E-08085-2021

1/2  Ref.: E/08085/2021 Asunto: Acuerdo de remisión y archivo provisional A.A.A. con fecha 13 de junio de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos (AEPD). La reclamación se dirige contra LETY GROUP AG y LETYSHOPS KFT (en adelante, LETYGROUP). Los motivos en que basa la reclamación son los siguientes: Critica las cláusulas legales del servicio de "cashback" LETYSHOPS disponibles en su portal web, por las cuales se avisa de la existencia de transferencias de los datos personales recabados de los usuarios (mayormente, con fines comerciales) con destino países fuera de la Unión Europea que no garantizan su mismo nivel de protección, y se afirma que el riesgo de fuga e imposibilidad de detectarla en un plazo de tiempo razonable es alto, pudiendo los datos ser objeto de acceso no autorizado y utilización fraudulenta por parte de estafadores. El 17 de junio de 2020, por esta Agencia se comprueba que, según su política de privacidad, el responsable del portal web LETYSHOPS.COM tiene su establecimiento principal o único en Hungría (la empresa LETYSHOPS KFT). Con fecha 3 de julio de 2020 se dicta acuerdo de remisión y archivo provisional, en el que, de conformidad con lo dispuesto en el artículo 66 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), por la Directora de la Agencia Española de Protección de Datos se acuerda remitir la reclamación presentada a la autoridad de control de Hungría, a fin de que, por la misma se le dé el curso oportuno, así como proceder al archivo provisional del procedimiento. Teniendo en cuenta el carácter transfronterizo de la reclamación, con fecha de 3 de julio de 2020 se remitió la misma a la autoridad de control húngara, la Nemzeti Adatvédelmi és Információszabadság Hatóság o National Authority for Data Protection and Freedom of Information (NAIH), por ser la competente para actuar como autoridad de control principal, a tenor de lo dispuesto en el artículo 56.1 del RGPD. El día 7 de julio de 2020 la autoridad de protección de datos de Hungría rechazó asumir el caso, alegando que la empresa era en realidad suiza, y que no se había proporcionado ninguna evidencia de vínculo entre quien reclama y la empresa, o si algún derecho de protección de datos suyo se había visto violado. Con fecha 23 de junio de 2021, en respuesta a una asistencia mutua solicitada por esta Agencia, la autoridad húngara contesta que, de la información que consta en el registro mercantil húngaro se puede afirmar que se trata de una compañía suiza. Y que, aunque la empresa tenga un establecimiento en Hungría, las decisiones sobre el tratamiento de datos personales no se toman en el establecimiento europeo, ni éste puede implementarlas, por lo que no corresponde continuar con el mecanismo de ventanilla única del RGPD. Y que, dado que la reclamación había sido presentada ante la AEPD y que se trata de un interesado español, consideran que la AEPD es la competente para actuar en el presente caso de acuerdo con lo establecido en el artículo 56.2 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/2 Por tanto, con fecha 2 de julio de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Por su parte, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, durante las cuales, el 12 de noviembre de 2021, se obtiene respuesta del asesor legal de la empresa suiza informando que Lety Group AG es un holding que no opera el sitio web letyshops.com y no procesa ningún dato personal de sus usuarios de ninguna manera. Y que todos los derechos y obligaciones, incluido el procesamiento de datos personales, son parte de la empresa subsidiaria de Lety Group AG - Letyshops KFT (establecida en Hungría). Con posterioridad, esta Agencia transmitió dicha respuesta a la autoridad húngara, la cual en fecha 13 de junio de 2022, re-examinó las circunstancias del caso y consideró que Letyshops LTD es la empresa responsable del tratamiento, por lo que la autoridad de protección de datos de Hungría se considera la autoridad principal para llevar el caso. Por ello, de conformidad con el artículo 66 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, la Directora de la Agencia Española de Protección de Datos ACUERDA: PRIMERO: Remitir la reclamación presentada por A.A.A. a la autoridad de control de Hungría, a fin de que por la misma se le dé el curso oportuno. SEGUNDO: Proceder al archivo provisional del procedimiento. TERCERO: Notificar el presente acuerdo a A.A.A.. Contra este acto, que pone fin a la vía administrativa, y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de este acto resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. 987-120620 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es