1/6 Procedimiento nº.: E/07109/2021 ASUNTO: Recurso de Reposición Nº EXP202103851 Examinado el recurso de reposición interpuesto por Doña A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/07109/2021, y en base a los siguientes: HECHOS PRIMERO: Con fecha 13 de julio de 2022, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/07109/2021, procediéndose al archivo de actuaciones en aplicación. Dicha resolución, que fue notificada al recurrente en fecha 1 de agosto de 2022, según aviso de recibo que figura en el expediente. SEGUNDO: Doña A.A.A. (en lo sucesivo el recurrente) ha presentado en esta Agencia, en fecha 29 de agosto de 2022, recurso de reposición, fundamentándolo básicamente en que su reclamación fue admitida a trámite y han pasado veintidós meses para dictar resolución cuando el procedimiento dura seis meses de conformidad con el artículo 64 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). La Subdirección General de Inspección de Datos procedió a solicitar información a la OFICINA DEL ALTO COMISONADO DE NACIONES UNIDAS PARA LOS DERECHOS HUMANOS, tras verificarse que la AEPD era competente para su tramitación. Señala que Suiza tiene garantías de adecuación de seguridad para las transferencias internacionales. Por último, indica la recurrente que las autoridades nacionales de control disponen de una amplia gama de facultades a tal efecto. Estos poderes, enumerados con carácter no exhaustivo en el artículo 28, apartado 3, de la Directiva 95/46, constituyen los medios necesarios para el desempeño de sus funciones, tal como se establece en el considerando 63 de la exposición de motivos de la Directiva. Así, dichas autoridades poseen, en particular, facultades de investigación, como la facultad de recabar toda la información necesaria para el ejercicio de sus funciones de supervisión, facultades efectivas de intervención, como la de imponer una prohibición temporal o definitiva de tratamiento de datos, y la facultad de iniciar procedimientos judiciales. Solicita que se continúen las investigaciones y se sancione a la entidad objeto de reclamación. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 El archivo de la resolución recurrida se ha fundamentado en lo siguiente: “Al recibir las reclamaciones en la Agencia Española de Protección de Datos, se verifica si de conformidad con el artículo 3 del RGPD somos competentes para la tramitación de la misma. El artículo 3 del RGPD, referido al ámbito territorial, establece lo siguiente: “1. El presente Reglamento se aplica al tratamiento de datos personales en el contexto de las actividades de un establecimiento del responsable o del encargado en la Unión, independientemente de que el tratamiento tenga lugar en la Unión o no. 2. El presente Reglamento se aplica al tratamiento de datos personales de interesados que residan en la Unión por parte de un responsable o encargado no establecido en la Unión, cuando las actividades de tratamiento estén relacionadas con:
- a)la oferta de bienes o servicios a dichos interesados en la Unión, independientemente de si a estos se les requiere su pago, o
- b)el control de su comportamiento, en la medida en que este tenga lugar en la Unión. 3. El presente Reglamento se aplica al tratamiento de datos personales por parte de un responsable que no esté establecido en la Unión sino en un lugar en que el Derecho de los Estados miembros sea de aplicación en virtud del Derecho internacional público”. El Considerando 25 del mismo RGPD indica: “Cuando sea de aplicación el Derecho de los Estados miembros en virtud del Derecho internacional público, el presente Reglamento debe aplicarse también a todo responsable del tratamiento no establecido en la Unión, como en una misión diplomática u oficina consular de un Estado miembro”. Debe analizarse si a la Oficina del Alto Comisionado de las Naciones Unidas para los Derechos Humanos, con sedes en numerosos países de todo el mundo, le sería aplicable el apartado 3, del artículo 3 del RGPD. La Oficina del Alto Comisionado de las Naciones Unidas para los Derechos Humanos es una es un organismo especializado del sistema de Naciones Unidas, la principal entidad de las Naciones Unidas en derechos humanos. Forma parte de la Secretaría de las Naciones Unidas y su sede principal está establecida en Ginebra. Se trata de una organización internacional. III El RGPD define en su artículo 4.26 una «organización internacional» como «una organización internacional y sus entes subordinados de Derecho internacional público o cualquier otro organismo creado mediante un acuerdo entre dos o más países o en virtud de tal acuerdo» C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 Sobre este particular el Comité Europeo de Protección de Datos (CEPD) recuerda en sus Directrices 3/2018, relativas al ámbito territorial del RGPD (artículo 3), Versión 2.1 12 de noviembre de 2019, y en sus Directrices 2/2020, relativas a la aplicación del artículo 46, apartado 2, letra a), y del artículo 46, apartado 3, letra b), del Reglamento 2016/679 con respecto a las transferencias de datos personales entre autoridades y organismos públicos del EEE y de fuera de este, Versión 2.0 adoptada el 15 de diciembre de 2020, que «la aplicación del RGPD se entiende sin perjuicio de las disposiciones del Derecho internacional, como las que rigen los privilegios e inmunidades de las oficinas consulares y las misiones diplomáticas de países no pertenecientes a la UE, así como de las organizaciones internacionales » En lo que respecta a Naciones Unidas, el artículo 103 de la Carta de las Naciones Unidas dispone que las obligaciones de los Estados miembros en virtud de la Carta prevalecen sobre cualquier otra obligación de los Estados miembros, incluidos los Estados miembros de la Unión Europea, en virtud de cualquier otro acuerdo internacional, incluidos los Tratados de la Unión Europea. De conformidad con el Artículo 104 de la Carta, «la Organización gozará en el territorio de cada uno de sus Miembros de la capacidad jurídica que sea necesaria para el ejercicio de sus funciones y el cumplimiento de sus fines». Asimismo, gozará de inmunidad, tal y como se recoge en el artículo 105.1 de la Carta: «La Organización gozará, en el territorio de cada uno de sus Miembros, de los privilegios e inmunidades necesarios para la realización de sus propósitos». La Convención sobre Privilegios e Inmunidades de las Naciones Unidas de 1946 especifica en su artículo II Sección 2 que «las Naciones Unidas, así como sus bienes y haberes en cualquier parte y en poder de cualquier persona gozarán de inmunidad contra todo procedimiento judicial, a excepción de los casos en que renuncie expresamente a esa inmunidad. Se entiende, sin embargo, que esa renuncia no se aplicará a ninguna medida judicial ejecutoria». Y añade el referido artículo en la Sección 3 que «(…) los haberes y bienes de las Naciones Unidas, donde quiera que se encuentren y en poder de quien quiera que sea, gozarán de inmunidad contra allanamiento, requisición, confiscación, y expropiación y contra toda otra forma de interferencia, ya sea de carácter ejecutivo, administrativo, judicial o legislativo». Esta inmunidad va acompañada de una inviolabilidad absoluta de los archivos y documentos de las Naciones Unidas, como se infiere del artículo II, sección 4, según el cual «los archivos de las Naciones Unidas, y en general todos los documentos que le pertenezcan o se hallen en su posesión serán inviolables donde quiera que se encuentren». Por otro lado, en relación con los Organismos Especializados y de conformidad con el artículo II, sección 3, de la Convención sobre Privilegios e Inmunidades de los Organismos Especializados de 1947, los Organismos especializados tienen personalidad jurídica. Tienen capacidad para:
- a)contratar;
- b)adquirir bienes muebles e inmuebles y disponer de ellos, y
- c)actuar en justicia. Además, según el artículo III sección 4 «Los Organismos especializados, sus bienes y haberes, cualquiera que sea el lugar en que se encuentren y quienquiera que los tenga en su poder, disfrutarán de inmunidad contra toda jurisdicción, salvo en la medida en que en algún caso particular C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 hayan renunciado expresamente a esta inmunidad. Se entiende, sin embargo, que ninguna renuncia de inmunidad se extenderá a ninguna medida ejecutoria.» En consecuencia, la inmunidad de Naciones Unidas se declara en la Carta (Artículo 105), en las Convenciones sobre Prerrogativas e Inmunidades de las Naciones Unidas y de sus Organismos Especializados, y en otros tratados bilaterales y multilaterales, quedando excluidas injerencias de carácter ejecutivo, administrativo, judicial o legislativo. Así las cosas, teniendo en cuenta los privilegios e inmunidades de Naciones Unidas, la AEPD, en calidad de autoridad de control en el ámbito de la protección de datos, no cuenta con las atribuciones necesarias para actuar como autoridad de supervisión en el supuesto objeto de análisis.” III El recurso de reposición presentado solicita que se continúen las investigaciones y se sancione a la entidad reclamada. Indica la recurrente, en primer lugar, que el procedimiento se ha resuelto transcurrido en exceso el plazo señalado en el artículo 64.1 de la LOPDGDD. Este artículo y apartado determina: “1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación. Viene referido a los procedimientos de atención de derechos recogidos en el RGPD. No siendo la desatención de uno de estos derechos el motivo de su reclamación, sino una presunta vulneración del artículo 32 del RGPD, no se puede aplicar el procedimiento de atención de derechos al que hace mención en su escrito. En segundo lugar, indica que la Agencia Española de Protección de Datos había reconocido su competencia frente al tratamiento de datos personales efectuado por la OFICINA DEL ALTO COMISONADO DE NACIONES UNIDAS PARA LOS DERECHOS HUMANOS. La admisión a trámite de la reclamación se hace “sin perjuicio de lo que se determine en el curso de la tramitación”, tal y como se indica en la resolución de admisión a trámite. Durante la tramitación de este expediente es cuando se analizó, más en detalle, toda la normativa y se determinó con mayor precisión el ámbito territorial que correspondía a este expediente y por lo que se decidió archivar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 Por último, expone que las autoridades de control tienen muchas competencias recogidas en la Directiva 95/46. En el momento de producirse los hechos, el RGPD era plenamente aplicable, habiéndose derogado la Directiva referida. IV No se han aportado nuevas pruebas ni manifestaciones distintas de las ya expuestas en el expediente de investigación archivado, por lo que no procede estimar el recurso de reposición interpuesto. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia dictada con fecha 13 de julio de 2022, en el expediente de actuaciones previas de inspección E/07109/2021. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contenciosoadministrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 181-100820 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es