← España

TD-00622-2015

1/11 Expediente Nº: TD/00622/2015 RESOLUCIÓN Nº: R/02053/2015 Vista la reclamación formulada el 12 de marzo de 2015, ante esta Agencia, por D. A.A.A., contra la entidad AMAZON EU SARL (AMAZON SPAIN SERVICES, S.L.), por no haber sido debidamente atendido su derecho de cancelación. Realizadas las actuaciones procedimentales previstas en el artículo 117 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, se han constatado los siguientes, HECHOS PRIMERO: Con fecha 4 de marzo de 2015, D. A.A.A. (en lo sucesivo, el reclamante) ejercitó el derecho de cancelación de sus datos personales ante la entidad AMAZON EU SARL (AMAZON SPAIN SERVICES, S.L.). SEGUNDO: En fecha 4 de marzo de 2015, la entidad AMAZON EU SARL (AMAZON SPAIN SERVICES, S.L.) contestó a la solicitud del reclamante, informándole de que habían procedido a la cancelación de todos sus datos de carácter personal contenidos en la base de datos de Amazon EU, de conformidad con la normativa aplicable a la protección de datos. Que para dar cumplimiento a la referida normativa, sus datos deben permanecer bloqueados en sus ficheros (aunque no volverán a ser utilizados ni tratados por Amazon EU) durante un determinado periodo de tiempo legalmente exigido, tan sólo a fin de ponerlos a disposición de las Administraciones Públicas, Juzgados y Tribunales. TERCERO: Con fecha 12 de marzo de 2015, D. A.A.A. formuló reclamación, ante esta Agencia, contra la entidad AMAZON EU SARL (AMAZON SPAIN SERVICES, S.L.), por no haber sido debidamente atendido su derecho de cancelación, al haberle comunicado la entidad, en fecha 8 de marzo de 2015, que habían cerrado su cuenta de Amazon.es y cancelado sus pedidos pendientes, habiendo procedido a tomar esas medidas debido a que su cuenta estaba directamente relacionada con otras cuentas cerradas. CUARTO: Trasladadas sucesivamente la reclamación y los escritos de descargos que se produjeron en la tramitación de este expediente, y por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones: • Por parte de la entidad AMAZON EU SARL (AMAZON SPAIN SERVICES, S.L.) se pone de manifiesto lo siguiente: - C/ Jorge Juan, 6 28001 – Madrid Amazon Spain no es el responsable del fichero o tratamiento de los datos de carácter personal del interesado y no es el destinatario correcto de su www.agpd.es sedeagpd.gob.es 2/11 solicitud de cancelación. Amazon EU, SARL, entidad con sede en Luxemburgo, es el único responsable del fichero y tratamiento. El tratamiento está sujeto a la Ley de Protección de Datos de Luxemburgo y a la competencia exclusiva de la Commission Nationale pour la Protection des Données, en Luxemburgo. Amazon EU es el único responsable del fichero y tratamiento de los datos de carácter personal del interesado siendo Amazon Spain un mero encargado del tratamiento. - Amazon Spain no está involucrada en modo alguno en la venta de los productos comercializados a través de la Página Web ni en las decisiones relativas al tratamiento de los datos de carácter personal de los clientes de Amazon EU. Amazon Spain es una compañía que presta servicios de soporte a Amazon EU en relación con su negocio online en España, incluyendo la Página Web. Amazon Spain sigue las instrucciones de Amazon EU al implementar sus procedimientos y al llevar a cabo sus actividades. Estos servicios de soporte incluyen servicios administrativos, servicios legales y servicios de contabilidad. Amazon Spain no es parte de la dirección de Amazon EU y no tiene poder de decisión en las actividades de Amazon EU. El objeto social de Amazon Spain confirma lo anterior: “El objeto social de la Sociedad será la prestación, fundamentalmente a sociedades del grupo, de asistencia y soporte en relación con servicios administrativos, de contabilidad, financieros, técnicos y otros servicios corporativos relacionados con actividades de marketing y comercialización, teniendo en cuenta que las actividades fiscales, legales y de consultoría que pueda prestar la Sociedad excluirán actividades reservadas que requieran autorización o inscripción en registros profesionales. Adicionalmente, el objeto social de la Sociedad incluirá la prestación de asistencia en relación con procesos de contratación, así como soporte para facilitar las relaciones con proveedores y otros terceros. (…)” - Cualquier tratamiento de datos personales llevado a cabo por Amazon Spain se realiza únicamente en el contexto de las actividades de Amazon EU en Luxemburgo. El tratamiento se lleva a cabo para prestar servicios de soporte al cliente y siguiendo las instrucciones de Amazon EU. Amazon Spain actúa como encargado del tratamiento de Amazon EU. Amazon EU y Amazon Spain han firmado un contrato de servicios que incluye una cláusula que regula el tratamiento de datos personales llevado a cabo por Amazon Spain por cuenta de Amazon EU. Dado que el responsable del fichero y tratamiento es una entidad localizada en Luxemburgo (Amazon EU), el contrato de servicios está sujeto a la legislación luxemburguesa. - El interesado debería haber dirigido su solicitud de cancelación a Amazon EU en Luxemburgo. Los datos personales de los clientes de la Página Web están protegidos bajo la normativa luxemburguesa contenida en la Ley de 2 de agosto de 2002, Ley de Protección de Datos de Luxemburgo y sujetos a la Commission Nationale pour la Protection des Données. La LOPD y el Reglamento de la LOPD no son de aplicación al tratamiento de datos de carácter personal del interesado y la AEPD no tiene competencia para entrar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 a valorar la reclamación o denuncia del interesado. - El tratamiento de datos de carácter personal del interesado no entra dentro del ámbito territorial de aplicación de la LOPD ni de las competencias de la AEPD. Salvo cuando actúa como encargado del tratamiento de Amazon EU, Amazon Spain no participa en modo alguno – ni materialmente, ni en la toma de decisiones – en el tratamiento de los datos de carácter personal de los clientes de la Página Web. Cuando Amazon Spain trata datos personales de los clientes de la Página Web los trata por cuenta de Amazon EU, no “en el marco de las actividades” de un establecimiento ubicado en España. El tratamiento de datos de carácter personal de los clientes de la Página Web de Amazon EU permanece siempre fuera del ámbito territorial de aplicación de la LOPD y su Reglamento. - De acuerdo con la Ley de Protección de Datos de Luxemburgo, Amazon EU está en su derecho de conservar los datos personales del interesado. Amazon EU tiene un interés legítimo en conservar los datos personales de los clientes tras el cierre de una cuenta, con el fin de prevenir el uso abusivo o fraudulento de la Página Web. Tal finalidad del tratamiento se menciona en la política de privacidad disponible en la Página Web. Amazon EU puede tratar los datos personales de los clientes con el fin de prevenir el uso abusivo o fraudulento de la Página Web. El artículo 7.f de la Directiva 95/46/CE, directamente aplicable en España permite el tratamiento de datos personales cuando este “es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva”. Amazon EU conserva los datos personales de los clientes y antiguos clientes para el uso abusivo y fraudulento de amazon.es Amazon EU tiene un interés legítimo en evitar dicho uso abusivo y fraudulento. Amazon EU sólo utiliza dichos datos de carácter personal para prevenir el fraude y no los utiliza para otros fines. En la política de privacidad se informa a los interesados sobre dicho uso de sus datos personales, con el fin de evitar el uso abusivo y fraudulento de la Página Web. Está claro que los derechos de protección de datos de los interesados no prevalecen sobre el interés legítimo de Amazon EU. Esto hace que el tratamiento de los datos personales del interesado sea legítimo bajo el artículo 7.f de la Directiva 95/36/CE. • El reclamante no ha presentado alegaciones en el trámite de audiencia. QUINTO: Son conocidos por las partes de forma completa todos los hechos, alegaciones y demás documentación aportada por los interesados para su defensa, al haberse dado traslado por la instrucción del expediente a cada uno de los interesados en este procedimiento y constado todo ello en el expediente que obra en esta Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

  1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). SEGUNDO: El artículo 18.1 de la LOPD, señala que: “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 16 de la LOPD, dispone: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación. 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado.” CUARTO: El artículo 32.2 y 3 del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, determina: “2. El responsable del fichero resolverá sobre la solicitud de rectificación o cancelación en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal del afectado deberá igualmente comunicárselo en el mismo plazo. 3. Si los datos rectificados o cancelados hubieran sido cedidos previamente, el responsable del fichero deberá comunicar la rectificación o cancelación efectuada al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 cesionario, en idéntico plazo, para que éste, también en el plazo de diez días contados desde la recepción de dicha comunicación, proceda, asimismo, a rectificar o cancelar los datos. La rectificación o cancelación efectuada por el cesionario no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre.” QUINTO: El artículo 25 del Reglamento de la LOPD, establece: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
  2. a)
  3. b)
  4. c)
  5. d)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos. Petición en que se concreta la solicitud. Dirección a efectos de notificaciones, fecha y firma del solicitante. Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. 4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber…” SEXTO: En cuanto a la normativa aplicable, cabe señalar lo siguiente: El artículo 2 de la LOPD, señala en su apartado 1 su ámbito territorial de aplicación en los siguientes términos: “Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
  6. a)C/ Jorge Juan, 6 28001 – Madrid Cuando el tratamiento sea efectuado en territorio español en el marco de las www.agpd.es sedeagpd.gob.es 6/11 actividades de un establecimiento del responsable del tratamiento.
  7. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.
  8. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito.” Este artículo traspone el artículo 4 de la Directiva 95/46/CE, que literalmente señala: “Derecho nacional aplicable 1. Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:
  9. a)el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable;
  10. b)el responsable del tratamiento no esté establecido en el territorio del Estado miembro, sino en un lugar en que se aplica su legislación nacional en virtud del Derecho internacional público;
  11. c)el responsable del tratamiento no esté establecido en el territorio de la Comunidad y recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea. 2. En el caso mencionado en la letra
  12. c)del apartado 1, el responsable del tratamiento deberá designar un representante establecido en el territorio de dicho Estado miembro, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento.” La Sentencia de la Gran Sala del Tribunal de Justicia de la Unión Europea, de fecha 13 de mayo de 2014, considera a tenor del artículo 4.1.
  13. a)de la Directiva 95/46, en sus apartados 55, 56, 57 y 60, lo siguiente: “procede considerar que el tratamiento de datos personales realizado en orden al funcionamiento de un motor de búsqueda como Google Search, gestionado por una empresa que tiene su domicilio social en un Estado tercero pero que dispone de un establecimiento en un Estado miembro, se efectúa en el marco de las actividades de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 dicho establecimiento si este está destinado a la promoción y venta en dicho Estado miembro de los espacios publicitarios del motor de búsqueda, que sirven para rentabilizar el servicio propuesto por el motor. En efecto, en tales circunstancias, las actividades del gestor del motor de búsqueda y las de su establecimiento situado en el Estado miembro de que se trate están indisociablemente ligadas, dado que las actividades relativas a los espacios publicitarios constituyen el medio para que el motor de búsqueda en cuestión sea económicamente rentable y dado que este motor es, al mismo tiempo, el medio que permite realizar las mencionadas actividades. (…) la propia presentación de datos personales en una página de resultados de una página de resultados de una búsqueda constituye un tratamiento de tales datos. Pues bien, toda vez que dicha presentación de resultados está acompañada, en la misma página, de la presentación de publicidad vinculada a los términos de búsqueda, es obligado declarar que el tratamiento de datos personales controvertido se lleva a cabo en el marco de la actividad publicitaria y comercial del establecimiento del responsable del tratamiento en territorio de un Estado miembro, en el caso de autos el territorio español. (…) debe interpretarse en el sentido de que se lleva a cabo un tratamiento de datos personales en el marco de las actividades de un establecimiento del responsable de dicho tratamiento en territorio de un Estado miembro, en el sentido de dicha disposición, cuando el gestor de un motor de búsqueda crea en el Estado miembro una sucursal o una filial destinada a garantizar la promoción y la venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los habitantes de este Estado miembro.” SÉPTIMO: En fecha 2 de diciembre de 2014, la Audiencia Nacional dictó sentencia en el recurso 363/2010, con los argumentos que a continuación se reproducen: << A la interpretación del artículo 4.1.
  14. a)de la Directiva 95/46/CE, de 24 de octubre, se refiere la STJUE de 13 de mayo de 2014, cuestión prejudicial Google Spain S.L. y Google Inc./AEPD, C-131/2012, donde en contestación a la cuestión prejudicial planteada por esta misma Sala se afirma lo siguiente: “El artículo 4, apartado 1, letra a), de la Directiva 95/46 debe interpretarse en el sentido de que se lleva a cabo un tratamiento de datos personales en el marco de las actividades de un establecimiento del responsable de dicho tratamiento en territorio de un Estado miembro, en el sentido de dicha disposición, cuando el gestor de un motor de búsqueda crea en el Estado miembro una sucursal o una filial destinada a garantizar la promoción y la venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los habitantes de este Estado miembro”. El hecho de que la STJUE haga referencia al empleo de una sucursal o filial con la finalidad concreta de garantizar la promoción y la venta de espacios publicitarios propuestos por gestor del motor de búsqueda no constituye obstáculo alguno para aplicar la doctrina que expresa al caso que nos ocupa. […] Recordemos antes de exponer el fundamento de tal afirmación que el artículo 4, apartado 1, letra a), de la Directiva 95/46, bajo el título «Derecho nacional aplicable», C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 dispone lo siguiente: “1. Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:
  15. a)el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable” Asimismo, el artículo 2.1.
  16. a)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), dispone la aplicación de dicha Ley Orgánica a todo tratamiento de datos de carácter personal cuando, entre otros supuestos, “el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento”. En este mismo sentido, establece el artículo 3.1.
  17. a)del Real Decreto 1720/2007, de 21 de diciembre, que aprueba el reglamento de la LOPD, que se regirá por ese reglamento todo tratamiento de datos de carácter personal cuando, entre otros supuestos, “el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español”. […] […] resulta especialmente relevante recordar que, conforme a lo previsto en el artículo 28, apartados 3 y 4, de la Directiva 95/46, toda autoridad de control entenderá de las solicitudes de cualquier persona relativas a la protección de sus derechos y libertades en relación con el tratamiento de datos personales y que dispone de poderes de investigación y de poderes efectivos de intervención, que le permiten, en particular, ordenar el bloqueo, la supresión o la destrucción de datos, o prohibir provisional o definitivamente un tratamiento (véase la sentencia Google Spain/AEPD, C-131/12, apartados 77 y 78). En este mismo sentido, el artículo 37.1.
  18. a)de la LOPD atribuye a la Agencia Española de Protección de Datos la función de velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, en especial en lo relativo a los derechos de información, acceso, rectificación, oposición y cancelación de datos. Pues bien, no sería posible garantizar una adecuada tutela del derecho a la protección de datos que tanto la Carta, en su artículo 8, como nuestra Constitución, en su artículo 18.4, consagran, si se negara competencia a la Agencia Española de Protección de Datos para garantizar el derecho de su titular a oponerse al tratamiento de sus datos personales o solicitar su cancelación, antes examinados a la luz de la Directiva y del Derecho español cuando el tratamiento se efectúa por una entidad radicada en otro Estado miembro, en el marco de las actividades de un establecimiento de tal entidad ubicado en territorio español. Así se pone de manifiesto por los términos en que se expresa el considerando 19 de la Directiva 95/46/CE al establecer lo siguiente: “Considerando que el establecimiento en el territorio de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable; que la forma jurídica de dicho establecimiento, sea una simple sucursal o una empresa filial con personalidad jurídica, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 no es un factor determinante al respecto; que cuando un mismo responsable esté establecido en el territorio de varios Estados miembros, en particular por medio de una empresa filial, debe garantizar, en particular para evitar que se eluda la normativa aplicable, que cada uno de los establecimientos cumpla las obligaciones impuestas por el Derecho nacional aplicable a estas actividades”. Igualmente, así se desprende del alcance y consecuencias que la Directiva 95/46/CE atribuye al ejercicio de los derechos reconocidos en los artículos 12, letra b), y 14, párrafo primero, letra a), recogidos en los regulados en los artículos 6.4, 16 y 17 de la LOPD, antes expuestos. Y, así se desprende también con claridad del contenido del artículo 2.1.
  19. a)de la LOPD y del artículo 3.1.
  20. a)de su reglamento, antes transcritos. Por último, así se deduce del Dictamen 8/2010 del GT29, de 16 de diciembre, que en interpretación del citado artículo 4.1.
  21. a)de la Directiva afirma lo siguiente: “un Estado miembro aplicará su Derecho nacional de protección de datos cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Para la determinación de un establecimiento relevante para los efectos del artículo 4, apartado 1, letra a), es clave que el organismo en cuestión realice un ejercicio efectivo y real de actividades. Además, la referencia a «un» establecimiento significa que la aplicabilidad del Derecho de un Estado miembro se desencadenará por la ubicación de un establecimiento del responsable del tratamiento en ese Estado miembro y los Derechos de otros Estados miembros podrían desencadenarse por la ubicación de otros establecimientos de ese responsable del tratamiento en esos Estados miembros. La noción de «marco de actividades» –y no la ubicación de los datos– es un factor determinante en la determinación del ámbito del Derecho aplicable. La noción de «marco de actividades» implica que el Derecho aplicable no es el del Estado miembro en el que esté establecido el responsable del tratamiento, sino en el que un establecimiento del responsable del tratamiento esté implicado en actividades relativas al tratamiento de datos personales. En este contexto, es crucial el grado de implicación del (de los) establecimiento(
  22. s)en las actividades en cuyo marco se traten los datos personales. Además debe considerarse la naturaleza de las actividades de los establecimientos y la necesidad de garantizar una protección efectiva de los derechos de las personas. En el análisis de estos criterios debe adoptarse un enfoque funcional: más que la indicación teórica por las partes del Derecho aplicable, lo que debería ser decisivo son su comportamiento e interacción en la práctica”. Por consiguiente, debe concluirse que la Ley Orgánica de Protección de Datos y su reglamento serán aplicables al tratamiento de datos personales efectuado «en el marco de las actividades» de un establecimiento del responsable del tratamiento, cuando el establecimiento se encuentre ubicado en territorio español y el responsable del tratamiento tenga su domicilio social en otro Estado miembro, correspondiendo, por ende, la competencia para resolver las solicitudes de tutela del derecho de cancelación y oposición en relación con dicho tratamiento a la Agencia Española de Protección de Datos. >> OCTAVO: En el supuesto aquí analizado, ha quedado acreditado que el reclamante ejercitó el derecho de cancelación de sus datos personales ante la entidad demandada, y que, dentro del plazo establecido conforme a las normas antes señaladas, su solicitud C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 obtuvo la respuesta legalmente exigible. AMAZON pone de manifiesto en sus alegaciones que está en su derecho de conservar los datos personales del interesado, porque tiene un interés legítimo en conservar los datos personales de los clientes tras el cierre de una cuenta, con el fin de prevenir el uso abusivo o fraudulento de la Página Web. Amazon UE ha alegado que Amazon Spain no es responsable del tratamiento de datos de carácter personal del reclamante, limitándose a prestar servicios de soporte que incluyen servicios administrativos, servicios legales y servicios de contabilidad. Asimismo, ha aportado el objeto social de Amazon Spain, en el que se incluyen referencias a otros servicios corporativos distintos de los referidos, que no se corresponden con los ficheros notificados al Registro General de Protección de Datos. Atendiendo a los criterios recogidos en la Sentencia de la Audiencia Nacional de 2 de diciembre de 2014, antes citada, no es posible concluir en este momento que el tratamiento objeto de la presente tutela de derechos se encuentre sujeto a la Ley Orgánica 15/1999, de 13 de diciembre, sin perjuicio de que se proceda a abrir un expediente de Actuaciones de Investigación Previa (E/05791/2015) respecto de la naturaleza de las actividades desarrolladas por Amazon Spain. A la vista de lo expuesto, procede desestimar la presente reclamación de Tutela de Derechos. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR la reclamación formulada por D. A.A.A. contra la entidad AMAZON EU SARL (AMAZON SPAIN SERVICES, S.L.). SEGUNDO: Abrir el expediente de Actuaciones de Investigación Previa E/05791/2015. TERCERO: NOTIFICAR la presente resolución a D. A.A.A. y a la entidad AMAZON EU SARL (AMAZON SPAIN SERVICES, S.L.). De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.