1/10 Expediente Nº: PS/00402/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: La Jefatura Superior de Policía del País Vasco (en adelante, la parte denunciante), con fecha 27/05/2021, remitió Acta-Denuncia a la Agencia Española de Protección de Datos. La denuncia se dirige contra A.A.A. con NIF ***NIF.1 (en adelante, la parte denunciada). En el oficio de remisión del Acta se indica lo siguiente, en relación con la materia de protección de datos: “El Grupo II de la Brigada Provincial de Extranjería y Fronteras de Bilbao de la Jefatura Superior de Policía del País Vasco ha detectado, a raíz de la recepción de múltiples reclamaciones y quejas tanto de usuarios como de gestorías y despachos de abogados relacionados con los trámites documentales de extranjeros, que esta saturación, además de por las causas expuestas, también viene motivadas por las prácticas que vienen realizando los responsables de diversos establecimientos abiertos al público, principalmente locutorios, y/o particulares que se publicitan para la obtención de citas previas a cambio de distintas cantidades económicas y que, para conseguir un mayor lucro, saturan la plataforma informática de manera que provocan que los usuarios tengan muy difícil la obtención de una cita gratuita ante la administración y se vean obligados a requerir de sus servicios. Al acudir a estos lugares, los usuarios se han visto forzados a facilitar sus datos personales, tanto de manera escrita como aportando copia de su documentación identificativa, a los empleados o personas que ofrecen este servicio para que, con dichos datos, puedan reservarle la cita ante la administración, toda vez que dichas citas son nominales y no cabe la personación en las oficinas de documentación policiales con justificantes de citas que no correspondan con la persona que vaya a realizar el trámite solicitado. Esta cesión de sus datos personales se realiza sin ninguna garantía ni identificación del responsable del tratamiento de los mismos, así como sin informar ni obtener el consentimiento de los usuarios conforme a lo establecido por la Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales, y el Reglamento (UE)2016/679, sobre sus derechos de acceso a sus datos personales, rectificación, supresión o limitación de su tratamiento incurriendo por ello, a juicio de esta Unidad policial, en una infracción leve del artículo 74.a de la citada L.O. 3/2018, sin perjuicio de que con estas conductas se puedan estar también infringiendo algún otro de los preceptos de la L.O. 3/2018. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 En fecha 11/5/2021, por parte de funcionarios policiales adscritos a esta Unidad, se realizó una inspección administrativa en la mercantil denominada “***LOCUTORIO.1”, sito en la ***DIRECCIÓN.1 de Bilbao, en la cual se constató la existencia de numerosas fichas de clientes (papeles manuscritos, copias de documentación, resguardos de cita previa, NIE), que eran almacenadas en dicho establecimiento con la supuesta finalidad de la obtención de citas previas para la realización de diferentes trámites, extendiéndose en el lugar la preceptiva acta de inspección cuya copia se adjunta al presente escrito. Una vez realizadas las correspondientes gestiones, se procedió a la citación y posterior toma de declaración de diversas personas cuyos datos figuran en la documentación intervenida, las cuales han expresado que no fueron informadas ni prestaron consentimiento alguno ni de forma expresa ni tácita sobre lo dispuesto en el artículo 6.1.a del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, al facilitar sus datos personales a los encargados del establecimiento para la obtención de una cita previa. De igual forma estas personas han manifestado que por dichos trámites les han cobrado diferentes cantidades de dinero, cuando la realización de dicho paso previo a la tramitación de su documentación ante la correspondiente unidad administrativa de la Policía Nacional es gratuita. En base a lo anterior, a juicio de los intervinientes, el titular del establecimiento, tanto de manera personal como a través de sus empleados, estaría infringiendo uno o varios preceptos de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, así como del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por lo que, en fecha 19/05/2021, se persona en estas dependencias, el titular del establecimiento, llamado A.A.A., cuyos restantes datos de filiación ya constan. SEGUNDO: Con carácter previo a la admisión a trámite de la denuncia, la Agencia dio traslado de ella a la denunciada el día 08/06/2021, de conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD). La solicitud de información sobre los hechos puestos de manifiesto fue notificada a la denunciada a través de correo postal el 25/06/2021, según consta en el Aviso de entrega de Correos. Con fecha 20/07/2021, la denunciada presentó escrito de alegaciones en el que indica, entre otras, las siguientes cuestiones: “Los clientes muchos de ellos no disponen de los medios, o el tiempo, o simplemente no desean estar pegados a internet todo el día, y consultan en mi tienda si yo puedo ayudarles a sacar la cita, por lo que se les explicaba verbalmente que no había seguridad en poderse sacar, se tomaba verbalmente los datos que solicitaba la aplicación, y se les explicaba que no se guardaba ningún dato, en ningún momento NUNCA- se piden copia de su documento identificativo, como expresa el “documento” de sanción que he recibido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 El “acta de inspección” no afirma eso tampoco, además porque no pueden existir clientes míos que confirmen que se pidan copias de documentos para dicho trámite, por el contrario, existen muchos clientes que confirmarían lo aquí expuesto por mí, que no se piden copias de identificaciones, los datos identificativos del cliente para la cita eran facilitados verbalmente por el cliente con su consentimiento tácito verbal. Muchos de mis clientes personalmente me dicen que yo cobraba muy barato las citas, por considerarlo un servicio más para ellos, 5 euros cobrados únicamente con la finalidad de captar nuevos clientes para mi actividad principal de locutorio; pues en otros sitios y negocios eran muy caros, además en mi negocio en el cartel de anuncios existen NOTAS informativas sobre cumplimiento de la RGPD en mi tienda. […] Yo no tengo bases de datos, ni ficheros, ni archivos de documentos de clientes, mis clientes están informados verbalmente y a través de muchas de las empresas con las que trabajo; y en el caso de las “citas previas” los datos eran verbales facilitados por el cliente con su consentimiento, anotadas en folios que eran guardados por mí personalmente, bajo mi seguridad; una vez obtenida la cita por vía correo electrónico era imprimido el justificante de la misma y entregada al cliente, y los datos destruidos y el mail eliminado definitivamente (por lo menos mi clientes lo sabía), actualmente para los clientes que soliciten el servicio (que realmente no son muchos) deben firmar una NOTA INFORMATIVA de protección de datos y destrucción, de la cual anexo una NOTA también, como ejemplo. […] Junto al escrito de alegaciones presenta una copia de la nota informativa de protección de datos que actualmente hace firmar a los clientes que facilitan sus datos personales. En ella se indica lo siguiente: “En cumplimiento del RGPD 679/2016 UE y la LOPDGDD 3/2018, ***LOCUTORIO.1, como responsable del tratamiento, informa que recoge y trata los datos personales suministrados por Usted, para el cumplimiento de la finalidad de conseguir cita ante las diferentes instituciones y administraciones públicas. En párrafo independiente incluye: “La legitimación para el tratamiento de su información personal es la aplicación de medidas precontractuales a su solicitud y la ejecución del mismo, en la que consiste la prestación de nuestros servicios y el cumplimiento de las obligaciones legales derivadas de la citada normativa”. Añade: “Conservaremos sus datos durante el tiempo que dure la finalidad para la que fueron recogidos. Una vez termine este plazo o Usted solicite la supresión de sus datos, estos serán eliminados debidamente. En ningún caso se utilizarán para desarrollar bases de datos o similares. Usted tiene derecho a solicitar el acceso, rectificación o supresión de los datos”. Debajo se recaba el nombre y apellidos, el Nº Documento Identidad, la fecha y la firma del solicitante. TERCERO: Con fecha 05/08/2021, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la denuncia presentada por la parte denunciante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 Pues, a pesar de que actualmente los clientes deban firmar la mencionada nota, el contenido de esta no informa de manera clara y sencilla a sus clientes de todas las cuestiones que exige el artículo 13 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales (en adelante, RGPD). CUARTO: Con fecha 07/09/2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte denunciada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio, la parte denunciada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: “La parte reclamada se limitaba en el ejercicio de su actividad empresarial, y siempre con el consentimiento expreso de sus clientes a recabar la información necesaria para solicitar citas de extranjería (…). Obtenida la cita se llamaba al cliente en cuestión para entregarle la cita y la información facilitada por el mismo, no quedándose la parte reclamada con NINGÚN DATO DEL CLIENTE EN CUESTIÓN. La obtención de la cita es GRATUITA pero esta parte considera que cobrar 5,00 € por la citada gestión era meramente testimonial. Toda la información obtenida y facilitada voluntariamente por los clientes era supuesto necesario para la obtención de la correspondiente cita (…). Adjunta una copia del documento que, bajo la rúbrica “Protección de Datos de Carácter Personal”, firman los clientes que facilitan sus datos personales. En concreto, indica que “En cumplimiento del RGPD 679/2016 UE y la LOPDGDD 3/2018, ***LOCUTORIO.1, como responsable del tratamiento, informa que recoge y trata los datos personales suministrados por Usted para el cumplimiento de la finalidad de conseguir cita ante las diferentes instituciones y administraciones públicas. La legitimación para el tratamiento de su información persona es la aplicación de medidas precontractuales a su solicitud y la ejecución del mismo, en la que consiste la prestación de nuestros servicios y el cumplimiento de las obligaciones legales derivadas de la citada normativa. Conservaremos sus datos durante el tiempo que dure la finalidad para la que fueron recogidos. Una vez termine este plazo o Usted solicite la supresión de sus datos, estos serán eliminados debidamente. En ningún caso se utilizarán para desarrollar bases de datos o similares. Usted tiene derecho a solicitar el acceso, rectificación, supresión, limitación de su tratamiento, a oponerse al tratamiento y a la portabilidad de los datos, como también derecho a presentar una reclamación ante autoridad de control (artículo 13 del RGPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 Usted puede dirigirse a (…)”. Debajo se recaba el nombre y apellidos, Nº Documento de Identidad, fecha y firma del cliente. SEXTO: El día 04/02/2022 la instructora del procedimiento acordó la apertura de un período de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/06530/2021, así como los documentos aportados por la denunciada en fecha 28/01/2022. SÉPTIMO: Con fecha 07/02/2022, se formuló propuesta de resolución en la que se proponía dirigir un apercibimiento a la denunciada, por la infracción del artículo 13 del RGPD, ya que recogió datos de las personas físicas que acudían a su locutorio a pedir citas para trámites administrativos, sin facilitar la información que exige el citado precepto. Asimismo, conforme al artículo 58.2 del RGPD, se le ordenaba que completara el documento “Protección de Datos de Carácter Personal” que hace firmar a los clientes que facilitan sus datos personales. OCTAVO: El 16/02/2022 se notificó la propuesta de resolución a la denunciada a través de correo postal, según el Aviso emitido por Correos. A día de hoy, esta Agencia no ha obtenido contestación alguna. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La parte denunciada requiere a sus clientes que faciliten sus datos personales para reservarles cita previa para la realización de trámites administrativos, sin facilitarles la información detallada de conformidad con el artículo 13 del RGPD. SEGUNDO: Se manifiesta por la denunciada que los clientes han otorgado el consentimiento para el tratamiento de sus datos personales, ya que debe conocerlos para pedir cita a su nombre, y que, en ningún caso, se queda con los datos de los afectados una vez obtenida la cita. Aporta copia del documento de “Protección de Datos de Carácter Personal” que hace firmar en la actualidad a sus clientes. TERCERO: Pese a las alegaciones de la denunciada al acuerdo de inicio, no ha podido probar que antes de iniciarse el presente procedimiento sancionador informase a sus clientes de los aspectos indicados en el artículo 13 del RGPD. CUARTO: El actual documento de “Protección de Datos de Carácter Personal” que deben firmar los clientes del locutorio de la denunciada no recoge lo dispuesto en el artículo 13.1.
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.