1/7 Procedimiento Nº: PS/00020/2021 RESOLUCIÓN DE CADUCIDAD DE LAS ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo IMI), regulado por el Reglamento (UE) nº:1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012, (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se recibió en esta Agencia Española de Protección de Datos (AEPD), una notificación en virtud del artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en adelante, RGPD). Esta notificación (IMI número 78728), lanzada el 19/09/2019 por la autoridad de protección de datos de Italia (SA Italy- Supervisor for the Protection of Personal Data, en adelante, la Autoridad de Control de Italia), tenía como finalidad identificar a la autoridad de control principal para investigar las actividades de tratamiento realizadas sobre los repartidores (“riders) de la compañía italiana Foodinho SRL, que se dedica al transporte y entrega de comida y otros bienes a través de una plataforma informática propiedad de la compañía con sede en España GLOVOAPP23, S.L., que es la empresa matriz del grupo empresarial del que son filial Foodinho SRL y otras compañías con sede en otros estados dentro y fuera del Espacio Económico Europeo. La Autoridad de Control de Italia indicaba que, en el marco de una investigación a la empresa Foodinho SRL, se descubrió que las actividades involucradas en la entrega de comida u otros ítems por los repartidores (“riders”) con la ayuda de una plataforma técnica específica (utilizada por Foodinho SRL y propiedad de GLOVOAPP23, S.L.) entrañaba el tratamiento de una amplia gama de datos personales: ubicación geográfica (en tiempo real); monitorización de cada paso de la entrega a través de una aplicación móvil que se descargaba en el móvil del repartidor; conservación sistemática de los datos sobre las comunicaciones intercambiadas con el operador de la plataforma a través de correos electrónicos, chats y llamadas de teléfono; tiempo de entrega (tanto estimado como real); rutas seguidas; cumplimiento de las órdenes; valoraciones de los repartidores por los clientes o vendedores; puntuaciones de reputación. A su vez, la Autoridad de Control de Italia señalaba que, durante su investigación, se observaron indicios de que los datos de los repartidores que realizaban entregas en Italia podían ser vistos por operadores que se encontraban en otros países fuera de Italia. Por estos motivos, solicitaba realizar una investigación respecto a los tratamientos de datos de los repartidores realizado por GLOVOAPP23, S.L. y sus filiales para verificar el cumplimiento del artículo 5.1.
- a)(licitud, lealtad y transparencia) en relación con el artículo 13 (información que debe facilitarse al interesado) y artículo 88 (tratamiento en el ámbito laboral); del artículo 5.1.c), 5.1e) y 5.2 (minimización de C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 2/7 datos, limitación del plazo de conservación y responsabilidad proactiva, respectivamente); del artículo 22 (decisiones individuales automatizadas); del artículo 32 (seguridad del tratamiento); del artículo 25 (protección de datos desde el diseño y por defecto); del artículo 30 (registro de las actividades de tratamiento); del artículo 35 (evaluación del impacto relativo a la protección de datos); del artículo 37.7 (comunicación a la autoridad de control del delegado de protección de datos) y del artículo 44 y siguientes (transferencias a terceros países) del RGPD. Dado su carácter de tratamiento de datos personales transfronterizo, esta Agencia se manifestó competente para actuar como autoridad de control principal y creó el caso de registro número 89995, con fecha 12/11/2019, en el sistema IMI. Según las informaciones incorporadas a IMI, se han declarado interesadas en este procedimiento las autoridades de control de Italia y Polonia. SEGUNDO: A la vista de los hechos expuestos, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del RGPD. TERCERO: Con fecha 29 de enero de 2021, la Directora de la AEPD adoptó un proyecto de acuerdo de inicio de procedimiento sancionador, del cual se dio conocimiento formal a GLOVOAPP23, S.L., de conformidad con lo previsto en el artículo 64.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). Siguiendo el proceso establecido en el artículo 60 del RGPD, el 30/01/2021 se compartió en el sistema IMI el proyecto de proyecto de acuerdo de inicio de procedimiento sancionador y se les hizo saber a las autoridades de control interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo otorgado a tal efecto, las dos autoridades de control interesadas presentaron sus objeciones pertinentes y motivadas a los efectos de lo previsto en el artículo 60 del RGPD. CUARTO: Con fecha 3 de junio de 2021, la Directora de la AEPD adoptó un proyecto revisado de acuerdo de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 04 de junio de 2021 se compartió este documento en el sistema IMI y se les hizo saber a las autoridades de control interesadas que tenían dos semanas desde ese momento para formular objeciones pertinentes y motivadas. Transcurrido el plazo a tal efecto, las dos autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se consideró que todas las autoridades de control estaban de acuerdo con dicho proyecto revisado de decisión y estaban vinculadas por éste, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. QUINTO: Con fecha 24 de junio de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a GLOVOAPP, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD; por la presunta infracción del artículo 35 del RGPD, tipificada en el artículo 83.4 del RGPD; por la presunta infracción de los artículos 25 y 32 del RGPD, C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 3/7 tipificada en el artículo 83.4 del RGPD y por la presunta infracción del artículo 5.1.
- e)del RGPD, tipificada en el artículo 83.5 del RGPD. SEXTO: El acuerdo de inicio se notifica a GLOVOAPP en fecha 5 de julio de 2021, a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, según certificado que figura en el expediente. SÉPTIMO: Con fecha 7 de julio de 2021, GLOVOAPP presenta un escrito a través del cual solicita la ampliación del plazo para aducir alegaciones. OCTAVO: Con fecha 9 de julio de 2021, el órgano instructor acuerda la ampliación de plazo instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP. El acuerdo de ampliación se notifica a GLOVOAPP en fecha 9 de julio de 2021. NOVENO: Con fecha 24 de julio de 2021, se recibe en esta Agencia, en tiempo y forma, escrito de GLOVOAPP en el que aduce alegaciones y tras manifestar lo que a su derecho conviene, termina solicitando que se archive el procedimiento sancionador incoado en contra de GLOVOAPP. DÉCIMO: Con fecha 11 de octubre de 2021, la instructora del procedimiento acuerda la apertura de un período de práctica de pruebas, que se notifica a GLOVOAPP en fecha 21 de octubre de 2021, en los siguientes términos: “1. Se dan por reproducidos a efectos probatorios la documentación procedente del IMI que ha dado lugar a las actuaciones previas de investigación, los documentos obtenidos y generados por los Servicios de Inspección ante GLOVOAPP23, S.L., el Informe de actuaciones previas de Inspección que forman parte del expediente E/10077/2019 y la documentación procedente del IMI sobre el proyecto de decisión y el proyecto revisado de decisión. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00020/2021 presentadas por GLOVOAPP23, S.L. en fecha 24 de julio de 2021, y la documentación que a ellas acompaña”. DÉCIMO PRIMERO: Con fecha 27 de octubre de 2021, la instructora del procedimiento formuló Propuesta de Resolución, en la que propone que por la Directora de la AEPD se dirija un apercibimiento a GLOVOAPP23, S.L., con NIF B66362906, por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD; que se ordene a GLOVOAPP23, S.L. a que en el plazo de 30 días proceda a incluir en la política de privacidad para mandatarios, así como en toda la documentación dirigida a los repartidores, que se están llevando a cabo decisiones individuales automatizadas; que se ordene a GLOVOAPP23, S.L. que en el plazo de 60 días proceda a realizar una evaluación de impacto relativa a la protección de datos personales del tratamiento de los datos de los repartidores; y que se sancione a GLOVOAPP23, S.L. por la presunta infracción de los artículos 32 y 25 del RGPD, tipificada en el artículo 83.4 del RGPD con una multa administrativa de QUINIENTOS CINCUENTA MIL EUROS (550.000 €). C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 4/7 Con fecha 5 de noviembre de 2021, a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, se notifica la Propuesta de Resolución. DÉCIMO SEGUNDO: Con fecha 8 de noviembre de 2021, GLOVOAPP presenta un escrito a través del cual solicita la ampliación del plazo para aducir alegaciones. DÉCIMO TERCERO: Con fecha 17 de noviembre de 2021, el órgano instructor acuerda la ampliación de plazo instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP. El acuerdo de ampliación se notifica a GLOVOAPP en fecha 17 de noviembre de 2021. DÉCIMO CUARTO: Con fecha 26 de noviembre 2021, se recibe en esta Agencia, en tiempo y forma, escrito de GLOVOAPP en el que aduce alegaciones a la propuesta de resolución y tras manifestar lo que a su derecho conviene, termina solicitando que se archive el procedimiento sancionador incoado en contra de GLOVOAPP. DÉCIMO QUINTO: Con fecha 3 de diciembre de 2021, la Directora de la AEPD adoptó un proyecto de resolución de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, ese mismo día se subió al sistema IMI y se les hizo saber a las autoridades de control interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, la autoridad de control de Polonia presentó sus objeciones pertinentes y motivadas a los efectos de lo previsto en el artículo 60 del RGPD. DÉCIMO SEXTO: Con fecha 5 de enero de 2022, la Directora de la AEPD adoptó un proyecto revisado de resolución de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, ese mismo día se subió al sistema IMI y se les hizo saber a las autoridades de control interesadas que tenían dos semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, la autoridad de control de Polonia presentó sus objeciones pertinentes y motivadas a los efectos de lo previsto en el artículo 60 del RGPD. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 5/7 II Procedimientos en caso de posible vulneración de la normativa de protección de datos El artículo 64 de la LOPDGDD determina lo siguiente, respecto a los procedimientos en caso de posible vulneración de la normativa de protección de datos: “ (…) 2. Cuando el procedimiento tenga por objeto la determinación de la posible existencia de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 y en la presente ley orgánica, se iniciará mediante acuerdo de inicio adoptado por propia iniciativa o como consecuencia de reclamación. Si el procedimiento se fundase en una reclamación formulada ante la Agencia Española de Protección de Datos, con carácter previo, esta decidirá sobre su admisión a trámite, conforme a lo dispuesto en el artículo 65 de esta ley orgánica. Cuando fuesen de aplicación las normas establecidas en el artículo 60 del Reglamento (UE) 2016/679, el procedimiento se iniciará mediante la adopción del proyecto de acuerdo de inicio de procedimiento sancionador, del que se dará conocimiento formal al interesado a los efectos previstos en el artículo 75 de esta ley orgánica. Admitida a trámite la reclamación así como en los supuestos en que la Agencia Española de Protección de Datos actúe por propia iniciativa, con carácter previo al acuerdo de inicio, podrá existir una fase de actuaciones previas de investigación, que se regirá por lo previsto en el artículo 67 de esta ley orgánica. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. 3. El procedimiento podrá también tramitarse como consecuencia de la comunicación a la Agencia Española de Protección de Datos por parte de la autoridad de control de otro Estado miembro de la Unión Europea de la reclamación formulada ante la misma, cuando la Agencia Española de Protección de Datos tuviese la condición de autoridad de control principal para la tramitación de un procedimiento conforme a lo dispuesto en los artículos 56 y 60 del Reglamento (UE) 2016/679. Será en este caso de aplicación lo dispuesto en el apartado 1 y en los párrafos primero, tercero, cuarto y quinto del apartado 2. 4. Los plazos de tramitación establecidos en este artículo así como los de admisión a trámite regulados por el artículo 65.5 y de duración de las actuaciones previas de investigación previstos en el artículo 67.2, quedarán automáticamente suspendidos cuando deba recabarse información, consulta, solicitud de asistencia o pronunciamiento preceptivo de un órgano u organismo de la Unión Europea o de una o varias autoridades de control de los Estados miembros conforme con lo establecido en el Reglamento (UE) 2016/679, por el tiempo que medie entre la solicitud y la notificación del pronunciamiento a la Agencia Española de Protección de Datos”. C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 6/7 A tenor de lo dispuesto en el artículo transcrito, el procedimiento sancionador ha de entenderse caducado si, transcurridos más de nueve meses contados desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio, no se ha procedido a dictar y notificar la resolución del procedimiento sancionador. En el presente caso, el proyecto de acuerdo de inicio se firmó el día 29 de enero de 2021. En virtud del apartado 4 del artículo 64 de la LOPDGDD, los plazos del procedimiento fueron suspendidos en cuatro ocasiones: - - - - Del 30 de enero de 2021 al 27 de febrero de 2021, período durante el cual se compartió en el Sistema IMI el proyecto de decisión de inicio de procedimiento sancionador, a fin de que las autoridades interesadas pudieran presentar sus objeciones pertinentes y motivadas. Del 4 al 18 de junio de 2021, período durante el cual se compartió en el Sistema IMI el proyecto revisado de decisión de inicio de procedimiento sancionador, a fin de que las autoridades interesadas pudieran presentar sus objeciones pertinentes y motivadas. Del 3 al 31 de diciembre de 2021, período durante el cual se compartió en el Sistema IMI el proyecto de decisión de resolución de procedimiento sancionador, a fin de que las autoridades interesadas pudieran presentar sus objeciones pertinentes y motivadas. Del 5 al 19 de enero de 2022, período durante el cual se compartió en el Sistema IMI el proyecto revisado de resolución de procedimiento sancionador, a fin de que las autoridades interesadas pudieran presentar sus objeciones pertinentes y motivadas. El plazo de los nueve meses de duración máxima del procedimiento sancionador finalizaba el día 21 de enero de 2022 y actualmente el procedimiento aún está pendiente de finalización, por lo que debe declararse su caducidad. III Prescripción de la infracción Por otra parte, el artículo 95.3 de la citada LPACAP, determina que: “La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción. En los casos en los que sea posible la iniciación de un nuevo procedimiento por no haberse producido la prescripción, podrán incorporarse a éste los actos y trámites cuyo contenido se hubiera mantenido igual de no haberse producido la caducidad. En todo caso, en el nuevo procedimiento deberán cumplimentarse los trámites de alegaciones, proposición de prueba y audiencia al interesado.” C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es 7/7 Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: DECLARAR la CADUCIDAD del presente procedimiento sancionador, con el número PS/00020/2021. SEGUNDO: NOTIFICAR la presente Resolución a GLOVOAPP23, S.L. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1115-260122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeagpd.gob.es