1/6 Procedimiento Nº: E/03281/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante FREIGHT FORWARDERS NETWORK SOLUTIONS, S.L., en virtud de reclamación presentada por D. A.A.A. (en adelante, el reclamante) y teniendo como base los siguientes: HECHOS PRIMERO: La reclamación interpuesta por el reclamante tiene entrada con fecha 17 de diciembre de 2018 en la Agencia Española de Protección de Datos. La reclamación se dirige contra FREIGHT FORWARDERS NETWORK SOLUTIONS, S.L., con NIF B85804250 (en lo sucesivo, Freight). Los motivos en que basa la reclamación son en que el 30 de noviembre de 2018 la Agent Coordinador Assistant perteneciente a la empresa The Cooperative Logistics Netrwort, les envía un correo amenazando de hacer público a los 2846 “freight forwarders” que tiene en su base de datos, una supuesta mala situación económica de la compañía en la que trabaja el reclamante (Cargore Logistics Europe, S.A.). Así las Cosas, en la amenaza se incluye información sustraída de la página web de Cargocare Logistics, consistiendo en fotografías de dos trabajadores, la del reclamante y la del presidente de la misma, además de nombres, apellidos, nombre de la empresa, dirección de la oficina y teléfono. Posteriormente, con fecha 12 de diciembre de 2018 la amenaza se hizo realidad e hicieron públicas tales afirmaciones. SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a solicitar información acerca de lo siguiente: Con fecha 25 de enero de 2019 fue trasladada a Freight la reclamación presentada para su análisis y comunicación al denunciante de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. En la misma fecha se le comunicaba al reclamante la recepción de la reclamación y su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 traslado a la entidad reclamada. TERCERO: Con fecha 18 de marzo de 2019, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y a los efectos previstos en su artículo 64.2, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. CUARTO: El servicio de Soporte del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada certifica que a través de dicho servicio se envió la notificación con el siguiente resultado: Fecha de puesta a disposición: 25/01/2019 y Fecha de rechazo automático: 05/02/2019. Asimismo, Correos certifica que, de acuerdo con la información existente en el Sistema de Información: 1º Intento de entrega el 08/02/2019 a las 12:42, 2º Intento de entrega el 11/02/2019. Ha resultado Devuelto a Origen por Sobrante (No retirado en oficina) el 19/02/2019. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de estas. Asimismo, el artículo 65 de la LOPDGDD, establece que: “1. Cuando se presentase ante la Agencia Española de Protección de Datos una reclamación, esta deberá evaluar su admisibilidad a trámite, de conformidad con las previsiones de este artículo. 2. La Agencia Española de Protección de Datos inadmitirá las reclamaciones presentadas cuando no versen sobre cuestiones de protección de datos personales, carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de la existencia de una infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 3. Igualmente, la Agencia Española de Protección de Datos podrá inadmitir la reclamación cuando el responsable o encargado del tratamiento, previa advertencia formulada por la Agencia Española de Protección de Datos, hubiera adoptado las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos y concurra alguna de las siguientes circunstancias:
- a)Que no se haya causado perjuicio al afectado en el caso de las infracciones previstas en el artículo 74 de esta ley orgánica.
- b)Que el derecho del afectado quede plenamente garantizado mediante la aplicación de las medidas. 4. Antes de resolver sobre la admisión a trámite de la reclamación, la Agencia Española de Protección de Datos podrá remitir la misma al delegado de protección de datos que hubiera, en su caso, designado el responsable o encargado del tratamiento o al organismo de supervisión establecido para la aplicación de los códigos de conducta a los efectos previstos en los artículos 37 y 38.2 de esta ley orgánica. La Agencia Española de Protección de Datos podrá igualmente remitir la reclamación al responsable o encargado del tratamiento cuando no se hubiera designado un delegado de protección de datos ni estuviera adherido a mecanismos de resolución extrajudicial de conflictos, en cuyo caso el responsable o encargado deberá dar respuesta a la reclamación en el plazo de un mes. 5. La decisión sobre la admisión o inadmisión a trámite, así como la que determine, en su caso, la remisión de la reclamación a la autoridad de control principal que se estime competente, deberá notificarse al reclamante en el plazo de tres meses. Si transcurrido este plazo no se produjera dicha notificación, se entenderá que prosigue la tramitación de la reclamación con arreglo a lo dispuesto en este Título a partir de la fecha en que se cumpliesen tres meses desde que la reclamación tuvo entrada en la Agencia Española de Protección de Datos.” Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del RGPD, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 En el presente caso, se ha recibido en esta Agencia la reclamación presentada por el reclamante contra Freight por una presunta vulneración de lo señalado en el artículo 6 del RGPD en relación con la licitud en el tratamiento de datos por la entidad denunciada. De conformidad con la normativa expuesta, con carácter previo a la admisión a trámite de esta reclamación, se dio traslado de la misma, para que procediese a su análisis y diera respuesta al reclamante y a esta Agencia en el plazo de un mes. Asimismo, se solicitó al reclamado copia de la comunicación remitida por el mismo al reclamante a propósito de la reclamación, informe sobre las causas que motivaron la incidencia producida y detalle de las medidas adoptadas para evitar situaciones similares. Por otro lado, se acusó recibo de la reclamación presentada por la reclamante, informándole además de su traslado y del requerimiento hecho a éste para que en el plazo de un mes informase a esta Agencia de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Pues bien, de la documentación aportada por el reclamante que obran en el expediente, se considera procedente acordar el archivo de las presentes actuaciones. El reclamante, en su escrito de reclamación relata la siguiente información: “el 30 de noviembre de 2018 la Agent Coordinador Assistant perteneciente a la empresa The Cooperative Logistics Netrwort, les envía un correo amenazando de hacer público a los 2846 “freight forwarders” que tiene en su base de datos, una supuesta mala situación económica de la compañía en la que trabaja el reclamante (Cargore Logistics Europe, S.A.). Así las Cosas, en la amenaza se incluye información sustraída de la página web de Cargocare Logistics, consistiendo en fotografías de dos trabajadores, la del reclamante y la del presidente de la misma, además de nombres, apellidos, nombre de la empresa, dirección de la oficina y teléfono”. Sobre este particular, debemos señalar que se trata de una información sobre el funcionamiento de una empresa. Sus datos aparecen como representantes y la difusión se ha hecho en el ámbito empresarial. El artículo 2, Ámbito de aplicación material, del RGPD señala que: “1. El presente Reglamento se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero. 2. El presente Reglamento no se aplica al tratamiento de datos personales:
- a)en el ejercicio de una actividad no comprendida en el ámbito de aplicación del Derecho de la Unión;
- b)por parte de los Estados miembros cuando lleven a cabo actividades comprendidas en el ámbito de aplicación del capítulo 2 del título V del TUE;
- c)efectuado por una persona física en el ejercicio de actividades C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 exclusivamente personales o domésticas;
- d)por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluida la de protección frente a amenazas a la seguridad pública y su prevención. 3. El Reglamento (CE) n.º 45/2001 es de aplicación al tratamiento de datos de carácter personal por parte de las instituciones, órganos y organismos de la Unión. El Reglamento (CE) n.º 45/2001 y otros actos jurídicos de la Unión aplicables a dicho tratamiento de datos de carácter personal se adaptarán a los principios y normas del presente Reglamento de conformidad con su artículo 98. 4. El presente Reglamento se entenderá sin perjuicio de la aplicación de la Directiva 2000/31/CE, en particular sus normas relativas a la responsabilidad de los prestadores de servicios intermediarios establecidas en sus artículos 12 a 15”. En este mismo sentido el artículo 2 de la LOPDPGDD siguiendo al RGPD, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de estos datos señala que se aplica “Al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero”. Hay que tener en cuenta que las personas a las que se refiere esta protección de datos son las físicas, puesto que el derecho fundamental establecido en el art. 18.4 de la C.E. lo es de los ciudadanos y RGPD lo es en relación a la protección de las personas físicas. Así, el Considerando 14 del Reglamento 2016/679/UE señala que: “La protección otorgada por el presente Reglamento debe aplicarse a las personas físicas, independientemente de su nacionalidad o de su lugar de residencia, en relación con el tratamiento de sus datos personales, y que el presente Reglamento no regula el tratamiento de datos personales relativos a personas jurídicas y en particular a empresas constituidas como personas jurídicas, incluido el nombre y la forma de la persona jurídica y sus datos de contacto” Es por ello que el ámbito donde tendrá que dilucidarse lo invocado por el reclamante deberá ser otro a la luz de lo establecido en la normativa sobre protección de datos. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 2. NOTIFICAR la presente resolución a FREIGHT FORWARDERS NETWORK SOLUTIONS, S.L. y a D. A.A.A.. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es