1/6 Expediente N.º: EXP202212261 RESOLUCIÓN N.º: R/00365/2023 Vista la reclamación formulada el 2 de octubre de 2022 ante esta Agencia por D. A.A.A. contra UNITARIMA, S.A. por no haber sido debidamente atendido su derecho de rectificación. Realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: D. A.A.A. (en lo sucesivo, la parte reclamante) ejerció el derecho de acceso ante UNITARIMA, S.A. con NIF A82323049 (en lo sucesivo, la parte reclamada). Una vez atendido ese derecho de acceso, la parte reclamante se dirigió nuevamente a la parte reclamada solicitando la rectificación de “Firma del parte de trabajo nº XXXXX de fecha 20/01/2022 donde indica a través de mi firma que soy el responsable de la constructora A.A.A. cuando eso no es correcto”, sin recibir respuesta. SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, que ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la AEPD, consistente en trasladarlas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, se dio traslado de la reclamación a la entidad reclamada para que procediese a su análisis y diera respuesta a la parte reclamante y a esta Agencia en el plazo de un mes. La parte reclamada señala que, una vez atendido el derecho de acceso, se atendió posteriormente una solicitud, con fecha 20 de junio de 2022, de derecho de supresión en fecha 23 de junio de 2022, y un ejercicio de rectificación, cuya reclamación ha dado lugar al presente procedimiento. Manifiesta que, con fecha 19 de julio de 2022, se remitió un correo electrónico a la parte reclamante, ya que este fue el medio utilizado para ejercitar el derecho, explicándole que no procede la rectificación de su firma. “Según lo recogido en el RGPD se debe rectificar el dato personal cuando éste sea erróneo. El dato de la firma entendemos es correcto, ya que según usted asevera se trata de su firma, pero usted lo ha plasmado en un documento donde no debía figurar (el parte de trabajo al que usted hace referencia), ya que como en el propio documento se indica (CONFORME, El encargado de la Constructora) ahí debe firmar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 el encargado y no otra persona. La única forma de “rectificar” ese documento sería eliminar del mismo su firma, por algún medio manual, ya que el mismo es un documento en papel (lo que realmente sería la eliminación o cancelación del dato). Pero este documento ha sido aportado por usted a una reclamación interpuesta ante la AEPD, que ha derivado en la apertura del Expediente nº EXP202205355 a nuestra empresa, siendo por tanto parte de la documentación de dicho expediente. Por tanto, tal y como le indicamos en la respuesta a su solicitud de cancelación hasta que no se resuelva el procedimiento iniciado por la AEPD no podemos modificar estos datos, ni cancelarlos ni rectificarlos. Una vez concluido el procedimiento procedemos a la cancelación de todos sus datos personales, incluido el Parte de Trabajo nº XXXXX de fecha 20/01/2022, indicado en su solicitud de derecho de cancelación de fecha 20 de junio de 2022 y en su solicitud de derecho de rectificación de fecha 30 de junio de 2022.” Dado que la respuesta aportada a esta Agencia por el responsable del tratamiento no acompaña la necesaria comunicación que debe dirigir a la parte reclamante, informando sobre la decisión adoptada con motivo de la reclamación, con fecha 11 de enero de 2023, se reitera nuevamente dicha petición para que se dé respuesta al afectado sobre la reclamación formulada y se remita a esta Agencia copia de dicha respuesta. La parte reclamada ha aportado copia del nuevo correo electrónico que ha remitido a la parte reclamante con fecha 12 de enero de
- TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante, al no haberse acreditado, de forma fehaciente, la respuesta del derecho solicitado y su recepción. En consecuencia, con fecha 2 de enero de 2023, a los efectos previstos en su artículo 64.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada y se informó a las partes que el plazo máximo para resolver el presente procedimiento, que se entiende iniciado mediante dicho acuerdo de admisión a trámite, será de seis meses. El mencionado acuerdo concedió a la entidad reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. Dicha entidad señaló, en síntesis, que procedió a contestar a la parte reclamante por correo electrónico, el mismo medio que ésta había utilizado para ejercitar el derecho. “En ambos envíos se activaron las opciones de acuse de recibo (recepción y lectura), pero como técnicamente es posible desactivar estas confirmaciones de acuse de recibo para que no se informe al emisor del correo, entendemos que el destinatario rechazó el envío de estas confirmaciones y no recibimos las evidencias para demostrar el envío del ejercicio de derecho de rectificación.” En ese correo le informaban que no procede la rectificación de su firma, que el dato en sí, es decir, la firma del reclamante es correcta y no se puede rectificar. “El derecho de rectificación que solicita el reclamante conforme al art. 16 del RGPD se refiere a datos personales inexactos y en ese caso el dato es correcto, solo que está en una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 ubicación que no le corresponde y que por otra parte fue allí ubicada por él y no por nosotros, por tanto lo que pretende en su escrito es una rectificación de la ubicación del dato, no del dato en sí que es correcto (…)” CUARTO: Con fecha 26 de enero de 2023 ha tenido entrada en esta Agencia un escrito de la parte reclamante aportando copia del correo electrónico remitido por la parte reclamada con fecha 12 de enero de
- QUINTO: Examinadas las alegaciones presentadas por la reclamada, son objeto de traslado a la parte reclamante, para que, en el plazo de quince días hábiles formule alegaciones que considere oportunas. La parte reclamante reitera que “(…) no se ha borrado mis datos”, según se indica en la respuesta de la parte reclamada. Además, señala, en relación con la “Prueba de entrega” emitida por el Servicio de Correos del escrito remitido por la parte reclamada, “(…) también se le comunica a la AEPD por parte de Unitarima un dato de mi firma que no se corresponde con mi firma y que alguien la ha suplantado (…)” SEXTO: Otorgada audiencia a la parte reclamada, indica que han remitido un escrito a la parte reclamada, cuya copia adjunta, así como el acuse de recibo. “(…) Procedemos a comunicar al interesado que se concede el derecho de supresión tal y como solicita inicialmente al entender que ha concluido el procedimiento original (…) sobre el derecho de acceso que fue archivado por la Agencia Española de Protección de Datos y las sucesivas reclamaciones sobre su derecho de rectificación y luego de supresión han sido respondidas en tiempo y forma, aunque no conformen al interesado nuestros argumentos (…) Procedemos a informar al solicitante que no se suprimirán los datos inmediatamente, sino que se procederá a limitar su tratamiento (bloquear los datos a los solos efectos de su conservación) para poder atender posibles responsabilidades nacidas del tratamiento de sus datos (…)” En cuanto a las manifestaciones de que la firma que aparece en la “Prueba de entrega” del Servicio de Correos no se corresponde con la suya, la parte reclamada indica que esa circunstancia debe contrastarla con el Servicio de Correos. FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el apartado 2 del artículo 56 en relación con el apartado 1 f) del artículo 57, ambos del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); y en el artículo 47 de la LOPDGDD. SEGUNDO: De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, con carácter previo a la admisión a trámite de la reclamación que da lugar al presente procedimiento, se dio traslado de la misma a la entidad responsable para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida, en el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD. Dicho acuerdo de admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “
- Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo siguiente. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. No se estima oportuna la depuración de responsabilidades administrativas en el marco de un procedimiento sancionador, cuyo carácter excepcional implica que se opte, siempre que sea posible, por la prevalencia de mecanismos alternativos que tengan amparo en la normativa vigente. Es competencia exclusiva de esta Agencia valorar si existen responsabilidades administrativas que deban ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar un procedimiento ante cualquier petición realizada por un tercero. Tal decisión ha de basarse en la existencia de elementos que justifiquen dicho inicio de la actividad sancionadora, circunstancias que no concurren en el presente caso, considerando que con el presente procedimiento quedan debidamente restauradas las garantías y derechos del reclamante. TERCERO: Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. CUARTO: El artículo 16 del RGPD, que regula el derecho de rectificación de los datos personales inexactos, establece lo siguiente: “El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la rectificación de los datos personales inexactos que le conciernan. Teniendo en cuenta los fines del tratamiento, el interesado tendrá derecho a que se completen los datos personales que sean incompletos, inclusive mediante una declaración adicional.” QUINTO: En el supuesto aquí analizado, la parte reclamante ejerció su derecho de rectificación, argumentando que había firmado en un parte de trabajo en un lugar que no le correspondía. Durante la tramitación del presente procedimiento, aunque en un primer momento la parte reclamada señaló que “(…) la única forma de “rectificar” ese documento sería eliminar del mismo su firma, por algún medio manual, ya que el mismo es un documento en papel”, posteriormente ha remitido un correo electrónico a la parte reclamante indicando que proceden a atender su derecho, que “(…) se procederá a limitar su tratamiento (bloquear los datos a los solos efectos de su conservación) para poder atender posibles responsabilidades nacidas del tratamiento de sus datos (…)” En consecuencia de lo anteriormente expuesto, se considera que la petición de la parte reclamante de que su firma no conste en el parte de trabajo el lugar en el que la estampó, ha quedado atendida, y por ello, procede estimar, por motivos formales, la reclamación presentada. En cuanto a las manifestaciones de la parte reclamante de que la firma que aparece en la prueba de entrega emitida por el servicio de correos, debería dirigirse a la entidad emisora de dicha prueba de entrega para plantearle esa cuestión. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR por motivos formales, la reclamación formulada por D. A.A.A. contra UNITARIMA, S.A.. No obstante, no procede la emisión de nueva certificación por parte de dicha entidad, al haberse emitido la respuesta extemporáneamente, sin que se requiera la realización de actuaciones adicionales por parte del responsable. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. y a UNITARIMA, S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1191-140323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es