E-00255-2016

1/11 Expediente Nº: E/00255/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad UBER SYSTEMS SPAIN, S.L. en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 20/04/2015, tuvo entrada en esta Agencia un escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que denuncia a la entidad UBER SYSTEMS SPAIN, S.L. (en lo sucesivo UBER SYSTEMS SPAIN o la denunciada) por no haber atendido su derecho de acceso a sus datos personales. En dicho escrito, el denunciante puso de manifiesto lo siguiente: 1. Uber, una compañía del sector de la intermediación y el transporte opera en España a través de UBER SYSTEMS SPAIN, sociedad contra la que se dirige la denuncia. 2. Ha sido usuario del servicio Uber durante más de un año, periodo en el cual ha realizado decenas de viajes. El 21 de marzo de 2015 Uber canceló su cuenta de manera injustificada y sin que hay podido obtener explicación alguna. Como consecuencia del bloqueo no ha podido acceder a sus datos personales desde marzo de 2015. 3. El 21 de abril de 2015 Uber le informó de que le proporcionaría acceso a sus datos a través de su filial holandesa y en una carta en inglés a pesar de que nunca ha sido cliente de Uber en Holanda y de haberse dirigido a la entidad en español. 4. Solicita que UBER SYSTEMS SPAIN SL, y en su caso las empresas de su grupo empresarial, le faciliten el acceso a todos sus datos y se compruebe el cumplimiento por parte de la entidad española de la normativa en materia de protección de datos. Dicho escrito dio lugar a la apertura del procedimiento de tutela de derechos señalado con el número TD/01369/2015, en el que se dictó la resolución R/00012/2016 de 25/01/2016, que desestimó la reclamación al considerar que “…no es posible concluir en este momento que el tratamiento objeto de la presente Tutela de Derechos se encuentre sujeto a la Ley Orgánica 15/1999, de 13 de diciembre…” y ordenó la apertura del presente expediente de Actuaciones de Investigación Previa para determinar la naturaleza de las actividades desarrolladas por UBER SYSTEMS SPAIN. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Información sobre las sociedades investigadas 1. “UBER” es una plataforma tecnológica cuya finalidad es poner en contacto conductores y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 viajeros. La plataforma presta sus servicios a través del sitio web www.uber.com y una aplicación para teléfonos inteligentes (app) denominada “Uber”, a través de las cuales pueden utilizarse sus servicios. A pesar de que el denunciante manifiesta que la plataforma opera en España a través de la sociedad UBER SYSTEMS SPAIN, de los “Términos y condiciones” (www.uber.com..........) del sitio web www.uber.com se desprende que el responsable del éste es UBER B.V., sociedad con sede en Países Bajos. Asimismo, según consta en la “Declaración de privacidad del usuario” (www.uber.com/esES/legal/privacy/users/es-ES) del sitio web, el responsable de los datos personales recogidos en el sitio web para los usuarios fuera de los Estados Unidos, también es UBER B.V. La política de privacidad proporcionada antes de instalar la aplicación “Uber”, es la página de “Declaración de privacidad del usuario” citada en el párrafo precedente. 2. Según se desprende de la información existente en el registro mercantil central, UBER SYSTEMS SPAIN tiene como objeto social “Dar soporte a otras sociedades del grupo proveyendo servicio "on demand" (a pedido) de solicitudes efectuados mediante aparatos móviles y por internet”. Según consta en el acta de inspección de 05/07/2016, los representantes de la entidad manifestaron que “la actividad que realiza UBER ESPAÑA es únicamente la de desarrollar en España el negocio de plataforma que gestiona UBER BV”. La Inspección de Datos no ha hallado evidencias de que UBER SYSTEMS SPAIN gestione o administre los sistemas de información de UBER BV u otras empresas del grupo. 2. Ejercicio de los derechos ARCO y domicilios 3. En la “Declaración de privacidad del usuario” del sitio web www.uber.com se manifiesta que “Uber cumplirá con las peticiones de las personas en materia de acceso, rectificación y/o cancelación de los datos personales que almacena de conformidad con la ley aplicable.” pero no se proporciona ninguna dirección en España o los Países Bajos en la que poder ejercer los derechos. Es en la página de “Términos y condiciones” en la que se especifica que el domicilio social de UBER BV se encuentra en (C/...1), Países Bajos. 4. Según consta en el Registro Mercantil Central, el domicilio social de UBER SYSTEMS SPAIN está en Barcelona. No obstante, el 31/05/2016 se comprobó que dicha dirección corresponde a un centro de negocios en el que UBER SYSTEMS SPAIN tiene alquilado y que en esa fecha ningún empleado de la entidad se encontraba en ese centro. Conforme a la información proporcionada en un correo electrónico por uno de los abogados externos de UBER SYSTEMS SPAIN, la sede de la entidad se encuentra en Madrid. Durante la inspección realizada en esta sede se constata que los empleados de la entidad tienen su puesto de trabajo en la misma. 5. Según consta en el acta de inspección citada, los representantes de la entidad manifestaron lo siguiente: 5.1. Los usuarios de la plataforma pueden ejercer sus derechos ARCO ante UBER BV, que es el responsable del fichero. Dichas solicitudes pueden enviarse a través del buzón privacy@uber.com o la dirección postal de UBER BV que figura en el sitio web www.uber.com. 5.2. UBER SYSTEMS SPAIN no tiene capacidad ni competencia para responder a solicitudes de ejercicio de derechos ARCO y no les consta haber recibido ninguna. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 3. Tratamientos de datos 6. Las relaciones entre UBER SYSTEMS SPAIN y UBER BV están reguladas mediante un contrato de prestación de servicios y un acuerdo de encargado de tratamiento de datos. Según consta en el contrato registrado en esta Agencia, UBER BV firmó el 07/04/2014 con UBER SYSTEMS SPAIN un contrato de prestación de servicios en el que se establece lo siguiente: 6.1. UBER BV es una compañía que proporciona servicios de intermediación a través de una aplicación móvil a compañías de servicios de transporte bajo pedido a las que denomina asociados (Cláusula A). 6.2. El contrato prohíbe expresamente que UBER SYSTEMS SPAIN represente a UBER BV o firme contratos en su nombre (Cláusula 1.2). 6.3. UBER BV contrata con UBER ESPAÑA la prestación por parte de ésta última de servicios de soporte (Cláusula 2 y Anexo 1). Estos servicios se describen como:  La promoción en España de UBER BV y su aplicación móvil entre usuarios y asociados potenciales.  Informar a usuarios y asociados potenciales en España sobre UBER BV y su aplicación móvil.  Informar a UBER BV sobre usuarios y asociados potenciales en España. Según consta en el acuerdo de encargado de tratamiento registrado en esta Agencia, el 20/11/2014 UBER BV firmó un acuerdo de encargado de tratamiento de datos personales con un conjunto de empresas afiliadas entre las que se encuentra UBER SYSTEMS SPAIN. En el acuerdo especifica: 6.4. Que UBER SYSTEMS SPAIN será el encargado del tratamiento mientras que UBER BV será el responsable del fichero. 6.5. Las obligaciones del encargado del tratamiento referentes a limitar el tratamiento de datos a lo dispuesto en los términos del contrato y las medidas de seguridad a aplicar por parte del encargado. Las obligaciones son aplicables también a aquellas terceras partes a las que se puedan subcontratar los tratamientos, siempre que UBER BV haya sido notificada de ello y no haya expresado su oposición. 6.6. La obligación de cesar en el tratamiento de los datos y devolver éstos a UBER BV en el momento en que el contrato se resuelva. Según consta en el acuerdo registrado en esta Agencia, el 31/03/2016 UBER BV firmó con UBER SYSTEMS SPAIN un nuevo acuerdo de encargado de tratamiento de datos personales con un conjunto de empresas afiliadas. No se aprecian cambios significativos respecto a las obligaciones entre las partes. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal establece: Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. II El artículo 2.1 de la LOPD, Ámbito de aplicación, establece: 1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado. Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
2. a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.
3. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.
4. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito.” Por su parte, el artículo 3. 1.
5. a)del Reglamento de la LOPD, dispone lo siguiente: “1. Se regirá por el presente reglamento todo tratamiento de datos de carácter personal:
6. a)Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español. Cuando no resulte de aplicación lo dispuesto en el párrafo anterior, pero exista un encargado del tratamiento ubicado en España, serán de aplicación al mismo las normas contenidas en el título VIII del presente reglamento”. III El Grupo de Protección de Datos del artículo 29, en su Dictamen 8/2010 sobre Derecho aplicable, en el apartado III, señala lo siguiente: <<…Análisis de las disposiciones: La disposición clave sobre el Derecho aplicable es el artículo 4, que determina qué disposición (disposiciones) nacional(
7. es)de protección de datos aprobada(
8. s)para la aplicación de la Directiva puede(
9. n)aplicarse al tratamiento de datos personales. III.1. El responsable del tratamiento está establecido en uno o varios Estados miembros (artículo 4, apartado1, letra
10. a)(…) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 En tales circunstancias, la noción de «marco de actividades» –y no la ubicación de los datos– es un factor determinante en la determinación del Derecho aplicable. La noción de «marco de actividades» no implica que el Derecho aplicable sea el del Estado miembro donde esté establecido el responsable del tratamiento, sino donde un establecimiento del responsable del tratamiento esté implicado en actividades relativas al tratamiento de datos. La consideración de diferentes hipótesis podría contribuir a clarificar lo que significa la noción de «marco de actividades» y su influencia en la determinación del Derecho aplicable a las diferentes actividades de tratamiento en diferentes países. a. Cuando un responsable del tratamiento tiene un establecimiento en Austria y trata datos personales en Austria en el marco de actividades de ese establecimiento, el Derecho aplicable obviamente sería el de Austria, es decir donde el establecimiento está situado. b. En la segunda hipótesis, el responsable del tratamiento tiene un establecimiento en Austria, en cuyo marco de actividades trata datos personales recogidos a través de su sitio Internet. El sitio Internet es accesible a usuarios en distintos países. El Derecho de protección de datos aplicable seguirá siendo el de Austria, es decir el de donde está situado el establecimiento, con independencia de la ubicación de los usuarios y de los datos. c. En la tercera hipótesis, el responsable del tratamiento está establecido en Austria y contrata el tratamiento a un encargado del tratamiento en Alemania. El tratamiento en Alemania se efectúa en el marco de las actividades del responsable del tratamiento en Austria. Es decir, el tratamiento se realiza en aras de los objetivos comerciales y bajo las instrucciones del establecimiento austríaco. El Derecho austríaco será aplicable al tratamiento efectuado por el encargado del tratamiento en Alemania. Además, el encargado del tratamiento estará sujeto a los requisitos del Derecho alemán respecto de las medidas de seguridad que está obligado a adoptar en relación con el tratamiento. Esto requeriría una supervisión coordinada por parte de las autoridades de protección de datos alemanas y austríacas. d. En la cuarta hipótesis, el responsable del tratamiento establecido en Austria abre una oficina de representación en Italia, que organiza todos los contenidos italianos del sitio Internet y gestiona las peticiones de los usuarios italianos. Las actividades de tratamiento de datos realizadas por la oficina italiana se efectúan en el marco del establecimiento italiano, de modo que el Derecho italiano se aplicaría a dichas actividades…>> Asimismo en la Sentencia del Tribunal de Justicia de la Unión Europea (Sala Tercera) de 1 de octubre de 2015, en el asunto C-230/14, se establece: <<1. El artículo 4, apartado 1, letra a), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, debe interpretarse en el sentido de que permite aplicar la legislación relativa a la protección de los datos personales de un Estado miembro distinto de aquel en el que está registrado el responsable del tratamiento de esos datos, siempre que éste ejerza, mediante una instalación estable en el territorio de dicho Estado miembro, una actividad efectiva y real, aun mínima, en cuyo marco se realice el referido tratamiento. Para determinar si así ocurre, en circunstancias como las controvertidas en el litigio principal, el órgano jurisdiccional remitente puede tener en cuenta, por un lado, que la actividad del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 responsable de dicho tratamiento, en cuyo marco éste tiene lugar, consiste en la gestión de sitios de Internet de anuncios de inmuebles situados en el territorio de dicho Estado miembro y redactados en la lengua de ese Estado y que, en consecuencia, se dirige principalmente, incluso íntegramente, a dicho Estado miembro y, por otro lado, que ese responsable dispone de un representante en el referido Estado miembro que se encarga de cobrar los créditos resultantes de dicha actividad y de representarlo en los procedimientos administrativo y judicial relativos al tratamiento de los datos en cuestión. En cambio, es irrelevante el tema de la nacionalidad de las personas afectadas por dicho tratamiento de datos. 2) En el supuesto de que la autoridad de control de un Estado miembro que entiende de unas denuncias, de conformidad con el artículo 28, apartado 4, de la Directiva 95/46, llegue a la conclusión de que el Derecho aplicable al tratamiento de los datos personales de que se trata no es el Derecho de ese Estado miembro, sino el de otro Estado miembro, el artículo 28, apartados 1, 3 y 6, de esa misma Directiva debe interpretarse en el sentido de que dicha autoridad de control sólo podría ejercer en el territorio de su propio Estado miembro las facultades efectivas de intervención que se le han conferido conforme al artículo 28, apartado 3, de la citada Directiva. Por lo tanto, no puede imponer sanciones basándose en el Derecho de ese Estado miembro al responsable del tratamiento de tales datos que no está establecido en dicho territorio, sino que, con arreglo al artículo 28, apartado 6, de la misma Directiva, debe instar la intervención de la autoridad de control dependiente del Estado miembro cuyo Derecho es aplicable…>>. IV La Sentencia de la Gran Sala del Tribunal de Justicia de la Unión Europea, de fecha 13 de mayo de 2014, a tenor del artículo 4.1.
11. a)de la Directiva 95/46, en sus apartados 55, 56, 57 y 60 considera lo siguiente: “procede considerar que el tratamiento de datos personales realizado en orden al funcionamiento de un motor de búsqueda como Google Search, gestionado por una empresa que tiene su domicilio social en un Estado tercero pero que dispone de un establecimiento en un Estado miembro, se efectúa en el marco de las actividades de dicho establecimiento si este está destinado a la promoción y venta en dicho Estado miembro de los espacios publicitarios del motor de búsqueda, que sirven para rentabilizar el servicio propuesto por el motor. En efecto, en tales circunstancias, las actividades del gestor del motor de búsqueda y las de su establecimiento situado en el Estado miembro de que se trate están indisociablemente ligadas, dado que las actividades relativas a los espacios publicitarios constituyen el medio para que el motor de búsqueda en cuestión sea económicamente rentable y dado que este motor es, al mismo tiempo, el medio que permite realizar las mencionadas actividades. (…) la propia presentación de datos personales en una página de resultados de una página de resultados de una búsqueda constituye un tratamiento de tales datos. Pues bien, toda vez que dicha presentación de resultados está acompañada, en la misma página, de la presentación de publicidad vinculada a los términos de búsqueda, es obligado declarar que el tratamiento de datos personales controvertido se lleva a cabo en el marco de la actividad publicitaria y comercial del establecimiento del responsable del tratamiento en territorio de un Estado miembro, en el caso de autos el territorio español. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 (…) debe interpretarse en el sentido de que se lleva a cabo un tratamiento de datos personales en el marco de las actividades de un establecimiento del responsable de dicho tratamiento en territorio de un Estado miembro, en el sentido de dicha disposición, cuando el gestor de un motor de búsqueda crea en el Estado miembro una sucursal o una filial destinada a garantizar la promoción y la venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los habitantes de este Estado miembro.” V El Tribunal Supremo, en Sentencia de la Sala de lo Contencioso-Administrativo de 13 de junio de 2016 (recurso de casación 810/2015), se ha pronunciado al respecto de la Sentencia del TJUE, confirmando el criterio expuesto en anteriores Sentencias y poniéndolo en relación con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo relativo al tratamiento de datos personales y a la libre circulación de estos datos que, si bien no será directamente aplicable hasta el 24 de mayo de 2018, ya está en vigor. En la citada STS se expone: << […] no podemos desconocer el hecho de que con posterioridad a las referidas sentencias de esta Sala de 11, 14 y 15 de marzo de 2016, se ha dictado por la Sala Primera de este Tribunal Supremo sentencia de 5 de abril de 2016, en el recurso 3269/2014, sobre tutela del derecho al honor, a la intimidad, a la propia imagen y a la protección de datos de carácter personal, que se refiere a la responsabilidad de Google Spain S.L., en el tratamiento de tales datos y la incidencia que para el ejercicio por el interesado del derecho a la tutela judicial efectiva puede tener la consideración como responsable de Google Inc., con domicilio en otro país. En la propia sentencia, que en lo sustancial no incorpora motivación distinta a la que ya valoró esta Sala al resolver los recursos de casación interpuestos contra las sentencias de la Audiencia Nacional, se hace referencia, en apoyo de su distinto criterio, a la falta de efecto prejudicial de las sentencias dictadas por ambas salas y recuerda la existencia de “distintos criterios rectores en las distintas jurisdicciones, por la diversidad de las normativas que con carácter principal se aplican en unas y otras”. Efectivamente, en el ámbito de esta jurisdicción contencioso administrativa, la tutela de los derechos de oposición, acceso, rectificación y cancelación reconocidos al titular de los datos personales objeto de tratamiento, se recaba mediante la impugnación de la correspondiente resolución de la Agencia Española de Protección de Datos, resolución que se produce, como se ha indicado anteriormente, a través de un procedimiento que comienza con la reclamación o comunicación dirigida al responsable del tratamiento, ejercitando el correspondiente derecho (art. 25 R.D. 1720/2007), frente a cuya respuesta el interesado puede formular reclamación ante la referida Agencia Española de Protección de Datos (art. 117 R.D. 1720/2007), que deberá dictar resolución en el plazo de seis meses, contra la cual puede interponerse el recurso contencioso administrativo (art. 18 LOPD 15/1999). En este ámbito jurisdiccional, como se desprende de lo expuesto en los anteriores fundamentos de derecho, la identificación de Google Inc. como responsable del tratamiento al que debe dirigirse el titular de los datos personales en ejercicio de su derecho, se justifica ampliamente en esta sentencia y las citadas de referencia, como resultado de:
12. i)la clara definición legal de la condición de responsable establecida tanto en la Directiva 95/46/CE (art. 2.
13. d)como en la Ley C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 Orgánica 15/1999, de Protección de Datos (art. 3.d);
14. ii)la interpretación que al respecto sostiene el TJUE en la citada sentencia de 13 de mayo de 2014, que al resolver las cuestiones prejudiciales planteadas por la Sala de la Audiencia Nacional, declara expresamente en su parte dispositiva 1), en relación con el tratamiento de datos consistente en “hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas”, que “el gestor de un motor de búsqueda debe considerarse responsable de dicho tratamiento, en el sentido del mencionado artículo 2, letra d)” gestor que en este caso nadie cuestiona que es Google Inc. y no Google Spain S.L.; iii) la percepción de que dicha interpretación del alcance de tales preceptos y los pronunciamientos efectuados en la sentencia del TJUE no responde a un planteamiento subjetivo sino que, objetivamente, puede sostenerse por los distintos tribunales que han de aplicar las normas comunitarias, como se refleja en las resoluciones adoptadas por ocho órganos jurisdiccionales europeos que se incorporan por la parte recurrente y que se han reflejado antes;
15. iv)la naturaleza de la obligación cuyo cumplimiento se exige por el interesado, obligación de hacer o no hacer impuesta por la ley en virtud de la efectiva participación del responsable en el tratamiento de datos objeto de impugnación, participación que delimita el alcance de su responsabilidad y la exigencia de la correspondiente reparación, adoptando las medidas precisas al efecto;
16. v)la asunción como propia de tal condición por parte de la entidad Google Inc., que a raíz de la sentencia del TJUE ha adoptado medidas tendentes a facilitar el ejercicio del denominado “derecho al olvido”. […] el criterio mantenido por la Sala en esas sentencias, como hemos señalado antes, se ha visto confirmado por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo relativo al tratamiento de datos personales y a la libre circulación de estos datos, recientemente aprobado y publicado en el Diario Oficial de la Unión Europea de 4 de mayo de 2016, que deroga la Directiva 95/46/CE, el cual, entre otras previsiones a las que ya nos hemos referido y despejando posibles dudas, regula en su art. 26 la corresponsabilidad en el tratamiento de datos, considerando corresponsables a quienes determinen conjuntamente los objetivos y los medios del tratamiento, exigiendo, además, que los corresponsables determinen de modo transparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el Reglamento, en particular en cuanto al ejercicio de los derechos del interesado, previsión que, como ya se recoge en nuestras sentencias, impide considerar corresponsable a una entidad como Google Spain, S.L., que ninguna participación tiene en la gestión del motor de búsqueda y la determinación de los fines y medios del tratamiento, circunstancia que en ningún momento se cuestiona. Por otra parte, en este ámbito jurisdiccional, la identificación de Google Inc., con domicilio legal en California, como responsable del tratamiento al que debe dirigirse el interesado en el ejercicio de sus derechos, no supone para este dificultad o carga añadida significativa para la obtención de una eficaz tutela judicial, en ninguna de las fases del procedimiento que se establece al efecto, al que hemos hecho referencia antes. Así, en la primera fase, según dispone el art. 24 del Real Decreto 1720/2007, de 21 de diciembre, que aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, el ejercicio de los derechos de acceso, rectificación, cancelación y oposición, frente al responsable del tratamiento, ha de responder a un medio sencillo y gratuito, sin que en ningún caso pueda suponer para el responsable un ingreso adicional, pudiéndose ejercitar tales derechos a través de los servicios de cualquier índole para la atención al público o el ejercicio de reclamaciones relacionadas con el servicio prestado de que disponga el responsable del tratamiento, imponiendo a dicho responsable la obligación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 atender la solicitud del interesado aun cuando no hubiera utilizado el procedimiento establecido específicamente al efecto por aquel, siempre que el interesado haya utilizado un medio que permita acreditar el envío y la recepción de la solicitud. La reclamación, por lo tanto, se formula electrónicamente de manera sencilla, gratuita y directa por el interesado, siendo válida en cualquier forma que permita justificar que se ha enviado y recibido por el responsable. Ello se facilita todavía más cuando, como sucede en este caso, el responsable Google Inc., según dice, implementando la tantas veces citada sentencia del TJUE sobre el derecho al olvido, ofrece a los interesados información completa sobre el ejercicio de su derecho, facilita los correspondientes formularios y proporciona instrucciones precisas para cumplimentarlos, habiendo establecido un Consejo Asesor, compuesto por cualificados miembros de distintos países, para evaluar las solicitudes y remitiendo al interesado, caso de desacuerdo con la decisión adoptada, a su impugnación ante la autoridad de protección de datos local, en congruencia con lo dispuesto en el art. 35 del citado Real Decreto 1720/2007, que establece genéricamente el plazo de diez días para resolver por el responsable, transcurrido el cual sin resolución, el interesado podrá interponer la reclamación prevista en el art. 18 de la LO 15/1999 ante la Agencia de Protección de Datos. Tampoco en esta segunda fase, ante la Autoridad de control, se aprecia dificultad o carga significativa para el ejercicio de su derecho por el interesado, por el hecho de que el responsable del tratamiento sea una entidad como Google Inc. domiciliada en otro país, pues, como dispone el art. 117 del Reglamento aprobado por Real Decreto 1720/2007, basta para la iniciación del procedimiento la presentación de la correspondiente reclamación ante la Agencia Española de Protección de Datos, sin que las comunicaciones con el responsable del tratamiento en el ámbito del procedimiento abierto presenten mayores exigencias que las llevadas a cabo directamente por el interesado, máxime teniendo en cuenta la implicación de los intervinientes en el desarrollo de la llamada sociedad de la información y la constante evolución normativa hacia la tramitación de los procedimientos a través de medios electrónicos, como refleja el art. 71 de la nueva Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común; que esto es así resulta de los numerosos procedimientos ante la Agencia de Protección de Datos tramitados con la intervención de Google Inc., sin ir más lejos el procedimiento que dio lugar al recurso contencioso administrativo en el que se plantearon por la Sala de la Audiencia Nacional las cuestiones prejudiciales resueltas por el TJUE en la referida sentencia de 13 de mayo de 2014. Lo mismo puede decirse de la vía jurisdiccional, que se desarrolla de acuerdo con las previsiones de la Ley reguladora de esta Jurisdicción Contencioso-Administrativa y que, como en todos los casos, el interesado puede instar y abrir mediante un simple escrito de impugnación de la resolución adoptada por la Agencia de Protección de Datos, a partir del cual el proceso contenciosoadministrativo se impulsa de oficio hasta su terminación en cualquiera de las formas establecidas en la propia Ley procesal. Por lo demás, la exigencia del cumplimiento de la obligación a Google Inc. como responsable del tratamiento - además de venir impuesta por la ley aplicable (art. 12.
17. b)de la Directiva 95/46/CE) y por la naturaleza de la obligación, como se refleja en los arts. 705 y siguientes de la Ley de Enjuiciamiento Civil al regular la ejecución de este tipo de obligaciones favorece que la tutela judicial obtenida por el interesado resulte eficaz y se plasme en la correspondiente actividad o realización práctica, pues, cuando se trata de la exigencia de obligaciones de hacer o no hacer, su efectividad viene determinada por la actitud o respuesta del propio responsable, más aún cuando, como sucede en este caso, el cumplimiento de la obligación exige la utilización de unos medios sobre los que solo tiene capacidad de disposición el responsable, como gestor del motor de búsqueda>>. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 VI En el supuesto aquí analizado, el denunciante ejercitó el derecho de acceso a sus datos personales ante la entidad denunciada. Es preciso analizar, en primer término, la aplicabilidad de la normativa española de protección de datos y si, en consecuencia, la Agencia Española de Protección de Datos es competente para tutelar el derecho. A este respecto, cabe señalar que la entidad UBER SYSTEMS SPAIN consta inscrita en el Registro Mercantil desde el 03/04/2014 como Sociedad Unipersonal, siendo Socio Único UBER INTERNATIONAL HOLDING BV, y su objeto social “Dar soporte a otras sociedades del grupo proveyendo servicio “on demand” (a pedido) de solicitudes efectuadas mediante aparatos móviles y por Internet”. Los representantes de UBER SYSTEMS SPAIN manifestaron a los servicios de inspección de la AEPD que su actividad consiste en desarrollar en España el negocio de la plataforma “Uber”. Se trata de una plataforma cuya finalidad es poner en contacto conductores y viajeros, que presta sus servicios a través del sitio web www.uber.com y una aplicación para teléfonos inteligentes (app) denominada “Uber”, siendo la responsable del sitio web y de la aplicación la sociedad EBER B.V., sociedad con sede en Países Bajos. En cuanto al tratamiento de los datos personales, la Inspección de datos no ha hallado evidencias de que UBER SYSTEMS SPAIN gestione o administre los sistemas de información de UBER BV u otras empresas del grupo. De las actuaciones de inspección practicadas se desprende que UBER SYSTEMS SPAIN interviene en la condición de encargado del tratamiento de datos de carácter personal, en los términos previstos en el artículo 12 de la LOPD, y no tiene capacidad ni competencia para responder a solicitudes de ejercicio de derechos ARCO. Las relaciones entre UBER SYSTEMS SPAIN y UBER BV están reguladas mediante un contrato de prestación de servicios y un acuerdo de encargado de tratamiento de datos, prohibiéndose expresamente que UBER SYSTEMS SPAIN represente a UBER BV. En el acuerdo se especifican las obligaciones del encargado del tratamiento referentes a limitar el tratamiento de datos a lo dispuesto en los términos del contrato y las medidas de seguridad a aplicar por parte del encargado, así como la obligación de cesar en el tratamiento de los datos y devolver éstos a UBER BV en el momento en que el contrato se resuelva. Consecuentemente, atendiendo al criterio jurídico expuesto, el tratamiento objeto de las actuaciones se encontraría sometido a la legislación de Países Bajos, y la Agencia Española de Protección de Datos no sería competente para tutelar el derecho de acceso solicitado, debiendo dirigirse para ello a la Autoridad neerlandesa de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11  NOTIFICAR la presente Resolución a UBER SYSTEMS SPAIN, S.L. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es