PD-00191-2024

1/12  Expediente N.º: EXP202406781 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 23 de abril de 2024 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 23 de abril de 2024 tuvo entrada en esta Agencia reclamación presentada por A.A.A. (en adelante, la parte reclamante) contra ASOCIACIÓN DE USUARIOS DE BANCOS, CAJAS Y SEGUROS (en adelante, la parte reclamada) por no haber sido debidamente atendido el derecho de supresión de sus datos personales. La parte reclamante señala que “Con fecha 05-03-20245, solicite la Baja y destrucción de mis datos personales así como un documento por el que certifiquen dicha acción. Como no contestan el 21-4-2024, reenvío dicho expediente al mismo correo lopd@adicae.net reclamando la mencionada BAJA. Se que han pasado 3 días. Pero ya para darme de baja tarde casi 5 meses y sinceramente no tengo ganas de pelear con ellos.” La parte reclamante ha aportado la siguiente documentación: - - Correo electrónico de fecha 05 de marzo de 2024 de la parte reclamante a la parte reclamada (lopd@adicae.net) “Adjunto carga firmada digitalmente y fotocopia de mi dni para la baja de mis datos personales en su base de datos así como destrucción de cualquier tipo de documento que se refiera a mi persona. Asimismo, ruego me certifiquen dicha baja (…). Ejercicio del derecho de supresión fechado el 05 de marzo de 2024 y firmado por la parte reclamante. Fotocopia del Dni de la parte reclamante (anverso y reverso). Correo electrónico de fecha 21 de abril de 2024 de la parte reclamante a la parte reclamada (lopd@adicae.net) “Han pasado más de 30 días desde mi correo (que adjunto al pie de este escrito) sin noticias. Ruego me informen sobre el particular (…)”. SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación de dicho traslado se produjo en fecha 07 de mayo de

1. Con fecha 06 de junio de 2024 la parte reclamada puso de manifiesto en la respuesta a ese trámite de traslado, en síntesis, que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 La parte reclamada señaló que “(…) La solicitud del derecho de supresión en cuestión fue presentada por el usuario al correo electrónico lopd@adicae.net en fecha 5 de marzo
2. Se adjunta como ANEXO N.º 1 el justificante de presentación del ejercicio de derecho. Una vez recibida la solicitud, se procedió al borrado de la información de nuestra base de datos, la cual remitimos como ANEXO N.º 2, en unos pantallazos del Excel actualizado sobre bajas de socios. Posteriormente, en fecha 21 de abril de 2024, volvimos a recibir un segundo correo electrónico solicitando la supresión de sus datos, como se detalla en el ANEXO N.º
3. Cuando llegó la primera solicitud del derecho al correo electrónico indicado, el departamento de informática dio de baja los datos del usuario para el envío de comunicaciones, pero no se realizó la respuesta pertinente al usuario. Viendo que ambas solicitudes fueron presentadas por el mismo usuario, se abrió una investigación al respecto y se pudo comprobar que, con la primera solicitud, sus datos fueron suprimidos. (…) La respuesta al ejercicio del derecho se ha llevado a cabo en fecha 23 de mayo de 2024, tal y como puede comprobarse mediante el ANEXO Nº.3 que contiene la respuesta ejercicio derecho del reclamante y constancia de su envío. (…) Los datos del usuario se procedieron a dar de baja para el envío de comunicaciones, todo ello de conformidad con lo previsto en el artículo 17.1 del Reglamento (UE) 2016/679 General de Protección de Datos y el artículo 15 de la Ley Orgánica 3/2018 de Protección de Datos y Garantía de los Derechos Digitales, y al consiguiente bloqueo de los mismos, de acuerdo con el artículo 32.1 de la Ley de Protección de Datos antes citada, (…). La información del interesado, por consiguiente, se identificará y reservará, adoptando medidas técnicas y organizativas, para impedir su tratamiento, incluyendo su visualización, excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes.” La parte reclamada manifiesta que “(…) A raíz de la reclamación, se procede, de inmediato, a detectar y valorar la incidencia planteada y, tras ello, se da respuesta al derecho de supresión presentado por el usuario, tal y como se indica en el ANEXO N.º
4. (…).” “(…) La solicitud del derecho se interpuso al correo electrónico lopd@adicae.net en fecha 5 de marzo
5. Cuando la entidad tuvo constancia de la solicitud, los datos del usuario fueron dados de baja del sistema, pero no se llevó a cabo la comunicación al interesado. Más tarde, el 21 de abril de 2024, se recibió otra solicitud de supresión de datos personales por parte de la misma persona. La entidad, al darse cuenta de que el correo electrónico procedía del mismo destinatario, comenzó a investigar lo sucedido, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 dado que, cuando se recibió la primera de las solicitudes, el departamento informático procedió al borrado de datos. En este sentido, la entidad se percató de que la persona responsable de dicho correo electrónico, designada como se indica en el documento ANEXO N.º 4, se encuentra en situación de baja laboral, tal y como puede apreciarse en el documento ANEXO N.º 5, razón de las dilaciones en la respuesta. Al ser recibida la solicitud al correo electrónico de la persona que se encuentra en situación de baja, aquella se quedó bloqueada sin ser respondida y no se derivó a otra persona ni al delegado de Protección de Datos con el que cuenta la entidad, por lo que no se respondió en tiempo y forma, tratándose de un error puntual, aislado y totalmente involuntario ya corregido en cuanto esta parte ha tenido conocimiento del mismo.” Documentación que aporta: - - ANEXO Nº.1.- Solicitud ejercicio derecho de supresión de la parte reclamante con fecha 05 de marzo de 2024, y de los correos electrónicos remitidos (ya aportados por la parte reclamante junto con su reclamación). ANEXO Nº.2.- “Excel baja de socios”. Informe de Excel de diferentes interesados con sus fechas de solicitud de baja, entre los que constan los datos de la parte reclamante. ANEXO Nº.3.-Correo electrónico de fecha 23 de mayo de 2024 de la parte reclamada dirigido a la parte reclamante en el que indican “En contestación a su solicitud en la que solicita la supresión de sus datos personales, adjuntamos documento para bloquear sus datos. Cuando lo haya firmado le rogamos que nos lo envíe para su tratamiento.” Se adjunta un escrito en el que le comunican que han procedido a estimar su solicitud y proceder al bloqueo de los datos, con el siguiente contenido: “Estimado, En contestación a su solicitud recibida con fecha 21 de abril de 2024, en la que solicita la supresión de sus datos personales, contenidos en los ficheros responsabilidad de Asociación de Usuarios de Bancos, Cajas y Seguros, le comunicamos lo siguiente: Tras las comprobaciones pertinentes, hemos procedido a estimar su solicitud, de conformidad con lo establecido en el artículo 17.1 del Reglamento (UE) 2016/679 General de Protección de Datos y el artículo 15 de la Ley Orgánica 3/2018 de Protección de Datos y Garantía de los Derechos Digitales, y al consiguiente bloqueo de los mismos, de acuerdo con el artículo 32.1 de la Ley de Protección de Datos antes citada (…)”. El resto de los anexos, del nº 4 al nº 10, son diferentes documentos relativos a la persona encargada de atender los derechos en materia de protección de datos, su parte médico de baja, así como varios sobre el protocolo de actuación. TERCERO: Por lo expuesto, esta Agencia, en su resolución de fecha 17 de julio de 2024, consideró que el derecho había sido atendido. “En particular por las siguientes circunstancias: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 La parte reclamante manifiesta que en fecha 5 de marzo de 2024 remitió solicitud de supresión de sus datos a la entidad reclamada, remitiendo su petición a la dirección de correo electrónico lopd@adicae.net, sin haber obtenido debida contestación una vez transcurrido el plazo establecido por la normativa de protección de datos a tal efecto. En fecha 21 de abril de 2024 remitió nuevo correo electrónico solicitando la atención a su petición, sin haber recibido, nuevamente, contestación. De conformidad con la normativa expuesta, con carácter previo a la admisión a trámite de la reclamación, se trasladó a la parte reclamada para que procediese a su análisis y diera respuesta a esta Agencia en el plazo de un mes. Asimismo, se solicitó a la parte reclamada que informara sobre determinados extremos relacionados con los hechos objeto de reclamación, con el fin de conocer las circunstancias del caso concreto y admitir o inadmitir a trámite la reclamación. En respuesta a las actuaciones de traslado y de información realizadas, se ha recibido en esta Agencia escrito de la parte reclamada en el que, por lo que aquí interesa, manifiesta lo siguiente: La parte reclamada manifiesta que, debido a un error puntual no se contestó en tiempo y forma; en fecha 23 de mayo de 2024 se remite correo electrónico informando que han procedido a estimar su solicitud. Una vez analizadas las razones expuestas por la parte reclamada, que obran en el expediente, esta Agencia considera que ha quedado atendido el derecho solicitado. Por este motivo, de conformidad con lo establecido en el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos ACUERDA inadmitir a trámite la reclamación.” CUARTO: Disconforme con la resolución, con fecha 17 de julio de 2024 la parte reclamante interpuso recurso de reposición argumentando que, a pesar de lo expuesto por la parte reclamada, no ha recibido confirmación de supresión de sus datos personales, sino un correo electrónico de fecha 23 de mayo de 2024 en el que se le remitía un documento de bloqueo de datos que debía ser firmado y enviado a la parte reclamada para su tratamiento. Se informa de que contestó a dicho correo electrónico, insistiendo en que ya había ejercitado el derecho de supresión, por lo que no debía enviar nada más. Instruido el procedimiento de Recurso de Reposición correspondiente, con fecha 27 de septiembre de 2024 se dio audiencia a la parte reclamada, que presentó escrito de alegaciones en fecha 3 de octubre de 2024, reiterando lo expuesto en su contestación anterior en la que se aportaba “como prueba, en el documento ANEXO N.º 3, la respuesta efectuada a la parte recurrente donde se confirma la supresión de sus datos personales”. Cuando una parte interesada solicite a un responsable del tratamiento la supresión de sus datos personales, éste estará obligado a suprimir sin dilación indebida los datos personales cuando no sean necesarios para cumplir con las finalidades para los que fueron recogidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 “(…) Pues bien, en el presente caso, la parte reclamada ha manifestado en respuesta a la actuación de traslado de la reclamación que dio respuesta al derecho de supresión de datos mediante correo electrónico de fecha 23 de mayo de 2024 en el que se le decía: “En contestación a su solicitud en la que solicita la supresión de sus datos personales, adjuntamos documento para bloquear sus datos. Cuando lo haya firmado le rogamos que nos lo envíe para su tratamiento.” Es decir, la parte reclamada no ha atendido el derecho de supresión, puesto que se ha limitado a enviar a la parte recurrente un correo electrónico en el que solicita que les remita un documento adjunto que debe firmar para confirmar que se supriman sus datos personales, que pasarían a estar bloqueados, sin alegar por qué no ha podido efectuar la supresión solicitada en el ejercicio de derecho realizado en fecha 5 de marzo de 2024 y requiere una nueva solicitud. Tampoco se informa del tiempo por el que los datos personales permanecerían bloqueados. Por tanto, en el presente caso, en el recurso de reposición se ha ampliado la información y se han aportado argumentos relevantes a los efectos de lo planteado, que debe ser analizados por la Subdirección General de Inspección de Datos, y procede la estimación del recurso interpuesto. En consecuencia, con fecha 09 de octubre de 2024 por parte de la Directora de esta Agencia se estimó el mismo porque se aportan hechos nuevos que acreditan que la parte reclamada no ha atendido el derecho de supresión solicitado. QUINTO: Como consecuencia de la estimación del citado Recurso de Reposición, se procedió a la apertura del presente Procedimiento de Derechos, dando traslado de la documentación a la parte reclamada, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. La parte reclamada presentó ante esta Agencia un escrito con fecha 25 de octubre de 2024, indicando que “(…) PRIMERA. - La ASOCIACIÓN DE USUARIOS DE BANCOS, CAJAS Y SEGUROS reitera lo expuesto en las alegaciones efectuadas en fecha 6 de junio de 2024, en aras de evitar duplicar alegaciones y documentos, donde se aporta como prueba, en el documento ANEXO N.º 3, la respuesta efectuada al reclamante confirmando la supresión de sus datos personales. En este sentido, puede apreciarse que sí que se efectuó respuesta al interesado, estimando su solicitud y suprimiendo sus datos personales. SEGUNDA. – En relación a la respuesta que se le dio al interesado, en el cuerpo del mensaje del correo electrónico se indicó que se adjuntaba el documento de respuesta, así como la información sobre el bloqueo de los datos. Así mismo, se indicó que se devolviese firmado como acuse de recibo del mensaje, para que la entidad responsable de tratamiento se cerciorase de que había recibido el documento de supresión de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 En ningún momento se pretendía crear confusión en relación a la supresión de los datos del interesado, si no, simplemente, confirmar la recepción del documento donde se indica que se estima la solicitud y que sus datos serán bloqueados y suprimidos. (…) (…) CUARTA. – La entidad también ha cumplido con lo establecido en el artículo 17 del RGPD cuando contesta al interesado estimándole el derecho de supresión. En este artículo no se menciona el bloqueo de los datos, no obstante, la entidad, en la respuesta que se le hace al interesado en fecha 23 de mayo de 2024, en aras de cumplir con el deber de transparencia con el interesado, hace referencia al artículo 32 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, para que tenga constancia de que sus datos van a ser bloqueados, indicando que “el bloqueo de los datos consiste en la identificación y reserva de los mismos, adoptando medidas técnicas y organizativas, para impedir su tratamiento, incluyendo su visualización, excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes”. SEXTO: Examinado el escrito presentado por la parte reclamada, se traslada a la parte reclamante, para que, en el plazo de diez días hábiles formule las alegaciones que considere oportunas. La parte reclamante contestó a esta Agencia, con fecha 26 de octubre de 2024, señalando que “Tras leer las mencionadas en Anexo 2 (desde la página 5 a la 7), debo de aclarar unos puntos que creo que son muy interesantes y que parecer que se olvidado y/o no se ha comentado. I. Debo de informar a este Organismo, que mi solicitud data desde 20-01-2023 (siguiendo instrucciones de dicha entidad) en la que ya solicite la baja, según se acredita en el documento ANEXO I II. Al no tener respuestas, con fecha 05-03-2024, les vuelvo a enviar otro email así como solicito certificación baja