E-02431-2021

1/4  Procedimiento Nº: E/02431/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por Don A.A.A. (en adelante, el reclamante) tiene entrada con fecha 28 de febrero de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra GOCARDLESS LTD, (en adelante, el reclamado). Los motivos en que basa la reclamación son que ha cursado repetidas solicitudes de supresión de datos a la empresa GOCARDLESS LTD, pero ésta no deja de marearle con correos electrónicos pidiendo documentación o comunicando información irrelevante, sin llevar a cabo la operación solicitada (no son correos publicitarios o de márketing). Los correos se reciben en la dirección hola@trainerspain.com SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de las siguientes actuaciones: ~ Se incorpora la reclamación al “Sistema de Información del Mercado Interior” (IMI), al estar el responsable del tratamiento en un estado miembro de la Unión Europea, con número 64351 y fecha 8 de abril de 2019. Se da un mes a las autoridades para que contesten sobre la tramitación de la reclamación. Con fecha 11 de mayo de 2019, Reino Unido acepta tramitar la reclamación como autoridad lider. Hay 3 autoridades que se declaran interesadas (República Checa, Dinamarca y Estonia) Tras producirse el Brexit, con fecha 1 de enero de 2021, se constata que la autoridad de protección de datos de Reino Unido no ha realizado ninguna actuación sobre el responsable del tratamiento de datos objeto de la reclamación. ~Tras analizar los mensajes de correo aportados por el reclamante se observa lo siguiente: La cuenta de correo desde la que se solicita la cancelación es pertenece a una entidad hola@trainerspain.com Desde GOCARLESS le comunican que para darle de baja debe aportar los siguientes documentos, que se solicitan a las empresas españolas:   Efecto de la Incorporación en el Registro Mercantil Acto de Actualización Notarial C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 A lo que el reclamante manifiesta que ya ha enviado esta documentación relativa a la empresa. Desde GOCARDLESS le informan que no pueden aceptar este documento, ya que no detalla la estructura de acciones de su empresa. Añaden que, para continuar con el proceso de verificación, debe hacer lo siguiente:   Suba su archivo más reciente, que nombre a sus accionistas y la estructura de la empresa Si su empresa pertenece a otra empresa, cargue también un documento que muestre la estructura de esta empresa. Para obtener una guía paso a paso sobre la verificación de la propiedad de la empresa (también conocida como "Ultimate Beneficial Owners", consulte a nuestro centro de ayuda). ~ Con fecha 24 de marzo de 2021 se ha requerido a la entidad por correo electrónico (spain@gocardless.com y help@gocardless.com) que efectuase la baja de los datos del reclamante, respondiendo en fecha 25 de marzo de 2021 que la dirección de correo electrónico desde la que ha enviado el requerimiento (***EMAIL.1) no parece estar asociada a una cuenta de GoCardless y tendríamos que asegurarnos de que estamos hablando con un usuario activo de una cuenta cuando se trata específicamente de la cuenta. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II La reclamación se concreta en la imposibilidad de que atiendan la supresión de los datos de una cuenta desde la que están enviando correos. El artículo 2.1. del RGPD, establece el ámbito de aplicación material del mismo, señalando: “El presente Reglamento se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero”. El artículo 4.1) del RGPD define qué son datos personales: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 17 del RGPD, referido al derecho de supresión determina lo siguiente: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:

1. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
2. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
3. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
4. d)los datos personales hayan sido tratados ilícitamente;
5. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
6. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos…” En el supuesto objeto de reclamación hay que tener en consideración que los correos recibidos no son publicitarios; la entidad reclamada ofrece servicios de pago electrónico y domiciliación bancaria. El correo electrónico receptor de estos correos es hola@trainerspain.com. Este dato no identifica ni hace identificable a una persona física, sino a una empresa, una persona jurídica. En consecuencia, no resulta aplicable la normativa recogida en el RGPD, aplicable al tratamiento de datos personales referidos a personas físicas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 SEGUNDO: NOTIFICAR la presente resolución al reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
7. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es