E-02430-2021

1/5  Procedimiento Nº: E/02430/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por Don A.A.A. (en adelante, el reclamante) tiene entrada con fecha 30 de julio de 2020 en la Agencia Española de Protección de Datos. La reclamación se dirige contra BADOO TRADING LIMITED (en adelante, el reclamado). Los motivos en que basa la reclamación son, en síntesis, los siguientes: Tras darse de alta en el portal web del reclamado, el reclamante decidió eliminar su cuenta, al no estar conforme con el tipo de servicio ofrecido. Ha dirigido varios correos electrónicos al responsable del tratamiento solicitando la supresión. A pesar de haber seguido sus indicaciones y proporcionar copia de su DNI, su información y fotografías siguen publicados, con el consiguiente perjuicio para su imagen profesional y personal. Detalles de la documentación aportada (pantallazos): - E-mail enviado, en fecha 20 de abril de 2020, al correo ***EMAIL.1, solicitando la supresión de sus datos y proporcionando su nombre y fecha de nacimiento (no adjunta ningún documento). - Nuevo e-mail enviado en la misma fecha a la misma dirección, donde proporciona su sexo, edad, localidad y URL del perfil a suprimir. - Respuesta del portal, donde le piden acreditación de la identidad. Esta se puede certificar de tres formas: rellenar un formulario accesible dentro del área privada y seguir los pasos que se indican en un e-mail que le va a llegar a su buzón; aportar información de su perfil (dan 3 opciones para escoger 2: fecha de registro, fecha y cantidad de última transacción, y última vez que accedió a su cuenta); por último, si ninguna de las dos formas anteriores es posible, proporcionar un documento de identidad con fotografía (pasaporte, DNI, carnet). - Nuevo correo enviado por el reclamante al responsable, aportando copia de su DNI. - Nuevo correo enviado por el reclamante al responsable, recordando que los datos siguen publicados y reiterando su solicitud de supresión. - Nuevo correo enviado por el reclamante, en fecha 22 de abril de 2020, con una fotografía suya y reiterando su petición de supresión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 - Contestación automatizada del portal web, con fecha 22 de abril de 2020, diciendo que creen haber resuelto su consulta, han cerrado la cadena de mensajes, y que, si el destinatario tiene algo más que añadir, instan a hacerlo dentro de un plazo de 48 horas. - Nuevo correo del reclamante, con fecha 29 de abril de 2020, comunicando que no se ha resuelto su situación, y proporcionando pantallazo de su perfil. - Nuevo correo del portal, con fecha 4 de junio de 2020, volviendo a enumerar las 3 formas de acreditar la identidad y seguir adelante con la supresión. SEGUNDO: Tras constatar que el perfil se publica en ***URL.1 y, a día 2 de octubre de 2020, la información sigue accesible (perfil de usuario, que incluye varias fotografías), se procede a proponer el impulso a través del “Sistema de Información del Mercado Interior” (en lo sucesivo IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, ya que la entidad responsable se encuentra en ***PAÍS.

1. Con fecha 2 de octubre de 2020 se incluye el caso en IMI, con código ***CÓDIGO.
2. Se da 1 mes a las autoridades, para que se interesen en el caso. El caso no ha llegado a ser ni siquiera asumido por la autoridad de control británica de protección de datos, antes de producirse el Brexit. TERCERO: Con fecha 19 de febrero de 2021, la Directora de la AEPD acuerda la admisión a trámite de la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ~ Con fecha 16 de septiembre de 2020, se había comprobado por parte de la Subdirección General de Inspección de Datos que figuraba información del reclamante en la dirección ***URL.1, incluida fotografías e información relativa a su ubicación y preferencias personales. ~ Con fecha 31 de abril de 2021, se ha verificado nuevamente la dirección anteriormente mencionada y no figura ya información alguna relativa al reclamante. ~ Se ha comprobado que la política de seguridad publicada en ***URL.2 se actualizó por última vez en fecha 11 de agosto de 2020, no habiendo, por tanto, incluido modificaciones después del BREXIT. Dicha política de seguridad no nombra representante en la Unión Europea, debiendo contactar en la dirección siguiente: ***DIRECCIÓN.
3. ~ Con fecha 5 de abril de 2021 se ha realizado la consulta informal en IMI, IC XXXXXX, indicando que se trata de un caso local perdiendo, por tanto, la condición de autoridades interesadas las que así lo hubiesen hecho. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II En el Documento interno del CPDP 5/2020, sobre cómo proceder en los casos en el marco de los procedimientos de cooperación y coherencia con vistas al final del periodo transitorio del Brexit, se indica lo siguiente para el caso de que no exista otro establecimiento principal del EEE: En lo sucesivo, cada ACI del EEE será competente para tramitar los casos mencionados a nivel nacional en virtud del artículo 55, apartado 1, del RGPD, ya que ya no se trata de casos transfronterizos con arreglo al artículo 4, apartado 23, del RGPD. En este caso, se invita al ICO a transferir todos los datos pertinentes a todas las ACI del EEE antes del 31 de diciembre de
4. Por ello, la reclamación se tramitará por la Agencia Española de Protección de Datos y conforme a lo establecido por el RGPD y la LOPDGDD. III Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. En el supuesto aquí analizado, el reclamante ejercitó el derecho de supresión regulado en el artículo 17 del RGPD y artículo 15 de la LOPDGDD. Trascurrido el plazo establecido conforme a las normas antes señaladas, su solicitud no obtuvo la respuesta legalmente exigible. La entidad reclamada no atendió la solicitud del reclamante. IV Esta reclamación empezó a tramitarse conforme a lo indicado en el Reglamento para las reclamaciones transfronterizas, compartiendo el caso con el resto de autoridades. No obstante, el Brexit no permitió que la autoridad de control británica de protección de datos asumiese la gestión de la reclamación. En esta situación, y de acuerdo con lo previsto en el documento interno del CPDP 5/2020, la autoridad de control española será la competente para tratar casos como este. Para casos como el señalado, la LOPDGDD establece en el artículo 64, apartado 1 señala: “
5. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación.” No obstante, al haberse iniciado la tramitación del procedimiento con arreglo a los procedimientos transfronterizos, cuando la responsabilidad de su resolución ha pasado a la autoridad de control española no se había iniciado el correspondiente procedimiento de ejercicio de derechos por lo que se han tenido que se han iniciado las actuaciones previas de investigación. En ellas, se ha constatado que la solicitud de supresión realizada por el reclamante había sido atendida, fuera del plazo establecido en el RGPD, lo que hubiese dado lugar a una estimación formal del procedimiento de ejercicio la tutela de derechos tramitada frente al reclamado, y nunca se hubiera tenido que iniciar un procedimiento sancionador. Por este motivo y con el fin de actuar de manera similar a lo establecido en la normativa procede el archivo del expediente. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es