1/11 Expediente N.º: EXP202501492 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 14 de enero de 2025 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 14 de enero de 2025 tuvo entrada en esta Agencia reclamación presentada por A.A.A. (en adelante, la parte reclamante) contra PROMAN 2017, S.L. (en adelante, la parte reclamada) por no haber sido debidamente atendido el derecho de acceso. La parte reclamante manifiesta que ha solicitado a la parte reclamada el acceso a sus datos tanto a través de correo electrónico como a través de burofax dirigido a la dirección postal, sin haber obtenido debida contestación a dicho respecto una vez transcurrido el plazo que, para ello, establece la normativa de protección de datos. Señala asimismo que en la web de la parte reclamada figura una dirección postal que es incorrecta, lo que impide el adecuado ejercicio de derechos ante dicha entidad. Aporta: - certificado de entrega emitido por eGarante de correo electrónico remitido a la parte reclamada en fecha 26 de junio de 2024 desde la dirección ***EMAIL.1 solicitando el acceso a sus datos. Certificado de imposibilidad de entrega emitido por el Servicio de Correos del envío del burofax de fecha 13 de diciembre de 2024 con la anotación “Devuelto a Origen. Desconocido”. imagen de la política de privacidad y cookies de la web de la parte reclamada, información del registro mercantil en el que figura el domicilio social de la parte reclamada e imagen de la dirección postal que figura en el aviso legal de la web de la parte reclamada. SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 11/02/2025 como consta en el acuse de recibo que obra en el expediente. Con fecha 18/03/2025 se recibe en esta Agencia escrito de respuesta de la parte reclamada en el que indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/11 "1. La solicitud fue remitida a PROMAN 2017, S.L. que no dispone de dato alguno del reclamante. 2. Conscientes de que el responsable del tratamiento tiene la obligación de responder a las solicitudes de los interesados -incluso cuando considere que no resultan válidasdebimos comunicar de manera formal que no disponemos de datos personales del reclamante. No obstante, en este caso, al constatarse que nuestros registros no contienen ningún dato relacionado con el reclamante, no se emitió una respuesta detallada. 3. Entendemos que la falta de comunicación podría interpretarse, a tenor de la normativa, como una forma de obstaculizar el ejercicio de los derechos del interesado, lo cual no ha sido nuestra intención. Nuestro proceder se ha basado exclusivamente en la ausencia de datos personales en nuestros sistemas y en el hecho de que la solicitud no correspondía a nuestra entidad." TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante, dado que no se ha acreditado lo dispuesto en el artículo 12.4 de la LOPDGDD, que establece que "La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulado por el afectado recaerá sobre el responsable.” Con fecha 14 de abril de 2025, se produjo la admisión a trámite de la reclamación presentada. Mediante acuerdo de la Presidencia de la Agencia Española de Protección de Datos de fecha 5 de junio de 2025, se concedió a la parte reclamada trámite de audiencia, para que en el plazo de quince días hábiles presentase las alegaciones que estimara convenientes. La parte reclamada, con fecha 23 de julio de 2025, presentó un escrito ante esta Agencia, indicando, en síntesis, que reiteran lo ya alegado con anterioridad, “Tal como se indicó en nuestro escrito de respuesta a esta Agencia de fecha 18 de marzo de 2025, y se reitera, PROMAN 2017, S.L. no dispone de dato alguno del reclamante (A.A.A.) en sus registros. Por consiguiente, no fue posible atender la solicitud de acceso a datos que no obran en poder de nuestra entidad. “ La parte reclamada añade que: “2. Admisión del Error en la Comunicación Inicial y Compromiso de Rectificación: Somos plenamente conscientes de que, como responsable del tratamiento, tenemos la obligación de responder a las solicitudes de los interesados, incluso cuando consideramos que no resultan válidas. En el presente caso, la solicitud de A.A.A. no se correspondía con nuestra entidad al no constar datos personales del reclamante en nuestros sistemas. No obstante, reconocemos que no se emitió una respuesta detallada a A.A.A. en el plazo establecido por el artículo 12.4 del Reglamento General de Protección de Datos (RGPD), que obliga a informar sin dilación, y a más tardar transcurrido un mes, de las razones de la no actuación y de la posibilidad de reclamar ante una autoridad de control. Nuestro proceder inicial se basó exclusivamente en la ausencia de datos personales en nuestros sistemas y en la creencia de que la solicitud no correspondía a nuestra entidad. Entendemos que, a tenor de la normativa, esta falta de comunicación podría interpretarse como una forma de obstaculizar el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/11 ejercicio de los derechos del interesado, lo cual no ha sido en absoluto nuestra intención. 3. Medidas Correctivas Adoptadas y Futuras: Para subsanar esta omisión, hemos procedido a enviar una comunicación formal a A.A.A., tal y como se refleja en Certificado de correo contestación a la solicitud de acceso en ANEXO I del presente documento, en la que se le informa claramente de que no disponemos de sus datos personales, el motivo por el cual no se puede dar curso a su solicitud de acceso, y se le recuerda su derecho a presentar una reclamación ante la AEPD y/o a ejercitar acciones judiciales, conforme al artículo 12.4 del RGPD. Asimismo, hemos iniciado una revisión de nuestros protocolos internos para garantizar que, en adelante, todas las solicitudes de ejercicio de derechos recibidas, incluso aquellas que no se correspondan con datos en nuestros sistemas, sean atendidas con una respuesta formal y en el plazo legalmente establecido, informando de la situación y de los recursos disponibles para el interesado.” Aporta: - CERTIFICADO “factorymail.es, Plataforma Digital orientada a mediar y prestar servicios de Comunicaciones electrónicas fehacientes, CERTIFICA que los datos que se presentan en este documento son absolutamente veraces, según protocolo y procedimientos, sellados con Time Stamping TSA (sello de tiempo) por tercero de confianza que viene a garantizar la autenticidad y contenido de la/s comunicación/es. DATOS DE LA COMUNICACIÓN Organización: PROMAN 2017, S.L. ( B98971898 ) Emisor: B.B.B. NIF: ***NIF.1 Con el e-mail: ***EMAIL.1 emitió un correo electrónico, en la fecha 21/07/2025 a la hora 18:43, a: Destinatario: A.A.A., con NIF: ***NIF.2 Con el e-mail : ***EMAIL.2 y que ésta última, aún no ha procedido a su lectura. Siendo el Asunto del mismo: Respuesta a su solicitud de ejercicio del Derecho de Acceso en virtud del Reglamento General de Protección de Datos (RGPD) y el Contenido: "Estimado A.A.A., Acusamos recibo de su solicitud de ejercicio del derecho de acceso a sus datos personales, la cual, según nuestros registros, fue remitida por correo electrónico el 26 de junio de 2024 y posteriormente por burofax a nuestra dirección postal. Tras una revisión exhaustiva de nuestros sistemas y bases de datos, le informamos que PROMAN 2017, S.L. no dispone de ningún dato personal asociado a su identidad. Por lo tant...(continua en Anexo de Contenido Completo)" C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/11 CUARTO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante, para que, en el plazo de quince días hábiles formule las alegaciones que considere oportunas. La parte reclamante contestó a esta Agencia, con fecha 24/07/2025, indicando, en síntesis, que: “3. A día de hoy, PROMAN no ha remitido ninguna respuesta dirigida a mi persona ni a la dirección de contacto indicada, y por tanto, no ha dado cumplimiento efectivo a mi solicitud de acceso en ninguna de sus dos versiones. 4. Tengo conocimiento, por la propia documentación remitida por la AEPD, de que la empresa ha enviado una comunicación relacionada con mis datos a través de un canal ajeno (***EMAIL.2), correspondiente a mi hijo C.C.C., sin que yo le hubiera autorizado en ningún momento a presentar dicha solicitud en mi nombre ni a recibir respuesta alguna vinculada a la misma. 5. Esta actuación constituye además una comunicación de mis datos personales a un tercero no autorizado (mi hijo), sin base legal, y en infracción del principio de confidencialidad y seguridad del tratamiento, ya que los datos solicitados eran relativos exclusivamente a mi persona, y debían ser gestionados de forma individual y confidencial por parte de PROMAN. 6. Además, la comunicación fue enviada mediante la plataforma externa Factorymail (marca de Factorynet Augusta, S.L.), lo cual implica que mis datos personales han sido también tratados por un tercero encargado del tratamiento, sin que yo haya autorizado expresamente su intervención ni firmado ningún consentimiento para ello. Según la política de privacidad de dicha empresa, los datos personales sólo pueden tratarse con base contractual clara o mediante instrucciones del responsable en el marco de un encargo documentado, cosa que en este caso no se ha producido con mi autorización, ni se me ha informado de la existencia de ese tratamiento por parte de terceros. Esto supone una cesión de datos personales a un encargado no autorizado.” QUINTO: Otorgada audiencia a la parte reclamada, ésta señaló, mediante escrito de fecha 14/08/2025 que reconoce que no atendió la solicitud de acceso recibida. Y añade lo siguiente: “Acción Correctiva: Con el fin de subsanar esta situación sin dilación indebida, hemos procedido a remitir un correo electrónico, a la dirección indicada, informando de todos los datos personales de A.A.A. que son objeto de tratamiento por parte de PROMAN 2017 S.L. Esta comunicación se ha enviado a fecha de 13 de agosto, a la dirección de correo electrónico que A.A.A. indicó expresamente: ***EMAIL.1, en el ANEXO I del presente documento se encuentra el comprobante del envío y el contenido del documento adjunto (contestación a la solicitud de acceso de A.A.A. firmada por nuestra entidad). 2. En atención a la respuesta emitida con motivo de la solicitud de ejercicio del derecho de acceso presentada por A.A.A., con fecha 18 de julio de 2025, y en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/11 referencia a la remisión errónea de datos personales al correo electrónico de un tercero no autorizado (el hijo del reclamante): Aceptación de la infracción: PROMAN 2017 S.L. reconoce la gravedad del error cometido al enviar una comunicación relacionada con los datos personales de D. A.A.A. a un canal no autorizado ajeno (***EMAIL.2), correspondiente a su hijo C.C.C.. Confirmamos que esta acción se llevó a cabo sin la autorización ni consentimiento expreso de A.A.A.. Vulneración de principios: Aceptamos que esta actuación constituye una infracción del principio de confidencialidad y seguridad del tratamiento establecido en el artículo 5.1.
- f)del RGPD y el deber de confidencialidad del artículo 5 de la LOPDGDD. Los datos solicitados eran relativos exclusivamente a A.A.A. y debían ser gestionados de forma individual y confidencial. Explicación y Disculpa: Su solicitud de acceso fue inicialmente recibida a través de una dirección de correo electrónico que corresponde a su hijo. Su hijo había actuado previamente como su representante en un contexto similar, pero ante otra empresa interrelacionada, aunque jurídicamente independiente de esta entidad. Dado el vínculo operativo existente entre ciertas áreas de actividad de ambas entidades, y la coincidencia del contenido y formato de la solicitud, se entendió —de buena fe— que se trataba de una actuación en su representación. Por ello, nuestra respuesta inicial se remitió a través del mismo canal desde el cual se recibió la petición. No obstante, a la vista de sus manifestaciones posteriores, en las que indica que no había autorizado dicha representación ante esta empresa, lamentamos profundamente la confusión generada. Aclaración sobre comunicación entre empresas: Queremos aclarar de manera inequívoca que no ha existido cesión de sus datos personales entre esta empresa y ninguna otra entidad de nuestro entorno empresarial. Este es un punto fundamental para asegurar el principio de integridad y confidencialidad (RGPD artículo 5.1.
- f)y el deber de confidencialidad (LOPDGDD artículo 5). Esta entidad no ha intercambiado ni recibido datos suyos de forma activa ni automatizada, y no mantenemos sistemas compartidos de información. La única información tratada es la derivada directamente de la solicitud que A.A.A. nos remitió. Cualquier conocimiento indirecto del correo de su hijo se debió a la interrelación operativa, no a un intercambio de datos. Medidas correctoras y preventivas: Hemos tomado las medidas necesarias para asegurar que no se realicen comunicaciones a canales o personas no autorizadas y hemos reforzado los procedimientos internos para verificar la identidad del interesado y la legitimidad del canal de comunicación antes de cualquier envío de datos personales. Este tipo de incidentes, que pueden generar un daño importante, son objeto de una revisión exhaustiva para evitar su recurrencia. 3. Respecto al tratamiento de datos por un tercero encargado del tratamiento no autorizado (Factorymail): Reconocimiento del uso de la plataforma: La empresa confirma que la comunicación objeto de la reclamación fue gestionada a través de la plataforma externa Factorymail (marca de Factorynet Augusta, S.L.). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/11 Aspectos relativos a requisitos legales: En el curso de la revisión interna, se identificó que no se encontraba formalizado un contrato de encargo del tratamiento con el proveedor de esta plataforma utilizada. De acuerdo con lo establecido en el artículo 28 del RGPD y el artículo 33 de la LOPDGDD, el tratamiento por parte de un encargado debe formalizarse mediante un contrato o acto jurídico escrito que defina, entre otros aspectos, los fines, la duración, el tipo de datos, las categorías de interesados y las obligaciones del responsable. La elección de este proveedor respondió a la necesidad de actuar con celeridad y a la confianza generada por tratarse de una empresa especializada en el envío de correo certificado, lo que llevó a entender que reunía las garantías necesarias para la prestación del servicio. Acciones de adecuación: ▪ Se ha procedido a revisar nuestra relación con Factorymail para asegurar que cualquier tratamiento futuro de datos se realice bajo un contrato de encargo de tratamiento formalizado y por escrito, que cumpla estrictamente con las condiciones del artículo 28.3 del RGPD y el Capítulo II del Título V de la LOPDGDD. ▪ Conforme al principio de responsabilidad proactiva, le informamos que hemos iniciado el procedimiento para regularizar contractualmente dicha relación y reforzar nuestros protocolos de uso de herramientas externas. El objetivo es asegurar que cualquier tratamiento futuro por parte de terceros se ajuste plenamente a la normativa vigente. ▪ Garantías y responsabilidad, PROMAN 2017 S.L. asume la responsabilidad y estamos realizando una auditoría de nuestros encargados de tratamiento para asegurar que todos cumplen con los requisitos del RGPD, incluyendo la aplicación de medidas técnicas y organizativas apropiadas para la seguridad y confidencialidad de los datos.” La parte reclamada ha aportado copia del escrito remitido a la parte reclamante, en el que le indican, entre otras cuestiones, que “Esta empresa no mantiene ninguna relación contractual, comercial ni de servicios ordinaria con usted. Por consiguiente no tratamos datos personales suyos de forma habitual. (…) 2. Sobre la respuesta inicial a través del correo de su hijo: Su solicitud de acceso fue inicialmente recibida a través de una dirección de correo electrónico que corresponde a su hijo. Como se menciona, su hijo había actuado previamente como su representante en un contexto similar, pero ante otra empresa interrelacionada, aunque jurídicamente independiente de esta entidad. Dado el vínculo existente entre ciertas áreas de actividad de ambas entidades, y la coincidencia del contenido y formato de la solicitud, se entendió- de buena fe- que se trataba de una actuación en su representación. Por ello, nuestra respuesta inicial se remitió a través del mismo canal desde el cual se recibió la petición. No obstante, a la vista de sus manifestaciones posteriores, en las que indica que no había autorizado dicha representación ante esta empresa, lamentamos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/11 profundamente la confusión generada. A través de la presente comunicación, procedemos a darle respuesta directa y personalizada. (…) FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 14 de abril de 2025, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/11 establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento.” III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/11 IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Conclusión El procedimiento de derechos se instruye como consecuencia de la falta de atención de alguno de los derechos regulados en la normativa de protección de datos. Por ello, en el presente caso sólo se analizarán y valorarán los hechos relativos al ejercicio de estos derechos, quedando fuera el resto de cuestiones puestas de manifiesto por las partes, que serán puestas en conocimiento de la Unidad correspondiente para su análisis y valoración. En el presente caso, y por lo que al derecho de acceso se refiere, ha quedado acreditado que la parte reclamante solicitó acceso a sus datos personales. Durante la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/11 instrucción del presente procedimiento, la parte reclamada ha remitido un correo electrónico indicando que no constan datos de la parte reclamante. Sin embargo, este correo electrónico ha sido remitido a un tercero, sin el consentimiento de la parte reclamante. Cuando la parte reclamante ha informado a esta Agencia de dicha circunstancia, la parte reclamada le ha enviado una nueva comunicación a la dirección que indicó informando que el error se debió a que la persona a quien se dirigió la respuesta erróneamente, actuó como representante suyo con anterioridad “(…) en un contexto similar, pero ante otra empresa interrelacionada, aunque jurídicamente independiente de esta entidad. Dado el vínculo operativo existente entre ciertas áreas de actividad de ambas entidades, y la coincidencia del contenido y formato de la solicitud, se entendió —de buena fe— que se trataba de una actuación en su representación.” En este caso, aunque la parte reclamada ha remitido respuesta extemporáneamente indicando que no tiene datos de la parte reclamada, del contenido de esa respuesta no queda suficientemente aclarado si tiene datos o no, ya que la propia parte reclamada indica que está tratando datos de otra empresa, que si, como indica, es jurídicamente independiente, estaría realizando un tratamiento no acorde con lo dispuesto en la normativa de protección de datos. En consecuencia, procede estimar la reclamación presentada respecto del derecho de acceso, al no haber quedado suficientemente acreditado que se le haya facilitado, o denegado motivadamente, el acceso a sus datos personales. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en el artículo 15 del RGPD e instar a PROMAN 2017, S.L. con NIF B98971898, para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita a la parte reclamante certificación en la que se atienda el derecho solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del artículo 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.
- m)de la LOPDGDD, que se sancionará de acuerdo con el artículo 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a PROMAN 2017, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/11 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es