← España

PS-00154-2024

1/22  Expediente Nº: EXP202311182 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 17 de octubre de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a OK MOBILITY ESPAÑA, S.L. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202311182 IMI Reference: A56ID 546007 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 30 de mayo de 2023 interpuso reclamación ante la autoridad alemana de protección de datos de BadenWurttemberg. La reclamación se dirige contra OK MOBILITY ESPAÑA, S.L. con NIF B57334609 (en adelante, OK MOBILITY). Los motivos en que basa la reclamación son los siguientes: En marzo alquiló un coche a esa empresa. La parte reclamante solicitó el acceso a sus datos personales y pidió confirmación de que la empresa había recibido la solicitud, pero no obtuvo respuesta. Junto a la reclamación se aporta: - Impresión de un correo electrónico enviado el 18 de mayo de 2023 a las 12:59 hs, desde el correo electrónico de la parte reclamante a rgpd@okgroup.es, con el asunto “Privacidad de protección de datos y mis datos personales” (traducción no oficial, en alemán el original), con el siguiente contenido: “Estimado Señor o Señora, Quisiera información mis datos sobre mi persona que la empresa OK Mobility Group ha almacenado. Mi nombre y mi dirección: A.A.A. […] Envíeme esos datos por correo postal dentro de los próximos 14 días. Por favor, confírmeme por adelantado por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/22 correo electrónico que ha recibido, leído y entendido esta solicitud de acceso hoy 18/05/2023. Saludos cordiales, A.A.A.”. SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 8 de agosto de 2023 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) 10 de agosto de 2023. El traslado de esta reclamación a la AEPD se realizó de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que OK MOBILITY tiene su establecimiento principal en España. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada”, además de la autoridad alemana de protección de datos de Baden-Wurttemberg, las autoridades de Francia, Italia y la autoridad alemana de Berlín. Todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en el territorio de estas autoridades de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. TERCERO: Con fecha 26 de septiembre de 2023, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1. Durante las presentes actuaciones se han investigado las siguientes entidades: OK MOBILITY ESPAÑA SLU con NIF B57334609 y domicilio en AVENIDA ASIMA, 36 POLIGONO SON CASTELLO., PALMA DE MALLORCA (BALEARES), 07009 BALEARES, PALMA DE MALLORCA, es con quien la parte reclamante firmó el contrato de alquiler, es filial del grupo OTHMAN KTIRI GROUP SL. OTHMAN KTIRI RENT A CAR SOCIEDAD LIMITADA, con NIF: B57334757, Domicilio Social: AV/ VIA ASIMA, 36 - EDIF. OK GROUP - POLIGONO GRAN. PALMA DE C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/22 MALLORCA 07009 (BALEARES), aparece como responsable de tratamiento en la política de privacidad vigente cuando la parte reclamante solicitó el derecho de acceso. Consta Inactiva por Extinción desde el 18 enero de 2023 en el registro Mercantil. OTHMAN KTIRI GROUP SL, con NIF: B57653321, domicilio en COSTA CAN SANTACILIA, 9 2 ª., PALMA DE MALLORCA (BALEARES), 07001. Es la matriz del grupo empresarial y la responsable de tratamiento según se desprende de la respuesta del DPD. 2. El 30 octubre de 2023 se envía requerimiento a OK MOBILITY y a su Delegado de Protección de Datos para que aporte información sobre su política de privacidad, condiciones de uso y actuaciones respecto a la solicitud de la parte reclamante. 3. La política de protección de datos, obtenida de la web: https://okmobility.com/ el 31 de octubre de 2023 diligenciada en esa misma fecha, recoge: “1. ¿QUIÉN ES EL RESPONSABLE DEL TRATAMIENTO DE SUS DATOS? El responsable será la sociedad OK Mobility España S.L.U - NIF: B57334757 Dir. postal: AVDA GRAN VÍA ASIMA, 36-A, Palma de Mallorca, Islas Baleares, España, Correo elect: rgpd@okmobility.com”. Consultada ese mismo día la web: https://monitoriza.axesor.es/, ese NIF: B57334757 corresponde a OTHMAN KTIRI RENT A CAR SOCIEDAD LIMITADA, que consta Inactiva por Extinción desde el 18 enero de 2023 en el BOLETÍN OFICIAL DEL REGISTRO MERCANTIL de 27/1/2023 Número Boletín: 19 Referencia: 45683 Páginas: 4748, 4749. Consultada el 29 de noviembre de 2023 la web https://monitoriza.axesor.es/, empresa OK Mobility España S.L.U consta con el NIF B57334609. la Se constata por tanto una discrepancia entre el nombre del responsable y su CIF publicados en la política de protección de datos de https://okmobility.com/. Además, en su apartado 5 se recoge lo siguiente: “5. ¿POR CUÁNTO TIEMPO CONSERVAREMOS SUS DATOS? Los datos personales serán conservados mientras se mantenga la relación contractual con el cliente y con posterioridad a la misma, hasta que usted decida comunicarnos su supresión o hasta que legalmente sea necesario, si hubiese prestado su consentimiento. Finalizada la relación contractual y si usted decide comunicarnos su supresión, los datos serán suprimidos conforme a lo dispuesto en la normativa de protección de datos lo que implica su bloqueo, estando disponibles tan solo a solicitud de Jueces y Tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes durante el plazo de prescripción de las acciones que pudieran derivar. En cualquier caso, si al finalizar la relación contractual existieran litigios pendientes derivados del ejercicio de acciones de impugnación de la factura o tendentes a lograr el cobro de las mismas, los datos podrán conservarse C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/22 durante la tramitación de los mismos, en tanto no recaiga resolución definitiva – fecha en la que se procederá a su bloqueo y posterior borrado-, si bien sólo podrán utilizarse a fines probatorios.” 4. La dirección de correo electrónico a la que solicita acceso la parte reclamante es rgpd@okgroup.es, distinta de la que consta el 31 de octubre de 2023 en la política de privacidad (https://okmobility.com/es/rent/privacy) y en las condiciones generales (https://okmobility.com/es/rent/general-conditions) que es rgpd@okmobility.com. Sin embargo, el 30 de noviembre de 2023 se consulta la web: http://web.archive.org/web/20230529051159/https://okmobility.com/es/politicaprivacidad, y se comprueba que en su política de privacidad desde el 5 de abril al 29 de mayo de 2023, la dirección de correo para ejercer el derecho de acceso el 18 de mayo del mismo año era: rgpd@okgroup.es, que es la que utilizó la parte reclamante. 5. El 20 de noviembre de 2023 se recibe respuesta al requerimiento de información enviado por esta Agencia a OK MOBILITY ESPAÑA SL (NIF B-57334609), por parte de B.B.B., actuando en nombre y representación de la mercantil OTHMAN KTIRI GROUP, S.L., con NIF B-57653321, en calidad de Delegado de Protección de Datos, en la que indica: “1. Adjuntamos como Documento nº1, Copia de la política de privacidad (Privacy Policy) y condiciones de uso (Terms of Use) en la fecha en que el reclamante solicitó el ejercicio de derecho. 2. Adjuntamos como Documento nº2, Copia del Contrato o licencia de usuario que el reclamante tuvo que aceptar para darse de alta en su servicio.” También alega: “El derecho no fue atendido en tiempo y forma debido a que este fue solicitado en Alemán y la representación del solicitante no estuvo debidamente acreditada, motivo éste por el que no se tramitó debidamente y no se atendió el referido derecho. A la vista de lo acaecido, se ha adoptado por la compañía un procedimiento de comunicación de ejercicio de derechos en países miembros, con la traducción de los mismos, para poder verificar que se atiendan correctamente”. El contrato con la parte reclamante, adjunto a la respuesta, está redactado en alemán. 6. El CIF B57653321 al que representa el DPD B.B.B., el 29 de noviembre de 2023 se constata que pertenece OTHMAN KTIRI GROUP SL, matriz del grupo en la que se engloba OK MOBILITY. 7. El 29 de noviembre de 2023 se constata que la política de privacidad en el momento del contrato firmado por la parte reclamante estaba disponible en alemán en la web de OK MOBILITY. 8. El 21 de diciembre de 2023, según consta en la diligencia de fecha 18 de abril de 2024, la autoridad alemana de protección de datos de Baden-Wurttemberg, envió los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/22 documentos que la AEPD solicitó el 31 de octubre de 2023: contrato redactado en alemán e inglés y condiciones generales, redactadas en alemán y firmados ambos documentos, por la parte reclamante, así como la traducción no oficial al inglés, de las partes más relevantes de las condiciones generales. Se constata que la parte reclamante firmó un contrato con OK MOBILITY ESPAÑA SLU, CIF B57334609, domicilio en Gran Vía Asima, 36 07009 Palma de MallorcaEspaña, para alquilar un coche desde el 15/03/2023 al 24/03/2023. En las citadas condiciones generales en alemán, se menciona como correo electrónico para el ejercicio de los derechos relativos a los datos personales: rgpd@okmobility.es. 9. De acuerdo con el informe recogido de la herramienta AXESOR en fecha 29 de noviembre de 2023, la entidad OK MOBILITY ESPAÑA SLU, con NIF B57334609, es una empresa filial de grupo constituida en el año 2005, y con un volumen de negocios de 271.628.899 euros en el año 2022 y 248 empleados. 10. La política de protección de datos, obtenida de la web: https://okmobility.com/ el 18 de abril de 2024 diligenciada en esa misma fecha, recoge, entre otra información, lo siguiente: “INTRODUCCIÓN Le presentamos el AVISO DE PRIVACIDAD de las compañías pertenecientes a OK MOBILITY GROUP. Si quiere información más detallada de las referidas entidades puede clickar en el siguiente enlace Responsables del tratamiento y datos de contacto por país donde le facilitaremos una lista completa de estas compañías y de sus datos de contacto. Es importante que lea detenidamente este aviso de privacidad y así poder entender y conocer qué hacemos en nuestra compañía con sus datos personales. Debe tener en cuenta que, los servicios que prestamos nos pueden obligar a compartir información con nuestros franquiciados y/o licenciatarios independientes. Este Aviso de Privacidad no se aplica a aquellas oficinas OK MOBILITY GROUP propiedad de y/o explotadas por un franquiciado y/o licenciatario independiente que no sean propiedad de ni que estén controladas por OK MOBILITY GROUP o por una afiliada o filial de ésta. Si quiere conocer cuáles son en la actualidad los establecimientos independientes a los que estamos haciendo alusión haga clic aquí. De todas formas y, en el caso de que tenga más preguntas o dudas relativas a la utilización de su información personal por parte de nuestros franquiciados y licenciatarios independientes le rogamos se ponga en contacto con nosotros escribiendo un correo electrónico a juridico@okmobility.com. OK MOBILITY GROUP podrá modificar a lo largo del tiempo partes de este Aviso de Privacidad, por lo que le rogamos verifique su contenido periódicamente. En el caso de que realicemos una modificación que afecte de manera significativa a sus derechos o, en la medida en la que estemos autorizados hacerlo, realicemos cambios significativos sobre cómo utilizamos su información personal, se lo notificaremos publicándolo de manera destacada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/22 en nuestros sitios web, por correo electrónico y/o correo postal antes de que el cambio surta efectos.” “SUS DERECHOS DE PRIVACIDAD (…) En el caso de que quiera ejercer cualquiera de estos derechos o en el caso de que tuviera cualquier duda sobre cómo tratamos su información personal, póngase en contacto con nuestro Delegado de Protección de Datos en la dirección que aparece dentro de la sección Responsables del tratamiento y datos de contacto por país. También será libre de presentar una reclamación ante la autoridad de control en el caso de que entienda que tratamos su información personal de forma contraria a lo establecido en la ley aplicable.” Al respecto, se comprueba que en esta política de privacidad no funciona al enlace a los “Responsables del tratamiento y datos de contacto por país” a que se hace referencia en el primer apartado ni existen enlaces a ningún otro documento ni página web. En cuanto al plazo de conservación de los datos personales, se recoge: “Periodo de conservación de los datos Los datos personales serán conservados mientras se mantenga la relación contractual con el cliente y con posterioridad a la misma, hasta que usted decida comunicarnos su supresión o hasta que legalmente sea necesario, si hubiese prestado su consentimiento. Finalizada la relación contractual y si usted decide comunicarnos su supresión, los datos serán suprimidos conforme a lo dispuesto en la normativa de protección de datos lo que implica su bloqueo, estando disponibles tan solo a solicitud de Jueces y Tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes durante el plazo de prescripción de las acciones que pudieran derivar. En cualquier caso, si al finalizar la relación contractual existieran litigios pendientes derivados del ejercicio de acciones de impugnación de la factura o tendentes a lograr el cobro de las mismas, los datos podrán conservarse durante la tramitación de los mismos, en tanto no recaiga resolución definitiva -fecha en la que se procederá a su bloqueo y posterior borrado-, si bien sólo podrán utilizarse a fines probatorios.” Y en cuanto al modo de ejercitar los derechos de protección de datos: “Protección de datos y tus derechos (…) Puede ejercitar sus derechos mediante correo postal a la dirección: OTHMAN KTIRI GROUP SL, con dirección social: AVDA GRAN VÍA ASIMA, 36-A, 07009 Palma de Mallorca, España, al correo electrónico: rgpd@okmobility.com indicando el derecho a ejercitar y acompañando la documentación requerida. En la página web de la AEPD puede encontrar una serie de modelos que le ayudarán en el ejercicio de sus derechos. Para consultar toda la información en materia de Protección de Datos relativa a OK MOBILITY y las empresas que componen esta sociedad puede dirigirse a: PROTECCIÓN DE DATOS” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/22 Al respecto, se comprueba que en esta política de privacidad no existen enlaces a ningún otro documento o página web. 11. Las condiciones generales de contratación de OK MOBILITY, obtenidas de la web: https://okmobility.com/es/rent/general-conditions#general / el 31 de octubre de 2023 y diligenciada el 18 de abril de 2024, recogen, entre otra información, lo siguiente: “Los afectados podrán ejercer sus derechos de acceso, rectificación, limitación, supresión y oposición mediante escrito acompañado de una copia de su DNI y dirigido al domicilio ya indicado o al e-mail: rgpd@okmobility.com. La firma del Contrato por parte del Arrendatario se considerará como aceptación de las Condiciones Generales y Específicas especificadas en el contrato”. 12. El 14 de junio de 2024 se recibe respuesta al requerimiento de información enviado por esta Agencia a OK MOBILITY ESPAÑA SL (NIF B-57334609), en la que OK MOBILITY indica: “I. En virtud del Requerimiento arriba indicado, OK MOBILITY ha sido requerida a aportar la siguiente información: “Informe de cuál es el período efectivo de conservación de los datos personales de clientes y usuarios de la web y su acreditación”. II. La página web de OK MOBILITY dispone de campos en los que los usuarios pueden proporcionar sus datos personales si desean formalizar una reserva, recibir un presupuesto, formar parte de programa de fidelización Club OK o proporcionar su consentimiento para recibir comunicaciones comerciales. III. Los plazos de conservación de los datos personales de los usuarios y clientes web dependerán de la finalidad del tratamiento para la que fueron recogidos dichos datos, siendo el plazo máximo de conservación de los datos personales recogidos en la web de 5 años. Se acompaña como Anexo certificado acreditativo de los plazos de conservación emitido por el Delegado de Protección de Datos de la Sociedad.” En este documento Anexo, firmado el 12 de junio de 2024, se indica: “B.B.B., mayor de edad, titular del DNI nº ***NIF.1, actuando como Delegado de Protección de Datos de la mercantil OK MOBILITY ESPAÑA, S.L., y a requerimiento de la citada entidad CERTIFICA: I. La página web de OK MOBILITY dispone de diferentes campos en los que los usuarios pueden proporcionar sus datos personales para formalizar una reserva, recibir un presupuesto, formar parte del programa de fidelización Club OK o proporcionar su consentimiento para recibir comunicaciones comerciales. II. Los plazos de conservación de los datos personales de los usuarios y clientes web dependerán de la finalidad del tratamiento para la que fueron recogidos dichos datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/22 siendo el plazo máximo de conservación de los datos personales recogidos en la web de 5 años.” QUINTO: Con fecha 12 de septiembre de 2024, la Directora de la AEPD adoptó un proyecto de acuerdo de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 13 de septiembre de 2024 se transmitió a través del sistema IMI el citado proyecto y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación de las actuaciones quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64 de la LOPDGDD. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se consideró que todas las autoridades estaban de acuerdo con dicho proyecto de decisión y estaban vinculadas por éste, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo dispuesto en los artículos 58.2 y 60 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 y 68.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que OK MOBILITY realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellido, teléfono y domicilio, entre otros tratamientos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/22 OK MOBILITY realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Obligación incumplida. Plazo de conservación El artículo 5 “Principios relativos al tratamiento” establece: “1. Los datos personales serán: (…)

  1. e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»); (…)” En el presente caso, la política de protección de datos, obtenida de la web: https://okmobility.com/ el 31 de octubre de 2023 diligenciada en esa misma fecha, recogía, entre otra información: “5. ¿POR CUÁNTO TIEMPO CONSERVAREMOS SUS DATOS? Los datos personales serán conservados mientras se mantenga la relación contractual con el cliente y con posterioridad a la misma, hasta que usted decida comunicarnos su supresión o hasta que legalmente sea necesario, si hubiese prestado su consentimiento. Finalizada la relación contractual y si usted decide comunicarnos su supresión, los datos serán suprimidos conforme a lo dispuesto en la normativa de protección de datos lo que implica su bloqueo, estando disponibles tan solo a solicitud de Jueces y Tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes durante el plazo de prescripción de las acciones que pudieran derivar. En cualquier caso, si al finalizar la relación contractual existieran litigios pendientes derivados del ejercicio de acciones de impugnación de la factura o tendentes a lograr el cobro de las mismas, los datos podrán conservarse durante la tramitación de los mismos, en tanto no recaiga resolución definitiva – fecha en la que se procederá a su bloqueo y posterior borrado-, si bien sólo podrán utilizarse a fines probatorios.” Por su parte, la política de protección de datos, obtenida de la web: https://okmobility.com/ el 18 de abril de 2024 diligenciada en esa misma fecha, recogía, entre otra información, lo siguiente: “Periodo de conservación de los datos Los datos personales serán conservados mientras se mantenga la relación contractual con el cliente y con posterioridad a la misma, hasta que usted C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/22 decida comunicarnos su supresión o hasta que legalmente sea necesario, si hubiese prestado su consentimiento. Finalizada la relación contractual y si usted decide comunicarnos su supresión, los datos serán suprimidos conforme a lo dispuesto en la normativa de protección de datos lo que implica su bloqueo, estando disponibles tan solo a solicitud de Jueces y Tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes durante el plazo de prescripción de las acciones que pudieran derivar. En cualquier caso, si al finalizar la relación contractual existieran litigios pendientes derivados del ejercicio de acciones de impugnación de la factura o tendentes a lograr el cobro de las mismas, los datos podrán conservarse durante la tramitación de los mismos, en tanto no recaiga resolución definitiva -fecha en la que se procederá a su bloqueo y posterior borrado-, si bien sólo podrán utilizarse a fines probatorios.” El 14 de junio de 2024 se recibió respuesta al requerimiento de información enviado por esta Agencia a OK MOBILITY ESPAÑA SL (NIF B-57334609), en la que OK MOBILITY indicó: “I. En virtud del Requerimiento arriba indicado, OK MOBILITY ha sido requerida a aportar la siguiente información: “Informe de cuál es el período efectivo de conservación de los datos personales de clientes y usuarios de la web y su acreditación”. II. La página web de OK MOBILITY dispone de campos en los que los usuarios pueden proporcionar sus datos personales si desean formalizar una reserva, recibir un presupuesto, formar parte de programa de fidelización Club OK o proporcionar su consentimiento para recibir comunicaciones comerciales. III. Los plazos de conservación de los datos personales de los usuarios y clientes web dependerán de la finalidad del tratamiento para la que fueron recogidos dichos datos, siendo el plazo máximo de conservación de los datos personales recogidos en la web de 5 años. Se acompaña como Anexo certificado acreditativo de los plazos de conservación emitido por el Delegado de Protección de Datos de la Sociedad.” En este documento Anexo, firmado el 12 de junio de 2024, se indicaba: “B.B.B., mayor de edad, titular del DNI nº ***NIF.1, actuando como Delegado de Protección de Datos de la mercantil OK MOBILITY ESPAÑA, S.L., y a requerimiento de la citada entidad CERTIFICA: I. La página web de OK MOBILITY dispone de diferentes campos en los que los usuarios pueden proporcionar sus datos personales para formalizar una reserva, recibir un presupuesto, formar parte del programa de fidelización Club OK o proporcionar su consentimiento para recibir comunicaciones comerciales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/22 II. Los plazos de conservación de los datos personales de los usuarios y clientes web dependerán de la finalidad del tratamiento para la que fueron recogidos dichos datos, siendo el plazo máximo de conservación de los datos personales recogidos en la web de 5 años.” En el presente caso, OK MOBILITY afirma en su página web que los datos personales serán conservados mientras exista relación contractual y, con posterioridad a la misma, hasta que el interesado solicite la supresión de sus datos o sea legalmente necesario. Y que esta supresión implicará el bloqueo de los mismos. En respuesta a requerimiento de esta Agencia, OK MOBILITY no ha detallado el plazo de conservación de los datos personales en función de su finalidad, sino que se hace una referencia genérica a que el plazo máximo de conservación de los datos personales será de 5 años, pero sin más información al respecto. Por tanto, de conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a OK MOBILITY, por vulneración del artículo 5.1.
  2. e)del RGPD. IV Tipificación y calificación de la infracción del artículo 5 del RGPD Los hechos conocidos podrían ser constitutivos de una infracción, imputable a OK MOBILITY, tipificada en el 83.5 RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  3. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72 de la LOPDGDD, que califica de muy grave la siguiente conducta:
  4. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679; (…)” V Propuesta de sanción por la infracción del artículo 5 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/22 acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): por conservar los datos personales obtenidos a través de la página web por más tiempo que el estrictamente necesario para el cumplimiento de los fines perseguidos, hasta la actualidad. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): la actividad de OK MOBILITY, empresa dedicada al alquiler de coches, requiere un continuo tratamiento de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 50.000 € (CINCUENTA MIL EUROS). VI Obligación incumplida. Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD “Información que deberá facilitarse cuando los datos personales se obtengan del interesado” establece: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  5. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  6. b)los datos de contacto del delegado de protección de datos, en su caso;
  7. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  8. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  9. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  10. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/22 referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. (…)” En el presente caso, se ha constatado que el 31 de octubre de 2023 la política de privacidad de la página web https://okmobility.com, proporcionaba la siguiente información en su apartado 1 “¿QUIÉN ES EL RESPONSABLE DEL TRATAMIENTO DE SUS DATOS?”: “El responsable será la sociedad OK Mobility España S.L.U - NIF: B57334757 Dir. postal: AVDA GRAN VÍA ASIMA, 36-A, Palma de Mallorca, Islas Baleares, España, Correo elect: rgpd@okmobility.com” No obstante, la sociedad OK Mobility España SLU tiene el siguiente NIF: B57334609. Por su parte, el NIF que figuraba en la página web, B57334745, se ha comprobado que pertenecía a la empresa OTHMAN KTIRI RENT A CAR SL, empresa extinta. Por tanto, de conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a OK MOBILITY, por vulneración del artículo 13 del RGPD. VII Tipificación y calificación de la infracción del artículo 13 del RGPD Los hechos conocidos podrían ser constitutivos de una infracción, imputable a OK MOBILITY, tipificada en el artículo 83.5 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  11. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe al año, conforme al artículo 74 de la LOPDGDD, que califica de leve la siguiente conducta: “
  12. a)El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679. (…)” VIII Propuesta de sanción por la infracción del artículo 13 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/22 A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): por proporcionar en la política de privacidad publicada en la página web okmobility.com, un NIF que no se correspondía con el de OK MOBILITY ESPAÑA SL, sino el de una empresa extinta. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): la actividad de OK MOBILITY, empresa dedicada al alquiler de coches, requiere un continuo tratamiento de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 13 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 30.000 € (TREINTA MIL EUROS). IX Obligación incumplida. Derecho de acceso del interesado El artículo 15 “Derecho de acceso del interesado” establece: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
  13. a)los fines del tratamiento;
  14. b)las categorías de datos personales de que se trate;
  15. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros países u organizaciones internacionales;
  16. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
  17. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
  18. f)el derecho a presentar una reclamación ante una autoridad de control;
  19. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/22
  20. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros.” En el presente caso, la parte reclamante envió un correo electrónico el 18 de mayo de 2023 a la dirección rgpd@okgroup.es, que es la que figuraba en la política de privacidad de la página web https://okmobility.com/. Pero no obtuvo respuesta alguna. En respuesta a requerimiento de esta Agencia, el DPD de la empresa OTHMAN KTIRI GROUP SL ha afirmado que el derecho no fue atendido porque fue solicitado en alemán y “la representación del solicitante no estuvo debidamente acreditada”. El artículo 12 “Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado” del RGPD dispone que: “(…) 3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo. 4. Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. (…)” En el presente caso, el hecho de haberse presentado una solicitud en alemán no puede entenderse como un impedimento para el ejercicio de tal derecho, toda vez que el propio contrato ha sido firmado por la parte reclamante en alemán y a que la empresa presta sus servicios a interesados de tal país. En cuanto a la falta de representación aducida, si OK MOBILITY necesitaba acreditar la identidad de la parte reclamante, debió solicitarle tal información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/22 Y, en cualquier caso, debió informar al interesado sobre las razones de su no actuación y la posibilidad de presentar una reclamación ante la autoridad de control y ejercitar acciones judiciales. Por tanto, de conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a OK MOBILITY, por vulneración del artículo 15 del RGPD. X Tipificación y calificación de la infracción del artículo 15 del RGPD Los hechos conocidos podrían ser constitutivos de una infracción, imputable a OK MOBILITY, tipificada en el 83.5 RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  21. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72 de la LOPDGDD, que califica de muy grave la siguiente conducta: (…)
  22. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. (…)” XI Propuesta de sanción por la infracción del artículo 15 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a): por no haber atendido la solicitud de acceso a los datos personales de la parte reclamante de fecha 18 de mayo de 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/22 Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): la actividad de OK MOBILITY requiere un continuo tratamiento de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 15 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 20.000 € (VEINTE MIL EUROS). XII Adopción de medidas De confirmarse la infracción, de acuerdo con lo establecido en el citado artículo 58.2
  23. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”., en la resolución que se adopte, se podrá requerir a OK MOBILITY para que acredite ante esta Agencia la adopción de las siguientes medidas, sin perjuicio de otras que pudieran derivarse de la instrucción del procedimiento: - En el plazo de UN MES, que acredite que ha proporcionado debido acceso a los datos personales de la parte reclamante. En el plazo de TRES MESES, que acredite que ha ajustado los plazos de conservación de los datos personales obtenidos a través de su página web a lo dispuesto en el artículo 51.
  24. e)del RGPD. La imposición de estas medidas es compatible imponer una multa administrativa, según lo dispuesto en el artículo 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución que ponga fin al presente procedimiento podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/22 Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a OK MOBILITY ESPAÑA, S.L., con NIF B57334609, por la presunta infracción del Artículo 5.1.
  25. e)del RGPD, Artículo 13 del RGPD y Artículo 15 del RGPD, tipificadas todas en el artículo 83.5 del RGPD. SEGUNDO: NOMBRAR como instructora a C.C.C. y, como secretaria, a D.D.D., indicando que podrán ser recusadas, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador y la documentación procedente del IMI sobre el proyecto de decisión. CUARTO: QUE a los efectos previstos en el art. 64.2
  26. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería, sin perjuicio de lo que resulte de la instrucción: - Por la presunta infracción del Artículo 5.1.
  27. e)del RGPD, multa administrativa de 20.000,00 euros. - Por la presunta infracción del Artículo 13 del RGPD, multa administrativa de 30.000,00 euros. - Por la presunta infracción del Artículo 15 del RGPD, multa administrativa de 50.000,00 euros. La suma de dichas cantidades arroja un montante total de 100.000 euros. QUINTO: NOTIFICAR el presente acuerdo a OK MOBILITY ESPAÑA, S.L., con NIF B57334609, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 80.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/22 Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 80.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 60.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia expresos de cualquier acción o recurso en vía administrativa contra la sanción. A estos efectos, en caso de acogerse a alguna de ellas, deberá remitir a la Subdirección General de Inspección de datos comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción indicando a cuál de las dos reducciones se acoge o si es a las dos. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (80.000,00 euros o 60.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección junto con la comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción para continuar con el procedimiento en concordancia con la cantidad ingresada. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 1479-04102023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/22 >> SEGUNDO: En fecha 18 de noviembre de 2024, la parte reclamada ha procedido al pago de la sanción en la cuantía de 60000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio y su calificación jurídica. CUARTO: En el citado Acuerdo de inicio transcrito anteriormente, se señalaba que de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  28. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose recibido escrito mediante el que OK MOBILITY ESPAÑA, S.L. informa que ha adoptado las medidas necesarias para que no se vuelvan a producir los hechos determinantes de la infracción cometida, por parte de esta Agencia se acusa recibo del mismo, sin que esta declaración suponga ningún pronunciamiento sobre la regularidad o licitud de las medidas adoptadas. Se advierte sobre lo dispuesto en el artículo 5.2 del RGPD, que establece el principio de responsabilidad proactiva cuando señala que “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo”. Este principio hace referencia a la obligación que recae en el responsable del tratamiento no solo de diseñar, implementar y observar las medidas jurídicas, técnicas y organizativas adecuadas para que el tratamiento de datos sea acorde con la normativa, sino de permanecer activamente atento a lo largo de todo el ciclo de vida del tratamiento para que ese cumplimiento sea correcto, siendo además capaz de demostrarlo. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/22 Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202311182, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a OK MOBILITY ESPAÑA, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/22 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  29. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1219-101224 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.