E-03164-2018

1/21 Expediente Nº: E/03164/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades ATTIVA DESARROLLO Y FORMACION S.L., AUDIDAT FRANQUICIA, S.L., CONSULTING NORMATIVO S.L., LAE CONSULTING NORMATIVAS S.L., y PROFESSIONAL GROUP CONVERSIA, S.L.U., en virtud de denuncia presentada por la ASOCIACION PROFESIONAL ESPAÑOLA DE PRIVACIDAD, y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 4 de junio de 2018, tuvo entrada en esta Agencia un escrito remitido por la ASOCIACION PROFESIONAL ESPAÑOLA DE PRIVACIDAD, en el que manifiesta lo siguiente, de forma genérica, en relación a todas las empresas y asociaciones denunciadas: 1 A medida que la fecha de aplicación del Reglamento Europeo de Protección de Datos se aproxima, miembros de la APEP vienen informando de prácticas lideradas por entidades que compiten en el mercado ofreciendo la prestación de servicios de adecuación a la normativa de protección de datos mediante publicidad engañosa. 2 Tales oferentes utilizan información no veraz sobre la obligatoriedad y características de ciertos servicios en materia de privacidad con propuestas económicas a un coste ínfimo o gratuito y, por ende, inaceptable, que se antoja insuficiente para cubrir los costes que comportan la prestación de servicios expertos que cumplan con estándares mínimos de calidad. 3 Dichos servicios son propuestos en muchos casos con cargo a créditos de FUNDAE desviando fondos dedicados a formación para ofrecer servicios de consultoría. 4 En muchos casos las ofertas enviadas por estas empresas ofreciendo servicios a coste cero ni siquiera han sido consentidas, vulnerando la normativa de privacidad y la LSSI. SEGUNDO: En relación a la empresa denunciada AUDIDAT FRANQUICIA S.L. (en adelante AUDIDAT), se indica en la denuncia que: o Se costea adecuación a la normativa de protección de datos de carácter personal destinando las bonificaciones a formación ficticia (Coste 0) y generan confusión con respecto a los usuarios de su página web www.auditat.com al autodenominarse como Agencia de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/21 o Aportan copia del folleto publicitario de la empresa denunciada, que según manifiestan ha sido facilitado a la denunciante por uno de sus miembros, donde se ofrecen servicios relacionados con formación en temas de protección de datos. o Aportan copia impresa de la información obtenida a través del buscador de Google en la que consta como título de la web www.audidat.com : “Agencia de Protección de Datos – audidat.com” Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Se ha comprobado que, en la actualidad, en la búsqueda de Google de “AUDIDAT”, se obtiene como primer resultado la página web www.audidat.com con el título “Consultora especializada en Protección de Datos – audidat.com. Se ha verificado que en la página web www.audidat.com se incluye un formulario que pueden cumplimentar los interesados en contactar con la empresa. También se incluye una leyenda informativa con el título “Sus datos seguros”, en la que se ofrece información sobre el responsable del fichero, la finalidad de la recogida de datos y los posibles tratamientos a realizar. Con fecha 20 de agosto de 2018, AUDIDAT ha remitido a esta Agencia la siguiente información sobre los servicios que presta y la publicidad de los mismos: 1 La empresa está comprometida con la calidad y la legalidad en el marco de la prestación de servicios de asesoramiento, auditoria y gestión en materia de protección de datos a empresas, particulares e instituciones. 2 Dicho sistema de calidad es conforme a la norma UNE_EN ISO 9000, según se acredita con el certificado expedido, con fecha 13 de julio de 2017, por OCA Instituto de Certificación S.L., entidad certificadora acreditada por ENAC. Aportan copia de los certificados expedidos con fechas 13 de julio de 2017 y 22 de junio de

1. 3 Así mismo, la empresa ha aprobado un decálogo corporativo que recoge el conjunto de obligaciones éticas de imprescindible cumplimento por todos sus miembros y ha asumido la máxima responsabilidad y compromiso con el establecimiento de una política de Protección de Datos que ha sido comunicada a todos sus trabajadores y se encuentra publicada en su página web. Aportan copia del compromiso de la Dirección de la empresa sobre protección de datos. 4 Por otra parte, la empresa ha designado un Delegado de Protección de Datos, aunque por sus características no tenía carácter obligatorio. 5 Respecto a los canales que utiliza para dar a conocer sus servicios: a. Visitas personales en el domicilio social o profesional de clientes potenciales. El propio interesado facilita sus datos a través del modelo de “Presupuesto” que incluye un texto informativo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/21 b. Entrevistas personales con clientes potenciales concertadas previamente por teléfono. Se concierta la entrevista a través del número de teléfono de una persona jurídica (empresa o asociación), nunca a través de un número de teléfono personal. A este respecto, manifiestan que la empresa no utiliza los servicios de empresas de telemarketing, call centers, llamadas automáticas ni servicios similares. Es el propio consultor o comercial quien se pone en contacto de manera individual con la persona jurídica que pudiera estar interesada en los servicios de AUDIDAT, para ello utilizan bases de datos de personas jurídicas. c. Convenios de colaboración suscritos con colegios o entidades profesionales, siendo estos mismos quienes dan a conocer los servicios de la empresa a sus asociados o colegiados. En caso de que cualquier interesado se ponga en contacto, facilitando sus datos de contacto y se le informa sobre el tratamiento de sus datos a través del modelo de “Presupuesto”. d. Charlas y jornadas informativas y Ferias y eventos profesionales. El propio interesado facilita sus datos personales, siendo informado sobre el tratamiento de sus datos a través de la ficha de solicitud de información elaborada al efecto. e. La página web de la empresa: www.auditat.com, donde los propios interesados, tras ser informados a través de una leyenda informativa sobre el tratamiento de sus datos y consentir de manera expresa la política de protección de datos, facilitan su información. 6 Respecto al origen de los datos de los destinatarios de la información: los canales citados en el punto anterior en los que se recaban datos de las personas interesadas. 7 La empresa ha establecido un sistema de información por “capas” que tiene dos niveles: a. En el primer nivel se facilita una información básica en el momento en el que se recogen los datos. b. En el segundo nivel se remite información adicional. c. Aportan copia de varios documentos de recogida de datos, en los que se incluye la información de primer nivel (presupuesto, ficha de inscripción a charlas y jornadas, ficha de solicitud de información para ferias y eventos y textos disponibles en la página web.). 8 En su página web se incluyen ambas informaciones tanto la “Política de Protección de Datos” como la información adicional ampliada, está última también se encuentra a disposición de los interesados en las oficinas centrales de la empresa y se puede solicitar también por teléfono o por medios electrónicos. 9 La empresa ha configurado una red de consultoría de ámbito nacional, a través de delegaciones comerciales establecidas en diferentes puntos de España. Dichas delegaciones (personas jurídicas independientes) suscriben con AUDIDAT un contrato de prestación de servicios y tienen la obligación, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/21 acuerdo con el sistema de calidad certificado de AUDIDAT de utilizar los modelos aprobados de “Presupuesto” y “Contrato de Prestación de Servicios”. Así mismo, en los contratos suscritos con las delegaciones se establece que: “El encargado de tratamiento, en el momento de la recogida de datos, debe facilitar la información relativa a los tratamientos de datos que se van a realizar. La redacción y el formato en que se facilitará la información se debe consensuar con el Responsable de tratamiento antes del inicio de la recogida de datos.” Aportan modelos del contrato de encargo de tratamiento que se firma con las Delegaciones y del contrato de prestación de servicios de la empresa. 10 Respecto a la causa por la que en el buscador Google aparece como resultado de “AUDIDAT” “Agencia de Protección de Datos – Audidat” manifiestan que: a. La incidencia ha sido corregida y en la actualidad aparece en la citada búsqueda: “Consultora especializada en Protección de Datos – Audidat.com” b. La incidencia se encontraba en fase de corrección con anterioridad a recibirse en la empresa el requerimiento de información de la Agencia. A este respecto aportan captura de pantalla, de fecha 14 de agosto de 2018, del resultado del buscador Google de “Audidat”. c. La empresa no emitió instrucción alguna, a cualquiera de las empresas encomendadas de la prestación de servicios de gestión su página web tendente a incluir la mención de la Agencia de Protección de Datos en la definición del buscador Google, por lo tanto, su inclusión ha debido venir motivada por propia iniciativa de alguna de las citadas empresas. d. Con el fin de eliminar cualquier confusión en los usuarios de internet, debido a una asociación errónea de AUDITAT con la Agencia Española de Protección de Datos, en el momento en que se detectó la incidencia, se dieron instrucciones a dos de las empresas prestadoras del servicio: CUTTER PUBLICIDAD S.L. con fecha 2 de marzo de 2018 y CONSULTORIA INNOVA con fecha 6 de abril de
2. Aportan copia de ambos correos electrónicos. 11 Por otra parte, la empresa tiene la condición de empresa colaboradora de APEP (Asociación Profesional Española de Privacidad) y para adquirir dicha condición es requisito imprescindible aceptar expresamente el código ético de la Asociación. 12 Les interesa poner de manifiesto que ningún documento comercial o de cualquier otra índole de la empresa incluye la imagen gráfica de la Agencia Española de Protección de Datos (Aportan modelo del tríptico comercial y dossier de la empresa). TERCERO: En relación a la empresa denunciada CONSULTING NORMATIVO S.L., (Fundación Privacidad y Protección de Datos) (en adelante CONSULTING): o Los únicos datos obtenidos de su página web www.fundaccionprotecciondedatos.es es el domicilio C/ Fenix 19 Madrid, ya que no dispone de aviso legal ni de información sobre su política de privacidad. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/21 o En la citada página web promociona un curso “OFICIAL” de DPD, informando de que “Nuestra entidad se configura como la primera entidad de Formación especializada de profesionales en los ámbitos exigidos por la Agencia Española de Protección de Datos para obtener la certificación oficial” Durante las presentes actuaciones se han realizado investigaciones a la entidad CONSULTING con el resultado siguiente: Con fecha 3 de agosto de 2018, se ha comprobado que la página web www.fundacionprotecciondedatos.es dispone de un formulario de contacto en el que se puede solicitar información, facilitando el nombre, dirección de correo electrónico y Teléfono. Así mismo, se comprueba que en la página se informa de que colaboran con administraciones públicas tanto nacionales como europeas, regionales y locales, de forma leal y continua. Así mismo, se comprueba que en el apartado “Avisos Legales y Privacidad” se facilita la siguiente información:  Existencia de un fichero del que es responsable la Fundación de Privacidad y Protección de Datos con domicilio en la c/ Fenix, 19 de Madrid.  La finalidad del fichero es atender las solicitudes de información recibidas vía web.  Señala el mismo domicilio de la fundación para el ejercicio de los derechos sobre datos personales.  Facilita información sobre las cookies utilizadas.  No se cederán datos a terceros salvo obligación legal.  El usuario acepta y consiente el tratamiento de sus datos para las finalidades indicadas. Con fecha 16 de agosto de 2018, CONSULTING ha remitido a la Agencia la siguiente información: o CONSULTING es la responsable del tratamiento asociado a la marca comercial “Fundación Privacidad y Protección de Datos” y titular de la página web www.fundacionprotecciondedatos.es. o Según manifiestan, durante años han estado inmersos en continuos litigios judiciales con antiguos miembros de la existente FUNDACION ESPAÑOLA PARA LA PROTECCION DE DATOS”. Dichos litigios han finalizado en mayo de
3. o Como consecuencia de la finalización de los trámites judiciales, la Fundación Privacidad y Protección de Datos se constituirá como entidad autónoma. o Por motivos de defensa letrada judicial y hasta la sentencia de mayo de 2018, han mantenido sin actualizar el aviso legal del sitio web y su política de privacidad, cuya actualización se ha realizado recientemente. o La empresa utiliza como canal para dar a conocer sus servicios las redes sociales, no realizando ninguna campaña dirigida a destinatarios particulares, ni dispone de datos de personas físicas al efecto. No se obtienen datos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/21 terceras personas. o La empresa dispone de datos personales de encargados de tratamiento de clientes a los que les oferta los diferentes servicios como formación o consultoría de adaptación a las normativas sobre las que versas los productos de CONSULTING. o El tratamiento que se realizan con los datos que se recaban a través de la citada página web se encuentra especificado en el registro de actividad que consta en el documento de privacidad interna, cuya copia adjuntan. El tratamiento consiste en contestar o aportar la información que se solicita por el usuario del sitio web, destruyendo posteriormente los datos. o No tienen ningún convenio suscrito con administraciones públicas. Según manifiesta, la información que se facilita en su página web debe entenderse como una vocación de colaboración activa con todas las administraciones del sector y no como la realización de algún convenio o contrato suscrito. CUARTO: En relación a la empresa denunciada LAE CONSULTING NORMATIVAS S.L., según la información que figura en su página web, el responsable es Laacademia Estudios Universitarios S.L. Utilizan el logotipo de la Agencia Española de Protección de Datos. Adjuntan la oferta recibida por un cliente de un miembro de la APEP en la que se hace una presentación de la empresa LAE (La academia empresas) y en el apartado Adaptación a la LOPD, se incluye el logotipo de la Agencia. Durante las presentes actuaciones se verificado que en la página web www.laeconsulting.net se incluye un formulario de contacto, en el que se recogen los datos de nombre y apellidos, teléfono y dirección de correo electrónico. Antes de ENVIAR el formulario, hay que marcar una casilla con el texto “he leído y acepto la cláusula de privacidad”. En el texto informativo de la “Política de Privacidad” se indica que el responsable de la web y del tratamiento de los datos que se recaban es: LAE CONSULTING NORMATIVAS S.L., y su domicilio, donde se pueden remitir las solicitudes de ejercicio de derechos. Con fecha 23 de agosto de 2018, LAE ha remitido a esta Agencia la siguiente información:
4. LAE es una empresa, cuya actividad es el asesoramiento en materia normativa. Sus clientes son fundamentalmente personas jurídicas.
5. Para dar a conocer sus servicios utiliza los siguientes canales de comunicación: a. Página web www.laeconsulting.net, donde se facilita información sobre el uso de cookies, política de privacidad y aviso legal, de acuerdo con la normativa vigente. El usuario que facilita los datos a través del formulario al efecto, debe marcar la opción de conformidad con lo especificado en la leyenda informativa en relación con el tratamiento de sus datos, antes del envío del formulario. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/21 Los datos que se recaban mediante el citado formulario se utilizan para facilitar al usuario la información que solicita y no se incorporan a ninguna base de datos comercial. b. Catálogos comerciales: A través de la red comercial de LAE, mediante visitas a clientes potenciales, se hace entrega de un dossier informativo con el detalle de los servicios que la empresa oferta. En las visitas no se recaban datos de las empresas, salvo las tarjetas profesionales que pueden ser intercambiadas entre el comercial y la empresa. Los datos que figuran en las tarjetas no se incluyen en ningún fichero para realizar ningún envío comercial. c. Marketing directo: Las empresas que contratan sus servicios suscriben un contrato de consultoría, del que aportan copia, y en el que se incluye la siguiente información: “En nombre de la empresa tratamos la información que nos facilita con el fin de prestarles el servicio solicitado y realizar la facturación del mismo. Los datos proporcionados se conservarán mientras se mantenga la relación comercial o durante los años necesarios para cumplir con las obligaciones legales. Los datos no se cederán a terceros salvo en los casos en que exista una obligación legal. Usted tiene derecho a acceder a sus datos personales, rectificar los datos inexactos o solicitar su supresión cuando los datos ya no sean necesarios. Asimismo, podrá ejercer los derechos al olvido y la portabilidad de los mismos. La firma del presente contrato supone una autorización explícita al tratamiento de sus datos para las finalidades de administración anteriormente comentadas. Asimismo, solicito su autorización para ofrecerle productos y servicios relacionados con los solicitados y fidelizarle como cliente.” Adicionalmente a la cláusula, se incorpora una solicitud al cliente para que consienta en el envío de comunicaciones comerciales con el texto: ¿Desea recibir información sobre productos y servicios relacionados y fidelizarse como cliente?, se puede marcar Si o No. En caso de que las empresas (clientes) autoricen, se incluyen sus datos en una base de datos comercial para el envío de información sobre los productos y servicios de la empresa. Para el envío de información, se utiliza una herramienta que incluye en las comunicaciones la posibilidad de darse de baja y dejar de recibir información. d. Por otra parte, LAE tiene suscritos convenios de colaboración con diferentes empresas (asesorías laborales, fiscales, empresas de mantenimiento informático etc…) para ofrecer a sus clientes los servicios de LAE. En virtud de los citados convenios, de cuyo modelo aportan copia, los colaboradores facilitan los datos de contacto (razón social, teléfono de contacto y nombre del responsable) de las empresas interesadas, con las que se contacta, desde el departamento de telemarketing de LAE, para concertar una visita por parte de un comercial. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/21 No se recaban datos de personas físicas, y tampoco se utilizan los datos de empresas para campañas de marketing digital. QUINTO: En relación a la empresa denunciada ATTIVA DESARROLLO Y FORMACION S.L. (EN ADELANTE ATTIVA): o o Se desconoce el titular de la página web ww.attiva.es, ya que en dicha página no consta el responsable de la misma, solo figura una dirección de MAIRENA DEL ALJARAFE (SEVILLA) Aportan la oferta recibida por un miembro de la asociación denunciante a través de correo electrónico dirigido a la dirección ***EMAIL.1, en el que le informan de que el coste de la implantación de la normativa LOPD es a 0 mediante la bonificación. En el correo se indica que le envían la información que ha solicitado en llamada telefónica. Durante las presentes actuaciones se han realizado las siguientes: Se accedió a la página web www.attiva.es, verificando que dispone de un formulario de contacto en el que se recaban datos de nombre y apellidos, asunto y dirección de correo electrónico. No se obtiene constancia de que en la página se incluya ninguna información o “Aviso Legal” sobre el tratamiento de los datos que se recaban y sobre el titular del sitio web solo se indica el domicilio, la dirección de correo electrónica y un número de teléfono. Con fecha 25 de septiembre de 2018, se accede de nuevo a la página web www.attiva.es, verificando que ya no está disponible el formulario de contacto y que se ha incluido información en dos enlaces “Aviso Legal” y “Política de Privacidad”, en ambos se identifica como responsable y titular del sitio web ATTIVA DESARROLLO Y FORMACION S.L. Con fecha 20 de septiembre de 2018, ATTIVA ha remitido a la Agencia la siguiente información: o Los datos de contacto que utilizan para dar a conocer sus servicios se obtienen de directorios públicos, donde constan datos de empresas, tales como Páginas Amarillas, QDQ, Citiservi etc…, no obtienen datos de terceras empresas. o La información que se remitió por correo electrónico a la dirección ***EMAIL.1 fue solicitada por la empresa a la que está asociada dicha dirección, el dato fue facilitado por el cliente. o Los datos que se reciben de la página web www.attiva.es , del que es titular la empresa, se utilizan para facilitar la información solicitada por el usuario, no se conservan dichos datos ni se utilizan para el envío masivo de publicidad. o Respecto al procedimiento por el que se informa a las personas que facilitan sus datos a través de la página web de la empresa, según manifiestan, aplican el artículo 9 del Reglamento UE 2016/679 para datos de categorías especiales y para los que no requieren datos identificativos el artículo 11 de dicho Reglamento. o Se informa en la citada página de los derechos de los interesados de acuerdo con lo especificado en la citada normativa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/21 SEXTO: En relación a la empresa denunciada PROFESSIONAL GROUP CONVERSIA S.L. (en adelante, CONVERSIA):  La empresa condiciona la vigencia de su contrato de servicio de normativa vigente en materia de protección de datos al contrato de encomienda de organización de la formación. La suscripción del contrato de formación conllevará que se “le obsequie” al cliente con los Servicios de Asesoramiento en Protección de Datos. Entre los mencionados servicios de asesoramiento se distinguen, además de los propios de adecuación a la normativa, la designación de CONVERSIA como Delegado de Protección de Datos ante la AEPD, el cual sería un servicio incluido dentro de la formación. Estas prácticas han sido detectadas en el ámbito territorial de Cataluña (Barcelona y Gerona).  En relación al coste de los servicios ofrecidos a una empresa concreta, de los 1.368 euros que supone el importe de la formación, 836 euros son bonificables por FUNDAE. Esta práctica ha sido detectada en el ámbito territorial de Madrid. Se aporta la siguiente documentación relevante al caso:  Modelo del “contrato de encomienda de organización de la formación” utilizado por la empresa para los servicios de formación.  Modelo del “contrato de servicio de normativa vigente en materia de protección de datos” utilizado por la empresa para los servicios de consultoría jurídica de adaptación a la normativa de protección de datos.  Copia de un contrato de encomienda de organización de la formación y de uno del servicio de normativa vigente en materia de protección de datos, cumplimentados en algunos de sus campos y con fechas 30/11/2015 y 26/07/2016, respectivamente. El segundo se encuentra firmado en el área del contratante pero no queda claro si es un contrato real firmado o un modelo aportado a modo de ejemplo, ya que tanto en los modelos como en estas copias no figura relleno el campo con la información del contratante.  Parte de un correo electrónico remitido por una empleada de CONVERSIA, donde se adjunta el detalle de sus dos modelos de gestión (consultoría con y sin formación) y el coste económico asociado a cada uno. No se aporta el encabezamiento, con lo que se desconoce el destinatario del correo.  Correo electrónico remitido supuestamente por el hijo de una gerente de una tienda de ropa del centro de Barcelona a tenor del contenido del mismo, en el que reenvía un cruce de correos entre una persona de una consultoría en protección de datos de BADALONA, y un ejecutivo de cuentas de CONVERSIA, en relación a una oferta de servicios realizada por dicho comercial de CONVERSIA durante la visita a la tienda de la madre del remitente, con fecha junio de
6. Los correos aparentemente también tienen también fecha de junio de 2016, aunque no se aportan las cabeceras.  Correo electrónico remitido, con fecha 11/01/2018, por una persona del departamento de clientes de CONVERSIA dirigido a una persona de la empresa ACOMODA SOLUTIONS, S.L. En el correo se publicita un servicio de adaptación al Reglamento General de Protección de Datos, enumerando los elementos que comprendería dicho servicio, y una estimación del coste C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/21 económico, destacando la parte del mismo que se podría bonificar. Respecto a la documentación aportada en la denuncia, el inspector observa lo siguiente:  En la cláusula primera del contrato servicio normativa vigente en materia de protección de datos constan los siguientes dos párrafos: “En caso de que el CONTRATANTE haya suscrito con CONVERSIA un Contrato de Formación, en virtud del cual CONVERSIA le obsequie con los Servicios de Asesoramiento en Protección de Datos, el presente contrato sólo permanecerá vigente mientras continúe vigente el mencionado Contrato de Formación. En este supuesto y ante un incumplimiento de pago de los servicios de formación por el CONTRATANTE, y siempre que CONVERSIA hubiere iniciado la prestación de los servicios indicados en el presente contrato, el CONTRATANTE se obliga al pago del valor de mercado de los servicios descritos en el presente contrato.”  En ambos modelos de contrato se encuentran en la última hoja 4 casillas a marcar por el contratante, con las siguientes leyendas: o He leído y acepto recibir comunicaciones por parte de PROFESSIONAL GROUP CONVERSIA S.L.U. o He leído y acepto recibir comunicaciones por las empresas del grupo HFL o He leído y no deseo recibir comunicaciones por parte de PROFESSIONAL GROUP CONVERSIA S.L.U. o He leído y no deseo recibir comunicaciones por las empresas del grupo HFL  En el correo electrónico remitido sin constar fecha por la empleada de CONVERSIA, se lee: o En ambos apartados se habla de la Evaluación de Impacto como una tarea “obligatoria con el nuevo reglamento” o En el apartado de “normativa + formación bonificada” se dice que “toda la gestión de normativa se le obsequiaría a cambio de realizar 1 curso de formación de RGPD bonificado con nosotros. Es decir, tienen un coste de 420€ + IVA (508,20€). Los 420€ del curso se descontarían del seguro social del trabajador, de forma que no le cause un perjuicio económico, a través de la Fundación Tripartita” o En el apartado de “normativa” se afirma que “Toda la gestión de normativa se tramitaría por 350€ + IVA”  En los correos electrónicos remitidos con fecha de junio 2016 por un ejecutivo de cuentas de CONVERSIA, a la Consultoría en Protección de Datos de BADALONA, se describe el proceso en estos términos: o “El proceso sería el siguiente: el primer año adaptamos vuestra empresa directamente a la RGPD (lopd europea), que ya está vigente desde el mes pasado y que convivirá con la lopd durante 2 años hasta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/21 que sea derogada. Y paralelamente uno de vuestros empleados hará un curso (no tiene por qué ser el de Protección de Datos), puede ser cualquiera de los 17 cursos de que disponemos. El segundo año realizaríamos la Auditoría, para comprobar que todo esté correcto y los posibles cambios de la empresa.” o “Continuando con la propuesta cabe decir que el curso que realicéis será bonificado al 100% (420€ + IVA) y que a la vez os obsequiamos con la adaptación de vuestra empresa a la RGPD (sin coste alguno) con lo que NO afectará a vuestra cuenta de explotación.”  En el correo electrónico remitido por CONVERSIA a la empresa ACOMODA SOLUTIONS SL con fecha 11/01/2018, se lee que “El importe de esta gestión para una empresa de menos de 10 trabajadores es de 1.368 euros, los trámites comentados son obsequiados pero le recomendamos que para que no sea un incremento económico para ACOMODA SOLUTIONS SL realicen dos formaciones y recuperen 836 euros de sus seguros sociales.” En el marco de las actuaciones previas de inspección, el día 04/07/2018 se realiza una inspección presencial en las oficinas de la delegación comercial de la empresa CONVERSIA en Madrid, que además constituyen también las dependencias de la matriz del grupo de empresas a la que pertenece, Grupo HFL. Los representantes de la sociedad realizan las siguientes manifestaciones en respuesta a las cuestiones planteadas por los inspectores:  En relación a la propia empresa: a. CONVERSIA ofrece principalmente servicios de consultoría para el cumplimiento normativo en los sectores de protección de datos, prevención de blanqueo de capitales, prevención de riesgos laborales o prevención penal empresarial. Dichos servicios van orientados a micropymes de unos 3 o 4 empleados de media, aunque también tienen clientes de mayor envergadura. Adicionalmente realiza cursos de formación relacionados con la mencionada normativa y otros como Atención al Cliente, Ofimática o idiomas. b. Cuentan con unos 290 empleados y su sede central se encuentra en Riudellots de la Selva (Girona); adicionalmente tienen una sede en El Prat (Barcelona) donde se realiza la dirección comercial de la empresa y también existe un equipo de operadores para concertar citas a distancia. Por último, disponen de varias delegaciones comerciales en distintas provincias (Madrid, Valencia, Barcelona, Vizcaya, Guipúzcoa, La Coruña y Baleares). c. En las oficinas de Madrid, donde se ha realizado la presente inspección, se encuentra una de las delegaciones comerciales y la matriz del grupo de empresas, llamado HFL, a la cual pertenece la compañía CONVERSIA.  En relación al correo publicitario de la compañía remitido con fecha 11/01/2018 a la empresa ACOMODA SOLUTIONS SL, que forma parte de la denuncia que motiva la inspección: a. El correo va dirigido a una empresa que fue cliente de CONVERSIA en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/21 el periodo que va de 2011 a 2014, y se trata de un correo personalizado al destinatario al que está dirigido. Los inspectores solicitan copia del contrato firmado con dicha empresa. b. CONVERSIA no realiza campañas masivas de captación de clientes. Se vale de gestorías o asociaciones profesionales, con los que tienen firmados convenios de colaboración, siendo ellos quienes se encargan de difundir el nombre de CONVERSIA entre aquellos clientes suyos que pudieran tener necesidades en el ámbito del cumplimiento normativo en el que CONVERSIA está especializada. Los inspectores solicitan copia de un convenio de colaboración. c. La gestoría colaboradora le pasa a CONVERSIA un fichero Excel con nombres y teléfonos de contacto de aquellos clientes suyos que hayan mostrado interés en la empresa, con el propósito de que se pongan en contacto entre ellos y acuerden una cita. Esta tarea corre a cargo del equipo de operadores de tele-concierto situado en El Prat. CONVERSIA conserva dichos datos mientras trata de iniciar la relación con los potenciales clientes propuestos por la gestoría colaboradora. Los operadores se encargan de contactar con el potencial cliente por teléfono, y una vez se concierta la cita, envían un correo electrónico para confirmar los detalles de la misma con él. d. Si finalmente cuaja la relación mercantil, los datos del cliente son introducidos en la base de datos de clientes de CONVERSIA, soportada por un CRM del proveedor Sugar. En caso contrario, los datos son destruidos. e. En dicho fichero de clientes, los datos de empresas no son borrados nunca, mientras que existe un protocolo para la eliminación de los datos relativos a trabajadores autónomos. Los inspectores solicitan información de dicho protocolo, así como una impresión de pantalla donde se visualicen los datos del destinatario del correo electrónico adjuntado en la denuncia (...@acomoda.com de ACOMODA SOLUTIONS SL), ya que desde las dependencias de Madrid inspeccionadas no es posible el acceso directo a dicha información. f. CONVERSIA suele enviar “newsletter” en formato de correo electrónico a clientes activos de la compañía. g. CONVERSIA dispone de un portal web donde publicita todos sus servicios. Sin embargo, admite que captan pocos clientes a través de este medio. Respondiendo a una pregunta de los inspectores, declaran que no utilizan la modalidad de “puerta fría” para la captación de clientes (es decir, visitando establecimientos a pie de calle), ya que tienen comprobado que la eficacia del método es inferior a su sistema actual mediante colaboradores. h. Los inspectores preguntan si CONVERSIA ha recibido alguna solicitud de oposición al envío de comunicaciones comerciales o alguna reclamación al respecto. Los representantes de la empresa contestan afirmativamente. Los inspectores solicitan copia de una solicitud de oposición al envío de correos electrónicos comerciales y el dato de si la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/21 empresa ACOMODA SOLUTIONS SL ejerció dicho derecho o interpuso alguna reclamación relacionada con el envío de comunicaciones.  Respecto a los contratos que firman con sus clientes: a. Sus clientes se dividen en dos grandes grupos: aquellos que buscan únicamente servicios de consultoría pura (consistente en adaptación a la normativa de protección de datos o de cualquier otra en la que están especializados), y aquellos que están interesados en el pack de formación y consultoría que ofrecen siguiendo su propia estrategia comercial. En dicho pack, lo que se contrata y abona es el servicio de formación, primando el servicio de consultoría. El aliciente de esta opción es que el curso de formación, que se ofrece en modalidad online, cumple con las condiciones necesarias que establece la Fundación Tripartita (Fundae) para la concesión de bonificaciones (siempre que la empresa tenga un número de trabajadores y una cotización determinados), de forma que, si se dan los condicionantes, la empresa cliente podría beneficiarse de servicios de formación y consultoría con un coste menor, según los casos. b. En base a sus estadísticas, aproximadamente la mitad de sus clientes optan por consultoría pura, mientras que la otra mitad se acogen al pack de formación y consultoría. Muy pocos clientes eligen únicamente el servicio de formación. c. El contenido de los cursos de formación frecuentemente está relacionado con la normativa en la que CONVERSIA está especializada: Protección de Datos, Prevención del Blanqueo, Prevención de Riesgos Laborales, etc. Para optar al servicio de consultoría incluido en el pack no es necesario que el curso verse sobre protección de datos. d. Los inspectores muestran dos modelos de contrato que se incluyen en la denuncia: el de encomienda de organización de la formación y el de servicio de normativa vigente en materia de protección de datos. El representante de CONVERSIA declara que ambos son independientes y se utilizan en caso de que el cliente quiera contratar el servicio de formación o el de consultoría (relativa a protección de datos), respectivamente. En caso de que el cliente contrate el pack de formación y consultoría tendría que firmar ambos, pero ninguno de ellos está condicionado en su vigencia al otro. e. Aunque de la lectura del contrato de servicio de normativa vigente en materia de protección de datos se podría colegir que el servicio de Delegado de Protección de Datos es obligatorio, los representantes de CONVERSIA declaran que esto estaba redactado así en los modelos antiguos, utilizados cuando aún no se había cumplido el plazo para la aplicación del RGPD y no se tenía conocimiento de qué empresas necesitarían DPD. Los inspectores solicitan copia de los modelos actualizados que se emplean a día de hoy. f. Los inspectores preguntan sobre algunos elementos que se publicitan en el correo electrónico referido arriba como parte del servicio de adaptación al RGPD (Reglamento General de Protección de Datos): C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/21 i. Respecto al “Certificado de Cumplimiento en materia de Protección de Datos”, los representantes de CONVERSIA declaran que consistía en un cartel sin efecto legal que la empresa podría colocar en un sitio visible para informar de que se ha adaptado correctamente a la normativa. ii. En relación al “Seguro de Responsabilidad Civil en materia de Protección de Datos”, lo tienen firmado con la empresa Hicox y cubre el pago de posibles sanciones impuestas por la AEPD que tengan como causa un error en el servicio de adaptación a la normativa de protección de datos imputable a CONVERSIA y no a la empresa. iii. Por último, por “Sistema de Gestión de la Privacidad” se refieren a la documentación que ha de generar la empresa en materia de Protección de Datos (lo que figuraba en la antigua normativa con la denominación de documento de seguridad). En los dos días hábiles siguientes a la inspección, la empresa CONVERSIA aportó la siguiente documentación que se le solicitó en la misma y que no pudo aportar en el momento por no disponer de ella en las oficinas de Madrid: 1 Copia del contrato firmado con ACOMODA SOLUTIONS SL 2 Copia de un convenio de colaboración con gestoría/asociación profesional 3 Protocolo de borrado de datos de autónomos en su fichero de clientes 4 Impresión de pantalla de los datos del destinatario del correo electrónico 5 Solicitud de oposición al envío de correos electrónicos comerciales, y el dato de si la empresa ACOMODA SOLUTIONS ejerció dicho derecho o interpuso reclamación relacionada con el envío de comunicaciones 6 Modelos de contrato actualizados La empresa denunciada CONVERSIA remite la siguiente documentación: 1 Copia del contrato de servicios LOPD de CONVERSIA, firmado con fecha 12/11/2014 con el contratante ACOMODA SOLUTIONS SL con CIF B
7. Como dirección de correo electrónico figura la dirección destinataria de la comunicación comercial: ...@acomoda.com . a. En el apartado de vigencia del contrato también se observa la cláusula siguiente: “En caso de que la empresa/autónomo/administrador contratante haya suscrito con CONVERSIA un Contrato de Formación en virtud del cual CONVERSIA le obsequie con los Servicios de Asesoramiento en Protección de Datos, como modalidad de gestión para su cumplimiento de la Ley 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, el presente contrato sólo permanecerá vigente mientras continúe vigente el mencionado Contrato de Formación”. b. En el apartado de “Cumplimiento de la LSSI-CE” se lee: “En cumplimiento de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico (LSSI-CE) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/21 solicitamos su consentimiento para que PROFESSIONAL GROUP CONVERSIA S.L.U. pueda realizar comunicaciones publicitarias que considere puedan ser de su interés, y/o otras comunicaciones con el objetivo de fidelizarle, por correo electrónico o por cualquier otro medio de comunicación electrónica equivalente.”. A continuación, se observan dos casillas asociadas a las siguientes leyendas: “He leído y acepto recibir comunicaciones por parte de Professional Group Conversia S.L.U.” y “He leído y no deseo recibir comunicaciones por parte de Professional Group Conversia S.L.U.”. Ninguna de ellas se encuentra marcada. 2 Copia de un convenio de colaboración firmado con fecha 20/09/2017 por CONVERSIA y la empresa DANÉS I ASSOCIATS SL con CIF B
8. 3 Documento interno de CONVERSIA sobre la gestión de captación de datos de clientes potenciales. En él se puede leer en el apartado correspondiente que, en el caso de que el potencial cliente sea un autónomo o empresario individual, se procederá en el plazo de un mes a la supresión de la información de la que se dispone. 4 Impresión de pantalla de los sistemas de información de la empresa con los datos relativos a la cuenta de ACOMODA SOLUTIONS SL. Se observa la dirección electrónica ...@acomoda.com y los datos personales de la administradora. 5 Copia de cruces de correos electrónicos en relación a la solicitud de oposición remitida con fecha 12/07/2017 por la compañía CLUB TENIS MANACOR, acompañada de la carta de respuesta positiva remitida por CONVERSIA a un trabajador de dicha empresa, con fecha 21/07/
9. A este respecto, en el escrito de alegaciones se indica que la referida es la única solicitud de oposición a la recepción de envíos comerciales por vía electrónica de la que tiene constancia CONVERSIA en el último año. Adicionalmente, afirman haber revisado cada uno de los canales establecidos al efecto de que cualquier interesado se pueda dirigir a ellos para las posibles reclamaciones que deseen interponer o para ejercitar cualquiera de los derechos que la normativa vigente y aplicable en protección de datos les confiere; tras dicha revisión indican que no han recibido ninguna reclamación de la empresa ACOMODA SOLUTIONS SL. 6 Modelo actualizado del contrato de servicio normativa vigente en materia de protección de datos. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de protección de datos) (en adelante RGPD) reconoce a cada autoridad de control, y en virtud de las funciones establecidas en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/21 art. 12.2 del Real Decreto 428/1993, de 26 de marzo, por el que se aprueba el Estatuto de la Agencia de Protección de Datos, es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II Desde el 25 de mayo de 2018 resulta de aplicación el RGPD, cuyo artículo 13 ha desplazado al artículo 5 de la LOPD, por lo que se ha estimado oportuno analizar la información en materia de protección de datos que se ofrece a través de las webs a la que se refieren las actuaciones, para comprobar su adecuación al citado Reglamento. El artículo 13 de dicho Reglamento establece lo siguiente: “Información que deberá facilitarse cuando los datos personales se obtengan del interesado.
10. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación: a) la identidad y los datos de contacto del responsable y, en su caso, de su representante; b) los datos de contacto del delegado de protección de datos, en su caso; c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero; e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso; f) en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado.
11. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente: a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos; c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/21 consentimiento previo a su retirada; d) el derecho a presentar una reclamación ante una autoridad de control; e) si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos; f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
12. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado
14. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. La información actual que ofrecen en esta materia las cuatro entidades denunciadas, que constan detalladas en los Antecedentes de Hecho, hacen referencia al cumplimiento de lo establecido en el 13 RGPD citado, detallando los apartados que en el mismo se establecen. III El RGPD regula las relaciones entre encargados y responsables del tratamiento de datos personales en el artículo 28, indicando lo siguiente: <<
15. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiados, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado.
16. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios.
17. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado: a) tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/21 personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público; b) garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria; c) tomará todas las medidas necesarias de conformidad con el artículo 32; d) respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento; e) asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III; f) ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado; g) a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros; h) pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra h) del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros.
18. Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/21 responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado.
19. La adhesión del encargado del tratamiento a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá utilizarse como elemento para demostrar la existencia de las garantías suficientes a que se refieren los apartados 1 y 4 del presente artículo.
20. Sin perjuicio de que el responsable y el encargado del tratamiento celebren un contrato individual, el contrato u otro acto jurídico a que se refieren los apartados 3 y 4 del presente artículo podrá basarse, total o parcialmente, en las cláusulas contractuales tipo a que se refieren los apartados 7 y 8 del presente artículo, inclusive cuando formen parte de una certificación concedida al responsable o encargado de conformidad con los artículos 42 y
22. La Comisión podrá fijar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el procedimiento de examen a que se refiere el artículo 93, apartado
24. Una autoridad de control podrá adoptar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el mecanismo de coherencia a que se refiere el artículo
26. El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 constará por escrito, inclusive en formato electrónico.
27. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento.>> Muchas de las empresas denunciadas, han presentado los contratos de prestación de servicios con encargadas, que no se adecúan en su totalidad a las previsiones del RGPD. No obstante, la Disposición transitoria segunda del Real Decreto-ley 5/2018, de 27 de julio, de medidas urgentes para la adaptación del Derecho español a la normativa de la Unión Europea en materia de protección de datos determina en la Disposición transitoria segunda lo siguiente: Los contratos de encargado del tratamiento suscritos con anterioridad al 25 de mayo de 2018 al amparo de lo dispuesto en el artículo 12 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal mantendrán su vigencia hasta la fecha de vencimiento señalada en los mismos y en caso de haberse pactado de forma indefinida, hasta el 25 de mayo de
28. Durante dichos plazos cualquiera de las partes podrá exigir a la otra la modificación del contrato a fin de que el mismo resulte conforme a lo dispuesto en el artículo 28 del Reglamento (UE) 2016/
29. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/21 Las empresas denunciadas deberán adecuar los contratos de prestación de servicios a las exigencias legales mencionadas. IV Por último, y acerca del tratamiento de los datos que efectúan estas empresas en sus relaciones con los clientes, en primer lugar, la normativa de protección de datos no es aplicable a los datos de personas jurídicas. Además, el artículo 6 del RGPD referido a los supuestos de licitud del tratamiento, establece lo siguiente:
30. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;… f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. El origen de los datos sometidos a tratamiento, para el envío de información son los propios afectados que han solicitado información sobre los cursos y/o adecuación al RGPD, o representantes de entidades jurídicas que no se han opuesto al envío de información. Por ello, tenían legitimación para el tratamiento de los datos, bien en los dos apartados a y b del artículo 6 del RGPD o, en el caso de representantes de personas jurídicas, en el apartado f). V El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/21 No obstante, la Agencia Española de Protección de Datos, ante la posibilidad de que los hechos denunciados pudiesen afectar a las competencias de otros organismos, procede al traslado de esta Resolución a los mismos para su conocimiento y a los efectos oportunos. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
31. PROCEDER AL ARCHIVO de las presentes actuaciones.
32. NOTIFICAR la presente Resolución a ATTIVA DESARROLLO Y FORMACION S.L., a AUDIDAT FRANQUICIA, S.L., a CONSULTING NORMATIVO S.L., a LAE CONSULTING NORMATIVAS S.L., a PROFESSIONAL GROUP CONVERSIA, S.L.U. y a la ASOCIACION PROFESIONAL ESPAÑOLA DE PRIVACIDAD.
33. COMUNICAR a los efectos oportunos la Resolución al Organismo Estatal Inspección de Trabajo y Seguridad Social; al Servicio Público de Empleo Estatal; a la Fundación Estatal para la Formación en el Empleo; a la Agencia Estatal de Administración Tributaria; a la Agencia Estatal de la Administración Tributaria; y a la Comisión Nacional de los Mercados y de la Competencia. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es