1/5 Procedimiento Nº: E/00133/2020 - E/01688/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades FUNDACIÓN AMIGOS DEL MUSEO DEL PRADO (en adelante la Fundación) y FALUA MEMORÁVEL, UNIPESSOAL, LDA y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 28/10/2019 y con número de registro de entrada 051233/2019 se recibió en esta Agencia una reclamación dirigida contra FALUA MEMORÁVEL, UNIPESSOAL, LDA (en adelante, el reclamado) y en fecha 6/11/2019 y con número de registro de entrada 052642/2019 se recibió otra reclamación dirigida contra el mismo responsable por hechos similares. Los motivos en que se basan las reclamaciones son los siguientes: Realización de un cargo supuestamente fraudulento por parte del reclamado en las cuentas corrientes de varios miembros de la Fundación a la que representa una de las reclamantes. Además, estos cargos también se estarían realizando a personas no vinculadas con la Fundación como así manifiesta el segundo reclamante. Se pone de manifiesto que existen precedentes de hechos similares realizados con anterioridad por empresas ubicadas en ***PAÍS.
- SEGUNDO: FALUA MEMORÁVEL, UNIPESSOAL, LDA tiene su establecimiento principal en ***PAÍS.
- TERCERO: Con fecha 21 de febrero de 2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. CUARTO: Con esa misma fecha, se traslada a la Autoridad de Protección de Datos portuguesa (CNPD - Comissão Nacional de Protecção de Dados) una solicitud de asistencia. En esa asistencia se pide a la CNPD que lleve a cabo un requerimiento de información a la citada compañía. QUINTO: Simultáneamente, el mismo día 21 de febrero de 2020, se solicita a la Fundación, a través de un requerimiento de información, que aporte la información relacionada con los datos de las empresas que realizan labores de encargado del tratamiento de datos personales para la Fundación, la documentación acreditativa de la relación contractual con dichas empresas así como cualquier otra cuestión que considerase relevante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 SEXTO: Con fecha 2/09/2020 se recibió comunicación de la autoridad portuguesa en respuesta a la solicitud de asistencia formulada el 21 de febrero de
- SÉPTIMO: Con fecha 16/09/2020 y con número de registro de entrada ***REGISTRO.1, se recibe escrito de respuesta al requerimiento de información solicitado por esta Agencia a la FUNDACIÓN AMIGOS DEL MUSEO DEL PRADO. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Asimismo, y atendiendo a lo previsto en el artículo 4.23 del RGPD, el caso no se considera transfronterizo puesto que el tratamiento de datos personales realizado en el contexto de las actividades de un único establecimiento del responsable, en este caso en ***PAÍS.1, sólo afecta a interesados en España, por tanto, la única autoridad competente para exigir responsabilidades a la empresa portuguesa es ***PAÍS.1 según el art. 55.1 RGPD. Por otro lado, el RGPD en su artículo 61.1, referido a los casos de asistencia mutua entre autoridades, establece que las Autoridades de Control se facilitarán información útil y se prestarán asistencia mutua a fin de aplicar el presente Reglamento de manera C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 coherente, y tomarán medidas para asegurar una efectiva cooperación entre ellas. La asistencia mutua abarcará, en particular, las solicitudes de información y las medidas de control, como las solicitudes para llevar a cabo autorizaciones y consultas previas, inspecciones e investigaciones. III En este caso, se han presentado con fechas 28/10/2019 y 6/11/2019 en la Agencia Española de Protección de Datos sendas reclamaciones contra FALUA MEMORÁVEL, UNIPESSOAL, LDA por la realización de un cargo supuestamente fraudulento en las cuentas corrientes de varios miembros de la FUNDACIÓN AMIGOS DEL MUSEO DEL PRADO. Estos cargos también parecen haberse realizado en cuentas de interesados que no pertenecen a esta Fundación. Con fecha 21 de febrero de 2020 se trasladó a la Autoridad Portuguesa de Protección de Datos (CNPD) una solicitud de asistencia en la que se pedía a dicha autoridad la realización de un requerimiento de información a la empresa reclamada. Simultáneamente, el mismo día 21 de febrero de 2020, se solicita a la Fundación, a través de un requerimiento de información, que aporte la información relacionada con los datos de las empresas que realizan labores de encargado del tratamiento de datos personales para la Fundación, la documentación acreditativa de la relación contractual con dichas empresas así como cualquier otra cuestión que considerase relevante. Con fecha 2 de septiembre de 2020 se recibe comunicación de la autoridad portuguesa en respuesta a la solicitud de asistencia formulada el 21 de febrero. En ella manifiestan que, tras una primera valoración, el caso estaría dentro del ámbito penal y no sería materia de protección de datos, por lo cual no serían competentes para actuar. Además, tras la investigación preliminar llevada a cabo por esa autoridad se concluye que la compañía reclamada cerró el 31 de diciembre de 2019, tal y como consta en registro oficial de empresas del Ministerio de Justicia portugués, razón por la cual tampoco estarían en disposición de llevar a cabo ninguna actuación. Con fecha 16 de septiembre de 2020 se recibe escrito de respuesta al requerimiento de información solicitado por esta Agencia a la FUNDACIÓN AMIGOS DEL MUSEO DEL PRADO, en el que por lo que aquí interesa, se pone de manifiesto lo siguiente: Se aportan los contratos con los encargados del tratamiento según recogen las previsiones del art. 28 del RGPD así como los nombres y domicilios de las personas jurídicas con las que la Fundación tiene suscritos contratos de tratamiento de datos personales. Adicionalmente, y con relación a otras informaciones consideradas relevantes, se informa por parte de esta Fundación de las denuncias presentadas en los años 2016 y 2018 ante la Comisaría de Chamartín y los Juzgados de Instrucción de Madrid respectivamente contra sendas sociedades portuguesas presuntamente responsables de cargos de similares características realizados a algunos miembros de esta Fundación, pero que no son objeto de esta reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 También se proporcionan la denuncia ante el Juzgado de Instrucción de Madrid por los hechos que aquí se reclaman. Se aportan copias de algunos de los recibos girados contra varios afectados así como copias de los atestados y denuncias. Se señala también que esta práctica no solo se lleva a cabo contra los miembros de esta Fundación sino que habría afectados sin vinculación alguna con ella. Se asegura igualmente en este escrito que los hechos objeto de estas denuncias son ajenos a la FUNDACIÓN AMIGOS DEL MUSEO DEL PRADO y que estos se producen desde ***PAÍS.1, siendo los afectados presunta y principalmente españoles. En lo que a los hechos se refiere, de la documentación que obra en el expediente y de las actuaciones realizadas por esta Agencia en las labores de inspección que tiene atribuidas, no se aprecian evidencias de que alguna de las empresas con las que la Fundación ha tenido o tiene una relación como encargado del tratamiento esté incumpliendo sus obligaciones atendiendo a las previsiones recogidas en el artículo 28 del RGPD. Se constata, a partir de la documentación presentada, la existencia de una relación contractual que vincula a la Fundación con los diferentes encargados del tratamiento. Además, en dichos contratos quedan determinados el objeto y la duración del tratamiento, su naturaleza y la finalidad del mismo así como el establecimiento de las medidas de seguridad oportunas encaminadas a mantener la integridad, confidencialidad y disponibilidad de los datos objeto de la relación contractual, de forma que estos contratos estarían adaptados a las razones contenidas en el considerando 81 del RGPD. Tampoco consta notificación alguna de brecha de seguridad ante esta Agencia por parte de estas entidades, como señala el artículo 33 de este mismo Reglamento, que hubiera podido estar en el origen de la revelación de datos personales que dio lugar a los hechos denunciados, por lo que no se han hallado indicios de los que pueda inferirse la responsabilidad de alguna empresa española. Asimismo no se observa que se haya producido infracción del artículo 24 del RGPD por parte de la Fundación en calidad de responsable del tratamiento en cuanto que su actuación puede considerarse diligente, presentando la documentación requerida por esta Agencia Finalmente, y teniendo en cuenta las manifestaciones de la autoridad portuguesa sobre la consideración del caso dentro del ámbito penal y por tanto fuera del ámbito de la protección de datos, sería la Fiscalía Portuguesa la autoridad competente para llevar a cabo actuaciones contra la empresa responsable del cargo supuestamente fraudulento. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a los reclamantes y a la FUNDACIÓN AMIGOS DEL MUSEO DEL PRADO. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es