PA-00054-2023

1/19  Expediente N.º: EXP202211940 Procedimiento Apercibimiento: PA/0054/2023 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 14 de octubre de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos por suplantación de identidad y denegación del derecho de acceso a sus datos personales, dirigida contra 5 operadoras de web dedicadas al juego online, entre las que se encuentra la parte reclamada frente a la que se dirige el presente procedimiento, ELECTRAWORKS CEUTA, S.A. con NIF A67870402 (en adelante, la parte reclamada/ ELECTRAWORKS). La reclamante pone de manifiesto que sus datos personales han sido utilizados para dar de alta fraudulentamente cuentas de usuario en distintos sitios web de juego online, uno de los cuales -Bwin.es- es gestionado por la entidad reclamada, a cuyos responsables se ha dirigido para denunciar los hechos, solicitar el bloqueo y supresión de las cuentas, así como para solicitar acceso a información relacionada con el alta de las citadas cuentas, habiéndosele negado dicha información. Los motivos en los que se basa esta reclamación son, resumidamente, los siguientes: ⁃ En fecha 11 de julio de 2022 recibió notificación de inicio de expediente de la Agencia Tributaria correspondiente al ejercicio 2018 por no declarar en la declaración de dicho año una ganancia patrimonial de 643,01€, obtenida apostando en las casas de apuestas de operadores de internet identificadas como PokerStats, Tilliam Hill, Bet365 y Bwin. No acompaña requerimiento de la referida Agencia Tributaria. ⁃ No habiendo dado de alta dichas cuentas ni realizado las operaciones que se le imputan, la reclamante interpone denuncia por suplantación de identidad ante la Policía Nacional con fecha de 12 de julio de 2022, y se da de alta en la aplicación “Phishing Alert” de la Dirección General de Ordenación del Juego del Ministerio de Consumo del Gobierno de España (en adelante, DGOJ). ⁃ En la mencionada aplicación de la DGOJ consta que la reclamante dispone de cuentas en diversas webs de juego online, que se hallan gestionadas por 5 operadores diferentes. En concreto, corresponde a la entidad Electraworks Ceuta S.A.U la gestión de las cuentas abiertas en Partypoker, Pattycasin y Entain, aparentemente vinculadas a Bwin. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 ⁃ A la luz de dicha información, el representante legal de la reclamante remite diversos burofaxes e emails a estas 5 operadoras, que se acompañan a la reclamación. Todos ellos formulan un requerimiento de bloqueo y supresión de todas las cuentas abiertas a nombre de la reclamante, así como solicitud de acceso y copia de todos los datos referentes al histórico de operaciones que hayan podido realizarse utilizando dichas cuentas, así como las direcciones I.P desde las que se han generado dichas cuentas. ⁃ Centrándonos en la solicitud formulada a la parte reclamada por la que se inicia el presente procedimiento a ELECTRAWORKS, la reclamante manifiesta y acredita: 1. Dicha solicitud de acceso a información y bloqueo/eliminación de cuenta se realizó por el abogado de la reclamante mediante burofax de 19 de julio de 2022, no entregado por desconocido. Se envía copia por correo electrónico el 20 de julio del mismo año a la dirección de la parte reclamada, que consta como All_CS_legal_and_RG@bwinparty.com. 2. ELECTRAWORKS acusa recibo de la solicitud mediante correo electrónico de 27 de julio de 2022, indicando al respecto la reclamante: “Por su parte, BWIN contactó con mis representantes por email, requiriendo copia de mi DNI y el poder de representación legal de mis abogados, sin que posteriormente se recibiera ninguna respuesta por su parte” Junto a la reclamación se aporta copia de denuncia ante la Policía Nacional, Informe de la aplicación Phising Alert de la DGOJ, burofaxes e emails remitidos a las operadoras responsables, sus contestaciones en su caso, y los correos electrónicos remitidos. Respecto a las comunicaciones con ELECTRAWORKS, se aporta un burofax rechazado por dirección desconocida el 26 de julio de 2022, en el que se anexiona la solicitud de acceso formulada por la reclamante. No se aporta copia del correo electrónico remitiendo la solicitud de acceso remitido por el abogado de la reclamante a ELECTRAWORKS, pero si consta el correo electrónico de la reclamada de 27 de julio de 2022, en el que se acusa recibo de la solicitud planteada, y se requiere copia de poder de representación del abogado y DNI de la reclamante, así como dos correos electrónicos más del abogado aportando el poder de representación el 28 de julio de 2022, y copia en color del DNI con fecha de 23 de septiembre de 2022. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con fecha de 31 de diciembre de 2022 se dio traslado de dicha reclamación a ELECTRAWORKS para que procediesen a su análisis e informasen a esta Agencia en el plazo de un mes, sobre el cumplimiento de los derechos solicitados por la reclamante y las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica a la dirección electrónica única de la parte reclamada, siendo recogido por esta con fecha de 3 de enero de 2024. CUARTO: Con fecha 14 de enero de 2023, de conformidad con el artículo 65 de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante, contra ELECTRAWORKS. QUINTO: Como respuesta al traslado de la reclamación realizado, en la fecha del 30 de enero de 2023, ELECTRAWORKS presenta escrito de alegaciones, en el que se aporta, entre otra, la siguiente información: - Se aclara que hasta el 23 de septiembre de 2022 no se recibió toda la documentación, puesto que cuando el abogado de la reclamante aportó el DNI de la misma, se le requirió copia en color, recibida en la mencionada fecha. - Que sí se ha contestado a la reclamante. Se acompaña como Anexo I escrito de contestación remitido el 21 de octubre de 2022 al representante legal de la reclamante el escrito de contestación a su solicitud - a través de un sistema de gestión interno denominado “Zendesk”- en el que se indica lo siguiente: 1. Respecto a la cuenta denunciada como fraudulenta, se informó a la reclamante en dicha contestación de lo siguiente: “(…) En respuesta a su Solicitud de acceso del interesado ("DSAR") a la que tiene derecho de acuerdo con el Reglamento General de Protección de Datos ("RGPD"), nos gustaría confirmar que hemos revisado internamente nuestros sistemas y podemos ver que había una cuenta registrada a nombre de A.A.A.. Investigación – Cuenta fraudulenta. Tras la investigación, se confirmó que se ha procedió a crear una cuenta en nombre de su cliente a través de la web Bwin.es por una persona no autorizada. Hemos tomado las siguientes medidas para • Proceder a la clausura de la cuenta • Incorporar el nombre de su cliente en nuestra lista de cuentas fraudulentas para evitar que terceras personas puedan abrir mas cuentas en el futuro(…). 2. C/ Jorge Juan, 6 28001 – Madrid Respecto a la solicitud de acceso a los datos personales formulada por la reclamante, se manifestó lo siguiente: ““(…) Se informó al abogado de la reclamante que con la excepción de los datos de inscripción (como el nombre y fecha de nacimiento), Bwin entiende que el resto de los datos no pertenecen a A.A.A., y por lo tanto, no consideramos que deban ser objeto del derecho de acceso por parte de la reclamante, sino a través de un requerimiento policial. Esto no significa de cualquier caso, que Bwin se niege a remitir la documentación, ya que como hemos recalcado en nuestro escrito previo (e incluso recomendado al abogado de la reclamante) solicitamos que se remitiese el requerimiento a las fuerzas de Seguridad del Estado para de esa forma, contestar al requerimiento, mandar toda la documentación y evitar en el futuro un caso de suplantación de identidad. De hecho, estamos a la espera de que la policía nos contacte para remitir toda la documentación y cooperar en este procedimiento”. Así mismo, ELECTRAWORKS hace constar que no es posible eliminar los datos de la reclamante: “Por ser una cuenta relativa a fraude, nos vemos obligados a mantener los datos de la cuenta por un periodo de retención sujeto a la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, que establece un periodo mínimo de 10 años. www.aepd.es sedeagpd.gob.es 4/19 Así mismo, los datos se han agregado a un fichero interno que evitarán que los datos de la reclamante sean usados en el futuro de forma ilegítima. Si procediésemos a la eliminación de los datos no podríamos cumplir con las finalidades mencionadas anteriormente. (…) SEXTO: A la vista de los antecedentes, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. Con fecha de 6 de julio de 2023 realiza un requerimiento de información a ELECTRAWORKS, con objeto de aclarar ciertos hechos necesarios para determinar si concurren indicios de infracción administrativa en el presente supuesto, solicitando a la misma que aporte: 1. Indicación de la fecha en que la reclamante se registró como usuario en sus sitios web de juego PARTYPOKER, PARTYCASINO y BWIN. 2. Qué disposiciones reglamentarias tenía que cumplir, como operador de juego, en el momento del registro como usuario de la reclamante, respecto a la identificación de los participantes en sus juegos en PARTYPOKER, PARTYCASINO y BWIN. 3. Descripción del proceso de identificación de la reclamante y de sus medios de pago durante su registro como usuario participante en sus juegos en PARTYPOKER, PARTYCASINO y BWIN. 4. Aportar una copia los documentos y los datos que aportó el usuario durante el registro de la reclamante como usuario en sus sitios web de juego PARTYPOKER, PARTYCASINO y BWIN. 5. Descripción del proceso que siguió el usuario para indicar el medio de pago en el que se debían de ingresar las ganancias que obtuviera tras jugar en sus juegos en PARTYPOKER, PARTYCASINO y BWIN. 6. Aportar una copia de los documentos y los datos que aportó el usuario durante el registro del medio de pago en que debían de ingresar las ganancias que obtuviera tras jugar en sus juegos en PARTYPOKER, PARTYCASINO y BWIN. 7. Informe sobre las causas que pudieron llevar a que se utilizasen los datos de la reclamante sin su consentimiento para realizar el registro como usuario participante en sus juegos en PARTYPOKER, PARTYCASINO y BWIN. 8. Qué medidas se han tomado desde que se registró la reclamante en su sitio web con el objeto de garantizar la identidad del usuario que se registra. Dicho requerimiento se notifica electrónicamente con fecha de 17 de julio de 2023, al entenderse rechazado por no haberse producido su aceptación en el plazo de 10 días desde su puesta a disposición, de acuerdo con lo dispuesto en el artículo 43. 2 de la Ley 39/2015 de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. Pese a no ser obligatorio, con carácter adicional se reitera el mismo el 9 de agosto de 2023, siendo entonces aceptado y entregado por vía electrónica por la reclamada en fecha de 16 de agosto de 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 De acuerdo con el Informe de Actuaciones Previas de Investigación emitido por el inspector actuante con fecha de 3 de octubre de 2023, unido al presente expediente, dentro del apartado “RESULTADO ACTUACIONES DE INVESTIGACIÓN” se hace constar lo siguiente: ⁃ El día 30 de agosto de 2023 ELECTRAWORKS responde al requerimiento de información aportando, entre otra, la siguiente información: en lo relativo al ejercicio del derecho de acceso objeto de este expediente 1. Indicación de que la cuenta fue creada a través de su portal online BWIN el día 5 de abril de 2018, pero no constan cuentas a nombre de la reclamante en sus plataformas PARTYPOKER o PARTYCASINO. 2. Aporta copia de los datos aportados para dar de alta la cuenta de la reclamante el día 5 de abril de 2018, donde se observa que el nombre, apellidos y número de DNI coinciden con los de la reclamante. También se incluyen otros datos de la cuenta como el día de creación de la cuenta el “5 abril 2018”, el primer depósito el “22 abril 2018” y la última actividad en cuenta el “27 abril 2018”. 3. Respecto a los medios de pago registrados en la cuenta abierta a nombre de la reclamante, se indica lo siguiente: “Los movimientos en la cuenta fueron los siguientes: el 22 de abril de 2018, se realizó un depósito utilizando el método PayPal por un importe de €200. Según nuestro procedimiento interno, para registrar un método de pago es necesario depositar dinero. Esto se hace para comprobar que la cuenta es activa y real y evitar pagar ganancias sin que se haya hecho esa primera verificación. No existe ningún requerimiento legal que establezca un proceso exhaustivo de verificación de método de pago, de hecho, no hay ninguno. ElectraWorks en la medida de lo posible, intenta evitar el pago cuando el método de pago no coincide con la información de la cuenta, es decir, un método de pago que no esté a nombre de la persona que registró la cuenta. Cualquier discordancia en este particular caso hubiese activado algún tipo de alarma, pero como se puede ver en la captura de pantalla de nuestro sistema, adjuntado como Anexo 3, la cuenta de PayPal está incluso registrada a nombre de A.A.A., por lo que no se pudo sospechar de ningún acto fraudulento en ese momento. La última transacción en cuenta se realizó el 27 de abril de 2018, que fue el día donde se retiró todo el depósito de €275.65. El pago se hizo a la misma cuenta de registro. Si el pago se hubiera producido a otro método de pago distinto, si se hubiese pensado en sospechas de fraude, pero como no fue así, el pago se realizó normalmente.” 4. Y se aporta una captura de pantalla de los datos que conservaban sobre el método de pago en los que se observa que es un medio de pago de tipo “PAYPAL” que tiene asociado el nombre y apellidos de la reclamante, y que fue creado el día 22 de abril de 2018. Como consecuencia de todas estas actuaciones y a la vista de los antecedentes que obran en el presente expediente, cabe destacar las siguientes CONCLUSIONES del citado Informe de Actuaciones Previas - De acuerdo con los registros aportados por ELECTRAWORKS, el 5 de abril de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 - - 2018, se abrió una cuenta con el nombre de la reclamante en el operador de juego ELECTRAWORKS. De acuerdo con los registros de ELECTRAWORKS, el 22 de abril de 2018, se hizo un depósito en la cuenta desde una cuenta de Paypal que estaba a nombre de la reclamante. ELECTRAWORKS manifiesta que la última transacción en la cuenta se realizó el 27 de abril de 2018, que fue el día donde se retiró todo el depósito de 275,65 euros, que fue depositado en la misma cuenta de Paypal desde la que se hizo el depósito inicial del 22 de abril de 2018. Esta cantidad de 275,65 euros es similar a la cantidad de 275,00 euros de ganancias patrimoniales en BWIN.es (sitio de juego operado por ELECTRAWORKS) para el ejercicio de 2018, que la reclamante manifiesta que le reclama la Agencia Estatal de Administración Tributaria (en adelante, la Agencia Tributaria). En las Conclusiones 6 a 8 del Informe de Actuaciones Previas del expediente se constatan las circunstancias respecto a la presentación de solicitud de acceso, los requerimientos de subsanación de la parte reclamada, y la contestación del 21 de octubre de 2022. No se transcriben literalmente estas conclusiones por economía procesal, si bien se señala que las fechas y contenido referenciados coinciden con los que han sido aportados por ELECTRAWORKS hasta el momento. SÉPTIMO: Concurriendo indicios de infracción del artículo 15 del RGPD, la Directora de la Agencia Española de Protección de Datos dicta Acuerdo de Inicio del presente procedimiento de apercibimiento nº 54/2023 con fecha de 20 de octubre de 2023, que se notifica con fecha de 23 de octubre de 2023 por vía electrónica a la reclamada. OCTAVO: El 25 de octubre de 2023 se presenta escrito por la reclamada, en el que se renuncia a la presentación de alegaciones y formulación de pruebas, manifestando que: “se informa a esta Agencia de que se ha procedido a remitir a la reclamante toda la información disponible en nuestros sistemas relativos a las operaciones, transacciones, registro de cuenta y listados de las direcciones de I.P. desde las cuales se realizaron las operaciones relativas a la cuenta. Se presenta como Anexo 1- Recibo de envío de Burofax remitido a A.A.A. de fecha 24 octubre de 2023 y carta de contestación en la que se remite la documentación requerida”. En prueba de ello, acompaña como Anexo I copia del burofax remitido a la reclamante con fecha de 24 de octubre de 2023, donde se señala un link en el que la reclamante puede tener acceso a toda la información solicitada. Link al que esta Agencia no puede tener acceso, no pudiendo comprobar si la reclamada ha cumplido con tal derecho de acceso, a los efectos previstos en el artículo 58.2 del RGPD. NOVENO: Al objeto de comprobar este extremo, se acuerda prueba mediante acuerdo de 6 de noviembre de 2023, notificado a la reclamada el mismo día, en el que se acuerda requerir a la reclamante que confirme que ha podido acceder a toda la información solicitada a través del citado link puesto a su disposición por la entidad reclamada el 24 de octubre de 2023. En la misma fecha y en ejecución de dicho acuerdo, se remite requerimiento solicitando tal información a la reclamante, que finalmente es notificado a la misma el 16 de enero de 2024. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 DÉCIMO: Con fecha de 17 de enero de 2024, se presenta escrito de la reclamante contestando al requerimiento formulado el 6 de noviembre de 2023, en el que reconoce haber recibido el burofax aportado por la reclamada con el link de acceso a la información solicitada, indicando al respecto: “La información facilitada en el burofax responde a la solicitada con una única salvedad; no se da respuesta en ningún sentido a mi petición de cierre y eliminación de la cuenta abierta suplantando mi identidad ni se me informa de si esto ha tenido lugar o, en su caso, de la adopción de otras medidas en relación a este asunto.” Al respecto de la petición de cierre y eliminación de la cuenta, cabe señalar que la parte reclamada ya ha contestado a la misma, puesto que tal y como se indicó en el antecedente de hecho quinto del acuerdo de inicio, que fue notificado a la reclamante, la reclamada manifestó en el escrito de alegaciones presentado en esta Agencia el 30 de enero de 2023 que: “se ha procedido a la clausura de la cuenta y a incorporar el nombre de su cliente en nuestra lista de cuentas fraudulentas para evitar que terceras personas puedan abrir más cuentas en el futuro(…).” HECHOS PROBADOS PRIMERO: Consta acreditado que con fecha de 5 de abril de 2018 se crea una cuenta en el portal de juego on line BWIN, gestionada por la operadora de juego ELECTRAWORKS, a nombre de A.A.A. por una tercera persona, cuyo nombre, apellidos y número de DNI no coinciden con los de ésta. En tal cuenta, consta que se realiza un primer depósito el 22 abril 2018 desde una cuenta de Paypal que estaba a nombre de la reclamante, y se realizan diversas operaciones de juego con las que se obtienen unas ganancias patrimoniales de 275,65 euros, que se retiran por la persona que consta como titular de la cuenta con fecha de 27 de abril de 2018. SEGUNDO: Consta acreditado que siendo requerida por la Agencia Tributaria al objeto de declarar una ganancia patrimonial de 275 euros procedente de estas presuntas operaciones, tras averiguar que tenía abierta una cuenta de juego online en diversas operadoras, una de las cuales es la reclamada ELECTRAWORKS, S.L, A.A.A. formula a la misma con fecha de 19 de julio de 2022 un requerimiento de bloqueo y supresión de todas las cuentas abiertas a su nombre, así como solicitud de acceso y copia de todos los datos referentes al histórico de operaciones que hayan podido realizarse utilizando dichas cuentas, así como las direcciones I.P desde las que se han generado dichas cuentas. Dicha solicitud se plantea por el representante legal de la reclamante mediante burofax de 19 de julio de 2022, y se remite asimismo por correo electrónico a ELECTRAWORKS, que mantiene diversas comunicaciones por correo electrónico con el citado representante, requiriendo los datos de identificación del mismo. Consta acreditado que no se recibe la totalidad de la documentación solicitada hasta el 23 de septiembre de 2022. TERCERO: Consta acreditado que con fecha de 21 de octubre de 2022, ELECTRAWORKS remite respuesta al representante legal de la solicitante por correo electrónico, sin que conste acreditación de su recepción o entrega al mismo. En dicha respuesta, se atiende la solicitud de clausura de cuenta, si bien manifestando que no es posible suprimir los datos dada la obligación de conservarlos durante 10 años por mandato legal, y se deniega el derecho de acceso solicitado por la reclamante en base a lo siguiente: “Se informó al abogado de la reclamante que con la excepción de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 datos de inscripción (como el nombre y fecha de nacimiento), Bwin entiende que el resto de los datos no pertenecen a A.A.A., y por lo tanto, no consideramos que deban ser objeto del derecho de acceso por parte de la reclamante, sino a través de un requerimiento policial. Esto no significa de cualquier caso, que Bwin se niege a remitir la documentación, ya que como hemos recalcado en nuestro escrito previo (e incluso recomendado al abogado de la reclamante) solicitamos que se remitiese el requerimiento a las fuerzas de Seguridad del Estado para de esa forma, contestar al requerimiento, mandar toda la documentación y evitar en el futuro un caso de suplantación de identidad. De hecho, estamos a la espera de que la policía nos contacte para remitir toda la documentación y cooperar en este procedimiento”. CUARTO: Consta en el expediente burofax que ELECTRAWORKS remite a la reclamante el 24 de octubre de 2023, con acuse de recibo de la misma en la misma fecha, en el que se le indica que: “procedemos a poner a su disposición toda la información existente en nuestros sistemas relativa a la cuenta registrada en su nombre a través de la web Bwin.es. La información que se incluye consta de las siguientes categorías; • Información de datos registrados en la cuenta • Métodos de Pago • Transacciones • Depósitos • Retiros • Bonus • Direcciones de I.P • Copia de DNI”. Se manifiesta así mismo que se adjuntan como anexos los documentos detallados y que se facilita una hoja de cálculo de Excel digital para su utilización telemática de forma más sencilla, a la que se puede acceder mediante un link. QUINTO: Con fecha de 17 de enero de 2024, la reclamante informa a esta Agencia de que ha recibido que ha podido acceder a la información solicitada a través del escrito recibido el 24 de octubre de 2023, accediendo al link indicado. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales so bre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 II Derecho de acceso a datos personales Los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, RGPD), así como en los artículos 13 a 18 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de derechos digitales (en adelante, LOPDGDD). Respecto al derecho de acceso de los interesados a obtener los datos personales “que les conciernen” del responsable del tratamiento de los mismos, son de especial aplicación los artículos 12 y 15 del RGPD, así como los artículos 12 y 13 de la LOPDGDD, todo lo cual deberá interpretarse dentro del marco fijado en los Considerandos 59 a 64 del RGPD. Así pues, el contenido principal del derecho y su alcance o contenido viene establecido en el artículo 15 del RGPD, que dispone lo siguiente: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:

1. a)los fines del tratamiento;
2. b)las categorías de datos personales de que se trate;
3. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
4. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
5. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
6. f)el derecho a presentar una reclamación ante una autoridad de control; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19
7. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
8. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros”. Por su parte, el artículo 13 de la LOPDGDD establece determinadas pautas para considerar atendido dicho derecho por el responsable del tratamiento de los datos personales en determinados supuestos, precisando lo siguiente: “1. El derecho de acceso del afectado se ejercitará de acuerdo con lo establecido en el artículo 15 del Reglamento (UE) 2016/679. Cuando el responsable trate una gran cantidad de datos relativos al afectado y este ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte de los datos, el responsable podrá solicitarle, antes de facilitar la información, que el afectado especifique los datos o actividades de tratamiento a los que se refiere la solicitud. 2. El derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad. A tales efectos, la comunicación por el responsable al afectado del modo en que este podrá acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio del derecho. No obstante, el interesado podrá solicitar del responsable la información referida a los extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se incluyese en el sistema de acceso remoto. 3. A los efectos establecidos en el artículo 12.5 del Reglamento (UE) 2016/679 se podrá considerar repetitivo el ejercicio del derecho de acceso en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. 4. Cuando el afectado elija un medio distinto al que se le ofrece que suponga un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 coste desproporcionado, la solicitud será considerada excesiva, por lo que dicho afectado asumirá el exceso de costes que su elección comporte. En este caso, solo será exigible al responsable del tratamiento la satisfacción del derecho de acceso sin dilaciones indebidas.” Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD, siendo de especial relevancia para el presente procedimiento lo establecido en el artículo 12 del RGPD sobre transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado, que dispone lo siguiente (el subrayado es nuestro): “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios. 2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado. 3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo. 4. Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. 5. La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19 excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
9. a)cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
10. b)negarse a actuar respecto de la solicitud. El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud. 6. Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado. 7. La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles mecánicamente. 8. La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 92 a fin de especificar la información que se ha de presentar a través de iconos y los procedimientos para proporcionar iconos normalizados”. Por último, el artículo 12 de la LOPDGDD, establece las disposiciones generales sobre ejercicio de los derechos, en los siguientes términos (el subrayado es nuestro): “1. Los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, podrán ejercerse directamente o por medio de representante legal o voluntario. 2. El responsable del tratamiento estará obligado a informar al afectado sobre los medios a su disposición para ejercer los derechos que le corresponden. Los medios deberán ser fácilmente accesibles para el afectado. El ejercicio del derecho no podrá ser denegado por el solo motivo de optar el afectado por otro medio. 3. El encargado podrá tramitar, por cuenta del responsable, las solicitudes de ejercicio formuladas por los afectados de sus derechos si así se estableciere en el contrato o acto jurídico que les vincule. 4. La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19 sus derechos formulado por el afectado recaerá sobre el responsable. 5. Cuando las leyes aplicables a determinados tratamientos establezcan un régimen especial que afecte al ejercicio de los derechos previstos en el Capítulo III del Reglamento (UE) 2016/679, se estará a lo dispuesto en aquellas. 6. En cualquier caso, los titulares de la patria potestad podrán ejercitar en nombre y representación de los menores de catorce años los derechos de acceso, rectificación, cancelación, oposición o cualesquiera otros que pudieran corresponderles en el contexto de la presente ley orgánica. 7. Serán gratuitas las actuaciones llevadas a cabo por el responsable del tratamiento para atender las solicitudes de ejercicio de estos derechos, sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del Reglamento (UE) 2016/679 y en los apartados 3 y 4 del artículo 13 de esta ley orgánica”. En el presente supuesto, la reclamada ELECTRAWORKS reconoce haber gestionado la cuenta presuntamente fraudulenta abierta a nombre de la reclamante por una tercera persona en la web de juego online BWIN, lo que corrobora el informe de la aplicación “Phising Alert”. Por tanto, como responsable del tratamiento de los datos personales contenidos en la misma, le incumbía contestar la solicitud de acceso y supresión que se formuló por la reclamante en el plazo de 1 mes desde la presentación en forma de la solicitud por el representante legal de la misma, pudiendo incurrir en una infracción administrativa del RGPD, tanto en el caso de no contestar a la reclamación de acuerdo con los requisitos de forma antedichos, como en el de haberla desestimado por un motivo no previsto legalmente. III Concurrencia de infracción Considerando que la reclamada había atendido la solicitud de clausura de la cuenta, a la vista de la manifestación realizada en sus alegaciones de 30 de enero de 2023, en relación a que había procedido a: “clausurar la cuenta de la reclamante y a incorporar el nombre de su cliente en nuestra lista de cuentas fraudulentas para evitar que terceras personas puedan abrir más cuentas en el futuro (…)”, sin poder eliminar los datos, dado el deber de conservación de los mismos establecido por mandato legal, el objeto del presente procedimiento se centra en determinar si ELECTRAWORKS atendió la solicitud de acceso a datos y copia formulada por la reclamante el 23 de septiembre de 2022 (fecha en la que se entiende que la misma fue presentada en legal forma, por no remitirse hasta entonces la documentación de identificación requerida por la reclamada para poder tramitar la solicitud). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/19 En concreto, la reclamante requería el acceso a: “todos los datos referentes al histórico de operaciones que hayan podido realizarse utilizando dichas cuentas, así como las direcciones I.P desde las que se han generado dichas cuentas”, lo que implicaba acceder a los datos de la tercera persona que realizó dichas operaciones fraudulentamente en su nombre. Al respecto, la reclamada manifiesta haber remitido una respuesta el 21 de octubre de 2022 al representante legal de la reclamante -que formuló la solicitud en su nombrepor correo electrónico, manteniendo que con ello habría cumplido con el plazo de 1 mes establecido por las normas antedichas. Pero lo cierto es que la reclamante niega haber recibido respuesta alguna, y la reclamada no ha aportado acreditación suficiente que permita tener por probado el hecho de que el representante legal de la reclamante recibiera la respuesta presuntamente remitida el 21 de octubre de 2022. En el escrito de alegaciones presentado el 30 de enero de 2023 ante esta Agencia, se adjunta la respuesta presuntamente remitida a la reclamante, pero no se acompaña acuse de recibo postal, acuse de recibo del correo electrónico, ni burofax, u otro documento acreditativo justificativo de la entrega al representante legal que planteó la solicitud. Solo se aporta un pantallazo de haber remitido dicha respuesta a través de su sistema interno denominado “Zendesk”, lo que no puede considerarse un documento acreditativo suficiente de la entrega al destinatario. Correspondiéndole a la reclamada la carga de haber respondido la solicitud de acceso presentada por un medio acreditativo de la recepción por el interesado, se entiende que no se ha acreditado que la reclamada cumpliese con su obligación de contestar en el plazo de 1 mes desde la recepción de la solicitud en legal forma. Ahora bien, independientemente del hecho de que la reclamante llegase a conocer la respuesta o no, lo realmente significativo es el hecho de que la respuesta de la reclamada fue negativa, desestimándose el derecho de acceso solicitado. Y lo cierto es que, dadas las circunstancias concurrentes, la reclamante tenía derecho a conocer esos datos, por lo que aunque la reclamada hubiera contestado en plazo a tal solicitud, habría incurrido igualmente en una infracción del artículo 15 del RGPD puesto que desestimó el derecho de acceso a los datos solicitados sin que concurriese un motivo justificado para ello. Así pues, el motivo aludido para denegar la solicitud de acceso tanto en la respuesta de 21 de octubre de 2022 como en el escrito de alegaciones de 30 de agosto de 2023 era el siguiente: ““(…) Se informó al abogado de la reclamante que con la excepción de los datos de inscripción (como el nombre y fecha de nacimiento), Bwin entiende que el resto de los datos no pertenecen a A.A.A., y por lo tanto, no consideramos que deban ser objeto del derecho de acceso por parte de la reclamante, sino a través de un requerimiento policial. Esto no significa de cualquier caso, que Bwin se niege a remitir la documentación, ya que como hemos recalcado en nuestro escrito previo (e incluso recomendado al abogado de la reclamante) solicitamos que se remitiese el requerimiento a las fuerzas de Seguridad del Estado para de esa forma, contestar al requerimiento, mandar toda la documentación y evitar en el futuro un caso de suplantación de identidad. De hecho, estamos a la espera de que la policía nos contacte para remitir toda la documentación y cooperar en este procedimiento”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/19 A este respecto, cabe aplicar lo dispuesto por el Consejo Europeo de Protección de Datos (en adelante, CEPD), en la Directriz número 1/2022, adoptada el 28 de marzo de 2023, por la que se aprueba la Guía de aplicación del artículo 15 del RGPD, sobre el Derecho de Acceso del Interesado, cuyo punto 4.2 concreta el alcance de los datos personales que se pueden solicitar por los interesados cuando afectan a otra persona, advirtiendo del peligro de realizar una interpretación “demasiado restrictiva” para denegarlos automáticamente. Esta Directriz establece lo siguiente (el subrayado es nuestro): “4.2 Los datos personales a los que se refiere el derecho de acceso De conformidad con el artículo 15, apartado 1 del RGPD, «el interesado tendrá derecho a obtener del responsable del tratamiento la confirmación de si se están tratando o no datos personales que le conciernan y, en su caso, el acceso a los datos personales y a la siguiente información» (el subrayado es nuestro). Varios elementos se desprenden del párrafo 1 del artículo 15 del RGPD. En el apartado se refiere expressis verbis a «los datos personales que le conciernen» (4.2.1), que «están siendo tratados» (4.2.2) por el responsable del tratamiento: 1.1.1.«datos personales que le conciernen» El derecho de acceso puede ejercerse exclusivamente con respecto a los datos personales relacionados con el interesado que solicita el acceso o, en su caso, por una persona o representante autorizado (véase la sección 3.4). También hay situaciones en las que los datos no tienen un vínculo con la persona que ejerce el derecho de acceso, sino con otra persona. Sin embargo, el interesado solo tiene derecho a los datos personales relativos a sí mismos, excluyendo los datos que afecten exclusivamente a otra persona Sin embargo, la clasificación de los datos como datos personales relativos al interesado no depende del hecho de que dichos datos personales también se refieran a otra persona. Por lo tanto, es posible que los datos personales se refieran a más de una persona al mismo tiempo. Esto no significa automáticamente que se conceda acceso a los datos personales también relacionados con otra persona, ya que el responsable del tratamiento debe cumplir con el artículo 15, apartado 4, del RGPD. Las palabras «datos personales que le conciernan» no deben ser interpretadas de manera «demasiada restrictiva» por los responsables del tratamiento, como ya ha declarado el Grupo de Trabajo del artículo 29 en lo que respecta al derecho a la portabilidad de los datos”. En consecuencia, según el CEPD, máxima autoridad europea en esta materia, el derecho de acceso del artículo 15 del RGPD va más allá de solicitar los datos personales propios -ceñidos al titular- y se extiende a aquellos que le conciernen. Un interesado como la reclamante puede ejercer el derecho de acceso en relación con todos los datos personales que almacena el responsable del tratamiento en relación con su identidad, incluidos los que se han recogido en una de suplantación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/19 identidad. Suplantación que ha sido reconocida por la reclamada y acreditada por la reclamante al aportar los requerimientos de declaración de ganancias patrimoniales realizados a la misma por la Agencia Tributaria, así como la presentación de la correspondiente denuncia ante la Policía Nacional. A mayor abundamiento, la Directriz 1/2022 menciona expresamente que cabe admitir el derecho a conocer las operaciones realizadas en casos de cuentas abiertas por “robos de identidad”, haciendo referencia incluso a un ejemplo idéntico al presente, en los siguientes términos (el subrayado es nuestro): “Por otra parte, hay situaciones en las que el vínculo entre los datos y varios individuos puede parecer borroso para el controlador, como en el caso del robo de identidad. En caso de robo de identidad, una persona actúa fraudulentamente en nombre de otra persona. En este contexto, es importante recordar que la víctima debe recibir información sobre todos los datos personales que almacena el responsable del tratamiento en relación con su identidad, incluidos los que se han recogido sobre la base de las acciones del estafador. En otras palabras, incluso después de que el responsable del tratamiento se enteró del robo de identidad, los datos personales asociados o relacionados con la identidad de la víctima constituyen datos personales del interesado. Ejemplo 17: Un individuo utiliza fraudulentamente la identidad de otra persona con el fin de jugar al póquer en línea. El perpetrador paga al casino en línea usando la tarjeta de crédito que robaron a la víctima. Cuando la víctima se entera del robo de identidad, la víctima le pide al proveedor del casino en línea que le proporcione acceso a sus datos personales y, más específicamente, a los juegos en línea jugados e información sobre la tarjeta de crédito utilizada por el autor. Existe un vínculo entre los datos recopilados y la víctima, ya que se ha utilizado la identidad de esta última. Después de la detección del fraude, los datos personales mencionados anteriormente siguen teniendo un enlace debido a su contenido (la tarjeta de crédito de la víctima es claramente sobre la víctima), propósito y efecto (la información sobre los juegos en línea jugados por el autor puede, por ejemplo, ser utilizada para emitir facturas a la víctima). Por lo tanto, el casino en línea otorgará a la víctima acceso a los datos personales mencionados anteriormente. En definitiva, en el presente caso la desestimación del acceso a la información solicitada fue improcedente, puesto que la reclamante tenía y tiene derecho a solicitar “todos los datos referentes al histórico de operaciones que hayan podido realizarse utilizando dichas cuentas y la/s dirección/es de I.P desde la que se realizaron las mismas”, toda vez que estamos ante una suplantación de identidad en un juego en línea y existe una clara vinculación entre los datos solicitados (operaciones realizadas y direcciones de I.P) y el derecho de acceso de la víctima en relación con qué ganancias patrimoniales no se han declarado ante la Agencia Tributaria, o qué otras C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/19 operaciones ilícitas han podido realizarse en su nombre, con los consecuentes perjuicios que de ello se derive. El argumento principal esgrimido por la reclamada no es válido, puesto que el derecho de acceso a los datos personales que afectan a la reclamante en casos de suplantación de identidad como el presente no precisa de previa autorización judicial, ni requerimiento previo policial, no siendo aplicable el artículo 25 de la Ley 10/2010, de 28 de abril, de Prevención del Blanqueo de Capitales, que la reclamada alega en su escrito de contestación al requerimiento de información de esta Agencia con fecha de 30 de agosto, toda vez que éste obliga a conservar y no eliminar los documentos que se formalicen en cumplimiento de dicha ley por un periodo de 10 años, pero no impide el ejercicio del derecho de acceso a datos personales por quienes sean interesados a los efectos previstos en el artículo 15 del RGPD. Habiendo denegado este acceso, ELECTRAWORKS incumplió con su obligación de ceder los datos a la reclamante, cometiendo una infracción del artículo 15 del RGPD, infracción que se mantiene toda vez que la misma ya había sido consumada cuando se inició el presente procedimiento, sin perjuicio que al haberse reparado el incumplimiento producido, entregando finalmente los datos a la reclamante el 24 de octubre de 2023, por lo que no procede hacer pronunciamiento acerca del deber de adoptar medidas de ajuste a la normativa, a los efectos del artículo 58.2 del RGPD. IV Tipificación y calificación de la infracción De conformidad con las evidencias de las que se dispone en el presente momento de resolución del procedimiento de apercibimiento, se considera que la parte reclamada ha vulnerado el derecho de acceso previsto en el artículo 15 del RGPD al denegar la información solicitada por la reclamante con fecha de 20 de julio de 2022 respecto a la cuenta abierta fraudulentamente a nombre de la reclamante en la web BWIN, de la que la reclamada es responsable. La infracción del artículo 15 del RGPD se encuentra tipificada en el artículo 83.5.
11. b)del RGPD que indica: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
12. b)los derechos de los interesados a tenor de los artículos 12 a 22;” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los 3 años, conforme al artículo 72.1.
13. k)de la LOPDGDD, que dispone que: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/19 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
14. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679….” V Propuesta de apercibimiento Sin perjuicio de lo dispuesto en el apartado artículo 83 del RGPD, esta Agencia, actuando como autoridad de control, dispone de la potestad de apercibimiento, de acuerdo con lo previsto en el citado Reglamento, que dispone en el apartado 2.
15. b)del artículo 58 “Poderes” lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
16. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Asimismo, el artículo 64 de la LOPDGDD que regula la “Forma de iniciación del procedimiento y duración”, en su apartado tercero dispone que: “3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo.” A la vista de las circunstancias concurrentes en este expediente y aplicando los criterios indicados, se estima que por la infracción del artículo infringido procede dirigir un apercibimiento. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/19 PRIMERO: DIRIGIR UN APERCIBIMIENTO a ELECTRAWORKS - CEUTA, S.A., con NIF A67870402, por una infracción del artículo 15 del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a ELECTRAWORKS - CEUTA, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
17. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es