1/5 Procedimiento nº: E/07449/2019 ASUNTO: Recurso de Reposición Nº RR/00011/2020 Examinado el recurso de reposición interpuesto por D. A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/07449/2019, y en base a los siguientes HECHOS PRIMERO: Con fecha 23/10/2019, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/07449/2019, procediéndose al archivo de actuaciones en aplicación del principio de presunción de inocencia. Dicha resolución, que fue notificada al recurrente en fecha 13/11/2019, según aviso de recibo que figura en el expediente. SEGUNDO: A.A.A. (en lo sucesivo el recurrente) ha presentado en esta Agencia, en fecha 10/12/2019, recurso de reposición, fundamentándolo básicamente en alegaciones formuladas con anterioridad. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 La resolución recurrida se fundamentaba en lo siguiente: “II El artículo 13 del RGPD se establece la información que debe facilitarse a los interesados en el momento de la recogida de sus datos, estableciendo lo siguiente: “Información que deberá facilitarse cuando los datos personales se obtengan del interesado. 1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; 4.5.2016 L 119/40 Diario Oficial de la Unión Europea ES
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5
- f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. III En el presente caso, la reclamación interpuesta versa principalmente acerca de la vulneración de la política de privacidad y transparencia por Google en relación con la normativa en materia de protección de datos de carácter personal, refiriéndose a versiones e informaciones sobre la citada política de la entidad reclamada que ya se encuentran obsoletas al no encontrarse actualmente en vigor por haber sido modificadas posteriormente por la propia entidad con ocasión de su adaptación al nuevo RGPD. En un primer momento, la presente reclamación fue trasladada a la autoridad irlandesa en materia de protección de datos, al entender que la misma era la autoridad principal para conocer de este asunto teniendo en cuenta que el responsable tenía ubicado en Irlanda su establecimiento principal, en los términos del artículo 4 del RGPD. No obstante, la autoridad irlandesa negó su competencia argumentando que la reclamación había sido presentada con anterioridad al 21 de enero, fecha en la que el responsable efectivamente fijó su establecimiento principal en dicho Estado Trasladada la reclamación a Google, solicitó la ampliación de plazo para realizar alegaciones, así como la dirección del reclamante para darle una respuesta sobre la incidencia reclamada; respuesta que ha sido trasladada asimismo a la Agencia. En este sentido habría que señalar que Google ha actualizado su actual Política de Privacidad tras meses de trabajo a fin de actualizar sus políticas y cumplimentar el nuevo reglamento general de protección de datos (RGPD). Así, Google indica y detalla los datos que recopila, cómo los utiliza y el modo en el que se pueden modificar, gestionar, descargar, eliminar, etc., y el ejercicio de los derechos establecidos en el citado Reglamento, con la finalidad de ayudar a entender cómo trata la información y cómo se puede gestionar la privacidad cuando se utilizan sus servicios y la forma en que los usuarios pueden controlar la información que Google recaba y los usos de dicha información. Aporta la dirección web para poder acceder a la versión actualizada de su Política de Privacidad y a la información sobre los Macos para la Transferencia de Datos a través de la URL:https://policies.google.com/privacy C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 Aporta igualmente información sobre las Transferencias de Datos y su adhesión a los principios del Privacy Shield y la información que se presta a los usuarios sobre la forma de contactar si tienen alguna consulta sobre las prácticas en relación con esta materia”. III Junto a su escrito de recurso, el recurrente no ha aportado documentos nuevos ni argumentos jurídicos que contradigan la fundamentación jurídica que se hace en el apartado anterior. Alega el recurrente que sea anulada la resolución y sea dictada nueva resolución abriendo los correspondientes procedimientos sancionadores. En este sentido, conviene hacer mención al carácter excepcional del procedimiento sancionador, del que deriva que -siempre que sea posible- deberá optarse por la prevalencia de mecanismos alternativos en el caso de que tengan amparo en la normativa vigente, tal y como ocurre en el supuesto sometido al presente recurso de reposición. En síntesis, deben traerse a colación los principios aplicables al procedimiento sancionador y su iniciación. El procedimiento sancionador en materia de protección de datos constituye una de las manifestaciones del "ius puniendi" del Estado. Los expedientes sancionadores de la Agencia Española de Protección de Datos son expedientes siempre iniciados de oficio por la Directora de la Agencia Española de Protección de Datos, como así ha mantenido la Audiencia Nacional en sentencias como, entre otras, la dictada en marzo de 2006 (REC 319/2004). Por tanto es competencia exclusiva de la Agencia Española de Protección de Datos valorar si existen responsabilidades administrativas que hayan de ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar procedimiento ante cualquier petición realizada por tercero, sino que la misma ha de basarse en la existencia de elementos que justifiquen dicho inicio de actividad sancionadora, circunstancias que no concurren en el presente caso ante lo planteado por el recurrente y dictada la resolución sobre las incidencias planteadas. Por tanto, dado que, en el presente recurso de reposición, no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada, procede acordar su desestimación. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por D. A.A.A. contra la resolución de esta Agencia dictada con fecha 23/10/2019, en el expediente de actuaciones previas de inspección E/07449/2019. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es