PS-00108-2023

(4974051)has been updated. To add additional comments, reply to this email. --------------------------------Buongiorno, abbiamo provveduto a cancellare i tuoi dati dal database delle newsletter come richiesto. Cordiali saluti,” [Traducción no oficial: “Tu solicitud

(4974051)se ha actualizado. Para añadir comentarios adicionales, responde a este correo electrónico. -------------------------------Buenos días, Hemos procedido a cancelar tus datos de la base de datos de la newsletter como ha solicitado. Cordiales saludos,”] Este correo electrónico aparece como respuesta a otro correo electrónico enviado por la parte reclamante de fecha de 24 de diciembre de 2020 con el siguiente contenido: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/21 “Salve, continuo a cancellarmi dalla mailing list attraverso l email che ricevo ma continuo invece a ricevere la vostra newsletter. Per favore cancellatemi dalla vostra mailing list. Inoltre l 8 dicembre vi ho mandato un email per richiedere due servizi relativi ai miei dati a GDPR. Section 2, Article 15: Request a full Access of my information that you have stored on your systems Section 3, Article 18 : I want to Opt Out from any data processing that you may do with my personal information. Attendo vostri aggiornamenti” [Traducción no oficial: “Hola, Sigo dándole a cancelar la suscripción de la lista de correo a través del correo electrónico que recibo, pero sigo recibiendo su newsletter. Por favor, quítenme de la lista de correo. Además, el 8 de diciembre les envié un correo electrónico para solicitar dos servicios relacionados con mis datos según el RGPD. Sección 2, artículo 15: Solicitar un acceso completo a mi información que ha almacenado en sus sistemas Sección 3, artículo 18: Quiero ser excluido de cualquier tratamiento de datos que pueda hacer con mi información personal. Espero sus actualizaciones”]. - Impresión de correo electrónico de fecha 18 de enero de 2022 enviado por la parte reclamante a support@floraqueen98.zendesk.com con el siguiente contenido: “Hello Floraqueen Customer service team, I'm reaching out in follow up of my request from the 8th of December 2020 where I requested under the GDPR : Section 2, Article 15: Request a full Access of my information that you have stored on your systems and Section 3, Article 18 : I want to Opt Out from any data processing that you may do with my personal information. I require a reply and confirmation that my Access Request and Opt out is being processed”. [Traducción no oficial: “Hola, Servicio de atención al cliente de Floraqueen Me pongo en contacto para dar seguimiento a mi solicitud de 8 de diciembre de 2020 en la que solicito, en virtud del RGPD: Artículo 15, Sección 2: Solicitud de acceso total a mi información que tienen almacenado en sus sistemas y Artículo 18, Sección 3: Quiero ser excluido de cualquier tratamiento de datos que puedan realizar con información personal. Solicito una respuesta y confirmación de que mi Solicitud de Acceso y de Supresión está siendo tramitada”. - Impresión de correo electrónico de fecha 19 de enero de 2022 enviado por support@floraqueen98.zendesk.com al email de la parte reclamante con el siguiente contenido: “Good morning, A.A.A. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/21 We confirm that we have already canceled your account. Within two to three business days your username will be deleted from our database. If you wish to register again, you already know where to find us :) Best regards, The FloraQueen team” [Traducción no oficial: “Buenos días, A.A.A. Confirmamos que ya hemos cancelado su cuenta. Dentro de dos a tres días hábiles su nombre de usuario será eliminado de nuestra base de datos. Si desea volver a registrarse, ya sabe dónde encontrarnos :) Saludos, El equipo de FloraQueen”]. - Impresión de correo electrónico enviado el 19 de enero de 2022 desde el email de la parte reclamante en respuesta al anterior email con el siguiente contenido: “Thanks for getting back to me however I did not request the deletion of my account but Full access of the my data that you have stored in your systems and full opt out for data processing. Please let me know if you can provide the above. Best regards” [Traducción no oficial: “Gracias por responderme, sin embargo, no solicité la eliminación de mi cuenta sino acceso completo a mis datos que se han almacenado en sus sistemas y la exclusión completa del tratamiento de mis datos. Por favor, díganme si pueden realizar esto. Saludos”]. SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 1 de febrero de 2022 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) el día 4 de febrero de

1. El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que FLORAQUEEN tiene su sede social y establecimiento único o principal en España. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada”, además de la autoridad de protección de datos de Irlanda, las autoridades de Austria, Polonia, Noruega, Dinamarca, Estonia, Hungría, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/21 Italia, Francia, Finlandia y la autoridad alemana de Berlín, todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en dichos Estados miembro resultan afectados o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. También se declaró autoridad de control interesada la de Suecia. TERCERO: Con fecha 9 de mayo de 2022, de conformidad con el entonces vigente artículo 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Desde la AEPD, se ha requerido información sobre este caso a FLORAQUEEN en dos ocasiones, con fechas de registro de salida de la AEPD los días 21 de septiembre de 2022 y 14 de noviembre de 2022, obteniendo el siguiente resultado:
2. En ambas ocasiones, el servicio de Dirección Electrónica Habilitada Única (DEHÚ) ha certificado el acceso al requerimiento de información por parte del representante de FLORAQUEEN B.B.B..
3. El representante de FLORAQUEEN accedió a estos requerimientos de información el 22 de septiembre de 2022 y el 15 de noviembre de 2022, respectivamente. No obstante, no consta en esta Agencia respuesta alguna por parte de FLORAQUEEN a estos requerimientos de información. El día 1 de marzo de 2023, se realiza una navegación por el sitio web https://www.floraqueen.com obteniendo los siguientes resultados:
4. Tras revisar las páginas web de aviso legal y privacidad (https://www.floraqueen.com/privacy) y del servicio de atención al cliente (https://www.floraqueen.com/support), no se ha podido hallar indicaciones sobre cómo ejercer los derechos de protección de datos.
5. Los únicos datos de contacto que se han hallado son el formulario de contacto de la sección “Customer Service” [traducción no oficial: “Servicio de Atención al Cliente”], y la dirección postal de la empresa, que aparece dentro de la sección “Privacy and Legal” [traducción no oficial: “Aviso Legal y Privacidad”] dentro del epígrafe “Company Information” [traducción no oficial: “Información de la Compañía”] con el siguiente texto: “FloraQueen Flowering the World S.L. (FloraQueen) is an organisation registered in the Registro Mercantil de Barcelona, volume 36,886, page 206, sheet B C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/21 29047, with the address of Calle Frederic Mompou, 3, 08960, Sant Just Desvern (Barcelona) and tax identification code B-
6. Info (AT) floraqueen.com We would like to remind you that these are the general terms and conditions relating to our websites, and their services, features, contents and applications.” [traducción no oficial: “FloraQueen Flowering the World S.L. (FloraQueen) es una organización registrada en el Registro Mercantil de Barcelona, volumen 36,886, página 206, hoja B 29047, con domicilio en Calle Frederic Mompou, 3, 08960, Sant Just Desvern (Barcelona) y número de identificación fiscal B
7. Info (EN) floraqueen.com Nos gustaría recordarle que estos son los términos y condiciones generales sobre nuestros sitios web y sus servicios, herramientas, contenidos y aplicaciones.”]. El día 2 de marzo de 2023 se realiza consulta en el servicio Monitoriza de Axesor (https://monitoriza.axesor.es/), en el que figura que la sociedad FLORAQUEEN FLOWERING THE WORLD SL es una empresa de tipo “(...)” con ***CANTIDAD.1 empleados y un volumen de ventas de ***CANTIDAD.2 euros. QUINTO: Con fecha 12 de diciembre de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a FLORAQUEEN, por la presunta infracción del Artículo 15 del RGPD, Artículo 17 del RGPD y Artículo 13 del RGPD, tipificadas todas en el Artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por parte de FLORAQUEEN. El artículo 64.2.f) de la LPACAP -disposición de la que se informó a FLORAQUEEN en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que FLORAQUEEN no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.f) de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes: HECHOS PROBADOS PRIMERO: El 3 de diciembre de 2020 la parte reclamante envió un correo electrónico desde ***EMAIL.1 hacia info@floraqueen.com con el siguiente contenido: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/21 “Due to the unsatisfactory resolution of my request for reimbursement for the undelivered flowers, I would like to exercise my rights under the GDPR so I can pursue legal action toward you.
8. Section 2, Article 15: Request a full Access of my information that you have stored on your systems
9. Section 3, Article 18 : I want to Opt Out from any data processing that you may do with my personal information. Finally I keep clicking on unsubscribe from your email newsletter but I keep receiving your emails, please unsubscribe me immediately manually from your system as the function doesn't work” [Traducción no oficial: “Debido a la resolución insatisfactoria de mi solicitud de reembolso de las flores no entregadas, me gustaría ejercer mis derechos en virtud del RGPD para poder emprender acciones legales contra usted.
10. Sección 2, artículo 15: Solicitar un acceso completo a la información que ha almacenado en sus sistemas
11. Sección 3, artículo 18: Quiero ser excluido de cualquier tratamiento de datos que pueda hacer con mi información personal. Por último, sigo haciendo clic en la cancelación de la suscripción de su boletín de correo electrónico, pero sigo recibiendo sus correos electrónicos. Por favor, eliminen manualmente mi suscripción de su sistema inmediatamente, ya que esta funcionalidad no funciona”] SEGUNDO: El 8 de diciembre de 2020 la parte reclamante envió un correo electrónico a info@floraqueen.com con el siguiente contenido: “I'm still waiting for acknowledgment of my email and for my access request. I have now contacted the Data Protection Commission in Ireland so the Data Protection Commissioner will reach out to you directly Waiting for your reply” [Traducción no oficial: “Todavía estoy a la espera del acuse de recibo de mi correo electrónico y de mi solicitud de acceso. Ya me he puesto en contacto con la Comisión de Protección de Datos de Irlanda, por lo que la Comisión de Protección de Datos se pondrá en contacto con ustedes directamente A la espera de su respuesta”] TERCERO: El 24 de diciembre de 2020 la parte reclamante envió un correo electrónico a support@floraqueen98.zendesk.com, con el siguiente contenido: “Salve, continuo a cancellarmi dalla mailing list attraverso l email che ricevo ma continuo invece a ricevere la vostra newsletter. Per favore cancellatemi dalla vostra mailing list. Inoltre l 8 dicembre vi ho mandato un email per richiedere due servizi relativi ai miei dati a GDPR. Section 2, Article 15: Request a full Access of my information that you have stored on your systems C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/21 Section 3, Article 18 : I want to Opt Out from any data processing that you may do with my personal information. Attendo vostri aggiornamenti” [Traducción no oficial: “Hola, Sigo dándole a cancelar la suscripción de la lista de correo a través del correo electrónico que recibo, pero sigo recibiendo su newsletter. Por favor, quítenme de la lista de correo. Además, el 8 de diciembre les envié un correo electrónico para solicitar dos servicios relacionados con mis datos según el RGPD. Sección 2, artículo 15: Solicitar un acceso completo a mi información que ha almacenado en sus sistemas Sección 3, artículo 18: Quiero ser excluido de cualquier tratamiento de datos que pueda hacer con mi información personal. Espero sus actualizaciones”]. CUARTO: El 30 de diciembre de 2020 la parte reclamante recibió un correo electrónico desde support@floraqueen98.zendesk.com con el siguiente contenido: “Your request

(4974051)has been updated. To add additional comments, reply to this email. --------------------------------Buongiorno, abbiamo provveduto a cancellare i tuoi dati dal database delle newsletter come richiesto. Cordiali saluti,” [Traducción no oficial: “Tu solicitud

(4974051)se ha actualizado. Para añadir comentarios adicionales, responde a este correo electrónico. -------------------------------Buenos días, Hemos procedido a cancelar tus datos de la base de datos de la newsletter como ha solicitado. Cordiales saludos,”] QUINTO: El 18 de enero de 2022 la parte reclamante envió un correo electrónico a support@floraqueen98.zendesk.com con el siguiente contenido: “Hello Floraqueen Customer service team, I'm reaching out in follow up of my request from the 8th of December 2020 where I requested under the GDPR : Section 2, Article 15: Request a full Access of my information that you have stored on your systems and Section 3, Article 18 : I want to Opt Out from any data processing that you may do with my personal information. I require a reply and confirmation that my Access Request and Opt out is being processed”. [Traducción no oficial: “Hola, Servicio de atención al cliente de Floraqueen C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/21 Me pongo en contacto para dar seguimiento a mi solicitud de 8 de diciembre de 2020 en la que solicito, en virtud del RGPD: Artículo 15, Sección 2: Solicitud de acceso total a mi información que tienen almacenado en sus sistemas y Artículo 18, Sección 3: Quiero ser excluido de cualquier tratamiento de datos que puedan realizar con información personal. Solicito una respuesta y confirmación de que mi Solicitud de Acceso y de Supresión está siendo tramitada”. SEXTO: El 19 de enero de 2022 la parte reclamante recibió un correo electrónico desde support@floraqueen98.zendesk.com con el siguiente contenido: “Good morning, A.A.A. We confirm that we have already canceled your account. Within two to three business days your username will be deleted from our database. If you wish to register again, you already know where to find us :) Best regards, The FloraQueen team” [Traducción no oficial: “Buenos días, A.A.A. Confirmamos que ya hemos cancelado su cuenta. Dentro de dos a tres días hábiles su nombre de usuario será eliminado de nuestra base de datos. Si desea volver a registrarse, ya sabe dónde encontrarnos :) Saludos, El equipo de FloraQueen”]. SÉPTIMO: El 19 de enero de 2022 la parte reclamante envió un correo electrónico en respuesta al anterior con el siguiente contenido: “Thanks for getting back to me however I did not request the deletion of my account but Full access of the my data that you have stored in your systems and full opt out for data processing. Please let me know if you can provide the above. Best regards” [Traducción no oficial: “Gracias por responderme, sin embargo, no solicité la eliminación de mi cuenta sino acceso completo a mis datos que se han almacenado en sus sistemas y la exclusión completa del tratamiento de mis datos. Por favor, díganme si pueden realizar esto. Saludos”]. OCTAVO: El 1 de marzo de 2023, en el sitio web https://www.floraqueen.com, al revisar las páginas web de aviso legal y privacidad (https://www.floraqueen.com/privacy) y del servicio de atención al cliente (https://www.floraqueen.com/support), se comprobó que no figuraban indicaciones para ejercicios de derechos en materia de protección de datos. Y los únicos datos de contacto que se han hallado son el formulario de contacto de la sección “Customer Service” [traducción no oficial: “Servicio de Atención al Cliente”], y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/21 la dirección postal de la empresa, que aparece dentro de la sección “Privacy and Legal” [traducción no oficial: “Aviso Legal y Privacidad”] dentro del epígrafe “Company Information” [traducción no oficial: “Información de la Compañía”] con el siguiente texto: “FloraQueen Flowering the World S.L. (FloraQueen) is an organisation registered in the Registro Mercantil de Barcelona, volume 36,886, page 206, sheet B 29047, with the address of Calle Frederic Mompou, 3, 08960, Sant Just Desvern (Barcelona) and tax identification code B-63609051. Info (AT) floraqueen.com We would like to remind you that these are the general terms and conditions relating to our websites, and their services, features, contents and applications.” [traducción no oficial: “FloraQueen Flowering the World S.L. (FloraQueen) es una organización registrada en el Registro Mercantil de Barcelona, volumen 36,886, página 206, hoja B 29047, con domicilio en Calle Frederic Mompou, 3, 08960, Sant Just Desvern (Barcelona) y número de identificación fiscal B63609051. Info (EN) floraqueen.com Nos gustaría recordarle que estos son los términos y condiciones generales sobre nuestros sitios web y sus servicios, herramientas, contenidos y aplicaciones.”]. NOVENO: A 2 de marzo de 2023, en el servicio Monitoriza de Axesor (https://monitoriza.axesor.es/), figura que la sociedad FLORAQUEEN FLOWERING THE WORLD SL tuvo un volumen de ventas de ***CANTIDAD.2 euros. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con lo dispuesto en los artículos 58.2 y 60 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 y 68.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/21 En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que FLORAQUEEN realiza la recogida de, entre otros, los siguientes datos personales de personas físicas: nombre y correo electrónico, entre otros tratamientos. FLORAQUEEN realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que FLORAQUEEN está establecida en España, si bien presta servicio a otros países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, FLORAQUEEN tiene su establecimiento único en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. Por su parte, el derecho de acceso del interesado a sus datos personales se regula en el artículo 15 del RGPD, mientras que el derecho de supresión de los datos personales se regula en el artículo 17 del RGPD. Asimismo, el artículo 13 del RGPD indica la información que deberá facilitarse cuando los datos personales se obtengan del interesado. III Derecho de acceso del interesado El Artículo 15 “Derecho de acceso del interesado” del RGPD establece: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:

1. a)los fines del tratamiento;
2. b)las categorías de datos personales de que se trate;
3. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
4. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
5. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
6. f)el derecho a presentar una reclamación ante una autoridad de control; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/21
7. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen;
8. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros.” En el presente caso, la parte reclamante solicitó el acceso a sus datos personales mediante correo electrónico a la dirección info@floraqueen.com el 3, 8 y 24 de diciembre de 2020. La parte reclamante reiteró la solicitud de acceso mediante correo electrónico a la dirección support@floraqueen98.zendesk.com el 18 y 19 de enero de 2022. Ninguna de estas solicitudes obtuvo debida respuesta por parte de FLORAQUEEN. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a FLORAQUEEN, por vulneración del artículo 15 del RGPD. IV Tipificación y calificación de la infracción del artículo 15 del RGPD La citada infracción del artículo 15 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
9. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/21 A efectos del plazo de prescripción, el artículo 72 “[Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
10. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. (…)” V Sanción por la infracción del artículo 15 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 15 del RGPD, permite fijar una sanción de 1500 € (mil quinientos euros). VI Imposición de medidas por la infracción del artículo 15 del RGPD Se considera que corresponde imponer al responsable que en el plazo de 30 días proceda a dar debido acceso a la parte reclamante a sus datos personales obrantes en los sistemas de FLORAQUEEN, de acuerdo con lo establecido en el citado artículo 58.2
11. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender a los requerimientos de este organismo podría ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. VII Derecho de supresión El Artículo 17 “Derecho de supresión («el derecho al olvido»)” del RGPD establece: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/21 obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
12. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
13. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
14. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
15. d)los datos personales hayan sido tratados ilícitamente;
16. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
17. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. (…) 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
18. a)para ejercer el derecho a la libertad de expresión e información;
19. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
20. c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
21. h)e i), y apartado 3;
22. d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
23. e)para la formulación, el ejercicio o la defensa de reclamaciones”. En el presente caso, la parte reclamante solicitó ser excluida de cualquier tratamiento de datos que pudiera hacer FLORAQUEEN con sus datos personales, mediante correo electrónico a la dirección info@floraqueen.com el 3, 8 y 24 de diciembre de 2020. El 30 de diciembre de 2020, la parte reclamante recibió un correo electrónico desde la dirección support@floraqueen98.zendesk.com, en el que se le informaba que se le cancelaba el envío de la newsletter, pero no se indicaba nada respecto a la solicitud de exclusión del tratamiento de sus datos personales. La parte reclamante reiteró la citada solicitud mediante correo electrónico a la dirección support@floraqueen98.zendesk.com el 18 de enero de 2022. El 19 de enero de 2022 la parte reclamante recibió un correo electrónico desde la dirección support@floraqueen98.zendesk.com, en el que se le informaba que su cuenta había sido cancelada, pero sin más indicaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/21 El 19 de enero de 2022 la parte reclamante envió un correo electrónico a support@floraqueen98.zendesk.com, en el que indicó que no había solicitado la cancelación de su cuenta, sino que había solicitado acceso completo a sus datos y ser excluido del tratamiento de los mismos. No se obtuvo respuesta alguna por parte de FLORAQUEEN. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a FLORAQUEEN, por vulneración del artículo 17 del RGPD. VIII Tipificación y calificación de la infracción del artículo 17 del RGPD La citada infracción del artículo 17 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (...)
24. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A efectos del plazo de prescripción, el artículo 72 “[Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
25. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. (…)” IX Sanción por la infracción del artículo 17 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 17 del RGPD, permite fijar una sanción de 1500 € (mil quinientos euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/21 X Imposición de medidas por la infracción del artículo 17 del RGPD Se considera que corresponde imponer al responsable que en el plazo de 30 días proceda a suprimir los datos personales de la parte reclamante a sus datos personales obrantes en los sistemas de FLORAQUEEN, de acuerdo con lo establecido en el citado artículo 58.2
26. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender a los requerimientos de este organismo podría ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. XI Información que debe facilitarse al interesado El Artículo 13 “Información que deberá facilitarse cuando los datos personales se obtengan del interesado” del RGPD establece: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
27. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
28. b)los datos de contacto del delegado de protección de datos, en su caso;
29. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
30. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
31. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
32. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
33. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/21
34. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
35. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
36. d)el derecho a presentar una reclamación ante una autoridad de control;
37. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
38. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. En el presente caso, el día 1 de marzo de 2023, se comprobó que en el sitio web https://www.floraqueen.com, tras revisar las páginas web de aviso legal y privacidad (https://www.floraqueen.com/privacy) y del servicio de atención al cliente (https://www.floraqueen.com/support), no se ha podido hallar indicaciones sobre cómo ejercer los derechos de protección de datos. Los únicos datos de contacto que se han hallado son el formulario de contacto de la sección “Customer Service” [traducción no oficial: “Servicio de Atención al Cliente”], y la dirección postal de la empresa, que aparece dentro de la sección “Privacy and Legal” [traducción no oficial: “Aviso Legal y Privacidad”] dentro del epígrafe “Company Information” [traducción no oficial: “Información de la Compañía”] con el siguiente texto: [traducción no oficial]: “FloraQueen Flowering the World S.L. (FloraQueen) es una organización registrada en el Registro Mercantil de Barcelona, volumen 36,886, página 206, hoja B 29047, con domicilio en Calle Frederic Mompou, 3, 08960, Sant Just Desvern (Barcelona) y número de identificación fiscal B-63609051. Info (EN) floraqueen.com Nos gustaría recordarle que estos son los términos y condiciones generales sobre nuestros sitios web y sus servicios, herramientas, contenidos y aplicaciones.” Es decir, no se facilitan los datos de contacto del responsable y, en su caso, de su representante (art. 13.1.
39. a)del RGPD) y no se informa de la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, y a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/21 oponerse al tratamiento, así como el derecho a la portabilidad de los datos (art. 13.2.
40. c)del RGPD). Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a FLORAQUEEN, por vulneración del artículo 13 del RGPD. XII Tipificación y calificación de la infracción del artículo 13 del RGPD La citada infracción del artículo 13 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
41. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A efectos del plazo de prescripción, el artículo 74 “Infracciones consideradas leves” de la LOPDGDD indica: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes:
42. a)El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679. (…)” XIII Sanción por la infracción del artículo 13 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): por no facilitar a los interesados, en su sitio web en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/21 inglés: https://www.floraqueen.com/, toda la información exigida por el artículo 13 del RGPD, en especial, lo relativo a datos de contacto del responsable y ejercicio de derechos que les asisten a los interesados en virtud del RGPD, desde al menos diciembre de 2020 a la actualidad. - Toda infracción anterior cometida por el responsable o el encargado del tratamiento (apartado e): El 15 de noviembre de 2022 la Directora de la AEPD firmó resolución de procedimiento sancionador PS/00616/2021 en la que dirigió un apercibimiento a FLORAQUEEN por la infracción del artículo 12 del RGPD, al no haber atendido en plazo la solicitud de supresión de los datos personales de la parte reclamante. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 13 del RGPD, permite fijar una sanción de 5000 € (cinco mil euros). XIV Imposición de medidas por la infracción del artículo 13 del RGPD Se considera que corresponde imponer al responsable que en el plazo de 60 días proceda a actualizar la política de privacidad de FLORAQUEEN en su sitio en inglés https://www.floraqueen.com/, a fin de incluir la información requerida por el artículo 13 del RGPD, en especial lo relativo al ejercicio de derechos que le asisten al interesado, de acuerdo con lo establecido en el citado artículo 58.2
43. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Asimismo, estas medidas adoptadas en la presente resolución, en relación con la información que debe proporcionarse en su política de privacidad, son de aplicación en todos los países de la Unión Europea en los que opere FLORAQUEEN. Se advierte que no atender a los requerimientos de este organismo podría ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a FLORAQUEEN FLOWERING THE WORLD S.L., con NIF B63609051: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/21 - Por la infracción del artículo 15 del RGPD, tipificada en el artículo 83.5 de dicha norma, una multa administrativa de cuantía 1.500,00 euros - Por la infracción del artículo 17 del RGPD, tipificada en el artículo 83.5 de dicha norma, una multa administrativa de cuantía 1.500,00 euros - Por la infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 de dicha norma, una multa administrativa de cuantía 5.000,00 euros SEGUNDO: ORDENAR a FLORAQUEEN FLOWERING THE WORLD S.L., con NIF B63609051, que, en virtud del artículo 58.2.
44. d)del RGPD, acredite: - En el plazo de 30 días desde que la presente resolución sea firme y ejecutiva proceda a dar debido acceso a la parte reclamante a sus datos personales obrantes en los sistemas de FLORAQUEEN. En el plazo de 30 días desde que la presente resolución sea firme y ejecutiva proceda a suprimir los datos personales de la parte reclamante a sus datos personales obrantes en los sistemas de FLORAQUEEN. En el plazo de 60 días desde que la presente resolución sea firme y ejecutiva proceda a actualizar la política de privacidad de FLORAQUEEN en su sitio en inglés https://www.floraqueen.com/, a fin de incluir la información requerida por el artículo 13 del RGPD, en especial lo relativo al ejercicio de derechos que le asisten al interesado. TERCERO: NOTIFICAR la presente resolución a FLORAQUEEN FLOWERING THE WORLD S.L. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
45. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/21 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
46. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es