← España

E-03059-2021

1/6  Procedimiento Nº: E/03059/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por Don A.A.A. (en adelante, el reclamante) tiene entrada con fecha 26 de agosto de 2018 en la Agencia Española de Protección de Datos. La reclamación se dirige contra EPIC GAMES INC., (en adelante, el reclamado). Los motivos en que basa la reclamación son los siguientes: “Desde el día 12 de agosto estoy enviado emails a Epic Games para que me den de baja de su base de datos. Mi dirección de correo es ***EMAIL.1 Siempre responden amablemente pero no me dan de baja porque cuando voy a su web e introduzco con el usuario y contraseña que tenía siempre accedo al interior de la misma. El último mensaje que recibí de ellos en cuanto a este problema decía: "EpicGames August 24, 2018, 08:07 +0200 Como ya no hemos vuelto a saber nada de ti, marcamos tu caso como resuelto. Sin embargo, si sigues teniendo problemas o tienes más preguntas, no dudes en reabrir tu boleto respondiendo a este mensaje." Y yo les respondí: "Srta. B.B.B., No es cierto lo que indican que no han recibido respuesta mía. El pasado 22/08/2018 siguiendo sus instrucciones activé la cuenta para que Vds. procedan a cancelar todos los datos. Por favor, "no mareen tanto la perdiz". Vds. podían haber realizado un "search" en su DB y cancelar mi cuenta de correo electrónico y otros datos relacionados. Su tiempo es tan importante como el mío y por ello este será mi último mensaje a Vds. solicitando la CANCELACIÓN TOTAL DE MIS DATOS y la prohibición de compartirlos con nadie. Este es mi último correo electrónico a Vds, porque ya son demasiados para una simple solicitud inicial. Siento mucho comunicarlo, pero el próximo "gasto de tiempo" al que me veré obligado a hacer será a la Agencia Española de Protección de Datos. SEGUNDO: Teniendo en cuenta el carácter transfronterizo de la reclamación y dado que el reclamado tiene su establecimiento principal o único en Luxemburgo, correspondería a la autoridad de protección de datos de ese Estado actuar como autoridad de control principal, a tenor de lo dispuesto en el artículo 56.1 del RGPD. La entidad que presta el servicio tenía, en la fecha en que se presentó la reclamación, su establecimiento principal o único en Luxemburgo (la empresa EPIC GAMES INTERNATIONAL S.A.R.L.), por lo que, teniendo en cuenta el carácter transfronterizo de la reclamación, correspondía a la autoridad de protección de datos de Luxemburgo (la Commission Nationale pour la Protection des Données GrandDuché de Luxembourg (CNPD), actuar como autoridad de control principal, a tenor de lo dispuesto en el artículo 56.1 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 Por ello, de conformidad con el artículo 66 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), la Directora de la Agencia Española de Protección de Datos acordó, con fecha 2 de noviembre de 2018, remitir la reclamación presentada por el reclamante a la autoridad de control de Luxemburgo, a fin de que por la misma se le diera el curso oportuno, así como proceder al archivo provisional del procedimiento, quedando automáticamente suspendidos los plazos de admisión a trámite regulados en el artículo 65.5 de la LOPDGDD, de acuerdo con lo dispuesto en su artículo 64.

  1. Al realizarse la remisión a través de un sistema accesible por todas las autoridades de control europeas, fue la autoridad de control regional alemana de Berlín, la Berliner Beauftragte für Datenschutz und Informationsfreiheit, (o, en inglés, Berlin Commissioner for Data Protection and Freedom of Information), la que se consideró autoridad principal del caso y competente para el mismo, ya que había recibido una comunicación procedente del establecimiento alemán de la empresa, EPIC GAMES GERMANY GmbH, donde defendían razonadamente que cumplían las condiciones para ser considerado establecimiento principal de la empresa estadounidense EPIC GAMES INC. en la Unión Europea. Sin embargo, tras un periodo de tiempo de casi 2 años, con fecha 13 de octubre de 2020, la autoridad alemana comunicó a las demás autoridades de control que, como resultado de una serie de investigaciones e inspecciones llevadas a cabo en el proceso de tramitación de diversos casos, habían llegado a la conclusión de que el establecimiento alemán no era el principal en la UE, según el art. 4.16.a del RGPD y, por tanto, el mecanismo de ventanilla única no aplicaría. La autoridad luxemburguesa ha informado de que se encuentra en proceso de analizar si este establecimiento es realmente el principal, ya que consiste en un apartado de correos, gestionado, según corrobora la autoridad berlinesa, por empleados en un centro de la empresa en Suiza. En consecuencia, por el momento, el responsable del tratamiento sería el establecimiento de la empresa en Estados Unidos (EPIC GAMES INC.), siendo cada autoridad competente para gestionar las reclamaciones recibidas contra este responsable. TERCERO: Con fecha 10 de marzo de 2021, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. CUARTO: A la vista de los hechos expuestos, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento de los hechos objeto de reclamación, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del RGPD, teniendo conocimiento de los siguientes extremos: Se ha contactado con el denunciante, dado el tiempo transcurrido desde la interposición de la denuncia y la solicitud de cancelación de datos, para conocer si ha verificado la efectiva baja de su cuenta de usuario en Epic Games, o si por el contrario continuaba aún dada de alta, recibiendo respuesta en la que hace constar que “después de haber intentado entrar en la web de EPIC GAMES con el usuario "***EMAIL.1" objeto de la apertura de esta reclamación les comunico que no ha sido posible ni tampoco recuperar su "contraseña" porque EPIC GAMES indicaba que usuario inexistente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 Lo anteriormente expuesto no indica que se haya "verificado la efectiva baja de su cuenta de usuario en EPIC GAMES o si por el contrario continúa aún dada de alta" porque internamente no conozco el proceso utilizado por EPIC GAMES. Sí que les confirmo que, por el momento, no recibo ningún tipo de correo electrónico ni SMS de tipo publicitario por parte de EPIC GAMES.” FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El artículo 12, apartados 1 y 2 del Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos (RGPD), dispone lo siguiente: “
  2. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios.
  3. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a
  4. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado.” El artículo 12 de la LOPDGDD determina lo siguiente:
  5. Los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, podrán ejercerse directamente o por medio de representante legal o voluntario.
  6. El responsable del tratamiento estará obligado a informar al afectado sobre los medios a su disposición para ejercer los derechos que le corresponden. Los medios deberán ser fácilmente accesibles para el afectado. El ejercicio del derecho no podrá ser denegado por el solo motivo de optar el afectado por otro medio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6
  7. El encargado podrá tramitar, por cuenta del responsable, las solicitudes de ejercicio formuladas por los afectados de sus derechos si así se estableciere en el contrato o acto jurídico que les vincule.
  8. La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulado por el afectado recaerá sobre el responsable.
  9. Cuando las leyes aplicables a determinados tratamientos establezcan un régimen especial que afecte al ejercicio de los derechos previstos en el Capítulo III del Reglamento (UE) 2016/679, se estará a lo dispuesto en aquellas.
  10. En cualquier caso, los titulares de la patria potestad podrán ejercitar en nombre y representación de los menores de catorce años los derechos de acceso, rectificación, cancelación, oposición o cualesquiera otros que pudieran corresponderles en el contexto de la presente ley orgánica.
  11. Serán gratuitas las actuaciones llevadas a cabo por el responsable del tratamiento para atender las solicitudes de ejercicio de estos derechos, sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del Reglamento (UE) 2016/679 y en los apartados 3 y 4 del artículo 13 de esta ley orgánica.” El artículo 17 del RGPD dispone que: “
  12. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes: a) los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo; b) el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico; c) el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2; d) los datos personales hayan sido tratados ilícitamente; e) los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento; f) los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado
  13. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6
  14. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos.
  15. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario: a) para ejercer el derecho a la libertad de expresión e información; b) para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable; c) por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras h) e i), y apartado 3; d) con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o e) para la formulación, el ejercicio o la defensa de reclamaciones.” III Debido al tiempo transcurrido desde que se interpuso la reclamación, durante las actuaciones de investigación se ha solicitado información al reclamante, referida a la atención del derecho. En su contestación, señala que tras haber intentado entrar en la web de EPIC GAMES con el usuario "***EMAIL.1" no ha sido posible hacerlo ni tampoco recuperar su "contraseña" porque el reclamado indicaba que usuario inexistente. Asimismo, ha confirmado que no recibe ningún tipo de correo electrónico ni SMS de tipo publicitario por parte del reclamado. Dado que la infracción por no atender el ejercicio del derecho de supresión se encuentra recogida, a efectos de prescripción, en el artículo 74.c) de la LOPDGDD, y el plazo de esta prescripción es de un año; y que se ha procedido a la baja de su cuenta en EPIC GAMES, no se inicia procedimiento sancionador al reclamado, sin perjuicio de que si pudiese acreditar que no se había procedido a cancelar la cuenta o sus datos, el reclamante puede presentar nueva reclamación que se tramitará de forma inmediata. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.