← España

PS-00342-2024

1/26  Expediente N.º: EXP202403121 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 20 de agosto de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a MOBILITY EVOLUTION S.A. (en adelante, MOBILITY), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202403121 IMI Reference: A56ID 610581- Case Register 628140 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: En fecha 14 de enero de 2024 se interpuso reclamación ante la autoridad de protección de datos Baviera-Sector Privado. La reclamación se dirige contra MOBILITY EVOLUTION S.A. con NIF A16591984 (en adelante, MOBILITY). Los motivos en que basa la reclamación son los siguientes: La parte reclamante y otra persona que lo acompañaba alquilaron en julio de 2023, una bicicleta eléctrica en Mallorca a través de la aplicación ***APP.1, que recogió muchos datos personales (nombre, dirección, correo electrónico datos de la tarjeta de crédito y datos de localización). Al llegar a Alemania, activaron la función de eliminación de la cuenta en la aplicación, que les indicó que serían informados cuando el proceso de eliminación se hubiese completado. En concreto en su reclamación ponía de manifiesto: “Mi amigo y yo usamos la aplicación ***APP.1, cada uno con sus propias cuentas, en Mallorca en julio de 2023 para alquilar una Bicicleta. La aplicación recopila muchos datos personales para su uso (nombre, dirección, número de teléfono móvil, correo electrónico, datos de la tarjeta de crédito, datos de ubicación). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/26 Inmediatamente después de nuestra llegada a Alemania, activamos la función de eliminación de cuenta de la aplicación. La función me informó que será informado de la eliminación después de que el proceso correspondiente haya sido procesado. Como no se produjo la eliminación, me puse en contacto con la dirección de correo electrónico especificada (***EMAIL.1) el 6.8.2023 en inglés con una solicitud de eliminación de mi cuenta. (Art. 17 RGPD) Hasta ahora, no he recibido una respuesta y la cuenta aún no se ha eliminado. Las cuentas afectadas están registradas con la dirección de correo electrónico (…) Con la ayuda de estas direcciones, el registro de datos debe ser claramente identificable en la empresa. Por razones de economía de datos, le pediría, preferiblemente, que nombre solo las direcciones de correo electrónico de la cuenta a la empresa. Otros usuarios también notan a través de las revisiones de la aplicación que sus cuentas no se han eliminado. (…) Por lo tanto, en mi opinión, puede haber una violación del artículo 17 del RGPD, que ahora le informo como autoridad supervisora con la ayuda de este formulario. Si está de acuerdo con mi apreciación o encuentra otra vulneración, por favor coordínelo con la autoridad de protección de datos de otros países de la UE. Si tiene alguna pregunta, no dude en ponerse en contacto con nosotros. Sinceramente,” (…) Como la eliminación no se produjo, el 6 de agosto de 2023 la parte reclamante se puso en contacto (en inglés), con la dirección de correo electrónico especificada en la aplicación (***EMAIL.1) solicitando la eliminación de su cuenta. El contenido de dicho correo era el siguiente (en inglés, el original): “Muy señor mío: Por favor, elimine mi cuenta (…) inmediatamente. Por favor, confirme la eliminación de mi cuenta. Gracias de antemano.” El 14 de enero de 2024, dado que la parte reclamante no había recibido ninguna respuesta y las cuentas no se habían eliminado, presentó una reclamación ante la autoridad de Baviera - Sector Privado. Las cuentas afectadas son: ***EMAIL.2 y ***EMAIL.3. Junto a la reclamación se aporta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/26 -Correo electrónico enviado el 6 de agosto de 2023 por la parte reclamante a la dirección ***EMAIL.1 solicitando el borrado de su cuenta y su correspondiente confirmación. -Captura de pantalla de la aplicación ***APP.1 que muestra el siguiente mensaje tras la solicitud de cancelación: “Error (...) Deletion request in process”. -Correo electrónico de fecha 19 de febrero de 2024 por el que la parte reclamante confirma que sus datos aún no han sido eliminados. SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 23 de febrero de 2024 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) ese mismo día. El traslado de esta reclamación a la AEPD se realizó de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que MOBILITY tiene su establecimiento único en España. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, la autoridad de protección de datos BavieraSector Privado actúa como autoridad interesada, de acuerdo con lo dispuesto en el artículo 4.22) letra

  1. c)del RGPD, al ser la autoridad de control frente a la que se ha presentado la reclamación, sin que otras autoridades de control se hubieran declarado interesadas en el presente procedimiento. TERCERO: Con fecha 22 de marzo de 2024, de conformidad con el 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1. El 27 de junio de 2024, esta Agencia envió electrónicamente un requerimiento de información a la empresa MOBILITY al que ésta accedió el día 1 julio de 2024 a las 11:33. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/26 2. El día 11 de julio de 2024, se recibe en la AEPD una notificación de la autoridad de Baviera - Sector Privado, adjuntando un correo electrónico de la parte reclamante, en el que manifiesta que el 4 de julio de 2024 recibió un correo electrónico del proveedor ***APP.1 en el que se le comunicaba que las cuentas habían sido eliminadas. 3. El 15 de julio de 2024, se recibe respuesta de la reclamada al requerimiento de esta Agencia, en la que manifiesta la siguiente información relevante para la investigación: […] La solicitud que indica la parte reclamante fechada día 6/8/2023 no consta como recibida por esta entidad. […] De conformidad a lo solicitado por la parte reclamante, se ha procedido a hacer efectivo el desistimiento del usuario en el servicio, causando baja del mismo en fecha 4 de Julio de 2024 y simultáneamente se ha atendido el ejercicio del derecho a la supresión de sus datos. Adjunto como documento nº4 copia del procedimiento interno elaborado para la atención de derechos que ha sido observado para dar cumplimiento a la solicitud del reclamante. […] Se ha efectuado una investigación interna para determinar el alcance de la posible deficiencia y adoptar las oportunas medidas correctoras. Fruto de ese trabajo se ha detectado un error en la programación de la acción de desistimiento y consecuente baja del servicio impulsada por el reclamante. Para mitigar los efectos de la anomalía, corregirla y evitar que se reproduzca, se han adoptado las siguientes medidas:  Se ha subsanado el referido error de programación.  Se ha comprobado el proceso de desistimiento para garantizar que la efectiva baja del sistema se produce de forma simultánea a la inhabilitación de cualesquiera de las funcionalidades que permite operar al usuario activo.  Se ha activado la comunicación automática de la efectiva baja del servicio al servicio al usuario, siguiendo lo establecido en el procedimiento interno para atención de derechos del interesado. […]  Se ha revisado y modificado el sistema de control de bajas, estableciendo como nueva medida un barrido diario del sistema para garantizar la efectividad del desistimiento cuando es activada la baja del servicio por parte del usuario.  Se ha establecido que la Gerencia de ***APP.1 será responsable de la tarea de barrido diario y, asimismo, se ha previsto el puesto de trabajo sustituto que actuaría subsidiariamente en caso de ausencia del designado o necesidad de delegación por cualquier causa”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/26 Adjunta el documento: “Sistema de Gestión de la Privacidad (...) – Procedimiento Ejercicios de Derechos Versión: 2.0 Fecha: 08/07/2024”. En el control de las modificaciones de dicho documento se puede observar: “modificación del protocolo derecho supresión a través de la app de ***APP.1”, sin embargo, en el contenido del documento no se hace mención alguna a la posibilidad de ejercitar el derecho de supresión a través de la app: “En cuanto a los canales habilitados para la remisión de solicitudes de derechos en materia de privacidad, el responsable del tratamiento tiene habilitados los siguientes medios: -dirección postal: C/ Gran Vía Asima nº 24, 07009 Palma -correo electrónico: ***EMAIL.1 (…) Serán objeto de supresión y rectificación todos los datos personales cuyo tratamiento no se ajuste a la LOPDGDD y al RGPD, y en particular, los que resulten ser inexactos o incompletos. -Supresión: Según el artículo 32 de la LOPDGDD, la supresión de los datos, dará lugar al bloqueo de los mismos. El bloqueo de los datos consiste en la identificación y reserva de los mismos, adoptando medidas técnicas y organizativas, para impedir su tratamiento, incluyendo su visualización, excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos, para la exigencia de posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas. -Rectificación: Según el artículo 16 del RGPD, dará lugar a la corrección de los datos personales inexactos que conciernen al interesado El derecho de supresión permite al interesado solicitar que sus datos sean suprimidos si concurre alguna de las siguientes circunstancias (art. 17.1 RGPD): -Si los datos personales ya no fueran necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo. -Si el tratamiento se ha basado en el consentimiento que se prestó por el interesado y ya ha retirado dicho consentimiento, siempre que el citado tratamiento no se base en otra causa que lo legitime. -Si el usuario se ha opuesto al tratamiento, y no prevalezcan motivos para obviar la supresión de los datos. -Si los datos personales han sido tratados ilícitamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/26 -Si los datos personales deben suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros, que se aplique al responsable del tratamiento. -Si los datos personales se han obtenido en relación con la oferta de servicios de la sociedad de la información mediando el consentimiento de un menor. Únicamente se conservará a disposición de las Administraciones Públicas, Jueces, y Tribunales para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido dicho plazo deberá procederse a la supresión. Se exceptúa, sin embargo, el supuesto en el que se demuestre que los datos han sido recogidos o registrados por medios fraudulentos, desleales o ilícitos, en cuyo caso la supresión de los mismos comportará siempre la destrucción del soporte en el que aquellos figuren. La solicitud de supresión deberá indicar si revoca el consentimiento otorgado, en los casos en que la revocación proceda. Ésta no procederá cuando se pueda causar con ello un perjuicio a sus intereses legítimos o a los de terceros, o bien cuando exista una obligación de conservar los datos. (…)” 4. Se ha comprobado mediante diligencia de fecha 16 de julio de 2024, que la política de privacidad publicada en la web de MOBILITY refiere como dirección a la que dirigirse para ejercer los derechos de protección de datos -incluido supresión- el correo electrónico “***EMAIL.1”. QUINTO: La autoridad de protección de datos de Baviera-Sector Privado compartió a través del sistema IMI, el día 11 de julio de 2024 un correo electrónico de la parte reclamante, dirigido a dicha autoridad de protección de datos, en el que manifiesta que el 4 de julio de 2024 recibió un correo electrónico del proveedor ***APP.1 en el que se le comunicaba que las cuentas solicitadas habían sido eliminadas. SEXTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad MOBILITY EVOLUTION S.A. es una empresa constituida en el año 2018, y con un volumen de negocios de 3.050.078 euros en el año 2022. SÉPTIMO: Con fecha 18 de julio de 2025, la Presidencia de la AEPD adoptó un proyecto de acuerdo de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, al día siguiente se transmitió a través del sistema IMI el citado proyecto y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. El plazo de tramitación de las actuaciones quedó suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo dispuesto en el artículo 64 de la LOPDGDD. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/26 autoridades están de acuerdo con dicho proyecto y están vinculadas por éste, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 y 60 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de la presunta infracción cometida, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  2. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/26 un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que MOBILITY realiza la recogida y conservación de, entre otros, los siguientes datos personales de personas físicas: nombre y apellido, correo electrónico, dirección, número de teléfono, entre otros tratamientos. MOBILITY realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que MOBILITY está establecida en España, si bien presta servicio a otros países de la Unión Europea. Además, se trata de un tratamiento transfronterizo, dado que MOBILITY está establecida en España, si bien presta servicio a otros países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, MOBILITY tiene su establecimiento único o principal en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. IV Protección de datos desde el diseño y por defecto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/26 El Artículo 25 “Protección de datos desde el diseño y por defecto” del RGPD establece: “1.Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2.El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas. 3.Podrá utilizarse un mecanismo de certificación aprobado con arreglo al artículo 42 como elemento que acredite el cumplimiento de las obligaciones establecidas en los apartados 1 y 2 del presente artículo.” Este artículo se encuadra dentro de las obligaciones generales que el Capítulo IV del RGPD establece al responsable del tratamiento, imponiendo una obligación de diseño de procedimientos internos en el momento de determinar los medios de tratamiento y, de aplicar esos procedimientos en el momento del tratamiento, para garantizar de forma efectiva el cumplimiento de los requisitos de protección de datos, recogidos en la normativa general de Protección de Datos. Asimismo, el considerando 78 del RGPD establece: “La protección de los derechos y libertades de las personas físicas con respecto al tratamiento de datos personales exige la adopción de medidas técnicas y organizativas apropiadas con el fin de garantizar el cumplimiento de los requisitos del presente Reglamento. A fin de poder demostrar la conformidad con el presente Reglamento, el responsable del tratamiento debe adoptar políticas internas y aplicar medidas que cumplan en particular los principios de protección de datos desde el diseño y por defecto. Dichas medidas podrían consistir, entre otras, en reducir al máximo el tratamiento de datos personales, seudonimizar lo antes posible los datos personales, dar transparencia a las funciones y el tratamiento de datos personales, permitiendo a los interesados supervisar el tratamiento de datos y al responsable del tratamiento crear y mejorar elementos de seguridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/26 Al desarrollar, diseñar, seleccionar y usar aplicaciones, servicios y productos que están basados en el tratamiento de datos personales o que tratan datos personales para cumplir su función, ha de alentarse a los productores de los productos, servicios y aplicaciones a que tengan en cuenta el derecho a la protección de datos cuando desarrollan y diseñen estos productos, servicios y aplicaciones, y que se aseguren, con la debida atención al estado de la técnica, de que los responsables y los encargados del tratamiento están en condiciones de cumplir sus obligaciones en materia de protección de datos. Los principios de la protección de datos desde el diseño y por defecto también deben tenerse en cuenta en el contexto de los contratos públicos.” En el presente caso, hay que tener en cuenta que MOBILITY es el responsable, al establecer los medios y los fines para el tratamiento de los datos personales. La parte reclamante y un acompañante se dieron de alta en la aplicación ***APP.1, de alquiler de bicicletas. Al llegar a su país solicitaron la supresión de la cuenta y de sus datos en la propia aplicación, recibiendo el siguiente mensaje en la propia aplicación: “Error (...). Deletion request in process Ok” Asi como: “Thank you The deletion request is awaiting approval. You will receive a confirmation via notification and email. OK” Al no tener constancia de la eliminación, el 6 de agosto de 2023 la parte reclamante envió un correo electrónico a la dirección de correo electrónico especificada en la aplicación, ***EMAIL.1, solicitando la eliminación de la cuenta. En fecha 14 de enero de 2024, la parte reclamante presenta su reclamación, al no tener constancia de la eliminación de la cuenta. Tras la solicitud de información enviada por inspectores de esta Agencia, MOBILITY presentó un escrito de fecha 11 de julio de 2024 en el que manifestaba que el correo electrónico de fecha 6 de agosto de 2023 no constaba como recibido por la entidad, y que se tuvo conocimiento de la existencia de la solicitud cuando recibió el requerimiento de información por parte de la AEPD. Tras conocer la misma, se ha procedido a dar respuesta a dicha solicitud, adjuntando la comunicación que se ha dirigido a la parte reclamante en la que se indica que, con fecha 4 de julio de 2024 se ha procedido a la cancelación de sus datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/26 Además, también indica que: “se ha efectuado una investigación interna para determinar el alcance de la posible deficiencia y adoptar las oportunas medidas correctoras. Fruto de ese trabajo se ha detectado un error en la programación de la acción de desistimiento y consecuente baja del servicio impulsada por la parte reclamante. Para mitigar los efectos de la anomalía, corregirla y evitar que se produzca, se han adoptado las siguientes medidas: - se ha subsanado el referido error de programación. - se ha comprobado el proceso de desistimiento para garantizar que la efectiva baja del sistema se produce de forma simultánea a la inhabilitación de cualesquiera de las funcionalidades que permite operar al usuario activo. -se ha activado la comunicación automática de la efectiva baja del servicio al servicio del usuario, siguiendo lo establecido en el procedimiento interno para atención de derechos del interesado.” Además, añade que “para mitigar los efectos de la anomalía, corregirla y evitar que se reproduzca, se han adoptado las siguientes medidas: - se ha revisado y modificado el sistema de control de bajas, estableciendo como nueva medida un barrido diario del sistema para garantizar la efectividad del desistimiento cuando es activada la baja del servicio por parte del usuario. - se ha establecido que la Gerencia de ***APP.1 será la responsable de la tarea de barrido diario y, asimismo, se ha previsto el puesto de trabajo sustituto que actuaría subsidiariamente en caso de urgencia del designado o necesidad de delegación por cualquier causa.” De este modo, la aplicación ***APP.1 de alquiler de bicicletas tenía una configuración que no permitía darse de baja y suprimir los datos personales, en la medida en que, al realizarlo, daba un error, y recogía la leyenda “supresión en proceso” (Deletion request in process). El principio de protección de datos desde el diseño impone que, desde los estadios más iniciales de planificación de un tratamiento debe de ser considerado este principio: el responsable del tratamiento desde el momento en que se diseña y planifica un eventual tratamiento de datos personales deberá determinar todos los elementos que conforman el tratamiento, a los efectos de aplicar de forma efectiva los principios de protección de datos, integrando las garantías necesarias en el tratamiento con la finalidad última de, cumpliendo con las previsiones del RGPD, proteger los derechos de los interesados. Así, y respecto de los riesgos que pueden estar presentes en el tratamiento, el responsable del tratamiento llevará a cabo un ejercicio de análisis y detección de los riesgos durante todo el ciclo de tratamiento de los datos, con la finalidad primera y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/26 última de proteger los derechos y libertades de los interesados, y no sólo cuando efectivamente se produce el tratamiento. Así se expresa en las Directrices 4/2019 del CEPD relativas al artículo 25 Protección de datos desde el diseño y por defecto, adoptadas el 20 de octubre de 2020. En las citadas Directrices se indica al respecto que: “35. El «momento de determinar los medios de tratamiento» hace referencia al período de tiempo en que el responsable está decidiendo de qué forma llevará a cabo el tratamiento y cómo se producirá este, así como los mecanismos que se utilizarán para llevar a cabo dicho tratamiento. En el proceso de adopción de tales decisiones, el responsable del tratamiento debe evaluar las medidas y garantías adecuadas para aplicar de forma efectiva los principios y derechos de los interesados en el tratamiento, y tener en cuenta elementos como los riesgos, el estado de la técnica y el coste de aplicación, así como la naturaleza, el ámbito, el contexto y los fines. Esto incluye el momento de la adquisición y la implementación del software y hardware y los servicios de tratamiento de datos. 36. Tomar en consideración la PDDD desde un principio es crucial para la correcta aplicación de los principios y para la protección de los derechos de los interesados. Además, desde el punto de vista de la rentabilidad, también interesa a los responsables del tratamiento tomar la PDDD en consideración cuanto antes, ya que más tarde podría resultar difícil y costoso introducir cambios en planes ya formulados y operaciones de tratamiento ya diseñadas”. Para ello debe recurrir al diseñar el tratamiento a los principios recogidos en el artículo 5 del RGPD, que servirán para aquilatar el efectivo cumplimiento del RGPD. Así, las citadas Directrices 4/2019 del CEPD disponen que: “61. Para hacer efectiva la PDDD, los responsables del tratamiento han de aplicar los principios de transparencia, licitud, lealtad, limitación de la finalidad, minimización de datos, exactitud, limitación del plazo de conservación, integridad y confidencialidad, y responsabilidad proactiva. Estos principios están recogidos en el artículo 5 y el considerando 39 del RGPD”. La Guía de Privacidad desde el Diseño de la AEPD afirma que “La privacidad desde el diseño (en adelante, PbD) implica utilizar un enfoque orientado a la gestión del riesgo y de responsabilidad proactiva para establecer estrategias que incorporen la protección de la privacidad a lo largo de todo el ciclo de vida del objeto (ya sea éste un sistema, un producto hardware o software, un servicio o un proceso). Por ciclo de vida del objeto se entiende todas las etapas por las que atraviesa éste, desde su concepción hasta su retirada, pasando por las fases de desarrollo, puesta en producción, operación, mantenimiento y retirada”. La Guía dispone que “La privacidad debe formar parte integral e indisoluble de los sistemas, aplicaciones, productos y servicios, así como de las prácticas de negocio y procesos de la organización. No es una capa adicional o módulo que se añade a algo preexistente, sino que debe estar integrada en el conjunto de requisitos no funcionales desde el mismo momento en el que se concibe y diseña (…) La privacidad nace en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/26 diseño, antes de que el sistema esté en funcionamiento y debe garantizarse a lo largo de todo el ciclo de vida de los datos”. Por ello, la privacidad desde el diseño, obligación del responsable del tratamiento que nace antes de que el sistema esté en funcionamiento, no son meros añadidos que se van asentando sobre un sistema construido de espaldas al RGPD. Ligado a la edificación de una verdadera cultura de protección de datos en la organización, implica también por mor de la responsabilidad proactiva la capacidad de documentar todas las decisiones que se adopten con un enfoque “privacy design thinking”, demostrando el cumplimiento del RGPD también en este aspecto. El enfoque de riesgos hace referencia directa e inmediata a un sistema preventivo tendente a visualizar, respecto de un tratamiento de datos personales, los riesgos en los derechos y libertades de las personas físicas. En relación con los riesgos en esos derechos y libertades, han de identificarse los riesgos, evaluar su impacto y valorar la probabilidad de que aquellos se materialicen. Se protegen pues, no los datos, sino a las personas que están detrás de ellos. Los riesgos para los derechos y libertades de las personas físicas, derivados del tratamiento de datos personales, pueden ser de gravedad y probabilidad variables y provocar daños y perjuicios físicos, materiales o inmateriales, consecuencias tangibles o intangibles, en los derechos y las libertades de las personas físicas. El considerando 75 del RGPD y el artículo 28.2 de la LOPDGDD recopilan ejemplificativamente algunos de los considerados por el legislador, mas no son los únicos. Dependerá del tratamiento y el contexto en el que éste se realiza, de los fines, de los datos personales tratados, de las personas involucradas, de los medios utilizados, etc. En la ya mencionada Guía de Privacidad desde el diseño de la AEPD se establecen diversas orientaciones, que no se cumplen en el supuesto que nos ocupa: “Cualquier sistema, proceso o infraestructura que vaya a utilizar datos personales debe ser concebida y diseñada desde cero identificando, a priori, los posibles riesgos a los derechos y libertades de los interesados y minimizarlos para que no lleguen a concretarse en daños. Una política de PbD se caracteriza por la adopción de medidas proactivas que se anticipan a las amenazas, identificando las debilidades de los sistemas para neutralizar o minimizar los riesgos en lugar de aplicar medidas correctivas para resolver los incidentes de seguridad una vez sucedidos. Es decir, la PbD huye de la “política de subsanar” y se adelanta a la materialización del evento de riesgo”. La privacidad como configuración predeterminada: “La PbD persigue proporcionar al usuario el máximo nivel de privacidad dado el estado del arte y, en particular, que los datos personales estén automáticamente protegidos en cualquier sistema, aplicación, producto o servicio. La configuración por defecto deberá quedar establecida desde el diseño a aquel nivel que resulte lo más respetuoso posible en términos de privacidad. En el caso de que el sujeto no tome ninguna acción de configuración, su privacidad debe estar garantizada y mantenerse intacta, pues está integrada en el sistema y configurada por defecto.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/26 Privacidad incorporada en la fase de diseño: “La privacidad debe formar parte integral e indisoluble de los sistemas, aplicaciones, productos y servicios, así como de las prácticas de negocio y procesos de la organización. No es una capa adicional o módulo que se añade a algo preexistente, sino que debe estar integrada en el conjunto de requisitos no funcionales desde el mismo momento en el que se concibe y diseña. Para garantizar que la privacidad se tiene en cuenta desde las primeras etapas del diseño se debe: • Considerar como un requisito necesario en el ciclo de vida de sistemas y servicios, así como en el diseño de los procesos de la organización. • Ejecutar un análisis de los riesgos para los derechos y libertades de las personas y, en su caso, evaluaciones de impacto relativas a la protección de datos, como parte integral del diseño de cualquier nueva iniciativa de tratamiento. • Documentar todas las decisiones que se adopten en el seno de la organización con un enfoque “privacy design thinking” En este caso concreto, ha quedado constatado que MOBILITY no tenía medidas desde el diseño del tratamiento para dar cumplimiento al principio de licitud en el proceso de supresión de los datos personales y de la eliminación de la cuenta a través de la app. En este sentido, y de acuerdo con el artículo 25 del RGPD, la protección del derecho fundamental a la protección de datos no consiste en una mera espera “reactiva” a que pueda producirse un problema que lo lesione, sino que los responsables del tratamiento deben diseñar (“protección de datos desde el diseño”) con carácter previo al inicio del tratamiento, las políticas adecuadas para la protección de dicho derecho fundamental. Y ello incluye todos los aspectos regulados en el RGPD, comenzando por las obligaciones de transparencia, el respeto al ejercicio de los derechos establecidos en el Reglamento, y el establecimiento de todas medidas técnicas y organizativas necesarias para garantizar el cumplimiento de dicha norma. Y todo ello debe estar planificado e implementado con carácter previo al inicio del tratamiento por el responsable. De este modo, no haber previsto estas medidas desde el diseño del procedimiento analizado podría determinar que MOBILITY no disponía de las medidas adecuadas para poder darse de baja del servicio, y suprimir los datos personales que trata. De todo ello se concluye que la configuración que tenía la aplicación para la eliminación de la cuenta y, en consecuencia, suprimir los datos personales, no estaba bien configurada desde el diseño, en la medida en que daba error, y de este modo habría quedado acreditado que no se habrían analizado de forma adecuada los riesgos para los derechos y libertades de las personas físicas, ni previsto ni aplicado desde el diseño las medidas técnicas y organizativas apropiadas, para aplicar de forma efectiva los principios de protección de datos. Asimismo, no tenía implementado nada que permitiera determinar que esa funcionalidad no estaba en funcionamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/26 En su escrito de remitido en fase de actuaciones previas de fecha 15 de julio de 2024, MOBILITY EVOLUTION ha enviado un documento titulado “Sistema de Gestión de la privacidad” con una versión 1.0 de fecha 10 de enero de 2023 denominada “creación del procedimiento”. Y una versión 2.0 de fecha 8 de julio de 2024, denominada “Modificación del protocolo derecho supresión a través de la app de ***APP.1”. En dicho documento se puede apreciar, en lo referido a “canales habilitados para remisión de solicitudes en materia de privacidad” lo siguiente: “En cuanto a los canales habilitados para la remisión de solicitudes de derechos en materia de privacidad, el responsable del tratamiento tiene habilitados los siguientes medios: -dirección postal: C/ Gran Vía Asima nº 24, 07009 Palma -correo electrónico: ***EMAIL.1 (…)” En el apartado 12 de dicho documento relativo al “Derecho de supresión y rectificación” se puede leer: “Serán objeto de supresión y rectificación todos los datos personales cuyo tratamiento no se ajuste a la LOPDGDD y al RGPD, y en particular, los que resulten ser inexactos o incompletos. -Supresión: Según el artículo 32 de la LOPDGDD, la supresión de los datos, dará lugar al bloqueo de los mismos. El bloqueo de los datos consiste en la identificación y reserva de los mismos, adoptando medidas técnicas y organizativas, para impedir su tratamiento, incluyendo su visualización, excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos, para la exigencia de posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas. -Rectificación: Según el artículo 16 del RGPD, dará lugar a la corrección de los datos personales inexactos que conciernen al interesado El derecho de supresión permite al interesado solicitar que sus datos sean suprimidos si concurre alguna de las siguientes circunstancias (art. 17.1 RGPD): -Si los datos personales ya no fueran necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo. -Si el tratamiento se ha basado en el consentimiento que se prestó por el interesado y ya ha retirado dicho consentimiento, siempre que el citado tratamiento no se base en otra causa que lo legitime. -Si el usuario se ha opuesto al tratamiento, y no prevalezcan motivos para obviar la supresión de los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/26 -Si los datos personales han sido tratados ilícitamente. -Si los datos personales deben suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros, que se aplique al responsable del tratamiento. -Si los datos personales se han obtenido en relación con la oferta de servicios de la sociedad de la información mediando el consentimiento de un menor. Únicamente se conservará a disposición de las Administraciones Públicas, Jueces, y Tribunales para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido dicho plazo deberá procederse a la supresión. Se exceptúa, sin embargo, el supuesto en el que se demuestre que los datos han sido recogidos o registrados por medios fraudulentos, desleales o ilícitos, en cuyo caso la supresión de los mismos comportará siempre la destrucción del soporte en el que aquellos figuren. La solicitud de supresión deberá indicar si revoca el consentimiento otorgado, en los casos en que la revocación proceda. Ésta no procederá cuando se pueda causar con ello un perjuicio a sus intereses legítimos o a los de terceros, o bien cuando exista una obligación de conservar los datos. (…)” De este documento se concluye que hay dos versiones del documento “procedimiento del ejercicio de derechos ***APP.1” “gestión de la política de privacidad”: -una primera versión, 1.0 titulada “creación del procedimiento” de fecha 10 de enero de 2023 -una segunda versión, 2.0 de fecha 8 de julio de 2024, titulada “modificación del protocolo derecho supresión a través de la app de ***APP.1” en la que no hay ninguna referencia a la posibilidad de ejercer el derecho de supresión a través de la APP ***APP.1. En cualquier caso, estas dos versiones permiten concluir que, en la primera versión 1.0 titulado “creación del procedimiento” de fecha 10 de enero de 2023 tampoco se recogía dicha posibilidad, al tratarse, la versión 2.0 precisamente de la “modificación del protocolo del derecho de supresión a través de la app ***APP.1”. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción de procedimiento, imputable a MOBILITY, por vulneración del artículo 25 del RGPD. V C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/26 Tipificación y calificación de la infracción del artículo 25 del RGPD De confirmarse, la citada infracción del artículo 25 del RGPD podría suponer la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  3. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  4. d)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para aplicar de forma efectiva los principios de protección de datos desde el diseño, así como la no integración de las garantías necesarias en el tratamiento, en los términos exigidos por el artículo 25 del Reglamento (UE) 2016/679. (…)” VI Propuesta de sanción por la infracción del artículo 25 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  5. a)a
  6. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/26
  7. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  8. b)la intencionalidad o negligencia en la infracción;
  9. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  10. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  11. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  12. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  13. g)las categorías de los datos de carácter personal afectados por la infracción;
  14. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  15. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  16. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  17. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  18. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  19. a)El carácter continuado de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/26
  20. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  21. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  22. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  23. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  24. f)La afectación a los derechos de los menores.
  25. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  26. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de MOBILITY de 3.050.078 euros en 2022. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Con carácter previo, se estima que concurren las circunstancias siguientes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): por poner en riesgo y no contar con las medidas apropiadas para garantizar el cumplimiento de los principios del tratamiento respecto de los datos de las personas dadas de alta en la aplicación, en lo relativo a la supresión de sus datos personales, teniendo en cuenta que la versión 2.0 del “procedimiento de ejercicio de derechos ***APP.1” de fecha 8 de julio de 2024, se hace una mera referencia o cita a una modificación del protocolo derecho de supresión a través de la app ***APP.1, sin que la posibilidad efectiva de supresión o la determinación de cómo se implementa conste en dicho documento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/26 - Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2, letra g), del RGPD): en la medida en que ha afectado a datos que son particularmente sensibles como es la localización y los datos de tarjetas de crédito. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): MOBILITY es una empresa dedicada al alquiler de bicicletas, que por su actividad es una entidad habituada al tratamiento de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 25 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 15.000 euros. VII Medidas correctivas De confirmarse la infracción, el citado artículo 77 de la LOPDGDD contempla que la resolución que se dicte pueda establecer las medidas que la entidad infractora deberá adoptar para que cese la conducta infractora, se corrijan los efectos de la infracción que se hubiese cometido y se lleve a cabo la necesaria adecuación, en este caso, a las exigencias contempladas en el Artículo 25 del RGPD, debiendo, además, aportar a la AEPD los medios acreditativos del cumplimiento de lo requerido. Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a MOBILITY para que, en el plazo de 6 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, comunique a esta Agencia las medidas adoptadas para que una solicitud de supresión de datos personales recibida a través de su aplicación se atienda de forma correcta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/26 Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por otra parte, se recuerda que el reconocimiento de la infracción cometida no exime de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar el cumplimiento de esa obligación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a MOBILITY EVOLUTION S.A., con NIF A16591984, por la presunta infracción del Artículo 25 del RGPD, tipificada en el artículo 83.4 del RGPD. SEGUNDO: NOMBRAR como instructora a R.R.R. y, como secretario, a S.S.S., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  27. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de multa administrativa de 15.000,00 euros, sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a MOBILITY EVOLUTION S.A., con NIF A16591984, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 12.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/26 supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 12.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 9.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (12.000,00 euros o 9.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma electrónica, a través de la Dirección Electrónica Habilitada única (dehu.redsara.
  28. es)y de la Sede electrónica (sedeaepd.gob.es), y que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 1245-21112023 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 4 de septiembre de 2025, MOBILITY ha procedido al pago de la sanción en la cuantía de 9.000,00 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/26 reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. TERCERO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  29. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/26 salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 9.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, MOBILITY ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total 15.000,00 euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/26 Tras haber procedido MOBILITY EVOLUTION S.A. al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 9.000,00 euros. La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202403121, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a MOBILITY EVOLUTION S.A. para que en el plazo de 6 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del acuerdo de inicio transcrito en la presente resolución. CUARTO: NOTIFICAR la presente resolución a MOBILITY EVOLUTION S.A.. QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  30. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3.
  31. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/26 1259-110925 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.