1/13 Expediente N.º: EXP202301321 - RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 2 de febrero de 2023 interpuso reclamación ante la autoridad de protección de datos de Baja Sajonia, Alemania. La reclamación se dirige contra JCDECAUX ESPAÑA, S.L.U. con NIF B28762003 (en adelante, JCDECAUX). Los motivos en que basa la reclamación son los siguientes: La parte reclamante solicitó la supresión de sus datos personales a JCDECAUX el 22 de diciembre de 2022. El 30 de enero de 2023, la parte reclamante aún no había recibido ninguna respuesta por parte de JCDECAUX y sus datos no habían sido suprimidos. Junto a la reclamación se aporta. - Impresión de correo electrónico remitido por ***EMAIL.1 (en adelante, email de la parte reclamante) hacia protecciondedatos@jcdecaux.com fechado el 22 de diciembre de 2022 con el siguiente contenido (el original en alemán): Traducción no oficial: “Hola, por favor, elimine mi cuenta de Sevici y todos los datos conectados a ella, tal como, pero no limitados a ella, la información de pago. Saludos” - Impresión de pantalla de una aplicación de móvil en la que se observa que, con el título “MY PROFILE” [Traducción no oficial: “Mi perfil”], asociado al email de la parte reclamante, aparece un apartado con datos que se denomina “My payment information” [Traducción no oficial: “Mi información de pago”]. SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 2 de febrero de 2023 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) 3 de febrero de 2023. El traslado de esta reclamación a la AEPD se realizó de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que JCDECAUX tiene su establecimiento principal en España. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada”, además de la autoridad alemana de protección de datos de Baja Sajonia, las autoridades de Bélgica, Francia, Italia, y la autoridad alemana de Bavaria Private Sector, todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en el territorio de estas autoridades de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. TERCERO: Con fecha 6 de febrero de 2023, de conformidad con el artículo 64 entonces vigente de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: El día 29 de junio de 2023, se presenta un escrito ante la AEPD en nombre y representación de JCDECAUX como respuesta a un requerimiento de información (que fue recogido el 20 de junio de 2023), en el que se aporta, entre otra, la siguiente información: 1. Copia de la política de privacidad vigente en el momento en que la parte reclamante realizó su solicitud de supresión (22 de diciembre de 2022). Dentro de la sección “7. SUS DERECHOS” de esta política de privacidad, respecto a la forma de ejercer los derechos se indica lo siguiente: “Para ejercer tal derecho, puede mandar una solicitud: - Por correo electrónico: protecciondedatos@jcdecaux.com - Por correo postal: JCDecaux España, S.L. Att.: Departamento Protección de Datos Personales Avenida de Aragón, 328 Polígono Industrial “Las Mercedes” 28022 Madrid Su solicitud debe especificar su nombre y sus apellidos, la dirección de correo electrónico que se ha utilizado para crear su cuenta y su número de suscripción. Es posible que, en algunos casos, le pidamos que incluya una copia de su documento de identidad junto con su solicitud para verificar su identidad.” 2. Indicación de que “Tras efectuar un exhaustivo análisis y llevar a cabo las comprobaciones oportunas, no nos consta registro alguno de entrada, a la infraestructura del Grupo JCDecaux, del correo electrónico enviado por A.A.A. en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 fecha 22 de diciembre de 2022, a través de la dirección ***EMAIL.1 a la dirección que se tiene habilitada para el ejercicio de derechos por parte de los afectados, protecciondedatos@jcdecaux.com.” ... “Desde la casa matriz de JCDecaux en Francia, lugar desde donde se gestionan nuestros sistemas de información, se ha comprobado el buzón y las plataformas antispam del precitado correo y no se ha encontrado ningún rastro de correo electrónico de este remitente.” Y se aporta una impresión de pantalla de una búsqueda de correos remitidos por el email de la parte reclamante en dos buzones de la cuenta de correo protecciondedatos@jcdecaux.com obteniendo un total de cero resultados. Como posible causa, se indica que “Habida cuenta que la dirección de correo de la parte reclamante pudiera ser de dudosa fiabilidad por su nomenclatura en sí misma y que los sistemas de seguridad de la infraestructura de mensajes del Grupo JCDecaux se ayuda de una plataforma externa para filtrar los correos que pudieran ser spam, suponemos que ha sido este filtro el causante que nuestros sistemas hayan bloqueado directamente el correo de la parte reclamante y, por tanto, en nuestros sistemas no consten registros de entrada de este correo en nuestra infraestructura de mensajes” 3. Indicación de que, a raíz de la solicitud enviada por la AEPD junto al requerimiento de información, se ha decidido cancelar la cuenta de la parte reclamante, eliminar sus datos y que el delegado de protección de datos informe de esto a la parte reclamante. 4. Impresión de un correo electrónico dirigido al email de la parte reclamante, fechado el 27 de junio de 2023 con el siguiente texto: “A.A.A., We hope this email finds you well. We are contacting you regarding an account deletion request (…) requested through the Lower Saxony Data Protection Authority. Therefore, please be informed that we will proceed with such request and contact you when the cancellation is dully completed. Do not hesitate to contact us in case of further assistance. Thanks and best regards,” Traducción no oficial: “A.A.A.: Esperamos que este correo electrónico le encuentre bien. Nos ponemos en contacto con usted en relación con una solicitud de eliminación de cuenta que (…) solicitó a través de la Autoridad de Protección de Datos de Baja Sajonia. De este modo, le informamos de que procederemos con dicha solicitud y nos pondremos en contacto con usted cuando la cancelación se complete debidamente. No dude en ponerse en contacto con nosotros en caso de necesitar algo más. Gracias y saludos cordiales,” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 5. Impresión de un correo electrónico dirigido al email de la parte reclamante, fechado el 29 de junio de 2023 con el siguiente texto: “A.A.A.: We hope this email finds you well. We hereby inform you that we have proceeded with your request, and we inform you that your personal data has been successfully removed from our database. Please do not hesitate to contact us in case of further assistance. Best regards,” [Traducción no oficial: “A.A.A.: Esperamos que este correo electrónico le encuentre bien. Le informamos que hemos procedido con su solicitud, y le informamos que sus datos personales han sido eliminados correctamente de nuestra base de datos. Por favor, no dude en ponerse en contacto con nosotros en caso de necesitar algo más. Saludos cordiales”] 6. Indicación, respecto a las medidas adoptadas para evitar que se produzcan incidentes similares, de que “Tomando en consideración las medidas seguridad de los sistemas de información, con fecha 28 de junio de 2023 se ha tomado la medida de incrementar las notificaciones de la plataforma que filtra los correos que pudieran ir a spam para tener un mayor seguimiento de las posibles reclamaciones que pudieran entrar directamente a la plataforma spam. Por cuestiones de seguridad, en JCDecaux España no podemos tener control sobre aquellas reclamaciones que puedan ser bloqueadas previamente por la plataforma spam, ya que son criterios aplicados por la plataforma directamente.” QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad JCDECAUX ESPAÑA, S.L.U. es una empresa de tipo “Matriz de grupo” con un volumen de ventas, en el ejercicio 2022, de ***CANTIDAD.1 euros y 567 empleados. SEXTO: Con fecha 22 de diciembre de 2023, la Directora adoptó un proyecto de acuerdo de inicio de procedimiento de apercibimiento. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 22 de diciembre de 2023 se transmitió a través del sistema IMI el citado proyecto y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. El plazo de tramitación de las actuaciones quedó suspendido automáticamente durante ese plazo, de acuerdo con lo establecido en el artículo 64 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 SÉPTIMO: Con fecha 22 de enero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del 17 del RGPD tipificada en el artículo 83.5 del RGPD. OCTAVO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogida en fecha 22 de enero de 2024, como consta en el acuse de recibo que obra en el expediente. NOVENO: En fecha 2 de febrero de 2024 se recibe escrito de alegaciones de JCDECAUX en el que, en síntesis, se recogen las siguientes consideraciones: 1. JCDECAUX recibió el día 20 de junio de 2023 la resolución por la que se pretende aclarar los términos de la reclamación interpuesta por la parte reclamante, relativo al ejercicio de supresión de datos. En este sentido, se reitera en todo lo manifestado, y por ello, aquí reproduce lo mismo que ya contestó en fecha 29 de junio de 2023:
- a)adjuntaba la copia de la política de privacidad y condiciones de uso que se encontraba vigente en la fecha en que la parte reclamante solicitó el ejercicio del derecho. Asimismo, la adjunta en el presente escrito como documento nº 1. En este sentido, se puede observar: Dentro de la sección “7. SUS DERECHOS” de esta política de privacidad, respecto a la forma de ejercer los derechos se indica lo siguiente: “Para ejercer tal derecho, puede mandar una solicitud: - Por correo electrónico: protecciondedatos@jcdecaux.com - Por correo postal: JCDecaux España, S.L. Att.: Departamento Protección de Datos Personales Avenida de Aragón, 328 Polígono Industrial “Las Mercedes” 28022 Madrid Su solicitud debe especificar su nombre y sus apellidos, la dirección de correo electrónico que se ha utilizado para crear su cuenta y su número de suscripción. Es posible que, en algunos casos, le pidamos que incluya una copia de su documento de identidad junto con su solicitud para verificar su identidad.”
- b)copia del contrato o licencia de usuario que la parte reclamante aceptó para darse de alta en el servicio, y que vuelve a adjuntar como documento nº 2.
- c)en relación con las actuaciones realizadas respecto a la solicitud de la parte reclamante, JCDECAUX manifestaba que, tras las comprobaciones oportunas, no constaba ningún registro de entrada del correo electrónico enviado por la parte reclamante a la infraestructura del grupo, a la dirección del correo electrónico “protecciondedatos@jcdecaux.com” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13
- d)en caso de haber dado respuesta a la solicitud de ejercicio de derechos de la parte reclamante, se requería la acreditación de la respuesta. A esta cuestión, JCDECAUX manifestaba que no se pudo dar respuesta a la misma, al no constar dicho correo electrónico. Asimismo, manifestaba que, desde la casa matriz en Francia, lugar desde donde se gestionan los sistemas de información de JCDECAUX se ha comprobado el buzón y las plataformas antispam del precitado correo y no se ha encontrado ningún rastro del correo electrónico de la parte reclamante. Adjuntan captura de pantalla donde se constatan dichas confirmaciones como documento nº 3.
- e)manifiestan que, tras la recepción del escrito de esta Agencia han procedido a contactar con la parte reclamante para informarle de que su solicitud será atendida. Para ello aporta como documento nº 4 dicho correo electrónico en el que se puede leer, (en inglés, el original): “A.A.A.: Esperamos que este correo electrónico le encuentre bien. Nos ponemos en contacto con usted en relación con una solicitud de eliminación de cuenta que (…) solicitó a través de la Autoridad de Protección de Datos de Baja Sajonia. De este modo, le informamos de que procederemos con dicha solicitud y nos pondremos en contacto con usted cuando la cancelación se complete debidamente. No dude en ponerse en contacto con nosotros en caso de necesitar algo más. Gracias y saludos cordiales,” Asimismo, manifiestan haber procedido a cancelar la cuenta y a eliminar los datos de la parte reclamante.
- f)la respuesta enviada a la parte reclamante es de fecha 27 y 29 de junio de 2023, y la vuelven adjuntar a este escrito como documento nº 5. En dicha comunicación se puede leer (en inglés, el original) “A.A.A.: Esperamos que este correo electrónico le encuentre bien. Le informamos que hemos procedido con su solicitud, y le informamos que sus datos personales han sido eliminados correctamente de nuestra base de datos. Por favor, no dude en ponerse en contacto con nosotros en caso de necesitar algo más. Saludos cordiales”]
- g)con respecto a las causas que han podido motivar la reclamación, JCDECAUX manifiesta: “que las causas que han podido motivar la incidencia de la reclamación se deben a que en la infraestructura de mensajería del grupo JCDECAUX, infraestructura que gestiona los sistemas de mensajería de todas las filiales del grupo JCDECAUX en el mundo, incluyendo JCDECAUX España, no constan registros de entrada de correo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 enviado por la parte reclamante (…) ni al buzón “protecciondedatos@jcdecaux.com” ni a las plataformas antispam.” de correo “habida cuenta que la dirección de correo de la parte reclamante pudiera ser de dudosa fiabilidad por su nomenclatura en si misma y que los sistemas de seguridad de la infraestructura de mensajes del Grupo JCDECAUX se ayuda de una plataforma externa para filtrar los correos que pudieran ser spam, suponemos que ha sido este filtro el causante que nuestros sistemas hayan bloqueado directamente el correo de la parte reclamante y, por tanto, en nuestros sistemas no consten registros de entrada de este correo en nuestra infraestructura de mensajes.”
- g)respecto de las medidas adoptadas para evitar que se produzcan incidencias similares, fecha de implantación y controles efectuados para comprobar su eficacia, JCDECAUX manifiesta: Tomando en consideración las medidas seguridad de los sistemas de información, con fecha 28 de junio de 2023 se ha tomado la medida de incrementar las notificaciones de la plataforma que filtra los correos que pudieran ir a spam para tener un mayor seguimiento de las posibles reclamaciones que pudieran entrar directamente a la plataforma spam. Por cuestiones de seguridad, en JCDecaux España no podemos tener control sobre aquellas reclamaciones que puedan ser bloqueadas previamente por la plataforma spam, ya que son criterios aplicados por la plataforma directamente” A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La parte reclamante ha presentado reclamación, en la que se comprueba que, en fecha 22 de diciembre de 2022, envió un correo electrónico a la dirección protecciondedatos@jcdecaux.com con el siguiente contenido (el original en alemán): “Hola, por favor, elimine mi cuenta de Sevici y todos los datos conectados a ella, tal como, pero no limitados a ella, la información de pago. Saludos” SEGUNDO: Se ha comprobado que la dirección de correo electrónico “protecciondedatos@jcdecaux.com” es la dirección de correo electrónico que figuraba en la política de privacidad y condiciones de uso del servicio, que se encontraba vigente en el momento en el que la parte reclamante solicitó el ejercicio del derecho. TERCERO: JCDECAUX ha adjuntado documentación en la que se comprueba que ha procedido a suprimir los datos de la parte reclamante, y así se lo ha comunicado, mediante un correo electrónico de fecha 29 de junio de 2023. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 De acuerdo con los poderes que el artículo 58.2 y 60 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Considerando las circunstancias enumeradas en el artículo 83.2 RGPD, el presente procedimiento de apercibimiento se sigue de conformidad con lo establecido en el artículo 64.3 de la LOPDGDD II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que JCDECAUX la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellido, foto, correo electrónico, entre otros tratamientos. JCDECAUX realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que JCDECAUX está establecida en España, si bien presta servicio a otros países de la Unión Europea. Por su parte, el artículo 17 del RGPD regula el derecho de supresión. III Alegaciones aducidas En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento de apercibimiento, se procede a dar respuesta a las mismas según el orden expuesto por JCDECAUX: 1.- JCDECAUX manifiesta que no contestaron al correo electrónico presentado por la parte reclamante dentro del plazo establecido porque no lo habían recibido. Añaden que las posibles causas por las que no lo recibieron han podido ser que “la dirección de correo de la parte reclamante pudiera ser de dudosa fiabilidad por su nomenclatura en si misma y que los sistemas de seguridad de la infraestructura de mensajes del grupo JCDECAUX se ayuda de una plataforma externa para filtrar los correos que pudieran ser de spam…” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13 En relación con esta cuestión, las Directrices 01/2022 sobre los derechos de los interesados-Derecho de acceso, señalan que “no hay requisitos específicos sobre el formato de una solicitud. El responsable del tratamiento debe proporcionar canales de comunicación adecuados y fáciles de usar que puedan ser utilizados fácilmente por el interesado. Sin embargo, el interesado no está obligado a utilizar estos canales específicos y, en su lugar, puede enviar la solicitud a un punto de contacto oficial del responsable del tratamiento. El responsable del tratamiento no está obligado a responder a las solicitudes que se envían a direcciones completamente aleatorias o aparentemente incorrectas”. De este modo, en el apartado 3.1.2 relativo a la forma de la solicitud, se recoge: 52. Como se ha señalado anteriormente, el RGPD no impone ningún requisito a los interesados en relación con la forma de la solicitud de acceso a los datos personales. Por lo tanto, en principio no hay requisitos en virtud del RGPD que los interesados deban observar a la hora de elegir un canal de comunicación a través del cual entren en contacto con el responsable del tratamiento. a 53. El CEPD anima a los responsables del tratamiento a que proporcionen los canales de comunicación más adecuados y fáciles de usar, de conformidad con el artículo 12, apartado 2, y el artículo 25, a fin de que el interesado pueda presentar una solicitud efectiva. No obstante, si el interesado presenta una solicitud a través de un canal de comunicación proporcionado por el responsable del tratamiento, que es diferente del indicado como preferible, dicha solicitud se considerará, en general, efectiva y el responsable del tratamiento debe tramitar dicha solicitud en consecuencia (véanse los ejemplos que figuran a continuación). Los responsables del tratamiento deben realizar todos los esfuerzos razonables para asegurarse de que se facilita el ejercicio de los derechos de los interesados (por ejemplo, en caso de que el interesado envíe la solicitud a un empleado que se encuentre en situación de baja, un mensaje automático que informe al interesado sobre un canal de comunicación alternativo para su solicitud podría ser un esfuerzo razonable). b 54. Cabe señalar que el responsable del tratamiento no está obligado a responder a una solicitud enviada a una dirección de correo electrónico (o postal) aleatoria o incorrecta, no facilitada directamente por el responsable del tratamiento, ni a ningún canal de comunicación que claramente no esté destinado a recibir solicitudes relativas a los derechos del interesado, si el responsable del tratamiento ha proporcionado un canal de comunicación adecuado que pueda ser utilizado por el interesado. c 55. El responsable del tratamiento tampoco está obligado a responder a una solicitud enviada a la dirección de correo electrónico del empleado del responsable del tratamiento que puede no participar en el tratamiento de solicitudes relativas a los derechos de los interesados (por ejemplo, conductores, personal de limpieza, etc.). Estas solicitudes no se considerarán eficaces si el responsable del tratamiento ha proporcionado claramente al interesado un canal de comunicación adecuado. No obstante, si el interesado envía una solicitud al empleado del responsable del tratamiento que se ocupa diariamente de los asuntos del interesado (contacto único de un cliente, como, por ejemplo, el gestor de cuentas personales), dicho contacto no debe considerarse aleatorio y el responsable del tratamiento debe hacer todos los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 esfuerzos razonables para tramitar dicha solicitud de manera que pueda ser redirigido al punto de contacto y responder dentro de los plazos previstos por el RGPD. 56. No obstante, el CEPD recomienda, como buena práctica, que los responsables del tratamiento introduzcan mecanismos adecuados para facilitar el ejercicio de los derechos de los interesados, incluidos sistemas de autorrespuesta para informar sobre ausencias del personal y el contacto alternativo adecuado y, cuando sea posible, mecanismos para mejorar la comunicación interna entre empleados sobre las solicitudes recibidas por quienes puedan no ser competentes para tramitarlas.” En el presente caso, la parte reclamante ha dirigido su escrito a la dirección de correo electrónico protecciondedatos@jcdecaux.com que es la dirección que JCDECAUX tiene habilitada para que los interesados presenten sus solicitudes de ejercicio de derechos. Así viene recogido en el escrito que ha presentado en fecha 29 de junio de 2023, en las “Condiciones Generales de acceso y utilización del sistema SEVICI”, en el apartado 15.4 “derechos de protección de datos” donde se recoge: “Los usuarios pueden ejercitar, si están interesados en ello, sus derechos de acceso, rectificación, supresión, oposición, limitación al tratamiento de datos, portabilidad de datos, así como a no ser objeto de decisiones automatizadas. Puede hacerlo mediante solicitud dirigida a la atención del Responsable de Protección de Datos, JCDecaux España, S.L.U. en la Avenida de Aragón 328, CP 28022, Madrid (España), o a la siguiente dirección de correo electrónico: “protecciondedatos@jcdecaux.com” adjuntando copia de su DNI” Por todo lo expuesto, y en virtud de lo recogido en las mencionadas directrices, en la medida en que la parte reclamante ha presentado su solicitud a través del canal de comunicación proporcionado por JCDECAUX, se desestima la presente alegación. III Derecho de supresión (derecho al olvido) El artículo 17 del RGPD “Derecho de supresión (derecho al olvido) establece: “1.- El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
- a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
- b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
- c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13
- d)los datos personales hayan sido tratados ilícitamente;
- e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
- f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1.” En el presente caso, consta que la parte reclamante solicitó la supresión de los datos a JCDECAUX en fecha 22 de diciembre de 2022. JCDECAUX ha manifestado que la causa probable de no haber atendido dicha solicitud en plazo es que el correo electrónico de la parte reclamante solicitando la supresión haya sido dirigido directamente a la carpeta de spam, y es por ello por lo que no lo pudieron atender a tiempo. Asimismo, ha manifestado que ha procedido a suprimir los datos de la parte reclamante, en fecha 29 de junio de 2023, y así se ha comunicado a la parte reclamante en fecha 29 de junio de 2023. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento de apercibimiento, se considera que los hechos conocidos son constitutivos de una infracción, imputable a JCDECAUX, por vulneración del artículo transcrito anteriormente. IV Tipificación y calificación de la infracción del artículo 17 del RGPD Los hechos conocidos son constitutivos de una infracción imputable a JCDECAUX, tipificada en el artículo 83.5 bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- b)los derechos de los interesados a tenor de los artículos 12 a 22; A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe al año, conforme al artículo 74 de la LOPDGDD, que califica de leve la siguiente conducta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes:
- c)No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto en el artículo 72.1.
- k)de esta ley orgánica. V Apercibimiento por la infracción del artículo 17 del RGPD Sin perjuicio de lo dispuesto en el apartado artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.
- b)del artículo 58 “Poderes” lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Asimismo, el artículo 64 de la LOPDGDD que regula la “Forma de iniciación del procedimiento y duración”, en su apartado tercero dispone que: “3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo.” En el presente caso, una vez analizada toda la documentación que obra en el expediente, se considera conforme a derecho dirigir un apercibimiento a JCDECAUX por la infracción del 17 del RGPD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 PRIMERO: DIRIGIR UN APERCIBIMIENTO a JCDECAUX ESPAÑA, S.L.U., con NIF B28762003, por la presunta infracción del artículo 17 del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a JCDECAUX ESPAÑA, S.L.U. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es