← España

E-09757-2020

1/8  Procedimiento Nº: E/09757/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 07/07/2020 tuvo entrada en esta Agencia Española de Protección de Datos una reclamación dirigida contra VISUAL CHART GROUP S.L., con NIF B82013806 (en adelante, VISUAL CHART o entidad reclamada). Los motivos en que se basa la reclamación son los siguientes: “1. Al tratarse de una empresa prestan servicios de comunicaciones electrónicas, tratando habitual y sistemáticamente datos personales a gran escala, debería disponer de un Delegado de Protección de Datos. Esta figura no existe en la Entidad 2. No se ha llevado a cabo una Evaluación de impacto relativa a la protección de datos. 3. No se dispone de un Código de Conducta conforme a lo dispuesto en el artículo 40 del Reglamento (UE) 2016/679 4. […] (En este punto el reclamante realiza una denuncia acerca de la presunta comunicación indebida de sus datos personales a terceros). ESFERA CAPITAL A.V. forma parte de un Grupo Empresarial, formado asimismo por ESFERA CAPITAL GESTION SGIIC S.A.U. y VISUAL CHART GROUP S.L.”. Con la reclamación, únicamente se aportan correos electrónicos para documentar la comunicación indebida de datos a que ser refiere en el punto 4 de su reclamación. El reclamante solicita que se mantenga la confidencialidad de las reclamaciones “por miedo a represalias de la empresa”. SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, se trasladó al reclamado el día 12/08/2020, de conformidad con lo establecido en el artículo 65.4 la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). En este trámite de traslado se solicitó a la reclamada que aportase, entre otra, la información y/o documentación siguiente: - Si se ha designado DPD y se ha comunicado a la Agencia Española de Protección de Datos. - Copia de la evaluación de impacto realizada o, en su caso, los motivos por los que no se ha realizado. El día 07/09/2020, tuvo entrada en la Agencia de Protección de Datos un escrito de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 respuesta, presentado por LIBERA DIGITAL CONSULTORÍA TECNOLÓGICA, S.L. (en lo sucesivo LIBERA DIGITAL) en representación de la entidad reclamada. En este escrito se manifiesta que la reclamada ha decidido prescindir de la persona que se ocupaba de la gestión de datos personales y externalizar la función, que ha sido encomendada a LIBERA DIGITAL con el encargo de evaluar la aplicación de la normativa y la seguridad de los datos. Sobre la carencia de delegado de protección de datos indica que la empresa, por sus características, no se identifica con ninguno de los casos regulados en el artículo 34 de la LOPDGDD. Se trata, según indica, de una pequeña empresa que ha creado un programa de control de finanzas con información de carácter general y a pequeña escala. Y termina señalando que, si resulta necesario, registrará un DPD. Para mejorar la gestión de los datos personales, se comprobará cada dos meses por la entidad externa, se ha elaborado un informe sobre el cumplimiento de la normativa y se han tomado medidas para mejoras las deficiencias, así como la seguridad de los datos. Finalmente, señala que, como muestra de su compromiso, acompaña un informe sobre la estructura técnica de la empresa, una evaluación de impacto y un informe sobre los tratamientos de datos que realiza. Se concluye que no existen riesgos en los recursos utilizados. En el modelo de solicitud de ejercicio de derechos aportado, al indicar los datos de contacto del DPD, se reseña el domicilio de LIBERA DIGITAL. Adjunta la siguiente documentación: 1. Protocolo de actuación para el ejercicio de los derechos recogidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD); y modelo de solicitud de ejercicio de derechos. 2. Documento denominado “Análisis de riesgos”. 3. Documento denominado “Informe de cumplimiento normativo”. 4. Documento denominado “Estructura técnica y organizativa de la empresa”. 5. Documento denominado “Modelo de Evaluación de Impacto”. 6. Documento denominado “Tratamiento de datos básicos”. TERCERO: La reclamación fue admitida a trámite mediante resolución de la Directora de la Agencia Española de Protección de Datos de fecha 03/11/2020. CUARTO: Con fecha 04/08/2021, por la Subdirección General de Inspección de Datos se accede a la información relativa a la reclamada que consta en el RMC. En relación con el objeto social de la entidad, constan las inscripciones siguientes “Constitución. Fecha de inscripción 07/07/1998. Objeto social: Prestación de servicios de asesoramiento y consultoría acerca de operaciones bursátiles en los mercados financieros nacionales e internacionales. Adquisición, posesión y enajenación de valores mobiliarios y de bienes inmueble”. Inscripción 12. Fecha de inscripción: 06/11/2018. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 Modificaciones estatutarias. Artículo de los estatutos: 2º.- Objeto social. 1.- Prestación de servicios de asesoramiento y consultoría acerca de operaciones bursátiles en los mercados financieros nacionales e internacionales. 2.- La adquisición, posesión y enajenación de valores mobiliarios y de bienes mobiliarios con exclusión. Cambio de objeto social. CNAE 6399. 1.Prestación de servicios de asesoramiento y consultoría acerca de operaciones bursátiles en los mercados financieros nacionales e internacionales. 2.- La adquisición, posesión y enajenación de valores mobiliarios y de bienes mobiliarios con exclusión de clase de actividades sujetas a l”. Inscripción 13. Fecha de inscripción: 27/05/2019. Modificaciones estatutarias. Artículo de los estatutos: 2º.- Objeto social: l. La prestación de servicios de asesoramiento y consultoría acerca de toda clase de operaciones bursátiles en los mercados financieros nacionales e internacionales. 2.- La adquisición, posesión y. Cambio de objeto social. 7.- La enseñanza de estudios informáticos así como la prestación de Servicios de consultoría, diseño, gestión e impartición de Formación de todo tipo de materias y metodologías para organizaciones y administraciones tanto públicas como privadas, Organismos del Estado, Autonomías, Diputaciones y En”. QUINTO: Por la Subdirección General de Inspección de Datos se accede a la información relativa a la entidad reclamada disponible en el sitio web “einforma.com”. Sobre el objeto social de la empresa se indica lo siguiente: “Objeto social Prestación de servicios de asesoramiento y consultorio acerca de operaciones bursátiles en los mercados financieros nacionales e internacionales. Adquisición, posesión y enajenación de valores mobiliarios y de bienes inm. Ampliación del objeto social 7.- La enseñanza de estudios informáticos así como la prestación de Servicios de consultoría, diseño, gestión e impartición de formación de todo tipo de materias y metodologías para organizaciones y administraciones tanto públicas como privadas, Organismos del Estado, Autonomías, Diputaciones y En. CNAE 6399. 1. Prestación de servicios de asesoramiento y consultoría acerca de operaciones bursátiles en los mercados financieros nacionales e internacionales. 2. La adquisición, posesión y enajenación de valores mobiliarios y de bienes mobiliarios con exclusión de clase de actividades sujetas a l”. SEXTO: Por la Subdirección General de Inspección de Datos se accede a la información relativa a la entidad reclamada disponible en el sitio web “empresia.es”. Sobre el objeto social de la empresa se indica lo siguiente: “Objeto social 7.- la enseñanza de estudios informáticos así como la prestación de servicios de consultoría, diseño, gestión e impartición de formación de todo tipo de materias y metodologías para organizaciones y administraciones tanto públicas como privadas, organismos del estado, autonomías, diputaciones y en. CNAE 6190 - Otras actividades de telecomunicaciones”. SÉPTIMO: Con fecha 04/08/2021, por la Subdirección General de Inspección de Datos se accede al Registro de Delegados de Protección de Datos de la AEPD y se comprueba que la entidad reclamada no ha notificado ninguna designación de DPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II En el presente caso, la reclamación formulada cuestiona la actuación de la entidad reclamada en relación con las cuatro cuestiones siguientes: . La falta de designación de un delegado de protección de datos. . No haber llevado a cabo una evaluación de impacto. . No disponer de un código de conducta. . Una presunta comunicación a terceros de datos personales relativos al reclamante. Es preciso destacar al respecto que el reclamante únicamente aportó documentación en relación con el asunto mencionado en el punto 4 anterior. Siendo así, debe rechazarse la reclamación en relación con el hecho de que la reclamada no disponga de una evaluación de impacto relativa a la protección de datos. Con carácter general, no cabe admitir reclamaciones genéricas que no aportan indicio alguno de infracción. En cuanto a la disposición de un código de conducta, debe precisarse que el artículo 40 del RGPD no configura esta cuestión como una obligación de los responsables y encargados del tratamiento, ni el incumplimiento de lo dispuesto en este artículo se tipifica como infracción en el artículo 83 del RGPD. En relación con la última cuestión señalada, sobre la presunta comunicación indebida de los datos personales a que hace referencia el reclamante en su escrito, no resulta posible valorar la existencia o no de esa posible comunicación ilícita de los datos, habida cuenta de la confidencialidad solicitada por el reclamante respecto de su reclamación. La imposibilidad de comunicar al reclamado la identidad de la persona y de los hechos alegados impediría al responsable presentar las alegaciones y utilizar los medios de defensa que considere oportunos. El derecho a la presunción de inocencia, reconocido en el artículo 24 de la Constitución Española, debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En consecuencia, procede analizar únicamente la cuestión relativa a la obligación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 la reclamada de designar un delegado de protección de datos. III El artículo 37 del RGPD, cuya rúbrica lleva por título “Designación del delegado de protección de datos” dispone lo siguiente: “1. El responsable y el encargado del tratamiento designarán un delegado de protección de datos siempre que:

  1. a)el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial;
  2. b)las actividades principales del responsable o del encargado consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines, requieran una observación habitual y sistemática de interesados a gran escala, o
  3. c)las actividades principales del responsable o del encargado consistan en el tratamiento a gran escala de categorías especiales de datos con arreglo al artículo 9 o de datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10. 2. Un grupo empresarial podrá nombrar un único delegado de protección de datos siempre que sea fácilmente accesible desde cada establecimiento. 3. Cuando el responsable o el encargado del tratamiento sea una autoridad u organismo público, se podrá designar un único delegado de protección de datos para varias de estas autoridades u organismos, teniendo en cuenta su estructura organizativa y tamaño. 4. En casos distintos de los contemplados en el apartado 1, el responsable o el encargado del tratamiento o las asociaciones y otros organismos que representen a categorías de responsables o encargados podrán designar un delegado de protección de datos o deberán designarlo si así lo exige el Derecho de la Unión o de los Estados miembros. El delegado de protección de datos podrá actuar por cuenta de estas asociaciones y otros organismos que representen a responsables o encargados. 5. El delegado de protección de datos será designado atendiendo a sus cualidades profesionales y, en particular, a sus conocimientos especializados del Derecho y la práctica en materia de protección de datos y a su capacidad para desempeñar las funciones indicadas en el artículo 39. 6. El delegado de protección de datos podrá formar parte de la plantilla del responsable o del encargado del tratamiento o desempeñar sus funciones en el marco de un contrato de servicios. 7. El responsable o el encargado del tratamiento publicarán los datos de contacto del delegado de protección de datos y los comunicarán a la autoridad de control”. Y, en virtud de la habilitación que confiere el apartado 4 del precepto anterior, el artículo 34 de la LOPDGDD determina, en relación con la designación de un delegado de protección de datos, lo siguiente: “1. Los responsables y encargados del tratamiento deberán designar un delegado de protección de datos en los supuestos previstos en el artículo 37.1 del Reglamento (UE) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 2016/679 y, en todo caso, cuando se trate de las siguientes entidades:
  4. a)Los colegios profesionales y sus consejos generales.
  5. b)Los centros docentes que ofrezcan enseñanzas en cualquiera de los niveles establecidos en la legislación reguladora del derecho a la educación, así como las Universidades públicas y privadas.
  6. c)Las entidades que exploten redes y presten servicios de comunicaciones electrónicas conforme a lo dispuesto en su legislación específica, cuando traten habitual y sistemáticamente datos personales a gran escala.
  7. d)Los prestadores de servicios de la sociedad de la información cuando elaboren a gran escala perfiles de los usuarios del servicio.
  8. e)Las entidades incluidas en el artículo 1 de la Ley 10/2014, de 26 de junio, de ordenación, supervisión y solvencia de entidades de crédito.
  9. f)Los establecimientos financieros de crédito.
  10. g)Las entidades aseguradoras y reaseguradoras.
  11. h)Las empresas de servicios de inversión, reguladas por la legislación del Mercado de Valores.
  12. i)Los distribuidores y comercializadores de energía eléctrica y los distribuidores y comercializadores de gas natural.
  13. j)Las entidades responsables de ficheros comunes para la evaluación de la solvencia patrimonial y crédito o de los ficheros comunes para la gestión y prevención del fraude, incluyendo a los responsables de los ficheros regulados por la legislación de prevención del blanqueo de capitales y de la financiación del terrorismo.
  14. k)Las entidades que desarrollen actividades de publicidad y prospección comercial, incluyendo las de investigación comercial y de mercados, cuando lleven a cabo tratamientos basados en las preferencias de los afectados o realicen actividades que impliquen la elaboración de perfiles de los mismos.
  15. l)Los centros sanitarios legalmente obligados al mantenimiento de las historias clínicas de los pacientes. Se exceptúan los profesionales de la salud que, aun estando legalmente obligados al mantenimiento de las historias clínicas de los pacientes, ejerzan su actividad a título individual.
  16. m)Las entidades que tengan como uno de sus objetos la emisión de informes comerciales que puedan referirse a personas físicas.
  17. n)Los operadores que desarrollen la actividad de juego a través de canales electrónicos, informáticos, telemáticos e interactivos, conforme a la normativa de regulación del juego. ñ) Las empresas de seguridad privada.
  18. o)Las federaciones deportivas cuando traten datos de menores de edad. 2. Los responsables o encargados del tratamiento no incluidos en el párrafo anterior podrán designar de manera voluntaria un delegado de protección de datos, que quedará sometido al régimen establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica. 3. Los responsables y encargados del tratamiento comunicarán en el plazo de diez días a la Agencia Española de Protección de Datos o, en su caso, a las autoridades autonómicas de protección de datos, las designaciones, nombramientos y ceses de los delegados de protección de datos tanto en los supuestos en que se encuentren obligadas a su designación como en el caso en que sea voluntaria. 4. La Agencia Española de Protección de Datos y las autoridades autonómicas de protección de datos mantendrán, en el ámbito de sus respectivas competencias, una lista actualizada de delegados de protección de datos que será accesible por medios electrónicos. 5. En el cumplimiento de las obligaciones de este artículo los responsables y encargados del tratamiento podrán establecer la dedicación completa o a tiempo parcial del delegado, entre otros criterios, en función del volumen de los tratamientos, la categoría especial de los datos tratados o de los riesgos para los derechos o libertades de los interesados”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 Los citados preceptos establecen la obligación de los responsables y encargados del tratamiento, en determinados supuestos, de designar la figura del delegado de protección de datos. En los supuestos que atañen a un grupo empresarial, se permite la posibilidad de nombrar un único delegado de protección de datos, siempre que sea accesible desde cada establecimiento. Esta figura deberá reunir los requisitos que se determinan en el propio artículo 37.5 del RGPD y 35 de la LOPDGDD, ostentará la posición que se recoge en el artículo 38 del RGPD y 36 de la LOPDGDD y desempeñará las funciones establecidas en el artículo 39 del RGPD. Los supuestos obligatorios serán aquellos enumerados en el artículo 37.1.a),
  19. b)y
  20. c)y cuando así lo exija el Derecho de la Unión o de los Estados Miembros. En este sentido, la LOPDGDD ha establecido, en su artículo 34, un listado de entidades que, actuando como responsables o encargados, estarán obligadas a designar un delegado de protección de datos. Por lo que se refiere al caso concreto objeto de este procedimiento, es necesario señalar, con carácter previo, que el objeto social y la actividad desempeñada por la mercantil no se corresponde con la de una empresa que presta servicios de comunicaciones electrónicas, que señala el reclamado en su escrito de 07/09/2020. Tampoco existe ningún indicio sobre el tratamiento de datos a gran escala. En el momento de su constitución, la citada entidad tenía como objeto social la “prestación de servicios de asesoramiento y consultoría acerca de operaciones bursátiles en los mercados financieros nacionales e internacionales. Adquisición, posesión y enajenación de valores mobiliarios y de bienes inmuebles”. Con esta actividad, la reclamada tenía la consideración de empresa prestadora de servicios de inversión y venía obligada, por ello, a la designación de un delegado de protección de datos, conforme a lo dispuesto en el artículo 34.1
  21. h)de la LOPDGDD. Sin embargo, según consta en los datos obrantes en el Registro Mercantil, en la actualidad el objeto social de la mercantil está relacionado con la impartición de formación (“la enseñanza de estudios informáticos así como la prestación de servicios de consultoría, diseño, gestión e impartición de formación de todo tipo de materias y metodologías para organizaciones y administraciones tanto públicas como privadas”). Así, considerando la actividad desarrollada, la entidad VISUAL CHART no está obligada a disponer de la figura del delegado de protección de datos, de conformidad con lo dispuesto en el artículo 34.1 de la LOPDGDD. IV Por lo tanto, se ha acreditado que la actuación de VISUAL CHART, como entidad responsable del tratamiento, ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y a la entidad reclamada. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  22. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.