1/7 Expediente N.º: EXP202212245 RESOLUCIÓN N.º: R/00313/2023 Vista la reclamación formulada el 11 de octubre de 2022 ante esta Agencia por D. A.A.A. (en lo sucesivo, la parte reclamante) contra D. B.B.B. (***URL.1) (en lo sucesivo, la parte reclamada) por no haber sido atendida su solicitud de ejercicio de los derechos establecidos en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD). Realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), se han constatado los siguientes: HECHOS PRIMERO: La parte reclamante, con fecha 28 de septiembre de 2022, solicitó a la parte reclamada “(…) retirar de su base de datos cualquier aparición pública (a través de web, buscadores, etc.) de cualquier dato personal, (…)”. En fecha 06 de octubre de 2022 recibió respuesta negativa, sobre la base de que los datos procedían de una fuente de acceso público, el BORME, instándose al afectado a dirigirse al BOE y a solicitar, si lo deseaba, su inclusión en el fichero robots.txt, para evitar la indexación, por parte de los buscadores de internet, de los enlaces al sitio web. SEGUNDO: La LOPDGDD en el artículo 65.4 ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos, que consiste en dar traslado de las mismas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, para que procedan al análisis de dichas reclamaciones y a darles respuesta en el plazo de un mes. La parte reclamada ha señalado que, una vez que recibieron la solicitud de la parte reclamante, le contestaron informándole que su solicitud no era procedente al tratarse de datos obtenidos de fuentes públicas como lo es el Boletín Oficial del Estado (BORME). No obstante lo anterior, se le ofreció mediante comunicación enviada por email en fecha 6 de octubre de 2022, la posibilidad de desindexar su nombre de buscadores, a lo que el solicitante respondió en desacuerdo tal y como se ve en la comunicación aportada por la parte reclamante. El día 13 de octubre informó al solicitante de que el uso de los datos que se hace en LibreBOR es correcto y nuevamente le ofrecieron la posibilidad de desindexar de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 buscadores las páginas referentes sus datos. “El Sr. A.A.A. respondió adjuntando su DNI y procesé personalmente su solicitud al día siguiente. En los días siguientes realicé una comprobación rápida en Google en la que pude comprobar que el nombre del solicitante ya no estaba indexado en el buscador y dimos por finalizada la solicitud.” TERCERO: Una vez cumplido el trámite previsto en el artículo 65.4 de la LOPDGDD, se admitió a trámite la reclamación y se concedió a la entidad reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. La parte reclamada ha señalado que “(…) en el Acuerdo de Admisión a trámite se expone que la AEPD procede a admitir a trámite la reclamación formulada basándose en la no exactitud de los datos, y sin embargo, los datos son exactos. Los datos publicados son obtenidos directamente de los boletines de los registros oficiales. La Agencia Estatal del Boletín Oficial del Estado autoriza a esta difusión. En este sentido, la búsqueda del reclamante (A.A.A.) da como resultado cronológico la siguiente información “Revocaciones: Con fecha ***FECHA.1 se inscriben en el Registro Mercantil las siguientes revocaciones en la sociedad: ADM.UNICO: A.A.A.. Datos registrales: (…)”. Información que se considera exacta puesto que así aparece compilada en el boletín oficial del registro mercantil de ***LOCALIDAD.1 del día (…). Recordamos, a tal efecto, que de conformidad con el Artículo 20 del Real Decreto de 22 de agosto de 1885, por el que se publica el Código de Comercio el contenido del Registro se presume exacto y válido mientras no se inscriba la declaración judicial de su inexactitud o nulidad. Tal declaración judicial de inexactitud o nulidad no ha sido comunicada por el solicitante en ningún momento. (…)” La parte reclamada también señala que “(…). En este sentido, la AEPD alega que el plazo para formular reclamaciones contra los administradores es de cuatro
(4)años según la LSC. La revocación del cargo de administrador del reclamante se inscribió el día (…) y se publicó en el BORME el día (…) (Anexo I) y, sin embargo, mientras que la reclamación ante la AEPD se realizó el día (…), la solicitud de borrado se ejercitó el día (…), es decir, antes del cumplimiento de los cuatro años.” En cuanto al artículo 5.1.d RGPD, “(…) expone en su literalidad que los datos personales deben ser “exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»); A este respecto, como se ha expuesto anteriormente, los datos personales que figuran en LIBREBOR son obtenidos directamente de las publicaciones de los registros oficiales. (…) Información que se presume exacta puesto que así aparece compilada en el boletín oficial del registro mercantil.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 En lo relativo al artículo 17 del RGPD “Derecho al olvido” “(…) los datos cuyo borrado se solicita: (
- i)han sido compilados por los Registros Mercantiles para fines de publicidad registral, inscripción y administración general de conformidad con el Código de Comercio de 1885 y con el Real Decreto Legislativo 1/2010, de 2 de julio, por el que se aprueba el texto refundido de la Ley de Sociedades de Capital Real Decreto 1784/1996, de 19 de julio, por el que se aprueba el Reglamento del Registro Mercantil y (
- ii)el Registro Mercantil los conserva durante un período de tiempo indefinido tal y como consta en el registro de actividades publicado por el propio registro mercantil: ba1349fb-33b4-34ae-f4f6-3f931a85138f (registradores.org). Además, el Tribunal de Justicia de la UE en la sentencia C-398/15 expuso que la publicidad de los registros de sociedades tiene por objeto garantizar la seguridad jurídica en las relaciones entre las sociedades y los terceros y proteger, en particular, los intereses de los terceros en relación con las sociedades anónimas y las sociedades de responsabilidad limitada. Además, el Tribunal de Justicia observa que pueden producirse situaciones en las que se necesita disponer de datos personales recogidos en el registro de sociedades incluso muchos años después de que una empresa se haya liquidado. El Tribunal dijo, también, que los Estados miembros no pueden garantizar a las personas físicas cuyos datos estén inscritos en el registro de sociedades el derecho a obtener, tras un determinado plazo a contar desde la liquidación de la sociedad, la supresión de los datos personales que les conciernen. No obstante, es cierto que el Tribunal de Justicia indica también que, en situaciones relativas propias a las situaciones particulares de los interesados, se puede justificar excepcionalmente que el acceso a los datos personales que les conciernen inscritos en el registro se limite al expirar un plazo suficientemente largo tras la liquidación de la sociedad. En este caso particular, como ya se ha expuesto en el tercer párrafo de esta alegación tercera, el Sr. A.A.A. interpuso la reclamación ante la AEPD el día 11 de octubre de 2022, aunque solicitó el borrado de sus datos a LibreBOR el día 28 de septiembre de 2022 y, sin embargo, aún no se había cumplido el plazo para la acción de responsabilidad contra el administrador según el artículo 241 bis LSC.” “(…) Para concluir, a modo de síntesis, se ruega a la AEPD que se tome en consideración que finalmente, se ha procedido a la desindexación y la supresión de los datos una vez han transcurrido 4 años desde su revocación.” CUARTO: Examinadas las alegaciones se dio traslado de las mismas a la parte reclamante para que presentase las alegaciones que, a su derecho, estimase conveniente, sin que haya tenido entrada en esta Agencia ninguna respuesta. QUINTO: Por la Subdirección General de Inspección de Datos se ha procedido a realizar una búsqueda del nombre de la parte reclamante en la página de la parte reclamada y se comprueba que no se accede a las páginas del BORME. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el apartado 2 del artículo 56 en relación con el apartado 1
- f)del artículo 57, ambos del RGPD; y en el artículo 47 de la LOPDGDD. SEGUNDO: De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno, en el artículo 65.4 la LOPDGDD, ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos, que consiste en dar traslado de las mismas a los delegados de protección de datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, para que procedan al análisis de dichas reclamaciones y a darles respuesta en el plazo de un mes. De conformidad con esta normativa, con carácter previo a la admisión a trámite de la reclamación que da lugar al presente procedimiento, se dio traslado de la misma a la entidad responsable para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida, en el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 30 de diciembre de 2022, a los efectos previstos en su artículo 64.2 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada. Dicho acuerdo de admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de derechos los establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo siguiente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. No se estima oportuna la depuración de responsabilidades administrativas en el marco de un procedimiento sancionador, cuyo carácter excepcional implica que se opte, siempre que sea posible, por la prevalencia de mecanismos alternativos que tengan amparo en la normativa vigente. Es competencia exclusiva de esta Agencia valorar si existen responsabilidades administrativas que deban ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar un procedimiento ante cualquier petición realizada por un tercero. Tal decisión ha de basarse en la existencia de elementos que justifiquen dicho inicio de la actividad sancionadora, circunstancias que no concurren en el presente caso, considerando que con el presente procedimiento quedan debidamente restauradas las garantías y derechos del reclamante. TERCERO: Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. CUARTO: El artículo 17 del RGPD, que regula el derecho de supresión de los datos personales, establece lo siguiente: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7
- a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
- b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
- c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
- d)los datos personales hayan sido tratados ilícitamente;
- e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
- f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
- a)para ejercer el derecho a la libertad de expresión e información;
- b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
- c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
- h)e i), y apartado 3;
- d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
- e)para la formulación, el ejercicio o la defensa de reclamaciones”. QUINTO: En el supuesto aquí analizado, del examen de la documentación aportada por las partes, ha quedado acreditado que la parte reclamante solicitó la supresión de sus datos a la parte reclamada, y que, aunque ésta inicialmente denegó el derecho, basándose en que los datos son obtenidos directamente de los boletines de los registros oficiales, autorizados por la Agencia Estatal del Boletín Oficial del Estado, durante la tramitación del presente procedimiento ha atendido el ejercicio al haberse cumplido el plazo legalmente establecido de 4 años de publicación de los mismos para la acción de responsabilidad contra el administrador según el artículo 241 bis LSC. En consecuencia, procede estimar por motivos formales la reclamación presentada. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR, por motivos formales, la reclamación formulada por D. A.A.A. contra D. B.B.B., con NIF ***NIF.1. No obstante, no procede la emisión de nueva certificación al haber quedado acreditado que se ha atendido el derecho durante la tramitación del presente procedimiento. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. y a D. B.B.B.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos, en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la Disposición Adicional Cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. 1170-140323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es