PS-00185-2022

1/56  Expediente N.º: PS/00185/2022 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 26 de febrero de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la entidad MINISTERIO DE CULTURA Y DEPORTE, con NIF S2800237F (en adelante, la parte reclamada, el Ministerio o MCD), como responsable de la plataforma “eBiblio”. Los motivos en que basa la reclamación son los siguientes:

1. a)Cuestiona que se le obligue a registrarse como usuario de Adobe si desea utilizar “eBiblio” en su “ereader”, y lo interpreta como una cesión de datos a Adobe.
2. b)Manifiesta que sus comentarios y puntuaciones se comparten con la empresa “Babelio”.
3. c)Seguidamente, detalla una serie de anomalías que deduce de la información que se incluye en los documentos “Condiciones de uso y privacidad de eBiblio” y “Política de Privacidad de eBiblio” (señala los enlaces que conducen a estos documentos, que manifiesta haber obtenido en fecha 28/01/2021), e indica el incumplimiento normativo que se produce, a su juicio, para cada una de esas anomalías: 1. “El rol del adjudicatario (Distribuidora Digital de Libros, S.A.U., en lo sucesivo LIBRANDA; empresa perteneciente al grupo empresarial canadiense “De Marque”) es de encargado del tratamiento y no deco-controlador o corresponsable”, según la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público, disposición adicional vigésima quinta. Supone un incumplimiento del artículo 28.10 del RGPD, por cuanto el encargado del tratamiento determina medios y fines del tratamiento. En este mismo punto, advierte que de existir corresponsabilidad en el tratamiento de datos personales entre la entidad MCD y las Comunidades y Ciudades Autónomas, estas entidades incumplen lo establecido en el artículo 26 del RGPD, que obliga a publicar el acuerdo de corresponsabilidad y a identificar a todos los corresponsables. 2. “La identificación del responsable del tratamiento es incorrecta e incompleta”. Entiende la parte reclamante que se incumple el artículo 13 del RGPD al no informar de todos los datos del responsable y corresponsables, en su caso. Y añade que “en el supuesto de considerarse a Libranda corresponsable del tratamiento también se incumpliría la LSSICE al ser Libranda un prestador ubicado en España” (artículo 10.1
4. b)C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/56 3. “Para prestar los servicios se hace necesaria la participación de Adobe (crear una cuenta) y Babelio en calidad de responsables del tratamiento puesto que hay que entregar datos y aceptar condiciones y políticas de privacidad independientes”. Entiende que se trata de cesiones de datos que el usuario se ve obligado a aceptar para poder utilizar el servicio. Y si aquellas entidades son encargados no pueden recoger datos como responsables. Además, señala la parte reclamante que el Ministerio dispone de medios para no tener que obligar al usuario a registrarse en Adobe. 4. “Se indica que pueden recoger datos de ubicación sin especificar finalidad, legitimación, plazo de conservación, etc.”, en contra de lo dispuesto en el artículo 13 del RGPD. 5. “Utilización de cookies estadísticas de terceros sin cumplir con las obligaciones de consentimiento para su instalación”, lo que vulnera, según la parte reclamante, los artículos 7 y 13 del RGPD y artículo 22 de la LSSICE, en caso de que fuera de aplicación. 6. “Utilización de cookies estadísticas de terceros con posible alojamiento en EEUU sin informar de las debidas garantías aplicadas”. Se indica que la información “generalmente” se almacena en servidores seguros en Europa, lo que da a entender que en algunos casos puede alojarse fuera, sin especificarlo. Se incumplen los artículos 13, 6, 7 y 44 del RGPD. 7. El consentimiento no es la base que legitima la recopilación, transferencia, almacenamiento, uso y control de la información personal, como se dice en la Política de Privacidad: las causas de legitimación en AAPP son otras y, en concreto, en este caso. Se incumple al artículo 6 del RGPD. 8. No se puede acceder al servicio si no se acepta la Política de Privacidad en su conjunto; no hay un consentimiento granular que valide cada cuestión de forma independiente, en contra de lo dispuesto en el artículo 7 del RGPD. 9. Almacenamiento en EEUU y/o Canadá sin especificar las medidas adoptadas para cumplir el RGPD en materia de transferencias internacionales, de conformidad con el artículo 44 de dicho Reglamento. Sobre las medidas de seguridad, señala que al ser proveedores de Administraciones Públicas deben aplicarse las medidas de seguridad contenidas en el Esquema Nacional de Seguridad (disposición final primera de la LOPDGDD). 10. Plazo de conservación de 6 años no justificado. 11. El documento “Términos y condiciones” no parece redactado originariamente en castellano, lo que dificulta la comprensión (artículo 12.1 del RGPD). 12. En el apartado “Tu contenido” del documento “Términos y condiciones” se presta una “licencia irrevocable, perpetua, no exclusiva, transferible y gratuita para copiar, modificar, mostrar o usar su contenido”: se incumplen los artículos 7 (consentimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/56 revocable) y 13 (no indica los posibles destinatarios) del RGPD. Aporta impresiones de pantalla sobre la creación de un usuario en Adobe desde el apartado “Ayuda” de la web “eBiblio” y de la información sobre “Babelio” que se ofrece antes de insertar un comentario o crítica. Asimismo, aporta copia de los documentos “Plataforma eBiblio. Condiciones de Uso” y “Plataforma eBiblio. Política de Privacidad”, cuyo contenido consta reseñado en Anexos 2 y 3. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada y a la entidad adjudicataria LIBRANDA, para que procediesen a su análisis e informasen a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido por ambas entidades en fecha 25/05/2021 como consta en el acuse de recibo que obra en el expediente. 1. Con fecha 11/06/2021 se recibe en esta Agencia escrito de respuesta del Ministerio reclamado, en el que informó lo siguiente: “eBiblio” es un servicio gratuito de préstamo de libros electrónicos en línea ofrecido a través de las bibliotecas públicas españolas. Está coordinado e impulsado por el MCD en colaboración con los servicios de bibliotecas de las Comunidades Autónomas. Se basa en la cooperación entre administraciones por el cuál, el Ministerio ofrece a las CC.AA. la plataforma encargada de la gestión del servicio y un fondo de títulos comunes. Las Comunidades adaptan e incrementan la colección en función de los intereses y particularidades de sus usuarios. Esto permite a las CCAA ofrecer un servicio de préstamo de documentos electrónicos (libros, revistas y audiolibros), a través de sus respectivas redes de bibliotecas públicas. El servicio es accesible “24x7” a través de internet y permite la lectura tanto en línea como a través de descarga. Además, dispone de una aplicación gratuita para dispositivos móviles que gestiona todas las actividades relacionadas con el préstamo y la lectura de documentos. Señala que para utilizar el servicio “no se requiere en ningún momento la aportación de datos de carácter personal”, sino que sería suficiente con disponer de un dispositivo de lectura compatible con el formato de publicación de los contenidos, acceso a internet y el carnet de cualquiera de las bibliotecas públicas que participan en el servicio o equivalente. Para hacer uso del servicio, el usuario deberá autenticarse mediante el número de carnet de la biblioteca y una contraseña. Para ello, la plataforma utiliza un sistema web ya desarrollado por el Ministerio con el que cuentan los diferentes sistemas integrados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/56 de gestión bibliotecaria utilizados por las redes de bibliotecas de las CCAA participantes en el servicio “eBiblio”. Este sistema se conecta con la base de datos que contiene los datos de identificación de los usuarios de bibliotecas públicas en cada red para validarlos y son utilizados únicamente para que dichos usuarios realicen el servicio de préstamos. El MCD adquiere la plataforma de gestión del servicio “eBiblio” a través de procedimiento abierto, con el fin de adjudicarlo a un licitador que, cumpliendo los requisitos de los Pliegos de Prescripción Técnica y del Pliego de Cláusulas Administrativas Particulares, proporcione una plataforma comercial de gestión de licencias de libros electrónicos y contenidos digitales. En cuanto al servicio “eBiblio”, se pone de manifiesto que desde el Ministerio no se requiere al usuario del mismo ningún dato de carácter personal y por tanto no almacena en sus servidores información sujeta al RGPD. Los datos de los usuarios son recabados por las bibliotecas al solicitar el carnet y estos datos son incorporados a la base de datos de la red de bibliotecas autonómicas. Entiende el citado Ministerio que no es responsable del tratamiento de los datos de los usuarios del servicio, puesto que no posee dichos datos. Respecto a la función del Ministerio, además de la contratación de la plataforma y la adquisición de la mayor parte de los contenidos, esta consiste en facilitar el contacto entre la empresa adjudicataria y las CCAA, que son las competentes en la materia. El MCD, con su respuesta al traslado aporta copia del Contrato suscrito por dicho Ministerio con la entidad LIBRANDA, de fecha 16/12/2020, por el que se encarga a esta entidad la “implementación del sistema de gestión informático del servicio de préstamos de libros electrónicos “eBiblio” que permita los préstamos de los documentos electrónicos alojados en aquél (ebook, audio, publicaciones periódicas, video, etc.”, así como copia del Pliego de Cláusulas Administrativas Particulares y Pliego de Prescripciones Técnicas que rigen esta contratación (Hechos Probados Tercero a Quinto). El contenido del Pliego de Prescripciones Técnicas consta reseñado en Anexo 1. 2. Con fecha 26/06/2021, se recibió respuesta al traslado de la entidad LIBRANDA, en la que manifiesta lo siguiente: . Política de Privacidad En el mes de marzo de 2021 se realizó una revisión y actualización de la Política de Privacidad que resolvió algunas de las deficiencias puestas de manifiesto en la reclamación. Señala que la reclamación se basa en una Política de Privacidad desactualizada. . Rol de LIBRANDA como adjudicataria De acuerdo con la contratación formalizada, LIBRANDA proporciona la plataforma “eBiblio” con una serie de particularidades técnicas y funcionales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/56 LIBRANDA debe contar con un sistema para identificar a un usuario con la biblioteca o red de bibliotecas, por lo que accede a los sistemas de gestión bibliotecaria para contrastar los números de carné de biblioteca con los insertados por los usuarios al registrarse en la plataforma “eBiblio”. Utiliza este número de carné para realizar la autenticación a través de los sistemas de gestión bibliotecaria, pero en ningún momento almacena dicho dato. Señala que ha ajustado el contenido de la Política de Privacidad para reflejar con mayor claridad del rol de LIBRANDA como encargado del tratamiento de datos personales, teniendo en cuenta la Disposición adicional vigesimoquinta segunda de la Ley 9/2017 de 8 de noviembre de Contratos del Sector Público (“LCSP”), la cual establece que “2. Para el caso de que la contratación implique el acceso del contratista a datos de carácter personal de cuyo tratamiento sea responsable la entidad contratante, aquel tendrá la consideración de encargado del tratamiento”. . Identificación de LIBRANDA en la Política de Privacidad En la Política de Privacidad se identifican claramente los datos sociales de LIBRANDA, con indicación de su denominación social, dirección postal, dirección de correo electrónico y un teléfono. Añade que ha incluido en la repetida Política de Privacidad los datos de cada biblioteca como responsable del tratamiento de datos, mediante una remisión al sitio web de la biblioteca correspondiente. . Tratamiento de datos personales por terceros Respecto al acceso al servicio DRM (Digital Rights Manager) de Adobe, el cual permite la descarga de contenidos para lectura en “ereader” y en PC con el programa “Adobe Digital Editions”, aseguran que fue una función solicitada por el Ministerio y las diferentes comunidades para los usuarios que prefieren ese método de lectura. El registro en Adobe no es una condición indispensable para acceder al servicio prestado por LIBRANDA, puesto que es posible acceder a los contenidos de la plataforma en streaming, a través de cualquier navegador con conexión a internet, y utilizando teléfonos inteligentes o tabletas, para lo cual el usuario debe descargarse la aplicación móvil correspondiente. En cuanto a Babelio, informa de que es una herramienta para la calificación de libros que cuenta con su propia política de privacidad, cuya aceptación no es obligatoria para acceder al servicio de “eBiblio”. Además, en marzo de 2021 se ajustó el formulario para publicar evaluaciones relativas a los títulos de “eBiblio”, añadiendo una casilla sin premarcar para que el usuario pueda aceptar las condiciones de “Babelio”, así como un enlace a la política de privacidad de esa entidad. . Datos de ubicación Los datos de ubicación se recogen únicamente mediante las cookies de Google Analytics, para generar estadísticas e informes sobre la navegación en la plataforma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/56 Advierte que se ha añadido un enlace a la política de privacidad de Google Analytics. . Uso de cookies Sobre el uso de cookies estadísticas de terceros, manifiesta que al proporcionar la identidad de Google y con la remisión a la política de privacidad de esta entidad se da cumplimiento a la obligación de información prevista en el artículo 13 del RGPD. Asimismo, añade que ha adoptado un sistema que posibilita la aceptación, rechazo o revocación del consentimiento para el uso de cookies de Google Analytics. . Transferencias internacionales Señala LIBRANDA que la Política de Privacidad se remite a la de Google Analytics, y que informa sobre las garantías adoptadas respecto a los datos almacenados en EEUU por parte de Google Analytics y sobre el uso de cláusulas contractuales tipo redactadas por la Comisión Europea en los contratos suscritos entre las partes que transfieren datos personales. Por otro lado, señala LIBRANDA que informa expresamente de la ubicación de los servidores donde se almacenan los datos personales recopilados en el apartado “Medidas de Seguridad” de la Política de Privacidad de la plataforma. Se ha clarificado en dicha Política que los datos recopilados se almacenan en Europa y se especifica cuándo se almacenan fuera de ella. . Base legítima del tratamiento Indica LIBRANDA que nada impide que el tratamiento pueda basarse en más de una de las opciones establecidas en el artículo 6 del RGPD, ni tampoco que una administración pública no pueda basarse exclusivamente en el consentimiento para tratar datos personales de un servicio de acceso a bibliotecas públicas. Entiende que el consentimiento es la base jurídica que legitima el tratamiento de los datos, puesto que es la misma base jurídica que utilizan las bibliotecas públicas en calidad de responsables del tratamiento. LIBRANDA ostenta el rol de encargado del tratamiento, y, en consecuencia, no decide sobre la base que legitima el tratamiento de los datos. . Consentimiento por finalidades La finalidad “para facilitar el préstamo de los documentos incluidos en la plataforma” prevista en el “Cuadro-Resumen” del Pliego de Cláusulas Administrativas Particulares es la única finalidad para la cual se requiere el consentimiento del usuario, no habiendo otras finalidades distintas que requieran un consentimiento adicional. Informa que ha ajustado la Política de Privacidad para clarificar la finalidad y explicar los concretos tratamientos de datos personales que se llevan a cabo. . Medidas de seguridad Realizó una autoevaluación respecto al cumplimiento de los esquemas nacionales de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/56 seguridad e interoperabilidad siguiendo la Guía de Seguridad de las TIC CCN-STIC 803, que está a disposición de la AEPD en caso de que sea necesaria. . Plazo de retención de datos Consideran que cometieron un error al indicar un plazo de conservación de datos de seis años, que ha sido modificado en la actualización de la Política de Privacidad realizada en marzo de 2021, habiendo previsto que una vez finalizado el servicio LIBRANDA devolverá o destruirá los datos personales, según la petición de cada biblioteca. . Claridad y sencillez en el lenguaje de la Política de Privacidad Considera LIBRANDA que, aunque la Política de Privacidad “original” se redactó en un idioma extranjero, “la información proporcionada es correcta, clara y sencilla, permitiendo al usuario comprenderla”. No obstante, han revisado el leguaje, mejorando determinadas definiciones y expresiones. . Retirada del consentimiento El apartado “Tu contenido” de las Condiciones de Uso se refiere “a la cesión de una licencia sobre los posibles derechos de propiedad intelectual que recaigan sobre el contenido compartido por el usuario en la plataforma”. No significa que el consentimiento para el tratamiento de datos no se pueda retirar. De la documentación que LIBRANDA aporta con su respuesta, cabe destacar la siguiente: A) “Documentación acreditativa de la vinculación entre los gestores de la plataforma eBiblio y el Ministerio de Cultura y Deporte en el caso de que exista una relación de encargado-responsable…”. “De acuerdo con la Disposición adicional vigesimoquinta segunda de la LCSP, Libranda al actuar como contratista, asumiría la posición de “encargada del tratamiento”. Por ello, entendemos que existe una relación de encargado-responsable entre Libranda y el Ministerio de Cultura y Deporte. Asimismo, se cumple con lo dispuesto en el artículo 28.3 RGPD a través del Contrato suscrito entre Libranda y el Ministerio de Cultura y Deporte de fecha 16 de diciembre de 2020 (en adelante el “Contrato”), en el cual hace referencia a la prestación de los servicios por parte de Libranda de acuerdo con el Pliego de Cláusulas Administrativas Particulares y el Pliego de Prescripciones Técnicas…, documentos que en su conjunto rigen la contratación del servicio… Los Pliegos establecen que el encargo del tratamiento se realizará de conformidad con la normativa nacional y de la Unión Europea en materia de protección de datos. En particular, los Pliegos proporcionan la siguiente información: i. El objeto del tratamiento encargado a Libranda se estipula en el apartado 3.3. del pliego técnico, en particular, se trata de la identificación del usuario de una biblioteca, pudiendo constituir dato personal tanto el número de carné de biblioteca como cualquier otro equivalente. ii. La duración del tratamiento de datos por parte de Libranda lo determina el contrato de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/56 prestación de servicios adjudicado a la misma. Es decir, que, una vez finalizado el servicio, Libranda devolverá o destruirá los datos personales, a discreción de cada biblioteca. iii. La naturaleza y finalidad del tratamiento se indican, además de en el apartado 3.3 del pliego técnico, en el apartado 17.bis del Cuadro-resumen del pliego administrativo. En éste, claramente se describe que la finalidad del tratamiento de los datos cedidos es “para facilitar el préstamo de los documentos incluidos en la plataforma”. iv. Asimismo, el tipo de datos objeto de tratamiento y la categoría de interesados se indican en el pliego técnico, en concreto en su apartado 3.3 cuando se especifica que los datos serán “su número de carné de biblioteca o equivalente”, en consecuencia, se trata de datos de identificación, y que los interesados son “los usuarios de cada red de bibliotecas”. v. Finalmente, las particularidades del artículo 28.3
5. a)a
6. h)se incluyen en el pliego administrativo, cláusula 16 bis, por remisión al RGPD…”. B) Política de Privacidad, según su versión actualizada en fecha 23/06/2021. El contenido de esta versión consta reproducido en ANEXO 4. TERCERO: Con fecha 30/07/2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 13/05/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción de los artículos 28.3 y 13 del RGPD, tipificada, respectivamente, en los artículos 83.4.
7. a)y 83.5.
8. b)del mismo Reglamento; y calificadas como grave y leve a efectos de prescripción en los artículos 73.
9. k)y 74.
10. a)de la LOPDGDD. En el acuerdo de apertura se determinó que las sanciones que pudieran corresponder, de confirmarse las infracciones, sería de apercibimiento; y se advertía que las infracciones imputadas podrán conllevar la imposición de medidas, según el citado artículo 58.2
11. d)del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que solicita el archivo del procedimiento en base a las consideraciones siguientes: 1. En relación con el cumplimiento del artículo 28.3 del RGPD. La entidad MCD no es el responsable del tratamiento de los datos recopilados por el acceso y uso de la plataforma eBiblio. Dicha responsabilidad es asumida por las Comunidades Autónomas que gestionan el servicio de forma única y exclusiva en sus respectivos territorios, haciéndose responsables de los datos al incorporar dentro de la “Política de Privacidad” de la página eBiblio de cada territorio un enlace al sitio web de la biblioteca correspondiente. Es decir, no se da la relación dual habitual de contratante-ejecutante, que se correspondería con responsable y encargado de tratamiento, sino unos órganos intermedios sobre los que recae la relación con los ciudadanos y el préstamo de los libros (con el soporte técnico del ejecutante del contrato), que son las Comunidades y Ciudades Autónomas. Siguiendo la doctrina de la AEPD de 20/11/2019 y la STS 772/2020, el concepto de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/56 responsable del tratamiento no es formal sino funcional, y el Informe 0064/2020 del Gabinete Jurídico de la AEPD que se cita en la notificación: “en la mayoría de los supuestos deba atenderse a las circunstancias del caso concreto (case by case) atendiendo a sus necesidades reales”. En este caso concreto, el responsable del tratamiento, desde un punto de vista funcional, no puede ser el MCD pues ni accede ni necesita acceder a dato alguno relacionado con los usuarios del servicio. El papel del MCD es de “financiador” de una plataforma de gestión de préstamo de contenidos electrónicos que ofrece de forma voluntaria a las CC.AA., que son en última instancia las que deciden o no utilizarla y en qué términos. Señala el informe de la AEPD en ese mismo Fundamento II que “la entidad MCD es responsable del tratamiento de estos datos incluso aunque no tenga acceso a ellos”. Indica que es así, siguiendo las Directrices 7/2020 del Comité Europeo de Protección de Datos que se refiere al caso de que se hubiera externalizado una actividad de tratamiento, caso que no se da en este supuesto. El MCD considera que son las Comunidades y Ciudades Autónomas participantes en el servicio eBiblio quienes son responsables de los datos, como se establece directamente en las páginas web del servicio dentro de sus respectivos ámbitos territoriales y puede comprobarse, según el Ministerio, en el documento que acompaña, el cual corresponde a la información disponible en “eBiblio Andalucía” (seleccionada según orden alfabético). En este documento aportado se indica: <<Política de privacidad y responsabilidad En la Política de privacidad de eBiblio diseñada por LIBRANDA, SA [disponible en: https://guiadeuso.ebiblio.es/confluence/ebiblio-user/es/preguntas-frecuentes/condicionesgenerales/plataforma-web/plataforma-web-politica-de-privacidad], se expone: “La administración local de su biblioteca (la Biblioteca) es la responsable del tratamiento de sus datos personales. Puede encontrar la identidad y datos de su Biblioteca, así como los datos del delegado de protección de datos que corresponda, accediendo al sitio web de la misma”. eBiblio Andalucía En la pestaña de “Información” del portal eBiblio Andalucía https://andalucia.ebiblio.es/about], aparece el siguiente apartado: [disponible en: 1.1. Datos de acceso ¿Cómo puedo hacerme usuario? Los requisitos para acceder a eBiblio Andalucía son: • Tener tarjeta de usuario (carné de lector) de alguna biblioteca de la Red de Bibliotecas Públicas de Andalucía. Si aún no dispone de la tarjeta de usuario puede dirigirse a la biblioteca más cercana de la Red o tramitar la solicitud online, si tiene certificado digital. • Disponer de una cuenta de correo electrónico activa y única (una por lector), que habrá comunicado a su biblioteca para que la asocien a su tarjeta de usuario. • Una contraseña, que seguramente le facilitaron en su biblioteca cuando se inscribió como lector (es la misma que se utiliza para entrar en el Catálogo de la Red de Bibliotecas Públicas de Andalucía). Al acceder al trámite online de tarjeta de usuario, nos dirige a la siguiente página de información de la Red de Bibliotecas de Andalucía: (se inserta la imagen de la página “Red de bibliotecas públicas de Andalucía”, que incluye C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/56 enlaces para solicitar la tarjeta de usuario). En la parte inferior de la página, encontramos una cláusula de protección de datos que indica: “En cumplimiento de lo dispuesto en el Reglamento General de Protección de Datos, le informamos que:
12. a)El Responsable del tratamiento de sus datos personales es: Dirección General de Patrimonio Histórico y Documental cuya dirección es: C/ Levíes, 27. -- 41004 -- Sevilla
13. b)Podrá contactar con el Delegado de Protección de Datos en la dirección electrónica dpd.ccul@juntadeandalucia.es
14. c)Los datos personales que nos proporciona son necesarios para: gestión de los servicios de préstamo y consulta de la Red de Bibliotecas Públicas de Andalucía, cuya base jurídica se sustenta en: Orden 24 de septiembre de 2001 (BOJA núm. 129, de 8.11.2001), que regula el acceso, servicios y servicio de préstamo de la Red de Bibliotecas Públicas de Andalucía, modificada por: Orden de 30 de julio de 2007, por la que se modifica la de 24 de septiembre de 2001, por la que se regula el acceso, servicios y servicio de préstamo de las Bibliotecas de la Red de Bibliotecas Públicas de Andalucía (BOJA núm. 170 de 29.8.2007) y Orden de 29 de diciembre de 2008, por la que se establecen los requisitos para la obtención de la tarjeta de usuario de la Red de Bibliotecas Públicas de Andalucía (BOJA núm. 17 de 27.1.2009)”>>. El hecho de que las CC.AA. aparezcan como responsables en sus páginas web eBiblio, pone de manifiesto esta disociación de competencias y, por tanto, de responsabilidades. Es decir, por una parte, el MCD ofrece a las CC.AA. la plataforma encargada de la gestión del servicio, no teniendo en ningún caso, acceso a los datos de carácter personal de los usuarios ni expresando por tanto cualquier información sobre el tratamiento de los mismos. La Comunidad Autónoma actúa como responsable del tratamiento de los datos que alberga y conecta con los sistemas de gestión integradas de sus respectivas redes de bibliotecas, dado que es quien determina en última instancia los fines y los medios de los mismos, como gestor del carné de usuario de las respectivas redes de bibliotecas que ofrecen exclusivamente en sus respectivos territorios. Considera que la confusión sobre la determinación del Ministerio como responsable de los datos puede deberse a una interpretación de los Pliegos y Cláusulas Administrativas Particulares para la contratación de la plataforma de gestión del servicio a través de procedimiento abierto. Para evitar esta interpretación, que no obedece al espíritu ni al objeto perseguido, vamos a mejorar la redacción de dichos pliegos y cláusulas futuras. Si bien, en los pliegos y cláusulas administrativas particulares queda claro que el objetivo es la implementación del sistema de gestión del servicio de préstamo de contenidos digitales con el fin de que el servicio a nivel nacional no quede nunca interrumpido, no apareciendo en ningún momento mención sobre la gestión de los datos personales de los usuarios, que se realizan, como ya se ha indicado, entre las bibliotecas de las Comunidades y Ciudades Autónomas y la empresa actualmente adjudicataria. Las CC.AA. tienen competencia sobre las bibliotecas de interés para las mismas y son responsables de la gestión de los servicios que ofrecen en sus territorios (Artículo 148.1.15 de la Constitución Española) y no el Estado. El MCD no puede, dado que no tiene competencias para ello, imponer ningún fin sobre lo que no tiene competencias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/56 Las actividades de tratamiento se producen en las páginas web eBiblio territoriales porque son las propias bibliotecas las responsables legales de sus servicios y los datos de sus usuarios y la aportación del Ministerio consiste en facilitarles la continuidad de la infraestructura necesaria para su extensión al mundo virtual. 2. En relación con el cumplimiento del artículo 13 del RGPD, en relación con los artículos 4 y 12.1 del RGPD . El MCD sostiene, de acuerdo con las normas que conforman el bloque de constitucionalidad, que las comunidades autónomas participantes en eBiblio son las responsables tanto de la gestión del servicio (ex lege) como del tratamiento de datos en sus respectivos territorios. En este sentido, las CCAA son quienes se encargan de emitir los carnés de usuarios de sus redes de bibliotecas y recogen los datos del usuario necesarios para este fin y para el uso del servicio de préstamo de contenidos digitales eBiblio, siendo por tanto las responsables de los datos y de proporcionar la información que debe facilitarse en cumplimiento del artículo 13 del RGPD. Dicha información, aparece recogida en las webs de cada servicio eBiblio autonómico, tal y como se puede comprobar a través de sus links de acceso (indica estos links correspondientes a cada una de las CCAA). La responsabilidad en el tratamiento de los datos recopilados por el acceso y uso de la plataforma eBiblio es asumida por las Comunidades Autónomas que gestionan el servicio de forma única y exclusiva en sus respectivos territorios, haciéndose responsables de los datos al incorporar dentro de la “Política de Privacidad” de la página eBiblio de cada territorio un enlace al sitio web de la biblioteca correspondiente. Es, como se señalaba en el apartado primero de este escrito de alegaciones, un trasunto digital de una biblioteca física. La competencia de esa gestión no varía. No obstante, dos cuestiones a tener en cuenta: En cuanto al lenguaje e información de protección de datos personales que se facilita al usuario, la página web se ha ido actualizando desde el año 2021, tomándose las medidas oportunas para subsanar cualquier de las deficiencias descritas en el expediente de la AEPD y que son públicas actualmente desde la web eBiblio. Dicha web es la herramienta de información principal al usuario y utiliza un lenguaje transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo que puede ser leída y comprendida por un menor, ya que es parte del posible público objetivo del servicio al contar con contenido dirigido a público adulto, juvenil e infantil. Se puede comprobar el cambio de estilo de lenguaje comparando las versiones web que estaban vigentes en el momento de la reclamación