E-03448-2020

1/4  Procedimiento Nº: E/07875/2018 E/03448/2020 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por la reclamante tiene entrada con fecha 12/10/2018 en la Agencia Española de Protección de Datos. La reclamación se dirige contra ALUMNIUS CORP, (en adelante, el reclamado), por una presunta vulneración de los artículos 6 y del 17 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD). Los motivos en que basa la reclamación son:  Publicación de sus datos personales sin haber dado su consentimiento en la web https://graduates.name. Dicha web no facilita información alguna sobre la forma en que los usuarios pueden ejercer sus derechos y por tanto no puede solicitar la eliminación de dichos datos. Junto a la reclamación aporta la url donde aparece la información: https://graduates.name/universitat_autnoma_de_barcelona-2252191#id368469819 . SEGUNDO: Según las primeras actuaciones llevadas a cabo por esta Agencia se pudo comprobar, según los datos de la web, que ALUMNIUS CORP tiene su establecimiento principal en Chipre. TERCERO: Con fecha 22/11/2018, la citada reclamación se trasladó, a través del “Sistema de Información del Mercado Interior” (IMI), a la autoridad de control de Chipre (Office of the Commisioner for Personal Data Protection) por ser la competente para actuar como autoridad de control principal, a tenor de lo dispuesto en el artículo 56.1 del RGPD. CUARTO: El 10/12/2018, en comunicación enviada por la Autoridad de Control de Chipre, se informa a esta Agencia que no existe ninguna compañía con ese nombre registrada en Chipre. También se informa que, tras personarse un miembro de esa Autoridad en la dirección que se proporciona en el sitio web, se comprueba que no existe establecimiento de dicha compañía en esa dirección. A la luz de estas averiguaciones, solicitan a esta Agencia que informen a la reclamante que el caso se va a comunicar a la policía de ese país, para lo cual es necesario que la reclamante facilite sus datos a la policía por si fuese necesario contactar con ella en el curso de la investigación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 QUINTO: Con fecha 27/02/2019 y con número de entrada 010250/2019, se recibe autorización de la reclamante para comunicar sus datos a la policía chipriota, hecho que es puesto en conocimiento de la autoridad chipriota el 4/03/2019. SEXTO: Con fecha 12/11/2019, se solicita información a la autoridad chipriota sobre el curso de la investigación, a lo que responden el 18/12/2019 informando que la web está alojada en Rusia, por lo que no hay conexión alguna con Chipre. SÉPTIMO: Con fecha 3/02/2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la reclamante. OCTAVO: En una comunicación enviada por la autoridad chipriota se informa que han localizado a la persona que ha registrado el dominio de la página donde aparecen los datos de la reclamante y, tras solicitar la supresión de sus datos personales, el responsable ha accedido a eliminarlos. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), de plena aplicación desde el 25 de mayo de 2018, reconoce a cada autoridad de control, es competente para resolver esta reclamación la Directora de la Agencia Española de Protección de Datos, de conformidad con el artículo 12.2, apartados

1. i)y
2. j)del Real Decreto 428/1993, de 26 de marzo, por el que se aprueba el Estatuto de la Agencia de Protección de Datos (en adelante, RD 428/1993) y la Disposición transitoria primera de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). II De conformidad con lo establecido en el artículo 55 del Reglamento (UE) 2016/679, de 27 de abril de 2016, General de protección de Datos (RGPD), la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Por otro lado, el RGPD en su artículo 61.1, referido a los casos de asistencia mutua entre autoridades, establece que las Autoridades de Control se facilitarán información útil y se prestarán asistencia mutua a fin de aplicar el presente Reglamento de manera coherente, y tomarán medidas para asegurar una efectiva cooperación entre ellas. La asistencia mutua abarcará, en particular, las solicitudes de información y las medidas de control, como las solicitudes para llevar a cabo autorizaciones y consultas previas, inspecciones e investigaciones. III En este caso, se ha presentado con fecha 12/10/2018 en la Agencia Española de Protección de Datos una reclamación contra ALUMNIUS CORP., por una presunta vulneración de los artículos 6 y del 17 del RGPD. La citada reclamación se trasladó a la Autoridad de Control de Chipre por ser la competente para actuar como autoridad de control principal, a tenor de lo dispuesto en el artículo 56.1 del RGPD. Tras la investigación llevada a cabo por la Autoridad de Control de Chipre, se llega a la conclusión de que el responsable no tiene su establecimiento en dicho Estado Miembro y no procede continuar con el procedimiento de ventanilla única según lo dispuesto en el artículo 60 del RGPD. No obstante, como continuación a las investigaciones iniciadas por dicha Autoridad, consiguen contactar con el responsable de gestionar el dominio de la web, accediendo a eliminar los contenidos objeto de la reclamación. De las observaciones llevadas a cabo por esta Agencia, a fecha 1/04/2020 se constata que el citado contenido ha sido eliminado. IV En este caso, se estima que no resulta procedente continuar con las actuaciones iniciadas al haber desaparecido el objeto de la reclamación, debiéndose acordar, en consecuencia, el archivo de la reclamación examinada. Todo ello sin perjuicio de que la Agencia, aplicando los poderes de investigación y correctivos que ostenta, pueda llevar a cabo posteriores actuaciones relativas al tratamiento de datos referido en la reclamación. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
3. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es