1/12 Expediente N.º: EXP202519535 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 15 de septiembre de 2025 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 15 de septiembre de 2025 tuvo entrada en esta Agencia reclamación presentada por A.A.A. (en adelante, la parte reclamante) contra WHAT'S UP BARCELONA, S.L. (en adelante, la parte reclamada) por no haber sido debidamente atendidos los derechos de acceso y supresión. La parte reclamante manifiesta que, como alumno de la parte reclamada, ha sufrido prácticas irregulares en el uso de sus datos personales al no haber sido informado de manera transparente en el momento de la formalización del contrato. Refiere asimismo la parte reclamante que, el día 30 de enero de 2025, solicitó el acceso a sus datos personales frente a la parte reclamada y posterior supresión de los mismos, sin haber obtenido respuesta de ésta a fecha de presentación de reclamación ante la AEPD. Considera la parte reclamante que esta forma de proceder de la parte reclamada vulnera la normativa vigente en materia de protección de datos de carácter personal, al haberse realizado un uso ilícito de los mismos, por un lado, y no haberse atendido los derechos de acceso y supresión instados, por otro. Aporta copia del contrato suscrito con la parte reclamada, contrato de financiación del curso, enlaces a dos videos publicados en Youtube y transcripción de los mismos, correo electrónico y burofax remitidos a la parte reclamada solicitando el acceso a sus datos. SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La parte reclamada contestó a esta Agencia haciendo un relato del proceso de cómo la parte reclamante fue captada como alumno, y cómo se produjo la formalización contractual, aportando copia del contrato firmado. “(…) Solicitud de baja (21/01/2025) y gestión administrativa posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/12 Al día siguiente de haber firmado el contrato, el 21/01/2025 el reclamante contacta telefónicamente con el centro indicando dudas contractuales, y se acepta la gestión de baja mediante conversación con la consultora (...). El reclamante no llegó a hacer ninguna clase ni pagó ningún importe a la financiera. Se informa al reclamante de que su baja queda gestionada con fecha 31/01/2025, y que la baja con la financiera ***EMPRESA.1 requiere un proceso administrativo centralizado, no ejecutable de forma inmediata por la consultora del centro. El 31/01/2025 se gestiona la devolución final a través de la gestora (...). Asimismo, el 31/01/2025 se procesa: 1.la inclusión del reclamante en el fichero interno tipo Robinson Lisi (bloqueo de comunicaciones), y
- la eliminación de sus datos del fichero de "Contactos" del CRM, con comunicación automatizada al interesado confirmando dicha actuación. Desde el 31/01/2025 a las 11:49 no se emite ninguna comunicación ulterior al contacto. El CRM aplica una medida técnica por la que ofusca el acceso a los datos de contacto de las personas que solicitan eliminación, manteniéndose únicamente el acceso restringido al Responsable de ficheros cuando haya existido relación contractual, a los efectos de conservación administrativa y atención de responsabilidades (...)." TERCERO: De acuerdo con los artículos 64.1 y 65.5 de la LOPDGDD, la decisión sobre la admisión o inadmisión a trámite de la reclamación, deberá notificarse a la parte reclamante en el plazo de tres meses. Si transcurrido este plazo no se produjera dicha notificación, cuando la reclamación verse sobre la falta de atención de una solicitud de ejercicio de derechos, el procedimiento se considerará iniciado a partir de la fecha en que se cumplan tres meses desde que la reclamación tuvo entrada en la Agencia. Según lo expuesto, y teniendo en cuenta que la reclamación se presentó en esta Agencia en fecha 15 de septiembre de 2025, el procedimiento de atención de solicitud de ejercicio de derechos se considera iniciado al haber transcurrido tres meses desde que la misma tuvo entrada en la AEPD. Con fecha 15 de diciembre de 2025, se produjo la admisión a trámite de la reclamación presentada. Mediante acuerdo de la Presidencia de la Agencia Española de Protección de Datos de fecha 16 de marzo de 2026, se concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/12 Con fecha 31 de marzo de 2026 la parte reclamada presentó un escrito ante esta Agencia en el que, en síntesis, y por lo que al presente procedimiento interesa, señala que: “SEGUNDA. - Sobre la solicitud de acceso del 30/01/2025 y su atención por la entidad (aportación de evidencias)
- Con fecha 30/01/2025, el interesado remitió solicitud de ejercicio del derecho de acceso a sus datos personales, solicitando asimismo la supresión posterior.
- En relación con dicha solicitud, esta parte adjunta: copia del email que envió automáticamente el CRM el día 31-01-2025 a las 11.49 al email ***EMAIL.1 . Este email lo envía el CRM automáticamente al introducir el contacto en la Lista Robinson (Acción que realizo manualmente la responsable de LPGD …). TERCERA. - Sobre la supresión solicitada y la conservación limitada/bloqueo En lo relativo a la supresión, se reitera que con fecha 31/01/2025 se ejecutaron medidas de eliminación de datos en el entorno operativo de “Contactos” del CRM y la inclusión del interesado en un fichero interno de bloqueo de comunicaciones (“tipo Robinson”), sin emisión de comunicaciones posteriores desde esa fecha. La empresa contestó en plazo que los datos suyos, a su petición, habían sido eliminados. Whats up!! Hemos eliminado tus datos de contacto de nuestros sistemas siguiendo tus indicaciones. Canal: Mail Tipo Mensaje: RGPD Respuesta Robinson Fecha del mensaje: 31-1-2025 (…)” La parte reclamada ha aportado copia de un pantallazo de un listado de mensajes que parece que se enviaron a la parte reclamante, entre ellos, el 31 de marzo de 2026 con el nombre “RGPD Respuesta robinson” en el que “Tal como has solicitado, hemos dado de baja tus datos personales de nuestra base de datos.” CUARTO: Examinado el escrito presentado por la parte reclamada, se trasladó a la parte reclamante, para que, en el plazo de diez días hábiles formulase las alegaciones que considerase oportunas. La parte reclamante presentó un escrito ante esta Agencia con fecha 17 de abril de 2026 en el que señala que, en el burofax remitido a la parte reclamada, además de detallar una serie de vulneraciones del RGPD, solicitó - acceso a datos personales recopilados, incluyendo identidad, información financiera, contacto, etc. información sobre el origen de los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/12 - información sobre terceros destinatarios de los datos. información sobre el plazo de conservación de los datos y los criterios aplicados. La parte reclamante añade, en síntesis, y por lo que al presente procedimiento interesa: “PRIMERA. Sobre la insuficiencia de la prueba aportada por la reclamada La parte reclamada sostiene haber atendido la solicitud de acceso y supresión mediante un supuesto correo automático generado por su CRM el 31/01/
- Sin embargo, esa alegación no puede considerarse acreditada con la sola aportación de capturas de pantalla de una plataforma interna desconocida, respecto de la cual no consta su funcionamiento, integridad, trazabilidad técnica ni conexión efectiva con un sistema real de correo. No se acompaña certificación técnica alguna del supuesto envío, no se acredita la efectiva salida del mensaje, no se acredita su entrega, ni se aporta evidencia verificable de que el sistema hubiera remitido realmente una comunicación válida al buzón del reclamante. La sola apariencia visual de pantallas internas no puede equivaler, por sí sola, a una prueba suficiente de atención de derechos de protección de datos en el sentido exigido por el artículo 5.2 del RGPD, que impone al responsable del tratamiento la carga de demostrar el cumplimiento.” La parte reclamante manifiesta que no recibió el correo electrónico que indica la parte reclamada. “(…) SEXTA. Sobre que, aun en hipótesis, el contenido del supuesto correo no atendería ni el acceso ni la supresión Subsidiariamente, aun cuando se admitiera a efectos dialécticos que dicho correo hubiera sido efectivamente enviado, su contenido no serviría para tener por atendido ni el derecho de acceso ni el derecho de supresión en los términos solicitados. De las alegaciones de la entidad resulta que el mensaje se limitaría a indicar que se habían eliminado "los datos de contacto" de sus sistemas o del entorno operativo del CRM (concretamente correo electrónico y número de teléfono) y que se había incluido al reclamante en una lista interna de bloqueo tipo Robinson. Ahora bien, ello no equivale en modo alguno al derecho de acceso reconocido en el artículo 15 del RGPD, que comprende: la confirmación de si se tratan o no datos del interesado; el acceso a los propios datos; e información sobre los fines del tratamiento, las categorías de datos, los destinatarios o categorías de destinatarios, el plazo de conservación previsto, el origen de los datos y la existencia de decisiones automatizadas. Ninguno de estos extremos fue respondido. Tampoco equivale a una supresión plena en los términos del artículo 17 del RGPD, pues una referencia genérica a la baja de "datos de contacto" no acredita qué datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/12 concretos fueron suprimidos, cuáles se conservaron, en qué sistemas permanecen ni bajo qué base jurídica se justifica su conservación.” QUINTO: Otorgada audiencia a la parte reclamada, ésta presentó un escrito ante esta Agencia con fecha 12 de mayo de 2026 en el que, en síntesis, y por lo que al presente procedimiento interesa, indica que: “CUARTA. - Sobre la información facilitada al reclamante en materia de protección de datos Esta parte se ratifica en que el reclamante dispuso de información suficiente y accesible en el marco del proceso de contratación. En el propio contrato constaban las menciones relativas a: • identidad del responsable, • finalidades del tratamiento, • bases jurídicas, • criterios de conservación, • ejercicio de derechos, • y, cuando procedía, consentimientos diferenciados para finalidades no necesarias para la ejecución contractual, como las comunicaciones comerciales o el uso de imagen. Por ello, no puede compartirse la alegación de contrario relativa a una supuesta ausencia generalizada de información o a una contratación sin transparencia. (…) SEXTA. - Sobre la solicitud de baja y la diligencia empresarial en su gestión (…) La entidad reclamada reitera que la solicitud del interesado fue tramitada internamente y que el 31/01/2025 se ejecutaron actuaciones materiales concretas, consistentes en:
- la inclusión del reclamante en una lista interna tipo Robinson, al objeto de impedir futuras comunicaciones;
- la eliminación de sus datos del fichero operativo de “Contactos” del CRM;
- el cese total de comunicaciones ulteriores, no constando nuevos impactos desde las 11:49 horas de dicha fecha;
- y la generación de la correspondiente comunicación automatizada asociada a dicha actuación. Junto a ello, el CRM aplica medidas técnicas de ofuscación del acceso a los datos de contacto cuando el interesado solicita la eliminación, quedando únicamente un acceso restringido y limitado a perfiles autorizados y solo cuando ha existido relación contractual, a efectos administrativos, de cumplimiento y eventual defensa jurídica. (…) SÉPTIMA. - Sobre la supresión operativa, el bloqueo en lista interna y el cese de comunicaciones Con fecha 31 de enero de 2025, esta entidad ejecutó una serie de actuaciones materiales sobre los datos del reclamante: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/12
- su inclusión en una lista interna tipo Robinson, a fin de impedir nuevas comunicaciones;
- la eliminación de sus datos del fichero operativo de “Contactos” del CRM;
- el cese de comunicaciones ulteriores, no constando emisión alguna a partir de las 11:49 horas de dicha fecha;
- y la generación de la correspondiente comunicación automatizada al interesado informando de la actuación. Asimismo, el CRM aplica medidas técnicas que ofuscan el acceso a los datos de contacto de aquellas personas que solicitan su eliminación, de modo que, tras la baja, solo queda un acceso restringido y limitado al responsable autorizado cuando haya existido una relación contractual, exclusivamente a efectos administrativos, de cumplimiento de obligaciones o de atención a eventuales responsabilidades. La parte reclamada reitera que “(…)• se eliminó al reclamante del fichero operativo de contactos, • se incluyó en una lista interna de bloqueo, • y cesaron totalmente las comunicaciones desde el 31/01/2025.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/12 Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 15 de diciembre de 2025, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento.” III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/12 Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/12 incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Derecho de supresión El artículo 17 del RGPD, que regula el derecho de supresión de los datos personales, establece lo siguiente: "
- El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes: a) los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo; b) el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico; c) el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2; d) los datos personales hayan sido tratados ilícitamente; e) los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento; f) los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado
- Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos.
- Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario: a) para ejercer el derecho a la libertad de expresión e información; b) para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable; c) por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras h) e i), y apartado 3; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/12 d) con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o e) para la formulación, el ejercicio o la defensa de reclamaciones". VI Conclusión El procedimiento de derechos se instruye como consecuencia de la falta de atención de alguno de los derechos regulados en la normativa de protección de datos. Por ello, en el presente caso sólo se analizarán y valorarán los hechos relativos al ejercicio de estos derechos, quedando fuera el resto de cuestiones planteadas por las partes. En el presente supuesto, y por lo que al presente procedimiento interesa, del examen de la documentación aportada, ha quedado acreditado que la parte reclamante solicitó a la parte reclamada el acceso a sus datos y la posterior supresión de los mismos, y que la parte reclamada le contestó indicándole que “En lo relativo a la supresión, se reitera que con fecha 31/01/2025 se ejecutaron medidas de eliminación de datos en el entorno operativo de “Contactos” del CRM y la inclusión del interesado en un fichero interno de bloqueo de comunicaciones (“tipo Robinson”), sin emisión de comunicaciones posteriores desde esa fecha. “ Analizando la citada respuesta, se observa lo siguiente: - En relación al derecho de supresión, la parte reclamada manifiesta haber suprimido los datos incluyéndolos en un fichero interno de bloqueo de comunicaciones. Conforme a la normativa de protección de datos, la supresión de los datos según lo establecido en el artículo 32 de la LOPDGDD, debe llevarse a cabo mediante el bloqueo, por lo tanto, la supresión de los datos personales al haber dejado de ser necesarios para la finalidad que justificó su tratamiento no implicará automáticamente su borrado físico. Esta actuación está sometida a determinadas condiciones con las que se pretende asegurar y garantizar el derecho del afectado a la protección de sus datos de carácter personal. Los datos bloqueados quedarán a disposición de los Tribunales, el Ministerio Fiscal u otras Administraciones públicas competentes, en particular las autoridades de protección de datos, para las exigencias de posibles responsabilidades derivadas del tratamiento y por el plazo de prescripción de estas. Sin embargo, en el presente caso, no consta que la parte reclamada haya suprimido, o bloqueado, los datos personales de la parte reclamante. Tan sólo indica que ha bloqueado los mismos para el envío de comunicaciones. En consecuencia, dado que no consta prueba documental alguna que permita considerar que la parte reclamada haya atendido, o denegado motivadamente, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/12 la supresión de los datos de la parte reclamante, procede estimar la reclamación planteada. - En relación al derecho de acceso, no se ha aportado prueba alguna que permita considerar que se ha contestado expresamente atendiendo el derecho, o denegándolo motivadamente. Cabe señalar que, cuando se ejercita el derecho de acceso, no cabe aceptar que, en caso de que los datos personales solicitados se encuentren bloqueados, se pretenda dejar sin respuesta el derecho de acceso ejercitado. A este respecto, conviene indicar que los datos personales que se encuentran bloqueados impide el tratamiento de los mismos, salvo para la puesta a disposición de las autoridades competentes. Sin embargo, dicho bloqueo no implica que no se puedan facilitar al afectado tales datos personales que el responsable dispuso y trató mientras perduró la relación contractual, por si de ello, como sucede en el presente caso, pudieran surgir responsabilidades derivadas de su tratamiento. Por ello, se debe atender la solicitud de acceso conforme a lo establecido en el artículo 15 del RGPD. La solicitud que se formule obliga al responsable a dar respuesta expresa en todo caso, empleando para ello cualquier medio que justifique la recepción de la contestación. Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los responsables, aún en el supuesto de que no existan datos en los ficheros o incluso en aquellos supuestos en los que no reuniera los requisitos previstos, en cuyo caso el destinatario de dicha solicitud viene igualmente obligado a requerir la subsanación de las deficiencias observadas o, en su caso, denegar la solicitud motivadamente indicando las causas por las que no procede considerar el derecho de que se trate. Por tanto, la solicitud que se formule obliga al responsable a dar respuesta expresa en todo caso, empleando para ello cualquier medio que justifique la recepción de la contestación. Dado que no se acompaña copia de la necesaria comunicación que debe dirigir a la parte reclamante informándole sobre la decisión que haya adoptado a propósito de la solicitud de ejercicio de derecho de acceso, procede estimar la reclamación que originó el presente procedimiento. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en los artículos 15 y 17 del RGPD e instar a WHAT'S UP BARCELONA, S.L. con NIF B66100959, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atiendan los derechos solicitados o se denieguen motivadamente indicando las causas por las que no procede atender las peticiones, de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/12 conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del artículo 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.m) de la LOPDGDD, que se sancionará de acuerdo con el artículo 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a WHAT'S UP BARCELONA, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es