1/16 Expediente N.º: EXP202316546 IMI Reference: A56ID 490227 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) interpuso reclamación el 3 de octubre de 2022 ante la autoridad francesa de protección de datos. La reclamación se dirige contra GUAW, S.L con NIF B42793976 (en adelante, GUAW). Los motivos en que basa la reclamación son los siguientes: El 9 de agosto de 2022 la parte reclamante solicitó al sitio web ***URL.1 que suprimiesen sus datos personales de acuerdo con el artículo 17.1 del Reglamento General de Protección de Datos (en adelante, RGPD). Hasta la fecha en que presentó la reclamación, la parte reclamante no había recibido ninguna contestación a esta petición de supresión. Junto a la reclamación se aporta: - Impresión de correo electrónico enviado el 9 de agosto de 2022 por ***EMAIL.1 en el que se indica que es una respuesta a un mensaje dejado en el servicio de atención al cliente, y cuyo contenido acusa la recepción de este mensaje con el siguiente texto: “MESSAGE ENVOYÉ Voici le message que vous nous avez envoyé! Messieurs. En application de l’article 17.1 du Règlement général sur la protection des données (RGPD), je vous prie d’effacer de vos fichiers les données personnelles suivantes me concernant. Vous voudrez bien également notifier cette demande d’effacement de mes données aux organismes auxquels vous les auriez communiquées (article 19 du RGPD). Enfin, je vous prie de m'informer de ces éléments dans les meilleurs délais et au plus tard dans un délai d’un mois à compter de la réception de ce courrier (article 12.3 du RGPD). A défaut de réponse de votre part dans les délais impartis ou en cas de réponse incomplète, je saisirai la Commission nationale de l’informatique et des libertés (CNIL) d’une réclamation. Cordialement. A.A.A. Nous vous contacterons le plus vite possible C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 Cordialement, équipe de Petsonic” [Traducción no oficial: “MENSAJE ENVIADO ¡Aquí está el mensaje que nos enviaste! Caballeros. De conformidad con el artículo 17.1 del Reglamento General de Protección de Datos (RGPD), les ruego que eliminen de sus ficheros los siguientes datos personales que me conciernen. También deseo que notifiquen esta solicitud de supresión de mis datos a los organismos a los que los hayan comunicado (artículo 19 del RGPD). Por último, les ruego que me informen sobre estas solicitudes lo antes posible y, a más tardar, en el plazo de un mes a partir de la recepción del presente correo (artículo 12, apartado 3, del RGPD). A falta de respuesta suya en el plazo establecido o en caso de respuesta incompleta, remitiré una denuncia a la Comisión Nacional de Información y Libertades (CNIL). Cordialmente. Sr. A.A.A. Nos pondremos en contacto contigo lo antes posible Cordialmente, equipo Petsonic”] SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 3 de marzo de 2023 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) 6 de marzo de 2023. El traslado de esta reclamación a la AEPD se realizó de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que GUAW tiene su establecimiento único en España. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, la autoridad de protección de datos de Francia actúa como autoridad interesada, de acuerdo con lo dispuesto en el artículo 4.22) letra
- c)del RGPD, al ser la autoridad de control frente a la que se ha presentado la reclamación, sin que otras autoridades de control se hubieran declarado interesadas en el presente procedimiento. TERCERO: Con fecha 24 de marzo de 2023, de conformidad con el artículo 64 entonces vigente de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: El día 21 de junio de 2023, se presentó un escrito ante la AEPD en nombre y representación de GUAW como respuesta a un requerimiento de información, con número de registro de entrada ***REGISTRO.1, en el que se aporta, entre otra, la siguiente información: 1. Respecto de la respuesta dada a la parte reclamante sobre su ejercicio de supresión de datos personales, se indicó lo siguiente: “tras haber analizado el requerimiento y petición de derechos presentada por el Sr. A.A.A. con fecha de la fecha de 9 de agosto de 2022 y haber revisado los procesos internos, se ha podido constatar que la compañía procedió a la supresión de los datos, pero al hacerlo, se borraron también todas las conversaciones mantenidas hasta la fecha con (…) y, hasta ese momento, usuario de la web.” 2. Se indicó que “El equipo de profesionales que se encarga de gestionar las peticiones de las personas que se ponen en contacto con GUAW sigue un proceso interno de supresión de la información de los usuarios o clientes (Anexo I), que ha sido creado ad hoc para poder dar respuesta tanto a las peticiones de baja de las comunicaciones comerciales (newsletters) como de ejercicio de derechos relacionados con los datos personales.”. Y se aportó una copia del “PROCESO INTERNO DE SUPRESIÓN DE DATOS”. Dentro de este proceso, se observaban, entre otros, los siguientes pasos: - “PASO3: respondemos a la solicitud del cliente”, en el que se observaba que el cliente recibía un correo electrónico de apariencia similar al aportado por la CNIL como respuesta a un mensaje dejado en el servicio de atención al cliente. - “PASO 4: El equipo de atención al cliente elimina sus datos excepto los datos de la compra para cumplir con el plazo legal de conservación de 5 años.” - “PASO 6: Se eliminan todos los datos de cliente, además de las conversaciones mantenidas con el mismo. CLIENTE ELIMINADO” 3. Se indicó que la factura que en su día se emitió a la parte reclamante “es lo único que conservamos para dar cumplimiento a las exigencias de la normativa sectorial (Ley Tributaria y Código de Comercio).” 4. Copia de la factura del pedido que realizó la parte reclamante en PETSONIC (que se indica que es una marca comercial de GUAW) en la que aparece el nombre y apellidos de la parte reclamante, la dirección de entrega y la dirección de facturación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 5. Impresiones de pantalla de la información sobre este pedido que aparece en los sistemas de información de GUAW. En estas impresiones de pantalla, aparecen datos sobre el pedido y los estados por los que ha pasado (a nivel de logística). No se observó que aparecieran datos personales de la parte reclamante en estas impresiones de pantalla; y, en el espacio reservado a la “DIRECCIÓN DE ENVÍO” se indica “Datos del cliente borrados por el módulo oficial RGPD.” 6. Se indicó que: “la situación que nos ocupa se ha producido debido a una petición de cambio/devolución del producto que, al ser equivocación del cliente, lleva un coste de 9,95€, del que con posterioridad deriva una solicitud de ejercicio del derecho de supresión. Aun así, para evitar que un suceso así vuelva a suceder, se están llevando a cabo distintas acciones por parte de GUAW, que se detallan a continuación: - Revisión del proceso interno de supresión de datos, que ahora se concreta en unos meros pasos a seguir sobre un PDF, para convertirlo en un auténtico protocolo, de obligación cumplimiento para todos aquellos implicados en la atención de los derechos de acceso, rectificación, supresión, limitación, portabilidad y a no ser objeto de decisiones individuales automatizadas. - Vigilancia del proceso seguido por los profesionales encargados de atender este tipo de peticiones para asegurarse de que funciona correctamente. - Formación de refuerzo a los profesionales encargados sobre el protocolo a seguir con relación a cuestiones relacionadas con la protección de datos y, especialmente, para reforzar la importancia del respeto a los derechos de los afectados. - Se ha procedido esta misma semana a informar al afectado y a comunicarle que se ha atendido su derecho de supresión de datos.” 7. Se alegó la aplicación de la LOPDGDD que en su artículo 65.3 establece: “Igualmente, la Agencia Española de Protección de Datos podrá inadmitir la reclamación cuando el responsable o encargado del tratamiento, previa advertencia formulada por la Agencia Española de Protección de Datos, hubiera adoptado las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos y concurra alguna de las siguientes circunstancias:
- a)Que no se haya causado perjuicio al afectado en el caso de las infracciones previstas en el artículo 74 de esta ley orgánica.
- b)Que el derecho del afectado quede plenamente garantizado mediante la aplicación de las medidas.” Y solicitó: “Teniendo en cuenta todo lo que se ha expuesto ut supra, es decir, que una vez fueron conocidos los hechos, GUAW procedió a la supresión de los datos y atendió su petición, que no se ha causado ningún tipo de perjuicio y de que internamente se han revisado los protocolos para tratar de actuar todavía con mayor diligencia y con el máximo respeto a los derechos de los interesados de ahora en adelante, solicitamos que se inadmita la reclamación del Sr. A.A.A..” 8. GUAW S.L. indicó que “Se ha procedido esta misma semana a informar al afectado y a comunicarle que se ha atendido su derecho de supresión de datos”. El envío o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 recepción de esta comunicación y su contenido no ha sido aportado durante estas actuaciones. Durante las actuaciones de inspección se han identificado como relevantes las siguientes referencias normativas: 9. Ley 58/2003, de 17 de diciembre, General Tributaria, que en su artículo 29.2 establece: “Además de las restantes que puedan legalmente establecerse, los obligados tributarios deberán cumplir las siguientes obligaciones: …
- e)La obligación de expedir y entregar facturas o documentos sustitutivos y conservar las facturas, documentos y justificantes que tengan relación con sus obligaciones tributarias.
- f)La obligación de aportar a la Administración tributaria libros, registros, documentos o información que el obligado tributario deba conservar en relación con el cumplimiento de las obligaciones tributarias propias o de terceros, así como cualquier dato, informe, antecedente y justificante con trascendencia tributaria, a requerimiento de la Administración o en declaraciones periódicas. Cuando la información exigida se conserve en soporte informático deberá suministrarse en dicho soporte cuando así fuese requerido.” Y en cuyo artículo 66 se establecen los plazos de prescripción de la siguiente manera: “Prescribirán a los cuatro años los siguientes derechos:
- a)El derecho de la Administración para determinar la deuda tributaria mediante la oportuna liquidación.
- b)El derecho de la Administración para exigir el pago de las deudas tributarias liquidadas y autoliquidadas.
- c)El derecho a solicitar las devoluciones derivadas de la normativa de cada tributo, las devoluciones de ingresos indebidos y el reembolso del coste de las garantías.
- d)El derecho a obtener las devoluciones derivadas de la normativa de cada tributo, las devoluciones de ingresos indebidos y el reembolso del coste de las garantías.” 10. De acuerdo con la consulta realizada el día 3 de julio de 2023 en el servicio Monitoriza de Axesor (https://monitoriza.axesor.es), GUAW SL es una empresa del tipo “(…)” con unas ventas en el último ejercicio
(2022)de X.XXX.XXX € y un número de empleados de XX. QUINTO: Con fecha 19 de enero de 2024, la Directora de la AEPD adoptó un proyecto de acuerdo de inicio de procedimiento de apercibimiento. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 25 de enero de 2024 se transmitió a través del sistema IMI el citado proyecto y se le hizo saber a la autoridad interesada que tenía cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación de las actuaciones quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 Dentro del plazo a tal efecto, la autoridad de control interesada no presentó objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto y están vinculadas por éste, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. SEXTO: Con fecha 26 de febrero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a GUAW, por la presunta infracción del artículo 17 del RGPD, tipificada en el artículo 83.5 del RGPD, en el que se le indicaba que tenía un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó a GUAW conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 28 de febrero de 2024, como consta en el acuse de recibo que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 7 de marzo de 2024. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. SÉPTIMO: Con fecha 11 de marzo de 2024, se recibe en esta Agencia, en tiempo y forma, escrito de GUAW en el que aducía alegaciones al acuerdo de inicio. En estas alegaciones, en síntesis, manifestaba que: - Primera: las evidencias documentadas y ya aportadas en el expediente son suficientes y pertinentes. Se vuelven a aportar como Anexos I, II y III de las alegaciones. - Segunda: GUAW cuenta con un procedimiento interno creado ad hoc para darse de baja de las comunicaciones comerciales y para el ejercicio de derechos de datos personales. El presente caso tuvo origen en una petición de devolución por error del cliente, el cual implicó un coste de 9,99€, del cual derivó una petición de supresión de datos. Además, GUAW adoptó una serie de medidas para evitar que una situación como la presente se vuelva a repetir. - Tercera: solicita el archivo de las actuaciones en virtud del artículo 65.3 de la LOPDGDD, teniendo en cuenta que GUAW suprimió los datos solicitados, que no se causó ningún perjuicio y que se adoptaron medidas para, de ahora en adelante, actuar con mayor diligencia y el máximo respeto a los derechos de los interesados. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 HECHOS PROBADOS PRIMERO: El 9 de agosto de 2022U GUAW envió un correo a la parte reclamante desde ***EMAIL.1 en el que se indica que es una respuesta a un mensaje dejado en el servicio de atención al cliente, y cuyo contenido acusa la recepción de este mensaje con el siguiente texto: “MESSAGE ENVOYÉ Voici le message que vous nous avez envoyé! Messieurs. En application de l’article 17.1 du Règlement général sur la protection des données (RGPD), je vous prie d’effacer de vos fichiers les données personnelles suivantes me concernant. Vous voudrez bien également notifier cette demande d’effacement de mes données aux organismes auxquels vous les auriez communiquées (article 19 du RGPD). Enfin, je vous prie de m'informer de ces éléments dans les meilleurs délais et au plus tard dans un délai d’un mois à compter de la réception de ce courrier (article 12.3 du RGPD). A défaut de réponse de votre part dans les délais impartis ou en cas de réponse incomplète, je saisirai la Commission nationale de l’informatique et des libertés (CNIL) d’une réclamation. Cordialement. A.A.A. Nous vous contacterons le plus vite possible Cordialement, équipe de Petsonic” [Traducción no oficial: “MENSAJE ENVIADO ¡Aquí está el mensaje que nos enviaste! Caballeros. De conformidad con el artículo 17.1 del Reglamento General de Protección de Datos (RGPD), les ruego que eliminen de sus ficheros los siguientes datos personales que me conciernen. También deseo que notifiquen esta solicitud de supresión de mis datos a los organismos a los que los hayan comunicado (artículo 19 del RGPD). Por último, les ruego que me informen sobre estas solicitudes lo antes posible y, a más tardar, en el plazo de un mes a partir de la recepción del presente correo (artículo 12, apartado 3, del RGPD). A falta de respuesta suya en el plazo establecido o en caso de respuesta incompleta, remitiré una denuncia a la Comisión Nacional de Información y Libertades (CNIL). Cordialmente. Sr. A.A.A. Nos pondremos en contacto contigo lo antes posible Cordialmente, equipo Petsonic”] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 SEGUNDO: El 6 de marzo de 2023 GUAW S.L. emitió una factura con número ***FACTURA.1, referencia de pedido ***PEDIDO.1, fecha del pedido 6 de marzo de 2023, en la que pueden verse los siguientes datos de entrega y facturación: A.A.A. ***DIRECCIÓN.1 Esta factura fue presentada ante esta AEPD, con número de registro de entrada ***REGISTRO.1, el 21 de junio de 2023 como Anexo III del escrito de respuesta a requerimiento de información, en el que se indicaba que se conservaban las facturas por un plazo de cinco años para dar cumplimiento a la Ley Tributaria y Código de Comercio. TERCERO: A 21 de junio de 2023, según se aportó en el Anexo II del escrito de respuesta a requerimiento de información de esa fecha, número de registro de entrada ***REGISTRO.1, en la captura de pantalla de los sistemas de GUAW puede verse información asociada al pedido ***PEDIDO.1 y en el espacio reservado a la “DIRECCIÓN DE ENVÍO” se indica “Datos del cliente borrados por el módulo oficial RGPD.” Estas mismas capturas de pantalla se presentaron nuevamente ante esta Agencia el 11 de marzo de 2024, como Anexo II del escrito de alegaciones al acuerdo de inicio del presente procedimiento. CUARTO: De acuerdo con la consulta realizada el día 3 de julio de 2023 en el servicio Monitoriza de Axesor (https://monitoriza.axesor.es), GUAW SL es una empresa del tipo “(…)” con unas ventas en el último ejercicio
(2022)de X.XXX.XXX € y un número de empleados de XX. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 y 60 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que GUAW realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellido y correo electrónico, entre otros tratamientos. GUAW realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que GUAW está establecida en España, si bien presta servicio a otros países de la Unión Europea. III Alegaciones aducidas En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento, se procede a dar respuesta a las mismas según el orden expuesto por GUAW: Primera. Evidencias sobre el proceso de supresión de datos llevado a cabo Alega GUAW que, como la propia Agencia indica, la posible infracción del artículo 12 del RGPD estaría prescrita, de tal modo que todo el procedimiento de apercibimiento deriva de si se acredita “que los datos personales de la parte reclamante hayan sido debidamente suprimidos”. Considera GUAW que las evidencias documentadas y aportadas en el escrito presentado el 21 de junio de 2023, en respuesta a solicitud de información, son suficientes y pertinentes, de tal modo que las vuelve a aportar como Anexos I y II. Insiste GUAW en que “…se ha podido constatar que la compañía procedió a la supresión de los datos, pero al hacerlo, se borraron también todas las conversaciones mantenidas hasta la fecha con el reclamante y, hasta ese momento, usuario de la web. Para acreditar tal extremo se adjuntan dos documentos: el proceso interno de supresión de la información de los usuarios o clientes de GUAW (Anexo I) y captura de pantalla de la base de datos actual con la información obrante (Anexo II). Después de proceder a la supresión de datos, obviamente, el Sr. A.A.A. no ha vuelto a recibir ninguna comunicación por parte de PETSONIC”. Se adjunta como Anexo III del escrito de alegaciones el justificante de presentación del escrito con número de registro ***REGISTRO.1. Al respecto, esta Agencia coincide con GUAW en que la posible infracción del artículo 12 del RGPD estaría prescrita y que el objeto del presente procedimiento es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 comprobar si ha existido una infracción del artículo 17 del RGPD, para lo cual GUAW debía acreditar ante esta Agencia que los datos personales de la parte reclamante habían sido debidamente suprimir. En este sentido, esta Agencia desea incidir en que no se han aportado nuevas evidencias, sino que se acompaña nuevamente lo ya presentado junto al escrito de 21 de junio de 2023, de respuesta del requerimiento de información. En este escrito se aportaba como Anexo III una factura del pedido de la parte reclamante, con todos sus datos de entrega (que coincidían con los de facturación). Y como Anexo II, se aportaban unas capturas de pantalla de los supuestos sistemas de GUAW, con información sobre tal pedido, en la que en el apartado de dirección de envío podía verse la leyenda “Datos del cliente borrados por el módulo oficial RGPD.” Esta misma captura de pantalla de los sistemas de GUAW fue aportada junto con el escrito de alegaciones al acuerdo de inicio del presente procedimiento. No obstante, tal y como se ha indicado en el citado acuerdo de inicio, esta Agencia considera que tales capturas de pantalla no son suficiente para dar por acreditada debidamente la supresión de los datos personales de la parte reclamante. Por lo tanto, se desestima la presente alegación. Segunda. De las medidas adoptadas por GUAW Alega GUAW que el equipo que se encarga de gestionar las peticiones de las personas que se ponen en contacto con GUAW sigue un proceso interno de supresión de la información de los usuarios o clientes (Anexo I de las alegaciones), que ha sido creado ad hoc para poder dar respuesta tanto a las peticiones de baja de las comunicaciones comerciales (newsletters) como de ejercicio de derechos relacionados con los datos personales. Y que prueba del cumplimiento de la normativa vigente es que, aun teniendo un gran volumen de comunicaciones, hasta la fecha no consta la existencia de ninguna queja o reclamación por parte de ningún interesado, ya que se han atendido todas las solicitudes de ejercicios de derecho y/u otras peticiones que se han ido recibiendo de los interesados. También indica que el presente caso se ha producido debido a una petición de cambio/devolución de un producto que, al ser equivocación del cliente, lleva un coste de 9,95€, del que con posterioridad deriva una solicitud de ejercicio del derecho de supresión. Por último, alega GUAW que, para evitar que un suceso así vuelva a suceder, se han implementado distintas medidas por parte de GUAW, que se detallan a continuación: • Revisión del proceso interno de supresión de datos, que ahora se concreta en unos meros pasos a seguir sobre un PDF, para convertirlo en un auténtico protocolo, de obligación cumplimiento para todos aquellos implicados en la atención de los derechos de acceso, rectificación, supresión, limitación, portabilidad y a no ser objeto de decisiones individuales automatizadas. En octubre de 2023 se aprobó el Protocolo “DERECHOS DE ACCESO, RECTIFICACIÓN, SUPRESIÓN, LIMITACIÓN, PORTABILIDAD, OPOSICIÓN Y A NO SER OBJETO DE DECISIONES C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 INDIVIDUALES AUTOMATIZADAS (“ARSLPOD”)” que se adjunta como Anexo IV del escrito de alegaciones. • Vigilancia del proceso seguido por los profesionales encargados de atender este tipo de peticiones para asegurarse de que funciona correctamente. • Formación de refuerzo a los profesionales encargados sobre el protocolo a seguir con relación a cuestiones relacionadas con la protección de datos y, especialmente, para reforzar la importancia del respeto a los derechos de los afectados. Al respecto, esta Agencia desea señalar que el hecho de que no se hubieran presentado reclamaciones o quejas por parte de ningún otro interesado, no es prueba del cumplimiento de la normativa vigente ni de que se hubieran atendido todas las solicitudes de ejercicios de derecho u otras peticiones. En cuanto a la existencia de un protocolo ad hoc para la tramitación de bajas de la newsletter y de solicitudes de ejercicio de derechos personales, así como la adopción de nuevas medidas para evitar que una situación como la del presente caso pudiera repetirse, esta Agencia las valora positivamente, pero ello no es óbice para considerar que en el presente caso no ha quedado acreditado que se ha atendido debidamente la solicitud de supresión de los datos personales de la parte reclamante, lo cual es el objeto del presente procedimiento. Finalmente, en cuanto al origen de la presente reclamación, ello no es objeto del presente procedimiento tampoco. Por todo lo expuesto, se desestima la presente alegación. Tercera. De la petición de inadmisión de la reclamación notificada Alega GUAW lo dispuesto en el artículo 65.3 de la LOPDGDD: “Igualmente, la Agencia Española de Protección de Datos podrá inadmitir la reclamación cuando el responsable o encargado del tratamiento, previa advertencia formulada por la Agencia Española de Protección de Datos, hubiera adoptado las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos y concurra alguna de las siguientes circunstancias:
- a)Que no se haya causado perjuicio al afectado en el caso de las infracciones previstas en el artículo 74 de esta ley orgánica.
- b)Que el derecho del afectado quede plenamente garantizado mediante la aplicación de las medidas.” Y solicita el archivo del presente procedimiento teniendo en cuenta que una vez fueron conocidos los hechos, GUAW procedió a la supresión de los datos y atendió su petición, que no se ha causado ningún tipo de perjuicio y de que internamente se han revisado los protocolos para tratar de actuar todavía con mayor diligencia y con el máximo respeto a los derechos de los interesados de ahora en adelante. Al respecto, esta Agencia desea señalar que la posibilidad de esta Agencia de inadmitir una reclamación en virtud del artículo 65.3 de la LOPDGDD no es una obligación sino una potestad que la ley le reconoce y que en el presente caso se ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 optado por la admisión a trámite de la reclamación, toda vez que se consideró conveniente investigar lo manifestado en la citada reclamación. En cuanto a que GUAW procedió a la supresión de los datos, ello no ha quedado acreditado debidamente ante esta Agencia, pero en cualquier caso ha sido únicamente con posterioridad a la intervención de esta Agencia, que es cuando la parte reclamante ha visto satisfecha su petición y no antes. En cuanto a la revisión de los protocolos internos de GUAW, esta Agencia valora tal accionar positivamente, pero ello no es óbice para insistir en que en el presente caso no ha quedado acreditado que se ha atendido debidamente la solicitud de supresión de los datos personales de la parte reclamante, lo cual es el objeto del presente procedimiento. Por todo lo expuesto, se desestima la presente alegación. IV Derecho de supresión El artículo 17 del RGPD “Derecho de supresión (“el derecho al olvido”)” establece: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
- a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
- b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
- c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
- d)los datos personales hayan sido tratados ilícitamente;
- e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
- f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16
- a)para ejercer el derecho a la libertad de expresión e información;
- b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
- c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
- h)e i), y apartado 3;
- d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
- e)para la formulación, el ejercicio o la defensa de reclamaciones.” Por su parte, el artículo 12 “Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado” del RGPD establece que: “(…)3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo. 4. Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. (…)” En el presente caso, el 9 de agosto de 2022 la parte reclamante solicitó al sitio web https://www.petsonic.fr que suprimiesen sus datos personales de acuerdo con el artículo 17.1 del RGPD, sin haber recibido respuesta por parte de GUAW hasta, al menos, junio de 2023, una vez intervino esta Agencia. Es decir, el plazo legal establecido para dar alguna respuesta a la solicitud de la parte reclamante sobre la supresión de sus datos personales, ya sea que se le haya dado curso o no a su solicitud, se ha visto ampliamente superado. No obstante, a efectos del plazo de prescripción de las infracciones, el artículo 74 de la LOPDGDD califica de leve la siguiente conducta: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 Por tanto, al haber transcurrido más de un año desde que GUAW debió dar alguna respuesta a la parte reclamante, la posible infracción del artículo 12 del RGPD estaría prescrita. Sin embargo, no ha quedado acreditado en el presente expediente que los datos personales de la parte reclamante hayan sido debidamente suprimidos. Por tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a GUAW, por vulneración del artículo 17 del RGPD. V Tipificación y calificación de la infracción del artículo 17 del RGPD La citada infracción del artículo 17 del RGPD supone la comisión de una de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
- b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe al año, conforme al artículo 72 de la LOPDGDD, que califica de muy grave la siguiente conducta: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. (…)” VI Apercibimiento Sin perjuicio de lo dispuesto en el apartado artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.
- b)del artículo 58 “Poderes” lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16
- b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” El artículo 64 de la LOPDGDD que regula la “Forma de iniciación del procedimiento y duración”, en su apartado tercero dispone que: “3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo.” En el presente caso, considerando las circunstancias enumeradas en el artículo 83.2 RGPD, se considera conforme a derecho dirigir un apercibimiento a GUAW. VII Adopción de medidas Se acuerda imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Se requiere al responsable para que acredite ante esta Agencia en el plazo de UN MES que ha atendido debidamente la solicitud de supresión de los datos personales de la parte reclamante. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 PRIMERO: DIRIGIR UN APERCIBIMIENTO a GUAW, S.L, con NIF B42793976, por una infracción del Artículo 17 del RGPD, tipificada en el Artículo 83.5 del RGPD. SEGUNDO: ORDENAR a GUAW, S.L, con NIF B42793976, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de UN MES desde que la presente resolución sea firme y ejecutiva, acredite haber procedido a la supresión de los datos personales de la parte reclamante. TERCERO: NOTIFICAR la presente resolución a GUAW, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es