1/13 Expediente Nº: EXP202202885 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 28 de junio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a FESTINA LOTUS S.A. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202202885 IMI Reference: A56ID 375257- Case Register: 458465 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 16 de septiembre de 2021 interpuso reclamación ante la autoridad de protección de datos de Francia (CNIL). La reclamación se dirige contra FESTINA LOTUS S.A., con CIF A08663684 (en adelante, FESTINA). Los motivos en que basa la reclamación son los siguientes: La parte reclamante solicitó que eliminaran su cuenta del sitio web de FESTINA en dos ocasiones, en fecha 23 de julio de 2021 y 7 de agosto de 2021 sin haber obtenido respuesta. Junto a la reclamación se aporta: - Impresión de pantalla de un correo electrónico remitido por la parte reclamante a dpo@festina.com, de fecha 23 de julio de 2021, con el siguiente contenido: “Bonjour, merci de clóturer mon compte Festina enregistré sous l'adresse mail "***EMAIL.1" et de supprimer toutes les informations personnelles me concernant de vos bases de données.” [Traducción no oficial: “Hola, por favor cierre mi cuenta de Festina registrada bajo la dirección de correo electrónico «***EMAIL.1» y elimine toda la información personal sobre mí de sus bases de datos.”] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 - Impresión de pantalla de un correo electrónico remitido por la parte reclamante a dpo@festina.com, de fecha 7 de agosto de 2021, con el siguiente contenido: “Bonjour, suite à mon précédent message du 23 juillet dernier, je redemande la suppressíon du compte enregistré sous l'adresse mail "***EMAIL.1" de votre site internet, ainsi que la suppressíon des informations personnelles me concernant de vos bases de données, conformément à la Loi Informatique et Libertés de la C.N.I.L. Cette précédente demande est en effet restée sans suite. Merci.” [Traducción oficial: “Hola, siguiendo con mi mensaje del pasado 23 de julio, solicito la eliminación de la cuenta registrada bajo la dirección de correo electrónico «***EMAIL.1» de su sitio web, así como la eliminación de mi información personal de sus bases de datos, de acuerdo con la Ley de Protección de Datos de la C.N.I.L. Esta solicitud anterior no ha sido respondida. Gracias.”] SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 9 de marzo de 2022 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) el día 10 de marzo de 2022. El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que FESTINA tiene su sede social y establecimiento único en España. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada”, además de la autoridad de protección de datos de Francia, las autoridades de Suecia, Bélgica, Hungría, Eslovaquia, Italia, Polonia, y la autoridad alemana de Baja Sajonia. Todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en el territorio de estas autoridades de control se ven sustancialmente afectados, o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. TERCERO: Con fecha 7 de junio de 2022, de conformidad con el entonces vigente artículo 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 El día 30 de noviembre de 2022, se presenta un escrito ante la AEPD en nombre de FESTINA como respuesta a requerimiento de información (este requerimiento de información fue accedido por FESTINA el 15 de noviembre de 2022), en el que se aporta, entre otra, la siguiente información: 1. Declaración de que la parte reclamante dio de alta su cuenta a través del formulario del sitio web www.festina.com, y, posteriormente, se dio de alta en el servicio de newsletter. Y se aporta una captura del registro de auditoría con la fecha y hora en la que la parte reclamante dio de alta su cuenta (el 14 de abril de 2021) y en la que se dio de alta en el servicio de newsletter (15 de abril de 2021). 2. Declaración de que la parte reclamante, posteriormente, se dio de baja en el servicio de newsletter el día 23 de junio de 2021 haciendo uso del enlace habilitado para ello en una comunicación. Y se aporta copia del registro de auditoría de un envío del día 23 de junio de 2021 en el que se aprecia que se realizó una baja de suscripción. En este registro de auditoría también se observa un registro compatible con el alta, que es de fecha 15 de abril de 2021. 3. Indicación de que las comunicaciones de fecha 23 de julio de 2021 y 7 de agosto de 2021, remitidas por la parte reclamante a la dirección dpo@festina.com no pudieron ser atendidas por el delegado de protección datos debido a que <<Dada la gran cantidad de correo “spam” que reciben las cuentas de correo, el filtro de la cuenta interpretó que el correo de (…) con extensión “(…)” era un correo no deseado y por esta razón no fue detectado y nunca fue contestado.>> 4. Declaración de que <<el mecanismo en línea que se indicaba en la política de privacidad para ejercitar los derechos de acceso, cancelación, rectificación, oposición, portabilidad etc. ante FESTINA LOTUS SA, era otro, articulado a través del enlace indicado en la política de privacidad (www.corporateethicline.com/festina)>>, y declaran que la parte reclamante ejercitó su derecho de supresión a través de este canal el día 15 de junio de 2022, procediéndose a la supresión de sus datos, lo cual fue comunicado a la parte reclamante mediante un correo electrónico remitido a la parte reclamante desde la cuenta de correo lopd@festina.com el día 13 de julio de 2022. 5. Impresión de pantalla del registro de una solicitud del canal “CORPORATE-ETHIC LINE” de fecha 15 de junio de 2022 de la parte reclamante, con el siguiente texto: “Bonjour, je sollicite la clôture de mon compte client enregistré sous l'adresse mail "***EMAIL.1", ainsi que mon droit d'annulation des données personnelles en demandant la suppression de toutes les informations personnelles me concernant de vos bases de données, conformément à l'article 17 du RGPD et l'article 5 du LPD. Merci.” [Traducción no oficial: “Hola, solicito el cierre de mi cuenta de cliente registrada bajo la dirección de correo electrónico «***EMAIL.1», así como mi derecho de supresión de mis datos personal solicitando la eliminación de toda la información personal que me concierna de sus bases de datos, de conformidad con el artículo 17 del RGPD, y Artículo 5 de la LPD. Gracias.”] 6. Impresión de correo electrónico de fecha 13 de julio de 2022 remitido por lopd@festina.com hacia la dirección ***EMAIL.1 con un documento PDF adjunto y el siguiente contenido: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 “Bonsoir, (…), Dans le document ci-joint, vous trouverez le certificat attestant que toutes vos données personnelles ont été supprimées de nos bases de données et d'autres informations de votre intérêt. Cordialement, FESTINA LOTUS, S.A. - Data Protection Officer” [Traducción no oficial: “Buenas noches, (…), En el documento adjunto, encontrará el certificado de que todos sus datos personales han sido eliminados de nuestras bases de datos y otra información de su interés. Cordialmente, FESTINA LOTUS, S.A. - Delegado de Protección de Datos”] 7. Copia del “Documento justificativo de la supresión de datos ejercitada”, consistente en una comunicación firmada y dirigida a la parte reclamante con el siguiente contenido: “Conformément à votre demande formulée par le biais de notre canal éthique de la ligne corporative, et conformément aux dispositions du règlement général sur la protection des données (UE) 2016/679, de la loi organique 3/2018, du 5 décembre, sur la protection des données et la garantie des droits numériques et du décret royal 1720/2007, du 21 décembre, je vous écris en ma qualité de représentant de FESTINA LOTUS, S.A., dont le siège social est situé à 28002 - Madrid, Calle Velázquez, 150, 3º 1ª, pour certifier ce qui suit: Que conformément à votre demande, nous avons procédé à l'examen de l'existence de vos données personnelles dans nos bases de données et nous vous informons que vos données ne figurent plus dans aucune des bases de données de notre société. Nous vous rappelons également que vous avez sélectionné l'option de désinscription le 23 juillet 2021. Pour toutes ces raisons, et étant donné que notre société souhaite respecter scrupuleusement vos souhaits, nous vous informons que ce sera la dernière communication que nous aurons avec vous. Meilleures salutations.” [Traducción no oficial: “De acuerdo con su solicitud realizada a través de nuestro canal ético de la línea corporativa, y de conformidad con lo dispuesto en el Reglamento General de Protección de Datos (UE) 2016/679, Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y Garantía de Derechos Digitales y el Real Decreto 1720/2007, de 21 de diciembre, me dirijo a usted en mi calidad de representante de FESTINA LOTUS, S.A., con domicilio social en 28002 — Madrid, Calle Velázquez, 150, 3.º 1ª, para certificar lo siguiente: Que, de acuerdo con su solicitud, hemos examinado la existencia de sus datos personales en nuestras bases de datos y le informamos de que sus datos ya no están incluidos en ninguna de las bases de datos de nuestra C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 empresa. También le recordamos que seleccionó la opción de cancelación de suscripción el 23 de julio de 2021. Por todas estas razones, y dado que nuestra empresa desea respetar escrupulosamente sus deseos, le informamos que esta será la última comunicación que tendremos con usted. Los mejores saludos.”] 8. Indicación de que el canal para el ejercicio de derechos de protección de datos que antes estaba en la dirección web www.corporate-ethicline.com/festina, en el momento de presentar el escrito se había cambiado a la dirección htps://corporateline.com/cnormativo-grupofestina. El día 11 de abril de 2023, se obtiene, mediante el sitio web https://web.archive.org, el contenido histórico de la política de privacidad del sitio web de FESTINA en francés (“https://festina.com/fr-FR/legal/confidentialite”) y en español (https://festina.com/esES/legal/privacidad), obteniendo los siguientes resultados: 9. En el sitio web https://web.archive.org, el contenido histórico de la política de privacidad en francés anterior y más próximo a la fecha de presentación de las solicitudes de ejercicio del derecho de supresión de la parte reclamante es de fecha 20 de junio de 2021 y, dentro de su apartado dedicado al ejercicio de los derechos de protección de datos, se indica, entre otras cosas, lo siguiente: “Les clients de FESTINA.COM, ont reconnu et peuvent exercer les droits d'accès, d'annulation, de rectification et d'opposition devant FESTINA LOTUS SA, soit par courrier à Vía Layetana nº 20 4ème étage, 08003 Barcelona en indiquant vos données personnelles et en joignant une copie du DNI, ou via le lien suivant: www.corporate-ethicline.com/festina . En cas de question relative à la protection de vos données, vous pouvez contacter par mail notre délégué à la protection des données du groupe en écrivant à l'adresse postale suivante: FESTINA LOTUS SA Délégué à la protection des données Via layetana 20 quatrième étage 08003 Barcelone (Espagne) Ou par email à l'adresse suivante: Délégué à la protection des données: dpo@festina.com” [Traducción no oficial: “Los clientes de FESTINA.COM, han reconocido y pueden ejercer los derechos de acceso, cancelación, rectificación y oposición ante FESTINA LOTUS SA, bien por correo postal a Vía Layetana n.º 20 4ª planta, 08003 Barcelona, indicando sus datos personales y adjuntando copia del DNI, bien a través del siguiente enlace: www.corporate-ethicline.com/ festina. En caso de una pregunta relacionada con la protección de sus datos, puede ponerse en contacto por correo electrónico con nuestro delegado de protección de datos del grupo escribiendo a la siguiente dirección postal: FESTINA LOTUS SU Oficial de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 Via Layetana 20 cuarta planta 08003 Barcelona (España) O por correo electrónico a la siguiente dirección: Delegado de Protección de Datos: dpo@festina.com”] QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad FESTINA LOTUS S.A. es una empresa de tipo “Matriz de grupo” constituida en el año 1980, y con un volumen de negocios de 117.120.920 euros en el año 2021. SEXTO: Con fecha 24 de mayo de 2023, la Directora de la AEPD adoptó un proyecto de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, ese mismo día se transmitió a través del sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación del presente procedimiento sancionador quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64.5 de la LOPDGDD. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades están de acuerdo con dicho proyecto de decisión y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con lo dispuesto en los artículos 58.2 y 60 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 y 68.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que FESTINA C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas nombre y apellidos, DNI, direcciones postales o electrónicas, datos económicos y/o bancarios, entre otros tratamientos. FESTINA realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que FESTINA está establecida en España, si bien presta servicio a otros países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, FESTINA tiene su establecimiento único en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. Por su parte, el artículo 17 del RGPD regula el derecho de supresión (derecho al olvido) III Derecho de supresión (Derecho al olvido) El Artículo 17 “Derecho de supresión («el derecho al olvido»)” del RGPD establece: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.