← España

TD-00629-2016

1/18 Procedimiento Nº: TD/00629/2016 RESOLUCIÓN Nº: R/02254/2016 Vista la reclamación formulada el 23 de marzo de 2016, ante esta Agencia, por D. A.A.A., contra la entidad AMAZON EU SARL (AMAZON EU SARL SUCURSAL EN ESPAÑA), por no haber sido debidamente atendido su derecho de cancelación. Realizadas las actuaciones procedimentales previstas en el artículo 117 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, se han constatado los siguientes, HECHOS PRIMERO: Con fecha 16 de febrero de 2016, D. A.A.A. ejercitó el derecho de cancelación de sus datos personales ante la entidad AMAZON EU SARL SUCURSAL EN ESPAÑA, sin que su solicitud haya recibido la contestación legalmente establecida. SEGUNDO: Trasladadas sucesivamente la reclamación y los escritos de descargos que se produjeron en la tramitación de este expediente, y por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones: • Por parte de la entidad AMAZON EU SARL SUCURSAL EN ESPAÑA se pone de manifiesto que a pesar de que la solicitud de cancelación fue recibida en Amazon Sucursal, por razones desconocidas internamente se extravió, y hasta que no fue recibida la Notificación de la AEPD, Amazon Sucursal no tuvo constancia de la solicitud del Interesado. Que tan pronto como Amazon Sucursal recibió la Notificación de la AEPD, inmediatamente remitió la Notificación a Amazon EU SARL (AEU), que es el responsable del tratamiento de los datos personales de los clientes del sitio web Amazon.es. Que como se desprende de una copia de la respuesta enviada por AEU al Interesado con fecha 22 de abril de 2016, AEU cumplió con la solicitud del Interesado respetando sus derechos de cancelación. Que no se ha producido un rechazo voluntario o una denegación de la solicitud de cancelación del Interesado. Una vez AEU tuvo constancia de la solicitud, actuó conforme a las políticas internas de la AEU y la normativa Luxemburguesa de protección de datos que le resulta de aplicación. Notificación incorrecta: El responsable del tratamiento de los datos personales del Interesado no es Amazon Sucursal. AEU es el único responsable del tratamiento de datos relativos a los datos personales del Interesado. AEU no está establecida en España y realiza el tratamiento de los datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/18 personales de sus clientes, como los del Interesado, en Luxemburgo. Falta de competencia de la AEPD e inaplicabilidad de la normativa española en materia de protección de datos. La CNPD es la única autoridad competente para decidir si la solicitud del Interesado para el ejercicio de sus derechos ha sido correctamente atendida por AEU. La normativa aplicable es la Ley de Protección de las Personas Físicas Relativa al Tratamiento de Datos de Carácter Personal de 2 de agosto de 2002. • El reclamante alega que llama poderosamente la atención que sólo cuando denuncia el hecho a la AEPD, y se lo comunican a Amazon, es cuando “encuentran” su solicitud que curiosamente hasta ese momento estaba perdida. Que le dieron de baja, pero no cuando lo solicitó, sino cuando la AEPD les pregunta por lo sucedido. En cuanto a la incompetencia de su sucursal en España, y la no aceptación de la autoridad de la AEPD, determinadas multinacionales pretenden que los españoles se dirijan a Luxemburgo para tramitar una baja de sus datos. Reitera que es imposible cancelar una cuenta en Amazon a través de su página web. Se reitera en las denuncias expresadas y solicita que Amazon, como cualquier otra empresa que actúa en el Estado Español, sea responsable y sancionada por los hechos que en el propio expediente y alegaciones se contienen. FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

  1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). SEGUNDO: El artículo 18.1 de la LOPD, señala que: “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 16 de la LOPD, dispone: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/18 de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación. 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado.” CUARTO: El artículo 32.2 y 3 del Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, establece: “2. El responsable del fichero resolverá sobre la solicitud de rectificación o cancelación en el plazo máximo de diez días a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal del afectado deberá igualmente comunicárselo en el mismo plazo. 3. Si los datos rectificados o cancelados hubieran sido cedidos previamente, el responsable del fichero deberá comunicar la rectificación o cancelación efectuada al cesionario, en idéntico plazo, para que éste, también en el plazo de diez días contados desde la recepción de dicha comunicación, proceda, asimismo, a rectificar o cancelar los datos. La rectificación o cancelación efectuada por el cesionario no requerirá comunicación alguna al interesado, sin perjuicio del ejercicio de los derechos por parte de los interesados reconocidos en la Ley Orgánica 15/1999, de 13 de diciembre.” QUINTO: El artículo 25 del Reglamento de la LOPD, establece: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
  2. a)
  3. b)
  4. c)
  5. d)C/ Jorge Juan, 6 28001 – Madrid Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos. Petición en que se concreta la solicitud. Dirección a efectos de notificaciones, fecha y firma del solicitante. Documentos acreditativos de la petición que formula, en su caso. www.agpd.es sedeagpd.gob.es 4/18 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. 4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación SEXTO: En cuanto a la normativa aplicable, cabe señalar lo siguiente: El artículo 2 de la LOPD, señala en su apartado 1 su ámbito territorial de aplicación en los siguientes términos: “Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
  6. a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.
  7. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.
  8. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito.” Este artículo traspone el artículo 4 de la Directiva 95/46/CE, que literalmente señala: “Derecho nacional aplicable 1. Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:
  9. a)el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable;
  10. b)C/ Jorge Juan, 6 28001 – Madrid el responsable del tratamiento no esté establecido en el territorio del Estado www.agpd.es sedeagpd.gob.es 5/18 miembro, sino en un lugar en que se aplica su legislación nacional en virtud del Derecho internacional público;
  11. c)el responsable del tratamiento no esté establecido en el territorio de la Comunidad y recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea. 2. En el caso mencionado en la letra
  12. c)del apartado 1, el responsable del tratamiento deberá designar un representante establecido en el territorio de dicho Estado miembro, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento.” La Sentencia de la Gran Sala del Tribunal de Justicia de la Unión Europea, de fecha 13 de mayo de 2014, considera a tenor del artículo 4.1.
  13. a)de la Directiva 95/46, en sus apartados 55, 56, 57 y 60, lo siguiente: “procede considerar que el tratamiento de datos personales realizado en orden al funcionamiento de un motor de búsqueda como Google Search, gestionado por una empresa que tiene su domicilio social en un Estado tercero pero que dispone de un establecimiento en un Estado miembro, se efectúa en el marco de las actividades de dicho establecimiento si este está destinado a la promoción y venta en dicho Estado miembro de los espacios publicitarios del motor de búsqueda, que sirven para rentabilizar el servicio propuesto por el motor. En efecto, en tales circunstancias, las actividades del gestor del motor de búsqueda y las de su establecimiento situado en el Estado miembro de que se trate están indisociablemente ligadas, dado que las actividades relativas a los espacios publicitarios constituyen el medio para que el motor de búsqueda en cuestión sea económicamente rentable y dado que este motor es, al mismo tiempo, el medio que permite realizar las mencionadas actividades. (…) la propia presentación de datos personales en una página de resultados de una página de resultados de una búsqueda constituye un tratamiento de tales datos. Pues bien, toda vez que dicha presentación de resultados está acompañada, en la misma página, de la presentación de publicidad vinculada a los términos de búsqueda, es obligado declarar que el tratamiento de datos personales controvertido se lleva a cabo en el marco de la actividad publicitaria y comercial del establecimiento del responsable del tratamiento en territorio de un Estado miembro, en el caso de autos el territorio español. (…) debe interpretarse en el sentido de que se lleva a cabo un tratamiento de datos personales en el marco de las actividades de un establecimiento del responsable de dicho tratamiento en territorio de un Estado miembro, en el sentido de dicha disposición, cuando el gestor de un motor de búsqueda crea en el Estado miembro una sucursal o una filial destinada a garantizar la promoción y la venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los habitantes de este Estado miembro.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/18 SÉPTIMO: En fecha 2 de diciembre de 2014, la Audiencia Nacional dictó sentencia en el recurso 363/2010, con los argumentos que a continuación se reproducen: << A la interpretación del artículo 4.1.
  14. a)de la Directiva 95/46/CE, de 24 de octubre, se refiere la STJUE de 13 de mayo de 2014, cuestión prejudicial Google Spain S.L. y Google Inc./AEPD, C-131/2012, donde en contestación a la cuestión prejudicial planteada por esta misma Sala se afirma lo siguiente: “El artículo 4, apartado 1, letra a), de la Directiva 95/46 debe interpretarse en el sentido de que se lleva a cabo un tratamiento de datos personales en el marco de las actividades de un establecimiento del responsable de dicho tratamiento en territorio de un Estado miembro, en el sentido de dicha disposición, cuando el gestor de un motor de búsqueda crea en el Estado miembro una sucursal o una filial destinada a garantizar la promoción y la venta de espacios publicitarios propuestos por el mencionado motor y cuya actividad se dirige a los habitantes de este Estado miembro”. El hecho de que la STJUE haga referencia al empleo de una sucursal o filial con la finalidad concreta de garantizar la promoción y la venta de espacios publicitarios propuestos por gestor del motor de búsqueda no constituye obstáculo alguno para aplicar la doctrina que expresa al caso que nos ocupa. […] Recordemos antes de exponer el fundamento de tal afirmación que el artículo 4, apartado 1, letra a), de la Directiva 95/46, bajo el título «Derecho nacional aplicable», dispone lo siguiente: “1. Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:
  15. a)el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable” Asimismo, el artículo 2.1.
  16. a)de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), dispone la aplicación de dicha Ley Orgánica a todo tratamiento de datos de carácter personal cuando, entre otros supuestos, “el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento”. En este mismo sentido, establece el artículo 3.1.
  17. a)del Real Decreto 1720/2007, de 21 de diciembre, que aprueba el reglamento de la LOPD, que se regirá por ese reglamento todo tratamiento de datos de carácter personal cuando, entre otros supuestos, “el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español”. […] […] resulta especialmente relevante recordar que, conforme a lo previsto en el artículo 28, apartados 3 y 4, de la Directiva 95/46, toda autoridad de control entenderá de las solicitudes de cualquier persona relativas a la protección de sus derechos y libertades en relación con el tratamiento de datos personales y que dispone de poderes de investigación y de poderes efectivos de intervención, que le permiten, en particular, ordenar el bloqueo, la supresión o la destrucción de datos, o prohibir provisional o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/18 definitivamente un tratamiento (véase la sentencia Google Spain/AEPD, C-131/12, apartados 77 y 78). En este mismo sentido, el artículo 37.1.
  18. a)de la LOPD atribuye a la Agencia Española de Protección de Datos la función de velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, en especial en lo relativo a los derechos de información, acceso, rectificación, oposición y cancelación de datos. Pues bien, no sería posible garantizar una adecuada tutela del derecho a la protección de datos que tanto la Carta, en su artículo 8, como nuestra Constitución, en su artículo 18.4, consagran, si se negara competencia a la Agencia Española de Protección de Datos para garantizar el derecho de su titular a oponerse al tratamiento de sus datos personales o solicitar su cancelación, antes examinados a la luz de la Directiva y del Derecho español cuando el tratamiento se efectúa por una entidad radicada en otro Estado miembro, en el marco de las actividades de un establecimiento de tal entidad ubicado en territorio español. Así se pone de manifiesto por los términos en que se expresa el considerando 19 de la Directiva 95/46/CE al establecer lo siguiente: “Considerando que el establecimiento en el territorio de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable; que la forma jurídica de dicho establecimiento, sea una simple sucursal o una empresa filial con personalidad jurídica, no es un factor determinante al respecto; que cuando un mismo responsable esté establecido en el territorio de varios Estados miembros, en particular por medio de una empresa filial, debe garantizar, en particular para evitar que se eluda la normativa aplicable, que cada uno de los establecimientos cumpla las obligaciones impuestas por el Derecho nacional aplicable a estas actividades”. Igualmente, así se desprende del alcance y consecuencias que la Directiva 95/46/CE atribuye al ejercicio de los derechos reconocidos en los artículos 12, letra b), y 14, párrafo primero, letra a), recogidos en los regulados en los artículos 6.4, 16 y 17 de la LOPD, antes expuestos. Y, así se desprende también con claridad del contenido del artículo 2.1.
  19. a)de la LOPD y del artículo 3.1.
  20. a)de su reglamento, antes transcritos. Por último, así se deduce del Dictamen 8/2010 del GT29, de 16 de diciembre, que en interpretación del citado artículo 4.1.
  21. a)de la Directiva afirma lo siguiente: “un Estado miembro aplicará su Derecho nacional de protección de datos cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Para la determinación de un establecimiento relevante para los efectos del artículo 4, apartado 1, letra a), es clave que el organismo en cuestión realice un ejercicio efectivo y real de actividades. Además, la referencia a «un» establecimiento significa que la aplicabilidad del Derecho de un Estado miembro se desencadenará por la ubicación de un establecimiento del responsable del tratamiento en ese Estado miembro y los Derechos de otros Estados miembros podrían desencadenarse por la ubicación de otros establecimientos de ese responsable del tratamiento en esos Estados miembros. La noción de «marco de actividades» –y no la ubicación de los datos– es un factor determinante en la determinación del ámbito del Derecho aplicable. La noción de «marco de actividades» implica que el Derecho aplicable no es el del Estado miembro en el que esté establecido el responsable del tratamiento, sino en el que un establecimiento del responsable del tratamiento esté implicado en actividades relativas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/18 al tratamiento de datos personales. En este contexto, es crucial el grado de implicación del (de los) establecimiento(
  22. s)en las actividades en cuyo marco se traten los datos personales. Además debe considerarse la naturaleza de las actividades de los establecimientos y la necesidad de garantizar una protección efectiva de los derechos de las personas. En el análisis de estos criterios debe adoptarse un enfoque funcional: más que la indicación teórica por las partes del Derecho aplicable, lo que debería ser decisivo son su comportamiento e interacción en la práctica”. Por consiguiente, debe concluirse que la Ley Orgánica de Protección de Datos y su reglamento serán aplicables al tratamiento de datos personales efectuado «en el marco de las actividades» de un establecimiento del responsable del tratamiento, cuando el establecimiento se encuentre ubicado en territorio español y el responsable del tratamiento tenga su domicilio social en otro Estado miembro, correspondiendo, por ende, la competencia para resolver las solicitudes de tutela del derecho de cancelación y oposición en relación con dicho tratamiento a la Agencia Española de Protección de Datos. >> OCTAVO: El Tribunal Supremo, en Sentencia de la Sala de lo ContenciosoAdministrativo de 13 de junio de 2016 (recurso de casación 810/2015), se ha pronunciado al respecto de la Sentencia del TJUE, confirmando el criterio expuesto en anteriores Sentencias y poniéndolo en relación con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo relativo al tratamiento de datos personales y a la libre circulación de estos datos que, si bien no será directamente aplicable hasta el 24 de mayo de 2018, ya está en vigor. En la citada STS se expone: << […] no podemos desconocer el hecho de que con posterioridad a las referidas sentencias de esta Sala de 11, 14 y 15 de marzo de 2016, se ha dictado por la Sala Primera de este Tribunal Supremo sentencia de 5 de abril de 2016, en el recurso 3269/2014, sobre tutela del derecho al honor, a la intimidad, a la propia imagen y a la protección de datos de carácter personal, que se refiere a la responsabilidad de Google Spain S.L., en el tratamiento de tales datos y la incidencia que para el ejercicio por el interesado del derecho a la tutela judicial efectiva puede tener la consideración como responsable de Google Inc., con domicilio en otro país. En la propia sentencia, que en lo sustancial no incorpora motivación distinta a la que ya valoró esta Sala al resolver los recursos de casación interpuestos contra las sentencias de la Audiencia Nacional, se hace referencia, en apoyo de su distinto criterio, a la falta de efecto prejudicial de las sentencias dictadas por ambas salas y recuerda la existencia de “distintos criterios rectores en las distintas jurisdicciones, por la diversidad de las normativas que con carácter principal se aplican en unas y otras”. Efectivamente, en el ámbito de esta jurisdicción contencioso administrativa, la tutela de los derechos de oposición, acceso, rectificación y cancelación reconocidos al titular de los datos personales objeto de tratamiento, se recaba mediante la impugnación de la correspondiente resolución de la Agencia Española de Protección de Datos, resolución que se produce, como se ha indicado anteriormente, a través de un procedimiento que comienza con la reclamación o comunicación dirigida al responsable del tratamiento, ejercitando el correspondiente derecho (art. 25 R.D. 1720/2007), frente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/18 a cuya respuesta el interesado puede formular reclamación ante la referida Agencia Española de Protección de Datos (art. 117 R.D. 1720/2007), que deberá dictar resolución en el plazo de seis meses, contra la cual puede interponerse el recurso contencioso administrativo (art. 18 LOPD 15/1999). En este ámbito jurisdiccional, como se desprende de lo expuesto en los anteriores fundamentos de derecho, la identificación de Google Inc. como responsable del tratamiento al que debe dirigirse el titular de los datos personales en ejercicio de su derecho, se justifica ampliamente en esta sentencia y las citadas de referencia, como resultado de:
  23. i)la clara definición legal de la condición de responsable establecida tanto en la Directiva 95/46/CE (art. 2.
  24. d)como en la Ley Orgánica 15/1999, de Protección de Datos (art. 3.d);
  25. ii)la interpretación que al respecto sostiene el TJUE en la citada sentencia de 13 de mayo de 2014, que al resolver las cuestiones prejudiciales planteadas por la Sala de la Audiencia Nacional, declara expresamente en su parte dispositiva 1), en relación con el tratamiento de datos consistente en “hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas”, que “el gestor de un motor de búsqueda debe considerarse responsable de dicho tratamiento, en el sentido del mencionado artículo 2, letra d)” gestor que en este caso nadie cuestiona que es Google Inc. y no Google Spain S.L.; iii) la percepción de que dicha interpretación del alcance de tales preceptos y los pronunciamientos efectuados en la sentencia del TJUE no responde a un planteamiento subjetivo sino que, objetivamente, puede sostenerse por los distintos tribunales que han de aplicar las normas comunitarias, como se refleja en las resoluciones adoptadas por ocho órganos jurisdiccionales europeos que se incorporan por la parte recurrente y que se han reflejado antes;
  26. iv)la naturaleza de la obligación cuyo cumplimiento se exige por el interesado, obligación de hacer o no hacer impuesta por la ley en virtud de la efectiva participación del responsable en el tratamiento de datos objeto de impugnación, participación que delimita el alcance de su responsabilidad y la exigencia de la correspondiente reparación, adoptando las medidas precisas al efecto;
  27. v)la asunción como propia de tal condición por parte de la entidad Google Inc., que a raíz de la sentencia del TJUE ha adoptado medidas tendentes a facilitar el ejercicio del denominado “derecho al olvido”. […] el criterio mantenido por la Sala en esas sentencias, como hemos señalado antes, se ha visto confirmado por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo relativo al tratamiento de datos personales y a la libre circulación de estos datos, recientemente aprobado y publicado en el Diario Oficial de la Unión Europea de 4 de mayo de 2016, que deroga la Directiva 95/46/CE, el cual, entre otras previsiones a las que ya nos hemos referido y despejando posibles dudas, regula en su art. 26 la corresponsabilidad en el tratamiento de datos, considerando corresponsables a quienes determinen conjuntamente los objetivos y los medios del tratamiento, exigiendo, además, que los corresponsables determinen de modo transparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el Reglamento, en particular en cuanto al ejercicio de los derechos del interesado, previsión que, como ya se recoge en nuestras sentencias, impide considerar corresponsable a una entidad como Google Spain, S.L., que ninguna participación tiene en la gestión del motor de búsqueda y la determinación de los fines y medios del tratamiento, circunstancia que en ningún momento se cuestiona. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/18 Por otra parte, en este ámbito jurisdiccional, la identificación de Google Inc., con domicilio legal en California, como responsable del tratamiento al que debe dirigirse el interesado en el ejercicio de sus derechos, no supone para este dificultad o carga añadida significativa para la obtención de una eficaz tutela judicial, en ninguna de las fases del procedimiento que se establece al efecto, al que hemos hecho referencia antes. Así, en la primera fase, según dispone el art. 24 del Real Decreto 1720/2007, de 21 de diciembre, que aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, el ejercicio de los derechos de acceso, rectificación, cancelación y oposición, frente al responsable del tratamiento, ha de responder a un medio sencillo y gratuito, sin que en ningún caso pueda suponer para el responsable un ingreso adicional, pudiéndose ejercitar tales derechos a través de los servicios de cualquier índole para la atención al público o el ejercicio de reclamaciones relacionadas con el servicio prestado de que disponga el responsable del tratamiento, imponiendo a dicho responsable la obligación de atender la solicitud del interesado aun cuando no hubiera utilizado el procedimiento establecido específicamente al efecto por aquel, siempre que el interesado haya utilizado un medio que permita acreditar el envío y la recepción de la solicitud. La reclamación, por lo tanto, se formula electrónicamente de manera sencilla, gratuita y directa por el interesado, siendo válida en cualquier forma que permita justificar que se ha enviado y recibido por el responsable. Ello se facilita todavía más cuando, como sucede en este caso, el responsable Google Inc., según dice, implementando la tantas veces citada sentencia del TJUE sobre el derecho al olvido, ofrece a los interesados información completa sobre el ejercicio de su derecho, facilita los correspondientes formularios y proporciona instrucciones precisas para cumplimentarlos, habiendo establecido un Consejo Asesor, compuesto por cualificados miembros de distintos países, para evaluar las solicitudes y remitiendo al interesado, caso de desacuerdo con la decisión adoptada, a su impugnación ante la autoridad de protección de datos local, en congruencia con lo dispuesto en el art. 35 del citado Real Decreto 1720/2007, que establece genéricamente el plazo de diez días para resolver por el responsable, transcurrido el cual sin resolución, el interesado podrá interponer la reclamación prevista en el art. 18 de la LO 15/1999 ante la Agencia de Protección de Datos. Tampoco en esta segunda fase, ante la Autoridad de control, se aprecia dificultad o carga significativa para el ejercicio de su derecho por el interesado, por el hecho de que el responsable del tratamiento sea una entidad como Google Inc. domiciliada en otro país, pues, como dispone el art. 117 del Reglamento aprobado por Real Decreto 1720/2007, basta para la iniciación del procedimiento la presentación de la correspondiente reclamación ante la Agencia Española de Protección de Datos, sin que las comunicaciones con el responsable del tratamiento en el ámbito del procedimiento abierto presenten mayores exigencias que las llevadas a cabo directamente por el interesado, máxime teniendo en cuenta la implicación de los intervinientes en el desarrollo de la llamada sociedad de la información y la constante evolución normativa hacia la tramitación de los procedimientos a través de medios electrónicos, como refleja el art. 71 de la nueva Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común; que esto es así resulta de los numerosos procedimientos ante la Agencia de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/18 Protección de Datos tramitados con la intervención de Google Inc., sin ir más lejos el procedimiento que dio lugar al recurso contencioso administrativo en el que se plantearon por la Sala de la Audiencia Nacional las cuestiones prejudiciales resueltas por el TJUE en la referida sentencia de 13 de mayo de 2014. Lo mismo puede decirse de la vía jurisdiccional, que se desarrolla de acuerdo con las previsiones de la Ley reguladora de esta Jurisdicción Contencioso-Administrativa y que, como en todos los casos, el interesado puede instar y abrir mediante un simple escrito de impugnación de la resolución adoptada por la Agencia de Protección de Datos, a partir del cual el proceso contencioso-administrativo se impulsa de oficio hasta su terminación en cualquiera de las formas establecidas en la propia Ley procesal. Por lo demás, la exigencia del cumplimiento de la obligación a Google Inc. como responsable del tratamiento - además de venir impuesta por la ley aplicable (art. 12.
  28. b)de la Directiva 95/46/CE) y por la naturaleza de la obligación, como se refleja en los arts. 705 y siguientes de la Ley de Enjuiciamiento Civil al regular la ejecución de este tipo de obligaciones favorece que la tutela judicial obtenida por el interesado resulte eficaz y se plasme en la correspondiente actividad o realización práctica, pues, cuando se trata de la exigencia de obligaciones de hacer o no hacer, su efectividad viene determinada por la actitud o respuesta del propio responsable, más aún cuando, como sucede en este caso, el cumplimiento de la obligación exige la utilización de unos medios sobre los que solo tiene capacidad de disposición el responsable, como gestor del motor de búsqueda. >> NOVENO: El Grupo de Protección de Datos del art. 29 en su Dictamen 8/2010 sobre Derecho aplicable, en el apartado III. <<…Análisis de las disposiciones: La disposición clave sobre el Derecho aplicable es el artículo 4, que determina qué disposición (disposiciones) nacional(
  29. es)de protección de datos aprobada(
  30. s)para la aplicación de la Directiva puede(
  31. n)aplicarse al tratamiento de datos personales III.1. El responsable del tratamiento está establecido en uno o varios Estados miembros (artículo 4, apartado1, letra a)) (…) En tales circunstancias, la noción de «marco de actividades» –y no la ubicación de los datos– es un factor determinante en la determinación del Derecho aplicable. La noción de «marco de actividades» no implica que el Derecho aplicable sea el del Estado miembro donde esté establecido el responsable del tratamiento, sino donde un establecimiento del responsable del tratamiento esté implicado en actividades relativas al tratamiento de datos. La consideración de diferentes hipótesis podría contribuir a clarificar lo que significa la noción de «marco de actividades» y su influencia en la determinación del Derecho aplicable a las diferentes actividades de tratamiento en diferentes países a. Cuando un responsable del tratamiento tiene un establecimiento en Austria y trata datos personales en Austria en el marco de actividades de ese establecimiento, el Derecho aplicable obviamente sería el de Austria, es decir donde el establecimiento está situado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/18 b. En la segunda hipótesis, el responsable del tratamiento tiene un establecimiento en Austria, en cuyo marco de actividades trata datos personales recogidos a través de su sitio Internet. El sitio Internet es accesible a usuarios en distintos países. El Derecho de protección de datos aplicable seguirá siendo el de Austria, es decir el de donde está situado el establecimiento, con independencia de la ubicación de los usuarios y de los datos. c. En la tercera hipótesis, el responsable del tratamiento está establecido en Austria y contrata el tratamiento a un encargado del tratamiento en Alemania. El tratamiento en Alemania se efectúa en el marco de las actividades del responsable del tratamiento en Austria. Es decir, el tratamiento se realiza en aras de los objetivos comerciales y bajo las instrucciones del establecimiento austríaco. El Derecho austríaco será aplicable al tratamiento efectuado por el encargado del tratamiento en Alemania. Además, el encargado del tratamiento estará sujeto a los requisitos del Derecho alemán respecto de las medidas de seguridad que está obligado a adoptar en relación con el tratamiento. Esto requeriría una supervisión coordinada por parte de las autoridades de protección de datos alemanas y austríacas. d. En la cuarta hipótesis, el responsable del tratamiento establecido en Austria abre una oficina de representación en Italia, que organiza todos los contenidos italianos del sitio Internet y gestiona las peticiones de los usuarios italianos. Las actividades de tratamiento de datos realizadas por la oficina italiana se efectúan en el marco del establecimiento italiano, de modo que el Derecho italiano se aplicaría a dichas actividades…>> DÉCIMO: En la Sentencia del Tribunal de Justicia de la Unión Europea (Sala Tercera) de 1 de octubre de 2015 en el asunto C-230/14, se establece: <<1. El artículo 4, apartado 1, letra a), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, debe interpretarse en el sentido de que permite aplicar la legislación relativa a la protección de los datos personales de un Estado miembro distinto de aquel en el que está registrado el responsable del tratamiento de esos datos, siempre que éste ejerza, mediante una instalación estable en el territorio de dicho Estado miembro, una actividad efectiva y real, aun mínima, en cuyo marco se realice el referido tratamiento. Para determinar si así ocurre, en circunstancias como las controvertidas en el litigio principal, el órgano jurisdiccional remitente puede tener en cuenta, por un lado, que la actividad del responsable de dicho tratamiento, en cuyo marco éste tiene lugar, consiste en la gestión de sitios de Internet de anuncios de inmuebles situados en el territorio de dicho Estado miembro y redactados en la lengua de ese Estado y que, en consecuencia, se dirige principalmente, incluso íntegramente, a dicho Estado miembro y, por otro lado, que ese responsable dispone de un representante en el referido Estado miembro que se encarga de cobrar los créditos resultantes de dicha actividad y de representarlo en los procedimientos administrativo y judicial relativos al tratamiento de los datos en cuestión. En cambio, es irrelevante el tema de la nacionalidad de las personas afectadas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/18 por dicho tratamiento de datos. 2) En el supuesto de que la autoridad de control de un Estado miembro que entiende de unas denuncias, de conformidad con el artículo 28, apartado 4, de la Directiva 95/46, llegue a la conclusión de que el Derecho aplicable al tratamiento de los datos personales de que se trata no es el Derecho de ese Estado miembro, sino el de otro Estado miembro, el artículo 28, apartados 1, 3 y 6, de esa misma Directiva debe interpretarse en el sentido de que dicha autoridad de control sólo podría ejercer en el territorio de su propio Estado miembro las facultades efectivas de intervención que se le han conferido conforme al artículo 28, apartado 3, de la citada Directiva. Por lo tanto, no puede imponer sanciones basándose en el Derecho de ese Estado miembro al responsable del tratamiento de tales datos que no está establecido en dicho territorio, sino que, con arreglo al artículo 28, apartado 6, de la misma Directiva, debe instar la intervención de la autoridad de control dependiente del Estado miembro cuyo Derecho es aplicable…>> Asimismo, la Sentencia dictada por el Tribunal de Justicia de la Unión Europea en el asunto C-191/15 (Verein für Konsummenteninformation y AMAZON EU, SARL) señala lo siguiente: <<72 Mediante su cuarta cuestión, letra b), el órgano jurisdiccional remitente pregunta, en esencia, si el artículo 4, apartado 1, letra a), de la Directiva 95/46 debe interpretarse en el sentido de que un tratamiento de datos personales efectuado por una empresa de comercio electrónico se rige por el Derecho del Estado miembro al que esa empresa dirige sus actividades. 73 A tenor del artículo 4, apartado 1, letra a), de la Directiva 95/46, los Estados miembros aplicarán las disposiciones nacionales que hayan aprobado para la aplicación de esta Directiva a todo tratamiento de datos personales cuando el tratamiento se efectúe en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. 74 De lo anterior se desprende que un tratamiento de datos efectuado en el marco de las actividades de un establecimiento se rige por el Derecho del Estado miembro en cuyo territorio esté situado dicho establecimiento. 75 Por lo que se refiere, en primer lugar, al concepto de «establecimiento» en el sentido del artículo 4, apartado 1, letra a), de la Directiva 95/46, el Tribunal de Justicia ha precisado que se extiende a cualquier actividad real y efectiva, aun mínima, ejercida mediante una instalación estable (sentencia de 1 de octubre de 2015, Weltimmo, C-230/14, EU:C:2015:639, apartado 31). 76 A este respecto, como ha señalado el Abogado General en el punto 119 de sus conclusiones, si bien el hecho de que la empresa responsable del tratamiento de datos no posea una filial ni una sucursal en un Estado miembro no excluye que pueda tener en su territorio un establecimiento en el sentido del artículo 4, apartado 1, letra a), de la Directiva 95/46, ese establecimiento no puede existir por el mero hecho de que allí se pueda acceder al sitio de Internet de la empresa en cuestión. 77 Como ya ha declarado el Tribunal de Justicia, más bien deben evaluarse tanto el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/18 grado de estabilidad de la instalación como la efectividad del desarrollo de las actividades en el Estado miembro de que se trate (véase, en este sentido, la sentencia de 1 de octubre de 2015, Weltimmo, C-230/14, EU:C:2015:639, apartado 29). 78 Por lo que se refiere, en segundo lugar, a la cuestión de si el tratamiento de los datos personales objeto de litigio se efectúa «en el marco de las actividades» de ese establecimiento, en el sentido del artículo 4, apartado 1, letra a), de la Directiva 95/46, el Tribunal de Justicia ya ha recordado que esta disposición no exige que el tratamiento de los datos personales controvertidos sea efectuado «por» el propio establecimiento en cuestión, sino únicamente «en el marco de las actividades» de éste (sentencia de 1 de octubre de 2015, Weltimmo, C-230/14, EU:C:2015:639, apartado 35). 79 Corresponde al órgano jurisdiccional remitente determinar, a la luz de esta jurisprudencia y teniendo en cuenta todas las circunstancias pertinentes del litigio principal, si Amazon EU efectúa el tratamiento de los datos en cuestión en el marco de las actividades de un establecimiento situado en un Estado miembro distinto de Luxemburgo. 80 Como ha señalado el Abogado General en el punto 128 de sus conclusiones, si el órgano jurisdiccional remitente demostrara que el establecimiento en el que Amazon EU efectúa el tratamiento de esos datos está situado en Alemania, el Derecho alemán debería regir ese tratamiento. 81 Habida cuenta de las consideraciones anteriores, procede responder a la cuarta cuestión, letra b), que el artículo 4, apartado 1, letra a), de la Directiva 95/46 debe interpretarse en el sentido que el tratamiento de datos personales efectuado por una empresa de comercio electrónico se rige por el Derecho del Estado miembro al que dicha empresa dirige sus actividades si esa empresa efectúa el tratamiento de los datos en cuestión en el marco de las actividades de un establecimiento situado en un Estado miembro. Corresponde al órgano jurisdiccional nacional determinar si ése es el caso.>> Por otra parte, en la resolución del expediente E/05791/2015 se acordó proceder al archivo de las actuaciones respecto de las compañías AMAZON SPAIN SERVICES, S.L. y AMAZON SPAIN FULFILLMENT, S.L., por tener la condición de encargadas del tratamiento respecto de AMAZON EU, S.A.R.L. Sin embargo, en el mismo expediente, como se recoge en el acta de inspección suscrita por los representantes de AMAZON y en la resolución, se acreditó lo siguiente respecto de la actividad de AMAZON EU, SARL, SUCURSAL EN ESPAÑA: 6.6 Marketing Este es uno de los servicios contratados por AEU (AMAZON EU, SARL) inicialmente a ASPA (AMAZON SPAIN SERVICES, S.L.) y que actualmente tiene contratados a AEU ESPAÑA (AMAZON EU, SARL, SUCURSAL EN ESPAÑA). Los servicios de marketing no tratan con datos de los clientes del sitio web www.amazon.es, sino que tienen relación con la captación de comerciantes de productos físicos (no digitales) que deseen vender sus productos a través del sitio web de www.amazon.es. El servicio también incluye la captación de anunciantes que deseen contratar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/18 espacios publicitarios dentro del sitio web www.amazon.es. Ni ASPA ni ASF (AMAZON SPAIN FULFILLMENT, S.L.) envían comunicaciones comerciales o elaboran sugerencias de compra destinadas a los clientes del sitio web www.amazon.es. 6.7 Relaciones con los clientes Este es uno de los servicios contratados por AEU inicialmente a ASPA y que actualmente tiene contratados a AEU ESPAÑA. La gestión de las relaciones con los clientes se realiza a través de “call centers” que firman contratos de prestación de servicios con AEU. Cuando alguno de esos “call centers” recibe una consulta que no se ve capaz de atender lo pone en conocimiento de ASPA a través del Customer Services Central (CSC) o a través del envío de un correo electrónico a las personas que pueden responder a dicha consulta. Las consultas pueden pero no suelen incluir datos personales ya que los operadores de los “call center” que las transmiten acostumbran a plantearlas de manera impersonal (“Un cliente pregunta que…”). ASF no tiene contacto directo con los clientes. Por ello, cabe concluir que, a diferencia de la actividad que desarrollan AMAZON SPAIN SERVICES, S.L. y AMAZON SPAIN FULFILLMENT, S.L., la actividad que lleva a cabo AMAZON EU SARL, SUCURSAL EN ESPAÑA, está directamente relacionada con los servicios que AMAZON presta a los clientes españoles de su página web. En consecuencia, debe entenderse que, de acuerdo a los criterios jurídicos expuestos, el tratamiento de los datos del reclamante, residente en España, que es cliente del sitio web www.amazon.es,está sujeto a la normativa española de protección de datos y la Agencia Española de Protección de Datos es competente para tutelar su derecho de cancelación. UNDÉCIMO: En cuanto a la apertura de un procedimiento sancionador por supuestas infracciones a la LOPD, cabe señalar que el procedimiento de Tutela de Derechos al que hace referencia esta norma legal, se inicia siempre a instancia del afectado para garantizar sus derechos de acceso, rectificación cancelación y oposición. Por el contrario, el procedimiento sancionador en materia de protección de datos, que constituye una de las manifestaciones del “ius puniendi” del Estado, se inicia siempre de oficio por el Director de la Agencia Española de Protección de Datos, de conformidad con lo previsto en el artículo 122.2 del Reglamento de la LOPD, como así ha mantenido la Audiencia Nacional en sentencias como, entre otras, la dictada en marzo de 2006 (REC 319/2004). Por tanto, es competencia exclusiva de la Agencia Española de Protección de Datos valorar si existen responsabilidades administrativas que han de ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar procedimiento ante cualquier petición realizada por tercero, sino que la misma ha de basarse en la existencia de elementos que justifiquen dicho inicio de actividad sancionadora. Así lo establece el artículo 11.2 del Reglamento de Procedimiento para el Ejercicio de la Potestad Sancionadora, aprobado por el Real Decreto 1398/1993, de 4 de agosto, que es del tenor siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/18 “La formulación de una petición no vincula al órgano competente para iniciar procedimiento sancionador, si bien deberá comunicar al órgano que la hubiera formulado los motivos por los que, en su caso, no procede la iniciación del procedimiento. Cuando se haya presentado una denuncia, se deberá comunicar al denunciante la iniciación o no del procedimiento cuando la denuncia vaya acompañada de una solicitud de iniciación” Por otro lado, debe recordarse que para definir la condición de “interesado” para instar al ejercicio de la competencia sancionadora de esta Agencia, la STS de 6-102009 dispone que el denunciante no es interesado, y lo hace en los siguiente términos: "el denunciante de una infracción de la legislación de protección de datos carece de legitimación activa para impugnar la resolución de la Agencia en lo que concierne al resultado sancionador mismo (imposición de una sanción, cuantía de la misma, exculpación, etc.)." En el mismo sentido se ha manifestado la SAN 27/5/2010: "quien denuncia hechos que considera constitutivos de infracción de la legislación de protección de datos carece de legitimación activa para impugnar en vía jurisdiccional lo que resuelva la Agencia.(...) La razón es, en sustancia, que el denunciante carece de la condición de interesado en el procedimiento sancionador que se puede incoar a resultas de su denuncia. Ni la Ley Orgánica de Protección de Datos ni su Reglamento de desarrollo le reconocen esa condición (...). El argumento crucial en esta materia es que el denunciante, incluso cuando se considere a sí mismo "víctima" de la infracción denunciada, no tiene un derecho subjetivo ni un interés legítimo a que el denunciado sea sancionado". Aplicando la doctrina pacífica del Tribunal Supremo, conforme a la cual “la denuncia no convierte al denunciante en titular de un derecho subjetivo ni de un interés personal o legítimo que hubiera de traducirse en un beneficio o utilidad”. (STSS 23/06/1997, 22/12/1997, 14/07/1998, 02/03/1999, 26/10/2000, 30/01/2001, 15/07/2002, 28/02/2003 y 06/03/2003); la circunstancia de haber presentado el actual reclamante la denuncia no le otorga por sí mismo la condición de persona interesada. DECIMOSEGUNDO: En el supuesto aquí analizado, ha quedado acreditado que el reclamante ejercitó su derecho de cancelación ante la entidad demandada y que, transcurrido el plazo establecido conforme a las normas antes señaladas, su solicitud no obtuvo la respuesta legalmente exigible. No obstante, durante la tramitación del presente procedimiento, Amazon.es ha atendido la solicitud del reclamante comunicándole lo siguiente: “Asimismo, tal y como nos ha solicitado en su carta del día 15 de febrero de 2016, hemos procedido a la cancelación de su cuenta Amazon.es y todos los datos personales vinculados a ella. Tenga la tranquilidad de que sus datos no serán utilizados ni tratados por Amazon de aquí en adelante. No obstante, le informamos que, de conformidad con la legislación aplicable en materia de protección de datos personales, sus datos deben permanecer bloqueados en nuestros ficheros (aunque no volverán a ser utilizados ni tratados por Amazon) durante el periodo de tiempo legalmente exigido, con el único fin de mantenerlos a disposición C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/18 de las Administraciones Públicas, Juzgados y Tribunales. Una vez haya transcurrido el plazo legalmente exigido, sus datos serán completamente eliminados de nuestros ficheros. Si en el futuro desea abrir una nueva cuenta, podrá utilizar la misma dirección de e-mail que ya utilizó previamente, o una nueva. En este caso, le pediremos que introduzca de nuevo sus datos personales.” A la vista de lo expuesto, procede estimar, por motivos formales, la presente reclamación de Tutela de Derechos. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR, por motivos formales, la reclamación formulada por D. A.A.A. contra la entidad AMAZON EU SARL (AMAZON EU SARL SUCURSAL EN ESPAÑA). No obstante, no procede la emisión de nueva certificación por parte de dicha entidad, al haber comunicado al reclamante la cancelación de sus datos durante la tramitación del presente procedimiento de Tutela de Derechos. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. y a la entidad AMAZON EU SARL SUCURSAL EN ESPAÑA, como establecimiento del responsable en España, para que dé traslado de la misma a AMAZON EU SARL. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/18 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.