E-02751-2021

1/7  Procedimiento Nº: E/02751/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por Don A.A.A. (en adelante, el reclamante) tiene entrada con fecha 28 de junio de 2020 en la Agencia Española de Protección de Datos. La reclamación se dirige contra TAKE TWO INTERACTIVES SOFTWARE EUROPE LIMITED (en adelante, el reclamado). Los motivos en que basa la reclamación son, en síntesis: Para cumplir con una solicitud de supresión de datos en relación con el juego Social Club, se exige al peticionario que remita su solicitud desde el buzón de e-mail con el que se abrió la cuenta. El reclamante eliminó en el pasado dicha dirección, y, por tanto, no tiene acceso a la misma. Aunque llegó a desvincular su cuenta de Social Club de dicha dirección, ahora se encuentra con que no tiene forma de eliminarla. El responsable le insta a contactar con su proveedor de correo electrónico para recuperar su acceso a su buzón de e-mail. Detalles de la documentación: Se aporta copia de dos conversaciones mantenidas con el Soporte Técnico del responsable, copia de una solicitud de supresión formal enviada por e-mail a la dirección ***EMAIL.1 y una conversación por chat con la matriz estadounidense. Observaciones: En la política de privacidad de reclamado, expresamente se dice, respecto al ejercicio de derechos por parte de los usuarios de XXXXXX: "If you are unable to log in to your Social Club account, or you do not have access to your Social Club account, and wish to delete your Social Club account, please email ***EMAIL.2 from the same email account you used to join Social Club, include your Social Club nickname in the message, and include "Delete Account" in the subject line." SEGUNDO: Se propone el impulso a través del “Sistema de Información del Mercado Interior” (en lo sucesivo IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, ya que la entidad responsable se encuentra en ***PAÍS.

1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 Con fecha 3 de septiembre de 2020 se incluye el caso en IMI, con código ***CÓDIGO.
2. Se da 1 mes a las autoridades, para que se interesen en el caso. El caso no ha llegado a ser ni siquiera asumido por la autoridad de control británica de protección de datos, antes de producirse el Brexit. Con fecha 4 de diciembre de 2020, la autoridad de control de protección de datos de ***PAÍS.1, ICO, acepta el caso, aunque, debido a lo restringido del tiempo antes de consumarse el Brexit, van a revisar la naturaleza de la reclamación y determinar posibles pasos a seguir. Proporcionarán actualización antes de la "transición", pase lo que pase. Con fecha 23 de diciembre de 2020 y como consecuencia del Brexit, la autoridad británica comunicó el estado en el que se encontraban los expedientes transfronterizos que estaba tramitando, con objeto de trasmitir esa información a las autoridades que previamente se los habían trasladado en virtud del mecanismo de cooperación. Entre ellos no se encontraba el objeto de estas actuaciones. TERCERO: Con fecha 18 de febrero de 2021, la Directora de la AEPD acuerda la admisión a trámite de la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ~ Los representantes del reclamado (en adelante, “XXXXXX”) manifiestan que, los hechos objeto de la presente reclamación hacen referencia a un incidente que fue debidamente solucionado en fecha 4 de agosto de 2020, tras efectuar la supresión en sus sistemas de la cuenta de Social Club asociada al Reclamante, habiéndole a su vez comunicado dicho hecho al Reclamante ~ En relación con el procedimiento establecido para cancelar información de usuarios que han eliminado la cuenta de correo con la que se dieron de alta, aportan copia del procedimiento estándar establecido por XXXXXX para suprimir una cuenta de usuario. De conformidad con el apartado 1.a del procedimiento estándar de XXXXXX, para suprimir una cuenta asociada a uno de nuestros clientes, es necesario verificar la titularidad de quien solicita dicha supresión, a fin de evitar que se produzcan solicitudes fraudulentas. ~ El procedimiento adoptado por XXXXXX se ha diseñado como respuesta a las cada vez más recurrentes solicitudes de supresión realizadas por terceros que actúan de mala fe con el fin de perjudicar a otros jugadores en el marco de los juegos asociados a Social Club, que es la plataforma que utilizan nuestros jugadores para registrarse en los juegos titularidad de XXXXXX. ~ En este sentido, el procedimiento estándar prevé hasta cuatro maneras de verificar la titularidad de una cuenta (apartados 3.a a 3.d del procedimiento aportado). La aplicación de una u otra vía de verificación dependerá de la información de la que disponga el solicitante para verificar la titularidad sobre una cuenta. En particular, los apartados 3.a y 3.b prevén el procedimiento estándar empleado por XXXXXX para verificar la titularidad de un solicitante, siendo este el envío de un correo electrónico a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 la cuenta original empleada para registrarse inicialmente en Social Club y la confirmación por parte del solicitante de dicho correo desde la cuenta original en cuestión. De esta manera, y de conformidad con el procedimiento anterior, XXXXXX entiende que la confirmación por parte del usuario de dicho correo electrónico remitido a la cuenta original de registro equivaldría a una solicitud de supresión lícita, real y veraz. ~ Asimismo, y a fin de evitar que se produzcan situaciones como la expuesta por el reclamante, el apartado 3.d del procedimiento prevé supuestos para los casos en los que los usuarios no dispongan de acceso a la cuenta original de correo electrónico a través de la cual se efectuó el registro inicial en Social Club. En particular, dicho apartado contempla la posibilidad de que XXXXXX remita la solicitud en cuestión a su equipo de soporte técnico avanzado, quien, en aplicación de los criterios indicados, podrá conceder la supresión de la cuenta de usuario. ~ En relación con la acreditación documental de que se ha atendido el derecho de cancelación del afectado, los representantes de la entidad manifiestan que, en fecha 18 de junio de 2020, XXXXXX recibió la comunicación aportada por el reclamante en la que solicita el borrado de su cuenta e información asociada. En fecha 18 de junio de 2020, XXXXXX, tras realizar las gestiones necesarias para verificar si procedía la supresión de la cuenta del Reclamante, se puso en contacto con el mismo informándole de que, de conformidad con el apartado 3.b del procedimiento, para poder proceder al borrado de su cuenta era necesario que el Reclamante confirmase su identidad desde la cuenta original que el mismo empleó para crear la cuenta de Social Club. ~ Durante el 18 de junio de 2020 y el 24 de junio de 2020 XXXXXX y el reclamante se intercambiaron numerosas comunicaciones en las que el segundo solicitaba suprimir la cuenta de Social Club objeto de reclamación. Sin embargo, el servicio de Atención al Cliente de XXXXXX, ante la ausencia de documentación que justificase la aplicación de los apartados 3.c y 3.d del procedimiento de cancelación, se remitió al apartado 3.b del mismo, a través de los cuales el Reclamante debía confirmar la supresión a través del correo electrónico remitido a su cuenta de correo electrónico original con la que se registró en Social Club. ~ En vista de la reiteración en el número de comunicaciones enviadas por el reclamante, y con el fin de ofrecerle una vía alternativa a través de la cual confirmar su cuenta de correo electrónico, en fecha 20 de junio de 2020 el equipo de atención al cliente propuso al reclamante la posibilidad de que se pudiese poner en contacto con su proveedor de correo electrónico a fin de reactivar su cuenta y poder verificar su titularidad. ~ Sin perjuicio de lo anterior, y con motivo de la solicitud de ejercicio de supresión realizada por parte del reclamante, en fecha 25 de junio de 2020, ante la dirección ***EMAIL.1, XXXXXX procedió a realizar las gestiones e investigaciones oportunas a fin de dar contestación a la solicitud remitida, al entender tras la recepción de dicha solicitud que podría estar ante un supuesto regulado en el apartado 3.d del procedimiento de cancelación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 ~ En vista de lo anterior, en fecha 27 de junio de 2020, el equipo de atención al cliente de XXXXXX realizó las gestiones oportunas a fin de poder conceder la supresión al reclamante. A tal efecto, XXXXXX pudo verificar, entre otros elementos, que el reclamante actualmente no tenía ningún juego asociado a la cuenta de Social Club objeto de reclamación. ~ En vista de lo anterior, con el fin de poder seguir recabando información adicional y remitir la solicitud al Equipo de soporte técnico avanzado, en fecha 29 de junio de 2020, XXXXXX se puso en contacto con el reclamante indicándole que analizarían su solicitud. ~ En fecha 4 de agosto de 2020, tras analizar la solicitud del reclamante por el equipo de soporte técnico avanzado de XXXXXX y autorizar la supresión de los datos asociados a la cuenta de Social Club objeto de reclamación, XXXXXX se puso en contacto con el reclamante a efectos de comunicarle la supresión de sus datos personales. ~ En fecha 6 de agosto de 2020, el reclamante se puso en contacto con XXXXXX para agradecerle las gestiones realizadas, acreditándose por tanto la recepción de la contestación a su solicitud de supresión. ~ Aportan copia de las comunicaciones mantenidas, entre las fechas 27 de junio de 2020 y 6 de agosto de 2020, entre XXXXXX y el reclamante en el que se pueden apreciar las gestiones anteriormente indicadas que fueron efectuadas a partir de la recepción de la solicitud de supresión del interesado. ~ Aportan copia de la respuesta enviada al reclamante, así como copia de la comunicación enviada por parte del mismo a XXXXXX tras la recepción de la respuesta. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II En el Documento interno del CPDP 5/2020, sobre cómo proceder en los casos en el marco de los procedimientos de cooperación y coherencia con vistas al final del periodo transitorio del Brexit, se indica lo siguiente para el caso de que no exista otro establecimiento principal del EEE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 En lo sucesivo, cada ACI del EEE será competente para tramitar los casos mencionados a nivel nacional en virtud del artículo 55, apartado 1, del RGPD, ya que ya no se trata de casos transfronterizos con arreglo al artículo 4, apartado 23, del RGPD. En este caso, se invita al ICO a transferir todos los datos pertinentes a todas las ACI del EEE antes del 31 de diciembre de
3. Por ello, la reclamación se tramitará por la Agencia Española de Protección de Datos y conforme a lo establecido por el RGPD y la LOPDGDD. III Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. En el supuesto aquí analizado, el reclamante ejercitó el derecho de supresión regulado en el artículo 17 del RGPD y artículo 15 de la LOPDGDD. Trascurrido el plazo establecido conforme a las normas antes señaladas, su solicitud no obtuvo la respuesta legalmente exigible. La entidad reclamada no atendió la solicitud del reclamante. IV Esta reclamación empezó a tramitarse conforme a lo indicado en el Reglamento para las reclamaciones transfronterizas, compartiendo el caso con el resto de autoridades. No obstante, el Brexit no permitió que la autoridad de control británica de protección de datos asumiese la gestión de la reclamación. En esta situación, y de acuerdo con lo previsto en el documento interno del CPDP 5/2020, la autoridad de control española será la competente para tratar casos como este. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 Para casos como el señalado, la LOPDGDD establece en el artículo 64, apartado 1 señala: “
4. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación.” No obstante, al haberse iniciado la tramitación del procedimiento con arreglo a los procedimientos transfronterizos, cuando la responsabilidad de su resolución ha pasado a la autoridad de control española no se había iniciado el correspondiente procedimiento de ejercicio de derechos por lo que se han tenido que se han iniciado las actuaciones previas de investigación. En ellas, se ha constatado que la solicitud de supresión realizada por el reclamante había sido atendida, fuera del plazo establecido en el RGPD, lo que hubiese dado lugar a una estimación formal del procedimiento de ejercicio la tutela de derechos tramitada frente al reclamado, y nunca se hubiera tenido que iniciar un procedimiento sancionador. Por este motivo y con el fin de actuar de manera similar a lo establecido en la normativa procede el archivo del expediente. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es