REPOSICION-AI-00110-2024

1/7  Expediente nº.: EXP202400651 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por A.A.A. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 28 de enero de 2025, y en base a los siguientes HECHOS PRIMERO: Con fecha 28 de enero de 2025, se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos en el expediente EXP202400651, procediéndose al archivo de las actuaciones previas de investigación respecto a MEDIA MARKT SATURN, S.A. Dicha resolución fue notificada a la parte recurrente en fecha de 30 de enero de 2025 según consta en el acuse de recibo que figura en el expediente. SEGUNDO: La parte recurrente ha presentado en fecha 27 de febrero de 2025, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo básicamente en los siguientes motivos: - Nulidad por falta de entrega de las condiciones generales del servicio (art. 5 LCGC, art. 60 TRLGDCU). - La cláusula 5 del contrato entre la parte recurrente y MEDIAMARKT no sería aplicable porque la empresa no llegó a reparar el dispositivo. - MEDIAMARKT sería responsable del tratamiento de datos conforme al art. 4.7 RGPD, y el contrato con GLS no le exime de responsabilidad (arts. 24, 26 y 28 RGPD). - Nulidad por la infracción del artículo 47 de la ley de procedimiento administrativo en relación con el artículo 32 y 33 del RGPD. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, cabe señalar lo siguiente. En primer término, la parte recurrente basa todas sus argumentaciones en la supuesta nulidad de la resolución, no obstante, obvia que el mencionado artículo 47 LPACAP establece en su apartado primero los supuestos tasados de nulidad de los actos administrativos, sin que por la parte recurrente se haya precisado la causa que llevaría a apreciar sus argumentaciones, ni la circunstancia que, a su juicio, concurriría en el presente caso. Así, con carácter general, ha de precisarse que la resolución recurrida no incurre en ninguna de las circunstancias previstas en el artículo 47.1 de la LPACAP. Por otra parte, respecto a la “Nulidad por falta de entrega de las condiciones generales del servicio (art. 5 LCGC, art. 60 TRLGDCU)” La parte recurrente alega que MEDIAMARKT no le entregó ni comunicó adecuadamente las condiciones del servicio de reparación, en particular la cláusula 5 de exoneración de responsabilidad sobre datos almacenados, por lo que dicha cláusula no le sería oponible. Este argumento carece de relevancia en el presente procedimiento ante la AEPD, cuyo objeto no es dirimir controversias contractuales entre empresas y consumidores, cuestión que competente a la jurisdicción civil, sino determinar si ha existido infracción de la normativa de protección de datos. Asimismo, con relación a la argumentación relativa a “La cláusula 5 no sería aplicable porque MEDIAMARKT no llegó a reparar el dispositivo” La parte recurrente sostiene que, al no haberse llevado a cabo la reparación, la cláusula de exoneración sobre pérdida de datos no puede activarse. Insiste además en que el foco de su denuncia no es la pérdida de datos durante la reparación, sino la desaparición física del dispositivo. La parte recurrente reconoce explícitamente que el objeto principal de su denuncia no es la pérdida de datos asociada a una reparación, sino el extravío del dispositivo durante el transporte de devolución. Respecto a los hechos que constan en el expediente y que sirvieron de base para la resolución recurrida: MEDIAMARKT identificó el envío con el número de expedición ***REFERENCIA.1, lo entregó a GLS con las instrucciones correctas (código de seguimiento y contenido del paquete). GLS acusó recibo del encargo e incluso reconoció haber recibido el paquete en sus instalaciones de San Fernando de Henares (Madrid) el 19 de diciembre de 2022, a las 19:21 horas, enviando un correo a la parte recurrente con el código de seguimiento correcto: "Tu pedido Llamar de DEVOLUCIONES MEDIAMARKT con Nº de seguimiento GLS ***REFERENCIA.1 ya está en reparto". Es a partir de ese momento cuando el paquete desaparece del control de GLS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 Por su parte, en cuanto a las alegaciones relativas a que “MEDIAMARKT sería responsable del tratamiento de datos conforme al art. 4.7 RGPD, y el contrato con GLS no le exime de responsabilidad (arts. 24, 26 y 28 RGPD)” La parte recurrente argumenta que MEDIAMARKT, como responsable del tratamiento, debe garantizar la seguridad de los datos incluso cuando subcontrata el transporte a GLS. Si bien la argumentación de la parte recurrente responde a la idea general sostenida en el RGPD, omite un elemento importante: el carácter funcional de los conceptos de encargado y responsable del tratamiento descrito por el CEPD en sus Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD en los siguientes términos: “12 Los conceptos de «responsable del tratamiento» y «encargado del tratamiento» son conceptos funcionales: su objetivo es asignar responsabilidades en función del papel real de cada parte. Esto implica que la condición jurídica de «responsable del tratamiento» o «encargado del tratamiento» de los participantes debe establecerse en principio en virtud de sus actividades concretas en una situación determinada y no en función de la designación formal de un participante como «responsable del tratamiento» o «encargado del tratamiento» (p. ej., en un contrato).6 Esto implica que la asignación de la función de responsable o encargado debe derivar normalmente de un análisis de los hechos o circunstancias del caso y, en consecuencia, no es negociable”. Así, el responsable del tratamiento es, de acuerdo con el artículo 4.7 del RGPD quien determina fines y medios respecto a un tratamiento de datos personales, mientras que el encargado del tratamiento es, de acuerdo con el artículo 4.8 del RGPD quien realiza un tratamiento de datos personales conforme a las instrucciones del responsable, lo que equivale, de acuerdo con las mencionadas directrices a servir sus intereses y actuar en su nombre o por delegación. Este último elemento resulta esencial (seguir las instrucciones del responsable del tratamiento) para que un encargado mantenga esta condición y no devenga un responsable del tratamiento al pasar a determinar fines y medios. Además, precisamente porque un encargado de tratamiento sigue las instrucciones del responsable, el responsable del tratamiento responde por este, de acuerdo con el artículo 29 del RGPD. Ahora bien, el RGPD establece en su artículo 28.10 la posibilidad de que un encargado del tratamiento adquiera la condición de responsable cuando incumpla la premisa fundamental y pase a determinar fines y medios. En esta línea se pronuncian las señaladas directrices: “74. El RGPD establece obligaciones concretas que vinculan directamente a los encargados del tratamiento, tal como se especifica en la sección 1 del apartado II de las presentes directrices. Es posible exigir responsabilidad o sancionar a un encargado cuando no cumpla con dichas obligaciones o actúe al margen o en contra de las instrucciones legales del responsable”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7 Asimismo, la STJUE de 5 de diciembre de 2023 dictada en el asunto C-683/21: “ 84. Dado que, como se ha indicado en el apartado 36 de la presente sentencia, un responsable del tratamiento es responsable no solo por todo tratamiento de datos personales que efectúe él mismo, sino también por los tratamientos realizados por su cuenta, puede imponerse a ese responsable una multa administrativa con arreglo al artículo 83 del RGPD en una situación en la que los datos personales son objeto de un tratamiento ilícito y en la que no es él, sino un encargado al que ha recurrido, quien ha efectuado el tratamiento por cuenta suya. 85. No obstante, la responsabilidad del responsable del tratamiento por el comportamiento de un encargado no puede extenderse a las situaciones en las que el encargado haya tratado datos personales para fines que le sean propios o en las que haya tratado dichos datos de manera incompatible con el marco o las modalidades del tratamiento tal como hayan sido determinados por el responsable del tratamiento o de manera que no pueda considerarse razonablemente que dicho responsable hubiera dado su consentimiento. En efecto, de conformidad con el artículo 28, apartado 10, del RGPD, el encargado del tratamiento debe, en ese supuesto, ser considerado responsable del tratamiento con respecto a dicho tratamiento”. Lo anterior significa que, si bien la regla general es que el responsable del tratamiento es responsable de los tratamientos realizados por sí mismo, y de los realizados por su cuenta, existen excepciones en las que el encargado o subencargado del tratamiento responderá como responsable del tratamiento en las situaciones en las que el encargado haya tratado datos personales (

1. i)para fines que le sean propios o (
2. ii)en las que haya tratado dichos datos de manera incompatible con el marco o las modalidades del tratamiento tal como hayan sido determinados por el responsable del tratamiento, es decir de manera incompatible o contraria o extralimitándose respecto las instrucciones del responsable del tratamiento sobre los fines y los medios del tratamiento o (iii) que realice actuaciones que el responsable no hubiera autorizado. En otro orden de cosas, relacionadas con el concepto de responsabilidad administrativa, que no debe ser confundido con el concepto de responsable del tratamiento, de acuerdo con el artículo 28.1 de la LRJSP la exigencia de responsabilidad en el ámbito administrativo requiere de la concurrencia de elementos objetivos y subjetivos, como ocurre en el derecho penal con el principio de culpabilidad. Así, la atribución de responsabilidad exige la existencia de negligencia o intencionalidad. En el presente caso, la resolución recurrida hace referencia a que, con la información obrante en el expediente (que ha de ser la base sobre la que se funde cualquier resolución) y atendiendo a que MEDIAMARKT dio instrucciones a GLS (su encargado del tratamiento) sobre el paquete que contenía el envío que debió ser entregado a la parte reclamante, no es posible atribuir la responsabilidad a la primera. Todo ello, como indica la resolución, “sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7 Por otra parte, se señala que la resolución E/01156/2020 (Cruz Roja Española) no es análoga. La ahora parte recurrente cita esta resolución como precedente, pero en aquel caso la entidad responsable no había adoptado las medidas contractuales adecuadas con la empresa de mensajería. Asimismo, la sentencia del TJUE (Asunto C-210/16) tampoco resulta aplicable en sus términos. Dicha sentencia se refiere a la gestión de páginas de fans en Facebook, donde la entidad tenía la condición de corresponsable al definir los fines del tratamiento de datos con la plataforma. En el presente caso, MEDIAMARKT no es corresponsable de ningún tratamiento con GLS. Respecto a la alegación relativa a la “Nulidad por la infracción del artículo 47 de la ley de procedimiento administrativo en relación con el artículo 32 y 33 del RGPD” La parte recurrente alega que MEDIAMARKT no adoptó medidas de seguridad adecuadas (art. 32 del RGPD), no notificó la brecha a la AEPD en 72 horas (art. 33 del RGPD) y no actuó diligentemente ante las cuatro brechas descritas. Ha de subrayarse, que, con la documentación obrante en el expediente, no han quedado acreditados la existencia de elementos suficientes que deriven en la imputación de las infracciones mencionada por la parte recurrente a MEDIAMARKT debiendo imperar, además, el principio de presunción de inocencia frente a la apertura de un procedimiento sancionador. Por otra parte, no puede obviarse que a fecha en la que se dictó al resolución de archivo objeto de recurso, las supuestas infracciones a las que la parte recurrente hace referencia habrían prescrito. Por último, respecto a lo que la parte recurrente considera 4 brechas de datos personales derivados de la pérdida de su dispositivo, la entrega de un dispositivo de un tercero a la parte recurrente, la pérdida de disponibilidad de los datos de un tercero y la pérdida del ordenador de un tercero debe precisarse que el artículo 77 del RGPD legitima la presentación de reclamaciones a los titulares de los derechos afectados. Atendiendo a lo anterior, procede desestimar las alegaciones presentadas. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. IV Obligación de dictar resolución expresa De acuerdo con lo establecido en el artículo 24 de la LPACAP, el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7 No obstante, a pesar de que haya transcurrido el plazo legalmente establecido para resolver, la Administración mantiene la obligación de dictar resolución expresa y de notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, incluidos los recursos administrativos que se hayan podido interponer, según dispone el artículo 21.1 de la citada LPACAP. En los casos de desestimación por silencio administrativo, la resolución expresa posterior al vencimiento del plazo se adoptará por la Administración sin vinculación alguna al sentido del silencio, según dispone el artículo 24.3 de la misma ley. Por tanto, aunque no se resuelva el recurso en plazo, procede emitir la resolución expresa que lo finalice. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 28 de enero de 2025, en el expediente EXP202400651. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contenciosoadministrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
3. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 181-071125 Lorenzo Cotino Hueso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es