1/5 Expediente N.º: EXP202403439 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Como consecuencia de reclamación presentada ante la Agencia Española de Protección de Datos, apreciándose indicios de un posible incumplimiento de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos, se iniciaron actuaciones con número de expediente EXP
- SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD en lo sucesivo). En el marco de las actuaciones de investigación, se remitieron a OVH HISPANO, S.L.U., con NIF B83834747, dos requerimientos de información, relativos a la reclamación indicada en el apartado primero, para que, en el plazo de diez días hábiles, presentase ante esta Agencia la información y documentación que en ellos se señalaban. Dichos requerimientos fueron registrados de salida en fechas 24 de julio de 2023 y 29 de agosto de
- TERCERO: Los requerimientos de información se notificaron conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) a través de medios electrónicos. El primero de ellos fue recogido por OVH HISPANO, S.L.U. con fecha 25 de julio de 2023, mientras que el segundo, reiteración del primero, fue recogido con fecha 29 de agosto de 2023, como consta en los acuses de recibo que obran en el expediente. CUARTO: Respecto a la información requerida, OVH HISPANO, S.L.U. no remitió respuesta alguna a esta Agencia Española de Protección de Datos en los plazos otorgados para ello. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad OVH HISPANO, S.L.U. es una PYME constituida en el año 2003 y con un volumen de negocios de 30.077.990 euros en el año
- C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 SEXTO: Con fecha 9 de abril de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a OVH HISPANO, S.L.U., con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 58.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. SÉPTIMO: El citado acuerdo de inicio fue recogido por OVH HISPANO, S.L.U. con fecha 9 de abril de 2024, como consta en el acuse de recibo que obra en el expediente. OCTAVO: Con fecha 19 de abril de 2024 se presenta escrito, registrado de entrada con número REGAGE24e00028841391, en el que OVH HISPANO, S.L.U. solicita la ampliación del plazo inicialmente concedido para la formulación de alegaciones. Esta Agencia acordó ampliar el plazo para formular alegaciones hasta un máximo de cinco días, computados a partir del día siguiente a aquel en el que finalizara el primer plazo de alegaciones. NOVENO: Con fecha 23 de abril de 2024 y número de registro de entrada REGAGE24e00029756714, OVH HISPANO, S.L.U. presenta alegaciones al acuerdo de inicio del presente procedimiento sancionador en las que manifiesta que “la Comisión Nacional de Informática y de las Libertades (CNIL) se puso en contacto con la empresa matriz con el objeto de requerirle la misma información que le estaba siendo solicitada por la AEPD a la filial española. Según figura en la cadena de emails que intercambió la matriz de OVH con la CNIL, la cual se adjunta como Anexo I al presente documento, la autoridad de control francesa le comunica que su homóloga española se había puesto en contacto con ella porque no consigue identificar al editor del sitio web aficionis.com, dominio que fue adquirido a OVH, solicitándole expresamente que se le facilite a la CNIL los datos de contacto del propietario de dicho dominio para poder ayudar a la AEPD (…). Como consecuencia de dicha petición, la matriz de OVH responde a la CNIL facilitándole la información requerida (…). Del intercambio de estos correos electrónicos, queda acreditado que la compañía OVH contestó a la CNIL facilitándole la información solicitada por la AEPD en las actuaciones con número de expediente EXP202308425, poniéndose a disposición de ambos organismos. Se desprende de forma irrebatible, por tanto, que la compañía OVH respondió al requerimiento de la AEPD a través de la solicitud de información de la CNIL a su empresa matriz, estando la AEPD en contacto con este organismo en lo relativo al expediente referenciado y que, además, estaba al tanto de nuestra colaboración con la autoridad francesa, tal y como se desprende de los siguientes emails intercambiados entre la matriz de OVH y la CNIL y que se incorporan en el Anexo I: “[…] Como parte de nuestra certificación ISO27701 y de los acuerdos de tratamiento de datos con nuestros clientes, nos comprometemos a informarles previamente de cualquier solicitud de acceso a sus datos personales por parte de una Autoridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 ¿Sabe si la AEPD nos autoriza a hacerlo en este caso?” (Correo remitido por OVH a la CNIL). (…) (Segunda respuesta emitida por la CNIL) (…) Buenos días, señora Hemos tenido noticias de nuestros homólogos españoles y han acordado que debe informar a su cliente con antelación”. En conclusión, OVH contestó de buena fe facilitando la información solicitada, sin poder ser culpable de “obstaculizar” las facultades investigadoras de la AEPD en el ámbito de sus potestades sancionadoras, ya que esta conocía, o debía conocer, la información que la matriz entregó a la CNIL en virtud del deber de cooperación entre las autoridades de control.” De manera subsidiaria a lo anterior, OVH HISPANO, S.L.U., en relación a los artículos 70 y 72.1 de la LOPDGDD y 58.1 del RGPD, manifiesta que “se entiende que OVH no puede ser considerado como sujeto pasivo al no configurarse como ninguna de las figuras sujetas al régimen sancionador referido en el marco de las actuaciones practicadas por la Subdirección General de Inspección iniciadas contra un tercero no identificado, que es realmente el responsable del tratamiento en el marco del expediente número EXP
- Es evidente que, en este caso, el deber de colaboración no estaba relacionado con el tratamiento de datos de los que mi representado es responsable o encargado, sino, con un deber genérico de colaboración con las autoridades públicas que puede tener como cualquier otro particular, en virtud del artículo 18 de la ley 39/2015, y que, como se ha indicado previamente, se cumplió de buena fe a través de la CNIL.” Por todo lo expuesto, OVH HISPANO, S.L.U. pide que se declare “el ARCHIVO DEL PROCEDIMIENTO con respecto a OVH HISPANO, S.L.U. por haber respondido la compañía a los requerimientos de información de conformidad con la normativa de protección de datos y, de forma subsidiaria, por no ser OVH sujeto susceptible de ser sancionado de conformidad con la normativa de protección de datos.” DÉCIMO: Con fecha 22 de octubre de 2024, se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se acordara el archivo del expediente EXP202403439 contra OVH HISPANO, S.L.U. Asimismo, se puso de manifiesto el procedimiento a fin de que en el plazo de diez días OVH HISPANO, S.L.U. pudiera alegar cuanto considerara en su defensa y presentar los documentos e informaciones que considerara pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. UNDÉCIMO: La propuesta de resolución se notificó conforme a las normas establecidas en la LPACAP mediante notificación electrónica, siendo recogida por OVH HISPANO, S.L.U. con fecha 22 de octubre de 2024, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 Transcurrido el plazo de diez días hábiles otorgado en la propuesta de resolución para la presentación de alegaciones, OVH HISPANO, S.L.U. no ha presentado alegaciones. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Los requerimientos de información indicados en los antecedentes segundo y tercero fueron notificados con arreglo a lo dispuesto en la LPACAP. SEGUNDO: OVH HISPANO, S.L.U. no respondió a esta Agencia los requerimientos de información efectuados por ella en el marco de las actuaciones de investigación en el expediente EXP202308425 en los plazos otorgados para ello. TERCERO: De los documentos aportados por OVH HISPANO, S.L.U. en sus alegaciones al acuerdo de inicio del presente procedimiento, se constata que esta entidad respondió a la solicitud de información de la autoridad de protección de datos de Francia (CNIL) con fecha 13 de noviembre de 2023, con objeto de responder al requerimiento de esta Agencia. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Archivo El artículo 89 de la LPACAP dispone lo siguiente: “
- El órgano instructor resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, cuando en la instrucción procedimiento se ponga de manifiesto que concurre alguna de las siguientes circunstancias: a) La inexistencia de los hechos que pudieran constituir la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 b) Cuando los hechos no resulten acreditados. c) Cuando los hechos probados no constituyan, de modo manifiesto, infracción administrativa. d) Cuando no exista o no se haya podido identificar a la persona o personas responsables o bien aparezcan exentos de responsabilidad. e) Cuando se concluyera, en cualquier momento, que ha prescrito la infracción.
- En el caso de procedimientos de carácter sancionador, una vez concluida la instrucción del procedimiento, el órgano instructor formulará una propuesta de resolución que deberá ser notificada a los interesados. La propuesta de resolución deberá indicar la puesta de manifiesto del procedimiento y el plazo para formular alegaciones y presentar los documentos e informaciones que se estimen pertinentes.” En el presente caso, a tenor de los hechos expuestos, se considera que OVH HISPANO, S.L.U., aunque de forma extemporánea, ha respondido a los requerimientos efectuados por esta Agencia antes de que se hubiera dictado el acuerdo de inicio del presente procedimiento sancionador, por lo que se deduce la inexistencia del hecho que suponía la infracción. En consecuencia, procede acordar el archivo del procedimiento. Por lo tanto, de acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador del expediente número EXP
- SEGUNDO: NOTIFICAR la presente resolución a OVH HISPANO, S.L.U., con NIF B
- De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es