REPOSICION-PS-00328-2022

1/25  Expediente nº.: EXP202306256 (RR/00541/2023) - RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por THE MAIL TRACK COMPANY, S.L. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 23 de junio de 2023, y en base a los siguientes HECHOS PRIMERO: Con fecha 23 de junio de 2023, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente PS/00328/2022, en virtud de la cual se imponía a THE MAIL TRACK COMPANY, S.L., con NIF B66095670: Por una infracción de los artículos 13 y 14 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 20.000 € (veinte mil euros). Por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 30.000 € (treinta mil euros). Por una infracción del artículo 5.1.

1. a)del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 50.000 € (cincuenta mil euros). Dicha resolución, que fue notificada a la parte recurrente en fecha 26 de junio de 2023, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00328/2022, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO: El 15 de octubre de 2020 se envió un correo electrónico desde la dirección ***EMAIL.1 con el asunto “[Helpdesk] Ask for help”. Al pie de este correo se observa la leyenda “Remitente notificado por Mailtrack” (en inglés la leyenda original). SEGUNDO: El 24 de noviembre de 2020 se envió un correo electrónico desde la dirección ***EMAIL.1 con el asunto “[Helpdesk] Internt suspension”. Al pie de este correo se observa la leyenda “Remitente notificado por Mailtrack” (en inglés la leyenda original). TERCERO: En su reclamación de 29 de diciembre de 2020 la parte reclamante afirma haber recibido correos electrónicos que implementan el software de MAILTRACK, en los que, como pie de firma, constan extracto de código HTML con los siguientes enlaces a contenidos externos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/25 - Enlace a la página inicial del sitio web de MAILTRACK: https://mailtrack.io? utm_source=3Dgmail&utm_medium=3Dsignature&utm_campaign=3D signaturevirality5&amp, - Enlaces a las siguientes imágenes: 1. https://s3.amazonaws.com/mailtrack-signature/sender_notified.gif 2. https://mailtrack.io/trace/mail/34d1968e7786106=1ec22f7e62831bb7e606459df .png?u=3D6353628 CUARTO: La política de privacidad del sitio web https://mailtrack.io a fecha de 22 de enero de 2021, indicaba el siguiente contenido: A) Información previa a la tabla de contenidos de la política de privacidad “(…) Última modificación: Septiembre de 2020. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/25 ” B) Tratamiento de datos personales como responsable de tratamiento C) Con relación a los datos de los receptores de los emails que trata MAILTRACK: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/25 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/25 D) En cuanto a los datos objeto de tratamiento y la relación entre MAILTRACK y el usuario de sus servicios: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/25 E) Por último, se dice respecto a la exclusión del servicio de MAILTRACK: QUINTO: Con fecha 11 de mayo de 2022 esta Agencia realiza las siguientes comprobaciones: - Después de haber limpiado la caché, cookies y otros datos almacenados del navegador web Google Chrome (...) (Build oficial) (64 bits), y tras haber forzado al navegador a descargar la última versión de la página web mailtrack.io alojada en el servidor remoto, mediante la pulsación de la combinación de teclas Control + F5, se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/25 clica en la opción de “Instalar Gratis”, y se añade la extensión “Tracking para Gmail y Mail Merge – Mailtrack” a Chrome. A continuación, se conecta Mailtrack con la cuenta de Gmail “***EMAIL.2” mediante el botón “Conéctate con Google” que aparece en pantalla (introduciendo el nombre de la cuenta y la contraseña de esta cuenta de Gmail). Y se da permiso a Mailtrack para “Leer, redactar, enviar y eliminar permanentemente correos de Gmail” en la cuenta “***EMAIL.2”, y se selecciona el plan “Gratis”. Tras finalizar la instalación de Mailtrack, se accede a la cuenta de Gmail “***EMAIL.2”, en la que aparece un mensaje indicando que Mailtrack está instalado, y se remite un correo electrónico a la dirección “***EMAIL.3” con el título “email de prueba de mailtrack”. - A continuación, se abre el navegador web Mozilla Firefox versión 100.0 (64-bit). Y después de haber limpiado las cookies, datos de sitios y caché almacenados del navegador web, y tras haber forzado al navegador a descargar la última versión de la página web www.gmail.com alojada en el servidor remoto, mediante la pulsación de la combinación de teclas Control + F5, se inicia sesión con la cuenta de Gmail “***EMAIL.3” y se observa que, en la bandeja de correos “Recibidos” aparece el correo electrónico enviado previamente desde la cuenta “***EMAIL.2” con el título “email de prueba de mailtrack”. - Posteriormente, en el navegador Google Chrome, se accede a la cuenta de Gmail “***EMAIL.2” y se observa que en la bandeja de correos “Enviados” aparece el correo que se acaba de enviar marcado como que ha sido enviado pero no ha sido leído aún. - En el navegador Firefox, el usuario “***EMAIL.3” accede al correo electrónico recibido desde la cuenta “***EMAIL.2” con el título “email de prueba de mailtrack”. Aparecen los siguientes mensajes “GET” enviados: Las dos peticiones “GET” que aparecen se corresponden con dos imágenes: La imagen https://ci3.googleusercontent.com/proxy/X71R21kvm2hucPSUcfQaJ5swx7gM4_gpfzyzACm0rQOZDhkd_7NXudEu6ukIMvfN_4k4D4TcQe4oKUApB-mVZXRJRVaMoyPrD5ZCAf5ShidY4ekE=s0-d-e1-ft#https://s3.amazonaws.com/mailtrackC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/25 signature/sender-notified-72.gif, de 72x72 píxeles con la siguiente forma: - La imagen https://ci4.googleusercontent.com/proxy/Q_lFYYstrvjE7DkslWL0J1TdN9d2NQHzYYPDHRK8aJvgh_JDS48BO4U4ZNR6ZP7nLgVU6L5IqagqLKh1 ve69XCOaYgUsCoUvqKeDpqWga8zvl7G8D9to4wiKGhDaBekbu1yDuMFK0b=s0-d-e1ft#https://mailtrack.io/trace/mail/1a08337c2806852fe5793258817bbcbc48f7a2e9. png?u=8486038, de 1x1 píxeles. - En el navegador Google Chrome (en el que se había iniciado sesión de Gmail la cuenta “***EMAIL.2”), a continuación, se observa que en la bandeja de correos “Enviados” de Gmail ha cambiado el doble check del correo que se había enviado a “***EMAIL.3” con el título “email de prueba de mailtrack”. - En el navegador Firefox (en el que se había iniciado sesión de Gmail la cuenta “***EMAIL.3”), se accede al enlace a “Mailtrack” que aparecía en el pie de firma del correo recibido desde la cuenta “***EMAIL.2” con el título “email de prueba de mailtrack”. Tras clicar en este enlace “Mailtrack” (que apunta a la dirección “https://mailtrack.io/? utm_source=gmail&utm_medium=signature&utm_campaign=signaturevirality11&”), se abre la página inicial del sitio web de Mailtrack. Y se observa que el final de esta página se observa un enlace denominado “Privacidad”, que apunta a la URL https://mailtrack.io/es/privacy: SEXTO: A fecha 16 de junio de 2022 la página web “https://mailtrack.zendesk.com/hc/es/articles/360005941257-Exclusi%C3%B3n-eviteser-rastreado-por-los-servicios-de-seguimiento-de-correo-electr%C3%B3nico” explica cómo se puede evitar ser rastreado por el servicio de MAILTRACK, con el siguiente contenido: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/25 SÉPTIMO: La política de privacidad del sitio web https://mailtrack.io a fecha 20 de abril de 2023 indica el siguiente contenido: A) Información previa a la tabla de contenidos de la política de privacidad “(…) Última modificación: Abril de 2023”. Se eliminó el cuadro previo a la tabla de contenidos de la política de privacidad. B) Tratamiento de datos personales como responsable de tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/25 C) Con relación a los datos de los receptores de los emails que trata MAILTRACK: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/25 D) En cuanto a los datos objeto de tratamiento y la relación entre MAILTRACK y el usuario de sus servicios: E) Por último, se dice respecto a la exclusión del servicio de MAILTRACK: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/25 OCTAVO: MAILTRACK ofrece una herramienta de seguimiento de correos electrónicos, que permite a los remitentes conocer si sus correos electrónicos han sido abiertos o no, a través de un sistema de seguimiento basado en píxeles. La herramienta se ofrece como una extensión en el navegador Chrome para los usuarios de Gmail. MAILTRACK ofrece un software, con una versión gratuita para rastreo de correos electrónicos de forma que el emisor de un correo es informado a través del programa de que el receptor lo ha abierto y cuándo. Además, tales correos proporcionan un enlace al home page de mailtrack.io. Desde esta página inicial, se puede acceder a la política de privacidad descendiendo hasta el final de la página y clicando en el enlace denominado “Privacidad”. MAILTRACK ofrece también versiones de pago, que permiten al remitente de los correos ocultar la leyenda que indica que tales correos fueron enviados utilizando la herramienta Mailtrack. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/25 NOVENO: A 24 de abril de 2023, la página web https://mailtrack.zendesk.com/hc/es/articles/10495982191261-Exclusi%C3%B3n-eviteser-rastreado-por-los-servicios-de-seguimiento-de-correo-electr%C3%B3nico) muestra el siguiente contenido: DÉCIMO: En el año 2021 THE MAIL TRACK COMPANY SL tuvo unas ventas de 3.445.699 euros y contaba con 23 empleados. TERCERO: La parte recurrente ha presentado en fecha 26 de julio de 2023, en esta Agencia Española de Protección de Datos, recurso de reposición. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Contestación a las alegaciones presentadas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/25 Con relación a las alegaciones efectuadas por la parte recurrente en el recurso, se procede a dar respuesta a las mismas según el orden expuesto por MAILTRACK: “CUARTA.- CUESTIONES FÁCTICAS DE LA RESOLUCIÓN INCORRECTAS Y PUEDEN RESULTAR DETERMINANTES” QUE SON “- Antecedente Décimo.” En este subapartado MAILTRACK alega “el principio general de ampliación de los plazos inicialmente concedidos” y que la copia del expediente le fue entregada el día antes de finalizar el plazo de alegaciones. En respuesta a estos argumentos, en primer lugar, la LPACAP no estable el citado “principio general de ampliación de los plazos concedidos”, el enunciado del artículo 32.1 de la LPACAP evidencia que la concesión de la ampliación debe ser interpretada y aplicada por la Administración con carácter restrictivo (“…podrá conceder…”). Por otra parte, finalizado el trámite de alegaciones al acuerdo de inicio a que se refiere MAILTRACK, ésta dispuso de un plazo de diez días para formular alegaciones, cuando, con fecha 2 de mayo de 2023, le fue notificada la propuesta de resolución, por lo que tuvo tiempo suficiente para consultar la copia del expediente. Por último, MAILTRACK no aporta ningún tipo de prueba de que el acuerdo de denegación de la ampliación de plazo de alegaciones y la copia del expediente se recibiesen en días distintos, frente al justificante de obrante en el expediente expedido por la empresa de mensajería. “Hechos Probados Primero y Segundo.” En este subapartado MAILTRACK manifiesta la ausencia de información sobre los correos electrónicos, únicamente puede ver un contenido muy parcial de unos correos, no puede ver ni su contenido completo ni quien los ha remitido a la parte reclamante y no se aclara en los Hechos Probados cuáles son los correos electrónicos que motivaron la denuncia. En respuesta a este argumento, cabe señalar que el contenido de los correos electrónicos recibidos por la parte reclamante es irrelevante en cuanto al funcionamiento del servicio de MAILTRAK y, consecuentemente, a los efectos de determinar la responsabilidad de la reclamada en los hechos objeto del presente procedimiento. Además, MAILTRACK ha tenido acceso a los remitentes de los correos, incluso los menciona en su recurso. Por otra parte, MAILTRACK ha tenido acceso la reclamación (página 28 del expediente), en la que la parte reclamante afirma (traducción no oficial): “Con frecuencia me encuentro con este "Mailtrack" en los correos que me envían” (“I frequently come into contact with this Mailtrack in mails sent to)”. Con fecha 21 de febrero de 2023, se incorporaron al expediente una serie de correos que la parte reclamante aportó junto con la reclamación, los cuales acreditan la recepción de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/25 dichos correos y que en ellos el remitente hacía uso de la herramienta de MAILTRACK. En los Hechos Probados Primero y Segundo se recogen dos de los correos que la parte reclamante adjuntó a su reclamación. En el Hecho Probado Tercero se dice que “la parte reclamante afirma haber recibido correos electrónicos que implementan el software de MAILTRACK”. Por todo ello, puede afirmarse que MAILTRACK ha tenido conocimiento de todos los correos en los que la parte reclamante ha fundado su denuncia y, una vez incorporados al expediente, han servido para fundamentar la decisión adoptada. “Hecho Probado Séptimo.” Según MAILTRACK en todo caso, que el cuadro de información de “primera capa” fue trasladado y no eliminado. Sin embargo, esta circunstancia no produce ningún efecto sobre los hechos por los que se le atribuye una infracción del artículo 13 del RGPD, ya que ésta viene motivada porque MAILTRACK se atribuye en su Política de Privacidad atribuyen la condición de encargado, no de responsable del tratamiento en cuestión. “Hecho Probado Octavo.” MAILTRACK sostiene que esta Agencia señaló la posibilidad de que, en las versiones de pago, no se informara a los destinatarios del uso de la herramienta de MAILTRACK. Sin embargo, la leyenda en la que se informa al destinatario que el remitente del correo está haciendo uso de la herramienta de MAILTRACK también puede ser eliminada en la versión gratuita, si bien de forma manual. Además, las versiones de pago del servicio de MAILTRACK están dirigidas únicamente a empresas y a profesionales, de acuerdo con sus Condiciones de Uso y Contratación. En contestación a estos argumentos, la resolución recurrida, en su Hecho Probado Octavo establece que: “MAILTRACK ofrece también versiones de pago, que permiten al remitente de los correos ocultar la leyenda que indica que tales correos fueron enviados utilizando la herramienta Mailtrack”. Se mencionó esta funcionalidad y no otras, porque se consideró relevante en cuanto a delimitar los hechos que constituían la infracción. La afirmación del Hecho Probado Octavo trascrita en el párrafo anterior, que ya se recogía en la propuesta de resolución, no fue desmentida por MAILTRACK en el plazo de alegaciones, por lo que esta Agencia desconocía la posibilidad de que los usuarios del servicio gratuito de MAILTRACK también pueden ocultar su uso al destinatario de un correo, es decir, ocultar el tratamiento de sus datos, lo cual no viene sino a confirmar la infracción del artículo 5.1.
2. a)del RGPD, en cuanto a la vulneración del principio de lealtad. En cuanto a la consideración relativa a que las versiones de pago están dirigidas únicamente a empresas y a profesionales, no se prueba de ningún modo que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/25 MAILTRACK controle quien contrata su servicio. De este modo, según el apartado 7.3 de las Condiciones de Uso y Contratación actuales “En caso de que el Usuario sea considerado como consumidor o usuario como se ha indicado anteriormente, dicho Usuario debe abstenerse de emplear los Servicios de Pago”, lo cual indica que MAILTRACK no dispone de ningún tipo de control sobre quien adquiere su herramienta. Por otra parte, no se motiva porqué esta limitación en la adquisición del servicio de pago puede ser relevante a los efectos de este procedimiento. Por todo lo expuesto, se desestima la presente alegación. “QUINTA.- FALTA DE MOTIVACIÓN E INCORRECTA APLICACIÓN DE LAS NORMAS AL CONSIDERAR QUE MAILTRACK ES RESPONSABLE DEL TRATAMIENTO DE LOS DATOS RELATIVOS A LAS COMUNICACIONES DE SUS USUARIOS CON LOS DESTINATARIOS” La modificación de la interpretación inicial de las circunstancias del caso realizada por esta Agencia en el Proyecto de Decisión de Inicio de Procedimiento Sancionador se justifica por la propia configuración del procedimiento previsto en el artículo 60 del RGPD, teniendo en cuenta lo previsto en el apartado 3 de dicho artículo: “Transmitirá sin dilación un proyecto de decisión a las demás autoridades de control interesadas para obtener su dictamen al respecto y tendrá debidamente en cuenta sus puntos de vista” (el subrayado es nuestro). Además, por parte de la autoridad de protección de Sajonia se interpuso una objeción pertinente y motivada, lo que conllevo que, tras un proceso de negociación con las demás autoridades interesadas, con fecha 16 de marzo de 2023 la Directora de esta Agencia adoptase un proyecto revisado de decisión de inicio de procedimiento sancionador, el cual compartió con las autoridades interesadas durante el plazo de dos semanas con objeto de que pudieran formular objeciones pertinentes y motivadas. Posteriormente, esta Agencia consideró necesario modificar algunos aspectos del Proyecto de Decisión Revisado, por lo que con fecha 22 de mayo de 2023, la Directora de la AEPD adoptó un proyecto de resolución de procedimiento sancionador, el cual se transmitió a través del sistema IMI, haciéndoles saber a las autoridades interesadas que tenían cuatro semanas desde ese momento para formular objeciones pertinentes y motivadas. Cabe subrayar que, en este caso, tal y como se refleja en el Antecedente Segundo, había un total de 19 autoridades de control interesadas, sin que ninguna de ellas presentara una objeción pertinente y motivada, por lo que, desde ese momento, se considera que todas las autoridades (incluidas esta Agencia) están de acuerdo con dicho proyecto de decisión de resolución y están vinculadas por este, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD. En consecuencia, el procedimiento del artículo 60 del RGPD establece la posibilidad de que los argumentos contenidos en el proyecto de decisión inicial sean modificados de acuerdo con la necesidad de obtener un consenso entre las autoridades interesadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/25 Por todo lo expuesto, se desestima la presente alegación. “SEXTA.- MAILTRACK NO DETERMINA LOS MEDIOS (ESENCIALES) NI LOS FINES DEL TRATAMIENTO DE LOS DATOS DE LOS DESTINATARIOS DE LOS CORREOS, CONFORME A LOS CRITERIOS DEL CEPD” “A. MAILTRACK TRATAMIENTO” NO DETERMINA LOS MEDIOS (ESENCIALES) DEL- “A.
3. i)Un prestador de servicios tecnológicos que presta servicios “as is” puede ser encargado del tratamiento, conforme a las Directrices del CEPD” En este subapartado MAILTRACK argumenta que la condición de encargado es compatible con prestar un servicio estandarizado, siendo el usuario final quien toma la decisión final del modo en que efectuará el tratamiento. Además, el usuario del servicio puede dar indicaciones de cómo se presta el servicio, ya que el usuario dispone de diversas funcionalidades. Ante estos argumentos, debe señalarse que esta Agencia no defiende que cualquier servicio de IT (tecnologías de la información) o vinculados a la tecnología tenga la condición de responsable del tratamiento de datos personales. MAILTRACK define los fines de su herramienta para realizar la prestación de su servicio de seguimiento de correos, estableciendo qué datos se recogen y con que objeto son tratados. Debe diferenciarse entre los fines de los correos que se fijan por los usuarios y los fines del seguimiento que se determina por MAILTRACK. “A.
4. ii)MAILTRACK no determina los “medios esenciales” y, por lo tanto, no puede ser considerado como responsable del tratamiento, conforme a las Directrices del CEPD” Según MAILTRACK, basándose en su interpretación de las directrices del CEPD, un encargado del tratamiento puede seguir considerándose como tal a pesar de gozar de cierto margen de maniobra para tomar decisiones sobre el modo de efectuar el tratamiento, siempre y cuando dichas decisiones se tomen sobre “medios no esenciales”, sin que esta Agencia ofrezca explicaciones sobre que considera medios esenciales. Continúa MAILTRACK afirmando que no usa ninguna cookie ni ningún archivo que se almacene en los dispositivos de los destinatarios, ya que no es así como funciona la herramienta. Por último, MAILTRACK considera que la configuración de su servicio no puede considerarse un medio esencial. En respuesta a estos argumentos, MAILTRACK quien decide sobre los fines como se ha indicado en la respuesta del subapartado anterior y también decide sobre los medios, pues decide qué categorías de datos se tratarán, quienes son los destinatarios de estos datos (los usuarios del sistema) y el tiempo que durará el tratamiento al no existir ninguna instrucción de los usuarios en este sentido. No se niega que son los usuarios los que determinan en particular quienes serán los destinatarios de los correos, por ello no se descarta que haya casos en los que exista corresponsabilidad, pero esta circunstancia no sucede cuando el usuario es un particular amparado por la excepción doméstica. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/25 “B. MAILTRACK NO DETERMINA LOS FINES DEL TRATAMIENTO” Según MAILTRACK, esta Agencia confunde la utilidad de su servicio con los fines para los que se usa, sin que los datos de los destinatarios de los correos sean tratados para las finalidades a que se refiere la resolución recurrida. como “mejorar los servicios” o “enviar comunicaciones comerciales”) sino que son tratados única y exclusivamente conforme a las instrucciones del usuario, que actúa como responsable al determinar los fines de estos datos. En contestación a esta alegación, como ya se sostuvo en la resolución recurrida, su condición de prestador de servicios a empresas y ciudadanos, MAILTRACK determina los fines y los medios del tratamiento de datos en la prestación de su servicio. Este razonamiento se ha efectuado también en un supuesto similar por el Tribunal Supremo austriaco, el cual, aplicando los principios del TJUE, no califica a todos los usuarios de una plataforma de redes sociales como responsables del tratamiento de conformidad con el artículo 4.7) del RGPD, ya que esto convertiría a todos los usuarios en un responsable (véase el Tribunal Superior de Justicia de Austria, Decisión de 6/23/20216 Ob 56/21, BeckRS 2021, 19302, párr. 138, www.beck-online.de). La vulneración de los derechos y libertades que puede causar en los destinatarios de los correos, ante la posibilidad cierta, como ocurre en los hechos denunciados por la parte reclamante, de que los usuarios del servicio de MAILTRACK, no tengan garantías adecuadas sobre el tratamiento que se realiza de sus datos constituye una vulneración del RGPD; tal y como dispone el Considerando 7 del RGPD: “Las personas físicas deben tener el control de sus propios datos personales.” La sentencia del Tribunal de Justicia de la Unión Europea (Gran Sala) de 5 de diciembre de 2023, asunto C 683/21, en cuanto a la condición de responsable del tratamiento, establece lo siguiente (traducción provisional, original en inglés): “[…] 28. El artículo 4, punto 7, del RGPD define de manera amplia el concepto de «responsable del tratamiento» como la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o junto con otros, «determine los fines y medios del tratamiento» de datos personales. 29. El objetivo de esta definición amplia consiste, de conformidad con el del RGPD, en garantizar una protección eficaz de las libertades y de los derechos fundamentales de las personas físicas y, en particular, un elevado nivel de protección del derecho de toda persona a la protección de los datos personales que le conciernan (véanse, en este sentido, las sentencias de 29 de julio de 2019, Fashion ID, C-40/17, EU:C:2019:629, apartado 66, y de 28 de abril de 2022, Meta Platforms Ireland, C-319/20, EU:C:2022:322, apartado 73 y jurisprudencia citada). 30. El Tribunal de Justicia ya ha declarado que cualquier persona física o jurídica que, atendiendo a sus propios objetivos, influya en el tratamiento de tales datos y participe, por tanto, en la determinación de los fines y los medios del tratamiento puede ser considerada responsable de dicho tratamiento. A este respecto, no es necesario que los fines y los medios del tratamiento se determinen mediante instrucciones por escrito o consignas impartidas por el responsable del tratamiento (véase, en este sentido, la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/25 sentencia de 10 de julio de 2018, Jehovan todistajat, C-25/17, EU:C:2018:551, apartados 67 y 68) ni que este haya sido designado formalmente como tal. 31. Por consiguiente, para determinar si una entidad como el CNSP puede ser considerada responsable del tratamiento en el sentido del artículo 4, punto 7, del RGPD, es preciso examinar si dicha entidad ha influido efectivamente, para sus propios fines, en la determinación de los fines y los medios de dicho tratamiento. […]” En este caso, MAILTRACK ha decido crear el servicio de seguimiento de correos para sus propios fines, su comercialización, estableciendo la finalidad del tratamiento de los datos de los destinatarios de los correos (el seguimiento de los correos) y ha determinado los medios para que dicho tratamiento se lleve a cabo. Para alcanzar sus propios fines, MAILTRACK utiliza como medio esencial un píxel. En este sentido, el Comité Europeo de Protección de Datos (CEPD), en cumplimiento del objetivo de garantizar la aplicación coherente del Reglamento General de Protección de Datos (según le atribuye el artículo 70 del RGPD) se encuentra elaborando unas orientaciones para proporcionar una base clara y transparente acerca del ámbito técnico de aplicación del artículo 5.3 de la Directiva 2002/58/CE del Parlamento Europeo y del Consejo de 12 de julio de 2002. (Directrices 2/2023 sobre el ámbito técnico de aplicación del artículo 5.3 de la Directiva ePrivacy- “Guidelines 2/2023 on Technical Scope of Art. 5