E-12088-2019

1/4  Procedimiento Nº: E/12088/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por D. A.A.A. (en adelante, el reclamante) tiene entrada con fecha 01/07/2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra SECTOR ALARM SPAIN, S.A.U., con CIF A29112869 (en adelante, el reclamado). Los motivos en que basa la reclamación son en síntesis: que el año 2015 contrató la instalación y el servicio de seguridad de una alarma con la empresa Seguriber (Alartec); al intentar darse de baja, el reclamado le reclama un recibo que dice tener impagado y al observar los recibos facturados con anterioridad se da cuenta de que es dicha empresa quien le está facturando; presento queja ante la OMIC al no informarle de que iban a ceder sus datos personales y bancarios, respondiendo el reclamado que ellos han gestionado el cobro de las cuotas correspondientes. Aporta entre otros: - Copia del DNI - Contrato realizado con Seguriber (Alartec), solicitud de baja, recibo impagado, etc. - Reclamación ante la OMIC SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: El 23/09/2019 fue trasladada a la entidad denunciada la reclamación presentada para su análisis y comunicación al denunciante de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. El 04/11/2019 el reclamado respondía señalando que el reclamante en ningún momento ha efectuado reclamación previa a Alartec, pese a que en la página web de la citada mercantil figura la dirección de correo electrónico donde dirigir cualquier C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 cuestión relacionada con la protección de datos (protecciondedatos@invseguridad.com). Que el 12/01/2018, Alartec llevó a cabo una venta de su patrimonio y como consecuencia los contratos que eran titularidad de Alartec pasaron a ser titularidad del reclamado como sociedad adquirente de dicho activo. Que esta cesión de datos de carácter personal no requiere el consentimiento del afectado de conformidad con el artículo 21 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y garantía de derechos digitales. Que no obstante, para mayor garantía, se llevó a cabo una prueba de sopesamiento entre el interés legítimo de Alartec, como Responsable del tratamiento, y los derechos y/o libertades de sus clientes, como consecuencia de la venta de su fondo de comercio al reclamado, concluyendo que prevalece el interés legítimo del Responsable. Que se informó a los afectados del cambio de prestador del servicio mediante correo electrónico enviado el 05/06/

1. Que el servicio de gestión de cobro llevado a cabo por el despacho de abogados ACM LEGAL Asistencia Jurídica Especializada, S.L.P., implica un tratamiento de datos llevado a cabo bajo las propias instrucciones y fines del reclamado, como responsable del tratamiento de los datos que adquirió tal condición como consecuencia de la operación descrita anteriormente, por lo queda fuera de la responsabilidad de Alartec. TERCERO: Con fecha 20/12/2019, de conformidad con el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El artículo 21 de la LOPDGDD, Tratamientos relacionados con la realización de determinadas operaciones mercantiles, establece que: “
2. Salvo prueba en contrario, se presumirán lícitos los tratamientos de datos, incluida su comunicación con carácter previo, que pudieran derivarse del desarrollo de cualquier operación de modificación estructural de sociedades o la aportación o transmisión de negocio o de rama de actividad empresarial, siempre que los tratamientos fueran necesarios para el buen fin de la operación y garanticen, cuando proceda, la continuidad en la prestación de los servicios.
3. En el caso de que la operación no llegara a concluirse, la entidad cesionaria deberá proceder con carácter inmediato a la supresión de los datos, sin que sea de aplicación la obligación de bloqueo prevista en esta ley orgánica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 Los tratamientos relacionados con la realización de determinadas operaciones mercantiles están incluidos en el Título IV de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), relativo a disposiciones aplicables a tratamientos concretos, de manera que se establece cuál es la base de licitud. En la LOPDGDD, los tratamientos de datos personales, incluidas la comunicación con carácter previo, que puedan derivarse operación de modificación estructural de sociedades o la aportación o transmisión de negocio o de rama de actividad empresarial, se presumirán lícitos siempre que fueran necesarios para el buen fin de la operación y garanticen, cuando proceda, la continuidad en la prestación de los servicios. En concreto, la licitud de dicho tratamiento de datos personales en estas operaciones mercantiles se basa en el interés legítimo perseguido por el responsable del tratamiento o por un tercero. Es decir, la licitud del tratamiento de datos personales va a depender en este caso de que sean necesarios para llevar a cabo la operación y de que se garantice la continuidad en la prestación de los servicios. Ahora bien, y como bien señala en el apartado 2 del artículo 21 de la LOPDGDD, si la operación puesta en marcha no se concluyera la entidad cesionaria deberá proceder con carácter inmediato a la supresión de los datos, sin que sea de aplicación la obligación de bloqueo prevista en aquélla. Es decir, no se bloquearán los datos personales y se procederá, de inmediato, a su supresión o destrucción. Hay que señalar que Alartec el 12/01/2018, vendió parte de su patrimonio siendo la sociedad adquirente el reclamado, y aporta copia del contrato suscrito entre ambos. La cesión de datos de carácter personal amparada por dicha operación no requiere el consentimiento del afectado, tal y como recoge el art. 21 de la LOPDGDD. Por otra parte, Alartec ha acreditado igualmente que informó a los afectados del cambio de prestador del servicio mediante correo electrónico enviado el 05/06/
4. Asimismo, la gestión de cobro llevado a cabo por ACM LEGAL Asistencia Jurídica Especializada, S.L.P., implica un tratamiento de datos llevado a cabo bajo las instrucciones del reclamado, como responsable del tratamiento de los datos que fueron adquiridos como consecuencia de la operación societaria descrita anteriormente, en condición de encargado del tratamiento, es decir, la persona física o jurídica, autoridad pública, servicio u otro organismo que trata datos por cuenta del responsable del tratamiento. III Por lo tanto, se ha acreditado que la actuación del reclamado como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. y a SECTOR ALARM SPAIN, S.A.U., con CIF A
5. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es