PS-00168-2023

1/66  Expediente N.º: EXP202202415 IMI Reference: A56ID 336608 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes Antecedentes, Hechos Probados y Fundamentos de Derecho, la Directora de la Agencia Española de Protección de Datos resuelve adoptar la presente resolución de procedimiento sancionador. TABLA DE CONTENIDO ANTECEDENTES..........................................................................................................2 HECHOS PROBADOS................................................................................................10 FUNDAMENTOS DE DERECHO.................................................................................13 I Competencia.......................................................................................................... 14 II Cuestiones previas................................................................................................14 III Alegaciones aducidas...........................................................................................14 En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por GLOVO:................................................................................15 PRIMERA.- SOBRE LOS PROCESOS INTERNOS DE GLOVO......................15 SEGUNDA.- SOBRE LA FORMA DE SOLICITUD DEL DERECHO DE ACCESO .......................................................................................................................... 17 TERCERA.- SOBRE EL CONOCIMIENTO DEL EJERCICIO DEL DERECHO Y LA INMEDIATA ACTUACIÓN DE GLOVO. EL INCUMPLIMIENTO PUNTUAL DE LOS PROCEDIMIENTOS INTERNOS POR PARTE DE EMPLEADOS CONCRETOS Y LA DESPROPORCIONALIDAD DE LA SANCIÓN PROPUESTA....................................................................................................19 CUARTA.- OTROS PROCEDIMIENTOS RELEVANTES..................................24 QUINTA.- SOBRE LA EVOLUCIÓN DE GLOVO...............................................25 En relación con las alegaciones aducidas a la propuesta de resolución del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por GLOVO:..................................................................25 PRIMERA.- SOBRE LOS SUCESOS ACAECIDOS EN LA GESTIÓN DE LA SOLICITUD.......................................................................................................25 SEGUNDA.- SOBRE LA NO ATENCIÓN DEL DERECHO DE ACCESO..........31 TERCERA.- SOBRE LA APERTURA DE UN PROCEDIMIENTO SANCIONADOR EN VEZ DE UNA TUTELA DE DERECHOS..........................36 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/66 CUARTA.- SOBRE LA FALTA DE TRASLADO DE LA RECLAMACIÓN AL DELEGADO DE PROTECCIÓN DE DATOS.....................................................43 QUINTA.- SOBRE LA CULPABILIDAD O NEGLIGENCIA DE GLOVO.............44 SEXTA.- SOBRE LAS CIRCUNSTANCIAS AGRAVANTES...............................56 IV Derecho de acceso del interesado.......................................................................60 V Tipificación y calificación de la infracción del artículo 15 del RGPD......................62 VI Sanción por la infracción del artículo 15 del RGPD..............................................63 la Directora de la Agencia Española de Protección de Datos RESUELVE:..................64 ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 30 de septiembre de 2021 interpuso reclamación ante la Urząd Ochrony Danych Osobowych, autoridad de protección de datos de Polonia. La reclamación se dirige contra GLOVOAPP23, S.A. con NIF A66362906 (en adelante, GLOVO). Los motivos en que basa la reclamación son los siguientes: La parte reclamante solicitó a GLOVO la grabación de su conversación con una ***PUESTO.1 de GLOVO el día 19 de agosto, la hora en que la parte reclamante entró en la aplicación de GLOVO ese mismo día, la información sobre la cancelación de un pedido realizado ese mismo día incluyendo las decisiones tomadas por los empleados de GLOVO y su motivación, y el horario de trabajo de ese mismo día con los cambios hechos por el sistema y por los empleados. La parte reclamante solicitó esta información basándose en el artículo 15 del Reglamento General de Protección de Datos (RGPD), a lo que GLOVO contestó denegando el acceso a la conversación. Junto con la reclamación se aporta: - Impresión de un correo electrónico de fecha 19 de agosto de 2021 a las 14:31 horas remitido por support@glovo.mail.kustomerapp.com a la parte reclamante en idioma polaco con el siguiente contenido (traducción no oficial): “Gracias por contactar con nosotros. Hemos recibido su comunicación y enviamos este mensaje automáticamente para confirmarlo. Nuestro servicio al cliente contactará con usted a la brevedad. Saludos!”. Este correo responde a uno previo enviado por la parte reclamante el 19 de agosto de 2021 a las 12:31 horas, con el siguiente contenido (en polaco el original, traducción no oficial): “Buenos días por favor envíeme la conversación con (...), B.B.B., a mi dirección de correo electrónico, ya que será la base de mi caso judicial, si eso no sucede, le enviaré una orden judicial.” - Impresión de un correo electrónico de fecha 19 de agosto de 2021 a las 15:30 horas remitido por support@glovo.mail.kustomerapp.com a la parte reclamante en idioma polaco, con el siguiente contenido (traducción no oficial): “Buenos días, gracias por contactar con Glovo. Desafortunadamente, no podemos compartir con usted la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/66 conversación o sus fragmentos. Por favor, infórmenos cuál es su problema con nuestra ***PUESTO.1. Saludos cordiales, Atención al cliente de Glovo”. - Impresión de un correo electrónico de fecha 19 de agosto de 2021 a las 20:54 horas remitido por la parte reclamante a support@glovo.mail.kustomerapp.com en idioma polaco, con el siguiente contenido (traducción no oficial): “Entonces, en ese caso, su consultor dijo que me bloquearon en rojo por no hacer nada durante 2 horas, y luego me bloqueó por todo el día?”. - Impresión de un correo electrónico de fecha 20 de agosto de 2021 a las 08:29 horas remitido por support@glovo.mail.kustomerapp.com a la parte reclamante en idioma polaco, con el siguiente contenido (traducción no oficial): “Buenos días, gracias por contactar con Glovo. Le informamos que 15 minutos antes del inicio del bloqueo usted recibe un recordatorio de check-in. Después debe confirmar su disposición a trabajar durante las horas que se han reservado. Usted no confirmó que estaba listo para trabajar, por lo que el sistema marcó automáticamente sus bloques en rojo. Si necesita más soporte, le invitamos a ponerse en contacto con nosotros. Le ayudaremos con placer. Atención al cliente de Glovo”. - Impresión de un correo electrónico de fecha 23 de agosto de 2021 a las 14:16 horas remitido por support@glovo.mail.kustomerapp.com a la parte reclamante, en idioma polaco, con el siguiente contenido: “Buenos días, gracias por contactar con Glovo. Se bloqueó una hora porque su contrato fue reasignado, el resto porque no hizo check-in en la aplicación. Le informamos de que 15 minutos antes del inicio del bloqueo usted recibe un recordatorio de check-in. Después debe confirmar su disposición a trabajar durante las horas que se han reservado. Usted no confirmó que estaba listo para trabajar, por lo que el sistema marcó automáticamente sus bloques en rojo. Si necesita más soporte, le invitamos a ponerse en contacto con nosotros. Le ayudaremos con placer. Atención al cliente de Glovo”. - Impresión de un correo electrónico de fecha 26 de agosto de 2021 a las 09:56 horas remitido por support@glovo.mail.kustomerapp.com a la parte reclamante en idioma polaco, con el siguiente contenido (traducción no oficial): “Gracias por contactar con nosotros. Hemos recibido su comunicación y enviamos este mensaje automáticamente para confirmarlo. Nuestro servicio al cliente contactará con usted a la brevedad. Saludos!”. Este correo responde a uno previo enviado por la parte reclamante el 26 de agosto de 2021 a las 07:56 horas, con el siguiente contenido (en polaco el original, traducción no oficial): “Sobre la base del artículo 15 del RGPD, me gustaría solicitar los siguientes datos: - registro de conversación con (...) B.B.B. del 17 de agosto con tiempo por minuto para cada frase de esta conversación - la hora exacta en la que hice check-in el 17 de agosto en la aplicación junto con las acciones tomadas por sus empleados que cambiaron estos datos - información sobre el pedido cancelado desde ***DIRECCION.1 hasta Biedronka de 17 de agosto, junto con el motivo de esta cancelación y las acciones realizadas por sus empleados que cambiaron estos datos - plan de trabajo del 17 de agosto con información minuto a minuto de sus cambios por parte del sistema y sus empleados”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/66 - Impresión de un correo electrónico de fecha 26 de agosto de 2021 a las 20:09 horas remitido por support@glovo.mail.kustomerapp.com a la parte reclamante en idioma polaco, con el siguiente contenido (traducción no oficial): “Hola, A.A.A.! Gracias por contactar con nosotros. Su caso fue transferido a otro departamento. Una vez que tengamos una respuesta, se la transmitiremos. Esperamos que esta información sea útil, porque estamos siempre intentando ocuparnos de dar la más alta calidad en nuestro servicio. Puede contar con nosotros. Gracias por su confianza. Atención al cliente de Glovo”. - Impresión de un correo electrónico de fecha 3 de septiembre de 2021 a las 12:36 horas remitido por support@glovo.mail.kustomerapp.com a la parte reclamante en idioma polaco, con el siguiente contenido (traducción no oficial): “Buenos días, Lamentablemente, no podemos compartir dicha información con usted. ¿Puede especificar qué es exactamente lo que está solicitando? Recordamos que la apertura de varios chats puede ralentizar su tiempo de servicio. Le pedimos que utilice un único chat para esta solicitud. Saludos, Equipo de Glovo Atención al cliente de Glovo”. - Impresión de un correo electrónico de fecha 3 de septiembre de 2021 a las 13:10 horas en que la parte reclamante envía a support@glovo.mail.kustomerapp.com una contestación al anterior correo en idioma polaco, con el siguiente contenido (traducción no oficial): “Estaba solicitando la información del día 19 de agosto (sin embargo, cometí un error al escribir 17 de agosto). Sobre la base del artículo 15 RGPD quisiera solicitar la siguiente información: - registro de conversación con (...) B.B.B. del 17 de agosto con tiempo por minuto para cada frase de esta conversación - la hora exacta en la que hice check-in el 17 de agosto en la aplicación junto con las acciones tomadas por sus empleados que cambiaron estos datos - información sobre el pedido cancelado desde ***DIRECCION.1 hasta Biedronka de 17 de agosto, junto con el motivo de esta cancelación y las acciones realizadas por sus empleados que cambiaron estos datos - plan de trabajo del 17 de agosto con información minuto a minuto de sus cambios por parte del sistema y sus empleados”. Y la respuesta oficial de su empresa es que no puede proporcionar esa información, no?” - Impresión de pantalla de correo electrónico de fecha 6 de septiembre de 2021 a las 17:22 horas en el que support@glovo.mail.kustomerapp.com contesta al anterior correo de la parte reclamante en idioma polaco, con el siguiente contenido (traducción no oficial): “Buenos días, Como hemos mencionado anteriormente, no podemos compartir dicha información. Saludos cordiales, Equipo de Glovo Atención al Cliente de Glovo”. SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 24 de febrero de 2022 y se le dio fecha de registro de entrada en la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/66 Protección de Datos (AEPD) al día siguiente. El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que GLOVO tiene su sede social y establecimiento principal en España. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada”, además de la autoridad de protección de datos de Polonia, las autoridades de Italia, Portugal y Francia. Todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en el territorio de estas autoridades de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. TERCERO: El 6 de junio de 2022 la AEPD solicita, a través del Sistema IMI, a la autoridad de protección de datos de Polonia que envíe de nuevo la información relevante del caso. La autoridad de protección de datos de Polonia compartió a través del Sistema IMI, el 10 de junio de 2022 la documentación solicitada. CUARTO: Con fecha 24 de junio de 2022, de conformidad con el entonces vigente artículo 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), teniendo conocimiento de los siguientes extremos: 1. El 15 de noviembre de 2022, se recibió en esta Agencia escrito de respuesta a requerimiento de información, presentado en nombre de GLOVO, con número de registro de entrada ***REFERENCIA.1, en el que se aportaba, entre otra, la siguiente información:

1. a)Declaración de que la parte reclamante “… ha ejercido su derecho de acceso a través de esta Agencia y que nunca antes Glovo había recibido su solicitud de derecho de acceso a través de la dirección de correo electrónico habilitada a tal efecto, tal como se indica en la Política de Privacidad vigente en el momento en que aquél ejerció su derecho de acceso, a saber, el correo electrónico gdpr@glovoapp.com”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/66
2. b)Indicación de que, cuando se recibió esta solicitud de acceso a través del requerimiento de la AEPD, GLOVO trasladó la solicitud a su delegado de protección de datos, que envió contestación a la parte reclamante el día 14 de noviembre de 2022 desde la dirección gdpr@glovoapp.com adjuntando los 4 documentos que solicitaba la parte reclamante en sus correos a Atención al Cliente de Glovo.
3. c)Se aporta copia de correo electrónico remitido por gdpr@glovoapp.com a ***EMAIL.1 (que GLOVO indica que es la dirección de correo electrónico de la parte reclamante), con fecha de 14 de noviembre de 2022 a las 7:30 horas PM, con el siguiente contenido: “Estimado Sr. A.A.A.: 36. confirmamos que hemos recibido su solicitud para ejercer su derecho de acceso en relación con los datos personales, de conformidad con las leyes de protección de datos aplicables (Reglamento UE 2016/679). 37. Nos complace informarle que después de analizar la información solicitada y verificar su identidad de acuerdo con la información solicitada por la Autoridad Española de Protección de Datos (la denominada ≪Autoridad de Protección de Datos≫). Agencia Española de Protección de Datos), a través de la Autoridad Polaca de Protección de Datos, facilitamos la siguiente información junto con los documentos adjuntos: 1. Informe de la entrevista con (...) B.B.B. de 19.8.2021 38. Se adjunta una charla (documento 1). 2. Hora exacta de inicio de sesión en la aplicación el 19.8.2021 con una lista de acciones tomadas por los empleados de Glovo 39. Adjunto a la solicitud de información (documento 2). 3. Información sobre la cancelación del pedido de Spring Square a Biedronka el 19.8.2021 año en 40. Por favor, tenga en cuenta que por razones operativas tuvimos que asignar proactivamente un pedido a otro mensajero para que el usuario recibiera el pedido a su debido tiempo. Le informamos que después de un largo tiempo sin ninguna actividad de su parte, tuvimos que asignar el pedido a otro mensajero para recibir el producto a su debido tiempo (ver Documento 3). 4. Horario de servicio de 19.8.2021 41. Se adjuntan las acciones realizadas en el sistema que indican su calendario y las acciones emprendidas por Glovo en esa fecha (documento 4). 42. Esperamos que esta información sea útil. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/66 43. Tenga en cuenta que puede leer nuestra política de privacidad en https://glovoapp.com/es/legal/privacy-couriers/ 44. Teniendo en cuenta que Glovo participa en la protección de datos personales, le recordamos que puede ejercer sus derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad de datos y oposición en cualquier momento, utilizando el formulario disponible en la Plataforma o enviando un correo electrónico a gdpr@glovoapp.com. Alternativamente, en cualquier caso, puede ponerse en contacto con la autoridad de protección de datos competente. 45. Equipo de Glovo”
4. d)Copia de un certificado de la empresa ***EMPRESA.1 en el que se indica que el correo citado en el anterior punto fue enviado el 14 de noviembre de 2022 a las 19:31 horas y fue accedido por el destinatario el 14 de noviembre de 2022 a las 19:44 horas. Este certificado también incorpora el contenido de los documentos adjuntos al correo.
5. e)Copia de la “POLITYKA PRYWATNOŚCI DLA KURIERÓW” [Traducción no oficial: “Política de Privacidad para Mensajeros”] en idioma polaco de GLOVO. Dentro de esta política de privacidad, en su sección 11, dedicada a los derechos de los interesados, se indica que “Powyższe prawa mogą być wykonywane poprzez wysłanie wiadomości e-mail na adres gdpr@glovoapp.com.” [Traducción no oficial: “Estos derechos pueden ejercerse enviando un correo electrónico a gdpr@glovoapp.com.”]. 2. El día 30 de marzo de 2023, la Subdirección General de Inspección de Datos realizó una navegación por el sitio web https://web.archive.org obteniendo el contenido histórico del día 13 de agosto de 2021 de la página web https://glovoapp.com/pl/legal/privacy-couriers/, que contiene la política de privacidad para mensajeros de GLOVO, obteniendo los siguientes resultados: Dentro de la sección “11. Derechos de los interesados”, se indica que “Los derechos antes mencionados podrán ser ejercitados mediante el envío de correo electrónico a la dirección gdpr@glovoapp.com”. 3. Según consulta realizada el día 30 de marzo de 2023 en el servicio Monitoriza de Axesor (https://monitoriza.axesor.es/), GLOVO es un tipo de empresa “(...)” que, en el año 2021, tuvo un volumen de negocio total anual global de ***CANTIDAD.1 €, y contaba con ***CANTIDAD.2 empleados. OCTAVO: Con fecha 16 de junio de 2023, la Directora de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, ese mismo día se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación del presente procedimiento sancionador quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64.5 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/66 Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se consideró que todas las autoridades estaban de acuerdo con dicho proyecto de decisión y estaban vinculadas por éste, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. NOVENO: Con fecha 17 de julio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a GLOVO, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), a fin de imponerle una multa de 15.000 euros, por la presunta infracción del artículo 15 del RGPD, tipificada en el artículo 83.5 del RGPD, en el que se le indicaba que tenía un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó a GLOVO conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 17/07/2023 y 18/07/2023, como consta en el acuse de recibo que obra en el expediente. DÉCIMO: El 17 de julio de 2023, GLOVO presentó un escrito ante esta Agencia comunicando que había recibido un aviso de una notificación postal remitida a esta Agencia con “Identificador: ***REFERENCIA.2”, pero que no pudieron encontrarla. También informaban que su actual domicilio se encontraba en Calle Llull, 108 08005 Barcelona y que la forma social de la entidad había cambiado a S.A., siendo su denominación social correcta Glovoapp23, S.A. DÉCIMO PRIMERO: Con fecha 17 de julio de 2023, GLOVO presentó un escrito a través del cual solicitaba la ampliación del plazo para aducir alegaciones. DÉCIMO SEGUNDO: Con fecha 19 de julio de 2023, se acordó la ampliación de plazo instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP. El citado acuerdo se notificó a GLOVO en fecha 20 de julio de 2023, como consta en el acuse de recibo que obra en el expediente. DÉCIMO TERCERO: Con fecha 3 de agosto de 2023, se recibió en esta Agencia, en tiempo y forma, escrito de GLOVO en el que aducía alegaciones al acuerdo de inicio. En estas alegaciones, en síntesis, manifestaba que: - Primera.- GLOVO dispone de abundantes procedimientos internos y de una cultura de privacidad en su compañía y actuó de forma diligente y proactiva para velar por el cumplimiento de protección de datos en toda la empresa. - Segunda.- GLOVO había establecido expresamente que en todos los casos similares al de la parte reclamante todas las solicitudes debían ser comunicadas a su Departamento de Protección de Datos, pero la parte reclamante no utilizó los canales destinados para ello. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/66 - Tercera.- 3.1. Se le dio respuesta a la parte reclamante con toda la información requerida en cuanto se recibió el traslado de la reclamación por parte de esta Agencia. 3.2. GLOVO no ha actuado con dolo ni negligencia. - Cuarta.- Se citan otros procedimientos relevantes de esta Agencia en que se resolvió el archivo de actuaciones. - Quinta.- GLOVO ha evolucionado muchísimo en materia de protección de datos personales. DÉCIMO CUARTO: Con fecha 16 de abril de 2024, el órgano instructor del procedimiento dictó propuesta de resolución en la que propuso imponerle una multa de 15.000 euros a GLOVO, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la infracción del Artículo 15 del RGPD, tipificada en el Artículo 83.5 del RGPD, en el que se le indicaba que tenía un plazo de diez días para presentar alegaciones. Esta propuesta de resolución, que se notificó a GLOVO conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogida en fecha 26 de abril de 2024, como consta en el acuse de recibo que obra en el expediente. DÉCIMO QUINTO: Con fecha 26 de abril de 2024, GLOVO presentó un escrito a través del cual solicitaba la ampliación del plazo para aducir alegaciones. DÉCIMO SEXTO: Con fecha 30 de abril de 2024, el órgano instructor del procedimiento acordó la ampliación de plazo instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP. El citado acuerdo se notificó a GLOVO ese mismo día, como consta en el acuse de recibo que obra en el expediente. DÉCIMO SÉPTIMO: Con fecha 17 de mayo de 2024, se recibió en esta Agencia, en tiempo y forma, escrito de GLOVO en el que aducía alegaciones a la propuesta de resolución. En estas alegaciones, en síntesis, manifestaba que: - Primera.- GLOVO dispone de numerosas medidas técnicas y organizativas destinadas a asegurar el cumplimiento de la normativa aplicable en materia de protección de datos y, especialmente en relación con el caso que nos ocupa, la atención de los derechos de los interesados. - Segunda.- Se le dio respuesta a la solicitud del interesado. GLOVO realizó los esfuerzos razonables para asegurar que los agentes del equipo de soporte al repartidor pudieran identificar las solicitudes de ejercicio de derechos y bien comunicarlas directamente al departamento de protección de datos, bien responder al interesado la dirección donde dirigirse, esfuerzos que por un error humano no se plasmaron en la realidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/66 - Tercera.- Sorprende a GLOVO que, habiendo dado respuesta al interesado primero por chat, y posteriormente de forma oficial por parte del Departamento de Protección de Datos, decida la Agencia proceder al inicio de un procedimiento sancionador sin proponer la apertura de un procedimiento de tutela de derecho. - Cuarta.- Sorprende a GLOVO que la AEPD no aplique en este caso la posibilidad que ofrece la LOPDGDD de remitir cualquier reclamación al delegado de protección de datos antes de resolver sobre la admisión a trámite de la misma, de conformidad con el artículo 65. -Quinta.- No procede considerar responsabilidad de GLOVO, por negligencia o por culpa, la respuesta incorrecta o insuficiente al interesado que reclama. - Sexta.- Solicita no se apliquen las agravantes alegadas por la AEPD y que se considere como atenuante el hecho de que la AEPD haya sido conocedora de varias reclamaciones por atención de derechos, sin que hubiera encontrado nunca ningún hecho reprobable en la actuación de GLOVO. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El 19 de agosto de 2021 a las 12:31 horas la parte reclamante envió un correo electrónico a la dirección support@glovo.mail.kustomerapp.com, con el siguiente contenido (en polaco el original, traducción no oficial): “Buenos días por favor envíeme la conversación con (...), B.B.B., a mi dirección de correo electrónico, ya que será la base de mi caso judicial, si eso no sucede, le enviaré una orden judicial.” El 19 de agosto de 2021 a las 14:31 horas la parte reclamante recibió un correo electrónico desde la dirección support@glovo.mail.kustomerapp.com en idioma polaco con el siguiente contenido (traducción no oficial): “Gracias por contactar con nosotros. Hemos recibido su comunicación y enviamos este mensaje automáticamente para confirmarlo. Nuestro servicio al cliente contactará con usted a la brevedad. Saludos!”. SEGUNDO: El 19 de agosto de 2021 a las 15:30 horas la parte reclamante recibió un correo electrónico desde la dirección support@glovo.mail.kustomerapp.com en idioma polaco, con el siguiente contenido (traducción no oficial): “Buenos días, gracias por contactar con Glovo. Desafortunadamente, no podemos compartir con usted la conversación o sus fragmentos. Por favor, infórmenos cuál es su problema con nuestra ***PUESTO.1. Saludos cordiales, Atención al cliente de Glovo”. TERCERO: El 19 de agosto de 2021 a las 20:54 horas la parte reclamante envió un correo electrónico a la dirección support@glovo.mail.kustomerapp.com en idioma polaco, con el siguiente contenido (traducción no oficial): “Entonces, en ese caso, su consultor dijo que me bloquearon en rojo por no hacer nada durante 2 horas, y luego me bloqueó por todo el día?”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/66 CUARTO: El 20 de agosto de 2021 a las 08:29 horas la parte reclamante recibió un correo electrónico desde la dirección support@glovo.mail.kustomerapp.com en idioma polaco, con el siguiente contenido (traducción no oficial): “Buenos días, gracias por contactar con Glovo. Le informamos que 15 minutos antes del inicio del bloqueo usted recibe un recordatorio de check-in. Después debe confirmar su disposición a trabajar durante las horas que se han reservado. Usted no confirmó que estaba listo para trabajar, por lo que el sistema marcó automáticamente sus bloques en rojo. Si necesita más soporte, le invitamos a ponerse en contacto con nosotros. Le ayudaremos con placer. Atención al cliente de Glovo”. QUINTO: El 23 de agosto de 2021 a las 14:16 horas la parte reclamante recibió un correo electrónico desde la dirección support@glovo.mail.kustomerapp.com en idioma polaco, con el siguiente contenido: “Buenos días, gracias por contactar con Glovo. Se bloqueó una hora porque su contrato fue reasignado, el resto porque no hizo check-in en la aplicación. Le informamos de que 15 minutos antes del inicio del bloqueo usted recibe un recordatorio de check-in. Después debe confirmar su disposición a trabajar durante las horas que se han reservado. Usted no confirmó que estaba listo para trabajar, por lo que el sistema marcó automáticamente sus bloques en rojo. Si necesita más soporte, le invitamos a ponerse en contacto con nosotros. Le ayudaremos con placer. Atención al cliente de Glovo”. SEXTO: El 26 de agosto de 2021 a las 09:56 horas la parte reclamante recibió un correo electrónico desde la dirección support@glovo.mail.kustomerapp.com en idioma polaco, con el siguiente contenido (traducción no oficial): “Gracias por contactar con nosotros. Hemos recibido su comunicación y enviamos este mensaje automáticamente para confirmarlo. Nuestro servicio al cliente contactará con usted a la brevedad. Saludos!”. Este correo responde a uno previo enviado por la parte reclamante el 26 de agosto de 2021 a las 07:56 horas, con el siguiente contenido (en polaco el original, traducción no oficial): “Sobre la base del artículo 15 del RGPD, me gustaría solicitar los siguientes datos: - registro de conversación con (...) B.B.B. del 17 de agosto con tiempo por minuto para cada frase de esta conversación - la hora exacta en la que hice check-in el 17 de agosto en la aplicación junto con las acciones tomadas por sus empleados que cambiaron estos datos - información sobre el pedido cancelado desde ***DIRECCION.1 hasta Biedronka de 17 de agosto, junto con el motivo de esta cancelación y las acciones realizadas por sus empleados que cambiaron estos datos - plan de trabajo del 17 de agosto con información minuto a minuto de sus cambios por parte del sistema y sus empleados”. SÉPTIMO: El 26 de agosto de 2021 a las 20:09 horas la parte reclamante recibió un correo electrónico desde la dirección support@glovo.mail.kustomerapp.com en idioma polaco, con el siguiente contenido (traducción no oficial): “Hola, A.A.A.! Gracias por contactar con nosotros. Su caso fue transferido a otro departamento. Una vez que tengamos una respuesta, se la transmitiremos. Esperamos que esta información sea útil, porque estamos siempre intentando ocuparnos de dar la más alta calidad en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/66 nuestro servicio. Puede contar con nosotros. Gracias por su confianza. Atención al cliente de Glovo”. OCTAVO: El 3 de septiembre de 2021 a las 12:36 horas la parte reclamante recibió un correo electrónico desde support@glovo.mail.kustomerapp.com en idioma polaco, con el siguiente contenido (traducción no oficial): “Buenos días, Lamentablemente, no podemos compartir dicha información con usted. ¿Puede especificar qué es exactamente lo que está solicitando? Recordamos que la apertura de varios chats puede ralentizar su tiempo de servicio. Le pedimos que utilice un único chat para esta solicitud. Saludos, Equipo de Glovo Atención al cliente de Glovo”. NOVENO: El 3 de septiembre de 2021 a las 13:10 horas la parte reclamante envió un correo electrónico a support@glovo.mail.kustomerapp.com una contestación al anterior correo en idioma polaco, con el siguiente contenido (traducción no oficial): “Estaba solicitando la información del día 19 de agosto (sin embargo, cometí un error al escribir 17 de agosto). Sobre la base del artículo 15 RGPD quisiera solicitar la siguiente información: - registro de conversación con (...) B.B.B. del 17 de agosto con tiempo por minuto para cada frase de esta conversación - la hora exacta en la que hice check-in el 17 de agosto en la aplicación junto con las acciones tomadas por sus empleados que cambiaron estos datos - información sobre el pedido cancelado desde ***DIRECCION.1 hasta Biedronka de 17 de agosto, junto con el motivo de esta cancelación y las acciones realizadas por sus empleados que cambiaron estos datos - plan de trabajo del 17 de agosto con información minuto a minuto de sus cambios por parte del sistema y sus empleados”. Y la respuesta oficial de su empresa es que no puede proporcionar esa información, no?” DÉCIMO: El 6 de septiembre de 2021 a las 17:22 horas la parte reclamante recibió un correo electrónico desde la dirección support@glovo.mail.kustomerapp.com, en respuesta al anterior correo de la parte reclamante, en idioma polaco, con el siguiente contenido (traducción no oficial): “Buenos días, Como hemos mencionado anteriormente, no podemos compartir dicha información. Saludos cordiales, Equipo de Glovo Atención al Cliente de Glovo”. DÉCIMO PRIMERO: El 14 de noviembre de 2022 a las 19:31 horas se envió un correo electrónico desde la dirección gdpr@glovoapp.com a ***EMAIL.1, con el siguiente contenido: “Estimado A.A.A.: confirmamos que hemos recibido su solicitud para ejercer su derecho de acceso en relación con los datos personales, de conformidad con las leyes de protección de datos aplicables (Reglamento UE 2016/679). Nos complace informarle que después de analizar la información solicitada y verificar su identidad de acuerdo con la información solicitada por la Autoridad Española de Protección de Datos (la denominada ≪Autoridad de Protección de Datos≫). Agencia Española de Protección de Datos), a través de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/66 Autoridad Polaca de Protección de Datos, facilitamos la siguiente información junto con los documentos adjuntos: 1. Informe de la entrevista con (...) B.B.B. de 19.8.2021 Se adjunta una charla (documento 1). 2. Hora exacta de inicio de sesión en la aplicación el 19.8.2021 con una lista de acciones tomadas por los empleados de Glovo Adjunto a la solicitud de información (documento 2). 3. Información sobre la cancelación del pedido de Spring Square a Biedronka el 19.8.2021 año en Por favor, tenga en cuenta que por razones operativas tuvimos que asignar proactivamente un pedido a otro mensajero para que el usuario recibiera el pedido a su debido tiempo. Le informamos que después de un largo tiempo sin ninguna actividad de su parte, tuvimos que asignar el pedido a otro mensajero para recibir el producto a su debido tiempo (ver Documento 3). 4. Horario de servicio de 19.8.2021 Se adjuntan las acciones realizadas en el sistema que indican su calendario y las acciones emprendidas por Glovo en esa fecha ( documento 4 ). Esperamos que esta información sea útil. Tenga en cuenta que puede leer nuestra política de privacidad en https://glovoapp.com/es/legal/privacy-couriers/ Teniendo en cuenta que Glovo participa en la protección de datos personales, le recordamos que puede ejercer sus derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad de datos y oposición en cualquier momento, utilizando el formulario disponible en la Plataforma o enviando un correo electrónico a gdpr@glovoapp.com. Alternativamente, en cualquier caso, puede ponerse en contacto con la autoridad de protección de datos competente. Equipo de Glovo” Este correo electrónico fue accedido por el destinatario el 14 de noviembre de 2022 a las 19:44 horas. DÉCIMO SEGUNDO: En la “Política de Privacidad para Mensajeros” vigente en septiembre de 2021, se indicaba que la dirección para ponerse en contacto con GLOVO sobre cuestiones era enviando un correo electrónico a gdpr@glovoapp.com. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/66 DÉCIMO TERCERO: Según consta en la diligencia de fecha 30 de marzo de 2023, en el año 2021, GLOVO era una empresa de tipo “(...)” con un volumen de negocio total anual global de ***CANTIDAD.1 €, y contaba con ***CANTIDAD.2 empleados. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con lo dispuesto en los artículos 58.2 y 60 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 y 68.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que GLOVO realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellido y correo electrónico, entre otros tratamientos. GLOVO realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que GLOVO está establecida en España, si bien presta servicio a otros países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/66 examinado, como se ha expuesto, GLOVO tiene su establecimiento principal en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. Por su parte, el artículo 15 del RGPD regula el derecho de acceso del interesado a sus datos personales. III Alegaciones aducidas En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por GLOVO: PRIMERA.- SOBRE LOS PROCESOS INTERNOS DE GLOVO Alega GLOVO que dispone de sus propios procedimientos internos para velar por el cumplimiento de la normativa de protección de datos personales en general y, en particular, en relación con la atención de los derechos de protección de datos ejercidos por los interesados, ya sean estos usuarios, partners o repartidores. Indican ser conscientes de que los interesados que se relacionan con GLOVO pueden interactuar directamente con sus canales de soporte o atención al cliente (customer support) para aspectos relacionados con su privacidad y, en especial, para ejercer sus derechos de protección de datos a pesar de que no sea el canal oficial para ello según se informa en su política de privacidad. Sin embargo, por la especial sensibilidad de estos casos y, especialmente, aquellos casos que pueden tener un impacto en otras personas -como lo es el presente caso donde la parte reclamante solicitó una transcripción de una conversación suya con B.B.B. del equipo de Customer Support-, se estableció expresamente que en esos casos todas las solicitudes deben ser comunicadas al Departamento de Protección de Datos de GLOVO. Se adjunta como prueba de ello, como DOCUMENTO 1, copia del protocolo de actuación que los agentes encargados de prestar servicios de Customer Support, y gestionado por el Departamento de Live Ops, debían seguir en caso de recibir solicitudes de derechos GDPR como el presente caso. En el citado documento aportado se indica que se trata de la “Versión 1- Válido desde Febrero 2021” y en su apartado 5.1, se indica expresamente lo siguiente: “5.1. Right of access by the data subject User or Courier contact LiveOps and request his/her data. If he/she is not in Glovo systems you should inform him/her that we are unable to attend his request. If he/she is in Glovo systems, LiveOps should redirect User or Courier to gdpr@glovoapp.com in order to assist this request, since the Legal Privacy Team C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/66 needs to reach out to Tech to obtain an Excel with personal details and order details as well as reach out the specific Team in charge of chat conversations or call recordings where applicable.” (traducción no oficial: “5.1. Derecho de acceso por el interesado El usuario o Repartidor contacta con LiveOps y solicita sus datos. Si él o ella no está en los sistemas de Glovo, debe informarle que no podemos atender su solicitud. Si él o ella está en los sistemas de Glovo, LiveOps debe redirigir al Usuario o Repartidor a gdpr@glovoapp.com para poder atender su solicitud, dado que el Equipo Legal de Privacidad necesita contactar con Tech para obtener un Excel con los detalles personales y detalles de pedidos así como contactar con el Equipo específico a cargo de las conversaciones del chat o grabaciones de llamadas en su caso”.) Adicionalmente, en su apartado 6, se indica también lo siguiente: “6. Relevant issues to take into account In case of any doubt please, reach out to the Legal Privacy Team through gdpr@glovoapp.com. In case if support of other Glovo teams is needed (such as Tech, Risk Ops, etc) please, reach out to the Legal Privacy Team through gdpr@glovoapp.com. In accordance with Article 12 of the GDPR Glovo as data controller will provide User or Courier with the requested information within one month of receipt of the request. The unique official channels to exercise data subjects rights are gdpr@glovoapp.com and the form available here.” (traducción no oficial: “6. Aspectos relevantes a tener en cuenta En caso de duda, por favor contactar con el Equipo Legal de Privacidad a través de gdpr@glovoapp.com. En caso de que se requiera ayuda de otros equipos de Glovo (como Tech, Risk Ops, etc) por favor contactar con el Equipo Legal de Privacidad a través de gdpr@glovoapp.com. De acuerdo con el artículo 12 del RGPD Glovo como responsable del tratamiento proporcionará al Usuario o Repartidor la información solicitada en el plazo de un mes desde la recepción de la solicitud. Los únicos canales oficiales para ejercitar los derechos de los interesados son gdpr@glovoapp.com y el formulario disponible aquí”.) Explica GLOVO que este protocolo, por un lado, indica en qué consisten los derechos de acceso, rectificación, oposición, supresión, limitación y portabilidad. Por otro lado, explica paso por paso cómo los agentes deben atender estos derechos. Y matiza que, en caso de dudas, todos los agentes encargados de prestar servicios de Customer Support están debidamente informados de la necesidad de remitir cualquier ejercicio de derechos de protección de datos al canal de comunicación directo gdpr@glovoapp.com, tal como consta en su política de privacidad. Añade GLOVO que todos sus empleados, cuando se incorporan a la organización, suscriben un documento llamado “PERSONAL DATA PROCESSING, COMMUNICATIONS AND USE OF EQUIPMENT POLICY” (se acompaña como DOCUMENTO 2 copia de dicho documento), el cual en su apartado 8 incluye un capítulo específico que lleva por título “Guidelines for responding a petition of access, cancellation, limitation, suppression, opposition or portability rights” que describe cómo reaccionar ante un ejercicio de derechos de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/66 Alega GLOVO que el Departamento de Protección de Datos, además de gestionar la cuenta gdpr@glovoapp.com, también tiene acceso a la cuenta legal@glovoapp.com para que pueda atender los derechos de protección de datos que los agentes encargados de prestar servicios de Customer Support puedan redirigir a este correo. Indica GLOVO que este documento fue aceptado y firmado por los tres agentes que mantuvieron conversaciones con la parte reclamante. A modo de ejemplo, se aporta como DOCUMENTO 3 las condiciones suscritas por uno de ellos. No obstante, añade GLOVO que dichos agentes ya no prestan sus servicios en la organización. Al respecto, se adjunta como DOCUMENTO 4 la declaración firmada por el representante legal de Restaurant Partner Polska sp. z o.o. (en adelante, “Glovo Polonia”), entidad filial de Glovo que opera en el mercado polaco y con la que los agentes implicados en el caso de la parte reclamante dejaron de prestar sus servicios para Glovo Polonia. Destaca GLOVO que todos los agentes que prestan servicios Customer Support a sus usuarios han sido formados en la gestión de derechos de protección de datos y deben actuar conforme el protocolo de actuación aportado como DOCUMENTO 1. Explica también que en abril de 2021 el Departamento de Protección de Datos de GLOVO realizó una formación específica al Departamento de Live Ops, equipo encargado de gestionar los agentes de Customer Support, donde explicó en qué consiste Reglamento General de Protección de Datos, sus principios, por qué es tan importante el cumplimiento de la normativa de privacidad y, en particular, la gestión de los derechos de protección de datos de nuestros usuarios (repartidores incluidos) por parte de los agentes. Se adjunta como DOCUMENTO 5 la formación realizada. Así las cosas, concluye GLOVO que no cabe más que concluir que dispone de abundantes procedimientos internos y de una cultura de privacidad en su compañía formada por distintos protocolos, formaciones y directrices dirigidos a la protección de datos personales. Por tanto, a su juicio, es más que evidente que actuó de forma diligente y actúa de forma proactiva para velar por el cumplimiento de protección de datos en toda la empresa a través de continuas formaciones obligatorias para todos sus empleados. Al respecto, esta Agencia desea señalar que, con independencia de las medidas adoptadas por GLOVO, en el presente caso la parte reclamante realizó numerosas comunicaciones solicitando su derecho de acceso a los datos sobre su persona, incluso haciendo referencia al artículo 15 del RGPD, solicitud que no fue debidamente atendida. La propia GLOVO reconoce que los interesados pueden interactuar con otros canales distintos al canal oficial que se informa en su política de privacidad e incluso tenía indicado que los casos como el que da origen al presente procedimiento debían comunicarse a su Departamento de Protección de Datos, lo cual no ha ocurrido. Por lo que se desestima la presente alegación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/66 SEGUNDA.- SOBRE LA FORMA DE SOLICITUD DEL DERECHO DE ACCESO Alega GLOVO que la solicitud del derecho de acceso no se hizo por los canales oficiales para ello, ya que no utilizó la dirección de correo que GLOVO tenía a disposición de los interesados en la fecha en que se solicitó el ejercicio de derecho (gdpr@glovoapp.com). Asimismo, indica que todos los repartidores de GLOVO -y, por consecuencia, la parte reclamante- deben aceptar expresamente los términos y condiciones aplicables a repartidores y la política de privacidad en el momento de crearse una cuenta en su plataforma. Se acompaña como DOCUMENTO 6 capturas de pantalla acreditativas de dicho extremo (el documento está redactado en polaco). Añade GLOVO que todos los repartidores tienen a su disposición, mediante la web o la aplicación móvil, un apartado en el que acceder a las condiciones legales y de privacidad. En el caso de los repartidores, los canales de atención son destinados, exclusivamente, a: accidentes u ofensas, cuestiones relativas a los envíos, relativas a las ganancias o incidentes con la aplicación. También explica GLOVO que en la propia app o web los repartidores pueden acceder a su perfil de usuario, donde se encuentran permanentemente accesibles tanto los términos y condiciones de la APP como la política de privacidad aplicable, la cual incluye toda la información sobre cómo ejercitar los derechos. Por tanto, alega GLOVO que, sin querer justificar el comportamiento de los agentes que atendieron a la parte reclamante que no fue conforme a las políticas internas de GLOVO, tampoco cabe ignorar que la parte reclamante no utilizó los canales esperados para el ejercicio de los derechos. Y que lo anterior es relevante porque, teniendo en cuenta que se trataba de una persona con una mínima sensibilidad hacia la protección de datos, suficiente como para exponer directamente el artículo 15 del RGPD para solicitar el acceso a sus datos personales, no pareció interesado en ningún momento en buscar los canales oficiales para solicitar la información cuando no la obtuvo por parte de customer care. En ningún momento el interesado se puso en contacto con el Departamento de Protección de Datos de GLOVO. En este sentido, entiende GLOVO que efectivamente las empresas deben atender los derechos por cualquier canal que utilice el interesado, pero esta obligación debe modularse, por un lado porque no cualquier correo de una compañía debe ser hábil para recibir este tipo de solicitudes sujetas a plazo de respuesta, ni teniendo la empresa canales oficiales para el ejercicio de derechos pueden los interesados ignorarlos para interponer reclamaciones o realizar solicitudes en cualquier canal, sabiendo claramente dónde deben dirigirse para ello. En definitiva, alega que no puede exigirse a las compañías una diligencia que puede llegar al absurdo. Si se pudiera aceptar cualquier tipo de ejercicio de derechos de cualquier manera, se podría llegar al absurdo de que un usuario pudiera requerir al mismo repartidor que hace entrega de su pedido que eliminara sus datos de la aplicación. Todas las organizaciones tienen distintos empleados o colaboradores para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/66 distintas funciones y no es de ningún modo de recibo que se exija a cualquier empleado o colaborador que tenga autoridad ni capacidad para gestionar derechos de interesados; esto supondría un indiscriminado acceso a datos de usuarios que atentaría gravemente contra toda normativa de protección de derechos personales. En el presente caso, entiende GLOVO que la misma diligencia que se le solicita para atender cualquier solicitud en cualquier canal, debe solicitarse también a un interesado que conoce suficientemente el RGPD como para citar artículos concretos (tal y como se desprende de las comunicaciones mantenidas), y por tanto debería ponderarse hasta qué punto era también obligación del interesado informarse de los canales que GLOVO pone expresamente a su disposición para el ejercicio de sus derechos y hacer uso de ellos. Al respecto, esta Agencia desea señalar que en el presente caso la parte reclamante realizó su solicitud de acceso a sus datos personales a través del canal que GLOVO pone a disposición para atender las consultas de los repartidores, precisamente. No se trata de que la parte reclamante hubiera realizado su solicitud a “cualquier empleado o colaborador”, sino que se dirigió al canal específicamente previsto para que los repartidores pudieran dirigir sus consultas y peticiones. De hecho, la propia GLOVO ya preveía que tales solicitudes pudieran ser dirigidas a través de este canal, razón por la que su propio protocolo indicaba que debían redirigirse al departamento correspondiente para poder ser atendidas debidamente. Incluso GLOVO reconoce que los propios agentes que interactuaron con la parte reclamante no actuaron conforme lo indicaba el propio protocolo de GLOVO. En cualquier caso, GLOVO no puede pretender que una mayor diligencia y conocimiento de la protección de datos personales por parte de quien solicita un ejercicio de derechos se convierta en un nivel mayor de exigencia para él que respecto a otros usuarios. Por lo expuesto, se desestima la presente alegación. TERCERA.- SOBRE EL CONOCIMIENTO DEL EJERCICIO DEL DERECHO Y LA INMEDIATA ACTUACIÓN DE GLOVO. EL INCUMPLIMIENTO PUNTUAL DE LOS PROCEDIMIENTOS INTERNOS POR PARTE DE EMPLEADOS CONCRETOS Y LA DESPROPORCIONALIDAD DE LA SANCIÓN PROPUESTA 3.1. El conocimiento del ejercicio del derecho por parte de la parte reclamante y la reacción inmediata de Glovo Alega GLOVO que el Departamento de Protección de Datos responsable de todos los aspectos relacionados con la privacidad de los interesados no tuvo en ningún momento conocimiento del derecho de acceso ejercitado por la parte reclamante hasta que la propia AEPD lo puso en conocimiento de la compañía el 11 de octubre de 2022. Y que en ese mismo instante, y tras revisar detenidamente el caso, se procedió a contestar de forma inmediata la solicitud de la parte reclamante proporcionándole C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/66 acceso a toda la información relevante, incluida la transcripción de la conversación mencionada. Tras el envío de la información al interesado, no ha habido ninguna otra queja o reclamación por la parte reclamante, ni se ha tenido conocimiento de ningún procedimiento judicial o extrajudicial iniciado por éste, a pesar de indicar éste expresamente que era la razón por la que solicitaba la información. Así las cosas, entiende que debe tenerse en cuenta que, a pesar de tener protocolos y procedimientos internos debidamente implementados en la organización, en este caso concreto de la parte reclamante, los agentes encargados de prestar servicios de Customer Support no cumplieron con el proceso establecido. Al respecto, esta Agencia no tiene más que añadir a lo ya expuesto: que no se le proporcionó debido acceso a la parte reclamante hasta que no intervino esta Agencia y que la solicitud de acceso no se redirigió debidamente al departamento indicado para ello. El hecho de que la parte reclamante presentara (o
6. no)otra queja o reclamación o hubiera iniciado un procedimiento judicial o extrajudicial resulta, a los fines del presente procedimiento sancionador, irrelevante. El considerando