1/12 Expediente N.º: EXP202403450 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 9 de febrero de 2024 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 09 de febrero de 2024 tuvo entrada en esta Agencia reclamación presentada por D. A.A.A. (en adelante, la parte reclamante) contra INGENIERÍA Y CONSTRUCCIONES DEL SUR, S.A. (en adelante, la parte reclamada) por no haber sido debidamente atendidos sus derechos de acceso y supresión. La parte reclamante, extrabajador de la parte reclamada, indica que, mediante correo electrónico enviado el día 21 de diciembre de 2023, ejerció sus derechos de acceso y de supresión de sus datos personales, que fueron incluidos por la parte reclamada en el portal Linkedin, así como en la sección de noticias de la página web de la parte reclamada. La parte reclamante manifiesta que sus datos personales se vieron expuestos al publicarse por la parte reclamada un extracto de una resolución judicial que implicaba a ambas partes. La parte reclamante señala que el día 12 de enero de 2024, recibió un correo electrónico de la parte reclamada indicando que “En respuesta su escrito, informarle que desde la apertura del juicio oral las actuaciones son públicas y es una noticia veraz y de interés para nuestra empresa y para el sector”, sin que se haya pronunciado acerca de la estimación o desestimación del derecho de acceso y el de supresión Junto con la reclamación, se ha aportado a esta Agencia: - copia del correo electrónico enviado por el reclamante a la empresa reclamada solicitando el acceso y la supresión de sus datos personales, con fecha de 21 de diciembre de 2023; copia del escrito del reclamante solicitando el acceso y la supresión de sus datos personales, con fecha de 21 de diciembre de 2023; - copia del correo electrónico de respuesta de la empresa reclamada, con fecha de 12 de febrero de 2024; - copia del DNI del reclamante; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 - 2 links a las publicaciones de LinkedIn y de la página web de la empresa reclamada. SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No consta en esta Agencia que la parte reclamada haya presentado ninguna respuesta. TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 9 de mayo de 2024, a los efectos previstos en el artículo 64.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada. El mencionado acuerdo concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. La parte reclamada, con fecha 19 de julio de 2024, presentó ante esta Agencia indicando que no contestó al traslado de la reclamación realizado porque dicho traslado “(…) no fue identificado por INGESUR debido a un fallo técnico en el sistema de notificación.” La parte reclamada manifiesta que “(…) el 21 de diciembre del 2023, el Reclamante remitió a INGESUR una comunicación solicitando el ejercicio de los derechos de acceso y supresión de sus datos. La solicitud del Reclamante fue recibida al correo electrónico de INGESUR rgpd@ingesur.es. Aportamos como Documento nº 1 escrito recibido. No obstante lo anterior, dado que los datos del Reclamante se encontraban, en dicho momento, ya bloqueados, es decir, no disponibles para su tratamiento por el personal general de INGESUR, se produjo una dilación en la atención y contestación por parte de INGESUR a las solicitudes del Reclamante. En cualquier caso, desde INGESUR se procedió a dar respuesta a la solicitud del Reclamante, atendiendo tanto al derecho de acceso, como a su solicitud de ejercicio del derecho de supresión. Se aporta como, Documento nº 2, la contestación remitida por INGESUR al Reclamante. De cara a dar cumplimiento a su solicitud del ejercicio del derecho de acceso, INGESUR trasladó al Reclamante la información relativa al tratamiento que esta parte realizó, en virtud de la relación laboral mantenida, de los datos personales del Reclamante. De la misma forma, INGESUR incorporó una copia de los datos del Reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 Sobre su ejercicio del derecho de supresión, INGESUR informó al Reclamante de la imposibilidad de suprimir la totalidad de sus datos en la actualidad, en tanto ello podría perjudicar sus intereses, los de terceros o los de INGESUR. No obstante, a tenor de los plazos de prescripción aplicables, se informó al Reclamante de que sus datos se encuentran bloqueados y, finalizados los períodos de prescripción, se procederá a la supresión completa de los mismos. (…)” La parte reclamada ha aportado copia del documento que ha remitido a la parte reclamante como atención de su derecho de acceso, que no consta fechado, en el que le indican que sus datos se encuentran bloqueados. En dicho escrito le informan que, mediante la contraseña que le indican, puede acceder a sus datos “(…) que actualmente constan sobre usted en nuestras bases de datos bloqueados.” Asimismo, en esta respuesta le informan que, dado que la parte reclamante fue trabajador de la parte reclamada, sus datos fueron recabados para el correcto desarrollo de la relación laboral, y le indican “Las categorías de datos que han sido tratados con dicha finalidad son las siguientes: • Datos identificativos: nombre y apellidos, estado civil, fecha y lugar de nacimiento, edad, sexo, D.N.I. u otro documento que permita acreditar la identidad. • Datos de contacto: dirección postal, teléfono, e-mail. • Datos económicos, financieros y de seguros: número de cuenta, datos bancarios, deducciones, número de la seguridad social. • Datos profesionales: formación, titulaciones, CV y experiencia profesional, datos no económicos de la nómina, historial de empleo. • Datos de características personales: datos de familia, características físicas.” También le informan de las finalidades del tratamiento, de los destinatarios o categorías de destinatarios a los que han sido comunicados sus datos personales, del período de conservación de sus datos personales, de la no existencia de decisiones automatizadas, y de que los datos se han obtenido directamente del interesado. “En segundo lugar, en atención al ejercicio de su derecho de supresión de sus datos personales ante INGESUR, de conformidad con el artículo 17 del RGPD, relativo al ejercicio del derecho de supresión, y en cumplimiento del artículo 32 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, “LOPDGDD”), importa clarificar que la supresión total de los datos a la presente fecha podría causar un perjuicio a intereses legítimos de INGESUR, de usted o de terceros. Por ello, sus datos personales mínimos necesarios han sido bloqueados y se conservarán únicamente a disposición de las Administraciones Públicas, Jueces y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 Tribunales, para la atención de las posibles responsabilidades derivadas del tratamiento, durante el plazo de prescripción de éstas. De esta manera y desde el momento del bloqueo, INGESUR no tratará en forma alguna sus datos durante este plazo, salvo para requerimientos legales. Cumplido dicho plazo, se procederá a la supresión definitiva de todos los datos. Sin perjuicio de lo anterior, y en particular, atendiendo a su solicitud sobre el perfil de INGESUR en la red social Linkedin y la página web de INGESUR, así como sus datos identificativos publicados en las mismas, confirmarle que se ha procedido a suprimir tales datos, de forma que no se encuentran publicados ni resultan accesibles por terceros en tales plataformas. (…)” CUARTO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante, para que, en el plazo de diez días hábiles formule las alegaciones que considere oportunas. La parte reclamante señaló, en síntesis, que, tras su correo electrónico remitido a la parte reclamada solicitando sus derechos de acceso y supresión, recibió respuesta de ésta con fecha 12 de enero de 2024, “En respuesta su escrito, informarle que desde la apertura del juicio oral las actuaciones son públicas y es una noticia veraz y de interés para nuestra empresa y para el sector”, quedando acreditado que la parte reclamada “(…) contestó al derecho de supresión ejercido por mi parte, desestimándolo y, por tanto, manteniendo tanto en su página web como en la red social Linkedin la información que pretendía que fuese suprimida. No obstante, omitió cualquier contestación o referencia al derecho de acceso también solicitado. (…)” “Tras presentar la reclamación ante la AEPD, INGESUR me contesta el 09 de mayo de 2024. (…)” La parte reclamante señala que la parte reclamada “(…) tanto en la primera como en la segunda contestación, se hace alusión al interés de INGESUR o de terceros para no atender la solicitud de supresión total de mis datos haciendo incluso hincapié en la primera contestación sobre la “veracidad de la misma. Pues bien, como se indica en el Dictamen 06/2014 sobre el concepto de interés legítimo, entre otros, dicho interés no puede prevalecer sobre los derechos de los interesados, debiendo realizar una prueba de sopesamiento o informe de ponderación que legitime dicho tratamiento bajo dicha base jurídica. A tal fin, esta parte desconoce si INGESUR realizó dicha prueba, si bien el hecho de que posteriormente haya procedido a su supresión hace indicar que nunca fue objeto de análisis (…)” “Además, con respecto a la veracidad alegada en la primera contestación y que se reitera en las alegaciones, indicando incluso el procedimiento, esta parte considera que la información publicada no revestía de tal veracidad. Sin entrar en detalle del proceso penal la solicitud del archivo por parte del fiscal encargado del procedimiento es omitida en dichas publicaciones, estando la información sesgada a conveniencia de INGESUR.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 En cuanto al tratamiento de datos de imagen por la parte reclamada, la parte reclamante manifiesta que “De la segunda contestación, de 9 de mayo de 2024, por parte de INGESUR, se desprende que el tratamiento que dicha entidad realiza sobre los datos de imagen de sus empleados pudiera no cumplir con la normativa en materia de protección de datos. En concreto, el apartado
- d)reconoce el tratamiento de estos datos, en base a un interés legítimo, para la toma de fotografías para su posterior publicación en redes sociales (Linkedin) y página web de INGESUR, en aras de promocionar la actividad y el proceso de ejecución de los trabajos realizados por esta entidad. (…) En todo caso, sin perjuicio de que dicho tratamiento se realiza sin contar con una base jurídica válida en tanto los empleados no han prestado su consentimiento, INGESUR ha debido realizar la preceptiva prueba de sopesamiento que autorice dicho tratamiento en base a un supuesto interés legítimo. A tal fin, debería acreditar antes este Organismo dicha prueba a fin de comprobar que viene realizando las acciones necesarias para cumplir con la normativa vigente en materia de protección de datos de forma proactiva. (…)” QUINTO: Otorgada audiencia a la parte reclamada, se reitera en sus anteriores alegaciones. La parte reclamada añade que “Si bien esta parte optó por inicialmente no incidir en el contexto que subyace a la reclamación interpuesta por el Reclamante ante la AEPD (dado que excede al ámbito de actuación de dicha Autoridad de Control), en este punto, consideramos que resulta procedente hacer mención al mismo, en aras de evidenciar la intencionalidad que dirige la actuación del Reclamante y que, como se puede ver a la luz de sus manifestaciones, busca generar perjuicio – inclusive económicos – a esta entidad. Todo ello pese a que la solicitud de ejercicio de derechos efectuada por el Reclamante ya fue atendida de forma satisfactoria, tal y como el propio Reclamante reconoce en la Contestación. En primer lugar, cabe señalar que el Reclamante es exempleado de INGESUR, habiendo ostentado una relación laboral con esta mercantil durante 20 años, la cual se inició en (...) y finalizó en (...). “(…) El contexto al que se refiere esta parte, y que permite justificar la voluntad e interés del Reclamante en identificar una falta de diligencia de esta parte no es otro que un procedimiento penal, el cual se encuentra en curso, ostentando el Reclamante el rol de investigado o acusado. (…)” “(…) En primer lugar, esta parte ve necesario mencionar nuevamente que, tal y como se alegó en las alegaciones al traslado de la Reclamación, INGESUR atendió tanto al derecho de acceso, como a su solicitud de ejercicio del derecho de supresión de forma correcta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 No obstante lo anterior, es cierto, como reconoció esta parte en sus previas alegaciones y como señala el Reclamante, que se produjo una dilación en la atención de las solicitudes de ejercicios de derecho del Reclamante. Como se ha señalado previamente, en el momento en que se realizó la solicitud de atención de derechos, el Reclamante no ostentaba ya una relación laboral con INGESUR, ni así tampoco mantenían relación contractual alguna, motivo por el que los datos del Reclamante se encontraban ya bloqueados, es decir, no disponibles para su tratamiento por el personal general de INGESUR. Esto provocó una dilación en la atención y contestación por parte de INGESUR a la solicitud del Reclamante. (…)” (…) Como la propia normativa establece y la AEPD ha señalado, una vez bloqueados, los datos no pueden ser tratados, exceptuando para la puesta a disposición de Jueces y Tribunales y el ejercicio de responsabilidades legales (artículo 32 de la LOPDGDD): (…) Esta excepción legal es precisamente el supuesto que nos ocupa, y que justifica el tratamiento de los datos del Reclamante por parte de INGESUR: la puesta a disposición de jueces y tribunales con motivo de la personación de esta mercantil en el procedimiento penal sustanciado en el Juzgado ***JUZGADO.1, el cual ya ha sido previamente reseñado. De la misma forma, con motivo de la solicitud del ejercicio de derecho de acceso del Reclamante, y la reclamación ante la Agencia, emitiendo requerimiento dicha Autoridad de Control a esta mercantil para pronunciarse al respecto, INGESUR se encuentra legitimado para tratar los datos del Reclamante para atender dichas solicitudes y responsabilidades legales, tal y como precisamente enuncia el artículo 32 de la LOPDGDD.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 9 de mayo de 2024, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Derecho de supresión El artículo 17 del RGPD, que regula el derecho de supresión de los datos personales, establece lo siguiente: "1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
- a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
- b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
- c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
- d)los datos personales hayan sido tratados ilícitamente;
- e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
- f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
- a)para ejercer el derecho a la libertad de expresión e información;
- b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
- c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
- h)e i), y apartado 3; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12
- d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
- e)para la formulación, el ejercicio o la defensa de reclamaciones". VI Conclusión El procedimiento de derechos se instruye como consecuencia de la falta de atención de alguno de los derechos regulados en la normativa de protección de datos. Por ello, en el presente caso sólo se analizarán y valorarán los hechos relativos al ejercicio de estos derechos, quedando fuera el resto de cuestiones planteadas por las partes. En el presente caso, teniendo en cuenta lo señalado en el primer párrafo de este fundamento de derecho, ha quedado acreditado que la parte reclamante ejerció los derechos de acceso y supresión de sus datos personales mediante solicitud a través de correo electrónico remitido a la parte reclamada con fecha 29 de diciembre de 2023. En relación a la atención de dichas solicitudes por la parte reclamada se observa lo siguiente: - Respecto del derecho de acceso, la parte reclamada no atendió debidamente la solicitud presentada por la parte reclamante. No obstante, durante la tramitación del presente procedimiento la parte reclamada ha manifestado que los datos personales de la parte reclamante se encuentran bloqueados, y ha remitido un escrito a la parte reclamante indicándole que puede acceder a sus datos personales mediante un usuario y contraseña que le facilitan. Asimismo, en dicho escrito le informan de las finalidades del tratamiento, de los destinatarios o categorías de destinatarios a los que han sido comunicados sus datos personales, del período de conservación de sus datos personales, de la no existencia de decisiones automatizadas, y de que los datos se han obtenido directamente del interesado. Cabe señalar que, cuando se ejercita el derecho de acceso, no cabe aceptar que, en caso de que los datos personales solicitados se encuentren bloqueados, se pretenda dejar sin respuesta el derecho de acceso ejercitado. A este respecto, conviene indicar que los datos personales que se encuentran bloqueados impide el tratamiento de los mismos, salvo para la puesta a disposición de las autoridades competentes. Sin embargo, dicho bloqueo no implica que no se puedan facilitar al afectado tales datos personales que el responsable dispuso y trató mientras perduró la relación contractual, por si de ello, como sucede en el presente caso, pudieran surgir responsabilidades derivadas de su tratamiento. Conforme a la normativa de protección de datos de carácter personal, la supresión de los datos, según lo establecido en el artículo 32 de la LOPDGDD, debe llevarse a cabo mediante el bloqueo. Por lo tanto, la supresión de los datos personales al haber dejado de ser necesarios para la finalidad que justificó su tratamiento no implicará automáticamente su borrado físico. Esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 actuación está sometida a determinadas condiciones con las que se pretende asegurar y garantizar el derecho del afectado a la protección de sus datos de carácter personal. Los datos bloqueados quedarán a disposición de los Tribunales, el Ministerio Fiscal u otras Administraciones públicas competentes, en particular las autoridades de protección de datos personales, para las exigencias de posibles responsabilidades derivadas del tratamiento y por el plazo de prescripción de estas. Por todo lo expuesto, al haber ejercitado la parte reclamante su derecho de acceso respecto de los datos personales que le conciernen, la parte reclamada tendría que haber atendido desde la primera solicitud dicho derecho de acceso sin afectar negativamente a los derechos y libertades de otras personas, todo ello de conformidad con los términos previstos en el RGPD. En consecuencia, si bien el derecho de acceso ejercido por la parte reclamante no fue atendido en un primer momento, el mismo sí que fue atendido una vez transcurrido el plazo legalmente establecido para ello, por lo que procede estimar, por motivos formales, la reclamación respecto del derecho de acceso a los datos personales. - Respecto del derecho de supresión, una vez recibida la solicitud de supresión de la parte reclamante, la parte reclamada le contestó indicando que “(…) desde la apertura del juicio oral las actuaciones son públicas y es una noticia veraz y de interés para nuestra empresa y para el sector”. Es decir, únicamente procedió a dar contestación respecto la supresión de los datos que fueron publicados en la red social Linkedin y en su web que expresamente solicitó la parte reclamante, pero no realizó contestación alguna a la solicitud de supresión de los datos que hubieran sido objeto de tratamiento por la parte reclamada y que asimismo indicó en su escrito. No obstante, en la respuesta remitida a la parte reclamante que tuvo lugar durante la tramitación del presente procedimiento, se indica que “(…) la supresión total de los datos a la presente fecha podría causar un perjuicio a intereses legítimos de INGESUR, de usted o de terceros. Por ello, sus datos personales mínimos necesarios han sido bloqueados y se conservarán únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades derivadas del tratamiento, durante el plazo de prescripción de éstas. De esta manera y desde el momento del bloqueo, INGESUR no tratará en forma alguna sus datos durante este plazo, salvo para requerimientos legales. Cumplido dicho plazo, se procederá a la supresión definitiva de todos los datos.” De igual forma, respecto a la solicitud particular de supresión de los datos publicados indicó que: Sin perjuicio de lo anterior, y en particular, atendiendo a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 su solicitud sobre el perfil de INGESUR en la red social Linkedin y la página web de INGESUR, así como sus datos identificativos publicados en las mismas, confirmarle que se ha procedido a suprimir tales datos, de forma que no se encuentran publicados ni resultan accesibles por terceros en tales plataformas. (…)” En consecuencia, dado que dicho derecho de supresión ha sido atendido una vez transcurrido el plazo legalmente establecido, procede estimar, por motivos formales, la reclamación presentada respecto del derecho de supresión. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR por motivos formales, la reclamación formulada por D. A.A.A. contra INGENIERÍA Y CONSTRUCCIONES DEL SUR, S.A.. No obstante, no procede la emisión de nueva certificación por parte de la parte reclamada, al haberse emitido la respuesta extemporáneamente, sin que se requiera la realización de actuaciones adicionales por parte del responsable. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. y a INGENIERÍA Y CONSTRUCCIONES DEL SUR, S.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-090823 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es