E-05791-2015

1/12 Expediente Nº: E/05791/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos en relación con las sociedades AMAZON EU SARL SUCURSAL EN ESPAÑA, AMAZON SPAIN FULFILLMENT, S.L. y AMAZON SPAIN SERVICES, S.L. y teniendo como base los siguientes HECHOS PRIMERO: En fecha 10 de septiembre de 2015 se dictó resolución en el procedimiento de tutela de derechos TD/00622/2015, desestimando la reclamación presentada contra AMAZON SPAIN SERVICES, S.L., por un usuario al que se le había denegado el registro en la plataforma de comercio electrónico www.amazon.es, al tener constancia la compañía de su historial de compras y devoluciones, aun a pesar de haber atendido positivamente una solicitud previa de cancelación de datos. En la resolución se argumenta: “Atendiendo a los criterios recogidos en la Sentencia de la Audiencia Nacional de 2 de diciembre de 2014, antes citada, no es posible concluir en este momento que el tratamiento objeto de la presente tutela de derechos se encuentre sujeto a la Ley Orgánica 15/1999, de 13 de diciembre, sin perjuicio de que se proceda a abrir un expediente de Actuaciones de Investigación Previa (E/05791/2015) respecto de la naturaleza de las actividades desarrolladas por Amazon Spain.” SEGUNDO: En el marco de las Actuaciones de Investigación Previa realizadas se ha tenido conocimiento de los siguientes extremos: 1. En el expediente TD/00622/2015 figura copia de las políticas de privacidad vigentes actualmente y de las vigentes en 2012 en el sitio web www.amazon.es. A través del sitio web https://web.archive.org se ha obtenido copia de las condiciones vigentes desde el 6 de septiembre de 2011, es decir, desde el inicio de operaciones del sitio web www.amazon.es. En las tres versiones se informa de que “Toda información personal que facilite o se recoja a través de Amazon.es será tratada principalmente por Amazon EU SARL, Amazon Services Europe SARL y Amazon Media EU SARL, los responsables del tratamiento. Las tres sociedades mencionadas tienen su domicilio (C/...1), Luxemburgo.” En fecha 22 de junio de 2015 tuvo entrada en esta Agencia un escrito de Amazon EU, ARL (en adelante AEU) en el que exponía que los servicios de venta minorista proporcionados a través de los sitios web europeos de Amazon, incluyendo los del sitio www.amazon.es, son proporcionados por esa compañía. 2. El dominio amazon.es, está registrado a nombre de AMAZON EUROPE HOLDING TECHNOLOGIES SCS, con sede en Luxemburgo. 3. Se ha obtenido información de las siguientes sociedades, a partir de las correspondientes inscripciones en el Registro Mercantil Central: 3.1. AMAZON SPAIN SERVICES, S.L. (en adelante ASPA), con fecha de comienzo de operaciones 1 de enero de 2006 y objeto social: “la prestación fundamentalmente a sociedades del grupo, de asistencia y soporte en relación con servicios administrativos, de contabilidad, financieros, técnicos y otros C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12 servicios técnicos corporativos relacionados con actividades de marketing”. 3.2. AMAZON SPAIN FULFILLMENT SL, (en adelante ASF) con fecha de comienzo de operaciones 12 de noviembre de 1998 y objeto social: “la prestación de servicios relacionados con las actividades de almacenaje, recogida, empaquetado y gestión de pedidos de clientes y proveedores”. 3.3. AMAZON EU SARL SUCURSAL EN ESPAÑA, (en adelante AEU ESPAÑA) con fecha de inicio de operaciones el 11 de febrero de 2015 y objeto social: “adquisición y distribución de productos físicos y servicios a través de las páginas web de amazon.es y es.buyvip.com y realización de operaciones comerciales, industriales o financieras, gestión y administración de dichas actividades”. 4. ASPA ha aportado a la Inspección copia de dos contratos de prestación de servicios suscritos con AEU, uno firmado el 1 de julio de 2014 y otro firmado el 1 de mayo de 2015, que es el que está en vigor. El contrato de 2014 especifica que ASPA prestará a AEU los siguientes servicios:

1. a)Administración de los recursos humanos.
2. b)Contabilidad y gestión de nóminas
3. c)Gestión de tesorería y caja
4. d)Asistencia para la contratación de seguros y servicios relacionados con éstos.
5. e)Planificación y gestión de los impuestos y tributos.
6. f)Asesoría Legal.
7. g)Asistencia en la contratación de servicios y en la compra de productos a proveedores.
8. h)Gestión de servicios de administración, financieros y de negocio.
9. i)Gestión electrónica de documentos y tratamientos de datos.
10. j)Marketing.
11. k)Relaciones con el cliente.
12. l)Asistencia técnica
13. m)Otros que se acuerden Los servicios indicados en g),
14. j)y
15. k)no figuran entre los contratados en 2015. Ambos contratos prevén la posibilidad de subcontratación de los servicios descritos a un tercero sin el consentimiento de AEU siempre y cuando el tercero preste los servicios de la misma forma y con los mismos estándares de calidad que ASPA. ASPA ha aportado copia de un contrato de encargo de tratamiento de datos firmado el 11 de noviembre de 2015, en el que se establecen las obligaciones de ASPA para con AEU en relación con el de tratamiento de datos a los que la primera tendrá acceso al prestar servicios a la segunda. 5. ASF ha aportado a la Inspección copia del contrato de prestación de servicios suscrito con AEU el 17 de octubre de 2014. El contrato especifica que ASF prestará a AEU los siguientes servicios: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 - El depósito, almacenaje y la salvaguarda del inventario de productos. - La gestión del inventario. - La producción, ensamblado y renovación de bienes - El empaquetado, etiquetado y envío de productos - El mantenimiento de unas existencias adecuadas de embalajes - La gestión de las devoluciones de productos - Otros que se acuerden ASF ha aportado a la Inspección copia de un contrato de encargo de tratamiento de datos firmado el 11 de noviembre de 2015, en el que se establecen las obligaciones de ASF para con AEU, en relación con el de tratamiento de datos a los que la primera tendrá acceso al prestar servicios a la segunda. 6. Durante las inspecciones realizadas los días 21 de diciembre de 2015 y 3 de febrero de 2016 en el establecimiento de ASPA y ASF, se realizaron consultas a los representantes y empleados de las entidades inspeccionadas en relación con: la operativa de ambas, la relación de esas dos entidades con AEU ESPAÑA y los tratamientos de datos personales que ambas realizan para AEU, en virtud de los contratos citados. En relación con los tratamientos de datos personales se sintetizan a continuación las manifestaciones más relevantes: Número de empleados En el periodo en el que se practicaron las inspecciones el número de empleados de las entidades implicadas en la investigación era de:  AEU: Más de 1.000 empleados.  AEU ESPAÑA: 166 empleados.  ASPA: 144 empleados.  ASF: 493 empleados. Relaciones entre las entidades españolas 6.1. ASF no tiene relación con ASPA en su operativa, ni en lo que al tratamiento de datos de refiere. Ambas entidades tratan datos para AEU pero sus procesos de negocio son independientes. 6.2. La creación de AEU ESPAÑA fue fruto de la decisión de AEU de asignar a dicha entidad determinadas funciones que anteriormente prestaba ASPA para AEU. Esas funciones son el apoyo a la gestión de las compras y relaciones con proveedores y el soporte financiero de AEU para las compras realizadas a proveedores españoles. El servicio es de apoyo ya que el contrato lo firma el proveedor con AEU, no con AEU ESPAÑA. Servicios prestados 6.3. Gestión de personal ASPA hace las funciones de un primer filtro en los procesos de selección de personal cuando AEU o alguna de las filiales en Luxemburgo quiere contratar a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 una persona que reside en España para un puesto en Luxemburgo y también cuando AEU ESPAÑA quiere contratar a alguien, pero en todos los casos la decisión final es de la entidad con la que se firma el contrato, AEU, AEU ESPAÑA o la filial luxemburguesa de que se trate. Los contratos de los empleados de AEU ESPAÑA se firman con dicha sociedad. Los empleados de AEU ESPAÑA se encuentran ubicados en la misma sede que ocupa ASPA, que proporciona a esta entidad servicios comunes como recepción, mantenimiento del edificio, etc… AEU ESPAÑA no dispone de departamento de recursos humanos por lo que algunas de las funciones de dicho departamento como la selección de personal y la formación son realizadas por ASPA, mientras que otras como la elaboración de nóminas, asignación de complementos salariales variables, son realizadas por AEU. 6.4. Asesoría legal ASPA presta servicios de asesoría legal local tanto a AEU como a AEU ESPAÑA en aquellos casos en los que interviene el derecho español. En los casos en los que interviene derecho de otros países de la Unión prestan soporte, además de los servicios jurídicos de ASPA, también lo prestan los de otras empresas del grupo. 6.5. Tratamiento de datos y gestión de documentos electrónicos Los servicios de informática del grupo están centralizados en Luxemburgo y las aplicaciones que se utilizan en ASPA y ASF son las mismas que se utilizan en el resto de las entidades del grupo. Todos los sistemas de información del grupo son administrados y mantenidos por empleados de AEU en Luxemburgo. Ninguna de las personas que trabaja en ASPA o ASF dispone de un perfil de administrador de los sistemas de información. 6.6. Marketing Este es uno de los servicios contratados por AEU inicialmente a ASPA y que actualmente tiene contratados a AEU ESPAÑA. Los servicios de marketing no tratan con datos de los clientes del sitio web www.amazon.es, sino que tienen relación con la captación de comerciantes de productos físicos (no digitales) que deseen vender sus productos a través del sitio web de www.amazon.es. El servicio también incluye la captación de anunciantes que deseen contratar espacios publicitarios dentro del sitio web www.amazon.es. Ni ASPA ni ASF envían comunicaciones comerciales o elaboran sugerencias de compra destinadas a los clientes del sitio web www.amazon.es. 6.7. Relaciones con los clientes Este es uno de los servicios contratados por AEU inicialmente a ASPA y que actualmente tiene contratados a AEU ESPAÑA. La gestión de las relaciones con los clientes se realiza a través de “call centers” que firman contratos de prestación de servicios con AEU. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 Cuando alguno de esos “call centers” recibe una consulta que no se ve capaz de atender lo pone en conocimiento de ASPA a través del Customer Services Central (CSC) o a través del envío de un correo electrónico a las personas que pueden responder a dicha consulta. Las consultas pueden pero no suelen incluir datos personales ya que los operadores de los “call center” que las transmiten acostumbran a plantearlas de manera impersonal (“Un cliente pregunta que…”). ASF no tiene contacto directo con los clientes. 6.8. Asistencia técnica ASPA dispone de dos personas, y ASF de una, que prestan el soporte de microinformática a sus respectivas entidades. AEU ESPAÑA no dispone de servicio de soporte de microinformática por lo que ASPA se lo presta con su propio personal. 6.9. Logística del empaquetado, etiquetado y envío de productos ASF realiza tareas relacionadas con la logística del empaquetado, etiquetado, envíos y devoluciones de productos adquiridos tanto en el sitio web www.amazon.es como en el resto de los sitios web de AEU, ya que los objetos vendidos en una determinada tienda web pueden estar almacenados en otros países. En el sitio web www.amazon.es se venden productos tanto comercializados directamente por AEU como por diferentes vendedores o “sellers”. Entre los vendedores se distinguen dos tipos, los vendedores simples que comercializan sus productos a través del sitio web www.amazon.es y los “FBA selller” que, además de proporcionar el producto para su venta, también contratan con AMAZON SERVICES EUROPE el servicio de logística (empaquetado, etiquetado y entrega de pedidos), que es llevado a cabo finalmente por ASF, entre otras compañías de servicios logísticos del grupo. Los “FBA seller” no reciben información sobre los clientes, ya que los pedidos son gestionados directamente por AMAZON SERVICE EUROPE. Los vendedores simples reciben de los sistemas informáticos de AEU la información mínima necesaria para la gestión del pedido, que consiste en: nombre, apellidos, dirección de envío y de facturación y la relativa a los productos adquiridos. Los clientes que realizan pedidos a través del sitio web www.amazon.es son clientes de AEU, independientemente de que el producto sea vendido directamente por AEU o por uno de los vendedores, sean del tipo que sean. AEU dispone de una herramienta integrada en su sitio web que permite, en el caso de que el cliente lo requiera, contactar con el vendedor simple de forma anonimizada, es decir, sin que el vendedor tenga acceso a otros datos de contacto del cliente como el correo electrónico o el teléfono. El CSC es un sistema común a todas las tiendas web del grupo proporcionado y mantenido desde AEU en Luxemburgo 6.10.Devoluciones Cuando un cliente desea devolver un producto debe de indicarlo así en el sitio web www.amazon.es, donde podrá imprimir un documento denominado RMA y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 una etiqueta con un código de barras que en ambos casos identifica la devolución del pedido. Una vez que el cliente deposita el paquete con el producto devuelto en la oficina de Correos más cercana, ésta lo entrega en las instalaciones de ASF. Al llegar el producto a los almacenes de ASF este se desempaqueta, se inspecciona para comprobar si está en buen estado y, en caso necesario, se verifican las indicaciones del cliente, para ver si el motivo de la devolución es coherente con el estado del producto. 7. Durante las inspecciones se realizan comprobaciones sobre los sistemas de información de ASPA y ASF en las que se constatan los siguientes hechos: 7.1. Tanto en ASPA como en ASF existen usuarios con acceso al CSC. El CSC permite acceder a la información de los clientes, si bien la información accesible y las operaciones que se pueden realizar sobre dicha información dependen del perfil del usuario. 7.2. Un usuario con perfil del departamento legal de ASPA puede ver una ficha de cliente que contiene datos sobre pedidos, métodos de pago, transacciones, devoluciones y reembolsos, direcciones, suscripciones, anotaciones, dispositivos y biblioteca digital. Dentro de los datos accesibles se encuentran el nombre y apellidos del cliente, su dirección postal de facturación y de envío y su dirección de correo electrónico. En relación con los medios de pagos utilizados únicamente se ven los últimos 4 dígitos y la fecha de caducidad. El sistema permite realizar búsquedas de clientes a partir de una dirección de correo electrónico. ASPA manifiesta en relación a estos accesos que:  Únicamente hay 2 usuarios con acceso a CSC en el departamento legal de ASPA.  Los accesos de los usuarios del departamento legal se producen únicamente en los casos excepcionales en los que una reclamación presentada por un cliente no pueda ser resuelta por el servicio de atención al cliente de AEU.  El acceso se utiliza únicamente cuando los datos facilitados por el servicio de atención al cliente no son suficientes para poder responder a la reclamación planteada. 7.3. Un usuario con perfil del departamento “Shopping and delivery experience” de ASPA, cuya finalidad es analizar la experiencia de compra de los clientes del sitio web, puede acceder a los mismos datos que el perfil previamente descrito y además a una nueva sección denominada “Listas” que contiene las listas de productos que el cliente ha establecido como futuras posibles compras (“Wishlist”). ASPA manifiesta en relación a estos accesos que el área de “Shopping and delivery experience” trabaja generalmente con datos agregados de clientes ya que es lo más útil de cara a realizar su función, pero disponen de acceso a los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 datos de los clientes con la finalidad de poder comprobar detalles de casos concretos. 7.4. El sistema de información utilizado por los empleados de ASF que gestionan las devoluciones no muestra los datos del cliente. Los empleados manifiestan que únicamente se muestran los comentarios del cliente si éste los ha proporcionado al registrar la devolución en el sitio web. 7.5. Los empleados de ASF que trabajan en el departamento de devoluciones y que tienen un perfil de “Problem solver”, son los encargados de gestionar aquellas devoluciones en las que el proceso se complica por una discrepancia entre la información recuperada del RMA y el paquete recibido. Los empleados con este perfil pueden acceder al CSC y consultar datos sobre envíos y pedidos, anotaciones, pagos y transacciones, devoluciones y reembolsos, concesiones, cronología y formularios, a través de una página sin datos personales que permite notificar incidencias en los envíos a terceros (p.e. transportistas y vendedores). En la sección que muestra los pagos, únicamente se ven los últimos 4 dígitos de los medios de pago utilizados. Consultado el empleado con perfil de “Problem solver” que muestra el uso del sistema a los inspectores actuantes, éste manifiesta que desconoce si existe una forma de buscar clientes concretos a través de su correo electrónico u otro criterio, ya que siempre utilizan el sistema de la misma forma, accediendo a los datos de las devoluciones a través del código de barras incluido en el RMA. 7.6. Los empleados de ASF que realizan su tarea en el almacén y área de empaquetado únicamente podrían tener acceso a los datos de los clientes de AEU que figuran en las pegatinas que se adhieren a sobres o paquetes y en las facturas de los pedidos. Durante la inspección realizada se comprueba que:  Las facturas no se imprimen para cada paquete, sino a petición del cliente. La factura de cada pedido es impresa en el propio puesto del trabajador que empaqueta los productos justo en el momento en el que le llega la mercancía del pedido en una cinta transportadora. Todo el proceso se realiza en pocos segundos. En el caso de que el cliente no solicite factura, el personal de empaquetado no tiene acceso a los datos del cliente.  Las etiquetas con los datos del destinatario de cada paquete son elaboradas por impresoras autónomas que imprimen y adhieren cada pegatina a su paquete sin intervención humana. Ésta únicamente se produce en caso de parada de la línea de etiquetado por algún tipo de incidencia. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
16. d)en relación con el artículo 36, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 2 de la LOPD, señala en su apartado 1 su ámbito territorial de aplicación en los siguientes términos: “Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
17. a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.
18. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.
19. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito.” El artículo 3. 1.
20. a)del Reglamento de la LOPD, dispone lo siguiente: “1. Se regirá por el presente reglamento todo tratamiento de datos de carácter personal:
21. a)Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español. Cuando no resulte de aplicación lo dispuesto en el párrafo anterior, pero exista un encargado del tratamiento ubicado en España, serán de aplicación al mismo las normas contenidas en el título VIII del presente reglamento” III El Grupo de Autoridades europeas de protección de datos (GT29) expuso en su Dictamen 8/2010 sobre Derecho aplicable, en el apartado III: <<…Análisis de las disposiciones: La disposición clave sobre el Derecho aplicable es el artículo 4, que determina qué disposición (disposiciones) nacional(
22. es)de protección de datos aprobada(
23. s)para la aplicación de la Directiva puede(
24. n)aplicarse al tratamiento de datos personales III.1. El responsable del tratamiento está establecido en uno o varios Estados miembros (artículo 4, apartado1, letra a)) (…) En tales circunstancias, la noción de «marco de actividades» –y no la ubicación de los datos– es un factor determinante en la determinación del Derecho aplicable. La noción de «marco de actividades» no implica que el Derecho aplicable sea el del Estado miembro donde esté establecido el responsable del tratamiento, sino donde un establecimiento del responsable del tratamiento esté implicado en actividades relativas al tratamiento de datos. La consideración de diferentes hipótesis podría contribuir a clarificar lo que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 significa la noción de «marco de actividades» y su influencia en la determinación del Derecho aplicable a las diferentes actividades de tratamiento en diferentes países a. Cuando un responsable del tratamiento tiene un establecimiento en Austria y trata datos personales en Austria en el marco de actividades de ese establecimiento, el Derecho aplicable obviamente sería el de Austria, es decir donde el establecimiento está situado. b. En la segunda hipótesis, el responsable del tratamiento tiene un establecimiento en Austria, en cuyo marco de actividades trata datos personales recogidos a través de su sitio Internet. El sitio Internet es accesible a usuarios en distintos países. El Derecho de protección de datos aplicable seguirá siendo el de Austria, es decir el de donde está situado el establecimiento, con independencia de la ubicación de los usuarios y de los datos. c. En la tercera hipótesis, el responsable del tratamiento está establecido en Austria y contrata el tratamiento a un encargado del tratamiento en Alemania. El tratamiento en Alemania se efectúa en el marco de las actividades del responsable del tratamiento en Austria. Es decir, el tratamiento se realiza en aras de los objetivos comerciales y bajo las instrucciones del establecimiento austríaco. El Derecho austríaco será aplicable al tratamiento efectuado por el encargado del tratamiento en Alemania. Además, el encargado del tratamiento estará sujeto a los requisitos del Derecho alemán respecto de las medidas de seguridad que está obligado a adoptar en relación con el tratamiento. Esto requeriría una supervisión coordinada por parte de las autoridades de protección de datos alemanas y austríacas. d. En la cuarta hipótesis, el responsable del tratamiento establecido en Austria abre una oficina de representación en Italia, que organiza todos los contenidos italianos del sitio Internet y gestiona las peticiones de los usuarios italianos. Las actividades de tratamiento de datos realizadas por la oficina italiana se efectúan en el marco del establecimiento italiano, de modo que el Derecho italiano se aplicaría a dichas actividades…>> IV En la Sentencia del Tribunal de Justicia de la Unión Europea (Sala Tercera) de 1 de octubre de 2015 en el asunto C-230/14 (caso Weltimmo), se establece: <<1. El artículo 4, apartado 1, letra a), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, debe interpretarse en el sentido de que permite aplicar la legislación relativa a la protección de los datos personales de un Estado miembro distinto de aquel en el que está registrado el responsable del tratamiento de esos datos, siempre que éste ejerza, mediante una instalación estable en el territorio de dicho Estado miembro, una actividad efectiva y real, aun mínima, en cuyo marco se realice el referido tratamiento. Para determinar si así ocurre, en circunstancias como las controvertidas en el litigio principal, el órgano jurisdiccional remitente puede tener en cuenta, por un lado, que la actividad del responsable de dicho tratamiento, en cuyo marco éste tiene lugar, consiste en la gestión de sitios de Internet de anuncios de inmuebles situados en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 territorio de dicho Estado miembro y redactados en la lengua de ese Estado y que, en consecuencia, se dirige principalmente, incluso íntegramente, a dicho Estado miembro y, por otro lado, que ese responsable dispone de un representante en el referido Estado miembro que se encarga de cobrar los créditos resultantes de dicha actividad y de representarlo en los procedimientos administrativo y judicial relativos al tratamiento de los datos en cuestión. En cambio, es irrelevante el tema de la nacionalidad de las personas afectadas por dicho tratamiento de datos. 2) En el supuesto de que la autoridad de control de un Estado miembro que entiende de unas denuncias, de conformidad con el artículo 28, apartado 4, de la Directiva 95/46, llegue a la conclusión de que el Derecho aplicable al tratamiento de los datos personales de que se trata no es el Derecho de ese Estado miembro, sino el de otro Estado miembro, el artículo 28, apartados 1, 3 y 6, de esa misma Directiva debe interpretarse en el sentido de que dicha autoridad de control sólo podría ejercer en el territorio de su propio Estado miembro las facultades efectivas de intervención que se le han conferido conforme al artículo 28, apartado 3, de la citada Directiva. Por lo tanto, no puede imponer sanciones basándose en el Derecho de ese Estado miembro al responsable del tratamiento de tales datos que no está establecido en dicho territorio, sino que, con arreglo al artículo 28, apartado 6, de la misma Directiva, debe instar la intervención de la autoridad de control dependiente del Estado miembro cuyo Derecho es aplicable…>> V En el presente expediente, según lo acordado en la Resolución del procedimiento TD/00622/2015, se trata de determinar, a partir de las actuaciones de inspección practicadas, si el tratamiento de los datos de un afectado residente en España que es cliente del sitio web www.amazon.es está sujeto a la normativa española de protección de datos y si, en consecuencia, la Agencia Española de Protección de Datos es competente para tutelar su derecho de cancelación. Como ya se ha analizado recientemente en la resolución del procedimiento TD/00489/2016, de las actuaciones de inspección practicadas en el presente expediente se desprende que dos de las sociedades mercantiles españolas, ASPA, con domicilio en la localidad madrileña de Pozuelo de Alarcón, y ASF, con domicilio en otra localidad madrileña, San Fernando de Henares, han suscrito sendos contratos con la compañía luxemburguesa AEU, en los que se les reconoce la condición de encargados de tratamiento de datos de carácter personal en los términos previstos en el artículo 12 de la LOPD. En los contratos que regulan la prestación de servicios (Fulfillment Services Agreement), cuya copia se ha aportado a la Agencia, se insta, en el apartado “Confidenciality and Data Protection”, a que las sociedades españolas observen las normas de protección de datos, asegurándose en particular de utilizar medidas técnicas y organizativas para proteger los datos personales, incluyendo en esta categoría los perfiles basados en intereses de AEU, mientras no hayan sido anonimizados. Por otra parte, en los contratos específicos de encargo de tratamiento de datos personales (CET) que, con formato estándar, ha suscrito AEU con las dos compañías españolas se establece que estas, como encargados de tratamiento, asumen varias obligaciones (según traducción del inglés proporcionada por los inspeccionados). Particularmente, cuando el encargado de tratamiento, basándose en la legislación de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 protección de datos aplicable, esté obligado a proporcionar información a un interesado sobre la recogida, el tratamiento o el uso de sus datos personales, el encargado ayudará a AEU a poner a disposición esta información. Por otra parte, si el encargado recibe alguna queja, notificación o comunicación relacionada con el tratamiento por su parte de datos personales o el cumplimiento de alguna de las partes de la legislación aplicable en relación con los datos personales, en la medida en que esté permitido legalmente, el encargado notificará inmediatamente a AEU y, en la medida en que sea aplicable, proporcionará a esa compañía la cooperación y asistencia razonables comercialmente en relación con dicha queja, notificación o comunicación. La compañía contratista también reconoce que el encargado puede, como parte de un mantenimiento y desarrollo continuados del sistema, cambiar las medidas organizativas y de protección técnica apropiadas, manteniendo el grado de protección según lo exigido legalmente. En las inspecciones realizadas se ha constatado que tanto ASPA como ASF tienen acceso a los datos personales de los clientes de la plataforma de venta online, participando activamente en varias de las tareas relacionadas con la prestación de servicios a los clientes, particularmente en el análisis de su experiencia de compra, en la preparación de los envíos de los productos comprados, en la gestión de las devoluciones y en la facturación. Consecuentemente, si bien las citadas compañías, como encargadas de tratamiento, están directamente implicadas en las actividades de comercio electrónico desarrolladas a través de www.amazon.es, el tratamiento objeto de las presentes actuaciones está, atendiendo al criterio jurídico expuesto, sometido a la legislación de Luxemburgo y la Agencia Española de Protección de Datos no es competente para tutelar el derecho de cancelación ejercitado por el reclamante del procedimiento TD/00622/2015, debiendo este dirigirse a la Autoridad luxemburguesa de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a AMAZON SPAIN SERVICES, S.L., a AMAZON SPAIN FULFILLMENT S.L. y a don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es