1/8 Expediente N.º: EXP202500269 (PD/00177/2025) RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 11 de noviembre de 2024 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) ejerció el derecho de acceso frente a la entidad PISCINAS ANDÚJAR, U.T.E. con NIF.: U72008857 (en adelante, la parte reclamada) sin que su solicitud haya recibido la contestación legalmente establecida. La parte reclamante relata que el 09/10/2024 la parte reclamada le comunicó que, con fecha 07/10/2024 y como consecuencia de un ciberataque, se había detectado un acceso no autorizado a algunos datos personales de sus clientes y que, por dicho motivo, el 10/10/2024 solicitó el acceso a sus datos personales, instándole la reclamada que debía de acudir personalmente a sus instalaciones. Manifiesta que, ante dicha respuesta y dado que actualmente no reside en esa localidad, en fechas 13/10/2024, 23/10/2024 y 04/11/2024 reiteró su solicitud de acceso, no habiendo obtenido respuesta. Junto al escrito de reclamación se acompaña la siguiente documentación: - Fechado el 09/10/24, correo electrónico enviado desde la dirección OKEYMAS info@okeymas.es a la dirección de correo ***EMAIL.1 con el Asunto: Información de tu interés y donde se comunica a sus clientes que el día 07/10/24 ha detectado un acceso no autorizado a datos personales almacenados en sus sistemas informáticos, como consecuencia de un ciberataque. También se indica expresamente que “Estamos a tu disposición. como siempre, si tienes cualquier duda o consulta. pudiendo contactar con nosotros en nuestro centro o a través de la dirección de correo electrónico protecciondedatos@okeymas.es. - Fechado el 10/10/24 correo electrónico enviado desde la dirección ***EMAIL.1 a la dirección de correo protecciondedatos@okeymas.es con copia a la dirección: OKEYMAS info@okeymas.es y donde se puede leer: Buenos días, Mi nombre es A.A.A. DNI ***NIF.1, ¿podríais indicarme por favor el listado de mis datos personales que teníais en vuestra base de datos? Gracias. - Fechado el 10/10/24, correo electrónico enviado desde la dirección OKEYMAS info@okeymas.es a la dirección de correo ***EMAIL.1 donde se puede leer: “Buenas tardes, A.A.A., por seguridad, para conocerlos datos almacenados le rogamos que acuda al centro donde le atenderán y solventaran sus dudas. No obstante, de forma general, los datos facilitados son: nombre, apellidos, mail, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 etc. Para cualquier duda seguimos a su disposición, informándole de que hemos rearmado la seguridad de los sistemas. Reciba un cordial saludo. - Fechado el 13/10/24 correo electrónico enviado desde la dirección ***EMAIL.1 a la dirección de correo electrónico protecciondedatos@okeymas.es, donde se puede leer: “Hola! Solo quisiera saber una enumeración de los datos que tenéis. Creo no nunca he llegado a ser cliente vuestro, pero me parece que a través de gympass reservé algún día. Si pudierais listarme qué tipo de datos tenéis os lo agradecería. Gracias”, - Fechado el 23/10/24 correo electrónico enviado desde la dirección ***EMAIL.1 a la dirección de correo electrónico protecciondedatos@okeymas.es, donde se puede leer: “Buenos días, escribo porque han pasado diez días, más desde la petición original de ejercicio de mi Derecho de Acceso, como parte de los derechos ARCO previstos en el RGPD ¿podéis por favor indicarme qué tipo de datos míos tenéis? Actualmente vivo en Madrid y para mi supone un coste venir a vuestro centro para tener acceso a mis datos. Gracias” - Fechado el 04/11/24 correo electrónico enviado desde la dirección ***EMAIL.1 a la dirección de correo electrónico protecciondedatos@okeymas.es, donde se puede leer: “Hola, Tras varios días de silencio por vuestra parte quisiera comunicaros que si no obtengo respuesta durante esta semana sobre qué datos míos tenéis en vuestra base de datos, procederá a ponerme en contacto con la Agencia de Protección de Datos para comunicarles cómo no me está siendo posible ejercer mi derecho de acceso tras tener lugar una brecha de seguridad de vuestros sistemas informáticos”. SEGUNDO: Con fecha 10 de enero de 2025, de conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No existe contestación al traslado realizado. TERCERO: Con fecha 11 de febrero de 2025, se produjo la admisión a trámite de la reclamación presentada. Mediante acuerdo de la Presidencia de la Agencia Española de Protección de Datos de fecha 22 de mayo de 2025, se concedió a la parte reclamada trámite de audiencia, para que en el plazo de quince días hábiles presentase las alegaciones que estimara convenientes, formulando, en síntesis, las siguientes alegaciones: - Sobre la comunicación del incidente de seguridad: El 7 de octubre de 2024, PISCINAS ANDÚJAR, U.T.E. sufrió un acceso no autorizado a datos personales, considerado como brecha de seguridad según el artículo 4.12 del RGPD. En cumplimiento del artículo 34 del RGPD y el artículo 24 de la LOPDGDD, se notificó individualmente a los afectados, incluida la reclamante, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 el 9 de octubre de 2024, detallando los hechos y las medidas adoptadas para preservar la confidencialidad. - Sobre la atención a la solicitud de acceso de la interesada: La reclamante ejerció su derecho de acceso (artículo 15 del RGPD), y se le indicó que debía acudir a un centro OKEYMAS para verificar su identidad (artículo 12.6 del RGPD). Esta medida se adoptó para evitar accesos indebidos, dado el contexto del incidente de seguridad. - Sobre la imposibilidad técnica de responder a una segunda solicitud: Ante una segunda solicitud de la interesada, ya se había dado de baja el dominio y el correo corporativo implicados, por recomendación de la Policía Nacional, como medida de contención tras la denuncia del incidente. Se aporta prueba documental de dicha baja, efectiva desde el 28 de febrero de
- La imposibilidad de respuesta fue consecuencia técnica derivada de la desactivación necesaria de los canales afectados. - Sobre la voluntad de cooperación y respeto a los derechos: Se afirma que no existió intención de obstaculizar los derechos de la interesada. Se actuó con diligencia en la primera respuesta, y se manifiesta plena disposición a facilitar ahora toda la información solicitada, por el medio que la AEPD considere oportuno, ya con la infraestructura restaurada y segura. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 11 de febrero de 2025, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los “datos o actividades de tratamiento a los que se refiere la solicitud”. El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo
- Del RGPD). El ejercicio de este derecho se podrá considerar repetitivo en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. IV Conclusión En el supuesto aquí analizado, la parte reclamante ejercitó su derecho de Acceso regulado en el artículo 15 del RGPD y artículo 13 de la LOPDGDD. Trascurrido el plazo establecido conforme a las normas antes señaladas, su solicitud no obtuvo la respuesta legalmente exigible. La entidad reclamada no ha atendido la solicitud de la parte reclamante ni los requerimientos que le han sido remitidos por esta Agencia. Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los responsables, aún en el supuesto de que no existan datos del interesado en los ficheros de la entidad o incluso en aquellos supuestos en los que no reuniera los requisitos previstos, en cuyo caso el destinatario de dicha solicitud viene igualmente obligado a requerir la subsanación de las deficiencias observadas o, en su caso, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 denegar la solicitud motivadamente indicando las causas por las que no procede considerar el derecho de que se trate. Por tanto, la solicitud que se formule obliga al responsable a dar respuesta expresa, en todo caso, empleando para ello cualquier medio que justifique la recepción de la contestación. En el presente supuesto, la parte reclamante ejercitó su derecho de acceso conforme al artículo 15 del RGPD y al artículo 13 de la LOPDGDD. La parte reclamada alegó haber notificado el incidente de seguridad, exigir la comparecencia presencial para verificar la identidad en aplicación del artículo 12.6 del RGPD, la imposibilidad técnica de responder tras la baja del dominio y correo corporativo por recomendación policial, y su voluntad actual de cooperar y atender la solicitud. No obstante, estas alegaciones no justifican la falta de respuesta en plazo. La exigencia de comparecencia presencial supone una medida excesiva y desproporcionada, dado que existen mecanismos alternativos que permiten verificar la identidad con garantías, de conformidad con las Directrices 01/2022 del Comité Europeo de Protección de Datos sobre derechos de los interesados, adoptadas el 18/01/
- En dichas directrices se recoge, en cuanto a la identificación de la persona solicitante, que el responsable del tratamiento debe responder a las solicitudes de los interesados de ejercicio de sus derechos individuales, a menos que pueda demostrar, mediante una justificación conforme al principio de responsabilidad proactiva (artículo 5.2), que no está en condiciones de identificar al interesado (artículo 11). Y en particular sobre la evaluación de la proporcionalidad en relación con la identificación del solicitante, las citadas Directrices disponen lo siguiente: “69 Como se ha indicado anteriormente, si el responsable del tratamiento tiene motivos razonables para dudar de la identidad de la persona solicitante, puede solicitar información adicional para confirmar la identidad del interesado. Sin embargo, el responsable del tratamiento debe garantizar al mismo tiempo que no recopila más datos personales de los necesarios para permitir la identificación de la persona solicitante. Por lo tanto, el responsable del tratamiento llevará a cabo una evaluación de proporcionalidad, que deberá tener en cuenta el tipo de datos personales que se están tratando (por ejemplo, categorías especiales de datos o no), la naturaleza de la solicitud, el contexto en el que se realiza la solicitud, así como cualquier daño que pueda resultar de una divulgación indebida. Al evaluar la proporcionalidad, debe recordarse evitar la recopilación excesiva de datos, garantizando al mismo tiempo un nivel adecuado de seguridad del procesamiento.
- El responsable del tratamiento debe aplicar un procedimiento de autenticación (verificación de la identidad del interesado) para estar seguro de la identidad de las personas que solicitan el acceso a sus datos, y garantizar la seguridad del tratamiento durante todo el proceso de tramitación de una solicitud de acceso de conformidad con el artículo 32, incluido, por ejemplo, un canal seguro para que los interesados faciliten información adicional. El método utilizado para la autenticación debe ser pertinente, adecuado, proporcionado y respetar el principio de minimización de datos. Si el responsable del tratamiento impone medidas gravosas destinadas a identificar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 al interesado, debe justificarlo adecuadamente y garantizar el cumplimiento de todos los principios fundamentales, incluida la minimización de datos y la obligación de facilitar el ejercicio de los derechos de los interesados (art. 12, apartado 2, del RGPD). (…)
- Es preciso subrayar que la utilización de una copia de un documento de identidad como parte del proceso de autenticación crea un riesgo para la seguridad de los datos personales y puede dar lugar a un tratamiento no autorizado o ilícito, por lo que debe considerarse inadecuada, salvo que sea estrictamente necesario, adecuado y conforme con el Derecho nacional. En tales casos, los responsables del tratamiento deben disponer de sistemas que garanticen un nivel de seguridad adecuado para mitigar los mayores riesgos para los derechos y libertades del interesado al recibir dichos datos. También es importante tener en cuenta que la identificación mediante un documento de identidad no ayuda necesariamente en el contexto en línea (por ejemplo, con el uso de seudónimos) si la persona interesada no puede aportar ninguna otra prueba, por ejemplo, otras características que coincidan con la cuenta de usuario.” En este caso, la reclamada no ha justificado la necesidad de identificar a la parte reclamante a través de la presentación en uno de los centros de la reclamada, tampoco consta que le haya facilitado el acceso solicitado. Debe recordarse que, conforme al artículo 12.3 del RGPD, cuando el interesado presente la solicitud por medios electrónicos, la información deberá facilitarse por el mismo medio siempre que sea posible, salvo que el interesado solicite expresamente otro modo de respuesta. Por otro lado, conviene destacar que la entidad utilizó precisamente ese mismo canal de comunicación para notificar a los interesados la brecha de seguridad, por lo que no resulta coherente sostener que no podía emplearlo para responder a la solicitud de acceso. En consecuencia, dado que no se ha aportado copia de la necesaria comunicación que debe dirigir al reclamante informándole sobre la decisión que haya adoptado a propósito de la solicitud de ejercicio de derechos, procede estimar la reclamación que originó el presente procedimiento. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por A.A.A. al considerar que se ha infringido lo dispuesto en el Artículo 15 del RGPD e instar a la entidad PISCINAS ANDÚJAR, U.T.E., con NIF.: U72008857 para que, en el plazo de diez días hábiles desde que la presente resolución sea firme y ejecutiva, remita a la parte reclamante certificación por la que se atienda el derecho de Acceso ejercido o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del artículo 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.m) de la LOPDGDD, que se sancionará, de acuerdo con el art. 58.2 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a la entidad PISCINAS ANDÚJAR, U.T.E. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-100425 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es