1/11 N/Ref.: E/05000/2019 - E/06862/2019 – A56ID 71295 RESOLUCIÓN DE ARCHIVO De las actuaciones seguidas con motivo de la reclamación presentada en la Agencia Española de Protección de Datos, por presunta vulneración del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD) y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 22 de abril de 2019 y número de registro de entrada 020640/2019, tuvo entrada en esta Agencia una reclamación presentada por FEDERACIÓN DE ASOCIACIONES DE CONSUMIDORES Y USUARIOS EN ACCIÓN – FACUA DE ***COMUNIDAD.1, relacionada con un posible tratamiento de carácter transfronterizo de datos personales realizado por el responsable del servicio UBER, por una presunta vulneración de los arts. 12 y 7 del RGPD. En la reclamación se denuncia la redacción de varias cláusulas de los términos y condiciones de uso del mencionado servicio, accesibles en su portal web a través de la URL ***URL.1 . De ellas, únicamente dos versan sobre materia de protección de datos personales: la cuarta y la quinta. La cuarta cláusula reproducida en la reclamación es la siguiente: “Mensajes de texto. Al crear una Cuenta, usted acepta que los Servicios le puedan enviar mensajes de texto informativos (SMS) como parte de la actividad comercial normal de su uso de los Servicios. Usted podrá solicitar la no recepción de mensajes de texto informativos (SMS) de Uber en cualquier momento enviando un correo electrónico a ***EMAIL.1 indicando que no desea recibir más dichos mensajes, junto con el número de teléfono del dispositivo móvil que recibe los mensajes. Usted reconoce que solicitar la no recepción de mensajes de texto informativos (SMS) podrá afectar al uso que usted haga de los Servicios” La parte reclamante sostiene que el párrafo es confuso porque no se aclara la naturaleza de los mensajes de texto SMS informativos, los cuales podrían ser de naturaleza publicitaria. En tal caso, el art. 7 del RGPD establece que la solicitud de consentimiento para este tratamiento debería distinguirse claramente de los demás asuntos. Además, el posible rechazo de los mensajes de texto informativos por parte del usuario no debería poder ser utilizado por la empresa como una excusa para el mal funcionamiento del servicio contratado. La quinta cláusula que se cita en la reclamación se reproduce a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 “Contenido proporcionado por el Usuario. Uber podrá, a su sola discreción, permitirle cuando considere oportuno, que envíe, cargue, publique o de otro modo ponga a disposición de Uber a través de los Servicios contenido e información de texto, audio y/o visual, incluidos comentarios y opiniones relativos a los Servicios, iniciación de peticiones de apoyo, así como presentación de admisiones para competiciones y promociones (“Contenido de usuario”). Todo Contenido de Usuario facilitado por usted seguirá siendo de su propiedad. No obstante, al proporcionar Contenido de Usuario a Uber, usted otorga una licencia mundial, perpetua, irrevocable, transferible, libre de regalías, con derecho a sublicenciar, usar, copiar, modificar, crear obras derivadas, distribuir, exhibir públicamente, presentar públicamente o de otro modo explotar de cualquier manera dicho Contenido de Usuario en todos los formatos y canales de distribución, conocidos ahora o ideados en un futuro (incluidos en relación con los Servicios y el negocio de Uber y en sitios y servicios de terceros), sin más aviso o consentimiento de usted y sin requerirse el pago a usted o a cualquier otra persona o entidad.” La parte reclamante considera que dicha cláusula entra en colisión con lo que establece el Reglamento en relación con la retirada del consentimiento al tratamiento de datos personales y los derechos de oposición y supresión. SEGUNDO: Según su política de privacidad, el responsable del servicio UBER tiene en Países Bajos (UBER B.V.) su establecimiento principal en la Unión Europea. TERCERO: Teniendo en cuenta el carácter transfronterizo de la reclamación, con fecha 9 de julio de 2019 se acordó el archivo provisional del procedimiento y la remisión de la reclamación a la autoridad de control neerlandesa, la Autoriteit Persoonsgegevens (AP), por ser la competente para actuar como autoridad de control principal, a tenor de lo dispuesto en el artículo 56.1 del RGPD. CUARTO: Esta remisión se realizó, a través del “Sistema de Información del Mercado Interior” (IMI). Se declararon interesadas en el mismo las autoridades de control de Portugal, Bélgica, Estonia, Dinamarca, Italia, Francia, Eslovaquia, Noruega, Finlandia, Hungría, Austria, Suecia y Polonia, así como las regionales alemanas de Renania-Palatinado, Baja Sajonia, Renania del Norte-Westfalia, Berlín y Sajonia. QUINTO: La autoridad neerlandesa ha rechazado el caso. En lo relativo a la cuarta cláusula, el motivo aducido ha sido falta de competencia. Según explica, las reclamaciones que involucran mensajes publicitarios en formato SMS son materia de la Ley de Telecomunicaciones local y deben ser gestionadas por otro organismo holandés, la Autoridad de Consumidores y Mercados (ACM). En lo que se refiere a la quinta cláusula, la AP tampoco acepta tramitar la reclamación, al no detectar ninguna situación concreta de conflicto de la mencionada cláusula con el RGPD, donde un individuo identificado no haya podido ejercer frente al responsable C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 sus derechos de protección de datos. Solo bajo esa circunstancia podrían iniciar actuaciones al respecto. FUNDAMENTOS DE DERECHO I - Competencia La competencia de la Directora de la Agencia Española de Protección de Datos viene otorgada por el artículo 43.2, párrafo segundo, de la Ley 34/2002, de 11 de julio de Servicios de la Sociedad de Información y Comercio Electrónico (en lo sucesivo LSSI), en lo que se refiere a la primera parte de la reclamación, y por los artículos 60.8 del RGPD y 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), en lo que respecta a la segunda parte. II - Sistema de Información del Mercado Interior (IMI) El Sistema de Información del Mercado Interior se encuentra regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), y su objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información. III - Determinación del alcance territorial Según especifica el artículo 66 de la LOPDGDD: “1. Salvo en los supuestos a los que se refiere el artículo 64.3 de esta ley orgánica, la Agencia Española de Protección de Datos deberá, con carácter previo a la realización de cualquier otra actuación, incluida la admisión a trámite de una reclamación o el comienzo de actuaciones previas de investigación, examinar su competencia y determinar el carácter nacional o transfronterizo, en cualquiera de sus modalidades, del procedimiento a seguir. 2. Si la Agencia Española de Protección de Datos considera que no tiene la condición de autoridad de control principal para la tramitación del procedimiento remitirá, sin más trámite, la reclamación formulada a la autoridad de control principal que considere competente, a fin de que por la misma se le dé el curso oportuno. La Agencia Española de Protección de Datos notificará esta circunstancia a quien, en su caso, hubiera formulado la reclamación. El acuerdo por el que se resuelva la remisión a la que se refiere el párrafo anterior implicará el archivo provisional del procedimiento, sin perjuicio de que por la Agencia Española de Protección de Datos se dicte, en caso de que así proceda, la resolución a la que se refiere el apartado 8 del artículo 60 del Reglamento (UE) 2016/679.” IV - Establecimiento principal, tratamiento transfronterizo y autoridad de control principal C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 El artículo 4.16 del RGPD define «establecimiento principal»: “
- a)en lo que se refiere a un responsable del tratamiento con establecimientos en más de un Estado miembro, el lugar de su administración central en la Unión, salvo que las decisiones sobre los fines y los medios del tratamiento se tomen en otro establecimiento del responsable en la Unión y este último establecimiento tenga el poder de hacer aplicar tales decisiones, en cuyo caso el establecimiento que haya adoptado tales decisiones se considerará establecimiento principal;
- b)en lo que se refiere a un encargado del tratamiento con establecimientos en más de un Estado miembro, el lugar de su administración central en la Unión o, si careciera de esta, el establecimiento del encargado en la Unión en el que se realicen las principales actividades de tratamiento en el contexto de las actividades de un establecimiento del encargado en la medida en que el encargado esté sujeto a obligaciones específicas con arreglo al presente Reglamento” Por su parte el artículo 4.23 del RGPD considera «tratamiento transfronterizo»: “
- a)el tratamiento de datos personales realizado en el contexto de las actividades de establecimientos en más de un Estado miembro de un responsable o un encargado del tratamiento en la Unión, si el responsable o el encargado está establecido en más de un Estado miembro, o
- b)el tratamiento de datos personales realizado en el contexto de las actividades de un único establecimiento de un responsable o un encargado del tratamiento en la Unión, pero que afecta sustancialmente o es probable que afecte sustancialmente a interesados en más de un Estado miembro” El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, el responsable del servicio UBER tiene su establecimiento principal en Países Bajos (UBER B.V.), por lo que es la autoridad de control de dicho país, la Autoriteit Persoonsgegevens (AP), la competente para actuar como autoridad de control principal. V - Autoridad de control interesada De conformidad con lo dispuesto en el artículo 4.22) del RGPD, es Autoridad de control interesada, la autoridad de control a la que afecta el tratamiento de datos personales debido a que: a.- El responsable o encargado del tratamiento está establecido en el territorio del Estado miembro de esa autoridad de control; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 b.- Los interesados que residen en el Estado miembro de esa autoridad de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento, o c.- Se ha presentado una reclamación ante esa autoridad de control. En el presente procedimiento actúan en calidad de “autoridad de control interesada” las enumeradas en el hecho cuarto, además de la autoridad española, que es la que ha recibido el caso. VI - Procedimiento de cooperación y coherencia El artículo 60 del RGPD, que regula el procedimiento de cooperación entre la autoridad de control principal y las demás autoridades de control interesadas, dispone en su apartado 8, lo siguiente: “8. No obstante lo dispuesto en el apartado 7, cuando se desestime o rechace una reclamación, la autoridad de control ante la que se haya presentado adoptará la decisión, la notificará al reclamante e informará de ello al responsable del tratamiento.” VII - Cuestión reclamada y razonamientos jurídicos En este caso, se ha presentado en la Agencia Española de Protección de Datos reclamación por una presunta vulneración de los arts. 12 y 7 del RGPD, relacionada con un posible tratamiento de carácter transfronterizo de datos personales, realizado por UBER B.V. Teniendo en cuenta el posible carácter transfronterizo de la reclamación, ésta le fue remitida a la autoridad de control holandesa, la AP, por ser la competente para actuar como autoridad de control principal, a tenor de lo dispuesto en el artículo 56.1 del RGPD. En lo que respecta a la primera parte (relacionada con la cuarta cláusula denunciada en el escrito de reclamación), la autoridad neerlandesa ha rechazado el caso diciendo que, al tratarse de una reclamación que involucra mensajes SMS publicitarios, los cuales son materia de la Ley de Telecomunicaciones local, la autoridad competente para tramitarla es la Autoridad de Consumidores y Mercados (ACM) holandesa. Del examen de los apartados objeto de reclamación se infiere que algunos textos podrían hacer referencia a comunicaciones publicitarias electrónicas y otros a comunicaciones de otro tipo En cuanto a las comunicaciones electrónicas con fines publicitarios, procede indicar que en el ordenamiento interno español se encuentran reguladas en el artículo 21 de la LSSI. Este artículo incorpora al ordenamiento jurídico español el artículo 13 de la Directiva 2002/58/CE, del Parlamento Europeo y del Consejo, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 en el sector de las comunicaciones electrónicas (Directiva sobre la privacidad y las comunicaciones electrónicas). En virtud del principio de especialidad normativa, la Ley especial prevalece sobre la Ley general, por ello la LSSI debe prevalecer sobre el RGPD por ser ley especial. Sobre esta cuestión se pronuncia el Considerando 173 del RGPD que determina que “El presente Reglamento debe aplicarse a todas las cuestiones relativas a la protección de los derechos y las libertades fundamentales en relación con el tratamiento de datos personales que no están sujetas a obligaciones específicas con el mismo objetivo establecidas en la Directiva 2002/58/CE del Parlamento Europeo y del Consejo incluidas las obligaciones del responsable del tratamiento y los derechos de las personas físicas (…)”. También ha de tenerse en cuenta el artículo 95 del RGPD que especifica que “El presente Reglamento no impondrá obligaciones adicionales a las personas físicas o jurídicas en materia de tratamiento en el marco de la prestación de servicios públicos de comunicaciones electrónicas en redes públicas de comunicación de la Unión en ámbitos en los que estén sujetas a obligaciones específicas con el mismo objetivo establecidas en la Directiva 2002/58/CE.” Por tanto, prevalece la LSSI en todas las cuestiones que específicamente regula, entre ellas la contemplada en su artículo 21, que establece la prohibición del envío, salvo en ciertas condiciones específicas, de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. En este caso, el prestador de servicios de la sociedad de la información se encuentra establecido en otro Estado miembro de la Unión Europea o del Espacio Económico Europeo, Países Bajos, radicando el destinatario de los servicios en España. Por ello, al acudir al ámbito de aplicación de la LSSI determinado en su art. 3.1, que preceptúa que la ley se aplicará a los prestadores de servicios de la sociedad de la información establecidos en otro Estado miembro de la Unión Europea o del Espacio Económico Europeo cuando el destinatario de los servicios radique en España y los servicios afecten a unas determinadas materias, encontrándose entre ellas la relativa a la licitud de las comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente no solicitadas (art. 3.1.f de la LSSI), la competencia para resolver las cuestiones relacionadas con el artículo 21 de la LSSI correspondería a la Agencia Española de Protección de Datos. Sin embargo, los tratamientos no relacionados con esta materia quedarían plenamente sometidos a las disposiciones del RGPD Ahora bien, esta Agencia observa que la política de privacidad del servicio ha sido actualizada con fecha de 30 de octubre de 2021 y ha dejado de contener los párrafos objeto de reclamación tal y como se encontraban redactados. En efecto, en la nueva política de privacidad, disponible ahora desde una URL distinta (***URL.2), en la sección “B. Cómo utilizamos los datos personales” englobada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 dentro de la sección “III. Recopilación de datos y usos”, se encuentra la siguiente información: “6. Marketing. Uber puede utilizar los datos personales para promocionar sus servicios a los usuarios. Para hacerlo, les enviamos comunicaciones sobre servicios, funciones, promociones, sorteos, estudios, encuestas, noticias, actualizaciones y eventos de Uber. Podemos hacerlo a través de varios métodos, como el email, los mensajes de texto, las notificaciones, las comunicaciones y los anuncios en la app, y los anuncios en plataformas de terceros. También podemos informar a nuestros usuarios sobre los productos y servicios que ofrecen nuestros socios. Por ejemplo, podemos ofrecer recomendaciones, promociones o anuncios a socios de Uber en función de los pedidos a domicilio anteriores de los usuarios. Aunque informemos a los usuarios sobre los productos y servicios que ofrecen los socios de Uber, no vendemos ni compartimos datos personales de los usuarios a nuestros socios ni a terceros para que los utilicen en sus campañas de marketing directo o en su publicidad sin el permiso de los usuarios. Podemos utilizar los datos que recopilamos, incluso junto a los de los socios publicitarios, para personalizar y mejorar las comunicaciones de marketing (incluidos los anuncios) que enviamos dentro y fuera de las apps y sitios web de Uber, incluso en función de la ubicación del usuario, el uso de los servicios de Uber, y las preferencias y la configuración del usuario. Por ejemplo, compartimos datos de usuarios (como direcciones de email con hash, información de uso e identificadores de usuarios o dispositivos) con Facebook y TikTok para personalizar y mejorar nuestros anuncios de los servicios de Uber. Para obtener información sobre cómo dejar de recibir determinadas comunicaciones de marketing (incluidos los anuncios) por parte de Uber y sus socios publicitarios, consulte la sección "Opciones de marketing". También podemos enviar comunicaciones relacionadas con elecciones, votaciones, referendos y otros procesos políticos relacionados con nuestros servicios. Por ejemplo, Uber ha informado por email a algunos usuarios sobre las votaciones de medidas o de leyes pendientes de aprobación que regulan los servicios de Uber en las zonas en las que residen dichos usuarios. Uber lleva a cabo las actividades anteriores porque el usuario ha dado su consentimiento o porque son necesarias para los intereses legítimos de Uber de informar a los usuarios sobre los servicios y funciones de Uber, o los que ofrecen sus socios. Consulte las secciones "Elección y transparencia" y "Opciones de marketing" para obtener información sobre el uso que Uber hace de sus datos con fines de marketing. 7. Comunicaciones de otro tipo. Uber puede utilizar los datos personales para generar recibos y enviarlos a los usuarios, informarles acerca de los cambios de nuestras condiciones, servicios y políticas, o enviar otro tipo de comunicaciones cuyo objetivo no sea promocionar los servicios y productos de Uber o sus socios. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11 Uber lleva a cabo las actividades anteriores porque son necesarias para cumplir nuestras obligaciones con los usuarios en virtud de nuestras Condiciones de uso u otros acuerdos con los usuarios, o para los intereses legítimos de Uber y sus usuarios para informar a estos últimos sobre eventos que pueden repercutir en cómo pueden utilizar los servicios de Uber. De la lectura de estos apartados se infiere que el responsable ya diferencia las comunicaciones de carácter publicitario y las de otro tipo. Las primeras estarían basadas en consentimiento del usuario y las segundas serían necesarias para la ejecución del contrato y la prestación del servicio, o estarían justificadas en el interés legítimo del responsable. En la sección “IV. Elección y Transparencia” se detallan los aspectos configurables relativos a la privacidad: “1. Configuración de privacidad Desde el menú Configuración > Privacidad de la app Uber, los pasajeros y destinatarios de pedidos pueden establecer o actualizar sus preferencias con respecto a la recopilación y el intercambio de datos de ubicación, el uso compartido de datos de emergencia y las notificaciones. (…) Notificaciones: actualizaciones en la cuenta y en los viajes Uber ofrece a los usuarios notificaciones sobre el estado de los viajes y actualizaciones relacionadas con su cuenta. Estas notificaciones son una parte necesaria del uso de la app Uber y no se pueden desactivar. Sin embargo, puede elegir el método a través del que quiere recibir estas notificaciones mediante el menú Configuración > Privacidad. Notificaciones: descuentos y noticias Los usuarios pueden permitir que Uber les envíe notificaciones sobre descuentos y noticias de Uber. Estas pueden activarse o desactivarse en el menú Configuración > Privacidad de la app Uber. Comunicaciones de restaurantes y comercios Los usuarios pueden suscribirse para recibir comunicaciones de determinados restaurantes al hacer un pedido en la app Uber Eats. Si quieren dejar de recibir este tipo de comunicaciones, tienen que acceder al menú Configuración > Cuenta > Compartir datos en la app Uber Eats.” Del contenido de la política se puede deducir que el consentimiento a los mencionados tratamientos es gestionado por los usuarios a través de opciones en el panel de configuración de su cuenta privada, accesible mediante la web o la ‘app’ móvil. En relación con la oposición al tratamiento, en el apartado “4. Opciones de marketing” en la sección “IV. Elección y Transparencia”, se comenta lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11 “Los usuarios pueden dejar de recibir determinadas comunicaciones de marketing (incluidos los anuncios) y utilizar sus datos para fines de marketing de las siguientes formas: Configuración de anuncios: esta configuración permite a los usuarios elegir si sus datos se comparten con los socios publicitarios de Uber para ofrecer anuncios personalizados o para medir la eficacia de dichos anuncios. Correos electrónicos y mensajes de marketing: para dejar de recibir emails de marketing de Uber o para obtener instrucciones sobre cómo establecer las preferencias con respecto a recibir SMS de marketing o notificaciones de Uber, haga clic aquí. También pueden cancelar la recepción de emails y otros mensajes de Uber siguiendo las instrucciones que encontrarán en esos mensajes. Aunque los usuarios se den de baja de los mensajes promocionales, podemos seguir enviando comunicaciones de tipo no promocional, como recibos de viajes o información sobre su cuenta.” Se puede concluir que se han corregido las deficiencias existentes en la información que se facilitaba a los interesados, en relación con la prestación del consentimiento para el envío de comunicaciones comerciales por medios electrónicos. Por tanto, esta Agencia no aprecia ningún incumplimiento del artículo 21 de la LSSI. En lo que respecta a la segunda parte (relacionada con la quinta cláusula denunciada en el escrito de reclamación), la AP holandesa ha rehusado también tramitar el caso. Para dicha autoridad de control, en caso de conflicto entre unos términos de un servicio y el RGPD, éste siempre prevalece. Si un usuario acuerda “renunciar” a sus derechos de protección de datos aceptando los términos de servicio, éstos son simplemente inválidos, porque el RGPD prevalece. Uno no puede renunciar a sus derechos básicos. Pero sólo si el sujeto ejercita sus derechos de protección de datos y el responsable no cumple, se estaría ante una infracción del RGPD. En un sentido más amplio, un responsable que ofrece unos términos de servicio que entran en conflicto con el RGPD no es un “problema de RGPD”. Una determinada situación se convierte en un “problema de RGPD” si ha tenido lugar un caso específico en el cual un individuo ha intentado ejercitar sus derechos y el responsable no ha cumplido. Por consiguiente, para ellos lo reportado no es un caso RGPD, y Países Bajos no se considera competente. Los servicios de Inspección de esta Agencia han observado que, en el nuevo texto, dentro del apartado “A. Datos que recopilamos”, enmarcado en la sección “III. Recopilación de datos y usos”, se lee ahora: “1. Datos que proporcionan los usuarios. Esto incluye: (…) Contenido sobre usuarios: recopilamos los datos enviados por los usuarios cuando contactan con el servicio de soporte al cliente de Uber (incluso en los Greenlight Hub de Uber o mediante herramientas de videoconferencia), valoran o felicitan a otros usuarios, restaurantes o comercios, o contactan con Uber de otro modo. Esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 información puede incluir comentarios, fotografías u otro tipo de grabaciones que hagan los usuarios, incluidas las de audio o vídeo (como las de las cámaras del salpicadero) enviadas por los usuarios en relación con el servicio de soporte al cliente. También se incluyen los metadatos relacionados con el método que utiliza para comunicarse con Uber. No se ha encontrado ningún apartado donde, como ocurría en el momento de la presentación de esta reclamación, se establezcan obstáculos a la retirada al consentimiento para el tratamiento de los datos personales encuadrados en esta categoría de contenido proporcionado por usuarios. En el apartado “5. Solicitudes de datos personales de los usuarios” de la sección “IV. Elección y Transparencia”, se puede leer lo siguiente: “Eliminar datos: los usuarios pueden solicitar la eliminación de sus cuentas en cualquier momento a través del menú Configuración > Privacidad de la app Uber o en el sitio web de Uber. Los pasajeros y los destinatarios de pedidos pueden hacerlo en esta página, mientras que los conductores y los repartidores pueden hacerlo en esta otra. Objeciones, restricciones y reclamaciones: los usuarios pueden solicitar que dejemos de utilizar todos o algunos de sus datos personales, o que limitemos el uso de ellos. Esto incluye oponerse al uso que hacemos de los datos personales en función de los intereses legítimos de Uber. Uber puede seguir procesando datos después de que el usuario exprese su objeción o haga una solicitud, en la medida que la ley lo exija o lo permita.” Adicionalmente, en el apartado “E. Eliminación y retención de datos” de la sección “III. Recopilación de datos y usos” también se habla de esta cuestión: “Uber conserva los datos del usuario durante el tiempo necesario para los fines descritos anteriormente. Esto significa que conservamos distintas categorías de datos durante periodos diferentes según la categoría del usuario relacionado con los datos, el tipo de datos y los fines para los que hemos recogido estos datos. Los usuarios pueden solicitar la eliminación de sus cuentas en cualquier momento a través del menú Configuración > Privacidad de la app Uber o en el sitio web de Uber. Los pasajeros y los destinatarios de pedidos pueden hacerlo en esta página, mientras que los conductores y los repartidores pueden hacerlo en esta otra. Cuando se solicita la eliminación de la cuenta, Uber elimina los datos y la cuenta del usuario, a menos que tenga que conservarla por requisitos normativos o legales, por motivos de seguridad y con el fin de evitar fraudes o por un problema relacionado con la cuenta del usuario, por ejemplo, si aún queda crédito o hay reclamaciones o disputas sin resolver. Dado que estamos sujetos a requisitos normativos y legales relacionados con los conductores y los repartidores, solemos conservar su cuenta y sus datos durante un mínimo de 7 años después de la solicitud de eliminación. En el caso de los pasajeros y los destinatarios de pedidos, sus datos se suelen eliminar en un plazo de 90 días desde la solicitud de eliminación, a menos que tengamos que conservarlos por los motivos anteriores.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 En resumen, lo que fue reportado por la asociación reclamante como quinta cláusula ha sido suprimido en la versión más reciente de la política de privacidad del servicio UBER. En consecuencia, esta Agencia considera que cabe finalizar las presentes actuaciones. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de la reclamación presentada, con fecha de 22 de abril de 2019 y número de registro de entrada 020640/2019. SEGUNDO: NOTIFICAR la presente resolución al reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1103-070820 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es