PD-00260-2025

1/11  Expediente N.º: EXP202508606 (PD/00260/2025) RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 20 de abril de 2025 ante esta Agencia Española de Protección de Datos (en lo sucesivo, AEPD) y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: A.A.A. (en lo sucesivo, la parte reclamante) ejerció el derecho de acceso frente a B.B.B. (EUROEMPRESAS.ES) con NIF.: ***NIF.1 (en lo sucesivo, la parte reclamada). El reclamante manifiesta haber recibido en los últimos días varios correos electrónicos de carácter publicitario en su dirección de correo electrónico personal, sin tener constancia de haber facilitado dichos datos a la entidad remitente. Indica que se puso en contacto con la misma para solicitar aclaraciones sobre el origen de sus datos personales y el motivo de las comunicaciones, sin haber obtenido respuesta ni información que justifique su uso. Junto al escrito de reclamación, presenta la siguiente documentación: - Fechado el 04/03/2025, correo electrónico enviado desde la dirección “Euroempresas” ***EMAIL.1 a la dirección de correo ***EMAIL.2 con el Asunto: “Kit Digital al descubierto: sin trampas.”, en el que se remite un mensaje publicitario relativo a la gestión del Kit Digital. - Fechado el 05/03/2025, correo electrónico remitido desde la dirección de correo electrónico del reclamante a la dirección ***EMAIL.3 con copia a la dirección de correo de “Euroempresas”, con el Asunto: “Re: Kit Digital al descubierto: sin trampas.”, en el que el remitente se dirige al destinatario en calidad de responsable del tratamiento del dominio euroempresas.es, solicitando que se indique el origen de la dirección de correo utilizada y el momento en que se habría recabado un consentimiento expreso válido para incluirla en una lista de destinatarios y enviar comunicaciones comerciales. - Fechado el 13/04/2025, correo electrónico enviado desde la dirección “Euroempresas” ***EMAIL.1 a la dirección de correo ***EMAIL.2, con el Asunto: “No lo llames suerte…”, en el que se remite un mensaje de carácter publicitario relativo al Kit Digital. - Fechado el 16/03/2025, correo electrónico enviado desde la dirección “Euroempresas” ***EMAIL.1 a la dirección de correo ***EMAIL.2, con el Asunto: “Cuidado: podrías quedarte sin tu portátil”, en el que se remite un mensaje de carácter publicitario relativo al Kit Digital. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/11 SEGUNDO: En fecha 4 de junio de 2025 se incorporan al expediente las evidencias obtenidas del sitio web ***WEB.1 La página web en cuestión trata de la política de privacidad publicada por EUROEMPRESAS (actualizada el 30/10/2020) y donde, entre otras cuestiones, establece que el interesado puede ejercer sus derechos mediante solicitud remitida por correo electrónico o por escrito al responsable del tratamiento, acompañando copia de un documento identificativo. Asimismo, la propia política reconoce que el envío de comunicaciones comerciales electrónicas requiere el consentimiento expreso, previo, libre e informado del afectado. TERCERO: En fecha 5 de junio de 2025, de conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica el 05/06/25, tuvo como resultado “ha sido expirada por caducidad, al superarse el plazo establecido para la comparecencia, a fecha de 16/06/25 00:00”, como consta en el justificante de recibo que figura en el expediente. El proceso de traslado se reiteró mediante notificación postal con fecha 20/06/25 que tuvo como resultado: “ha resultado entregado el 25/06/25. Receptor: C.C.C., como consta en el justificante que figura en el expediente, No consta que se haya presentado ninguna respuesta al citado traslado. CUARTO: En fecha 20 de julio de 2025, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: En fecha 27 de agosto de 2025, se concedió a la parte reclamada trámite de audiencia, para que en el plazo de quince días hábiles presentase las alegaciones que estimara convenientes. La notificación del trámite de audiencia se practicó conforme a las normas establecidas en la LPACAP, mediante notificación electrónica el 27/08/2025 que tuvo como resultado: “expirada por caducidad, al superarse el plazo establecido para la comparecencia el 07/09/25”, como consta en el justificante que figura en el expediente, El proceso se reiteró mediante notificación postal con fecha 06/10/2025 que tuvo como resultado: “Entregado el 28/10/2025”, como consta en el justificante de recibo que figura en el expediente, SEXTO: En fecha 18 de noviembre de 2025, la parte reclamada presenta escrito de alegaciones en el que manifiesta, en síntesis, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/11 - Sobre el uso de datos del reclamante: sostiene que el correo del reclamante es un dato de contacto profesional y que, conforme al art. 19 LOPDGDD, puede tratarse sin consentimiento siempre que se refiera únicamente a la localización profesional, la finalidad sea mantener relaciones con la empresa, y se utilice para actividades vinculadas a la función empresarial del responsable. Afirma que el tratamiento tenía una finalidad exclusivamente profesional y asegura que el tratamiento del correo del reclamante se dirigía a enviar comunicaciones relacionadas con la actividad empresarial (digitalización, ciberseguridad) y no con fines personales o ajenos. Sostiene que no se ha realizado ningún uso ajeno a esa finalidad. - Sobre las medidas adoptadas tras la reclamación: expone la adopción de un conjunto de medidas organizativas, técnicas y de gobernanza, cuyo fin sería reforzar el cumplimiento normativo, evitar nuevas incidencias, controlar el uso del dominio corporativo y actualización de RAT, designación de responsable de cumplimiento, manual de gestión de derechos, creación de procedimientos internos y trazabilidad. - Sobre el procedimiento formal para la gestión de derechos: detalla un procedimiento sobre registro de solicitudes, verificación de identidad, análisis individual, respuesta en un mes, cierre y conservación de evidencias. - Sobre las medidas técnicas adoptadas: incluye varias medidas como habilitación de logs, restricciones de envío, bloqueo del buzón corporativo para envíos masivos, políticas de contraseñas, supresión y bloqueo y trazabilidad. - Sobre las medidas relativas a la información al interesado (arts. 13 y 14 RGPD): afirma haber revisado los textos informativos, cláusulas de transparencia o procedimientos de recogida de datos. - Sobre las medidas específicas sobre comunicaciones comerciales: indica que ha suspendido cualquier actividad promocional o comercial, el uso del dominio corporativo para envíos hasta la implantación de controles formales. Afirma también haber auditado los envíos previos del buzón afectado. - Sobre la presente reclamación: argumenta que la comunicación comercial enviada al reclamante fue un hecho aislado y que se originó desde un proyecto inactivo, que no existió intención de obstaculizar derechos y no hubo perfilado ni reiteración, ni tampoco se obtuvo beneficio económico. Junto al escrito de alegaciones se presenta la siguiente documentación: - Fechado el 17/11/2025, escrito firmado por B.B.B., en calidad de responsable del tratamiento, remitido al reclamante en respuesta a su solicitud de información y ejercicio de derechos en materia de protección de datos. En el documento se informa de que su dirección de correo figura en los sistemas de la entidad únicamente como dato de contacto profesional, vinculado a la actividad empresarial, según el artículo 19 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/11 SÉPTIMO: En fecha 20 de noviembre de 2025, se concedió a la parte reclamante trámite de audiencia, para que en el plazo de quince días hábiles presentase las alegaciones que estimara convenientes. OCTAVO: En fecha 24 de noviembre de 2025, la parte reclamante presenta escrito de alegaciones en el que manifiesta, en síntesis, lo siguiente: - El correo utilizado no tiene carácter profesional: Afirma que su dirección de correo no está asociada a ninguna actividad laboral, no figura publicada en ningún sitio profesional y no se corresponde con su dirección de contacto profesional habitual. Sostiene que el responsable no ha aportado prueba alguna que acredite la supuesta naturaleza profesional del dato, por lo que considera inaplicable el artículo 19 LOPDGDD. - El responsable no ha explicado el origen de los datos personales: Señala que preguntó expresamente por el origen de su dirección de correo y que el responsable no identificó la procedencia exacta ni el momento en que se habría obtenido el dato, limitándose a indicar que “consta en sus sistemas”. Considera que dicha respuesta incumple los artículos 13 y 14 RGPD. - Asegura haber escrito exactamente a la dirección indicada en la política de privacidad: Expone que utilizó la dirección establecida en la política de privacidad publicada por el propio responsable y que su solicitud fue correctamente enviada, sin que obtuviera respuesta. - Aporta pruebas de que recibió varios correos electrónicos publicitarios en fechas distintas. Indica que hubo reiteración, ausencia de control sobre los envíos y continuidad del tratamiento incluso después de solicitar explicaciones. - El estado “inactivo” del dominio no justifica la falta de respuesta: Afirma que el hecho de que el responsable califique el dominio como “inactivo” no le exime de sus obligaciones en materia de derechos ni legitima envíos de comunicaciones comerciales. Añade que dicha situación refleja falta de medidas adecuadas de seguridad y gobernanza. - Considera que el tratamiento es ilícito (art. 6 RGPD), dado que: el correo no es profesional, no existía relación previa, no prestó consentimiento, no se supera ningún test de interés legítimo. Asimismo, sostiene que el envío de publicidad vulnera el artículo 21 LSSI. - Manifiesta que no recibió respuesta dentro del plazo legal y que la comunicación aportada por el responsable no aclara el origen del dato ni la licitud del tratamiento. - Las medidas “correctoras” alegadas por el responsable son posteriores y no subsanan la infracción: Indica que las medidas adoptadas son reactivas, no acreditan la licitud inicial del tratamiento, no justifican el envío de comunicaciones comerciales, no explican el origen de los datos ni reparan la falta de atención a su solicitud. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/11 Junto al escrito de alegaciones, presenta la siguiente documentación: - Fechado el 05/03/2025, correo electrónico remitido desde la dirección del reclamante ***EMAIL.2 a la dirección ***EMAIL.3, con copia a ***EMAIL.1 con el Asunto: “Re: Kit Digital al descubierto: sin trampas.”, en el que solicita al responsable que indique el origen de su dirección de correo electrónico, la fecha y forma en que se habría recabado, y si existía consentimiento expreso válido para incluirla en envíos publicitarios. - Fechados entre marzo y abril de 2025, relación de 12 correos electrónicos publicitarios recibidos desde Euroempresas – Directorio empresarial a la dirección del reclamante ***EMAIL.2, con múltiples asuntos de carácter comercial tales como “Últimas ayudas”, “Último mes Kit Digital”, “Empresa prevenida, vale por dos”, ¿“Ordenador gratis? No caigas en la trampa”, “¿Tienes dudas sobre el Kit Digital?”, o “No lo llames suerte…”. Se trata de una lista continuada y reiterada de envíos promocionales, en fechas próximas y con distintos asuntos, todos relacionados con el “Kit Digital”. - Política de Privacidad publicada en el sitio web euroempresas.es, en la que se informa sobre la identidad del responsable, las finalidades de tratamiento, la base jurídica, los destinatarios, medidas de seguridad, plazos de conservación y el procedimiento para ejercer derechos, indicando que estos pueden ejercerse mediante solicitud escrita o correo electrónico, acompañada de documento identificativo. El documento también establece expresamente que el envío de comunicaciones comerciales electrónicas requiere consentimiento previo, libre, expreso e informado. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos (en adelante, RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/11 sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 20 de julio de 2025, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la AEPD una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del RGPD. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/11 Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y ss. del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/11 incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Conclusión En el supuesto analizado, el reclamante ejerció el derecho de acceso frente a B.B.B. (EUROEMPRESAS.ES) tras haber recibido en su dirección de correo electrónico varios mensajes de carácter publicitario, sin constar que hubiera facilitado dicho dato ni prestado consentimiento para el envío de comunicaciones comerciales. En su solicitud, el interesado requirió de manera expresa información relativa al origen de su dirección de correo electrónico, la base jurídica que legitimaría su tratamiento y las circunstancias que motivaron el envío de dichas comunicaciones. Consta acreditado en el expediente que la parte reclamada no atendió dicha solicitud dentro del plazo legalmente establecido, ni respondió al requerimiento inicial formulado por esta Agencia en el trámite previo previsto en el artículo 65.4 de la LOPDGDD. La respuesta aportada por el responsable se produjo con posterioridad, en fecha 17 de noviembre de 2025, ya en el seno del presente procedimiento. Ahora bien, dicha respuesta no puede considerarse suficiente ni conforme a las exigencias del artículo 15 del RGPD. En efecto, el escrito remitido por la parte reclamada se limita a afirmar que la dirección de correo electrónico del reclamante constaba en sus sistemas como “dato de contacto profesional” al amparo del artículo 19 de la LOPDGDD, sin identificar en ningún momento el origen concreto del dato, ni el modo, fecha o fuente a través de la cual habría sido obtenido. El derecho de acceso reconocido en el artículo 15 del RGPD comprende, de forma expresa, el derecho del interesado a conocer la información disponible sobre el origen de los datos personales, cuando estos no se hayan obtenido directamente del propio interesado. Esta obligación de transparencia constituye un elemento esencial del derecho y no puede entenderse satisfecha mediante afirmaciones genéricas o indeterminadas sobre la mera existencia del dato en los sistemas del responsable. En el presente caso, la parte reclamada no ha acreditado ni explicado de forma mínimamente concreta la procedencia de la dirección de correo electrónico utilizada, limitándose a sostener su supuesto carácter profesional, sin aportar prueba alguna que permita verificar dicha afirmación ni que esclarezca el origen del tratamiento. Esta omisión resulta especialmente relevante, habida cuenta de que la solicitud de acceso trae causa precisamente en la recepción de comunicaciones comerciales no solicitadas, lo que refuerza la necesidad de proporcionar una información clara y verificable sobre la obtención del dato. Debe recordarse que el responsable del tratamiento asume la carga de la prueba del cumplimiento de las obligaciones derivadas del artículo 12 del RGPD, incluida la correcta atención de los derechos ejercidos por los interesados. La falta de identificación del origen de los datos personales impide considerar que el derecho de acceso haya sido efectivamente atendido, aun cuando se haya emitido una respuesta formal durante la tramitación del procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/11 En consecuencia, procede concluir que la parte reclamada no ha satisfecho de manera completa y efectiva el derecho de acceso ejercido, al no facilitar información esencial exigida por el artículo 15 del RGPD, en particular la relativa al origen de los datos personales del reclamante. Esta carencia determina que no pueda apreciarse una mera estimación por motivos formales, sino una estimación total de la reclamación, por vulneración material del derecho de acceso. Por todo lo expuesto, y atendida la naturaleza del presente procedimiento, cuyo objeto es verificar la correcta atención de los derechos reconocidos en los artículos 15 a 22 del RGPD, procede estimar la reclamación, al no haber quedado acreditado que la parte reclamada haya atendido de forma adecuada, completa y conforme a Derecho el derecho de acceso ejercido por el reclamante. Por otra parte, la reclamada sostiene que el tratamiento se encuentra amparado por el artículo 19 LOPDGDD, al considerar que la dirección del reclamante constituye un “dato de contacto profesional”. Sin embargo, tal alegación no puede prosperar. En primer lugar, conforme a los artículos 4.1 y 4.2 del RGPD, la dirección de correo electrónico constituye un dato personal en tanto permite identificar a una persona física y cualquier operación realizada sobre dicho identificador constituye un tratamiento sometido a las garantías del RGPD. En segundo lugar, el artículo 19 LOPDGDD no autoriza el envío de comunicaciones comerciales, sino únicamente el uso de datos de contacto profesional para mantener relaciones derivadas de la actividad de la persona jurídica con la que el afectado está vinculado. La utilización de un correo electrónico como destinatario de publicidad relativa a servicios de digitalización y promoción comercial (Kit Digital) excede de manera evidente la finalidad estricta prevista en dicha norma y no puede considerarse amparada por la misma. La actividad de mercadotecnia dirigida a captar clientes constituye un tratamiento distinto, autónomo y de naturaleza promocional, que exige el cumplimiento de la normativa específica sobre comunicaciones comerciales. Esta normativa especial se contiene en el artículo 21 de la Ley 34/2002, de servicios de la sociedad de la información y de comercio electrónico (LSSI), cuyo apartado primero establece de manera categórica que queda prohibido el envío de comunicaciones publicitarias por correo electrónico que no hayan sido previamente solicitadas o expresamente autorizadas por los destinatarios, sin distinguir entre direcciones personales o profesionales. La única excepción prevista, relativa a la existencia de una relación contractual previa y al envío de comunicaciones sobre productos similares, no concurre en el presente supuesto, al no haberse acreditado relación alguna entre las partes ni que los datos del reclamante hubieran sido obtenidos lícitamente. Debe añadirse que la propia política de privacidad publicada por la entidad reclamada, incorporada al expediente, reconoce expresamente que el envío de comunicaciones comerciales electrónicas requiere consentimiento previo, expreso y específico del interesado, lo que refuerza la improcedencia de la interpretación sostenida por la parte reclamada en sus alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/11 A mayor abundamiento, aunque el objeto del presente procedimiento no es determinar la eventual infracción del artículo 21 LSSI, la ilicitud del tratamiento contextualiza y fundamenta el ejercicio del derecho de acceso realizado por el reclamante, pues la ausencia de consentimiento y el origen incierto de sus datos constituyen precisamente la información que el interesado tiene derecho a conocer según el artículo 15 RGPD. Este deber de información no quedó debidamente satisfecho: la parte reclamada no atendió el requerimiento inicial, remitiendo finalmente una respuesta extemporánea y en el marco del presente procedimiento. En consecuencia, la conducta de la parte reclamada vulnera de manera directa lo dispuesto en los artículos 12 y 15 RGPD, al no facilitar al reclamante la información solicitada dentro del plazo legal, al no atender de forma efectiva su derecho de acceso y al no acreditar diligencia ni transparencia en la gestión del mismo, a pesar de que el interesado había recibido comunicaciones comerciales no consentidas y tenía derecho a conocer el origen y fundamento jurídico del tratamiento de sus datos personales. Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los responsables, aún en el supuesto de que no existan datos del interesado en los ficheros de la entidad o incluso en aquellos supuestos en los que no reuniera los requisitos previstos, en cuyo caso el destinatario de dicha solicitud viene igualmente obligado a requerir la subsanación de las deficiencias observadas o, en su caso, denegar la solicitud motivadamente indicando las causas por las que no procede considerar el derecho de que se trate. Por tanto, la solicitud que se formule obliga al responsable a dar respuesta expresa, en todo caso, empleando para ello cualquier medio que justifique la recepción de la contestación. Por todo lo expuesto, y atendida la naturaleza del presente procedimiento, cuyo objeto es verificar que los derechos ejercidos por el afectado han sido debidamente atendidos, procede declarar que la parte reclamada no ha atendido de manera adecuada y completa el derecho de acceso formulado, toda vez que la respuesta aportada, además de haberse producido de forma extemporánea, no satisface las exigencias materiales del artículo 15 del RGPD, al omitir información esencial solicitada por el reclamante, en particular la relativa al origen de sus datos personales. Por otra parte, por lo que respecta a la eventual infracción del artículo 21 de la LSSI, indicar que no corresponde en este expediente pronunciarse sobre la eventual infracción por exceder del ámbito material de la presente actuación. En consecuencia, dado que no consta que la parte reclamada haya facilitado al reclamante una respuesta completa, expresa y conforme a Derecho, ni dentro del plazo legalmente establecido ni con posterioridad, informándole de forma clara y verificable sobre el tratamiento de sus datos personales y su origen, procede estimar la reclamación que ha dado lugar al presente procedimiento, por vulneración del derecho de acceso reconocido en el artículo 15 del RGPD. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/11 PRIMERO: ESTIMAR la reclamación formulada por A.A.A. frente a B.B.B. (EUROEMPRESAS.ES) con NIF.: ***NIF.1 al considerar que se ha infringido lo dispuesto en el artículo 15 del RGPD e instar a B.B.B. para que, en el plazo de diez días hábiles desde que la presente resolución sea firme y ejecutiva, remita a la parte reclamante certificación por la que se atienda el derecho de Acceso ejercido o se deniegue motivadamente indicando las causas por las que no procede atender la petición, de conformidad con lo establecido en el cuerpo de la presente resolución. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. El incumplimiento de esta resolución podría comportar la comisión de una infracción del artículo 83.6 del RGPD, calificada como muy grave a los efectos de prescripción en el artículo 72.1.m) de la LOPDGDD, que se sancionará, de acuerdo con el artículo 58.2 del RGPD. SEGUNDO: NOTIFICAR (EUROEMPRESAS.ES). la presente resolución a A.A.A. y a B.B.B. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución se haya notificado a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es