quien tiene la obligación de garantizar la aplicación de la normativa de protección de datos y la protección de los derechos de los interesados, así como ser capaz de demostrarlo (artículos 5.2, 24, 28 y 32 del RGPD). El control del cumplimiento de la legalidad se extiende durante todo el tratamiento, desde el principio hasta el final. El responsable del tratamiento debe actuar, en cualquier caso, de forma diligente, consciente, comprometida y activa. Ese mandato del legislador es independiente de que el tratamiento lo realice directamente el responsable del tratamiento o de que lo efectúe valiéndose de un encargado del tratamiento. En el presente caso, son los 4 operadores (AVANT, OIZ, TUCYCLE y IBERSCOT) quienes deciden contratar a REBY para que facilite su plataforma tecnológica y ofrecer así un adecuado servicio de bikesharing; asumiendo el rol de encargada del tratamiento, toda vez que actúa plenamente en nombre y por cuenta de estas, que son las entidades responsables del tratamiento a todos los efectos en materia de protección de datos. Asimismo, el registro como usuario desde la app móvil de REBY no le otorga el papel de responsable del tratamiento, ya que las condiciones de uso y política de privacidad que se aplican son las correspondientes al operador seleccionado. De este modo, es el operador en cuestión, y no REBY, quien determina las operaciones de tratamiento de los datos personales que se llevarán a cabo, esto es, el por qué (la finalidad) y el cómo (los medios) se debe tratar los datos personales para alcanzar el propósito que se pretende. Prueba de ello son las capturas de pantalla aportadas por REBY en las que se observa una check box que señala lo siguiente: “¡Hola! El vehículo que vas a utilizar no es de Reby, sino de [*]. Si das a continuar, estás aceptando sus Términos y Condiciones y su Política de Privacidad”. En este sentido, el artículo 28.10 del RGPD también atiende al criterio de la determinación de los fines y medios del tratamiento, a la hora de establecer la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/33 responsabilidad del encargado del tratamiento en la comisión de infracciones al RGPD. De acuerdo con este artículo, si el encargado determina los fines y medios del tratamiento será considerado responsable del mismo: “10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento”. Como se ha indicado, REBY actúa como encargado del tratamiento de los datos personales de los usuarios, debiendo atribuirse a los operadores, como responsables del tratamiento, cualquier perjuicio ocasionado en cuanto a los derechos y libertades de los interesados afectados; sin perjuicio de lo que contemple el artículo 28.10 del RGPD. Por último, cabe señalar que no existe prueba alguna de tratamiento de datos personales de usuarios de los servicios al margen de los que derivan de aquella relación contractual suscrita por REBY con los operadores citados. En la actualidad, REBY ha cesado completamente su actividad, encontrándose en una situación preconcursal, y no permitiendo su app móvil realizar nuevos registros. Atendiendo a lo expuesto, procede el archivo de las actuaciones, sin perjuicio de que la Agencia aplicando los poderes de investigación y correctivos que ostenta, pueda llevar a cabo posteriores actuaciones relativas al tratamiento de datos referido en la reclamación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a REBY RIDES, S.L., con NIF B67301473, a A.A.A. y al AYUNTAMIENTO DE BARCELONA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
8. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/33 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es