1/6 Expediente N.º: EXP202312893 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 8 de agosto de 2023, ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) ejerció el derecho de Acceso frente a TEMPLE GRUP CONSULTORS BCN, S.L. (en adelante, la parte reclamada) sin que su solicitud haya recibido la contestación legalmente establecida, según manifiesta la parte reclamante. SEGUNDO: Desde está Agencia se analizó la respuesta aportada por el reclamado y se consideró que el derecho había sido atendido y la reclamación se inadmite con los siguientes argumentos: “…En respuesta a las actuaciones de traslado y de información realizadas, se ha recibido en esta Agencia escrito de la parte reclamada en el que, por lo que aquí interesa, manifiesta lo siguiente: Los datos del reclamante se encontraban junto a los demás de la comunidad de propietarios ***COMUNIDAD.1, que forma parte con la información aportada por el Presidente en activo de dicha comunidad en el momento de contratar nuestros servicios. En las contestaciones de 31/7/23 y 4/8/23 se atiende el derecho de acceso y se explica quien aporto sus datos a TEMPLE y porque motivos, que no eran otros que contratarnos para llevar la administración de esta finca. Se han adoptado medidas para evitar incidencias similares y las contestaciones de los derechos de los interesados se realizarán a través del Delegado de Protección de Datos designado del Grup Qualia. Concluye que el 5/9/23 ha enviado, por correo electrónico, nueva contestación al reclamante. Una vez analizadas las razones expuestas por la parte reclamada, que obran en el expediente, esta Agencia considera que ha quedado atendido el derecho solicitado. Por este motivo, de conformidad con lo establecido en el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos ACUERDA inadmitir a trámite la reclamación. TERCERO: La parte reclamante en total desacuerdo con la resolución, presenta recurso de reposición que una vez resuelto resulta estimatorio y da lugar a la actual reclamación con los siguientes argumentos: “…En el recurso de reposición alega que, después de la reclamación, se le ha facilitado la respuesta al derecho de acceso solicitado, de forma incompleta puesto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 que solo se le han facilitado parte de sus datos personales y se le ha informado del origen de sus datos, sin que se haya dado respuesta sobre, los fines del tratamiento, los destinatarios a quienes se les han comunicado sus datos, las garantías del tratamiento, el plazo de conservación y si existen decisiones automatizadas sobre el tratamiento de sus datos (…) En consecuencia, ejercitado el derecho de acceso, la entidad responsable debe responder, y, en caso de estimar dicho acceso, elegir la forma en que ofrecerá la información, pudiendo hacerlo mediante la modalidad de copia de sus datos personales. Pues bien, en el presente caso, consta que la parte reclamada ha facilitado los datos personales que obran en sus ficheros mediante correo electrónico de fecha 29 de agosto de 2023 y también ha informado del origen de los datos mediante correo electrónico de fecha 5 de septiembre de 2023. No obstante, no consta que se haya facilitado el resto de información según el contenido del artículo 15.1 del RGPD o que esta se haya denegado de forma motivada. Por otra parte, en respuesta al trámite de audiencia practicado, la parte reclamada ha facilitado los correos electrónicos que dieron respuesta al derecho de acceso instado (entre ellos, uno de fecha 29/8/2023). No obstante, y a pesar del trámite de audiencia practicado, no acredita el cumplimiento del deber de responder a la solicitud formulada, de conformidad con el artículo 12.4 de la LOPDGDD y el artículo 15 del RGPD. En este sentido, las Directrices 01/2022 sobre los derechos de los interesados — Derecho de acceso, versión 2.0, adoptadas el 28 de marzo de 2023, indican en su apartado 20 lo siguiente (la traducción es nuestra): “El tercer componente del derecho de acceso es la información sobre el tratamiento y los derechos de los interesados que el responsable del tratamiento debe proporcionar en virtud del artículo 15, apartado 1, letras
- a)a h), y apartado 2. Dicha información podría basarse en un texto tomado, por ejemplo, del aviso de privacidad del responsable del tratamiento o del registro del responsable del tratamiento a que se refiere el artículo 30 del RGPD, pero es posible que deba actualizarse y adaptarse a la solicitud del interesado. El contenido y el grado de especificación de la información se detallan en la sección 4.3.” Por tanto, procede la estimación del recurso interpuesto…” CUARTO: Con fecha 11 de marzo de 2024, se da traslado a la parte reclamada de nuevo de la reclamación, del recurso de reposición presentado por el reclamante y de la resolución estimatoria de dicho recurso para que, en el plazo de quince días hábiles formule las alegaciones que considere oportunas. La parte reclamada no ha presentado alegaciones ni se tiene constancia de que haya atendido el derecho. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la Ley C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 V Conclusión La parte reclamante solicitó el derecho de acceso y ante la respuesta recibida presentó reclamación ante esta Agencia. Analizada la reclamación, en principio, se considera el derecho atendido y se inadmite. Mas tarde, tras el recurso de reposición presentado por la parte reclamante, se considera incompleta la respuesta aportada por la parte reclamada y se le da de nuevo audiencia al reclamado para que aporte alegaciones y atienda el derecho. La parte reclamada no ha contestado a esta Agencia para acreditar que ha atendido el derecho en su totalidad, por lo que la reclamación resulta estimatoria. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en el Artículo 15 del RGPD e instar a TEMPLE GRUP CONSULTORS BCN, S.L. con NIF B60223419, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del art. 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.
- m)de la LOPDGDD, que se sancionará de acuerdo con el art. 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a TEMPLE GRUP CONSULTORS BCN, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-090823 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es