TD-01399-2016

1/7 Procedimiento Nº: TD/01399/2016 RESOLUCIÓN Nº.: R/02757/2016 Vista la reclamación formulada el 18 de mayo de 2016, ante esta Agencia, por D. C.C.C., contra la entidad SONY INTERACTIVE ENTERTAINMENT EUROPE LIMITED (SONY EUROPE LIMITED, SUCURSAL EN ESPAÑA), por no haber sido debidamente atendido su derecho de acceso. Realizadas las actuaciones procedimentales previstas en el artículo 117 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, se han constatado los siguientes, HECHOS PRIMERO: Con fecha 26 de enero de 2016, D. C.C.C. (en lo sucesivo, el reclamante) ejercitó el derecho de acceso a sus datos personales ante la entidad SONY INTERACTIVE ENTERTAINMENT EUROPE LIMITED, sin que su solicitud haya recibido la contestación legalmente establecida. SEGUNDO: En fecha 1 de abril de 2016, SNEE Network Operations (Sony Network Entertainment) contestó a la solicitud del reclamante, indicándole que se había dirigido a un departamento equivocado, y que debía dirigirse a Sony Computer Entertainment Europe Limited. TERCERO: Con fecha 18 de mayo de 2016, D. C.C.C. formuló reclamación de Tutela de Derechos, ante esta Agencia, contra la entidad SONY INTERACTIVE ENTERTAINMENT EUROPE LIMITED, por no haber sido debidamente atendido su derecho de acceso. CUARTO: Trasladadas sucesivamente la reclamación y los escritos de descargos que se produjeron en la tramitación de este expediente, y por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones: • Por parte de la entidad SONY EUROPE LIMITED, SUCURSAL EN ESPAÑA se indica que las solicitudes relacionadas con PlayStation Network tienen que ser tratadas con el departamento correspondiente de Sony Interactive Entertainment Europe Ltd. • La entidad SONY INTERACTIVE ENTERTAINMENT EUROPE LIMITED manifiesta que dicha entidad y su filial Sony Interactive Entertainment Network Europe Limited controlan el proceso de datos personales relacionados con el consumidor de productos y servicios de PlayStation. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Que a principio de este año, el reclamante se puso en contacto con ellos referente a un cambio no autorizado en los datos de su cuenta. Que el reclamante usó su dirección de c-electrónico de enlace con la policía para enviar su propia petición de acceso a la información del caso. Debido a que su dirección de c-electrónico es sólo para correspondencia con los cuerpos de policía, la petición del reclamante no se priorizó ni se trató conforme a su proceso normal. Que han tomado las siguientes medidas: Escribirán al reclamante para facilitar la información solicitada (excepto donde posiblemente pueda constituir los datos personales de otra persona). • El reclamante alega que ha intentado solicitar a SONY datos relativos a su cuenta, en donde se le niega el acceso a sus propios datos amparándose en la Ley de Protección de Datos. Adjunta copia de uno de los correos en donde lo solicita y la respuesta de la Empresa. Que en uno de los correos remitidos le indican que la dirección a la que tiene que escribir para solicitar dicha información es la siguiente: ...@..... Adjunta copia del mismo. Que el día 26 de enero de 2016 procede a ponerse en contacto con ese departamento. Adjunta copia del correo electrónico enviado. Que el día 1 de abril de 2016, cuando ya ha pasado más de un mes desde su correo, recibe una contestación por parte de SONY, informándole que el correo al que se ha dirigido es erróneo. Adjunta copia del mismo. Considera que no se le ha garantizado su derecho al acceso sobre sus datos personales y que la Empresa no ha tenido la diligencia debida en la custodia de los mismos. FUNDAMENTOS DE DERECHO PRIMERO: Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). SEGUNDO: El artículo 18.1 de la LOPD, señala que: “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 15 de la LOPD, dispone que: “1. El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento, el origen de dichos datos, así como las comunicaciones realizadas o que se prevén hacer de los mismos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 2. La información podrá obtenerse mediante la mera consulta de los datos por medio de su visualización, o la indicación de los datos que son objeto de tratamiento mediante escrito, copia, telecopia o fotocopia, certificada o no, en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. 3. El derecho de acceso a que se refiere este artículo sólo podrá ser ejercitado a intervalos no inferiores a doce meses, salvo que el interesado acredite un interés legítimo al efecto, en cuyo caso podrán ejercitarlo antes. ” CUARTO: El artículo 27 del Reglamento de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, regula el derecho de acceso en los siguientes términos: "1. El derecho de acceso es el derecho del afectado a obtener información sobre si sus propios datos de carácter personal están siendo objeto de tratamiento, la finalidad del tratamiento que, en su caso, se está realizando, así como la información disponible sobre el origen de dichos datos y las comunicaciones realizadas o previstas de los mismos. 2. En virtud del derecho de acceso el afectado podrá obtener del responsable del tratamiento información relativa a datos concretos, a datos incluidos en un determinado fichero, o a la totalidad de sus datos sometidos a tratamiento. No obstante, cuando razones de especial complejidad lo justifiquen, el responsable del fichero podrá solicitar del afectado la especificación de los ficheros respecto de los cuales quiera ejercitar el derecho de acceso, a cuyo efecto deberá facilitarle una realización una relación de todos ellos. 3. El derecho de acceso es independiente del que otorgan a los afectados las leyes especiales y en particular la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común." QUINTO: El artículo 25 del Reglamento de la LOPD, establece: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
2. a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
3. b)Petición en que se concreta la solicitud.
4. c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
5. d)Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. 4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber…” SEXTO: El artículo 29 del Reglamento de la LOPD, dispone lo siguiente: “1. El responsable del fichero resolverá sobre la solicitud de acceso en el plazo máximo de un mes a contar desde la recepción de la solicitud. Transcurrido el plazo sin que de forma expresa se responda a la petición de acceso, el interesado podrá interponer la reclamación prevista en el artículo 18 de la Ley Orgánica 15/1999, de 13 de diciembre. En el caso de que no disponga de datos de carácter personal de los afectados deberá igualmente comunicárselo en el mismo plazo 2. Si la solicitud fuera estimada y el responsable no acompañase a su comunicación la información a la que se refiere el artículo 27.1, el acceso se hará efectivo durante los diez días siguientes a dicha comunicación. 3. La información que se proporcione, cualquiera que sea el soporte en que fuere facilitada, se dará en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. Dicha información comprenderá todos los datos de base del afectado, los resultantes de cualquier elaboración o proceso informático, así como la información disponible sobre el origen de los datos, los cesionarios de los mismos y la especificación de los concretos usos y finalidades para los que se almacenaron los datos". SÉPTIMO: En el supuesto aquí analizado, ha quedado acreditado que el reclamante ejercitó su derecho de acceso ante la entidad demandada, y que, trascurrido el plazo establecido conforme a las normas antes señaladas, su solicitud no obtuvo la respuesta legalmente exigible. En este sentido, y al objeto de clarificar la intervención de las diferentes empresas del Grupo SONY que se mencionan en los Hechos y en el resto de la Resolución, es preciso dejar constancia de lo establecido en la Política de Privacidad de SONY, cuando señala: “Sony Europe Limited es la empresa del grupo Sony responsable del procesamiento de datos relacionados con las webs, servicios y productos de electrónica de consumo de Europa, por ejemplo, televisores BRAVIA, ordenadores VAIO y Sony Store online. Es una empresa registrada con sede social en Reino Unido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 Esta política explica los tipos de información que podemos recopilar y conservar, cómo se utiliza esa información y con quién podemos compartir los datos. Además establece la forma de ponerse en contacto para plantear cualquier pregunta o preocupación relacionada con esta información. Algunos servicios de Sony también disponen de su propia política de privacidad que proporciona detalles sobre el uso de la información por parte de dicho servicio. Dichas políticas específicas de los servicios podrán aplicarse de forma complementaria a esta política, o bien sustituirla.” “ B.B.B. ¿Cómo puedes acceder a tu información personal y cuáles son tus derechos? Si quieres una copia de la información personal que almacenamos sobre ti en nuestras bases de datos de clientes, ponte en contacto con nosotros siguiendo las directrices de la sección Contacto que aparece más adelante. Quizás te solicitemos que nos proporciones alguna prueba de tu identidad para poder verificar que eres tú mismo quien efectúa la solicitud. Es un añadido a tus derechos legales, que incluyen el derecho a acceder a una copia de tu información personal, el derecho a solicitar la eliminación o actualización de cualquier dato personal incorrecto y el derecho a poner objeciones, en algunos casos, a que procesemos tus datos personales. Puedes ejercitar estos derechos poniéndote en contacto siguiendo las directrices que se proporcionan en la sección Contacto que aparece más adelante. Si te preocupa el incumplimiento por nuestra parte de tus derechos legales o de la legislación sobre privacidad aplicable, puedes ponerte en contacto con la Oficina del Comisionado de Información (www.ico.gov.
6. uk)que es el organismo responsable de la protección de datos en el Reino Unido, lugar donde radica Sony Europe. También, si tu residencia se encuentra fuera del Reino Unido, puedes ponerte en contacto con el organismo que se encargue de la protección de datos en tu país.” “Contactar con Sony ¿Cómo puedes ponerte en contacto con Sony Europe al respecto de tu información personal? Si necesitas que te brindemos más ayuda o quieres hacer un comentario, puedes ponerte en contacto con nosotros de distintos modos: A.A.A.: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 /support/es/contacts/pim/email D.D.D.: Sony The Brooklands, Weybridge, Surrey, Reino Unido Europe Limited, Heights, KT13 0XW También puedes ponerte en contacto con nuestro Centro de información al cliente: Sony Europe Limited, Sucursal en España (C/...1) Barcelona” Por otra parte, en la Política de Privacidad y Cookies de PlayStation.com consta, en su apartado 10. Contacto, lo siguiente: “Legalmente, tienes derecho a saber qué información personal sobre ti almacena una organización y cómo es procesada. Si deseas saber qué información almacenamos actualmente sobre ti, ponte en contacto con dpo@scee.net en Data Protection Officer, Sony Interactive Entertainment Europe Limited, 10 Great Marlborough Street, London W1F 7LP, United Kingdom, indicando la dirección del website en la que te has registrado. Ten en cuenta que puede que te solicitemos alguna prueba de tu identidad y te carguemos una pequeña cuota administrativa.” A la vista de lo expuesto, procede estimar la presente reclamación de Tutela de Derechos. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por D. C.C.C. e instar a la entidad SONY INTERACTIVE ENTERTAINMENT EUROPE LIMITED para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita al reclamante certificación en la que se facilite el acceso completo a sus datos, o deniegue motivada y fundadamente el acceso solicitado. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 SEGUNDO: NOTIFICAR la presente resolución a D. C.C.C. y a la entidad SONY EUROPE LIMITED, SUCURSAL EN ESPAÑA, como establecimiento del responsable en España, para que dé traslado de la misma a SONY INTERACTIVE ENTERTAINMENT EUROPE LIMITED. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos, en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la Disposición Adicional Cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es