1/8 Expediente N.º: EXP202408999 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 21 de mayo de 2024, se presentó reclamación ante la Agencia Española de Protección de Datos contra CECOTEC INNOVACIONES SOCIEDAD LIMITADA, en adelante, CECOTEC. Los hechos puestos de manifiesto son los siguientes: La reclamante afirma que ha adquirido la báscula de CECOTEC Surface Precision 10400 que mide la impedancia bioeléctrica (BIA) con un análisis corporal completo, con medición precisa de 15 parámetros básicos tales como peso, IMC, % grasa corporal, peso sin grasa, grasa subcutánea, grasa visceral, % de agua, masa muscular, masa ósea, % músculo esquelético, proteína, BMR, edad corporal, frecuencia cardiaca y equilibrio corporal de acuerdo a lo que se declara en su página web:https://cecotec.es/es/basculas-de-bano/surface-precision-10400-smart-healthyvisiongarnet. Además, en la misma página web se indica que la báscula dispone de sistema SmartBlue que significa que tiene conectividad con Smartphone vía Bluetooth 4.0 para un seguimiento más preciso de los parámetros medidos. Dice que la aplicación no permite borrar los pesajes realizados, por lo que no solo sus datos son transferidos fuera de la Unión Europea, sino que no puede eliminar los datos una vez cargados en la app y que ello vulnera la privacidad de los usuarios. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 19 de junio de 2024 como consta en el acuse de recibo que obra en el expediente. Con fecha 26 de julio de 2024 se recibe en esta Agencia escrito de respuesta indicando las siguientes manifestaciones: “(…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 De acuerdo con la descripción de los hechos indicados por la parte reclamante, y tras la revisión de la información facilitada en ficha de la App “Surface Precision” disponible en Google Play Store y Apple Store (en adelante, “App Stores”) y la propia política de privacidad de la App, las causas que han motivado la incidencia que originado la reclamación, se deben principalmente a la confusión que desde un inicio la nomenclatura empleada por las Apps Stores (y que no puede ser objeto de modificación por parte de las entidades) puede producir en el consumidor y usuario en el momento de descargarse la App “Surface Precision”, al describir a CECOTEC” como “desarrollador” de la App “Surface Precision”, cuando el fabricante del dispositivo y desarrollador de la App “Surface Precision” es la entidad ICOMON Technology Co. Ltd. En este sentido, para Apple, el concepto de “desarrollador” de acuerdo con sus Términos de Servicio, coincide con aquella entidad que haya firmado el acuerdo de licencia del Programa para desarrolladores de Apple con el único fin de cargar y/o administrar Aplicaciones con licencia y servicios relacionados. Precisamente, de acuerdo con el concepto de “desarrollador” ofrecido por Apple en sus Términos de Servicio, CECOTEC es la entidad que administra y carga la App “Surface Precision” desarrollada por el proveedor ICOMON Technology Co. Ltd, en las App Stores, tal y como se menciona en el informe, para garantizar desde un punto de vista técnico, la seguridad y calidad de la aplicación y su correcto funcionamiento. Para ello, es preciso que CECOTEC ostente la supervisión a nivel técnico con la finalidad de entre otros, de revisar las funcionalidades técnicas de la App; llevar a cabo las actualizaciones necesarias de forma inmediata que se requieran en respuesta a vulnerabilidades de seguridad, sin necesidad de tener acceso a los datos personales de los usuarios de la App, efectuar ningún tratamiento ni decidir finalidad alguna sobre dichos datos. Teniendo en cuenta lo expuesto anteriormente, desde el punto de vista de protección de datos, la calificación de CECOTEC como “desarrollador” en las App Stores puede generar confusión en los usuarios en el momento en que acceden a la política de privacidad de la App “Surface Precision”, al encontrarse identificado como responsable del tratamiento a ICOMON Technology Co. Ltd. Sin embargo, el motivo fundamental por lo que se considera que ICOMON Technology Co. Ltd es responsable del tratamiento se debe a que, como fabricante y desarrollador de la App, ostenta a su vez el control sobre los fines y medios del tratamiento de los datos de los usuarios que se registren en dicha App. En concreto, tal y como se detalle en el informe aportado, ICOMON Technology Co. Ltd determina: 1) Qué datos personales requiere la báscula que el usuario facilite a través de la App para poder llevar a cabo una medición óptima. 2) Cómo se lleva a cabo el tratamiento de dichos datos. Es decir, qué datos utilizar para aplicar las fórmulas complejas para poder reflejar y hacer un seguimiento de los parámetros que la báscula mide. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 3) Decide cómo protege la información que se almacena en la App “Surface Precision”. 4) Decide con quién comparte los datos (en su caso, previa obtención del consentimiento del usuario). Por ejemplo, compartir los datos al centro de salud de Apple. 5) Determina las funcionalidades y características de la App “Surface Precision” Por el contrario, CECOTEC no tiene acceso a los datos personales de los usuarios por el mero hecho subir la App “Precision Surface” a las App Stores desde su cuenta. Si bien en la política de privacidad se indican los datos de contacto de CECOTEC, esto se hizo para el caso de que CECOTEC tuviera que actuar como intermediario de asistencia entre el fabricante del dispositivo y desarrollador de la aplicación y el usuario final, a fin de garantizar a los consumidores el ejercicio de sus derechos frente al empresario, al ubicarse el fabricante y desarrollador de la App en China, actuando CECOTEC como empresa de referencia y punto de contacto para los consumidores y usuarios. Asimismo, a fecha del presente escrito, se ha comprobado internamente que no se ha llevado a cabo ninguna petición por parte de los usuarios finales dirigida a CECOTEC con motivo del servicio de asistencia frente al fabricante. Es por ello por lo que no se ha accedido y ni se ha solicitado ningún dato personal de los usuarios al fabricante por parte de CECOTEC. Por último, esta parte considera que la confusión que las Apps Stores pueden producir en los usuarios finales no solamente se debe a la nomenclatura utilizada, sino también debido a las limitaciones de espacio informativo que las Apps Stores imponen a entidades que ostenten una cuenta en las Apps Stores, como es el caso de CECOTEC, para poder incluir en la ficha de la App unas breves líneas aclaratorias dirigidas a evitar cualquier confusión que los usuarios puedan tener respecto al tratamiento de sus datos.” TERCERO: Con fecha 21 de agosto de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Tras las actuaciones de investigación, se pueden obtener las siguientes evidencias: -CECOTEC distribuye la báscula objeto de esta reclamación y es la encargada de cargar en los mercados de aplicaciones (Google Play Store y Apple Store) la aplicación Surface Precision. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 -La aplicación Surface Precision está desarrollada por ICOMON y, de acuerdo con las declaraciones de CECOTEC, ICOMON son los que toman todas las decisiones sobre qué se hace con los datos, sin que CECOTEC tenga acceso a los datos. - El enlace al que se apunta como política de privacidad desde el espacio de Surface Precision en el Apple Store dirige a un enlace que no contiene información sobre la política de privacidad. - En la política de privacidad del espacio de Surface Precision en el Google Play Store, de fecha 17 de julio de 2025, figura CECOTEC como responsable del tratamiento y aparece el correo electrónico del delegado de protección de datos de CECOTEC (dpd@cecotec.es) como forma de ejercitar los derechos. De acuerdo con las declaraciones de CECOTEC, esto corresponde a que “esto se hizo para el caso de que CECOTEC tuviera que actuar como intermediario de asistencia entre el fabricante del dispositivo y desarrollador de la aplicación y el usuario final, a fin de garantizar a los consumidores el ejercicio de sus derechos frente al empresario, al ubicarse el fabricante y desarrollador de la App en China, actuando CECOTEC como empresa de referencia y punto de contacto para los consumidores y usuarios”. - A fecha de 30 de octubre de 2025, CECOTEC había modificado la política de privacidad del espacio de Surface Precision en el Google Play Store para que incluyese un aviso de privacidad al inicio en el que se indica, entre otras cosas que “el presente Aviso de Privacidad no resulta aplicable a los desarrollos o aplicaciones de terceros, como por ejemplo el producto y la aplicación Surface Precision, en los que CECOTEC actúa en calidad de encargado del tratamiento. En dichos casos, podrá consultar la correspondiente Política de Privacidad antes de completar su registro en la propia aplicación si así lo desea.” - En la política de privacidad que aparece en la app Surface Precision para Android, en la política de privacidad se indica que el responsable del tratamiento es ICOMON, con domicilio en Guangdong (China) y se indica que “también puede ponerse en contacto con CECOTEC (info@cecotec.es / Calle de la Pinadeta s/n 46930 Quart de Poblet (ValenciaEspaña), para cualquier pregunta o derecho que desee utilizar”. En esta política de privacidad se indica que la base jurídica para el tratamiento de los datos es la realización de una relación contractual con el usuario según el artículo 6
(1)(
- b)del RGPD. - Los datos que trata la app Suface Precision para Android son obtenidos directamente del usuario o de las veces en que el usuario utiliza la báscula ligada a la app. Estos datos son los siguientes: identificador del usuario, género, edad, altura, peso actual, peso objetivo, país de residencia, sistema operativo y datos procedentes de la medición con la báscula (porcentaje de grasa corporal, índice de masa corporal, índice de masa muscular, tasa metabólica basal…). FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado El artículo 12 del RGPD estipula: "1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios. 2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado. 3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo. 4. Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. 5. La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
- a)cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
- b)negarse a actuar respecto de la solicitud. El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud. 6. Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado. 7. La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles mecánicamente. 8. La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 92 a fin de especificar la información que se ha de presentar a través de iconos y los procedimientos para proporcionar iconos normalizados." Hay que facilitar a los interesados una información clara sobre qué datos se tratan, quién es responsable, cómo ejercer los derechos, etc. La reclamante denunciaba que, podía haber un tratamiento de sus datos sin garantías y un envía de sus datos a terceros países. En este caso, esa información era incorrecta. Según CECOTEC por un error, ya que el aviso de privacidad se refería a otros productos y no a este. A raíz de las actuaciones realizadas, CECOTEC ha modificado la política de privacidad del espacio de Surface Precision en el Google Play Store, incluyendo un aviso de privacidad al inicio. No obstante, CECOTEC ya ha corregido la política de privacidad, de forma que la información que se ofrece se corresponde con el tratamiento. III Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, en el presente caso se habría publicado, según CECOTEC por error, una política de privacidad incorrecta, no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 trasladando a los interesados la información real sobre el tratamiento. No obstante, como ha quedado acreditado en el expediente, dicha información ha sido corregida por CECOTEC. Por ello, con carácter excepcional y atendiendo a las circunstancias de este caso concreto, cabría archivar las actuaciones de investigación sin abrir un procedimiento sancionador. A mayor abundamiento, señalar que la Sentencia del Tribunal de Justicia de 24 de septiembre de 2024, en el asunto C 768/21, se pronunció en relación con un caso de brecha de datos personales en el que una autoridad de control (el Comisionado para la Protección de Datos y la Libertad de Información del Estado Federado de Hesse, Alemania) no impuso una multa en atención a las circunstancias del caso concreto. En la sentencia se afirma lo siguiente en relación con este punto (el subrayado es de esta Agencia): “41 En consecuencia, no puede deducirse ni del artículo 58, apartado 2, del RGPD ni del artículo 83 de este la existencia de una obligación a cargo de la autoridad de control de adoptar, en todos los casos, cuando constate una violación de la seguridad de datos personales, una medida correctora, en particular una multa administrativa, siendo su obligación, en tales circunstancias, reaccionar adecuadamente para subsanar la deficiencia constatada. En estas circunstancias, como señaló el Abogado General en el punto 81 de sus conclusiones, el autor de una reclamación cuyos derechos han sido vulnerados no dispone de un derecho subjetivo a que la autoridad de control imponga una multa administrativa al responsable del tratamiento. 43 A este respecto, no se excluye que, con carácter excepcional y habida cuenta de las circunstancias particulares del caso concreto, la autoridad de control pueda abstenerse de adoptar una medida correctora, aunque se haya constatado una violación de la seguridad de datos personales. Tal puede ser el caso, en particular, cuando la violación constatada no haya persistido, por ejemplo cuando el responsable del tratamiento, que, en principio, había aplicado medidas técnicas y organizativas apropiadas en el sentido del artículo 24 del RGPD, haya adoptado, tan pronto como haya tenido conocimiento de dicha violación, las medidas adecuadas y necesarias para que la violación finalice y no vuelva a producirse, habida cuenta de las obligaciones que le incumben, en particular, en virtud de los artículos 5, apartado 2, y 24 del mencionado Reglamento.” El TJUE incide, por tanto, en el margen de apreciación que tienen las autoridades de control para, en el ejercicio de sus funciones, desarrollar y optar entre los poderes atribuidos por el artículo 58 del RGPD, teniendo en cuenta las circunstancias del caso concreto, así como velando por el pleno respeto del RGPD. La consigna que debe regir siempre la actuación de una autoridad de control es asegurar un nivel alto de protección de los datos personales. Así, cabe que, aun cuando se hubiera constatado o se tuvieran indicios de que se ha producido una vulneración en materia de protección de datos, las autoridades de control se abstengan de ejercitar sus poderes correctivos cuando esta presunta infracción hubiera sido subsanada y se garantice la conformidad de los tratamientos de datos personales con el RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 Lo señalado por el TJUE en la sentencia antes citada, refuerza la idea de proporcionalidad de actuación de las autoridades de control que se recoge, con anterioridad a que fuera dictada la mencionada sentencia, en los artículos 65.4 y 65.6 de la LOPDGDD, por los que se permite a la AEPD, en atención a las circunstancias del caso concreto, la inadmisión a trámite o el archivo de reclamaciones, cuando, tras el traslado de las mismas al responsable del tratamiento, este demostrara haber adoptado medidas para el cumplimiento de la normativa aplicable. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. (reclamante)De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es