E-02428-2021

1/5  Procedimiento Nº: E/02428/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por Don A.A.A. (en adelante, el reclamante) tiene entrada con fecha 16 de enero de 2020 en la Agencia Española de Protección de Datos. La reclamación se dirige contra PRINTERPIX, con domicilio en ***PAÍS.1 (en adelante, el reclamado). Los motivos en que basa la reclamación son los siguientes: No atención de la solicitud realizada en ejercicio del derecho de supresión. El reclamante ha hecho uso en numerosas ocasiones de la dirección de e-mail proporcionada por el responsable, así como de su servicio de Atención al Cliente, pero no han hecho más que darle largas y marearlo. Lleva año y medio intentando que le den de baja su perfil en la web del responsable. Detalles de la documentación aportada: Se proporciona un fichero comprimido que recoge todas las cadenas de e-mails intercambiados con el servicio de Atención al Cliente del responsable (operado con la herramienta Zendesk) En los mensajes que le proporcionan, casi siempre se ofrecen a darle de baja de los mensajes comerciales, pero el reclamante lo que quiere es que supriman su perfil. En los términos y condiciones aparece la siguiente dirección en ***PAÍS.1: Printerpix, ***DIRECCIÓN.

1. En el correo de bienvenida al servicio que le remitieron en 2018, aparece la siguiente dirección: ***DIRECCIÓN.
2. Acompañado de un teléfono inglés. SEGUNDO: Se propone el impulso a través del “Sistema de Información del Mercado Interior” (en lo sucesivo IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, ya que la entidad responsable se encuentra en ***PAÍS.
3. Con fecha 24 de febrero de 2020, se incluye el caso en IMI, con código ***CÓDIGO.
4. Se da 1 mes a las autoridades, para que se interesen en el caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 Con fecha 26 de mayo de 2020, la autoridad de control de protección de datos de Reino Unido, ICO. acepta el caso con un comentario en el art.
5. No tienen la empresa registrada en sus sistemas, pero citan a la ICO como autoridad competente. Se comprometen a enviar un requerimiento a la empresa responsable. Por lo que se tramita el Archivo Provisional de la reclamación una vez levantado el Estado de Alarma, con fecha 12 de junio de
6. Con fecha 23 de diciembre de 2020 y como consecuencia del Brexit, la autoridad británica comunicó el estado en el que se encontraban los expedientes transfronterizos que estaba tramitando, con objeto de trasmitir esa información a las autoridades que previamente se los habían trasladado en virtud del mecanismo de cooperación. Entre ellos no se encontraba el expediente objeto de estas actuaciones. TERCERO: Con fecha 19 de febrero de 2021, la Directora de la AEPD acuerda la admisión a trámite de la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ~ Los representantes de la entidad manifiestan que, tras el análisis del caso particular del reclamante, han concluido que la demora en la tramitación de Ia solicitud de cancelación de datos y baja del reclamante, se ha debido a una defectuosa interpretación del contenido de la solicitud por parte del sistema informático de la compañía encargado de dicho proceso, y no se ha podido resolver hasta que ello no ha podido ser detectado y validado por medios humanos a través del Servicio de Atención al Cliente del reclamado. ~ En los correos electrónicos intercambiados entre la mercantil y el usuario, en fecha 11 de septiembre de 2018, el usuario solicitó la cancelación de suscripción a la página web. El reclamado proporcionó, en detalle, los pasos a seguir para atender tal solicitud. ~ Tras otra solicitud de cancelación de subscripción, en fecha 27 de septiembre de 2018, el reclamado confirmó la solicitud, en fecha 28 de septiembre de
7. Posteriormente, el día 2 de octubre de 2018, el reclamado procedió a eliminar todas las fotografías subidas por el usuario, tal como indica su política de privacidad, por la cual se eliminan los proyectos de cada usuario en caso de que el mismo haya estado inactivo más de 30 días, entendiéndose que con ello quedaba cancelada la suscripción. ~ No obstante, entre el 21 de octubre de 2018 y el 12 de diciembre de 2018, el reclamante persistió en su solicitud de cancelación de subscripción, y el reclamado, en aras a solucionar la reclamación, se puso a disposición del usuario, hasta proponer una conferencia telefónica, pues para el Servicio de Atención al Cliente, la cancelación de subscripción ya se había ejecutado. ~ En fecha 29 de enero de 2019, el reclamado confirmó, de nuevo, que la suscripción del usuario había sido cancelada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 ~ No fue hasta marzo de 2019 que el Servicio de Atención al Cliente comprendió que la solicitud del usuario no versaba únicamente respecto a la cancelación de la suscripción, sino que el usuario pretendía eliminar su cuenta y sus datos en PRINTERPIX. ~En fecha 15 de mayo de 2019, la entidad acusó recibo del correo electrónico del usuario en tal sentido. El usuario persistió en su solicitud, pero dado el volumen de trabajo del Servicio de Atención al Cliente, el reclamado recibió un ·mensaje automático acusando recibo de sus correos, solicitando en varias ocasiones que el usuario proporcionara todos los datos necesarios para que la eliminación de sus datos pudiera cumplirse. ~ El usuario no proporcionó los datos necesarios para eliminar su cuenta en PRINTERPIX hasta el día 8 de enero de
8. ~ Posteriormente, en fecha 21 de enero de 2020 el Servicio de Atención remitió la solicitud formal de eliminación de la cuenta del reclamante. Consecuentemente, en fecha 31 de enero 2020, el reclamado eliminó todos los datos del reclamante. ~ En la documentación aportada por la entidad figura un correo de fecha 5 de febrero de 2020 en el que informan al reclamante que siguiendo su petición han desactivado su cuenta en la entidad. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II En el Documento interno del CPDP 5/2020, sobre cómo proceder en los casos en el marco de los procedimientos de cooperación y coherencia con vistas al final del periodo transitorio del Brexit, se indica lo siguiente para el caso de que no exista otro establecimiento principal del EEE: En lo sucesivo, cada ACI del EEE será competente para tramitar los casos mencionados a nivel nacional en virtud del artículo 55, apartado 1, del RGPD, ya que ya no se trata de casos transfronterizos con arreglo al artículo 4, apartado 23, del RGPD. En este caso, se invita al ICO a transferir todos los datos pertinentes a todas las ACI del EEE antes del 31 de diciembre de
9. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 Por ello, la reclamación se tramitará por la Agencia Española de Protección de Datos y conforme a lo establecido por el RGPD y la LOPDGDD. III Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. En el supuesto aquí analizado, el reclamante ejercitó el derecho de supresión regulado en el artículo 17 del RGPD y artículo 15 de la LOPDGDD. Trascurrido el plazo establecido conforme a las normas antes señaladas, su solicitud no obtuvo la respuesta legalmente exigible. La entidad reclamada no atendió la solicitud del reclamante. IV En el supuesto objeto de reclamación, el reclamante solicitó la supresión de la suscripción a la página web del reclamado y a sus datos, en fecha 11 de septiembre de 2018, y no fue hasta el 31 de enero de 2020 hasta que se produjo la efectiva supresión solicitada, debido a una serie de malos entendidos alegados por el reclamado. El artículo 83, apartado 5 del RGPD establece lo siguiente:
10. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…) b) los derechos de los interesados a tenor de los artículos 12 a 22; La LOPDGDD establece lo siguiente en el artículo 74, apartado c): “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes: c) No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto en el artículo 72.1.k) de esta ley orgánica.” En el momento en que fue admitida a tramite la reclamación, la posible infracción cometida por el reclamado se encontraba prescrita, ya que el 31 de enero de 2020 fue atendida la supresión solicitada. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es