1/4 Procedimiento Nº: E/05320/2018 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por Dña. A.A.A. (en adelante, la reclamante) tiene entrada con fecha 26 de junio de 2018 en la Agencia Española de Protección de Datos. La reclamación se dirige contra Condé Nast International, (en adelante, el reclamado). Los motivos en que basa la reclamación son: La reclamante manifiesta que visitó dos webs propiedad de Condé Nast: “teen vogue” y “ars technica”, ambos sitios tienen políticas de privacidad que informan que al aceptar la casilla correspondiente, se autoriza la cesión de datos a terceros. Así las cosas, le informan que se puede revocar el consentimiento, pero para ello debe ir al sitio web del tercero, resultando que no consiguió efectuar dicha revocación. Eso sí, utilizó los formularios de contacto, envió una solicitud a “teen vogue” y “ars technica” preguntó por la forma de revocar el consentimiento de cesión de datos a terceros y también para conocer qué datos se habían cedido a estos vendedores. Pues bien, no obtuvo respuesta a dichos requerimientos. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: Ediciones Condé Nast S.A. no es titular de los dominios “www.teenvogue.com” y “arstechnica.com” por lo que no puede dar respuesta al reclamante Según figura en Whois la entidad administradora de dichos dominios es Advance Magazine Group, One world Trade Center 10007 New York, US Por otra parte, la política de seguridad que figura en www.condenast.com, las Agencias Europeas de Protección de Datos deben dirigir sus requerimientos a Condé Nast International The Adelphi, 1-11 John Adam Street - WC2N6HT London, a dicha dirección se ha enviado un requerimiento de información en fecha 15/02/2019 al objeto de conocer la gestión de datos personales realizado a través de las direcciones web www.teenvogue.com y arstechnica.com Los representantes de la entidad manifiestan que la información que se solicita está en poder de la empresa matriz, Condé Nast, en los Estados Unidos. Condé Nast International en el Reino Unido es el Representante en la Unión Europea, en virtud del Reglamento UE 2016/679 ("RGPD"), del responsable del tratamiento en los EE.UU. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4
- Información facilitada a los usuarios sobre la transmisión de datos a terceros: La Política de Privacidad se encuentra en el enlace https:/fwww.condenast.com/prjvagy-policy/#privacypolicy. Un visitante europeo también verá en la página un banner de consentimiento, que informa de la recogida de con el Centro de Preferencias, donde el propio visitante podrá elegir la opción de exclusión voluntaria, así como un link con la Política de Privacidad.
- Procedimiento para revocar el consentimiento de la transmisión a terceros. La Política de Privacidad hace mención expresa de los derechos del titular de los datos en virtud del RGPD la reclamante ha enviado un correo electrónico al Coordinador de la Política de Privacidad pidiéndonos la limitación del tratamiento mediante la exclusión voluntaria de cualquier difusión de sus datos. El día 26 de junio el Coordinador de la Política de Privacidad admitió la solicitud de la reclamante, confirmando que quedaría excluida de cualquier transmisión de sus datos a terceros, y esta actuación se completó el 28 de junio. Aportan mensajes de correo electrónico de la reclamante.
- Detalles de las entidades a las que ha sido transmitida la información de la solicitante: Los datos personales de la solicitante no han sido compartidos con terceros. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 presentadas por un interesado e investigar el motivo de las mismas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. III En el presente caso, se ha recibido en esta Agencia la reclamación presentada por el reclamante contra el reclamado por la presunta vulneración del artículo 6 del RGPD que garantiza la licitud del tratamiento. En el presente caso, la reclamante solicitó tanto revocar el consentimiento de cesión de datos a terceros, como conocer qué datos se habían cedido, no obteniendo respuesta. De conformidad con la normativa expuesta, con carácter previo a la admisión a trámite esta reclamación, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación. Como resultado de las investigaciones realizadas por la Agencia, el reclamado manifiesta que la reclamante envió un correo electrónico al Coordinador de la Política de Privacidad solicitando la limitación del tratamiento mediante la exclusión voluntaria de cualquier difusión de sus datos. Es importante resaltar, que el 26 de junio de este año el Coordinador de la Política de Privacidad admitió la solicitud de la reclamante, confirmando que quedaría excluida de cualquier transmisión de sus datos a terceros, y esta actuación se completó el día 28 siguiente. Teniendo lo anterior en cuenta, es de señalar que los datos personales de la reclamante no han sido compartidos con terceros. Por este motivo, la Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 acuerda el archivo de estas actuaciones, al considerarse solventada la concreta reclamación. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es