PD-00135-2024

1/11  Expediente N.º: EXP202316044 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 14 de septiembre de 2023 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) ejerció el derecho de Acceso frente a EURODIVISAS, S.A. (en adelante, la parte reclamada) sin que su solicitud haya recibido la contestación legalmente establecida. Junto a su reclamación presentó, entre otros: - Copia de la solicitud de ejercicio del derecho de acceso de 21 de agosto de 2023. - Copia de la respuesta de la parte reclamada de 29 de agosto de 2023 por la que se denegaba la solicitud de derecho de acceso, motivada en el artículo 32.2 de la LPBCFT. En su reclamación, la parte reclamante manifiesta que, en fecha 15 de mayo de 2023, solicitó a una oficina de la parte reclamada, situada en el aeropuerto de Madrid, una operación de cambio de divisas (de euros a libras esterlinas, por un importe aproximado de mil euros) que fue rechazado por dicha entidad. Añade que, ante las múltiples negativas de informar sobre los motivos de dicha negativa, en fecha 21 de agosto de 2023, solicitó a la parte reclamada acceso a sus datos objeto de tratamiento. En concreto, solicitó: - Copia de los datos personales que son objeto de tratamiento por EURODIVISAS, S.A. Los fines del tratamiento, así como las categorías de los datos personales que se traten. Los destinatarios o categoría de destinatarios a los que se han comunicado los datos personales, o serán comunicados, incluyendo, en su caso, destinatarios en terceros u organizaciones internacionales. Información sobre las garantías adecuadas relativas a la transferencia de los datos de un tercer país o a una organización internacional, en su caso. El plazo previsto de conservación. Si existen decisiones automatizadas, incluyendo la elaboración de perfiles, información significativa sobre la lógica aplicada, así como la importancia y consecuencias previstas de dicho tratamiento. Si los datos personales no se han obtenido directamente de A.A.A., la información disponible sobre su origen y, en concreto, las bases de datos utilizadas para la decisión adoptada por EURODIVISAS, S.A. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 En fecha, 29 de agosto de 2023, recibió respuesta de la parte reclamada respecto a su solicitud de derecho de acceso, en la que confirma la recepción de la misma el 23 de agosto de 2023. En la respuesta, se indica: - Que la parte reclamada es una entidad autorizada y registrada en el Banco de España para la realización de actividad de compra y venta de moneda extranjera. - Que, en consecuencia, tiene la condición de sujeto obligado de conformidad con los dispuesto en el artículo 2.1

1. i)de la Ley 10/2010, de 28 de abril, de prevención de blanqueo de capitales y financiación del terrorismo (en adelante, LPBCFT). - Que el artículo 32 de la mencionada ley establece que el tratamiento de datos personales necesario para el cumplimiento de las obligaciones establecidas en su capítulo III se encuentra amparado por lo dispuesto en el artículo 8.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, y en el artículo 6.1.
2. c)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, no siendo preciso el consentimiento del interesado tanto para llevar a cabo este como para las comunicaciones de datos que dispone la ley. - Respecto al derecho de acceso ejercitado que da lugar a esta contestación, señala que el artículo 32.2 de la LPBCFT determina que de conformidad con el artículo 23 del RGPD, sujetos obligados no tienen obligación de atender los derechos establecidos en los artículos 15 a 22 RGPD y en el supuesto de ejercicio de los citados derechos, basta con que el sujeto obligado ponga en conocimiento del interesado lo dispuesto en el citado precepto. - Finalmente, concluye que, en tanto que sujeto obligado de la mencionada ley, y de acuerdo con el artículo 32.2 de la misma, “no tiene obligación de atender el derecho de acceso ejercido”, sin perjuicio de que pueda solicitar la tutela de la AEPD. SEGUNDO: Con fecha 20 de diciembre de 2023, esta Agencia resuelve respecto a la reclamación presentada por la reclamante y su solicitud de acceso no atendida. Y, concluye archivando la reclamación de la siguiente manera: “…No obstante, una vez analizadas las razones expuestas por la parte reclamada, que obran en el expediente, se considera que la desestimación de la solicitud formulada es ajustada a la normativa de protección de datos personales, sin que sea necesario instar la adopción de medidas adicionales al haber cumplido con el deber de responder previsto en el artículo 12.4 de la LOPDGDD, por lo que, a la vista de las actuaciones realizadas procede el archivo de la reclamación formulada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 Todo ello, sin perjuicio de las posibles actuaciones relativas al tratamiento de datos referido en la reclamación que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Por todo lo expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de la reclamación.” TERCERO: La parte reclamante en total desacuerdo con la resolución, presenta recurso de reposición que es resuelto con fecha 15 de julio de 2024, de forma estimatoria, y que da lugar al actual procedimiento de derechos con los siguientes argumentos: “En este sentido, en el escrito presentado ante la AEPD el pasado 14 de septiembre de 2023, se requería a la AEPD que, habida cuenta de las posibles limitaciones aplicables al caso, se requiriera a la Sociedad para que facilitase información sobre los datos personales tratados del Interesado de aquellas operaciones de tratamiento que no se encuentren sometidas a la limitación del artículo 32.2 de la Ley 10/2010. Por consiguiente, no procede limitar el derecho fundamental a la protección de datos de A.A.A. para todas las operaciones de tratamientos llevadas a cabo por la Sociedad. SINO SOLO NO ESTAMOS PIDIENDO LA INFORMACION QUE HAYA FACILITADO AL REGULADOR SINO LOS DATOS TRATADOS DEL INTERESADO.” CUARTO: A la vista de lo acontecido con fecha 16 de julio de 2024, se da traslado a la parte reclamada de la reclamación original, de nuevo, del recurso de reposición presentado por la parte reclamante y de la resolución de dicho recurso para que en el plazo de quince días hábiles presentase las alegaciones que estimara convenientes. El 22 de julio de 2024, la parte reclamada remite escrito de alegaciones, en las que se concluye: “En conclusión, 1. Eurodivisas solicitó al reclamante su identificación en cumplimiento de una obligación legal de identificación de potenciales clientes, establecida por el artículo 3 de la LPBC. 2. Los únicos datos obtenidos del cliente fueron el nombre y apellidos y número de pasaporte. 3. Al haberse bloqueado la operación de forma automática, el reclamante no ha llegado a ser cliente de Eurodivisas ni está por tanto en su base de datos de clientes. 4. Al haberse producido la alerta, el único tratamiento realizado por Eurodivisas sobre los datos obtenidos fue a efectos de cumplimiento del deber de diligencia debida del Capítulo III de la LPBC y, en concreto, a efectos del Examen Especial previsto en su artículo 17. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 5. De conformidad con lo previsto en el apartado 2 del artículo 32 de la LPBC, Eurodivisas no está facultada para facilitar la información contenida en el Examen Especial ni, por tanto, facilitar detalles sobre los motivos concretos que motivaron el bloqueo de la operación, debiendo limitarse a poner en conocimiento de la parte reclamante lo dispuesto en el párrafo segundo del artículo 32 apartado 2 de la LPBC.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento. III Derechos de las personas en materia de protección de datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso El artículo 15 del RGPD, “Derecho de acceso al interesado”, establece lo siguiente: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
3. a)los fines del tratamiento;
4. b)las categorías de datos personales de que se trate;
5. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros u organizaciones internacionales;
6. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
7. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
8. f)el derecho a presentar una reclamación ante una autoridad de control; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11
9. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
10. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros.” A su vez, el artículo 13 de la LOPDGDD, en referencia al Derecho de acceso, establece lo siguiente: “1. El derecho de acceso del afectado se ejercitará de acuerdo con lo establecido en el artículo 15 del Reglamento (UE) 2016/679. Cuando el responsable trate una gran cantidad de datos relativos al afectado y este ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte de los datos, el responsable podrá solicitarle, antes de facilitar la información, que el afectado especifique los datos o actividades de tratamiento a los que se refiere la solicitud. 2. El derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad. A tales efectos, la comunicación por el responsable al afectado del modo en que este podrá acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio del derecho. No obstante, el interesado podrá solicitar del responsable la información referida a los extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se incluyese en el sistema de acceso remoto.” En definitiva, al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Limitaciones al derecho de acceso El artículo 23 del RGPD, “Limitaciones”, permite restricciones al derecho de acceso en la legislación nacional de los Estados miembros, siendo su tenor literal el siguiente: “1. El Derecho de la Unión o de los Estados miembros que se aplique al responsable o el encargado del tratamiento podrá limitar, a través de medidas legislativas, el alcance de las obligaciones y de los derechos establecidos en los artículos 12 a 22 y el artículo 34, así como en el artículo 5 en la medida en que sus disposiciones se correspondan con los derechos y obligaciones contemplados en los artículos 12 a 22, cuando tal limitación respete en lo esencial los derechos y libertades fundamentales y sea una medida necesaria y proporcionada en una sociedad democrática para salvaguardar:
11. a)la seguridad del Estado;
12. b)la defensa;
13. c)la seguridad pública;
14. d)la prevención, investigación, detección o enjuiciamiento de infracciones penales o la ejecución de sanciones penales, incluida la protección frente a amenazas a la seguridad pública y su prevención;
15. e)otros objetivos importantes de interés público general de la Unión o de un Estado miembro, en particular un interés económico o financiero importante de la Unión o de un Estado miembro, inclusive en los ámbitos fiscal, presupuestario y monetario, la sanidad pública y la seguridad social;
16. f)la protección de la independencia judicial y de los procedimientos judiciales;
17. g)la prevención, la investigación, la detección y el enjuiciamiento de infracciones de normas deontológicas en las profesiones reguladas;
18. h)una función de supervisión, inspección o reglamentación vinculada, incluso ocasionalmente, con el ejercicio de la autoridad pública en los casos contemplados en las letras
19. a)a
20. e)y g);
21. i)la protección del interesado o de los derechos y libertades de otros;
22. j)la ejecución de demandas civiles. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11 2. En particular, cualquier medida legislativa indicada en el apartado 1 contendrá como mínimo, en su caso, disposiciones específicas relativas a:
23. a)la finalidad del tratamiento o de las categorías de tratamiento;
24. b)las categorías de datos personales de que se trate;
25. c)el alcance de las limitaciones establecidas;
26. d)las garantías para evitar accesos o transferencias ilícitos o abusivos;
27. e)la determinación del responsable o de categorías de responsables;
28. f)los plazos de conservación y las garantías aplicables habida cuenta de la naturaleza alcance y objetivos del tratamiento o las categorías de tratamiento;
29. g)los riesgos para los derechos y libertades de los interesados, y
30. h)el derecho de los interesados a ser informados sobre la limitación, salvo si puede ser perjudicial a los fines de esta.” A este respecto, las Directrices 1/2022, adoptadas el 28 de marzo de 2023, por las que se aprueba la Guía de aplicación del artículo 15 del RGPD, sobre el Derecho de Acceso del Interesado señalan que “los responsables del tratamiento que pretendan acogerse a tales restricciones deben comprobar minuciosamente los requisitos de las disposiciones nacionales y tomar nota de las condiciones específicas que puedan aplicarse”. El mencionado artículo 23 del RGPD se desarrolla, por tanto, a través de la normativa sectorial específica, que determina, respecto del ejercicio de los derechos, cómo se aplican estas limitaciones, debiendo el responsable del tratamiento contestar a la solicitud del derecho de acceso en los términos establecidos en la correspondiente normativa sectorial, que, en el presente caso, es la LPBCFT. El artículo 32 de la LPBCFT, “Protección de datos de carácter personal” establece lo siguiente en sus apartados primero y segundo: “1. El tratamiento de datos personales para el cumplimiento de las obligaciones establecidas en el capítulo III de esta ley (“De las obligaciones de información”) se encuentra amparado por lo dispuesto en el artículo 8.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, y en el artículo 6.1.
31. c)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, no precisando del consentimiento del interesado. Tampoco será necesario el consentimiento para las comunicaciones de datos previstas en el citado capítulo y, en particular, para las previstas en el artículo 24.2, quedando igualmente amparadas por el artículo 8.1 de la Ley Orgánica 3/2018, de 5 de diciembre. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11 2. En virtud de lo dispuesto en el artículo 24.1, y de conformidad con el artículo 14.5 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, no será de aplicación al tratamiento de datos la obligación de información prevista en el artículo 14 del mencionado Reglamento en relación con los tratamientos a los que se refiere el apartado anterior. Asimismo, de conformidad con el artículo 23 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, no procederá la atención de los derechos establecidos en los artículos 15 a 22 del Reglamento en relación con los citados tratamientos. En caso de ejercicio de los citados derechos por el interesado, los sujetos obligados se limitarán a ponerle de manifiesto lo dispuesto en este artículo. Lo dispuesto en el presente apartado será igualmente aplicable a los tratamientos llevados a cabo por el Servicio Ejecutivo de la Comisión para el cumplimiento de las funciones que le otorga esta ley. En definitiva, el artículo 32.2 excluye la atención del derecho de acceso de los datos personales tratados conforme al capítulo III de la LPBCFT. No obstante, la mencionada restricción no sería de aplicación para los datos personales tratados de acuerdo con el capítulo II de la misma. Llegados a este punto, conviene hacer mención a la definición que el artículo 4 del RGPD realiza sobre “datos personales”, así como la relativa al tratamiento de los mismos. El artículo 4.1 se establece que son datos personales “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. Por su parte, el apartado 2 del mismo artículo consagra tratamiento como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. El capítulo II de la LPBCFT, no sujeto a las restricciones del derecho de acceso previstas por el artículo 32 de la misma norma, establece las obligaciones relativas a la identificación de las personas físicas o jurídicas que pretendan establecer relaciones de negocio o intervenir en cualesquiera operaciones en el marco de la ley. La identificación de una persona sea física o jurídica, mediante “documentos fehacientes” como exige la LPBCFT, supone, desde la perspectiva de datos personales, un tratamiento de datos en los términos previstos por el artículo 4.2 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 En consecuencia, ante una solicitud de derecho de acceso como la efectuada por la parte reclamante cabría facilitar el acceso respecto a aquellos datos no sujetos a las restricciones del artículo 32 de la LPBCFT, además de incluir la transcripción del mencionado artículo 32 para todo aquello que se vea incluido en el capítulo III, en los términos exigidos por esta ley. VI Conclusión Atendiendo a lo anterior, la parte reclamada, en su contestación de 29 de agosto de 2023, ha facilitado una respuesta incompleta a la solicitud de derecho de acceso efectuada por la parte reclamante. En la misma, únicamente se transcribía el artículo 32 de la LPBCFT, pero sin hacer mención a los datos personales no sometidos a la limitación establecida por este. Así, durante la tramitación del presente procedimiento, la entidad reclamada en contestación a esta Agencia de 22 de julio de 2024 asegura que los únicos datos obtenidos del cliente a efectos de realizar la identificación prescrita por el artículo 3 de la LPBCFT fueron el nombre, apellidos y número de pasaporte; que la operación se bloqueó de forma automática y que, por tanto, el reclamante nunca llegó a ser cliente de la parte reclamada ni se encuentra en su base de datos. No obstante, no acredita haber remitido esta información a la parte reclamante como parte de la preceptiva respuesta a la solicitud de derecho de acceso efectuada, que debe abarcar respecto a los datos no sujetos a la limitación del artículo 32.2 de la LPBCFT: la confirmación de si se tratan o no sus datos, el acceso efectivo a los mismos y acceso a la información sobre el tratamiento, como los fines, las categorías de datos y los destinatarios, la duración del tratamiento, los derechos de los interesados y las garantías adecuadas en caso de transferencias de terceros países. Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los responsables, aún en el supuesto de que no existan datos del interesado en los ficheros de la entidad o incluso en aquellos supuestos en los que no reuniera los requisitos previstos, en cuyo caso el destinatario de dicha solicitud viene igualmente obligado a requerir la subsanación de las deficiencias observadas o, en su caso, denegar la solicitud motivadamente indicando las causas por las que no procede considerar el derecho de que se trate. Por tanto, la solicitud que se formule obliga al responsable a dar respuesta expresa, motivada en todo caso, empleando para ello cualquier medio que justifique la recepción de la contestación. Sin que en ningún caso quepa aceptar que la respuesta que corresponda dar pueda manifestarse con ocasión de un mero trámite administrativo, como es la formulación de alegaciones con motivo del presente procedimiento, iniciado precisamente por no atender debidamente la solicitud en cuestión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 Dado que solo se ha remitido respuesta parcial motivada a la parte reclamada, procede estimar parcialmente la reclamación que originó el presente procedimiento Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR PARCIALMENTE la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en el Artículo 15 del RGPD e instar a EURODIVISAS, S.A. con NIF A37310323, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del art. 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.
32. m)de la LOPDGDD, que se sancionará de acuerdo con el art. 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a EURODIVISAS, S.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-090823 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es