1/24 Expediente N.º: EXP202306263 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 12/03/2021, tuvo entrada en esta Agencia un escrito presentado por el Ayuntamiento de Barcelona mediante el que informa que la actuación de TUCYCLE BIKE SHARING, S.L., con NIF B52553385 (en adelante TUCYCLE), puede dar lugar a un incumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal. Los motivos en los que basa su denuncia son los siguientes: “I.- Antecedentes… Entre otras, se adjudicaron un total de 1.392 licencias temporales de uso común especial del dominio público para el estacionamiento de ciclomotores y motocicletas de uso compartido en régimen de explotación económica al término municipal de Barcelona entre los cuatro operadores (Tucycle Bikesharing, SL, Avant Fullstep, SL , Eco-logica Turismo Sostenible, SL, Oiz Ridesharing, SL)… 7. Las cuatro empresas Tucycle Bikesharing, SL, Avant Fullstep, SL , Eco-logica Turismo Sostenible, SL, Oiz Ridesharing, SL, también participaron en el procedimiento de otorgamiento a precario de licencias temporales y en consecuencia, presentaron declaraciones responsables en las que ratificaban su condición de empresas independientes, y se comprometían y aceptaban a cumplir con las condiciones y obligaciones de la convocatoria. Mediante este procedimiento, se adjudicaron un total de 854 licencias temporales de uso común especial del dominio público a los cuatro operadores. Así pues, los cuatro operadores son adjudicatarios de un total de 2.246 licencias temporales de uso común especial del dominio público para el estacionamiento de ciclomotores y motocicletas de uso compartido en régimen de explotación económica al término municipal del Barcelona… 9. En virtud del expuesto anteriormente, para operar al espacio público cada empresa dispone de una aplicación móvil para que los usuarios se puedan registrar y hacer uso del servicio de alquiler de bicicletas y motocicletas, que están estacionadas en el espacio público de Barcelona. En estas aplicaciones móviles, se han detectado los incumplimientos por parte de las cuatro empresas, dado que cuando una persona se registra en una de las aplicaciones de las cuatro empresas, la aplicación reconoce al usuario y comparte los datos entre las cuatro empresas, sin que el usuario se haya dado de alta en el resto de las aplicaciones de las empresas o lo haya consentido (este punto se detalla más adelante). Adicionalmente, debemos añadir a otra empresa, REBY RIDES S.L, que no es adjudicataria de licencias, pero que en las actas de inspección de fecha 1 de diciembre de 2020 e informe de la Gerencia de Movilidad e Infraestructuras de 29 de diciembre de 2020 y que luego se menciona, se demuestra que aparentemente, también facilita el alquiler de las motocicletas de las cuatro empresas anteriores en su aplicación móvil , y en consecuencia facilita los datos de los usuarios registrados en las aplicaciones anteriores, sin consentimiento previo de los usuarios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/24 10. En fecha 27 de agosto de 2020 y 14 de septiembre de 2020… (denominación de una entidad tercera) (adjudicataria definitiva de licencias) envió correos electrónicos a la corporación en los que avisaba que había detectado determinadas prácticas efectuadas por los cuatro adjudicatarios definitivos de licencias que podrían suponer una vulneración de la normativa de protección de datos en relación con el Decreto de regulación y del decreto de convocatoria. 11. Por este motivo, el Ayuntamiento de Barcelona efectuó las propias comprobaciones en fecha 19 de agosto de 2020 y se emitió un acta de inspección en la que se recogían los incumplimientos detectados (…). 12. Así mismo, en fecha 6 de octubre de 2020 esta Dirección recibió escrito de la empresa (denominación de una entidad tercera distinta a la anterior), adjudicataria de licencias, en el que manifestaba que determinadas prácticas efectuadas por los cuatro operadores y adjudicatarios definitivos de licencias (Tucycle Bikesharing, SL, Avant Fullstep, SL , Eco-logica Turismo Sostenible, SL, Oiz Ridesharing, SL) podrían suponer una vulneración de la normativa de la competencia así como de la normativa de protección de datos (…). 13. A la vista de lo expuesto, la Gerencia de Movilidad e Infraestructuras, nuevamente efectuó sus comprobaciones y en fecha 26 de octubre de 2020 se procedió a comprobar personalmente y directamente por las funcionarias y funcionarios municipales las mencionadas actuaciones realizadas por Tucycle Bikesharing, SL, Avant Fullstep, SL, Eco-logica Turismo Sostenible, SL, Oiz Ridesharing, SL y en consecuencia, se emitieron cuatro actas de inspección que se adjuntan como ANEJOS 4, 5, 6 y 7 respectivamente, en las que se pone de manifiesto determinadas actuaciones que podrían ser constitutivas de una infracción de la normativa de la protección de datos y que se detallan a continuación. Se adjunta como ANEJO 8 acta de inspección emitida en data 1 de diciembre de 2020 en la que se demuestra que aparentemente, REBY RIDES, empresa que no dispone de licencias ni se ha presentado al procedimiento, también facilita el alquiler de las motocicletas de las cuatro empresas anteriores en su aplicación móvil, y en consecuencia facilita los datos de los usuarios registrados en las aplicaciones anteriores, sin consentimiento previo de los usuarios… IV.- Objeto de la denuncia… En las inspecciones realizadas el pasado 26/10/2020 se comprueba que cuando un usuario se registra a la aplicación de Iberscot, queda automáticamente registrado a las aplicaciones de Oiz, Tucycle y Avant, y así lo indican en la misma aplicación, al no requerir nuevamente la documentación necesaria para realizar el registro del nuevo usuario, y con el siguiente mensaje que constan en los pantallazos de las Actas: “Ya estás registrado! Hemos detectado que ya te has registrar a otra plataforma colaboradora. Utilizaremos los datos que has añadido para agilizar el proceso”… En las Inspecciones realizadas el 26/10/2020 se comprueba que introduciendo 10€ en la aplicación de Avant, que se suman a los 22 céntimos previos de la cuenta, y realizando un viaje con esta misma aplicación, el saldo se ve reducido en 66 céntimos, pasando de 10,22€ a 9,56€. (…). Indicar que el saldo, una vez introducidos los 10€ en la cartera de la aplicación de Avant, en el caso de la cartera de la empresa OIZ, se añade 1 euro adicional de regalo a la cuenta como indica la promoción de la propia aplicación (enmarcado en verde a la captura). A la vez, se comprueba que habiendo realizado únicamente un viaje con la empresa Avant con un cargo de 66 céntimos, se reducen las cuentas de las otras tres empresas también en 66 céntimos (ver Anejos 4, 5, 6 y 7). Se comprueba como con las otras tres empresas, Oiz, Tucycles y Iberscot, no se han realizado viajes. Aun así, el saldo en cartera también ha disminuido (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/24 3. En la política de privacidad de las empresas, se informa a los usuarios que se comparten los datos personales con las entidades del mismo grupo… Así mismo, en relación con el Informe de Inspección del pasado 1 de diciembre de 2020 relativo a la empresa externa REBY RIDES, S.L. se comprueba que: Que las empresas Avant, Oiz, Tucycle y Iberscot, comparten las bases de datos de los registros y usuarios con una quinta empresa: REBY RIDES SL (empresa externa que no ha resultado adjudicataria de licencias)…”. Junto a la reclamación aporta, entre otra, la siguiente documentación: . Copia del Acta de inspección emitida por el Ayuntamiento de Barcelona que recoge las comprobaciones realizadas en fecha 19 y 26/08/2020, 26/10/2020 y 01/12/2020, en relación con las siguientes entidades: Tucycle Bikesharing, S.L., Avant Fullstep, S.L., Eco-logica Turismo Sostenible, S.L., Oiz Ridesharing, S.L. y Reby Rides, S.L. . Copia del informe técnico, de fecha 29/01/2021, emitido por la Gerencia de Movilidad e Infraestructuras, en el que solicita poner en conocimiento de las autoridades competentes en materia de protección de datos el análisis recogido en su informe y en las actas, a fin que se puedan iniciar las correspondientes investigaciones, y caso que se confirme una vulneración de la normativa por parte de Avant Fullstep SL (Avant), Oiz Ridesharing SL (Oiz), Tucycle Bikesharing SL (Tucycle) y Eco-logica Turismo Sostenible SL (Iberscot), solicita iniciar el correspondiente expediente de revocación de licencias y la adopción de las correspondientes sanciones o medidas necesarias. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 19/04/2021 se dio traslado de dicha reclamación a TUCYCLE, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 19/04/2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 19/05/2021, se recibe en esta Agencia escrito de respuesta en el que TUCYCLE manifiesta: “Que el pasado mes de diciembre del 2020 Tucycle fue requerido para facilitar información sobre el tratamiento de datos de los usuarios, mediante resolución con nº de referencia E/10004/2020… Tras el análisis de la información facilitada por Tucycle, la AEPD archivó las actuaciones al considerar que no se había producido vulneración alguna de la normativa… A. Sobre el proceso de registro de usuarios… Tras el primer requerimiento, mencionado anteriormente, Tucycle explicó que siempre se obtiene el consentimiento de los usuarios para completar el proceso de registro en su plataforma e igualmente para la obtención de sus datos en otra plataforma de movilidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/24 colaborativa, para que así sea más sencillo el registro de los usuarios. Como hemos referido, en la correspondiente resolución, la Agencia ya valoró las aclaraciones realizadas por Tucycle y archivó la reclamación en cuestión, por lo tanto para evitar reiteraciones innecesarias nos remitimos al respecto al escrito de respuesta presentado ante la agencia en fecha 21 de enero de 2021. Tucycle, en aras de mejorar el servicio a sus usuarios y alcanzar el mayor número de usuarios potenciales, tiene interés en ofrecer la disponibilidad de sus vehículos en más plataformas de movilidad… se encuentra ya presente entre ellas en la app de SMOU, ofrecida por la empresa municipal de Barcelona De Servicios Municipales, SA (B:SM), así como en la aplicación de Reby. Reby Rides, S.L. (en adelante, “Reby”) presta los servicios independientes de agregador para la geolocalización y visualización de vehículos de alquiler temporal de uso compartido de operadores terceros, y la comparación de precios y reserva de vehículos, mediante la Plataforma y Aplicación Móvil Reby…. Después de analizar el proceso de registro de los usuarios de Tucycle, se reitera que Tucycle realiza comunicaciones de datos de sus usuarios a otros prestadores de servicios de movilidad, única y exclusivamente a requerimiento de los interesados, que deben solicitarlo y aprobarlo de manera expresa, con un comportamiento activo (pulsando un botón) en la aplicación móvil, sin que, en ningún caso, se transmitan datos personales sin que estos lo hayan autorizado expresamente. Del mismo modo, Tucycle sólo recibe comunicaciones de datos de nuevos usuarios de su servicio provenientes de otros prestadores de servicios de movilidad, como es el caso de Reby, única y exclusivamente a requerimiento de los interesados, en las mismas circunstancias explicadas. Los usuarios son informados expresamente en la Política de Privacidad, en el apartado de obtención de datos personales, que Tucycle ya viene contemplado que en el supuesto de recibir datos procedentes de terceras empresas colaboradoras, como Reby, es necesaria la autorización del interesado… Es por todo ello que Tucycle considera que cumple con rigor las obligaciones que el RGPD y la LOPDGDD impone a los responsables de tratamientos… especialmente después de las modificaciones realizadas proactivamente durante el presente año 2021… B. Sobre el sistema de pago de los usuarios… Los pagos de los Usuarios se gestionan de forma segura a través de la entidad Kernel Labs, S.L.U… que actúa en calidad de encargada de tratamiento. Los datos de pago son tratados única y exclusivamente por el proveedor para la finalidad por la que se han contratado sus servicios… El proceso de registro del usuario y almacenamiento de sus datos bancarios lo explicamos a continuación. - El usuario introduce sus datos bancarios desde la aplicación de Tucycle, donde no se almacenan los datos. - A los datos facilitados por el usuario se les dan traslado directamente a Kernel, que es el encargado de realizar las comprobaciones necesarias con el banco. Kernel es quien verifica que la tarjeta bancaria introducida sea válida y correcta. - Una vez verificada la información, Kernel le da traslado a Tucycle de un”token de pago” de la tarjeta o tarjeta digital. Este Card Token reemplaza los datos sensibles de las tarjetas por un código único identificativo. - Cuando se finaliza el desplazamiento Tucycle cobra de forma automática la tarifa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/24 correspondiente al servicio, a través del método de pago facilitado por el usuario. - En ningún caso Tucycle dispone de los datos completos de la tarjeta del usuario, sino del “token de pago” que le ha facilitado Kernel. Los datos facilitados por Kernel son insuficientes para realizar cargos directamente en la tarjeta. Solo tiene los medios y está autorizado para ello Kernel… En los casos que Tucyle comunica datos de un usuario a un operador de movilidad compartida colaborador, después de que el usuario haya prestado de forma expresa con un comportamiento activo su consentimiento para ello, de entre dichos datos se encuentra el “token de pago” del usuario, es decir, el acceso al código numérico o “wallet” en el que se almacena el crédito introducido por el usuario personalmente. La comunicación de dichos datos por parte de Tucycle a otro operador de movilidad compartida colaborador, y en particular la comunicación del token de pago, le permite conocer si existe saldo disponible en la tarjeta digital del usuario, y realizar cobros mediante la plataforma de Kernel sobre ese medio de pago por los servicios que le preste… E. Conclusión sobre la decisión adoptada …una vez Tucycle ha recibido la Reclamación referida en el presente escrito… ha llevado a cabo una revisión de los textos legales, en particular de la política de privacidad, incluidos tanto en la aplicación móvil como en la página web de Tucycle…”. Junto al escrito aporta, entre otros, la siguiente documentación: . Copia de la Política de Privacidad en su versión de 19/05/2021. Del contenido de este documento cabe destacar lo siguiente: “¿De dónde obtenemos tus datos personales? “(…) l. Datos personales que tratamos que proceden del propio Usuario… ll. Datos personales que tratamos a través de la App cuando el Usuario hace uso del Servicio… III. Datos personales que tratamos que proceden de terceras empresas colaboradoras. Al crear tu cuenta de Usuario, pediremos tu permiso para verificar si ya estás registrado en otras plataformas de movilidad colaboradoras. Los datos que nos comunican con el fin de prestarte nuestros servicios, son los siguientes: Datos de identificación (nombre, apellidos, DNI o pasaporte); Dirección electrónica; Carnet de conducir; Token de pago. El token es un código numérico único formado por dígitos similares que reemplaza los datos de la tarjeta de crédito durante la transacción. Por lo tanto, no se transmitirán los datos de tu tarjeta sino únicamente este código seguro. De esta forma, tu proceso de registro en nuestra App será mucho más ágil, ya que no tendrás que volver a introducir manualmente todos los datos. TUCYCLE solamente tendrá acceso a los datos que has informado a nuestros colaboradores en el caso de que nos des tu autorización previa. En ningún caso esos datos serán cotejados sin tu consentimiento. Las plataformas de movilidad colaboradoras de TUCYCLE en la ciudad de Barcelona Se puede consultar aquí”. “¿Compartimos tus datos personales con terceros? …determinados datos personales que han sido facilitados a TUCYCLE, podrán ser cedidos a terceros, para posibilitar, facilitar y mejorar nuestros servicios... Los datos personales del Usuario podrán ser cedidos a los siguientes destinatarios: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/24 . Entidades del Grupo TUCYCLE… . Administraciones Públicas, Juzgados y Tribunales… . Proveedores que prestan servicios a TUCYCLE… . Entidades de pago… . Autoridades de tráfico… . Entidades de movilidad colaboradoras de TUCYCLE: cuando introduces tus datos personales en la plataforma de la App de TUCYCLE, se te solicitará que autorices la cesión de dichos datos a terceras empresas colaboradoras con las que compartimos plataforma. El único objetivo de esta cesión es agilizar el proceso de registro en sus respectivas aplicaciones en caso de que desees registrarte y utilizar las mismas en un futuro. Esta cesión solamente se producirá con el consentimiento previo y expreso del usuario. Las empresas colaboradoras de TUCYCLE son las indicadas en el apartado 3, de la presente Política de Privacidad”. . Copia de la Resolución dictada por esta Agencia, en fecha 25/02/2021, por la que se acuerda proceder al archivo de actuaciones señaladas con el número E/10004/2020. La resolución a la que hace referencia la citada entidad resuelve una reclamación formulada contra las entidades TUCYCLE, AVANT, OIZ e IBERSCOT por la cesión de datos personales de los usuarios que se registran en las correspondientes "apps" móviles para acceder al servicio de alquiler de vehículos. En esta reclamación se advierte que cuando una persona se da de alta en una de las "apps" de estas entidades y posteriormente instala otra de ellas, la segunda reconoce al usuario y reutiliza los datos que le proporciona la otra "plataforma colaboradora", con la finalidad de "agilizar el proceso". Se añade que ninguna de estas entidades informa al usuario de la posibilidad de compartir datos de carácter personal a terceras empresas distintas de proveedores de servicios o empresas del grupo. Dicha reclamación fue igualmente trasladada a TUCYCLE, conforme a lo dispuesto en el artículo 65.4 de la LOPDGDD, para que procediese a su análisis e informase de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Según consta en la citada resolución de archivo de actuaciones, en su respuesta al trámite de traslado, de fecha 21/01/2021, TUCYCLE informó que había acometido modificaciones en sus políticas de privacidad para informar de la cesión de datos de los usuarios a terceras empresas colaboradoras con las que comparten plataforma, con el único objetivo de agilizar el proceso de registro en sus respectivas aplicaciones en caso de que un usuario desee registrarse y utilizar las mismas en un futuro, destacando que dicha cesión solamente se producirá con el consentimiento previo y expreso del usuario. Asimismo, en el apartado de obtención de datos personales, contemplan el supuesto de recibirlos procedentes de terceras empresas colaboradoras, siempre bajo autorización del interesado. Se indica que los datos extraídos son datos de identificación (nombre, apellidos, DNI o pasaporte); dirección electrónica; carnet de conducir y token de pago. De igual manera, informó que estaba en proceso de incorporar en el proceso de alta de usuario en su aplicación móvil un mecanismo para recoger su consentimiento a la obtención de sus datos a partir de otras plataformas de movilidad colaborativa, con el propósito de facilitar el proceso de registro. Una vez analizadas las razones expuestas, se consideró que no procedía el inicio de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/24 un procedimiento sancionador, por cuanto la tramitación de la reclamación conforme a lo dispuesto en el artículo 65.4 de la LOPDGDD dio lugar a la solución de las cuestiones planteadas, sin necesidad de depurar responsabilidades administrativas en el marco de un procedimiento sancionador. Ello sin perjuicio de que la Agencia, aplicando los poderes de investigación y correctivos que ostenta, pueda llevar a cabo posteriores actuaciones relativas al tratamiento de datos referido en la reclamación, como bien se señaló en la citada resolución de 25/02/2021. TERCERO: A.A.A. (en adelante, la parte reclamante) con fecha 26/05/2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la entidad TUCYCLE, en relación con la comunicación de datos de usuarios entre distintas empresas que prestan servicio de bikesharing, por no informar a sus usuarios de tales comunicaciones y no recabar su consentimiento. En dicha reclamación se pone de manifiesto lo siguiente: La parte reclamante se registró como usuaria de OIZ en octubre de 2020, facilitando sus datos personales, fotografía de su DNI, carnet de conducir, un selfie y datos bancarios. Después del proceso de registro aceptó la política de privacidad, en la que se informa lo siguiente: “Los datos personales del usuario podrán ser cedidos a los siguientes destinatarios: Entidades del Grupo OIZ o que puedan llegar a ser miembros del grupo en un futuro (entendiéndose por grupo de empresas conforme a Io dispuesto en eI art. 42 del Código de Comercio), o a cualquier tercero que adquiera la totalidad o una parte sustancial de los activos de OIZ, con fines de gestión y administración del Grupo principalmente”. Con ese motivo contactó con el servicio de Atención al Cliente, que le informó sobre la cesión de sus datos personales a las entidades Ecológica Turismo Sostenible, S.L. (IBERSCOT), Avant Fullstep, S.L. (AVANT), Reby Rides, S.L. (REBY) y TUCYCLE. Añade que accedió a las políticas de privacidad de todas las entidades indicadas, comprobando que ninguna informaba sobre los destinatarios de la comunicación de datos personales; que, en la actualidad, OIZ, AVANT y REBY siguen sin indicar a quién ceden los datos, mientras que TUCYCLE e IBERSCOT sí lo indican; y que no recibió información de OIZ sobre la modificación de la app y de su política de privacidad. Advierte que la nueva configuración de la app, al inicio del proceso de alta, solicita el consentimiento del usuario para la cesión de sus datos personales a empresas colaboradoras, pero sin indicar los destinatarios y sin permitir completar el proceso de alta en caso de no prestar dicho consentimiento. En relación con esta cuestión, aporta dos capturas de pantalla de las Apps de IBERSCOT y OIZ, ambas con la misma estructura e información. En esta pantalla se requiere al usuario un número de línea de telefonía y se ofrecen dos casillas para marcar sendas opciones con el siguiente texto: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/24 “Continuando confirmo que tengo 18 años o más y que acepto que… (nombre de la entidad: OIZ o IBERSCOT), en su condición de responsable del tratamiento ( ) Trate mis datos para la prestación del servicio contratado según los Términos y Condiciones y Política de Privacidad que he leído y acepto” ( ) Consiento que… (nombre de la entidad: OIZ o IBERSCOT) compruebe si ya estoy registrado/a en otras plataformas de movilidad colaborativa para facilitar el proceso de registro”. La parte reclamante manifiesta que realizó el proceso de registro en la app de IBERSCOT, similar al de OIZ, con la misma sucesión de pantallas, datos solicitados, avisos, etc. Tras marcar la casilla de verificación, necesaria para continuar, recibió el mensaje siguiente: “Tras comprobarlo, hemos detectado que ya te has registrado en Oiz. Aceptas que este nos comunique a Iberscot los siguientes datos para agilizar el proceso de registro, con el fin de prestarte nuestros servicios: nombre, apellidos, email, DNI/Carnet de conducir/Pasaporte, token de pago.” Aporta captura de pantalla en la que figura el texto anterior y dos botones: uno con el texto “volver a registrar” y otro con el texto “entendido”. Considera la parte reclamante que la información ha tenido que ser ya compartida, al menos parcialmente, para que IBERSCOT pueda saber que se dio de alta previamente en OIZ. Señala que probó a denegar el permiso pulsando el botón “volver a registrar” y comprueba que no puede introducir los datos sin autorizar la compartición, que al optar por “volver a registrar” la App lleva de nuevo a la pantalla de inicio, donde comienza el mismo proceso, la misma verificación SMS y la misma pantalla. Sin pulsar la opción “Entendido” no se puede continuar el proceso. Que lo dicho es igual en el caso de OIZ, IBERSCOT, AVANT y TUCYCLE (aporta captura de pantalla con las opciones antes señaladas para la aceptación de los Términos y Condiciones y la Política de Privacidad, y para aceptar la comprobación del registro previo en otras plataformas), siendo algo distinto en el caso de REBY. Al entrar en IBERSCOT comprueba que ya están volcados todos sus datos (aporta captura de pantalla con los datos relativos a nombre, apellidos, mail, número de teléfono, dirección y tarjeta bancaria). Posteriormente, añadió saldo en IBERSCOT para empezar a utilizarla y dicho saldo se actualizó también en la app de OIZ y el resto de compañías indicadas (aporta captura de pantalla con la actualización del saldo en OIZ). Con su reclamación aporta la documentación siguiente:
- a)Copia de las conversaciones mantenidas con el servicio de Atención al Cliente de OIZ con ocasión de la consulta que la parte reclamante realiza en fecha 02/10/2021 para que informen a qué entidades ceden sus datos personales. De las respuestas ofrecidas por OIZ destacamos las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/24 “… Somos varias empresas que trabajamos juntos, prestamos el mismo servicio y colaboramos entre sí para beneficio del cliente. En caso de que se comparta información del cliente de una empresa a otra siempre le pedirá su autorización y consentimiento para hacerlo… Los datos nunca son cedidos a ninguna empresa que el usuario no haya dado su consentimiento…”. “Las empresas son las siguientes. Reby, OIZ, Iberscot, Tucycle y Avant”. “Se trata de una colaboración para ofrecer un servicio más cómodo; de forma que si te descargas la app de cualquiera de estas empresas, ya no necesitas validar tu información en cada una de ellas”.
- b)Extracto de la política de privacidad disponibles en las webs de TUCYCLE, aunque no está referido a la comunicación de datos personales a entidades terceras. CUARTO: Con fecha 18/06/2021, por la Subdirección General de Inspección de Datos se accede a la Política de Privacidad de TUCYCLE, disponible en la dirección web https://tucycle.com/politica-de-privacidad. El contenido de este documento coincide con el reseñado en el Antecedente Segundo En la misma fecha del 18/06/2021 se comprobó, asimismo, que en la url https://tucycle.com/plataformas-de-movilidad-colaboradoras-en-la-ciudad-debarcelona/ constan “las plataformas de movilidad colaboradoras en la ciudad de Barcelona”: AVANT, IBERSCOT, OIZ, REBY y TUCYCLE. QUINTO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a TUCYCLE, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 22/07/2021 como consta en el acuse de recibo que obra en el expediente. Con fecha 20/08/2021 se recibe en esta Agencia escrito de respuesta de TUCYCLE en el que, después de indicar que la reclamación se ha presentado por competidores que no se han dirigido de manera directa a TUCYCLE para resolver las cuestiones, aporta la información siguiente: . TUCYCLE es una empresa de movilidad compartida que ofrece servicios de alquiler de motos y bicicletas a través de aplicación móvil en diversos puntos de la geografía española, entre ellos en la ciudad de Barcelona con licencia del Ayuntamiento de esta ciudad. Para ofrecer el servicio se sirve de diversas plataformas que permiten al usuario contratar los servicios, entre las que se encuentra la de la entidad REBY, la cual ofrece a TUCYCLE un servicio de agregación a través de su App móvil. . La reclamación no aporta pruebas sobre el proceso de registro en la app de la empresa y la propia reclamación admite que TUCYCLE informa sobre las entidades a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/24 las que se comunican los datos. . En fecha 19/05/2021 actualizó su Política de Privacidad, que se encuentra accesible en su aplicación móvil y en la web (aporta el documento). Sobre la cesión de datos personales a “Entidades de movilidad colaboradoras de TUCYCLE” destaca el texto que ya consta reseñado en el Antecedente Segundo. . Sobre el proceso de registro para poder hacer uso del servicio de motosharing señala: . TUCYCLE puede llevar a cabo una cesión de los datos personales introducidos por el usuario siempre que éste lo consienta previamente. . Los datos son cedidos a empresas colaboradoras de TUCYCLE, que no son empresas de un grupo en el sentido del artículo 42 del Código de Comercio. . El objeto único de dicha cesión es agilizar el proceso de registro en las respectivas aplicaciones de las entidades colaboradoras, en el caso de que el usuario desee registrarlas y usarlas en un futuro. . Tal y como se informa en la Política de Privacidad, la información no se comparte por defecto con los posibles destinatarios, sino solo cuando se haya obtenido de manera previa el consentimiento expreso del usuario durante el proceso de registro en la app de TUCYCLE y o durante el registro en la app de otra de las entidades colaboradoras, que pueden consultarse en la web. En el mismo escrito de respuesta al trámite de traslado, TUCYCLE advierte nuevamente que ya fue objeto de otras actuaciones precedentes similares, señaladas con el número E/10004/2020, en las que se acordó el archivo de la reclamación respectiva, una vez se comprobó el cumplimiento por parte de TUCYCLE de la normativa de protección de datos personales. SEXTO: Con fecha 06/10/2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. SÉPTIMO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos:
- a)Con fecha 22/02/2022 se comprueba que en la dirección web https://ajuntament.barcelona.cat/gracia/es/noticia/adjudicacion-definitiva-de-laslicencias-de-motos-y-bicis-de-uso-compartido_951038 constan como operadoras del servicio de motos TUCYCLE, AVANT, IBERSCOT y OIZ. Esta información está fechada el 19/05/2020 y corresponde a la adjudicación definitiva de licencias de motos de uso compartido (348 vehículos cada una de las entidades).
- b)Con fecha 22/03/2022, se recibe en la AEPD la respuesta elaborada por TUCYCLE al requerimiento de información que le fue efectuado por los Servicios de Inspección: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/24 . Señala que las entidades citadas no integran su grupo empresarial y advierte que las referencias en la Política de Privacidad a la comunicación de datos personales a las empresas del Grupo se incluyeron de manera previsora, pero no se comparten con las mismas en la actualidad los datos de los usuarios. . Aporta copia del Registro de Actividades de Tratamiento (RAT) fechado en agosto de 2020 y actualizado en agosto de 2021. En la versión de agosto de 2020, en el detalle relativo a los tratamientos que TUCYCLE lleva a cabo para la gestión, prestación y facturación del servicio se indican las categorías de destinatarios a quienes se comunican los datos: “Terceras empresas de movilidad que prestan sus servicios conjuntamente; Ayuntamiento de Barcelona; administraciones públicas, juzgados y tribunales; entidades del grupo Tucycle; proveedores de servicios administrativos, contables, fiscales, informáticos y de marketing; entidades de pago; autoridades de tráfico”. En la versión de agosto de 2021, respecto de los mismos tratamientos y comunicaciones de datos se indica: “Ayuntamiento de Barcelona; administraciones públicas, juzgados y tribunales; entidades del grupo Tucycle; proveedores de servicios administrativos, contables, fiscales, informáticos y de marketing; entidades de pago; autoridades de tráfico”. . Los Servicios de Inspección solicitaron a TUCYCLE la realización de distintas pruebas en la versión actual de su aplicación para móviles, en la versión que estaba en producción el 19/08/2020 y en la que tenían previsto implantar. TUCYCLE aclara que no puede llevar a cabo ninguna prueba en versiones pasadas de la aplicación por imposibilidad técnica, al haberse cambiado la infraestructura y por la tecnología en que se basan estas aplicaciones. En relación con la aplicación actual, informa que, tras los requerimientos de la AEPD y las modificaciones realizadas para simplificar los procesos, no se comprueba si un usuario se ha registrado en entidades colaboradoras de movilidad como AVANT, IBERSCOT u OIZ, que no existe cesión de datos entre estas entidades y que únicamente existe relación con REBY, que actúa como encargada del tratamiento de TUCYCLE y presta el servicio desde la aplicación de la propia REBY. Asimismo, en relación con el servicio de saldo de la aplicación, señala que se ha integrado en un nuevo proveedor. En la prueba realizada para el registro de un usuario nuevo, después de cumplimentar los datos, no se requiere la prestación del consentimiento para la comunicación de datos a otras entidades. A este respecto, aporta capturas de pantalla de la aplicación. En la primera pantalla del proceso de registro, en la que se introduce el número de teléfono, consta una única casilla para marcar (y desmarcada por defecto) con el texto siguiente: “Trate mis datos para la prestación del servicio contratado según los Términos y Condiciones y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/24 Política de Privacidad que he leído y acepto”. . Se requirió, por otra parte, que TUCYCLE aportase el detalle que consta en sus sistemas de información sobre consentimientos otorgados y no otorgados de usuarios reales entre el 19/08/2020 y la actualidad. TUCYCLE informó que el 16/08/2021 cesaron las comunicaciones de datos desde la aplicación de TUCYCLE hacia otras aplicaciones colaboradoras, de modo que los consentimientos obtenidos son anteriores a dicha fecha, y que actualmente los únicos consentimientos que constan son los que provienen del servicio de agregación que ofrece la empresa REBY. De la misma forma, TUCYCLE solo recibe datos personales provenientes del servicio de agregación que ofrece la empresa REBY y únicamente de aquellos usuarios que hayan aceptado expresamente que REBY le transmita sus datos personales. Según informa TUCYCLE, uno de los campos existentes en sus sistemas indica si aquellos consentimientos se otorgaron a otro colaborador de movilidad. En la muestra aleatoria de consentimientos aportada a las actuaciones por TUCYCLE, asociados a 200 usuarios, la mayoría se obtiene a través de la app de REBY, existiendo otros provenientes de otras entidades “obtenidos con anterioridad a la decisión de no compartición de datos personales entre los operadores de movilidad”, según la explicación facilitada por TUCYCLE. En esta muestra de la base de datos consta un campo descriptivo del consentimiento (“consent_from”), que adopta únicamente los valores siguientes: “consent-from-reby-app” significa consentimientos obtenidos a través de la app de REBY. “consent-from-co-app” significa consentimientos obtenidos con anterioridad a la decisión de no compartición de datos personales entre los operadores de movilidad. “other” significa que son usuarios que por ser únicamente usuarios de TUCYCLE, no han tenido que facilitar su consentimiento. . Que en el momento del registro del usuario no se llevan comprobaciones para conocer si el usuario está registrado en otras plataformas. “La situación en la que sí que se puede llevar a cabo una comprobación es por parte de REBY, como encargado de tratamiento. En el caso de que un usuario quiera hacer uso del servicio de agregación de movilidad, con un vehículo de TUCYCLE, le informará a éste que TUCYCLE tendrá accesos a los datos facilitados si así lo acepta. Los datos son actualizados directamente en la base de datos de TUCYCLE, no en otra base de datos. En estos casos, los datos son archivados directamente en la base de datos de TUCYCLE, por este motivo, en los registros de nuevos usuarios, TUCYCLE únicamente comprueba los registros de su propia base de datos y puede detectar si ya existe un usuario con ese número de teléfono, en ningún caso consulta otras plataformas”. . TUCYCLE aportó copia de las distintas versiones de su Política de Privacidad, de fechas 01/08/2020, 19/01/2021, 19/05/2021 y 22/03/2022. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/24 La versión de fecha 01/08/2020 incluye el siguiente apartado relativo a la comunicación de datos personales: “¿Compartimos tus datos personales con terceros? Sí. Compartimos tus Datos Personales (
- i)con otras entidades del grupo TUCYCLE, (
- ii)con proveedores externos que nos ayudan con diferentes cuestiones relacionadas con el Servicio y (iii) con autoridades u organismos públicos… - Entidades que nos ayudan con diferentes cuestiones relacionadas con el Servicio… - Autoridades u organismos públicos para el desarrollo de sus funciones… - Entidades de pago…”. Los apartados correspondientes a la procedencia de los datos personales y a la comunicación de datos a terceros de las versiones de fecha 19/01/2021 y 19/05/2021 coinciden con la información reseñada en el Antecedente Segundo. Estos apartados se modifican en la versión de 22/03/2022, quedando como sigue: “3. ¿De dónde obtenemos tus Datos Personales? (…) l. Datos personales que tratamos que proceden del propio Usuario... ll. Datos personales que tratamos a través de la App cuando el Usuario hace uso del Servicio... III. Datos personales del servicio de agregación. Si eres usuario del servicio de agregación de movilidad prestado por Reby Rides S.L., en el momento en que quieras conducir un vehículo de TUCYCLE se te informará de que para la realización del viaje tus datos serán compartidos entre Reby y TUCYCLE, en virtud de la relación que mantenemos, siendo Reby Rides, S.L. nuestro encargado del tratamiento. La compartición de estos datos es necesaria para prestarte nuestros servicios: Datos de identificación (nombre, apellidos, DNI o pasaporte); Dirección electrónica; Carnet de conducir; Token de pago. El token es un código numérico único formado por dígitos similares que reemplaza los datos de la tarjeta de crédito durante la transacción. Por lo tanto, no se transmitirán los datos de tu tarjeta sino únicamente este código seguro”. “7. ¿Compartimos tus datos personales con terceros?” …Sin embargo, determinados datos personales que han sido facilitados a TUCYCLE, podrán ser cedidos a terceros, para posibilitar, facilitar y mejorar nuestros servicios... Los datos personales del usuario podrán ser cedidos a los siguientes destinatarios: Entidades del Grupo TUCYCLE o que puedan llegar a ser miembros del Grupo en un futuro (entendiéndose por grupo de empresas conforme a los dispuesto en el artículo 42 del Código de Comercio), o a cualquier tercero que adquiera la totalidad o una parte sustancial de los activos de TUCYCLE con fines de gestión y administración del Grupo principalmente. Administraciones Públicas, Juzgados y Tribunales… Proveedores que prestan servicios a TUCYCLE… Entidades de pago… Autoridades de tráfico…”. . Se aporta copia de contrato de encargo del tratamiento por REBY (encargado del tratamiento) y TUCYCLE (responsable del tratamiento) de fecha 18/02/2020. En este contrato se estipula que el encargado del tratamiento ejecutará los siguientes servicios, entre otros: la prestación del servicio de la plataforma y App al responsable C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/24 del tratamiento y servicios de mantenimiento de la Plataforma y de la App.
- c)Con fecha 03/05/2022, se recibe en la AEPD la respuesta elaborada por TUCYCLE a un segundo requerimiento de información que le fue efectuado por los Servicios de Inspección: . Confirma que el consentimiento tipo “consent-from-co-app” se refiere al consentimiento para la cesión de datos entre los operadores de movilidad, “el mismo tipo de consentimiento para la importación de los datos del usuario”, anteriores al cambio realizado el 16/08/2021. Según TUCYCLE, la finalidad de ese consentimiento era “autorizar a TUCYCLE a comprobar si el usuario ya estaba dado de alta en alguno de los otros operadores de movilidad colaboradores. En caso de que el usuario ya estuviera dado de alta en otro de los operadores de movilidad, se procedía a importar sus datos con la finalidad de facilitar el proceso de registro”. Confirma también que los operadores de movilidad entre los que se compartían los datos son la propia entidad TUCYCLE, REBY, OIZ, IBERSCOT y AVANT; que los datos personales de usuarios que se compartían eran los relativos a nombre, apellidos, teléfono móvil, correo electrónico, DNI o pasaporte, carnet de conducir y token de pago; y que esa compartición se realizó de 04/08/2020 a 16/08/2021. A este respecto, manifiesta que “al iniciar el proceso de registro a través de la aplicación de cualquier operador de movilidad colaborador, se preguntaba a los usuarios si accedían a que el operador comprobara si el usuario ya estaba dado de alta en algún otro operador del servicio de agregación de movilidad. En el caso que el usuario aceptara la realización de esta comprobación, y el mismo ya estuviera dado de alta, se procedía a la importación de sus datos con la única finalidad de acelerar su proceso de registro”. TUCYCLE informa que un total de 944 usuarios se dieron de alta inicialmente en su aplicación y, posteriormente, “siempre que el usuario diera su consentimiento”, sus datos fueron importados por otros operadores. Aporta capturas de pantalla del proceso de registro en la antigua versión de la app correspondientes al consentimiento referido. En la primera de las pantallas constan dos check box con los textos siguientes: “( )Trate mis datos para la prestación del servicio contratado según los términos y condiciones y política de privacidad que he leído y acepto” ( ) Consiento que Tucycle compruebe si ya estoy registrado/a en otras plataformas de movilidad colaborativa para facilitar el proceso de registro.” Y un botón “Continuar” en la parte inferior de la pantalla. En la segunda pantalla se informa: “Tras comprobarlo, hemos detectado que ya te has registrado en [incluir nombre del Operador]. Aceptas que este nos comunique a Tucycle los siguientes datos para agilizar el proceso de registro, con el fin de prestarte nuestros servicios: nombre, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/24 apellidos, email, DNI/ Carnet de conducir/Pasaporte, token de pago. Te recordamos que puedes ejercitar tus derechos según se describe en nuestra Política de Privacidad.” Al final de la pantalla se ofrece al usuario las opciones “Volver a registrarme” y “¡Entendido!”. Aporta un listado con todos los consentimientos tipo “consent-from-co-app” donde constan 5079 registros, en un rango de fechas para el campo “consent_timestamp” entre el 30/06/2020 hasta el 22/03/2022. . Los Servicios de Inspección solicitaron a TUCYCLE que detallase, desde el punto de vista técnico, el sistema por medio del cual se compartían los datos, indicando si esta compartición se realizaba por medio del acceso compartido a la base de datos del encargado del tratamiento (REBY) por parte de todos los operadores de movilidad o de otro modo. Para el primer caso, es decir, si el acceso compartido se realiza a la base de datos de REBY, se solicitó el detalle de las medidas implantadas para impedir que un operador acceda a los datos de un usuario registrado en TUCYCLE cuando dicho usuario no prestó su consentimiento para ello. Como respuesta a esta cuestión, la citada entidad informó como sigue: (…). (…) Los datos de los usuarios en ningún momento se compartían (en sentido estricto) entre los operadores de movilidad, es decir, antes del cambio del 16 de agosto de 2021 existía un único perfil de usuario al que se concedía acceso a los operadores o no, en función de los consentimientos otorgados por el usuario. Por ejemplo, en el caso de alta de un/a nuevo/a usuario/a funcionaría de la manera siguiente: - Un usuario que no existe en el sistema procede a darse de alta a través de la aplicación de TUCYCLE. - Se le solicita consentimiento para verificar si ya está dado de alta en otro operador de movilidad para facilitar el proceso de registro. - Se crea el usuario en el sistema y, como no estaba registrado en ningún otro operador, en este punto el usuario es visible únicamente para TUCYCLE y para Reby. - Al cabo de unos días, este usuario se da de alta en la aplicación de otro operador y consiente que se importen sus datos de registro. - Tras este consentimiento, el segundo operador pasa a tener acceso a la información de este usuario. En este punto el usuario será visible para los dos operadores y para Reby. Por ello, en la base de datos a la que tenía acceso TUCYCLE antes del cambio producido en fecha 16 de agosto de 2021, sólo podía consultarse si el usuario había autorizado a TUCYCLE para tener acceso a su perfil y si este acceso se había concedido desde TUCYCLE o, si se había otorgado desde la aplicación de Reby en caso de querer utilizar un vehículo propiedad de TUCYCLE en el servicio de agregación”. OCTAVO: Mediante resolución de fecha 13/10/2022 se declaró la caducidad de las actuaciones previas de investigación reseñadas en el Antecedente Séptimo, por el transcurso del plazo de doce meses contados desde la admisión a trámite de la reclamación sin que se hubiese dictado acuerdo de inicio de procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/24 En la misma resolución indicada se acordó, asimismo, abrir nuevas actuaciones de investigación e incorporar a estas nuevas actuaciones la documentación que integra las actuaciones previas que se declaran caducadas. NOVENO: En las nuevas actuaciones previas de investigación acordadas se llevan a cabo las comprobaciones siguientes: . Con fecha 27/02/2023 se comprueba que la App TUCYCLE no permite el registro de nuevos usuarios. . Con motivo de las reclamaciones reseñadas también se llevaron a cabo actuaciones previas de investigación ante la entidad REBY, en el marco de las cuales se realizó una inspección en los locales de la entidad en Barcelona, en fecha 07 y 08/03/2023. Durante esta inspección, los representantes de la citada entidad realizaron las manifestaciones siguientes, que constan recogidas en el Acta de Inspección respectiva, la cual fue suscrita por todos los intervinientes: “2.1. Que proporcionan toda la plataforma tecnológica, incluido el desarrollo de la APP móvil y la base de datos asociada, a los operadores Eco-Lógica Turismo Sostenible, S.L. (en adelante IBERSCOT), Oiz Ridesharing, S.L. (en adelante OIZ), Tucycle Bikesharing, S.L. (en adelante TUCYCLE) y Avant Fullstep, S.L. (en adelante AVANT) los cuales prestan un servicio de movilidad en la ciudad de Barcelona. (…). 2.2. Que respecto a si los operadores IBERSCOT, OIZ, TUCYCLE, AVANT siguen dando servicio manifiestan que ya no dan servicio desde el 16 de febrero de 2023. 2.3. (…). 2.4. Que actualmente REBY ha cesado completamente su actividad. 2.5. En relación con los contratos del servicio de la plataforma tecnológica y APP, incluyendo el servicio de agregación, prestada por REBY a los operadores aporta dichos contratos… 2.6. Que no tienen conocimiento de que los operadores puedan tener contratos de colaboración entre ellos en el contexto del servicio que presta REBY. 2.7. Que solo existe un contrato de encargo del tratamiento por parte de REBY, que es el que ya han facilitado a la Agencia con anterioridad. En relación al acceso de los operadores a la base de datos y herramientas asociadas de consulta a la base de datos manifiestan: 2.8. Que REBY solo proporcionaba a cada operador informes con datos agregados o estadísticos de uso de la flota del operador en cuestión. Que no pueden aportar ninguna petición de los operadores relativa a esos informes. 2.9. (…). 2.10. Que a las herramientas de consulta de base de datos llamadas (…) sí tenían acceso directo los respectivos operadores. Sin embargo, a través de estas herramientas solo tenían acceso a sus propios usuarios. 2.11. (…). (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/24 En relación a la compartición de datos entre todos los operadores: 2.14. Que todas las tablas de la base de datos son comunes a todos los operadores. 2.15. Que la persona que accede a los datos en REBY como prestador de servicios a los operadores es la misma que accede por parte de REBY prestando sus servicios en calidad de operador independiente. 2.16. Que con anterioridad a agosto 2021 solo existía 1 registro en base de datos por cada usuario. Que a dicho único registro accedían todos los operadores, aunque solo una vez que el usuario hubiera dado el permiso en la APP de cada operador. 2.17. Que con posterioridad a agosto 2021 existía en base de datos 1 registro por cada usuario y por cada operador en el que estuviera dado de alta. Que, en la migración, se tuvieron que replicar de forma forzada los registros únicos por usuario que existían previamente, tantas veces como operadores en los que se hubiera registrado. 2.18. Que, en potencia, y desde el punto de vista de los permisos de acceso a la base de datos, todas las APP de todos los operadores incluyendo a REBY, podían acceder a la base de datos completa tanto antes como después de agosto de 2021. En relación al consentimiento para la compartición de datos de los usuarios entre los operadores: 2.19. Que con anterioridad a agosto de 2021 no se permitía a un usuario registrarse si no daba el consentimiento para comprobar si su número de teléfono ya se había registrado con algún operador y, en caso afirmativo, para importar sus datos al operador en el que se está registrando. El motivo es porque solo existía un único registro por usuario en la base de datos al que necesitaban acceder todos los operadores. Un usuario se determina exclusivamente por el número de teléfono con el que se registraba. En el software no se podían definir distintos usuarios asociados a un mismo número de teléfono. 2.20. Que respecto a la primera pantalla de la App de los operadores donde consta: “Consiento que [OPERADOR] compruebe si ya estoy registrado/a en otras plataformas de movilidad colaborativa para facilitar el proceso de registro.” Que esa casilla había que marcarla forzosamente para continuar con el proceso de registro. 2.21. Que respecto a la segunda pantalla de la App de los operadores donde consta “Tras comprobarlo, hemos detectado que ya te has registrado en [incluir nombre del Operador]. Aceptas que este nos comunique a… [OPERADOR] los siguientes datos para agilizar el proceso de registro, con el fin de prestarte nuestros servicios: nombre, apellidos, email, DNI/ Carnet de conducir/Pasaporte, token de pago. Te recordamos que puedes ejercitar tus derechos según se describe en nuestra Política de Privacidad.” Y constan dos opciones; una con el texto “Volver a registrarme” y otro de “¡Entendido!”. Que al hacer clic en “Entendido” sí se registraba un consentimiento. Si se hacía clic en “Volver a registrarme”, se volvía a la pantalla inicial donde se introduce el número de teléfono para recibir un sms. 2.22. Que no recuerda cómo era el proceso para el caso de la App de REBY. 2.23. Que con anterioridad a agosto de 2021, por tanto, los cinco operadores compartían de forma automática todos los datos de los usuarios registrados, si previamente estos habían dado consentimiento para importar sus datos, al existir 1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/24 único registro en base de datos. 2.24. Que con anterioridad a agosto de 2021 la “importación” de datos desde otros operadores no era tal, sino que era realmente permitir el acceso al único registro de ese usuario existente en base de datos. 2.25. Que, con anterioridad a agosto de 2021, REBY también accedía al registro único de un usuario al igual que hacían el resto de operadores. Que desconocen dónde se encuentran los consentimientos del usuario para este acceso por parte de REBY. 2.26. Que, antes de agosto 2021, las App de todos los operadores, incluyendo REBY, funcionaban igual, que recuerden, es decir, si se quería dar de alta un usuario y ya estaba dado de alta en otro operador, pedían el consentimiento siempre. 2.27. Que antes de agosto de 2021, cuando un usuario hacía uso del servicio de agregación, REBY no cedía datos de ese usuario al operador del cual quería conducir el vehículo, asumiendo que ese usuario ya estuviera dado de alta en ese operador. Y que, en este caso, REBY, no recogía un nuevo consentimiento. Que no pueden aportar captura de pantalla de la app REBY con la interacción del usuario en este caso de uso por imposibilidad técnica. 2.28. Que, con posterioridad a agosto 2021, ya no se daba la opción de “importación” de los datos del usuario cuando un usuario estaba registrado en otro operador, por lo que el usuario debía de completar todo el proceso de registro. Que ningún operador pedía el consentimiento al usuario durante el proceso su registro, solo REBY para prestar el servicio de agregación. Que donde consten fechas del consentimiento posteriores a agosto 2021 es porque se refiere realmente a consentimientos dados desde app REBY por el uso del servicio de agregación. 2.29. Que la única tabla de la que tienen constancia que almacena consentimientos se llama (…). Que la descripción de campos de esta tabla es: id: identificador único del consentimiento timestamp: fecha del consentimiento y fecha en la que se crea el registro. origin_company_user_id: usuario que da el consentimiento (equivalente a su número de teléfono) destination_company:id: compañía a la que se le da el consentimiento para que acceda a los datos. type: desconocen su significado y siempre tiene el valor 1. 2.30. Que desconocen dónde se encuentran los consentimientos dados desde la app REBY. (…)”. Durante la inspección indicada, los Servicios de la AEPD accedieron a la base de datos que soporta el servicio de movilidad prestado por la propia REBY como operador, el servicio de agregación de movilidad que presta REBY, como también soporta la plataforma tecnológica y App móvil con la que operan el resto de operadores. Mediante este acceso se comprueba: 1. Que el número total de usuarios son: REBY 1,034,859 IBERSCOT 13,023 OIZ 14,657 TUCYCLE 10,604 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/24 AVANT 15,557 2. Que los datos asociados a un usuario dado de alta con posterioridad a agosto de 2021 en los distintos operadores, excluyendo REBY, pueden variar, incluyendo el token de pago y el saldo. 3. Que existen consentimientos en la tabla de consentimientos (…) para los operadores TUCYCLE, AVANT, OIZ, IBERSCOT. Se comprueba que no consta registros asociados a REBY. 4. Que la fecha de consentimiento más antigua es 29/05/2020 08:44. 5. Se comprueba que: a. Para el operador AVANT el primer consentimiento consta de fecha 29/05/2020 y el último de fecha 14/02/2023. b. Que el consentimiento más antiguo dado desde IBERSCOT es en fecha 30/06/2020 y el más reciente es en fecha 12/02/2023. c. Que el consentimiento más antiguo dado desde OIZ es en fecha 30/06/2020 y el más reciente es en fecha 12/02/2023. d. Que el consentimiento más antiguo dado desde TUCYCLE es en fecha 30/06/2020 y el más reciente es en fecha 13/02/2023. 6. Que la forma de conocer a qué operadores ha cedido los datos un operador en cuestión, o siquiera si los ha cedido o no, es con el siguiente procedimiento: Para un usuario concreto, hay que buscar en la tabla de sesiones las primeras sesiones de ese usuario para cada operador, es decir, cuándo fue la primera vez que ese usuario utilizó la app de cada operador. Si la primera sesión de todas es del operador en cuestión, se infiere que ha debido “ceder” los datos al resto de operadores cuya primera sesión para ese usuario son posteriores. Se comprueba que la fecha de la primera sesión en un operador coincide con la fecha del consentimiento dado desde ese operador. En el correspondiente informe de actuaciones previas de investigación, los Servicios de Inspección de la AEPD concluyen lo siguiente: “3. Se comprueba que actualmente ni la App REBY ni la App TUCYCLE permiten el registro de nuevos usuarios. REBY manifiesta que actualmente ha cesado completamente su actividad y que está en situación preconcursal. No se ha podido constatar, por no haberse requerido, la situación actual de TUCYCLE en este sentido. 4. En relación a la compartición de datos entre operadores y al consentimiento, REBY manifiesta que: a. Con anterioridad a agosto de 2021, solo existía un único registro por cada usuario, al que tenían acceso todos los operadores. Por tanto, se compartía de forma completa y en todo momento todos los datos asociados al usuario, entre todos los operadores, entre otros, nombre, apellidos, teléfono móvil, email, DNI o pasaporte, Carnet de conducir, token de pago, saldo. b. Con anterioridad a agosto de 2021, el consentimiento que da el usuario no es para importar datos pues nada se importa, es para acceder al registro único del usuario. c. Que, con anterioridad a agosto de 2021, no se permitía a un usuario registrarse si no daba el consentimiento para comprobar si su número de teléfono ya se había registrado con algún operador y, en caso afirmativo, para “importar” sus datos al operador en el que se está registrando. Dado que TUCYCLE informa de que no pueden disponer de las versiones antiguas de su App por cuestiones técnicas, no se ha podido constatar si, para completar el registro en la App, era un requisito para el usuario otorgar el consentimiento para el cotejo de datos. d. La compartición de datos entre operadores comenzó, según manifiesta en fecha 04/08/2020, sin embargo se comprueba que el consentimiento más antiguo es de fecha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/24 30/06/2020. También manifiesta que la compartición de datos existió hasta el 16 de agosto de 2021. Se ha constatado que, en una fecha posterior a agosto de 2021, la app TUCYCLE ya no recogía consentimientos… 8. Constan deficiencias en la información facilitada a los usuarios en la política de privacidad: a. En fecha de 1 de agosto 2020 no informaban a los usuarios acerca de la compartición de datos con otros operadores ni cuáles eran. Consta que en fecha 19 de enero de 2021 sí informaban”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II Posibles infracciones Con fecha 06/11/2020, tuvo entrada en esta Agencia una reclamación dirigida contra las entidades TUCYCLE, AVANT, OIZ e IBERSCOT por la cesión de datos personales de los usuarios que se registran en las correspondientes "apps" móviles para acceder al servicio de alquiler de vehículos. En esta reclamación se advierte que cuando una persona se da de alta en una de las "apps" de estas entidades y posteriormente instala otra de ellas, la segunda reconoce al usuario y reutiliza los datos que le proporciona la otra "plataforma colaboradora", con la finalidad de "agilizar el proceso". En la misma reclamación se ponía de manifiesto que ninguna de estas entidades informaba al usuario que sus datos personales se compartían con terceras empresas, que se compartían entre las entidades mencionadas. Esta reclamación dio lugar a las actuaciones señaladas con el número E/10004/2020, en las que, mediante resolución de 25/02/2021, se acordó el archivo de la reclamación respectiva por no proceder el inicio de un procedimiento sancionador al haber sido atendida la reclamación. El archivo de actuaciones se acordó después de seguir los trámites regulados en el artículo 65.4 de la LOPDGDD, previstos para evaluar si procede o no admitir a trámite la reclamación de que se trate. Este artículo dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/24 “4. Antes de resolver sobre la admisión a trámite de la reclamación, la Agencia Española de Protección de Datos podrá remitir la misma al delegado de protección de datos que hubiera, en su caso, designado el responsable o encargado del tratamiento o al organismo de supervisión establecido para la aplicación de los códigos de conducta a los efectos previstos en los artículos 37 y 38.2 de esta ley orgánica. La Agencia Española de Protección de Datos podrá igualmente remitir la reclamación al responsable o encargado del tratamiento cuando no se hubiera designado un delegado de protección de datos ni estuviera adherido a mecanismos de resolución extrajudicial de conflictos, en cuyo caso el responsable o encargado deberá dar respuesta a la reclamación en el plazo de un mes”. A su vez, el artículo 37 de la LOPDGDD citado en el precepto anterior establece: “Artículo 37. Intervención del delegado de protección de datos en caso de reclamación ante las autoridades de protección de datos. 1. Cuando el responsable o el encargado del tratamiento hubieran designado un delegado de protección de datos el afectado podrá, con carácter previo a la presentación de una reclamación contra aquéllos ante la Agencia Española de Protección de Datos o, en su caso, ante las autoridades autonómicas de protección de datos, dirigirse al delegado de protección de datos de la entidad contra la que se reclame. En este caso, el delegado de protección de datos comunicará al afectado la decisión que se hubiera adoptado en el plazo máximo de dos meses a contar desde la recepción de la reclamación. 2. Cuando el afectado presente una reclamación ante la Agencia Española de Protección de Datos o, en su caso, ante las autoridades autonómicas de protección de datos, aquellas podrán remitir la reclamación al delegado de protección de datos a fin de que este responda en el plazo de un mes. Si transcurrido dicho plazo el delegado de protección de datos no hubiera comunicado a la autoridad de protección de datos competente la respuesta dada a la reclamación, dicha autoridad continuará el procedimiento con arreglo a lo establecido en el Título VIII de esta ley orgánica y en sus normas de desarrollo. 3. El procedimiento ante la Agencia Española de Protección de Datos será el establecido en el Título VIII de esta ley orgánica y en sus normas de desarrollo. Asimismo, las comunidades autónomas regularán el procedimiento correspondiente ante sus autoridades autonómicas de protección de datos”. De acuerdo con lo señalado, el indicado mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos consiste en dar traslado de las mismas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, o a éstos cuando no los hubieren designado, para que procedan al análisis de las reclamaciones y a darles respuesta en el plazo de un mes. De este modo, cuando las acciones llevadas a cabo a la vista de la reclamación den respuesta a las cuestiones suscitadas por la parte reclamante y la entidad responsable adopte las medidas necesarias para adecuar su actuación a los requisitos previstos en la normativa de protección de datos, la AEPD podrá acordar no continuar el procedimiento que sigue a la admisión a trámite, establecido en el Título VIII de la LOPDGDD, que contempla la posibilidad de realizar actuaciones previas y la incoación de un procedimiento sancionador, si procede. Así ocurrió en el precedente reseñado (E/10004/2020), en el que se acodó el archivo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/24 de la reclamación, considerando la respuesta dada por la entidad TUCYCLE. Según consta en la citada resolución de archivo de actuaciones, de fecha 25/02/2021, en su respuesta al trámite de traslado, de 21/01/2021, TUCYCLE informó que había acometido modificaciones en sus políticas de privacidad para informar sobre la cesión de datos de los usuarios a terceras empresas colaboradoras con las que comparten plataforma. De igual manera, informó que estaba en proceso de incorporar en el proceso de alta de usuario en su aplicación móvil un mecanismo para recoger su consentimiento a la obtención de sus datos a partir de otras plataformas de movilidad colaborativa, con el propósito de facilitar el proceso de registro. Una vez analizadas las razones expuestas, se consideró que no procedía el inicio de un procedimiento sancionador, por cuanto la tramitación de la reclamación conforme a lo dispuesto en el artículo 65.4 de la LOPDGDD dio lugar a la solución de las cuestiones planteadas, sin necesidad de depurar responsabilidades administrativas en el marco de un procedimiento sancionador. Ello sin perjuicio de que la Agencia, aplicando los poderes de investigación y correctivos que ostenta, pueda llevar a cabo posteriores actuaciones relativas al tratamiento de datos referido en la reclamación. Poco tiempo después de dictarse la resolución que dio por finalizadas las actuaciones precedentes, el 12/03/2023 esta Agencia recibe escrito del Ayuntamiento de Barcelona en el que se aporta informe técnico, de fecha 29/01/2021, de la Gerencia de Movilidad e Infraestructuras. En este escrito se informa de las mismas circunstancias de hecho ya analizadas en dicho precedente, en relación con la comunicación de datos de usuarios entre las distintas empresas que prestan servicio de bikesharing, por no informar a sus usuarios de tales comunicaciones y por no recabar su consentimiento. También se denuncia a una quinta empresa, REBY, por la compartición de las bases de datos de los registros y usuarios sin consentimiento previo de los mismos. Además, los hechos que motivan el escrito del Ayuntamiento de Barcelona acontecieron en un periodo temporal anterior a que se dictase la resolución de archivo del expediente número E/10004/2020. En concreto, las comprobaciones se realizaron en las siguientes fechas: 10/08/2020, 26/10/2020 y 01/12/2020. Con posterioridad, se recibió en esta Agencia la reclamación formulada por (…) en fecha 26/05/2021 contra las mismas entidades, en la que se ponen de manifiesto las mismas circunstancias de hecho ya analizadas en dicho precedente, en relación con la comunicación de datos de usuarios entre las distintas empresas que prestan servicio de bikesharing, por no informar a sus usuarios de tales comunicaciones y por no recabar su consentimiento. Si bien, en la misma reclamación se advierte que TUCYCLE había modificado su política de privacidad incluyendo la información relativa a los destinatarios de las comunicaciones de datos personales en cuestión. En ambos casos, se estimó oportuno admitir a trámite el escrito del Ayuntamiento de Barcelona y la reclamación para llevar a cabo las comprobaciones oportunas respecto de las informaciones recibidas de TUCYCLE. Así, se acordó la apertura de actuaciones previas de investigación para comprobar si C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/24 las medidas informadas por TUCYCLE en aquel precedente se implantaron efectiva y adecuadamente. Estas actuaciones han permitido constatar, efectivamente, que las entidades implicadas compartieron los datos personales de los usuarios desde el inicio de su actividad en la ciudad de Barcelona en el verano de 2020, sin el consentimiento de los afectados y sin informarles debidamente sobre dicho tratamiento de datos personales, que sí estaba previsto en su Registro de Actividades de Tratamiento. La entidad REBY, que proporcionaba la plataforma tecnológica necesaria para la prestación del servicio a los usuarios, ha reconocido que en la base de datos solo existía un registro por cada usuario, asociado a su número de teléfono, al que accedían todos los operadores. Esta entidad manifestó que ese acceso solo se realizaba cuando el usuario la hubiera consentido, pero también aclaró que no se permitía a un usuario registrarse si no prestaba su consentimiento para comprobar si su número de teléfono ya figuraba registrado con otro operador y, en caso afirmativo, para que el operador en el que se estaba registrando accediera al único registro de ese usuario existente en la base de datos; y que ello era debido a que el software no permitía definir distintos usuarios asociados a un mismo número de teléfono. En cuanto a la información ofrecida a los usuarios, los Servicios de Inspección comprobaron que inicialmente no se daba cuenta a los usuarios de esa “compartición” de datos, aunque en las versiones de la Política de Privacidad de TUCYCLE de fechas 19/01 y 19/05/2021 se incluyó el detalle de los destinatarios de la información. La primera de estas versiones es anterior a la resolución de archivo dictada en el expediente E/10004/2020 y a la denuncia del Ayuntamiento de Barcelona y la segunda es simultánea a la presentación de la reclamación por (…). No obstante lo anterior, consta en las actuaciones que la entidad TUCYCLE informó a los Servicios de Inspección que, tras los requerimientos de la AEPD y las modificaciones realizadas para simplificar los procedimientos, con fecha 16/08/2021 dejaron de comprobar si un usuario figuraba registrado en alguna de las otras entidades colaboradoras de movilidad y cesaron las comunicaciones de datos, no existiendo ninguna prueba de contrario al respecto. Por otra parte, los Servicios de Inspección comprobaron que, en una fecha posterior a agosto de 2021, la app móvil de TUCYCLE ya no recogía consentimientos, que durante el procedimiento de registro de un usuario no se requería la prestación del consentimiento para la comunicación de datos a terceros, sino únicamente para el tratamiento de datos necesario para la prestación del servicio; que su Política de Privacidad no contenía referencia alguna a la compartición de datos con otras empresas de movilidad colaboradoras; y que en su Registro de Actividad de Tratamientos, en la versión de agosto de 2021, desapareció el relativo a la comunicación de datos a “terceras empresas de movilidad que prestan sus servicios conjuntamente”. Puede concluirse, por tanto, que con las medidas indicadas TUCYCLE llevó a cabo la adecuación normativa exigida por esta Agencia. De acuerdo con lo expuesto, Esta Agencia estima procedente acordar el archivo de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/24 reclamación que ha dado lugar a las presentes actuaciones, en relación con la entidad TUCYCLE. Se tiene en cuenta, asimismo, (
- i)que la compartición de datos denunciada había finalizado en el momento en que se admite a trámite la presente reclamación; y (
- ii)que TUCYCLE no presta servicio desde el pasado 16/02/2023, habiéndose comprobado que en la actualidad la App de TUCYCLE no permite el registro de nuevos usuarios. Procede, por tanto, el archivo de las actuaciones, sin perjuicio de que la Agencia, aplicando los poderes de investigación y correctivos que ostenta, pueda llevar a cabo posteriores actuaciones relativas al tratamiento de datos referido en la reclamación. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a (…), al AYUNTAMIENTO DE BARCELONA y a TUCYCLE BIKESHARING, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es