1/63 Expediente N.º: EXP202306252 IMI Reference: Case Register 570191 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base

”) § 1881a no sólo violan los artículos pertinentes del Capítulo V del RGPD, sino también los artículos 7 y 8 de la CFR, así como la esencia del artículo 47 de la CFR (ver C-362/14 ("Schrems I"), párr. 95.) Por lo tanto, toda transferencia ulterior violaba el derecho fundamental a la privacidad, la protección de los datos y el derecho a la tutela judicial efectiva y a un juez imparcial. Esta Agencia entiende que Meta Platforms Inc. se califica como un proveedor de servicios electrónicos en el sentido del 50 U.S.

§ 1881(b)

§ 1881a(“FISA 702”).

Como se desprende del propio “Transparency Report” del Facebook (ver https://transparency.facebook.com/government-datarequests/country/US) Facebook está proporcionando activamente datos personales al gobierno de los EEUU bajo el 50 U.S.

§ 1881a

. Como consecuencia, la parte reclamada no podía garantizar una protección adecuada de los datos personales de quienes visitaban su página web (entre otros, de la parte reclamante) que se transferían a Meta Platforms Inc. Por lo tanto, la parte reclamada tenía la obligación legal de abstenerse de transferir los datos de quienes visitaban su página web (entre otros, de la parte reclamante) - o cualquier otro dato personal- a Meta Platforms Inc. Por último, esta Agencia considera que no se cumplía ningún requisito de los del artículo 49 del RGPD y, en particular, no se había obtenido ningún consentimiento de acuerdo con el artículo 49.1.a). Por todo lo anteriormente expuesto, esta Agencia entiende que las transferencias internacionales de datos personales de FREEPIK a Meta Platforms Inc, no estaba cubierta por ningún instrumento del artículo 45 y siguientes del RGPD, por lo que se desestima la presente alegación.

1. b)Inexistencia de culpabilidad Alega la parte reclamada que no cabe reprocharle jurídicamente culpabilidad o falta de diligencia debida en sus actuaciones. Y cita: ● Que con fecha 16.07.2020 el TJUE hizo pública la Sentencia invalidó la decisión sobre el “EU-US Privacy Shield” en el fallo C-311/18. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 44/63 ● Que el 11.11.2020 el Comité Europeo de Protección de Datos publicitó dos documentos relevantes para cualquier empresa que estuviera realizando tratamientos de datos:
2. a)las directrices sobre medidas adicionales aplicables para legitimar las transferencias internacionales, y
3. b)el documento relativo a las “garantías esenciales europeas”. En dichos documentos no se indica, sin más, ni mucho menos, que toda transferencia internacional a EEUU sería ilegal, posibilitando realizar las mismas en condiciones que FREEPIK cumple. ● Que el 11.11.2020 , casi con inmediatez al planteamiento del Comité y de la Comisión aludidos, se comunicó a esta parte la denuncia. ● Que el 14.11.2020 la Comisión Europea publicó sus nuevos modelos provisionales de “cláusulas contractuales tipo”, en los que acoge explícitamente el planteamiento del “risk based approach” para evaluar el riesgo concreto para los interesados, derivado de la concreta transferencia internacional. ● La denuncia se había presentado el 17.08.2020 , cuando ni siquiera se conocía el planteamiento del Comité ni de la Comisión. En ella se alegaba que las transferencias eran ilegales, cuando ni siquiera ello se afirmaba por la STJUE aludida. Alega también que debe valorarse el grado de cumplimiento en un clima de incertidumbre oficial generalizado, (posterior a la STJUE y a la denuncia). La Audiencia Nacional (Sala de lo Contencioso), en Sentencia de 23.04.2019, dictada en el procedimiento SAN 1801/2019, nº de Recurso 88/2017, ha declarado que el Comité Europeo de Protección de Datos, como organismo de la Unión, con personalidad jurídica, “emitirá directrices, recomendaciones y buenas prácticas a fin de promover la aplicación coherente del presente Reglamento”, de acuerdo con la literalidad del art. 70.1.
4. e)RGPD , y que, siendo el Comité el órgano encargado de interpretar el alcance de los preceptos el RGPD, en el supuesto de existir importantes y razonables dudas suscitadas al respecto de la aplicación de uno de los preceptos del RGPD, ello no permitiría sustentar la imposición de una sanción. Al respecto, esta Agencia desea señalar que todas estas cuestiones han sido evaluadas y tenidas en cuenta a la hora de decidir sobre qué poder correctivo de los citados en el artículo 58.2 del RGPD se habría de aplicar en el presente caso y por ello (entre otras razones) se ha optado por seguir un procedimiento de apercibimiento. Pero nada de esto obsta a que las transferencias internacionales llevadas a cabo en el contexto de la actividad que realizaba la parte reclamada no cumplían con los elementos exigidos por el artículo 44 del RGPD y que era obligación de la parte reclamada comprobar que sí lo era y dejar de utilizar los servicios en cuestión si éstos no cumplían lo exigido. Por lo que se desestima la presente alegación.
5. c)Actuaciones llevadas a cabo Desde la publicación del fallo del TJUE, la parte reclamada inició un intenso proceso de revisión de los instrumentos jurídicos en los que basa sus transferencias internacionales de datos a Estados Unidos, entre ellas las derivadas del uso de la Herramienta, llevando a cabo las siguientes actuaciones: ● Comunicación con sus proveedores externos