1/7 Expediente Nº: E/02954/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad EYSA PSA SMART CITY MOBILITY SERVICES, S.A. en virtud de denuncia presentada por Dña. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 20 de abril de 2018, tuvo entrada en esta Agencia escrito de Dña. A.A.A. (en lo sucesivo la denunciante) contra EYSA PSA SMART CITY MOBILITY SERVICES, S.A. (en lo sucesivo el denunciado) por los siguientes hechos según manifestaciones de la denunciante: Intenta darse de baja enviando un correo a admnistración@emov.es, (admnistracion sin “i” entre la “m” y la “n”) tal como indica la web en el apartado de preguntas frecuentes (FAQs) pero le devuelven un mensaje de error indicando que la dirección no existe. Y, entre otra, anexa la siguiente documentación: Respuesta del servidor de correos de fecha 18/04/2018 indicando que la citada dirección de correo no existe SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Según indican los representantes de la entidad, en sus ficheros constan todos los datos aportados por la denunciante en el proceso de registro: Nombre y apellidos, Fecha de nacimiento, NIF, Dirección postal, Email, Teléfono móvil, Número permiso conducir, Fecha de caducidad permiso conducir, 4 últimos dígitos de la tarjeta de crédito/débito, Fecha de caducidad de tarjeta. También se dispone de los datos derivados del uso del servicio, fecha y hora de los viajes realizados (inicio y fin), coordenadas GPS de inicio y fin, así como los cobros realizados por el uso de dicho servicio. En relación al procedimiento de ejercicio del derecho de cancelación u oposición al tratamiento de los datos, los representantes de la entidad indican que en el momento en que la denunciante se dio de alta en su servicio el 17/01/2017, el texto de la Política de privacidad aceptada por ella durante el proceso de registro establecía: "El ejercicio de los derechos de acceso, rectificación, oposición y cancelación, podrá realizarlo mediante un escrito acompañado de copia del D.N.I. dirigido a EYSA PSA Smart City Mobility Services S.A., Calle Núñez de Balboa 116, 22, 28006 Madrid, o a administración@emov.es." C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Posteriormente se hicieron revisiones de dicho texto para adaptarlas a la normativa europea y el texto actual es: "El ejercicio de los derechos de acceso, rectificación, supresión, oposición, limitación al tratamiento y portabilidad respecto a sus datos personales, podrá realizarlo mediante un escrito acompañado de copia del D.N.I. dirigido a EYSA PSA Smart City Mobility Services SA, Calle Núñez de Balboa 116, 2-, 28006 Madrid, o a administracion@emov.es. La revocación de su consentimiento podrá realizarla fácilmente en el entorno de gestión de su usuario, a través de nuestra web o nuestra app. En todo caso, podrá presentar una reclamación ante la Agencia Española de Protección de Datos (www.agpd.es)." La denunciante debió tomar como referencia el texto de FAQs disponible en la web de emov y no los textos legales de Términos y Condiciones y Política de privacidad. Dicho texto de FAQs tenía una errata que fue corregida tan pronto se detectó. La dirección indicada en las FAQs era admnistracion@emov.es (faltaba la "i"). No obstante, la denunciante se pudo poner en contacto con nuestra empresa a través de otras dos cuenta de correo (atencion@emov.es y facturacion@emov.es). Desde estas dos cuentas se dio respuesta a sus peticiones y se procedió a la baja en el servicio al día siguiente de su petición. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III El artículo 5 de la LOPD establece lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. . Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
- c)y
- d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. (...)”. La obligación que impone este artículo 5 es, por tanto, la de informar al afectado en la recogida de datos, pues sólo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquélla. Así, de acuerdo con lo establecido en el artículo 5 transcrito, la entidad denunciada debe informar a los interesados de los que recabe datos sobre los extremos establecidos en el aludido artículo 5.1. La información a la que se refiere el artículo 5.1 de la LOPD debe suministrarse a los afectados previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. El apartado 2 establece una regla especial para los supuestos en que se utilicen formularios u otros impresos para la recogida de la información exigiendo que “... figuraran en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior”. Por su parte, el artículo 4.1 de la LOPD concreta las finalidades para las que pueden recabarse y tratarse los datos personales exigiendo. La Ley ha querido, por tanto, imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 forma claramente legible. De lo expuesto cabe concluir que la vigente LOPD ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a éste, y de las finalidades para las que los datos pueden ser recabados y tratados. Según se ha indicado, las normas expuestas exigen que la información se facilite con carácter previo a la recogida de los datos y que, en caso de utilizarse formularios para la recogida de datos, la información ha de figurar en los mismos. IV El artículo 16 de la LOPD dispone que: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación. 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado.” V Desde el 25 de mayo de 2018 resulta de aplicación el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos -RGPD), cuyo artículo 13 ha desplazado al artículo 5 de la LOPD, por lo que se ha estimado oportuno analizar la información en materia de protección de datos que se ofrece a través de la web a la que se refieren las actuaciones, para comprobar su adecuación al citado Reglamento. El artículo 13 de dicho Reglamento establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 “Información que deberá facilitarse cuando los datos personales se obtengan del interesado. 1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
- f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. VI En el presente caso, la entidad denunciada ha indicado que en el momento en que la denunciante se dio de alta en su servicio el 17/01/2017, el texto de la Política de privacidad aceptada por ella durante el proceso de registro establecía: "El ejercicio de los derechos de acceso, rectificación, oposición y cancelación, podrá realizarlo mediante un escrito acompañado de copia del D.N.I. dirigido a EYSA PSA Smart City Mobility Services S.A., Calle Núñez de Balboa 116, 22, 28006 Madrid, o a administración@emov.es." No obstante, la denunciante debió tomar como referencia el texto de FAQs disponible en la web de emov y no los textos legales de Términos y Condiciones y Política de privacidad. Dicho texto de FAQs tenía una errata que fue corregida tan pronto se detectó. La dirección indicada en las FAQs era admnistracion@emov.es (faltaba la "i"). Así mismo, la denunciante se pudo poner en contacto con nuestra empresa a través de otras dos cuenta de correo (atencion@emov.es y facturacion@emov.es). Desde estas dos cuentas se dio respuesta a sus peticiones y se procedió a la baja en el servicio al día siguiente de su petición. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a EYSA PSA SMART CITY MOBILITY SERVICES, S.A. y a Dña. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es