PS-00184-2025

1/20  Expediente Nº: EXP202318921 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 20 de mayo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a TRUEBA SPORT S.L. (en adelante, TRUEBA SPORT), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202318921 (PS/00184/2025) ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 30 de octubre de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos (AEPD) por una posible infracción imputable a TRUEBA SPORT S.L. con NIF B39363544 (en adelante, TRUEBA SPORT). Los hechos que se pusieron en conocimiento de esta autoridad fueron los siguientes: El reclamante señala que la empresa reclamada le envió un correo electrónico informando sobre la disponibilidad de uno de sus productos, que él había solicitado previamente. La comunicación, por medio del citado correo, se realizó a un gran número de personas, (más de 300 destinatarios), sin ocultar la dirección de correo electrónico personal del reclamante, ni la de ninguna otra persona. Al final del correo se indicaba que es una comunicación dirigida a su destinatario, de manera exclusiva y, que podía contener información confidencial. Junto ─ al escrito, se aporta: Imagen correspondiente a captura de pantalla del encabezamiento de un correo electrónico remitido, con fecha de 30 de octubre de 2023, desde la dirección de correo electrónico info@vueltahispania.com a múltiples destinatarios, entre los que se encuentra el reclamante, mostrando sus C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/20 direcciones de correo electrónico personal. El asunto del correo es: “Vuelta Hispania abre su tienda”. ─ Imagen correspondiente a captura de pantalla en la que se visualiza el fragmento final del correo electrónico de la empresa. En dicha imagen se aprecia lo siguiente: o El pie de firma del remitente que incluye nombre, cargo y datos de contacto. “A.A.A.”. o A continuación, se recoge una leyenda de confidencialidad en la que se indica: “Este mensaje va dirigido, de manera exclusiva, a su destinatario y puede contener información confidencial y sujeta al secreto profesional, cuya divulgación no está permitida por Ley. En caso de haber recibido este mensaje por error, le rogamos que de forma inmediata, nos lo comunique mediante correo electrónico remitido a nuestra atención y proceda a su eliminación, así como a la de cualquier documento adjunto al mismo. Asimismo, le comunicamos que la distribución, copia o utilización de este mensaje, o de cualquier documento adjunto al mismo, cualquiera que fuera su finalidad, están prohibidas por la ley. En aras del cumplimiento del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, puede ejercer los derechos de acceso, rectificación, cancelación, limitación, oposición y portabilidad de manera gratuita mediante correo electrónico a: info@vueltahispania.com. Nuestra web http://www.vueltahispania.com.” SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con fecha 29/12/2023, se dio traslado de dicha reclamación A.A.A. que con fecha de 20 de enero de 2024 presentó escrito de alegaciones manifestando que el traslado de la reclamación a su persona ha debido de tratarse de un error puesto que su actividad no se corresponde con los hechos reclamados. TERCERO: Con fecha 30 de enero de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/20 Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: La entidad reclamada fue requerida para que informase de las causas que pudieron provocar el envío de un correo electrónico el 30 de octubre de 2023 a las 14:40h informando al destinatario sobre un producto que previamente había solicitado exponiendo una gran cantidad de direcciones electrónicas. Con fecha de 4 de junio de 2024 se recibió en esta Agencia, escrito de alegaciones presentado por la parte reclamada poniendo de manifiesto, entre otros asuntos, que «Vuelta Hispania» es un signo distintivo, creado en 2022, correspondiente a una prueba ciclista de la categoría Sub23 cuya finalidad es completar el desarrollo de jóvenes ciclistas (como último escalón del deporte de promoción) y que se financia exclusivamente con la colaboración de patrocinadores y ayuntamientos sede de etapas, así como —a lo que a estos efectos interesa— mediante la venta de productos relacionados con tal competición en la plataforma “Correos Market” ofrecida por la Sociedad Estatal Correos y Telégrafos, S.A., S.M.E. El lanzamiento de un nuevo producto objeto de interés (y reservas) por los usuarios (maillot de la combatividad de la Vuelta Hispania con publicidad de la Armada Española), provocó la recepción de numerosas comunicaciones interesándose por tal cuestión. Dado que el elevado número de consultas se refería al mismo objeto, la respuesta a las mismas se hizo llegar en una misma comunicación a los usuarios que, previamente, habían solicitado información al respecto, motivo por el cual se disponía de sus señas electrónicas. Añaden que, a falta en esas fechas de una herramienta informática de gestión de las solicitudes de los usuarios y su contestación, y dado que numerosos usuarios habían solicitado información sobre el mismo producto, se contestó en un único correo electrónico a todos los interesados introduciendo a mano las diferentes direcciones de correo de estos interesados. La revelación de direcciones electrónicas ajenas y la del propio reclamante se debió a un error humano puntual al poner estas direcciones manualmente en el campo “Copia” en vez de en el campo “Copia oculta”. A la vista de lo sucedido, el Responsable ha cesado por el momento en el envío de comunicaciones sobre productos de forma no personalizada. También se redactó la pertinente incidencia interna de revelación de datos personales a terceros para documentación y mejor gestión de lo sucedido. Esta incidencia quedo archivada en el “Registro de Incidencias”. Manifiestan que disponen del documento “Política de gestión del correo electrónico”, en el cual se refleja en el párrafo cuarto “Si tuviera que enviarse un correo electrónico a varios destinatarios que no pertenezcan a la propia compañía, se hará uso de la opción «Copia oculta» (representada por las siglas «BCC» o «CCO», según el servidor de correo) para evitar la comunicación no autorizada de datos personales a terceros. En estos casos, se guardará especial cuidado en la redacción del mensaje, con idéntico fin.”. Según figura en el pie de página de los documentos a los que se refiere la parte reclamada, estos fueron elaborados una vez abiertas las presentes actuaciones, es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/20 decir, en el momento de producirse los hechos reclamados, no consta que se hubiera redactado ninguna norma o protocolo para el tratamiento de datos de carácter personal. La parte reclamada señala que en sus correos electrónicos añade a la firma un texto donde se recoge el responsable del tratamiento, la base de legitimación y el derecho que le asiste conforme al art. 22 de la LSSI-CE, (DOC N.º4), pero se ha verificado que en el texto incorporado en la firma del correo presentado en la reclamación, no consta nada de esto. En este sentido, dado que en el texto que presenta la parte reclamada como pie de firma consta como domicilio social de la parte reclamada la nueva dirección actualizada en el Registro Mercantil con fecha de 21 de noviembre de 2024, se desprende que este texto que se incorpora a la firma de los correos en la actualidad ha sido redactado, al igual que los documentos DOC 1 y DOC 2, con posterioridad a la apertura de las presentes actuaciones. Respecto al posible ejercicio de derechos del interesado, en el pie del correo presentado en la reclamación consta el procedimiento para que el interesado pueda ejercer los derechos contemplados en los artículos 15 a 22 del RGPD a través de una dirección de correo electrónico. En este sentido, el reclamante no manifiesta que haya ejercido alguno de estos derechos y, por otra parte, la reclamada tampoco tiene constancia de que se haya ejercido alguno de estos. En relación al sitio web de la competición Vuelta a Hispania https://www.vueltahispania.com/ en la cual se recaban datos personales en la página principal, en la página de formulario de registro y otras páginas como las de reservas de equipamiento en la sección del menú principal “Más”, no se identifica al responsable del sitio web ni al responsable del tratamiento de los datos personales recabados. No se ha encontrado documento de Aviso Legal ni Política de Privacidad donde se recojan los aspectos relativos al tratamiento y los derechos de los interesados. Adicionalmente, en el apartado de reserva de equipamiento, al pretender reservar una determinada prenda, aunque aparece la casilla con la leyenda “Acepto los términos y condiciones”, estos no se saben cuáles son porque además de la ausencia de documentos ya mencionada, esta leyenda no tiene enlace a ningún documento. - Se incorpora a este expediente diligencia con impresión de pantalla de la página principal, página con formulario de registro del sitio web https://www.vueltahispania.com/ y páginas de reserva de equipamiento realizadas con fecha de 27 de febrero de 2025. La parte reclamante adjunta la siguiente documentación relevante en su escrito de respuesta: - DOC. N.º 1: Anexo VI. Registro de Incidencias. Documento de Seguridad TRUEBA SPORT SL. Código: XXXX. Versión 1.0. Fecha: 31/10/2024. - DOC. N.º 2: Política de gestión del correo electrónico, contenida en el Documento de Seguridad del Responsable del tratamiento. Código: XXXX. Versión 1.0. Fecha: 03/06/2024. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/20 - DOC. N.º 3: Casilla de consentimiento para el tratamiento de datos del formulario de contacto alojado en la web de la parte reclamada, en un apartado específico de reservas de equipación deportiva, para solicitar información sobre los productos promocionales. - DOC. N.º 4: Texto incorporado en la firma de los correos electrónicos corporativos. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad TRUEBA SPORT es una empresa constituida en el año 1994, y con un volumen de negocios de 190.105 euros en el año 2023. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de las presuntas infracciones cometidas, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.

1. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/20 física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que TRUEBA SPORT, para la venta de un producto relacionado con la competición Vuelta a Hispania sub-23, realiza, entre otros tratamientos, la recogida, conservación y utilización de datos personales de personas físicas como el correo electrónico de los usuarios interesados en la compra del producto. TRUEBA SPORT realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. IV Obligación incumplida. Artículo 5.1.
2. f)del RGPD. Integridad y confidencialidad La letra
3. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
4. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." De la misma forma, el Considerado 39 RGPD dispone que: “Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/20 El principio de confidencialidad, según el mencionado artículo 5.1
5. f)del RGPD, exige la protección de datos personales contra accesos, usos y divulgaciones no autorizados. Dicho principio resulta esencial para garantizar la seguridad de los datos personales, constituyendo un pilar clave en la protección de la privacidad y los derechos individuales en dicho ámbito. Por el contrario, la violación de este principio puede tener consecuencias no deseadas, reflejando su importancia en el marco normativo de la protección de datos. En el presente caso, la documentación obrante en el expediente ofrece indicios evidentes de que TRUEBA SPORT vulneró el artículo 5.1.
6. f)del RGPD, al remitir, con fecha 30 de octubre de 2023, desde la dirección de correo electrónico info@vueltahispania.com, un e-mail a una pluralidad de destinatarios, entre los que figuraba quien reclama, sin utilizar la opción de copia oculta, vulnerando la confidencialidad en el tratamiento de los datos de carácter personal, ya que los destinatarios del correo electrónico pudieron ver las demás direcciones a las que se remitió dicho correo. Así lo reconoce la propia entidad reclamada en su escrito de respuesta a requerimiento de información de esta Agencia, presentado el 4 de junio de 2024, en el que manifiesta expresamente: “Dado que el elevado número de consultas se refería al mismo objeto, la respuesta a las mismas se hizo llegar en una misma comunicación a los usuarios que, previamente, habían solicitado información al respecto, motivo por el cual se disponía de sus señas electrónicas. En tales fechas el Responsable del tratamiento no disponía de una herramienta informática específica destinada a tal fin, motivo por el cual el envío se realizó de forma manual, es decir, introduciendo cada una de las direcciones electrónicas en el correo correspondiente.” A este respecto, conviene subrayar que, como se ha indicado anteriormente, el principio de confidencialidad tiene como finalidad evitar que se realicen filtraciones de los datos personales no consentidas por los titulares de estos. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a TRUEBA SPORT, por vulneración del artículo 5.1.
7. f)del RGPD transcrito anteriormente. V Tipificación de la infracción del artículo 5.1.
8. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/20 "
9. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
10. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Propuesta de sanción por incumplimiento del artículo 5.1.
11. f)del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
12. a)a
13. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
14. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
15. b)la intencionalidad o negligencia en la infracción;
16. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
17. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
18. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
19. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/20
20. g)las categorías de los datos de carácter personal afectados por la infracción;
21. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
22. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
23. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
24. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
25. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
26. a)El carácter continuado de la infracción.
27. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
28. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
29. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
30. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
31. f)La afectación a los derechos de los menores.
32. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
33. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de TRUEBA SPORT que ascendió a 190.105 euros en el año 2023. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/20 instrucción, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
34. f)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 1.200 euros. VII Obligación incumplida. Artículo 13 del RGPD. Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
35. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
36. b)los datos de contacto del delegado de protección de datos, en su caso;
37. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
38. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
39. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
40. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
41. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
42. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
43. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
44. d)el derecho a presentar una reclamación ante una autoridad de control;
45. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/20 los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
46. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." Conviene resaltar que la obligación de informar del artículo 13 del RGPD ha de entenderse en el marco de los derechos de los interesados en relación con la transparencia, principio que debe regir el tratamiento de los datos conforme al artículo 5.1
47. a)del RGPD. En este sentido, el artículo 12.1 del RGPD determina que: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14 (…) en forma concisa, transparente, inteligible y de fácil acceso con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño.” Por otro lado, el Considerando 58 del RGPD prevé la posibilidad facilitar la información necesaria a través de un sitio web en los siguientes términos: “