PD-00274-2022

1/8  Expediente N.º: EXP202211758 RESOLUCIÓN N.º: R/00229/2023 Vista la reclamación formulada el 24 de septiembre de 2022 ante esta Agencia por A.A.A. (en lo sucesivo, la parte reclamante) contra CASH CONVERTERS ESPAÑA, S.L. (en lo sucesivo, la parte reclamada), por no haber sido debidamente atendido su derecho de supresión. Realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: La parte reclamante remitió un correo electrónico a la parte reclamada solicitando la supresión de sus datos personales, recibiendo respuesta indicando que han recibido su consulta y que en el menor tiempo posible le darían una solución. Unos días después, el día 20 de junio de 2022, le remitieron otro correo electrónico en el que le informan que su solicitud la han pasado al departamento correspondiente “(…) y en breve se pondrán en contacto contigo para confirmar tu baja”. El día 23 de julio de 2022 la parte reclamante envió otro correo electrónico “(…) a día de hoy mi cuenta sigue estando habilitada y mis datos personales, en consecuencia, no han sido suprimidos.” SEGUNDO: Con fecha 24 de septiembre de 2022 tuvo entrada en esta Agencia reclamación contra la parte reclamada por no haber sido debidamente atendido el derecho de supresión. SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, que ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la AEPD, consistente en trasladarlas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, se dio traslado de la reclamación a la entidad reclamada para que procediese a su análisis y diera respuesta a la parte reclamante y a esta Agencia en el plazo de un mes. La representante de la parte reclamada manifiesta que el reclamado no ejercitó el derecho en la dirección web indicada en su política de privacidad sino en otra que sólo gestiona las consultasen relación con los productos que se pretender vender por internet. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Indican que cuando han tenido constancia de la solicitud de 13 de julio de 2022 le han remitido un correo electrónico en el que informan que “(…) su solicitud debe ser realizada rellenando el formulario ARCOPOL correspondiente a la supresión, disponible en la web (https://cashconverters.es/gdpr/arcopol/),y enviándolo firmado junto con una copia de su DNI a este mismo correo electrónico, protecciondedatos@cash-converters.es, que es el que está destinado al ejercicio de derechos ARCOPOL.” “Tal y como ya pusimos de manifiesto en nuestra respuesta al reclamante, el motivo de la tardanza en contestar es que, sin saber el motivo, su email se había alojado en la bandeja de correos “no deseados o Spam”, y al percatarnos del error, hemos procedido a contestar a la misma, dando de baja de la cuenta de manera inmediata, como se puede ver en la siguiente imagen (no siendo necesario rellenar el formulario ni aportar documentación alguna).” “Si bien, como ya le indicamos, para la supresión de sus datos personales de nuestros ficheros, debe rellenar un formulario ARCOPOL correspondiente a la supresión, disponible en la web (https://cashconverters.es/gdpr/arcopol/), y debiendo enviarlo firmado junto con una copia de su DNI a este mismo correo electrónico, protecciondedatos@cash-converters.es, que es el que está destinado al ejercicio de derechos ARCOPOL y tal como se indica en la normativa en relación con la protección de datos. Ante la negativa del reclamante de facilitar copia de su DNI, se contestó a su email indicándole nuevamente que conforme al RGPD y el resto de normativa española de aplicación sobre Protección de Datos, establecen que los Derechos ARCOPOL tienen carácter personalísimo, por lo que para su ejercicio es preciso identificar debidamente a quien ejercita cualesquiera de dichos derechos. Y a tales efectos de identificación es preciso recibir tanto el formulario debidamente relleno y firmado, como una copia de su DNI al objeto de verificar que quien firma es realmente quien dice ser.” TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 16 de diciembre de 2022, a los efectos previstos en su artículo 64.2 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada y se informó a las partes que el plazo máximo para resolver el presente procedimiento, que se entiende iniciado mediante dicho acuerdo de admisión a trámite, será de seis meses. El mencionado acuerdo concedió a la entidad reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. Dicha entidad reiteró, en síntesis, las alegaciones presentadas como respuesta al traslado de la reclamación. CUARTO: Con fecha 16 de diciembre de 2022 la parte reclamada ha presentado ante esta Agencia un nuevo escrito en el que aporta copia del correo electrónico recibido de la parte reclamada en el que le informan que “(…) le confirmamos la baja de la cuenta suscrita con nosotros, con efecto inmediato”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 “En respuesta a su solicitud realizada en fecha 23 de julio de 2022, para la eliminación de sus datos personales de nuestros ficheros, le informo que su solicitud debe ser realizada rellenando el formulario ARCOPOL correspondiente a la supresión, disponible en la web (https://cashconverters.es/gdpr/arcopol/), y enviándolo firmado junto con una copia de su DNI a este mismo correo electrónico, protecciondedatos@cash-converters.es, que es el que está destinado al ejercicio de derechos ARCOPOL.” QUINTO: Examinadas las alegaciones presentadas por la parte reclamada, son objeto de traslado a la parte reclamante, para que, en el plazo de quince días hábiles formule alegaciones que considere oportunas, manifestando, en síntesis, “(…) que el hecho de que la solicitud de supresión llegara a una dirección electrónica inidónea para el ejercicio de los derechos del RGPD, no resulta imputable al reclamante (…)” “Que, si bien había considerado satisfecho mi derecho de supresión con la respuesta de la reclamada de 16 de noviembre, desconocedor de la foto que se acompaña a la contestación a la reclamación, no puedo manifestar otra cosa distinta que su más absoluto incumplimiento. Puesto que, si la reclamada fundamenta el cumplimiento del mismo en base a dicha imagen, en realidad estaría comunicando una baja inexistente, ya que los datos siguen estando incorporados a un fichero informático. En definitiva, de la imagen anexada por la reclamada, deduzco que confunde el derecho de supresión con el derecho de oposición (en lo relativo a “no acepto recibir ofertas, promos y descuentos”) o con el derecho de limitación de tratamiento (en lo relativo a “no acepto a la cesión de mis datos al grupo (...)”). SEXTO: Otorgada audiencia a la parte reclamada, señala que “Una vez analizadas las alegaciones del Sr. Sanz, y aun cuando se le ha requerido para que aportara el DNI a efectos de identificación, petición que no fue atendida por el denunciante; no obstante, y en atención a que tanto solo restaba para atender el ejercicio de aquel derecho la recepción del documento identificativo, y al haber comprobado de manera fehaciente la identidad del denunciante, se ha procedido a la cancelación de sus datos, decisión que se le ha comunicado mediante email, como acreditamos mediante Copia de comunicación de cancelación como documento número dos.” En dicho correo electrónico le indican que “Por medio de la presente, le comunicamos que hemos recibido su solicitud de supresión de datos personales de nuestras bases de datos, y que de conformidad con lo establecido en los Artículos 17 y 19 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, como en el resto de la normativa de aplicación, se ha procedido a hacer efectivo su derecho de supresión. Le informamos que la supresión de sus datos dará lugar al bloqueo de los mismos, conservándose únicamente aquella información que otras legislaciones o Administraciones Públicas Competentes nos obliguen a conservar durante el plazo legal fijado en cada caso. Cumplido el citado plazo procederemos a la supresión definitiva de sus datos. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el apartado 2 del artículo 56 en relación con el apartado 1 f) del artículo 57, ambos del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); y en el artículo 47 de la LOPDGDD. SEGUNDO: De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, con carácter previo a la admisión a trámite de la reclamación que da lugar al presente procedimiento, se dio traslado de la misma a la entidad responsable para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida, en el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD. Dicho acuerdo de admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo siguiente. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. No se estima oportuna la depuración de responsabilidades administrativas en el marco de un procedimiento sancionador, cuyo carácter excepcional implica que se opte, siempre que sea posible, por la prevalencia de mecanismos alternativos que tengan amparo en la normativa vigente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 Es competencia exclusiva de esta Agencia valorar si existen responsabilidades administrativas que deban ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar un procedimiento ante cualquier petición realizada por un tercero. Tal decisión ha de basarse en la existencia de elementos que justifiquen dicho inicio de la actividad sancionadora, circunstancias que no concurren en el presente caso, considerando que con el presente procedimiento quedan debidamente restauradas las garantías y derechos del reclamante. TERCERO: Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. “