← España

PA-00017-2023

1/13 Expediente N.º: EXP202302326 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 20 de septiembre de 2022 interpuso reclamación ante la autoridad de protección de datos de Francia. La reclamación se dirige contra INEXPRIV, S.L. con NIF B76058312 (en adelante, INEXPRIV). Los motivos en que basa la reclamación son los siguientes: La parte reclamante solicitó que se eliminasen fotografías suyas del sitio ***URL.1, en el que estas fotografías aparecían junto a su nombre en páginas web dedicadas a películas en las que la parte reclamante había participado. Estas fotografías habían sido obtenidas de otros sitios en los que ya se habían eliminado las fotografías de la parte reclamante. - Impresión de correo electrónico remitido por ***EMAIL.1 (en adelante, email de la parte reclamante) hacia ***EMAIL.2, de fecha 20 de agosto de 2022, en el que la parte reclamante solicita la supresión de sus datos personales de la siguiente manera: “Dear Madam, Dear Sir, I am asking for the deletion of my profile from your website as I am not an actress anymore. ***URL.2 Please proceed to the deletion of the profile as quickly as possible.” [Traducción no oficial: “Estimada señora, estimado señor: Le solicito la supresión de mi perfil de su sitio web porque ya no soy actriz. ***URL.2 Por favor, realice la supresión de mi perfil tan pronto como pueda.”] Junto a este texto, se aporta una impresión de una búsqueda en Google en la que se ha introducido como criterio de búsqueda el nombre y apellido de la parte reclamante y aparece, como tercer resultado, un enlace a un perfil con ese nombre y apellido en el sitio web ***URL.1. - Impresión de correo electrónico remitido desde el email de la parte reclamante hacia ***EMAIL.2 y ***EMAIL.3, de fecha 5 de septiembre de 2022, en el que la parte reclamante solicita la supresión de sus datos personales de la siguiente manera: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 “Dear Sir, Dear Madam, Pursuant to DataPrivacy laws, I request the delete of my profile page on cine.com. Please treat this request as urgent. Kind regards” [Traducción no oficial: “Estimado señor, estimada señora: Conforme a la regulación de privacidad de datos, le solicito que elimine mi perfil de la página cine.com. Por favor, trate esta solicitud como urgente. Atentamente”] - Impresión del resultado de una búsqueda WHOIS del nombre de dominio “cine.com”. De esta búsqueda, se extrae, entre otras, la siguiente información: que el nombre de dominio “cine.com” fue registrado por INEXPRIV S.L., situada en Las Palmas (España). SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 20 de febrero de 2023 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) el 21 de febrero de 2023. El traslado de esta reclamación a la AEPD se realizó de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que INEXPRIV tiene su establecimiento único en España. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, la autoridad de protección de datos de Francia actúa como autoridad interesada, de acuerdo con lo dispuesto en el artículo 4.22) letra

  1. c)del RGPD, al ser la autoridad de control frente a la que se ha presentado la reclamación, sin que otras autoridades de control se hubieran declarado interesadas en el presente procedimiento. TERCERO: Con fecha 22 de marzo de 2023, de conformidad con el artículo 64 entonces vigente de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1. En la fecha del 15 de junio de 2023, se realiza una navegación en el sitio web ***URL.1, y se obtiene, entre otra, la siguiente información: - Existe un perfil con la filmografía de A.A.A., en el que aparecen 6 títulos. - Dentro del apartado del sitio web ***URL.1 dedicado a “Contacto”, se ofrecen las siguientes opciones para contactar con el sitio web: - Un formulario web. - Enlaces a los perfiles de cine.com en Facebook, Instagram y Twitter. - La dirección postal “***DIRECCIÓN.1” - El número de teléfono “+***TELÉFONO.1” - El email “***EMAIL.2” 2. En la fecha del 14 de julio de 2023, se realiza una navegación en el sitio web ***URL.3 mediante la que se obtiene el contenido histórico de la página web “***URL.1”, obteniendo, entre otra, la siguiente información: - La página web “***URL.1” contiene la política de privacidad del sitio web “***URL.1”. - La versión histórica de la página web “***URL.1” almacenada en ***URL.3 inmediatamente anterior a la solicitud de supresión realizada por la parte reclamante corresponde a la fecha de 20 de enero de 2022. Dentro de esta versión, en la sección “Responsable del tratamiento”, aparece que el responsable del tratamiento es “Inexpriv S.L. - Dirección: ***DIRECCIÓN.1, España - Correo electrónico: ***EMAIL.2”; y, en la sección “Derechos de los interesados”, se indica lo siguiente: “Puede ejercer sus derechos de acceso, rectificación, supresión y portabilidad de sus datos, de limitación y oposición a su tratamiento, así como a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado de sus datos, cuando procedan, en la dirección de correo electrónico ***EMAIL.4. indicando en el mismo el email con el que se registró y su número de usuario, y será eliminado inmediatamente de nuestra base de datos. La revocación de dicho consentimiento supondrá la pérdida de todos los datos almacenados en nuestra base de datos para el email en cuestión, no pudiendo ser recuperados en el futuro.” 3. El día 4 de julio de 2023, se presenta un escrito ante la AEPD en nombre y representación de INEXPRIV como respuesta a un requerimiento de información, en el que se aporta, entre otra, la siguiente información: - Indicación de que “No se ha podido actuar por desconocimiento del caso hasta el momento en que hemos leído su notificación. El mismo día en que se leyó (21 de junio) se procedió a eliminar la página web de la solicitante.” - Indicación, respecto a las causas que originaron esta reclamación, de que “Los mails de la reclamante llegaron a la carpeta de SPAM por lo que no hemos sabido de esta situación hasta que nos enviaron esta notificación electrónica.” … “probablemente porque el mail fue enviado en inglés el filtro lo bloqueó y no hemos podido atender la petición hasta que nos llegó esta notificación.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 - Indicación de que se ha enviado una contestación a la parte reclamante por email en idiomas inglés y español, y se transcribe el texto de este email, que es el siguiente: “Dear A.A.A.. In response to your request, we have proceeded to eliminate from our database all the information related to the actress “A.A.A.”, including the images and the url ***URL.1. We feel the inconvenience caused. We remain at your disposal for any questions that may arise through the email ***EMAIL.2 Estimada A.A.A. Atendiendo a su petición hemos procedido a eliminar de nuestra base de datos toda la información relativa a la actriz “A.A.A.”, incluidas las imágenes y la url ***URL.1. Sentimos las molestias ocasionadas. Quedamos a su disposición para cualquier duda que le pueda surgir a través del correo electrónico ***EMAIL.2” - Indicación, respecto a las medidas tomadas tras recibir el requerimiento de información, de que: “El día 21 de junio se eliminó la página de A.A.A. (***URL.1) y el día 4 de julio se ha indicado a los robots (google, bing…) que no sea indexada, a través del (…), de este modo, aunque ya no hay información, los buscadores no la indexarán. El 3 de julio se ha añadido una página específica que indica claramente que el contenido ha sido eliminado. En el sistema anterior eran redirigidas a una página general de actores. El 3 de julio se ha implementado en el backend un sistema de seguimiento de estos casos para poder ser revisados, desde que se notifican hasta que son eliminados. El 3 de julio, como en muchas ocasiones actores y actrices (o fans de los mismos) nos piden aparecer en la página, se ha incorporado un código que no permite añadir un actor o actriz a la base de datos que haya sido eliminado previamente. Esto evita que alguien pueda añadir en el futuro, en resumen, las URLs quedan bloqueadas. El 3 de julio se ha rebajado el filtro antispam para permitir que entre más cantidad de correo en la bandeja de entrada, además, la bandeja de SPAM será revisada para evitar falsos positivos.” 4. En la fecha del 13 de julio de 2023, se realiza una navegación en el sitio web ***URL.1, y se obtiene, entre otra, la siguiente información: - La página web ***URL.1 redirige hacia ***URL.1, que muestra el siguiente mensaje: “Página eliminada. Esta página ha sido eliminada de la base de datos”. 5. En la fecha del 14 de julio de 2023, se realiza una navegación en el sitio web https://www.google.com, y se obtiene, entre otra, la siguiente información: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 - Se realizan búsquedas de los términos “A.A.A.” sin obtener resultados relacionados con la parte reclamante en los cuatro primeros resultados. - Se realizan búsquedas de los términos “A.A.A.” que se encuentren dentro del sitio web “cine.com” sin encontrar resultados. QUINTO: De acuerdo con la búsqueda realizada el día 17 de julio de 2023 en el servicio Monitoriza de Axesor (***URL.4), consta que la entidad INEXPRIV S.L. es una empresa de tipo “Autónoma” con un capital social de XX.XXX €. SEXTO: Con fecha 1 de marzo de 2024, la Directora adoptó un proyecto de acuerdo de inicio de procedimiento de apercibimiento. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 5 de marzo de 2024 se transmitió a través del sistema IMI el citado proyecto y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, la autoridad de control de Francia presentó observaciones al citado proyecto de acuerdo de inicio de procedimiento de apercibimiento, razón por la que el día 2 de abril de 2024 la Agencia Española de Protección de Datos retiró la citada decisión del sistema IMI. El plazo de tramitación de las actuaciones quedó suspendido automáticamente durante ese plazo, de acuerdo con lo establecido en el artículo 64 de la LOPDGDD. SÉPTIMO: Con fecha 3 de abril de 2024, la Directora adoptó un proyecto de acuerdo de inicio de procedimiento de apercibimiento. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 4 de abril de 2024 se transmitió a través del sistema IMI el citado proyecto y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. El plazo de tramitación de las actuaciones quedó suspendido automáticamente durante ese plazo, de acuerdo con lo establecido en el artículo 64 de la LOPDGDD. OCTAVO: Con fecha 6 de mayo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del Artículo 17 del RGPD, tipificada en el Artículo 83.5.
  2. b)del RGPD. NOVENO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogida en fecha 6 de mayo de 2024 como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 DÉCIMO: En fecha 18 de mayo de 2024 se recibe escrito de alegaciones de la parte reclamada en el que, en síntesis, se recogen las siguientes consideraciones: INEXPRIV pone de manifiesto que, tras la notificación recibida, han adoptado las medidas siguientes: 1. Eliminación del perfil: La eliminación del perfil de la parte reclamante, incluyendo imágenes y la URL, se produjo el día 21 de junio de 2023, el mismo día que recibieron la primera comunicación por parte de esta Agencia. 2. Actualización del sistema de correos: Han identificado que los correos electrónicos enviados por la parte reclamante no llegaron a la carpeta principal de correo, y la razón que ofrecen es que probablemente el filtro actuó debido a que estaban redactados en inglés. Para evitar que esta situación vuelva a suceder, han ajustado la configuración del filtro de spam, para que permita la entrada de prácticamente todos los correos electrónicos, independientemente del idioma. 3. Medidas adicionales: Como medidas adicionales, manifiestan que: - han implementado un sistema de seguimiento y gestión para solicitudes de derechos de los interesados, asegurando que todas las solicitudes sean revisadas y atendidas de manera oportuna. - se ha añadido una página específica en nuestro sitio web indicando claramente que el contenido ha sido eliminado, para garantizar transparencia y claridad para los usuarios. - se ha creado un código en sus sistemas que impiden la reincorporación de perfiles que hayan sido eliminados previamente, para asegurar que no puedan ser añadidos en un futuro. Asimismo, INEXPRIV quiere enfatizar que actuaron de inmediato, en cuanto tuvieron conocimiento de la situación, incluso antes de determinar si la información era de carácter público o no. Por todo ello, solicitan que se considere la eliminación del apercibimiento, al haber demostrado su compromiso con la protección de datos, y haber implementado medidas para asegurar el cumplimiento de la normativa y prevenir futuras incidencias. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 HECHOS PROBADOS PRIMERO: La parte reclamante ha presentado reclamación, en la que se comprueba que, en fecha 20 de agosto envió un correo electrónico a la dirección ***EMAIL.2, y 5 de septiembre de 2022 envió otro correo electrónico a la dirección ***EMAIL.2 y la dirección ***EMAIL.3 solicitando la supresión de sus datos. SEGUNDO: Se ha comprobado que la dirección ***EMAIL.2 figura como dirección del responsable del tratamiento en la política de privacidad, al expresarse de la siguiente manera: “Responsable del tratamiento”, aparece que el responsable del tratamiento es “Inexpriv S.L. - Dirección: ***DIRECCIÓN.2, España - Correo electrónico: ***EMAIL.2” TERCERO: Consta que INEXPRIV ha procedido a suprimir los datos de la parte reclamante, mediante un correo electrónico enviado a la parte reclamante, en la que figura expresamente como dirección de contacto ***EMAIL.2 . FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con los poderes que el artículo 58.2 y 60 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que INEXPRIV realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellido, imagen, entre otros tratamientos. INEXPRIV realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que INEXPRIV está establecida en España, si bien presta servicio a otros países de la Unión Europea. Por su parte, el artículo 17 del RGPD regula el derecho de supresión (derecho al olvido). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 III Alegaciones aducidas En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento de apercibimiento, se procede a dar respuesta a las mismas según el orden expuesto por INEXPRIV: INEXPRIV básicamente alega que desde el día 21 de junio de 2023, fecha en que recibió el primer escrito por parte de esta Agencia, procedió a eliminar el perfil de la parte reclamante. Manifiesta que identificaron que los correos electrónicos de la parte reclamante no llegaron a la carpeta principal, probablemente porque el filtro actuó al estar redactados en inglés, y que para evitar que esto pueda volver a suceder han ajustado el filtro de spam. Además, ponen de manifiesto que han adoptado una serie de medidas para evitar que una situación similar pueda volver a suceder. Por último, solicitan que se considere la eliminación del apercibimiento, teniendo en cuenta que actuaron en cuanto supieron de la situación, y en función de las medidas adoptadas. En relación con esta cuestión, las Directrices 01/2022 sobre los derechos de los interesados-Derecho de acceso, señalan que “no hay requisitos específicos sobre el formato de una solicitud. El responsable del tratamiento debe proporcionar canales de comunicación adecuados y fáciles de usar que puedan ser utilizados fácilmente por el interesado. Sin embargo, el interesado no está obligado a utilizar estos canales específicos y, en su lugar, puede enviar la solicitud a un punto de contacto oficial del responsable del tratamiento. El responsable del tratamiento no está obligado a responder a las solicitudes que se envían a direcciones completamente aleatorias o aparentemente incorrectas”. De este modo, en el apartado 3.1.2 relativo a la forma de la solicitud, se recoge: 52. Como se ha señalado anteriormente, el RGPD no impone ningún requisito a los interesados en relación con la forma de la solicitud de acceso a los datos personales. Por lo tanto, en principio no hay requisitos en virtud del RGPD que los interesados deban observar a la hora de elegir un canal de comunicación a través del cual entren en contacto con el responsable del tratamiento. 53. El CEPD anima a los responsables del tratamiento a que proporcionen los canales de comunicación más adecuados y fáciles de usar, de conformidad con el artículo 12, apartado 2, y el artículo 25, a fin de que el interesado pueda presentar una solicitud efectiva. No obstante, si el interesado presenta una solicitud a través de un canal de comunicación proporcionado por el responsable del tratamiento, que es diferente del indicado como preferible, dicha solicitud se considerará, en general, efectiva y el responsable del tratamiento debe tramitar dicha solicitud en consecuencia (véanse los ejemplos que figuran a continuación). Los responsables del tratamiento deben realizar todos los esfuerzos razonables para asegurarse de que se facilita el ejercicio de los derechos de los interesados (por ejemplo, en caso de que el interesado envíe la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13 solicitud a un empleado que se encuentre en situación de baja, un mensaje automático que informe al interesado sobre un canal de comunicación alternativo para su solicitud podría ser un esfuerzo razonable). 54. Cabe señalar que el responsable del tratamiento no está obligado a responder a una solicitud enviada a una dirección de correo electrónico (o postal) aleatoria o incorrecta, no facilitada directamente por el responsable del tratamiento, ni a ningún canal de comunicación que claramente no esté destinado a recibir solicitudes relativas a los derechos del interesado, si el responsable del tratamiento ha proporcionado un canal de comunicación adecuado que pueda ser utilizado por el interesado. 55. El responsable del tratamiento tampoco está obligado a responder a una solicitud enviada a la dirección de correo electrónico del empleado del responsable del tratamiento que puede no participar en el tratamiento de solicitudes relativas a los derechos de los interesados (por ejemplo, conductores, personal de limpieza, etc.). Estas solicitudes no se considerarán eficaces si el responsable del tratamiento ha proporcionado claramente al interesado un canal de comunicación adecuado. No obstante, si el interesado envía una solicitud al empleado del responsable del tratamiento que se ocupa diariamente de los asuntos del interesado (contacto único de un cliente, como, por ejemplo, el gestor de cuentas personales), dicho contacto no debe considerarse aleatorio y el responsable del tratamiento debe hacer todos los esfuerzos razonables para tramitar dicha solicitud de manera que pueda ser redirigido al punto de contacto y responder dentro de los plazos previstos por el RGPD. 56. No obstante, el CEPD recomienda, como buena práctica, que los responsables del tratamiento introduzcan mecanismos adecuados para facilitar el ejercicio de los derechos de los interesados, incluidos sistemas de autorrespuesta para informar sobre ausencias del personal y el contacto alternativo adecuado y, cuando sea posible, mecanismos para mejorar la comunicación interna entre empleados sobre las solicitudes recibidas por quienes puedan no ser competentes para tramitarlas.” En el presente supuesto, la parte reclamante se dirigió en dos ocasiones al correo electrónico ***EMAIL.2 solicitando la eliminación de sus datos personales. INEXPRIV ha reconocido que no ha procedido a atender el ejercicio de derecho de la parte reclamante porque no lo ha recibido al haber podido ir a la carpeta de spam, y que para que no vuelva a suceder una cosa similar, ha adoptado una serie de medidas, que enumera en su escrito. En este sentido, de conformidad con estas manifestaciones, el derecho no fue atendido hasta que no recibió la solicitud de información enviada desde esta Agencia, en fecha 21 de junio de 2023, según reconoce INEXPRIV, mientras que la primera solicitud de la parte reclamante es de 20 de agosto de 2022. En este caso, la parte reclamante se dirigió a una dirección de correo electrónico habilitada por INEXPRIV, para la solicitud de supresión. Además, en el correo electrónico por el que se comunica a la parte reclamante la supresión de los datos, se recoge esa misma dirección de correo como dirección de contacto para cualquier cuestión que quiera plantear. Por tanto, atendiendo a estas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 circunstancias, y según lo recogido en las directrices anteriormente mencionadas, no se puede atender a la petición realizada por INEXPRIV, de eliminar el apercibimiento. IV Derecho de supresión (Derecho al olvido) El Artículo 17 “Derecho de supresión («el derecho al olvido»)” del RGPD establece: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
  3. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
  4. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
  5. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
  6. d)los datos personales hayan sido tratados ilícitamente;
  7. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
  8. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. (…)” Por su parte, el artículo 12 “Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado” del RGPD establece que: “(…) 3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo. 4. Si el responsable del tratamiento no da curso a la solicitud del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13 interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. (…)” En el presente caso, ha quedado constatado que la parte reclamante solicitó la supresión de sus datos personales en dos ocasiones, en fecha 20 de agosto de 2022 y 5 de septiembre de 2022, que no fueron atendidas. Estas solicitudes se enviaron al correo electrónico ***EMAIL.2. INEXPRIV ha manifestado como posible causa de no haber atendido la solicitud de la parte reclamante el que los mails llegaron a la carpeta de SPAM, por lo que no habrían sabido de esta situación hasta que recibieron la notificación electrónica enviada por esta Agencia. Asimismo, ha manifestado que han procedido a suprimir los datos de la parte reclamante en fecha 21 de junio de 2023, y han enviado un correo electrónico a la parte reclamante desde la dirección de correo electrónico ***EMAIL.2 comunicándoselo. De esta afirmación se concluye que hasta junio de 2023 la parte reclamante no ha obtenido ninguna respuesta a su solicitud. Es decir, el plazo legal establecido para dar alguna respuesta a la solicitud de la parte reclamante sobre la supresión de sus datos personales se había visto superado. No obstante, a efectos del plazo de prescripción de las infracciones, el artículo 74 de la LOPDGDD califica de leve la siguiente conducta: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 (…)” Por tanto, al haber transcurrido más de un año desde que INEXPRIV debió dar alguna respuesta a la parte reclamante, la posible infracción del artículo 12 estaría prescrita. Sin embargo, sí se ha constatado que la solicitud de supresión no ha sido atendida en plazo, hecho que supondría una infracción del artículo 17 del RGPD. Por ello, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento de apercibimiento, se considera que los hechos conocidos son constitutivos de una infracción, imputable a INEXPRIV, por vulneración del artículo 17 del RGPD. V Tipificación y calificación de la infracción del artículo 17 del RGPD Los hechos conocidos son constitutivos de una la infracción imputable a INEXPRIV, tipificada en el artículo 83.5.
  9. b)del RGPD que considera infracción las infracciones de las disposiciones de los derechos de los interesados a tenor de los artículos 12 a 22 (art. 83.5.b RGPD) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 A efectos del plazo de prescripción, el artículo 72.1.
  10. k)“infracciones consideradas muy graves” de la LOPDGDD dispone lo siguiente: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  11. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679.” V Apercibimiento por la infracción del artículo 17 del RGPD Sin perjuicio de lo dispuesto en el apartado artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.
  12. b)del artículo 58 “Poderes” lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  13. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” El artículo 64 de la LOPDGDD que regula la “Forma de iniciación del procedimiento y duración”, en su apartado tercero dispone que: “3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo.” En el presente caso, considerando las circunstancias enumeradas en el artículo 83.2 RGPD, una vez analizada toda la documentación que obra en el expediente, se considera conforme a derecho dirigir un apercibimiento a INEXPRIV. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a INEXPRIV, S.L., con NIF B76058312, por una infracción del Artículo 17 del RGPD, tipificada en el Artículo 83.5.
  14. b)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a INEXPRIV, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  15. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.