TD-00335-2021

1/7  Expediente Nº: EXP202105641 RESOLUCIÓN Nº: R/00227/2022 Vista la reclamación formulada el 18 de noviembre de 2021 ante esta Agencia por D. A.A.A. contra BURGER KING SPAIN, S.L.U. por no haber sido debidamente atendido su derecho de acceso. Realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: D. A.A.A. (en adelante, la parte reclamante), tras recibir una comunicación electrónica comercial no deseada y comprobar que el enlace facilitado para oponerse no funciona, solicita a BURGER KING SPAIN, S.L.U. con NIF B03093093 (en adelante, el reclamado), la oposición y el acceso a sus datos personales ya que no recuerda haber prestado su consentimiento para el tratamiento de sus datos con fines comerciales. Tras un intento fallido de comunicación con el DPD del responsable, ejerce nuevamente sus derechos a través del servicio técnico del canal de comunicación, recibiendo contestación del DPD en la que informa que "para ejercer cualquier derecho puede hacerlo desde su perfil de cliente en la web o la app accediendo con sus credenciales de usuario, también puede solicitarlo desde el canal de comunicación https://bkspaincanaletico.appcore.es/ accediendo al apartado NUEVA COMUNICACIÓN y después seleccionando protección de datos. En este caso, debe adjuntar copia de su DNI para acreditar su personalidad, esto último es obligatorio por ley." Tras recibir dicha contestación, el reclamante entiende desatendidos sus derechos, alegando que no tiene credenciales de usuario, que no quiere instalarse la App únicamente para ejercer sus derechos ni aportar su DNI con el fin de dejar de recibir publicidad indeseada. El reclamante recibe una última comunicación del DPD, informando del archivo del caso por la imposibilidad de atender sus derechos sin una identificación fehaciente. Junto con el escrito de reclamación se aporta copia de la comunicación electrónica comercial recibida en fecha 10/11/2021 y copia de las comunicaciones mantenidas con el DPD del reclamado de fecha 15/11/

1. SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, que ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la AEPD, consistente en trasladarlas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 dio traslado de la reclamación a la entidad reclamada para que procediese a su análisis y diera respuesta a la parte reclamante y a esta Agencia en el plazo de un mes. El reclamado señala que, para recibir comunicaciones comerciales, es obligatorio suscribirse, momento en el cual el interesado recibe un correo electrónico de confirmación de registro que debe aceptar, y es, en ese momento, cuando queda registrado. En este caso, el reclamante “(…) aporta todas las pruebas, pero alega que nada funciona (…)”. “(…) las comunicaciones adjuntan un enlace directo para desuscribirse de las mismas.” “Tras toda esta información en la que se indica que nada funciona y se impide el ejercicio de derechos, se requiere identificación fehaciente del interesado y se niega a aportarla. Por tanto, no podemos asegurar que es realmente quien dice ser, esta duda es razonable al comprobar que todo lo que alega no es cierto. Tras un margen de tiempo prudencial para que se identifique y no hacerlo, se le comunica que no se puede atender su solicitud. En todo momento se ha atendido a cada comunicación con el denunciante en el plazo más breve, pero este DPD entiende que para velar por los intereses de los afectados y evitar suplantaciones de identidad, los medios para atender los derechos pasan por atenderlos desde los perfiles de cliente vía web o app, en las comunicaciones desde el enlace a tal efecto, o aportando identificación en caso de otro medio, como canal de comunicación, correo postal o email. En este caso, el denunciante ha puesto todos los impedimentos posibles, pero siempre ha sido atendido en tiempo y forma.” TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 21 de diciembre de 2021, a los efectos previstos en su artículo 64.2 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada y se informó a las partes que el plazo máximo para resolver el presente procedimiento, que se entiende iniciado mediante dicho acuerdo de admisión a trámite, será de seis meses. El mencionado acuerdo concedió a la entidad reclamada trámite de audiencia, para que en el plazo de quince días hábiles presentase las alegaciones que estimara convenientes. Ésta señaló que no es cierta la afirmación del reclamante que no se hubiese dado de alta como cliente, aportando copia del alta como cliente en el que dio su consentimiento para recibir comunicaciones comerciales. En cuanto al hecho de que no pudiera ejercer sus derechos porque no funcionaba el canal previsto para ello, indican que en dicho canal se solicita que se aporte un documento identificativo para evitar suplantaciones de identidad o errores, negándose el reclamante en todo momento a identificarse, tanto por esa vía como por correo electrónico cuando se le ha requerido para ello. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 CUARTO: Examinadas las alegaciones presentadas por el reclamado, son objeto de traslado a la parte reclamante, para que, en el plazo de quince días hábiles formule alegaciones que considere oportunas: El reclamante ratifica lo expuesto en su reclamación. Señala que visitó la página web del reclamado, y que comenzó a rellenar su formulario, pero que no completó el proceso y que no llegó a prestar su consentimiento para el uso de tales datos. “La documentación aportada por BURGER KING acredita que no suprimieron mis datos hasta el día 21 de diciembre de 2021, lo que demuestra que no atendieron mi solicitud previa, ni siquiera tras cruzar varias comunicaciones con su Delegado de Protección de Datos el día 15 de noviembre de
2. 2 BURGER KING sólo procedió al borrado de los datos tarde y mal, cuando vio la resolución de admisión a trámite de mi reclamación ante la AEPD, justamente ese mismo día 21 de diciembre de 2021.” QUINTO: Otorgada audiencia al reclamado, no consta que hayan tenido entrada en esta Agencia ninguna respuesta. FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el apartado 2 del artículo 56 en relación con el apartado 1 f) del artículo 57, ambos del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); y en el artículo 47 de la LOPDGDD. SEGUNDO: De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno, en el artículo 65.4 la LOPDGDD, ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos, que consiste en dar traslado de las mismas a los delegados de protección de datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, para que procedan al análisis de dichas reclamaciones y a darles respuesta en el plazo de un mes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 De conformidad con esta normativa, con carácter previo a la admisión a trámite de la reclamación que da lugar al presente procedimiento, se dio traslado de la misma a la entidad responsable para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida, en el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 21 de diciembre de 2021, a los efectos previstos en su artículo 64.2 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada. Dicho acuerdo de admisión a trámite determina la apertura del presente procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “
3. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo siguiente. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. No se estima oportuna la depuración de responsabilidades administrativas en el marco de un procedimiento sancionador, cuyo carácter excepcional implica que se opte, siempre que sea posible, por la prevalencia de mecanismos alternativos que tengan amparo en la normativa vigente. Es competencia exclusiva de esta Agencia valorar si existen responsabilidades administrativas que deban ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar un procedimiento ante cualquier petición realizada por un tercero. Tal decisión ha de basarse en la existencia de elementos que justifiquen dicho inicio de la actividad sancionadora, circunstancias que no concurren en el presente caso, considerando que con el presente procedimiento quedan debidamente restauradas las garantías y derechos del reclamante. TERCERO: Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los “datos o actividades de tratamiento a los que se refiere la solicitud”. El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. CUARTO: Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, “el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales”. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertados de otros, es decir, el derecho de acceso se otorgará de modo que no afecte a datos de terceros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 QUINTO: El artículo 12.6 del RGPD dispone que: “
4. Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado.” Asimismo, el Considerando 64 del mismo texto legal señala que Considerando