← España

PS-00372-2021

1/27  Expediente N.º: PS/00372/2021 IMI Reference: A56ID 122865- Case Register 128401 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la autoridad de protección de datos de Polonia. La reclamación se dirige contra GLOVOAPP23, S..L. con NIF B66362906 (en adelante, GLOVOAPP). Los motivos en que basa la reclamación son los siguientes: Tras descubrir que su domicilio no se encontraba en el ámbito de actuación de los repartidores de GLOVOAPP (información que solo se obtiene una vez se abre uno una cuenta e introduce sus datos personales), la parte reclamante solicitó la supresión de su cuenta y datos personales, hasta en dos ocasiones con 5 días de diferencia, pero no obtuvo respuesta. Además, afirma que los formularios que se encuentran disponibles en la app GLOVO para la revocación del consentimiento sólo se encuentran en idioma español, no en inglés ni en polaco. Junto a la reclamación aporta: - Copia de un correo electrónico enviado el 7 de noviembre de 2019 a las 0.10 hrs desde la dirección liveops.comms@glovoapp.com a ***USUARIO.1@gmail.com, con el siguiente mensaje: “Thank you for contacting Glovo! We have just received your message. We will respond to it in 24 hours. Thank you for your patience during this waiting period”. Este correo responde a un mensaje del 6 de noviembre de 2019 a las 23:10 hrs en el que se reclama que la zona de reparto es demasiado pequeña. - Copia de un correo electrónico enviado el 12 de noviembre de 2019 a las 8:56 hrs desde la dirección liveops.comms@glovoapp.com a ***USUARIO.1@gmail.com, con el siguiente mensaje: “Thank you for contacting Glovo! We have just received your message. We will respond to it in 24 hours. Thank you for your patience during this waiting period”. Este correo responde a un mensaje del 12 de noviembre de 2019 a las 8:56 hrs en el que explica que no se están atendiendo sus solicitudes. Avisa que ya ha notificado a la autoridad de protección de datos y que espera la supresión inmediata de su cuenta. - Copia de un correo electrónico enviado el 12 de noviembre de 2019 a las 9:43 hrs desde la dirección liveops.comms@glovoapp.com a ***USUARIO.1@gmail.com, con el siguiente mensaje: “Thank you for contacting Glovo! We have just received your message. We will respond to it in 24 hours. Thank you for your patience during this waiting period”. Este correo responde a un mensaje del 12 de noviembre de 2019 a las 8:43 hrs en el que se explica que hace una semana envió un correo electrónico C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/27 solicitando la supresión de su cuenta y no ha recibido respuesta, pero ha recibido un documento de información. Avisa también que notificará a la autoridad de protección de datos que no tiene formularios de solicitud de supresión de datos en polaco, sólo en español. - Copia de un correo electrónico enviado el 13 de noviembre de 2019 a las 19:39 hrs desde la dirección liveops.comms@glovoapp.com a ***USUARIO.1@gmail.com, con el siguiente mensaje: “Thank you for contacting Glovo! We have just received your message. We will respond to it in 24 hours. Thank you for your patience during this waiting period”. Este correo responde a un mensaje del 13 de noviembre de 2019 a las 18:39 hrs en el que solicita se dejen de tratar sus datos personales inmediatamente y se supriman de todas las bases de datos. Además, solicita la supresión de su cuenta en el plazo de dos días hábiles. SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, en fecha 27 de abril de 2020, tuvo entrada en esta Agencia Española de Protección de Datos (AEPD) la citada reclamación. El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que GLOVOAPP tiene su sede social y establecimiento principal en España. Esta Agencia aceptó, con fecha 18 de mayo de 2020, ser la autoridad competente para actuar como autoridad de control principal (LSA), de acuerdo con lo dispuesto en el artículo 56.1 del RGPD, en lo que respecta al derecho de supresión. Sin embargo, propuso rechazar la parte relativa a los formularios, ya que sus servicios de Inspección comprobaron que los formularios de protección de datos se descargan en el idioma de la ciudad que se selecciona en la página de inicio, y, en consecuencia, los formularios en polaco están disponibles si se elige una ciudad polaca. La autoridad proponente planteó la posibilidad de conceder a la parte reclamante la posibilidad de presentar evidencia de que los formularios estaban sólo disponibles en idioma español en el momento de la presentación de la reclamación, ya que los hallazgos de la AEPD refutaban la queja de la parte reclamante en el momento en el que se realizó la comprobación (esto es, cinco meses después de la presentación de la reclamación). Comentaron que enviarían una carta a la parte reclamante solicitando dicha subsanación, y que, si en 7 días a contar desde la entrega de la misma no recibían respuesta, aceptarían el descarte de esa parte de la reclamación. Con fecha 11 de agosto de 2020, se recibió en esta Agencia correo electrónico de la autoridad polaca, informando de que no se había recibido respuesta de la parte reclamante, y de que, en consecuencia, quedaba descartada la parte de la reclamación relativa a los formularios, reduciéndose ésta a la cuestión relacionada con el ejercicio de derecho de supresión (art. 17 RGPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/27 Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada”, además de la autoridad polaca de protección de datos, las autoridades de control de Portugal, Italia y Francia. Todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en estos Estados Miembro es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a GLOVOAPP, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 20 de agosto de 2020 como consta en el acuse de recibo que obra en el expediente. Con fecha 18 de septiembre de 2020 se recibe en esta Agencia escrito de respuesta indicando:  Que el origen de la incidencia reside en el hecho de que, a diferencia de lo que la parte reclamante indica, no se solicitó la supresión de sus datos personales a través del formulario habilitado a tal efecto en su portal web, sino por medio de un chat con el agente del Servicio de Atención al Cliente (SAC) a cargo de la gestión de los pedidos y de las incidencias relacionadas con los mismos. En lugar de utilizar los diferentes canales visibles, claros y específicos que pone la empresa a su disposición, tanto en su página web como en su aplicación, para ejercer los derechos personales, i.e. las direcciones legal@glovoapp.com y gdpr@glovoapp.com, así como los diferentes formularios de ejercicio de derechos publicados en la web y accesibles en la aplicación en la sección “Contacto”, solicitó la supresión de sus datos por medio de un canal equivocado, y no destinado a este fin.  Que su SAC asigna un agente encargado de dar respuesta a los usuarios en función del territorio en que se encuentre el usuario, con el fin de poder responder en el mismo idioma en que se lance su solicitud. En este caso, a la parte reclamante no se le asignó ninguna ciudad o territorio, ya que, al no haber realizado ningún pedido a través de la ‘app’, no se le podía localizar en función del territorio. Es por esto que, ante la imposibilidad de localizar al usuario en una ciudad en concreto, el sistema no trasmitió las peticiones de supresión de datos a la atención de ningún agente del SAC, recibiendo el usuario tan solo la respuesta que el SAC genera automáticamente antes de que se asigne un agente encargado de dar respuesta a los usuarios.  Que, a raíz del traslado de la reclamación, han procedido a eliminar los datos personales de la parte reclamante (aclaran que solo contaban con su dirección de correo electrónico, ya que no llegó a realizar ningún pedido), y se han C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/27 puesto en contacto para informarle de esto, y de la conservación de sus datos en estado de bloqueo, entre otras cosas, para defenderse en reclamaciones (aportan copia del e-mail, con fecha 16 de septiembre de 2020). Le explican que el motivo de no haber atendido su petición ha sido la utilización de un canal erróneo para ejercer su derecho.  Que, para evitar la ocurrencia de este tipo de incidentes en el futuro, han enviado un recordatorio a todos los agentes sobre la necesidad de enviar a la oficina del Delegado de Protección de Datos todas las comunicaciones que puedan incluir una solicitud de ejercicio de derechos, aunque esta solicitud esté oculta o no sea evidente. También han reportado al departamento encargado del SAC el inconveniente relacionado con la asignación de las solicitudes por parte de usuarios que no hayan realizado pedidos y/o que no hayan indicado un país o una dirección a la hora de registrarse en la ‘app’. Mientras no se encuentre una solución técnica al problema, sus agentes controlarán, manual y periódicamente, las solicitudes que no se hayan automáticamente asignado a ningún agente.  También desmienten el hecho, denunciado por la parte reclamante, de que no hay disponibles formularios en su idioma, y, también, que sea necesario abrir una cuenta para conocer el área geográfica de disponibilidad de servicio, puesto que la cobertura de los envíos es accesible a través de una URL dedicada (https://glovoapp.com/es/map en España, por ejemplo). CUARTO: Con fecha 11 de diciembre de 2020, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: Con fecha 5 de octubre de 2020, la Directora de la AEPD adoptó un proyecto de decisión de archivo de las actuaciones. Siguiendo el proceso establecido en el artículo 60 del RGPD, ese mismo día se transmitió a través del Sistema IMI este proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo otorgado a tal efecto, la autoridad de control de Polonia presentó sus objeciones pertinentes y motivadas a los efectos de lo previsto en el artículo 60 del RGPD, en el sentido de que consideraba que no procedía un archivo de las actuaciones sino que se analizara el caso y se dirigiera un apercibimiento dado que se había producido una infracción del RGPD. Por su parte, la autoridad de control de Portugal presentó sus objeciones pertinentes y motivadas en idéntico sentido, entendiendo que debía sancionarse a GLOVOAPP por haberse producido una infracción del RGPD. SEXTO: Con fecha 3 de septiembre de 2021, la Directora de la AEPD adoptó un proyecto revisado de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido en el artículo 60 del RGPD, el 6 de septiembre de 2021 se transmitió a través del Sistema IMI este proyecto revisado de decisión y se les hizo saber a las autoridades interesadas que tenían dos semanas desde ese momento para formular objeciones pertinentes y motivadas. Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera que todas las autoridades de control están de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/27 acuerdo con dicho proyecto revisado de decisión y están vinculadas por éste, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. SÉPTIMO: Con fecha 31 de marzo de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a GLOVOAPP, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 12 del RGPD, en relación con el artículo 17 del RGPD, tipificada en el artículo 83.5 del RGPD. El acuerdo de inicio se notificó conforme a las normas establecidas en la LPACAP el día 11 de abril de 2022, como consta en el acuse de recibo que obra en el expediente. OCTAVO: Con fecha 19 de abril de 2022, GLOVOAPP presenta un escrito a través del cual solicita la ampliación del plazo para aducir alegaciones. NOVENO: Con fecha 21 de abril de 2022, el órgano instructor acuerda la ampliación de plazo instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP. El acuerdo de ampliación se notifica a GLOVOAPP ese mismo día, como consta en el acuse de recibo que obra en el expediente. DÉCIMO: Con fecha 3 de mayo de 2022, se recibe en esta Agencia, en tiempo y forma, escrito de GLOVOAPP en el que aduce alegaciones al acuerdo de inicio en el que, en síntesis, manifestaba que: PRIMERA. - SOBRE EL CUMPLIMIENTO DE GLOVO DE LA ATENCIÓN DE LOS DERECHOS DE PROTECCIÓN DE DATOS PERSONALES En primer lugar, GLOVOAPP se remite a las manifestaciones presentadas en el escrito de fecha de 18 de septiembre de 2020 en relación con los hechos acaecidos sobre la gestión del derecho de supresión ejercido por el ex-usuario de Glovo, de nacionalidad polaca, a través del chat gestionado por el Departamento de Servicio de Atención al Cliente (SAC) de Glovo. En dichas manifestaciones, GLOVOAPP entiende que quedó de manifiesto que en ningún momento Glovo denegó ni obstaculizó el ejercicio del derecho de supresión de la parte reclamante a los efectos de lo dispuesto en el artículo 12.2 de la LOPDGDD, sino que más bien Glovo mostró una flexibilidad flagrante procediendo a la eliminación de los datos personales de la parte reclamante inmediatamente después de recibir la reclamación por parte de esta Agencia, a pesar de no ser ejercido mediante los canales habilitados a tal fin en ese momento (las direcciones de correo electrónico legal@glovoapp.com y gdpr@glovoapp.com). GLOVOAPP, además, se remite a las causas por las que no pudo proceder a eliminar los datos personales de la parte reclamante en plazo (imposibilidad de localizarle en un territorio o ciudad concreta por no haber realizado ningún pedido a través de la plataforma y, por consiguiente, imposibilidad de asignar su petición a un agente específico del SAC), lo cual no puede entenderse, en ningún caso, como una voluntad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/27 de Glovo de no querer cumplir con su deber de atención del derecho de supresión ejercido por la parte reclamante, a los efectos del del artículo 74.

  1. c)de la LOPDGDD. Es más, GLOVOAPP deja constancia de que el derecho de supresión de la parte reclamante fue inmediatamente atendido por los motivos que ya se expresaron en dicho escrito de fecha 18 de septiembre de 2020, complementándolo con un envío masivo a todos los agentes que forman parte del SAC recordándoles la necesidad de remitir inmediatamente al Delegado de Protección de Datos cualquier ejercicio de derechos que pudiera llegar a través del chat. Por tanto, entiende que queda meridianamente demostrado que GLOVOAPP, como responsable de tratamiento, ya tenía asegurado y sigue asegurando en sus políticas internas la satisfacción de los derechos de los interesados, independientemente del modo en que éstos sean ejercidos. Afirma que GLOVOAPP monitoriza regular y constantemente todas los canales con los que tiene contacto con el usuario (formularios web, chat de la aplicación, direcciones de correo electrónico, correo postal, perfiles de redes sociales, entre otros) de tal modo que, en caso de ejercerse un derecho de protección de datos éste es correctamente atendido. Entiende que prueba de ello es que, desde la reclamación de la parte reclamante remitida por esta Agencia, GLOVOAPP no ha recibido ninguna otra reclamación por parte de ésta ni de ninguna otra autoridad de control de los países en los que opera por no haber atendido un derecho de protección de datos ni, especialmente, un derecho de supresión. Y que todas estas actuaciones de GLOVOAPP no pueden entenderse de otra forma que como una clara voluntad de GLOVOAPP de cumplir con la normativa de protección de datos personales. Por todo ello, GLOVOAPP considera que la Agencia yerra en sancionarle con un apercibimiento, puesto que de las actuaciones acaecidas no puede entenderse una clara voluntad de incumplimiento de la normativa de protección de datos en la forma de no querer atender el derecho de supresión de la parte reclamante, siendo preciso decretar el archivo de las mismas. SEGUNDA. - SOBRE EL PRONUNCIAMIENTO DE ESTA AGENCIA SOBRE EL ARCHIVO DE LAS ACTUACIONES GLOVOAPP realiza una mención expresa a la resolución de fecha 5 de octubre de 2020 por la que la Directora de la AEPD adoptó un proyecto de decisión de archivo de las actuaciones acaecidas en este procedimiento. Si bien las autoridades de control interesadas de Polonia y Portugal presentaron objeciones al proyecto de decisión, para GLOVOAPP es evidente que dicho proyecto no se adopta por la AEPD sin considerar que de las actuaciones y pruebas obtenidas hasta la fecha no se derivan en la existencia de un incumplimiento ni en unos daños y perjuicios graves para los derechos e intereses de la parte reclamante. GLOVOAPP considera que la AEPD, como autoridad de control principal de este procedimiento, debería haber mantenido la decisión tomada en su día, siendo el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/27 apercibimiento una sanción innecesaria e inadecuada para este caso, puesto que Glovo en ningún momento ha mostrado una voluntad de no atender el derecho de supresión de la parte reclamante, máxime cuando ha mostrado una flexibilidad clara e inequívoca suprimiendo sus datos de forma inmediata después de recibir la reclamación por parte de la AEPD, a pesar de haberse ejercido este derecho por un canal no habilitado para este propósito. En definitiva, GLOVOAPP considera que Glovo no ha incumplido la normativa de protección de datos, siendo, por ello, el archivo de las actuaciones la decisión más adecuada para el caso que nos ocupa. TERCERA. – NULIDAD DEL ACTO ADMINISTRATIVO POR AUSENCIA DE LOS ELEMENTOS NECESARIOS PARA QUE SE CONSIDERE QUE EXISTE INFRACCIÓN Adicionalmente, GLOVOAPP entiende que en ningún caso la conducta de Glovo es sancionable en la forma de apercibimiento, por los motivos que se exponen a continuación. 3.1 Ausencia de los elementos subjetivos de la infracción. Nulidad de Sanción GLOVOAPP considera que se debe, en primer lugar, examinar la concurrencia, o más exactamente la no concurrencia de los elementos fundamentales y requisitos necesarios para poder imponer una sanción en este caso. Así, los principios que regirán la potestad sancionadora de la Administración serán, con carácter general, los propios del Derecho Administrativo Sancionador y en particular, “los principios de legalidad, tipicidad, responsabilidad, proporcionalidad y no concurrencia”. La Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, establece que la infracción administrativa viene constituida por la acción, entendida en sentido amplio de toda actuación -u omisión de las personas encaminadas a la producción de un resultado y que el propio Legislador ha tipificado como infracción. De acuerdo con lo anterior, para poder estar ante una infracción en materia de protección de datos personales debe de haberse producido una acción u omisión dolosa o culposa con cualquier grado de negligencia. ¿Qué quiere esto decir? Que al sujeto responsable se le podía, cuando menos, haber exigido una conducta distinta. Sin ánimo de suscribir un compendio de derecho sancionador, podemos definir los elementos subjetivos del tipo como los diferentes grados de voluntariedad o, cuando menos, inobservancia de la diligencia debida; siendo el dolo el claro exponente de la voluntariedad en la comisión de la acción típica y la simple negligencia la conducta carente del cuidado necesario en el cumplimiento de las obligaciones en materia sanitaria. De esta forma, corresponde al órgano competente examinar si la conducta objeto de análisis es dolosa o culposa, ya que dicha valoración es imprescindible para poder C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/27 imponer una sanción pues se trata de elementos constitutivos de la infracción administrativa. La jurisprudencia que podríamos citar sustentando la afirmación anterior sería casi ilimitada, por lo que únicamente vamos a referirnos a la Sentencia de 13 de octubre de 2005 de la Audiencia Nacional ya que en la misma se hace un detallado repaso de los principios sancionadores, su evolución y la de los criterios jurisprudenciales aplicables. Dado que la Sentencia citada es bastante prolija, y al objeto de no alargarnos innecesariamente transcribiendo literalmente el contenido íntegro de la misma, extraemos a continuación exclusivamente los párrafos que consideramos más representativos: “CUARTO (…) la apreciación de la culpabilidad en la conducta del sujeto infractor es una exigencia que surge directamente de los principios constitucionales de la seguridad jurídica y de legalidad, en cuanto al ejercicio de potestades sancionadoras de cualquier naturaleza. El principio de culpabilidad constituye un elemento básico a la hora de calificar la conducta de una persona como sancionable, es decir, es un elemento esencial en todo ilícito administrativo (…) SEXTO (…) En síntesis, la culpabilidad ha de estar tan demostrada como la conducta activa u omisiva que se sanciona, y esa prueba ha de extenderse no sólo a los hechos determinantes de la responsabilidad sino también, en su caso, a los que cualifiquen o agraven la infracción. (…)” Es precisamente el análisis de la culpabilidad lo que diferencia a un sistema de responsabilidad objetiva, en el que se sanciona exclusivamente atendiendo al resultado, de uno basado en el principio de culpabilidad. Por tanto, GLOVOAPP entiende que se puede concluir, que el Acuerdo notificado a GLOVOAPP prescinde de uno de los elementos esenciales a la hora de poder imponer una sanción (aunque sea en la forma de apercibimiento), como es el examen de la culpabilidad, quedando plenamente demostrado que en ningún momento GLOVOAPP ha querido dolosamente no atender el derecho de supresión de la parte reclamante. Todo lo contrario. Glovo ha procedido de forma inmediata a la atención de dicho derecho una vez trasladado por esta Agencia. Por tanto, GLOVOAPP manifiesta que debe tenerse en cuenta que la AEPD debía haber llevado a cabo este análisis y por tanto, no pudiendo apreciarse, de ningún modo, un ánimo de infringir la normativa de protección de datos por parte de Glovo (en la forma de querer obstaculizar, impedir o no atender el derecho de supresión de la parte reclamante), y habiéndose prescindido de la valoración de dicho ánimo como elemento esencial de la infracción administrativa, GLOVOAPP entiende que la imposición de sanción estaría viciada de nulidad. 3.2. De la falta de prueba que desvirtúe la presunción de inocencia de Glovo. Nulidad de sanción En este sentido, cabe destacar que, como se ha señalado reiteradamente por parte de la jurisprudencia, para proceder a la imposición de cualquier sanción administrativa es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/27 requisito previo e inexcusable la existencia de una conducta constitutiva de infracción administrativa. Por tanto, la Administración no puede sancionar sin probar suficientemente la culpabilidad del sujeto sancionado, es decir, la existencia de mala fe en su conducta. En consecuencia, queda claro que corresponde a la Administración la carga de la prueba de la culpabilidad del sujeto, la cual deberá quedar acreditada por cualquiera de los medios admitidos en derecho. Sin embargo, en el caso que nos ocupa, no consta GLOVOAPP que exista absolutamente ningún elemento probatorio que permita considerar destruida la presunción de inocencia que, dentro del ámbito administrativo-sancionador, es plenamente aplicable a las relaciones entre la Administración y los administrados, tal y como han reconocido innumerables resoluciones jurisdiccionales en todos los ámbitos jerárquicos y territoriales. En este sentido, por ejemplo, la Sentencia del Tribunal Superior de Justicia de 10 de junio de 1994, establecía: (…) en el ejercicio de la potestad sancionadora de las Administraciones Públicas juega, con plenitud de su eficacia, la presunción de inocencia de toda persona acusada de una infracción hasta que su culpabilidad haya sido demostrada. Este principio, incorporado en el artículo 24 de nuestra Constitución, produce la inmediata consecuencia procesal de desplazar la carga de la prueba al acusador, y en el caso de la potestad sancionadora, a la Administración Pública. Es ella la que, en un procedimiento contradictorio, con participación y audiencia del inculpado, debe suministrar, recoger y aportar los elementos probatorios, a través de los medios comunes que sirvan de soporte al supuesto de hecho cuya clasificación como falta administrativa se pretende. En el caso de que tal actividad probatoria no se haya producido, es evidente que el relato o la descripción de los acaecimientos por la autoridad o sus agentes no conlleva a una presunción de veracidad que obligue al inculpado a demostrar su inocencia, invirtiendo así la carga probatoria (SSTS de 16 de diciembre de 1986 y 26 de diciembre de 1988)” Asimismo, en relación con dicha falta de pruebas y a efectos de valorar lo acontecido en el caso presente, es bastante indicativa la Sentencia del Tribunal Supremo de 26 de diciembre de 1983 (RJ 1983\6418), que dispuso lo siguiente: “(…) En materia sancionadora no basta que la Administración crea que una persona ha realizado determinados hechos para aplicar la sanción que a los mismos corresponde, sino que hace falta que acredite que es ciertamente el autor de los mismos, y esta exigencia, no se puede estimar ciertamente cumplida con dos informes, que (…) no pasan de ser una apreciación subjetiva de la persona que los emitió y que aunque ésta esté realzada por la cualidad de su autor, no puede ser lo decisiva que la Administración pretende, cuando el afectado con todo detalle la contradice, y, cuando se refiere a unos hechos que por su naturaleza podían haber sido fácil y definitivamente probados o confirmados por los más variados medios (…). Que en el ámbito sancionador del Derecho Administrativo, no es procedente acudir a indicios racionales, o valoraciones en conciencia, para dar por probada una infracción administrativa, imponiendo por aplicación de la presunción de inocencia del acusado, a la Administración que acusa y sanciona, la carga de probar la realidad de los hechos que imputa, y que éstos son reprochables a la persona inculpada, dado que la presunción de inocencia, antes referida, consagrada en la actualidad por el art. 24 de la Constitución, sólo puede destruirse por una prueba acabada de culpabilidad SS. De 16 febrero, 23 marzo y 28 septiembre 1982 (RJ 1982/968, RJ 1982/2324 y RJ 1982/5513), viniendo condicionada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/27 la legalidad de las sanciones administrativas por la tipicidad de la falta y de la sanción y por la prueba concluyente e inequívoca de que el sancionado es el responsable de aquélla, recordando la S. de esta Sala de 23 diciembre 1981 (RJ 1981/5453), que el enjuiciamiento en concreto de una resolución administrativa que ultime un expediente correctivo o sancionador, ha de partir del análisis de hecho o acto impugnado, de su naturaleza y alcance, para determinar y ver si el ilícito administrativo perseguido es o no subsumible en alguno de los supuesto, tipos de infracción administrativa previstos en la norma que sirve de basamento para la estimación de la transgresión que se persigue y en su caso se sanciona, enjuiciamiento que deberá hacerse con un criterio exclusivamente jurídico, puesto que la calificación de la infracción administrativa, no es facultad discrecional de la Administración o autoridad sancionadora, sino propiamente actividad jurídica que exige como presupuesto objetivo el encuadre del hecho incriminado en el tipo predeterminado legalmente como falta, no pudiendo resolverse la responsabilidad de una infracción administrativa por meras presunciones, indicios o conjeturas, sino por la realidad de unos hechos perfectamente acreditados y demostrados (…)”. Así las cosas, queda claro que al Acuerdo se le debe exigir algo más que la simple mención a los preceptos legales de la LOPDGDD a los que antes se ha hecho referencia. En el presente caso, GLOVOAPP entiende que la AEPD se limita a repasar en el Acuerdo los antecedentes del expediente pero, como ha quedado demostrado, no se puede de ningún modo afirmar que nos encontramos ante una infracción claramente intencionada de la normativa de protección de datos por parte de Glovo, máxime si como se ha podido demostrar en los hechos, el derecho de supresión de la parte reclamante quedó claramente atendido. El objetivo principal del procedimiento sancionador debe ser, en opinión de GLOVOAPP, precisamente no quedarse en lo ya señalado en el procedimiento, sino tratar de romper la presunción de inocencia que asiste a todo obligado buscando el elemento intencional en su actuación, el elemento subjetivo del ilícito administrativo a través de una actividad probatoria que pueda ser considerada suficiente. Sin embargo, GLOVOAPP considera que en el presente caso no existen pruebas reales de cargo en dicha iniciación de procedimiento que permitan entender que existe culpabilidad en la conducta de GLOVOAPP. Por todos los argumentos expuestos, GLOVOAPP solicita a la AEPD que retire el acuerdo de imposición de sanción impuesta a GLOVOAPP en el Acuerdo, al entender que quiere ser impuesta con una ausencia total de elementos probatorios de la culpabilidad y, en consecuencia, con violación del derecho fundamental a la presunción de inocencia recogido en la Constitución Española. 3.3. Ausencia de culpabilidad. Nulidad de sanción Con la finalidad de demostrar la ausencia de culpabilidad, GLOVOAPP trae a colación, en relación con la invocación del principio de culpabilidad, que el Tribunal Constitucional ha establecido como uno de los pilares básicos para la interpretación del Derecho Administrativo Sancionador que los principios y garantías presentes en el ámbito del Derecho Penal son aplicables, con ciertos matices, en el ejercicio de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/27 cualquier potestad sancionadora de la Administración Pública (STC 76/1990, de 26 de abril). El Tribunal Supremo en su sentencia de 10 de febrero de 1986 señaló que “el ejercicio de la potestad punitiva, en cualquiera de sus manifestaciones, debe acomodarse a los principios y preceptos constitucionales que presiden el ordenamiento jurídico penal en su conjunto, y, sea cual sea, el ámbito en el que se mueva la potestad punitiva del Estado, la Jurisdicción, o el campo en que se produzca, viene sujeta a unos mismos principios cuyo respeto legitima la imposición de las penas y sanciones, por lo que, las infracciones administrativas, para ser susceptibles de sanción o pena, deben ser típicas, es decir, previstas como tales por norma jurídica anterior, antijurídicas, esto es, lesivas de un bien jurídico previsto por el Ordenamiento, y culpable, atribuible a un autor a título de dolo o culpa, para asegurar en su valoración el equilibrio entre el interés público y la garantía de las personas, que es lo que constituye la clave del Estado de Derecho”. En el caso concreto, en ningún momento se ha omitido ni incumplido la normativa de protección de datos, es más, GLOVOAPP considera que ha cumplido religiosamente con todas sus obligaciones. No ha existido ningún ánimo de infringir, todo lo contrario. GLOVOAPP entiende que ha demostrado a la AEPD su voluntad de cumplir con la normativa de protección de datos personales, procediendo de forma inmediata a la supresión de los datos de la parte reclamante, una vez trasladada la reclamación por parte de esta Agencia, y asegurándose la plena satisfacción de los derechos de los usuarios en todo momento con independencia del canal que estos sean ejercidos. Por todos los argumentos expuestos, GLOVOAPP considera que existe una ausencia total de elementos probatorios de la culpabilidad y, en consecuencia, una violación del derecho fundamental a la presunción de inocencia recogido en la Constitución Española. 3.4. Ausencia de los principios de tipicidad y presunción de inocencia. Nulidad de sanción GLOVOAPP estima necesario poner de manifiesto la inexistencia de la conducta considerada como infracción y por las cuales se le sanciona en vía administrativa. Ello debería haber llevado, a su criterio, a la AEPD a archivar las actuaciones sancionadoras contra GLOVOAPP (decisión que ya tomó esta Agencia en su Proyecto de decisión de fecha 5 de octubre de 2020), puesto que, de no ser así, se incurriría en una flagrante vulneración del principio de tipicidad que se desprende de la normativa de aplicación. Ya de principio se indica que el ordenamiento jurídico protege a los administrados en el procedimiento sancionador exigiendo que los órganos administrativos encargados del impulso de actuaciones sancionadoras sólo consideren como infracciones aquellas conductas que encajen adecuadamente en las definiciones que explícitamente establezcan normas con rango legal. Así, el primer apartado del artículo 129 de la Ley 40/2015, establece lo siguiente: “Artículo 27. Principio de tipicidad. 1. Sólo constituyen infracciones administrativas las vulneraciones del ordenamiento jurídico previstas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/27 como tales infracciones por una Ley, sin perjuicio de lo dispuesto para la Administración Local en el Título XI de la Ley 7/1985, de 2 de abril” (el subrayado y la negrita son nuestros).” En íntima conexión con dicha disposición, la misma Ley 40/2015 establece que el punto de partida de toda actuación encaminada a establecer responsabilidades por la comisión de infracciones administrativas debe ser el de considerar que, salvo que quede acreditado lo contrario, el administrado no ha incurrido en los tipos declarados como tales infracciones. Como se ha mencionado anteriormente, es lo que se conoce como principio de presunción de inocencia, el cual es plenamente coherente con el hecho de que la Administración se encuentre obligada a llevar a cabo la actividad instructora para comprobar si una conducta concreta se subsume en un tipo infractor. Así, por lo que respecta a la presunción de inocencia, la Ley 39/2015 establece que en el procedimiento sancionador rige también dicho principio. Respecto de la importancia de que el procedimiento administrativo respete el principio de tipicidad, la Sentencia del Tribunal Supremo de 2 de junio de 2010, Sala de lo Contencioso-Administrativo, Sección 4ª, ha señalado, reproduciendo cuanto se ha dicho en una extensa y consolidada doctrina, lo siguiente: “El principio de tipicidad, el más importante de aquellos en que se basa el derecho sancionador administrativo, exige, como mínimo, una perfecta adecuación entre el acto y lo definitivo como trasgresión, como las circunstancias objetivas y personales determinantes de la ilicitud, al objeto de configurar con exactitud la conducta del sujeto con el tipo definitivo por la norma que se estima conculcada (Sentencias de 25 de marzo de 1977, 13 de mayo y 22 de diciembre de 1986. Sentencias del Tribunal Supremo de 12 de febrero).” Por lo que se refiere al principio de presunción de inocencia en el ámbito de la potestad administrativa sancionadora, la jurisprudencia ha sido igualmente unívoca en el sentido de exigir a los organismos administrativos un estricto respeto y sometimiento al mismo. Así, ya desde una temprana –y consolidada doctrina, el Tribunal Constitucional ha venido declarando de manera invariable que el principio de presunción de inocencia sujeta plenamente la potestad sancionadora administrativa. Como ejemplo, puede citarse -por todas- la Sentencia del Tribunal Constitucional 13/1982, de 1 de abril, que se expresó literalmente como sigue: “(…) la presunción de inocencia ha dejado de ser un principio general del derecho que ha de informar la actividad judicial («in dubio pro reo») para convertirse en un derecho fundamental que vincula a todos los poderes públicos y que es de aplicación inmediata, tal y como ha precisado este Tribunal en reiteradas sentencias.[…] El derecho a la presunción de inocencia no puede entenderse reducido al estricto campo del enjuiciamiento de conductas presuntamente delictivas, sino que debe entenderse también que preside la adopción de cualquier resolución, tanto administrativa como jurisdiccional, que se base en la condición o conducta de las personas y de cuya apreciación se derive un resultado sancionatorio para las mismas o limitativo de sus derechos.” Ahondando en lo transcrito, el Tribunal Supremo también ha plasmado en su actividad jurisdiccional la aplicación del principio de presunción de inocencia. Así, por Sentencia de 28 febrero 1994, Sala de lo Contencioso-Administrativo, Sección 7ª, el Alto Tribunal C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/27 declaró: “Desde una perspectiva amplia, la identidad de principios de derecho sancionatorio administrativo con la potestad punitiva penal se circunscribe a las siguientes doctrinas generales: al principio de legalidad (no hay infracción ni sanción administrativa sin ley previa que las determine), al del injusto típico (delimitación concreta de las conductas reprochables a efectos de su sanción), al de «nulla pena sine culpa» (concurrencia de dolo o culpa en el autor de la infracción con requisito del reproche sancionador) y, finalmente, y con evidente trascendencia en el supuesto de autos, al principio de prueba cumplida de la realidad de la conducta reprochable, cuya plasmación en el principio constitucional de presunción de inocencia resulta evidente, y que fuerza a probar de manera cumplida la realización efectiva por el inculpado de la acción o de la omisión reprochables, siendo de rigurosa aplicación al derecho sancionatorio administrativo”. Pues bien, sentada la importancia que el ordenamiento jurídico otorga a los principios de tipicidad y presunción de inocencia en el ámbito de la potestad sancionadora de la Administración, y probada la extensa recepción en la jurisprudencia de la obligación de aplicar dichos principios al procedimiento sancionador administrativo, debe contrastarse todo lo dicho de inmediato con cuanto ha acontecido en las presentes actuaciones. A la vista de todo lo anterior, GLOVOAPP entiende que ha quedado debidamente demostrado que ha actuado en todo momento de buena fe, aplicando el máximo esfuerzo en cumplir la normativa de protección de datos con el convencimiento de estar dentro de la legalidad, por ser esta su exigencia como responsable del tratamiento de los datos personales de los interesados, y con el ánimo de no poner nunca en peligro sus derechos y libertades. No existe, pues, una clara “intencionalidad” en incumplir con la normativa vigente ya que, realizó todas las acciones necesarias y debidas para el cumplimiento de la normativa y ha ajustado prudentemente su actuación a la ley. DÉCIMO PRIMERO: Con fecha 9 de mayo de 2022, el órgano instructor del procedimiento sancionador formuló propuesta de resolución, en la que propone que por la Directora de la AEPD se dirija un apercibimiento a GLOVOAPP23, S..L., con NIF B66362906, por una infracción del artículo 12 del RGPD, tipificada en el Artículo 83.5 del RGPD. La propuesta de resolución se notificó conforme a las normas establecidas en la LPACAP el día 18 de mayo de 2022, como consta en el acuse de recibo que obra en el expediente. DÉCIMO SEGUNDO: Transcurrido el plazo a tal fin, no se ha recibido en esta Agencia alegaciones de GLOVOAPP a la propuesta de resolución antes citada. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/27 PRIMERO: El 7 de noviembre de 2019 a las 0.10 hrs se envió un correo electrónico desde la dirección liveops.comms@glovoapp.com a ***USUARIO.1@gmail.com, con el siguiente mensaje: “Thank you for contacting Glovo! We have just received your message. We will respond to it in 24 hours. Thank you for your patience during this waiting period”. Este correo responde a un mensaje del 6 de noviembre de 2019 a las 23:10 hrs en el que se reclama que la zona de reparto es demasiado pequeña. SEGUNDO: El 12 de noviembre de 2019 a las 8:56 hrs se envió un correo electrónico desde la dirección liveops.comms@glovoapp.com a ***USUARIO.1@gmail.com, con el siguiente mensaje: “Thank you for contacting Glovo! We have just received your message. We will respond to it in 24 hours. Thank you for your patience during this waiting period”. Este correo responde a un mensaje del 12 de noviembre de 2019 a las 8:56 hrs en el que explica que no se están atendiendo sus solicitudes. Avisa que ya ha notificado a la autoridad de protección de datos y que espera la supresión inmediata de su cuenta. TERCERO: El 12 de noviembre de 2019 a las 9:43 hrs se envió un correo electrónico desde la dirección liveops.comms@glovoapp.com a ***USUARIO.1@gmail.com, con el siguiente mensaje: “Thank you for contacting Glovo! We have just received your message. We will respond to it in 24 hours. Thank you for your patience during this waiting period”. Este correo responde a un mensaje del 12 de noviembre de 2019 a las 8:43 hrs en el que se explica que hace una semana envió un correo electrónico solicitando la supresión de su cuenta y no ha recibido respuesta, pero ha recibido un documento de información. Avisa también que notificará a la autoridad de protección de datos que no tiene formularios de solicitud de supresión de datos en polaco, sólo en español. CUARTO: El 13 de noviembre de 2019 a las 19:39 hrs se envió un correo electrónico desde la dirección liveops.comms@glovoapp.com a ***USUARIO.1@gmail.com, con el siguiente mensaje: “Thank you for contacting Glovo! We have just received your message. We will respond to it in 24 hours. Thank you for your patience during this waiting period”. Este correo responde a un mensaje del 13 de noviembre de 2019 a las 18:39 hrs en el que solicita se dejen de tratar sus datos personales inmediatamente y se supriman de todas las bases de datos. Además, solicita la supresión de su cuenta en el plazo de dos días hábiles. QUINTO: El Servicio de Atención al Cliente (SAC) de GLOVOAPP asigna un agente encargado de dar respuesta a los usuarios en función del territorio en que se encuentre el usuario, con el fin de poder responder en el mismo idioma en que se lance su solicitud. En este caso, a la parte reclamante no se le asignó ninguna ciudad o territorio, ya que, al no haber realizado ningún pedido a través de la ‘app’, no se le podía localizar en función del territorio. Es por esto que, ante la imposibilidad de localizar al usuario en una ciudad en concreto, el sistema no trasmitió las peticiones de supresión de datos a la atención de ningún agente del SAC, recibiendo el usuario tan solo la respuesta que el SAC genera automáticamente antes de que se asigne un agente encargado de dar respuesta a los usuarios. SEXTO: A raíz del traslado de la reclamación, GLOVOAPP ha procedido a eliminar los datos personales de la parte reclamante (aunque solo contaban con su dirección de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/27 correo electrónico, ya que no llegó a realizar ningún pedido), y se han puesto en contacto para informarle de esto, y de la conservación de sus datos en estado de bloqueo, entre otras cosas, para defenderse en reclamaciones (mediante un correo electrónico de fecha 16 de septiembre de 2020). SÉPTIMO: GLOVOAPP ha enviado un recordatorio a todos los agentes sobre la necesidad de enviar a la oficina del Delegado de Protección de Datos todas las comunicaciones que puedan incluir una solicitud de ejercicio de derechos, aunque esta solicitud esté oculta o no sea evidente. También ha reportado al departamento encargado del SAC el inconveniente relacionado con la asignación de las solicitudes por parte de usuarios que no hayan realizado pedidos y/o que no hayan indicado un país o una dirección a la hora de registrarse en la ‘app’. Mientras no se encuentre una solución técnica al problema, sus agentes controlarán, manual y periódicamente, las solicitudes que no se hayan automáticamente asignado a ningún agente. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que GLOVOAPP realiza la recogida y conservación de, como mínimo, el correo electrónico de personas físicas, entre otros tratamientos. GLOVOAPP realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/27 control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, GLOVOAPP tiene su establecimiento principal en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. Por su parte, la supresión de los datos personales se regula en los artículos 17 del RGPD y artículo 15 de la LOPDGDD, mientras que el modo en que estos derechos deben ser atendidos se regula en el artículo 12 del RGPD. III Alegaciones aducidas En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por GLOVOAPP: PRIMERA. - SOBRE EL CUMPLIMIENTO DE GLOVO DE LA ATENCIÓN DE LOS DERECHOS DE PROTECCIÓN DE DATOS PERSONALES GLOVOAPP entiende que quedó de manifiesto que en ningún momento denegó ni obstaculizó el ejercicio del derecho de supresión de la parte reclamante a los efectos de lo dispuesto en el artículo 12.2 de la LOPDGDD, sino que más bien mostró una flexibilidad flagrante procediendo a la eliminación de los datos personales de la parte reclamante inmediatamente después de recibir la reclamación por parte de esta Agencia, a pesar de no ser ejercido mediante los canales habilitados a tal fin en ese momento (las direcciones de correo electrónico legal@glovoapp.com y gdpr@glovoapp.com). Además, se remite a las causas por las que no pudo proceder a eliminar los datos personales de la parte reclamante en plazo (imposibilidad de localizarle en un territorio o ciudad concreta por no haber realizado ningún pedido a través de la plataforma y, por consiguiente, imposibilidad de asignar su petición a un agente específico del SAC), lo cual no puede entenderse, en ningún caso, como una voluntad de GLOVOAPP de no querer cumplir con su deber de atención del derecho de supresión ejercido por la parte reclamante, a los efectos del del artículo 74.
  2. c)de la LOPDGDD. Es más, GLOVOAPP deja constancia de que el derecho de supresión de la parte reclamante fue inmediatamente atendido por los motivos que ya se expresaron en dicho escrito de fecha 18 de septiembre de 2020, complementándolo con un envío masivo a todos los agentes que forman parte del SAC recordándoles la necesidad de remitir inmediatamente al Delegado de Protección de Datos cualquier ejercicio de derechos que pudiera llegar a través del chat. Por tanto, entiende que queda meridianamente demostrado que GLOVOAPP, como responsable de tratamiento, ya tenía asegurado y sigue asegurando en sus políticas internas la satisfacción de los derechos de los interesados, independientemente del modo en que éstos sean ejercidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/27 Al respecto, esta Agencia desea señalar que, precisamente, no “tenía asegurado” la satisfacción de los derechos de los interesados, independientemente del modo en que éstos sean ejercidos, toda vez que la parte reclamante solicitó la supresión de sus datos a través de un canal ciertamente distinto al previsto por GLOVOAPP, razón por la cual la empresa no fue capaz de atenderlo correctamente. Y esto fue, tal y como la empresa reconoce, debido a que la parte reclamante no había realizado ningún pedido, por lo cual no se le pudo asignar un territorio o ciudad concreta, lo que causó que no se le asignara un agente específico del SAC a dicha petición. Si bien es cierto que con posterioridad al traslado de la reclamación por parte de esta Agencia, GLOVOAPP ha atendido debidamente la solicitud de la parte reclamante, lo cual es valorado positivamente por esta Agencia, no es menos cierto que la solicitud de la parte reclamante no fue atendida en el plazo estipulado por el RGPD. Afirma GLOVOAPP también que monitoriza regular y constantemente todos los canales con los que tiene contacto con el usuario (formularios web, chat de la aplicación, direcciones de correo electrónico, correo postal, perfiles de redes sociales, entre otros) de tal modo que, en caso de ejercerse un derecho de protección de datos éste es correctamente atendido. Y que prueba de ello es que, desde la reclamación de la parte reclamante remitida por esta Agencia, GLOVOAPP no ha recibido ninguna otra reclamación por parte de ésta ni de ninguna otra autoridad de control de los países en los que opera por no haber atendido un derecho de protección de datos ni, especialmente, un derecho de supresión. No obstante, esta Agencia desea destacar que el hecho de que no se hubiera recibido ninguna otra reclamación por parte de ninguna autoridad de control no constituye prueba de que “monitoriza regular y constantemente todos los canales con los que tiene contacto con el usuario (…) de tal modo que, en caso de ejercerse un derecho de protección de datos éste es correctamente atendido”. En todo caso, resulta evidente que con independencia de la actuación que se llevara a cabo por GLOVOAPP con posterioridad a los hechos objeto del presente procedimiento, en el momento en que la parte reclamante realizó su solicitud de supresión de sus datos, esta monitorización no se estaba realizando o no se estaba realizando correctamente, dado que su derecho no fue atendido debidamente. Por último, GLOVOAPP considera que la Agencia yerra en sancionarle con un apercibimiento, puesto que de las actuaciones acaecidas no puede entenderse una clara voluntad de incumplimiento de la normativa de protección de datos en la forma de no querer atender el derecho de supresión de la parte reclamante, siendo preciso decretar el archivo de las mismas. Al respecto, esta Agencia no considera que hubiera existido una clara voluntad de incumplimiento de la normativa de protección de datos, sino que GLOVOAPP actuó de forma negligente al no haber previsto un mecanismo interno para dar curso a aquellas peticiones sobre ejercicios de derechos de la normativa de protección de datos personales, que se recibieran por canales distintos a los inicialmente previstos. En C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/27 especial, para aquellos casos en que el sistema no pudiera asignar un agente SAC determinado, al no poder asignarse una ciudad o territorio determinado al usuario, tal como ha ocurrido en el presente caso. Por todo lo expuesto, se desestima la presente alegación. SEGUNDA. - SOBRE EL PRONUNCIAMIENTO DE ESTA AGENCIA SOBRE EL ARCHIVO DE LAS ACTUACIONES GLOVOAPP realiza una mención expresa a la resolución de fecha 5 de octubre de 2020 por la que la Directora de la AEPD adoptó un proyecto de decisión de archivo de las actuaciones acaecidas en este procedimiento. Si bien las autoridades de control interesadas de Polonia y Portugal presentaron objeciones al proyecto de decisión, para GLOVOAPP es evidente que dicho proyecto no se adopta por la AEPD sin considerar que de las actuaciones y pruebas obtenidas hasta la fecha no se derivan en la existencia de un incumplimiento ni en unos daños y perjuicios graves para los derechos e intereses de la parte reclamante. GLOVOAPP considera que la AEPD, como autoridad de control principal de este procedimiento, debería haber mantenido la decisión tomada en su día, siendo el apercibimiento una sanción innecesaria e inadecuada para este caso, puesto que Glovo en ningún momento ha mostrado una voluntad de no atender el derecho de supresión de la parte reclamante, máxime cuando ha mostrado una flexibilidad clara e inequívoca suprimiendo sus datos de forma inmediata después de recibir la reclamación por parte de la AEPD, a pesar de haberse ejercido este derecho por un canal no habilitado para este propósito. Al respecto, esta Agencia desea señalar que el mecanismo que el artículo 60 del RGPD obliga a la autoridad principal, en el caso de un tratamiento transfronterizo, a adoptar una decisión unánime junto con las demás autoridades interesadas. Y se prevé precisamente que se alcance una nueva decisión en la que todas las autoridades de control estén de acuerdo, ya sea mediante un proyecto de decisión o un proyecto revisado de decisión. En este sentido, inicialmente la Agencia Española propuso al resto de autoridades que se archivaran las actuaciones mediante el citado proyecto de decisión de archivo de las actuaciones, pero se presentaron objeciones pertinentes y motivadas que han llevado a esta Agencia a replantearse su interpretación inicial, llegando a un acuerdo con el resto de autoridades en la apreciación de la existencia de una infracción por parte de GLOVOAPP, sin que estuviera obligada en ningún momento a mantener su postura inicial. Por lo expuesto, se desestima la presente alegación. TERCERA. – NULIDAD DEL ACTO ADMINISTRATIVO POR AUSENCIA DE LOS ELEMENTOS NECESARIOS PARA QUE SE CONSIDERE QUE EXISTE INFRACCIÓN C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/27 GLOVOAPP entiende que en ningún caso su conducta es sancionable en la forma de apercibimiento, por los motivos que se exponen a continuación. 3.1 Ausencia de los elementos subjetivos de la infracción. Nulidad de Sanción GLOVOAPP considera que no se ha analizado la concurrencia de una acción dolosa o culposa en el presente caso, para poder imponer una sanción en el presente caso. Esto es, que no se ha analizado la existencia del elemento subjetivo (la culpabilidad) que la Ley 40/2015 exige para que se compruebe la existencia de una infracción administrativa. Insiste GLOVOAPP en que ha quedado demostrado que en ningún momento ha querido dolosamente no atender el derecho de supresión de la parte reclamante. Todo lo contrario. Ha procedido de forma inmediata a la atención de dicho derecho una vez trasladado por esta Agencia. Por tanto, GLOVOAPP manifiesta que debe tenerse en cuenta que la AEPD debía haber llevado a cabo este análisis y por tanto, no pudiendo apreciarse, de ningún modo, un ánimo de infringir la normativa de protección de datos por parte de Glovo (en la forma de querer obstaculizar, impedir o no atender el derecho de supresión de la parte reclamante), y habiéndose prescindido de la valoración de dicho ánimo como elemento esencial de la infracción administrativa, GLOVOAPP entiende que la imposición de sanción estaría viciada de nulidad. Al respecto, esta Agencia repite lo manifestado anteriormente, en el sentido de que no se considera que hubiera existido una clara voluntad de incumplimiento de la normativa de protección de datos, sino que se entiende que GLOVOAPP actuó de forma negligente al no haber previsto un mecanismo interno para dar curso a aquellas peticiones sobre ejercicios de derechos de la normativa de protección de datos personales, que se recibieran por canales distintos a los inicialmente previstos. En especial, para aquellos casos en que el sistema no pudiera asignar un agente SAC determinado, al no poder asignarse una ciudad o territorio determinado al usuario, tal como ha ocurrido en el presente caso. Por lo expuesto, se desestima la presente alegación. 3.2. De la falta de prueba que desvirtúe la presunción de inocencia de Glovo. Nulidad de sanción GLOVOAPP alega que corresponde a la Administración la carga de la prueba de la culpabilidad del sujeto, la cual deberá quedar acreditada por cualquiera de los medios admitidos en derecho. Y que, en el presente caso, no consta GLOVOAPP que exista absolutamente ningún elemento probatorio que permita considerar destruida la presunción de inocencia que, dentro del ámbito administrativo-sancionador, es plenamente aplicable a las relaciones entre la Administración y los administrados, tal y como han reconocido innumerables resoluciones jurisdiccionales en todos los ámbitos jerárquicos y territoriales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/27 En el presente caso, GLOVOAPP entiende que la AEPD se limita a repasar en el Acuerdo los antecedentes del expediente, pero no se puede de ningún modo afirmar que nos encontramos ante una infracción claramente intencionada de la normativa de protección de datos por parte de Glovo, máxime si como se ha podido demostrar en los hechos, el derecho de supresión de la parte reclamante quedó claramente atendido. GLOVOAPP considera que en el presente caso no existen pruebas reales de cargo en dicha iniciación de procedimiento que permitan entender que existe culpabilidad en la conducta de GLOVOAPP. Al respecto, esta Agencia insiste en que no entiende que hubiera existido una clara voluntad de incumplimiento de la normativa de protección de datos, sino que entiende que GLOVOAPP actuó de forma negligente al no haber previsto un mecanismo interno para dar curso a aquellas peticiones sobre ejercicios de derechos de la normativa de protección de datos personales, que se recibieran por canales distintos a los inicialmente previstos. En especial, para aquellos casos en que el sistema no pudiera asignar un agente SAC determinado, al no poder asignarse una ciudad o territorio determinado al usuario, tal como ha ocurrido en el presente caso. En cuanto a la prueba en este sentido, GLOVOAPP ha afirmado en su escrito de respuesta al traslado de la citada reclamación, así como en su escrito de alegaciones al acuerdo de inicio del procedimiento sancionador, que no se había dado curso a la solicitud de supresión de los datos personales de la parte reclamante dado que no había sido posible asignarle un agente SAC determinado, toda vez que no realizó ningún pedido y no se le había asignado una ciudad o territorio determinado. Y fue esta situación la que ocasionó que no se atendiera debidamente la solicitud realizada. Y que, con posterioridad a haber tenido conocimiento de la citada reclamación, GLOVOAPP adoptó medidas para evitar que este tipo de situaciones se repita en un futuro (lo cual se ha valorado positivamente y se ha decidido sustituir una sanción en forma de multa por dirigir un apercibimiento, en los términos del RGPD). Por lo expuesto, se desestima la presente alegación. 3.3. Ausencia de culpabilidad. Nulidad de sanción GLOVOAPP insiste en que, en el caso concreto, en ningún momento se ha omitido ni incumplido la normativa de protección de datos, es más, GLOVOAPP considera que ha cumplido religiosamente con todas sus obligaciones. No ha existido ningún ánimo de infringir, todo lo contrario. GLOVOAPP entiende que ha demostrado a la AEPD su voluntad de cumplir con la normativa de protección de datos personales, procediendo de forma inmediata a la supresión de los datos de la parte reclamante, una vez trasladada la reclamación por parte de esta Agencia, y asegurándose la plena satisfacción de los derechos de los usuarios en todo momento con independencia del canal que estos sean ejercidos. Por todos los argumentos expuestos, GLOVOAPP considera que existe una ausencia total de elementos probatorios de la culpabilidad y, en consecuencia, una violación del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/27 derecho fundamental a la presunción de inocencia recogido en la Constitución Española. Al respecto, esta Agencia insiste en que no considera que hubiera existido una clara voluntad de incumplimiento de la normativa de protección de datos, sino que GLOVOAPP actuó de forma negligente al no haber previsto un mecanismo interno para dar curso a aquellas peticiones sobre ejercicios de derechos de la normativa de protección de datos personales, que se recibieran por canales distintos a los inicialmente previstos. En especial, para aquellos casos en que el sistema no pudiera asignar un agente SAC determinado, al no poder asignarse una ciudad o territorio determinado al usuario, tal como ha ocurrido en el presente caso. Por tanto, considera que existen elementos probatorios suficientes que demuestran que ha existido una conducta negligente por parte de GLOVOAPP, lo que determina la existencia de la citada infracción. Por lo expuesto, se desestima la presente alegación. 3.4. Ausencia de los principios de tipicidad y presunción de inocencia. Nulidad de sanción GLOVOAPP alega la importancia que el ordenamiento jurídico otorga a los principios de tipicidad y presunción de inocencia en el ámbito de la potestad sancionadora de la Administración, y probada la extensa recepción en la jurisprudencia de la obligación de aplicar dichos principios al procedimiento sancionador administrativo, lo cual debe contrastarse todo lo dicho de inmediato con cuanto ha acontecido en las presentes actuaciones. GLOVOAPP entiende que ha quedado debidamente demostrado que ha actuado en todo momento de buena fe, aplicando el máximo esfuerzo en cumplir la normativa de protección de datos con el convencimiento de estar dentro de la legalidad, por ser esta su exigencia como responsable del tratamiento de los datos personales de los interesados, y con el ánimo de no poner nunca en peligro sus derechos y libertades. No existe, pues, una clara “intencionalidad” en incumplir con la normativa vigente ya que, realizó todas las acciones necesarias y debidas para el cumplimiento de la normativa y ha ajustado prudentemente su actuación a la ley. Al respecto, esta Agencia insiste en que no considera que hubiera existido una clara voluntad de incumplimiento de la normativa de protección de datos, sino que GLOVOAPP actuó de forma negligente al no haber previsto un mecanismo interno para dar curso a aquellas peticiones sobre ejercicios de derechos de la normativa de protección de datos personales, que se recibieran por canales distintos a los inicialmente previstos. En especial, para aquellos casos en que el sistema no pudiera asignar un agente SAC determinado, al no poder asignarse una ciudad o territorio determinado al usuario, tal como ha ocurrido en el presente caso. Por tanto, considera que existen elementos probatorios suficientes que demuestran que ha existido una conducta negligente por parte de GLOVOAPP, lo que determina la existencia de la citada infracción. Por lo expuesto, se desestima la presente alegación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/27 IV Derecho de supresión El artículo 17 “Derecho de supresión («el derecho al olvido»)” del RGPD establece que: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
  3. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
  4. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
  5. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
  6. d)los datos personales hayan sido tratados ilícitamente;
  7. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
  8. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
  9. a)para ejercer el derecho a la libertad de expresión e información;
  10. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
  11. c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
  12. h)e i), y apartado 3;
  13. d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
  14. e)para la formulación, el ejercicio o la defensa de reclamaciones”. Por su parte, el artículo 15 “Derecho de supresión” de la LOPDGDD dispone que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/27 “1. El derecho de supresión se ejercerá de acuerdo con lo establecido en el artículo 17 del Reglamento (UE) 2016/679. 2. Cuando la supresión derive del ejercicio del derecho de oposición con arreglo al artículo 21.2 del Reglamento (UE) 2016/679, el responsable podrá conservar los datos identificativos del afectado necesarios con el fin de impedir tratamientos futuros para fines de mercadotecnia directa”. En el presente caso, consta que la parte reclamante había solicitado a GLOVOAPP la supresión de sus datos personales en, al menos, cuatro ocasiones. V Ejercicio de los derechos del interesado El artículo 12 “Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado” del RGPD establece que: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios. 2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado. 3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo. 4. Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. 5. La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/27 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
  15. a)cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
  16. b)negarse a actuar respecto de la solicitud. El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud. 6. Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado. (…)”. Por su parte, el artículo 12 “Disposiciones generales sobre ejercicio de los derechos” de la LOPDGDD dispone que: “1. Los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, podrán ejercerse directamente o por medio de representante legal o voluntario. 2. El responsable del tratamiento estará obligado a informar al afectado sobre los medios a su disposición para ejercer los derechos que le corresponden. Los medios deberán ser fácilmente accesibles para el afectado. El ejercicio del derecho no podrá ser denegado por el solo motivo de optar el afectado por otro medio. 3. El encargado podrá tramitar, por cuenta del responsable, las solicitudes de ejercicio formuladas por los afectados de sus derechos si así se estableciere en el contrato o acto jurídico que les vincule. 4. La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulado por el afectado recaerá sobre el responsable. 5. Cuando las leyes aplicables a determinados tratamientos establezcan un régimen especial que afecte al ejercicio de los derechos previstos en el Capítulo III del Reglamento (UE) 2016/679, se estará a lo dispuesto en aquellas. 6. En cualquier caso, los titulares de la patria potestad podrán ejercitar en nombre y representación de los menores de catorce años los derechos de acceso, rectificación, cancelación, oposición o cualesquiera otros que pudieran corresponderles en el contexto de la presente ley orgánica. 7. Serán gratuitas las actuaciones llevadas a cabo por el responsable del tratamiento para atender las solicitudes de ejercicio de estos derechos, sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del Reglamento (UE) 2016/679 y en los apartados 3 y 4 del artículo 13 de esta ley orgánica”. En el presente caso, consta que la parte reclamante solicitó la supresión de su cuenta y sus datos personales en, al menos, cuatro ocasiones. La última de ellas el día 13 de noviembre de 2019. No obstante, no fue hasta el 16 de septiembre de 2020 que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/27 GLOVOAPP confirmó a la parte reclamante que atendió debidamente tal solicitud, luego de recibir el traslado de la citada reclamación por parte de esta Agencia. Si bien la parte reclamante no había utilizado el formulario destinado a tal fin, había contactado a través de un chat con un agente de atención al cliente y había recibido una respuesta automática de la parte reclamada en la que se comprometía a responderle dentro de las siguientes 24 horas. De hecho, es responsabilidad del responsable de tratamiento asegurar la satisfacción de los derechos de los interesados en general y, en particular, cumplir con cualquier requisito del RGPD en relación con estos derechos. El principio de responsabilidad proactiva, de acuerdo con el artículo 5.2 del RGPD, implica que el responsable de tratamiento debe adecuar sus procesos internos para cumplir con las obligaciones que le impone la normativa, ajustados a la organización y al tratamiento de datos personales que lleva a cabo. El responsable, además, debe demostrar que las soluciones adoptadas cumplen con los requisitos de la normativa. En este contexto, el responsable de tratamiento puede y debe tener mecanismos que permitan el ejercicio de cada uno de los derechos de una manera sencilla para los interesados, y darles plena satisfacción en el menor tiempo posible. El responsable debe también demostrar flexibilidad en la interacción con el interesado sobre una solicitud específica, independientemente de su política interna. El hecho de que la solicitud se hubiera realizado a través de un medio alternativo a los mecanismos dispuestos por la empresa no debe ser motivo para no atenderla. Por tanto, de conformidad con las evidencias de las que se dispone, se considera que los hechos conocidos son constitutivos de una infracción, imputable a GLOVOAPP, por vulneración del artículo 12 del RGPD, en relación con el artículo 17 del RGPD. VI Tipificación de la infracción del artículo 12 del RGPD La citada infracción del artículo 12 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  17. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/27 A efectos del plazo de prescripción, el artículo 74 “Infracciones consideradas leves” de la LOPDGDD indica: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes: (…)
  18. c)No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto en el artículo 72.1.
  19. k)de esta ley orgánica”. VII Sanción por la infracción del artículo 12 del RGPD Sin perjuicio de lo dispuesto en el artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.
  20. b)del artículo 58 “Poderes” lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  21. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” Por su parte, el considerando 148 del RGPD indica: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” De conformidad con las evidencias de que se dispone, se considera que la infracción en cuestión es leve a los efectos del artículo 83.2 del RGPD dado que en el presente caso, se trató de un caso concreto, consecuencia de un error puntual (del cual no constan antecedentes similares en esta Agencia), el cual ya habría sido corregido, lo cual permite considerar una disminución de la culpa en los hechos, por lo que se considera conforme a Derecho no imponer sanción consistente en multa administrativa y sustituirla por dirigir un apercibimiento. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/27 PRIMERO: DIRIGIR a GLOVOAPP23, S..L., con NIF B66362906, por una infracción del Artículo 12 del RGPD, tipificada en el Artículo 83.5 del RGPD, un apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a GLOVOAPP23, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  22. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-050522 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.