Çalışanın erişim talebinin karşılanmaması

1/66

 Expediente N.º: EXP202202415
IMI Reference: A56ID 336608

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes Antecedentes, Hechos Probados y Fundamentos de Derecho, la
Directora de la Agencia Española de Protección de Datos resuelve adoptar la presente
resolución de procedimiento sancionador.

TABLA DE CONTENIDO

ANTECEDENTES..........................................................................................................2
HECHOS PROBADOS................................................................................................10
FUNDAMENTOS DE DERECHO.................................................................................13
I Competencia.......................................................................................................... 14
II Cuestiones previas................................................................................................14
III Alegaciones aducidas...........................................................................................14
En relación con las alegaciones aducidas al acuerdo de inicio del presente
procedimiento sancionador, se procede a dar respuesta a las mismas según el
orden expuesto por GLOVO:................................................................................15
PRIMERA.- SOBRE LOS PROCESOS INTERNOS DE GLOVO......................15
SEGUNDA.- SOBRE LA FORMA DE SOLICITUD DEL DERECHO DE ACCESO
.......................................................................................................................... 17
TERCERA.- SOBRE EL CONOCIMIENTO DEL EJERCICIO DEL DERECHO Y
LA INMEDIATA ACTUACIÓN DE GLOVO. EL INCUMPLIMIENTO PUNTUAL DE
LOS PROCEDIMIENTOS INTERNOS POR PARTE DE EMPLEADOS
CONCRETOS Y LA DESPROPORCIONALIDAD DE LA SANCIÓN
PROPUESTA....................................................................................................19
CUARTA.- OTROS PROCEDIMIENTOS RELEVANTES..................................24
QUINTA.- SOBRE LA EVOLUCIÓN DE GLOVO...............................................25
En relación con las alegaciones aducidas a la propuesta de resolución del
presente procedimiento sancionador, se procede a dar respuesta a las mismas
según el orden expuesto por GLOVO:..................................................................25
PRIMERA.- SOBRE LOS SUCESOS ACAECIDOS EN LA GESTIÓN DE LA
SOLICITUD.......................................................................................................25
SEGUNDA.- SOBRE LA NO ATENCIÓN DEL DERECHO DE ACCESO..........31
TERCERA.- SOBRE LA APERTURA DE UN PROCEDIMIENTO
SANCIONADOR EN VEZ DE UNA TUTELA DE DERECHOS..........................36

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/66

CUARTA.- SOBRE LA FALTA DE TRASLADO DE LA RECLAMACIÓN AL
DELEGADO DE PROTECCIÓN DE DATOS.....................................................43
QUINTA.- SOBRE LA CULPABILIDAD O NEGLIGENCIA DE GLOVO.............44
SEXTA.- SOBRE LAS CIRCUNSTANCIAS AGRAVANTES...............................56
IV Derecho de acceso del interesado.......................................................................60
V Tipificación y calificación de la infracción del artículo 15 del RGPD......................62
VI Sanción por la infracción del artículo 15 del RGPD..............................................63
la Directora de la Agencia Española de Protección de Datos RESUELVE:..................64

ANTECEDENTES

PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 30 de septiembre de
2021 interpuso reclamación ante la Urząd Ochrony Danych Osobowych, autoridad de
protección de datos de Polonia. La reclamación se dirige contra GLOVOAPP23, S.A.
con NIF A66362906 (en adelante, GLOVO). Los motivos en que basa la reclamación
son los siguientes:

La parte reclamante solicitó a GLOVO la grabación de su conversación con una
***PUESTO.1 de GLOVO el día 19 de agosto, la hora en que la parte reclamante entró
en la aplicación de GLOVO ese mismo día, la información sobre la cancelación de un
pedido realizado ese mismo día incluyendo las decisiones tomadas por los empleados
de GLOVO y su motivación, y el horario de trabajo de ese mismo día con los cambios
hechos por el sistema y por los empleados. La parte reclamante solicitó esta
información basándose en el artículo 15 del Reglamento General de Protección de
Datos (RGPD), a lo que GLOVO contestó denegando el acceso a la conversación.

Junto con la reclamación se aporta:

- Impresión de un correo electrónico de fecha 19 de agosto de 2021 a las 14:31 horas
remitido por [email protected] a la parte reclamante en idioma
polaco con el siguiente contenido (traducción no oficial): “Gracias por contactar con
nosotros. Hemos recibido su comunicación y enviamos este mensaje
automáticamente para confirmarlo. Nuestro servicio al cliente contactará con usted a
la brevedad. Saludos!”.

Este correo responde a uno previo enviado por la parte reclamante el 19 de agosto
de 2021 a las 12:31 horas, con el siguiente contenido (en polaco el original,
traducción no oficial): “Buenos días por favor envíeme la conversación con (...),
B.B.B., a mi dirección de correo electrónico, ya que será la base de mi caso judicial,
si eso no sucede, le enviaré una orden judicial.”

- Impresión de un correo electrónico de fecha 19 de agosto de 2021 a las 15:30 horas
remitido por [email protected] a la parte reclamante en idioma
polaco, con el siguiente contenido (traducción no oficial): “Buenos días, gracias por
contactar con Glovo. Desafortunadamente, no podemos compartir con usted la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/66

conversación o sus fragmentos. Por favor, infórmenos cuál es su problema con
nuestra ***PUESTO.1. Saludos cordiales, Atención al cliente de Glovo”.

- Impresión de un correo electrónico de fecha 19 de agosto de 2021 a las 20:54 horas
remitido por la parte reclamante a [email protected] en idioma
polaco, con el siguiente contenido (traducción no oficial): “Entonces, en ese caso, su
consultor dijo que me bloquearon en rojo por no hacer nada durante 2 horas, y luego
me bloqueó por todo el día?”.

- Impresión de un correo electrónico de fecha 20 de agosto de 2021 a las 08:29 horas
remitido por [email protected] a la parte reclamante en idioma
polaco, con el siguiente contenido (traducción no oficial): “Buenos días, gracias por
contactar con Glovo. Le informamos que 15 minutos antes del inicio del bloqueo
usted recibe un recordatorio de check-in. Después debe confirmar su disposición a
trabajar durante las horas que se han reservado. Usted no confirmó que estaba listo
para trabajar, por lo que el sistema marcó automáticamente sus bloques en rojo. Si
necesita más soporte, le invitamos a ponerse en contacto con nosotros. Le
ayudaremos con placer. Atención al cliente de Glovo”.

- Impresión de un correo electrónico de fecha 23 de agosto de 2021 a las 14:16 horas
remitido por [email protected] a la parte reclamante, en idioma
polaco, con el siguiente contenido: “Buenos días, gracias por contactar con Glovo.
Se bloqueó una hora porque su contrato fue reasignado, el resto porque no hizo
check-in en la aplicación. Le informamos de que 15 minutos antes del inicio del
bloqueo usted recibe un recordatorio de check-in. Después debe confirmar su
disposición a trabajar durante las horas que se han reservado. Usted no confirmó
que estaba listo para trabajar, por lo que el sistema marcó automáticamente sus
bloques en rojo. Si necesita más soporte, le invitamos a ponerse en contacto con
nosotros. Le ayudaremos con placer. Atención al cliente de Glovo”.

- Impresión de un correo electrónico de fecha 26 de agosto de 2021 a las 09:56 horas
remitido por [email protected] a la parte reclamante en idioma
polaco, con el siguiente contenido (traducción no oficial): “Gracias por contactar con
nosotros. Hemos recibido su comunicación y enviamos este mensaje
automáticamente para confirmarlo. Nuestro servicio al cliente contactará con usted a
la brevedad. Saludos!”.

Este correo responde a uno previo enviado por la parte reclamante el 26 de agosto
de 2021 a las 07:56 horas, con el siguiente contenido (en polaco el original,
traducción no oficial): “Sobre la base del artículo 15 del RGPD, me gustaría solicitar
los siguientes datos:
- registro de conversación con (...) B.B.B. del 17 de agosto con tiempo por
minuto para cada frase de esta conversación
- la hora exacta en la que hice check-in el 17 de agosto en la aplicación junto
con las acciones tomadas por sus empleados que cambiaron estos datos
- información sobre el pedido cancelado desde ***DIRECCION.1 hasta
Biedronka de 17 de agosto, junto con el motivo de esta cancelación y las
acciones realizadas por sus empleados que cambiaron estos datos
- plan de trabajo del 17 de agosto con información minuto a minuto de sus
cambios por parte del sistema y sus empleados”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/66

- Impresión de un correo electrónico de fecha 26 de agosto de 2021 a las 20:09 horas
remitido por [email protected] a la parte reclamante en idioma
polaco, con el siguiente contenido (traducción no oficial): “Hola, A.A.A.! Gracias por
contactar con nosotros. Su caso fue transferido a otro departamento. Una vez que
tengamos una respuesta, se la transmitiremos. Esperamos que esta información sea
útil, porque estamos siempre intentando ocuparnos de dar la más alta calidad en
nuestro servicio. Puede contar con nosotros. Gracias por su confianza. Atención al
cliente de Glovo”.

- Impresión de un correo electrónico de fecha 3 de septiembre de 2021 a las 12:36
horas remitido por [email protected] a la parte reclamante en
idioma polaco, con el siguiente contenido (traducción no oficial): “Buenos días,
Lamentablemente, no podemos compartir dicha información con usted. ¿Puede
especificar qué es exactamente lo que está solicitando? Recordamos que la apertura
de varios chats puede ralentizar su tiempo de servicio. Le pedimos que utilice un
único chat para esta solicitud. Saludos, Equipo de Glovo Atención al cliente de
Glovo”.

- Impresión de un correo electrónico de fecha 3 de septiembre de 2021 a las 13:10
horas en que la parte reclamante envía a [email protected] una
contestación al anterior correo en idioma polaco, con el siguiente contenido
(traducción no oficial): “Estaba solicitando la información del día 19 de agosto (sin
embargo, cometí un error al escribir 17 de agosto). Sobre la base del artículo 15
RGPD quisiera solicitar la siguiente información:
- registro de conversación con (...) B.B.B. del 17 de agosto con tiempo por
minuto para cada frase de esta conversación
- la hora exacta en la que hice check-in el 17 de agosto en la aplicación junto
con las acciones tomadas por sus empleados que cambiaron estos datos
- información sobre el pedido cancelado desde ***DIRECCION.1 hasta
Biedronka de 17 de agosto, junto con el motivo de esta cancelación y las
acciones realizadas por sus empleados que cambiaron estos datos
- plan de trabajo del 17 de agosto con información minuto a minuto de sus
cambios por parte del sistema y sus empleados”.
Y la respuesta oficial de su empresa es que no puede proporcionar esa información,
no?”

- Impresión de pantalla de correo electrónico de fecha 6 de septiembre de 2021 a las
17:22 horas en el que [email protected] contesta al anterior
correo de la parte reclamante en idioma polaco, con el siguiente contenido
(traducción no oficial): “Buenos días, Como hemos mencionado anteriormente, no
podemos compartir dicha información. Saludos cordiales, Equipo de Glovo Atención
al Cliente de Glovo”.

SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo
Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo
y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer
la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados
miembros y el intercambio de información, se transmitió la citada reclamación el día 24
de febrero de 2022 y se le dio fecha de registro de entrada en la Agencia Española de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/66

Protección de Datos (AEPD) al día siguiente. El traslado de esta reclamación a la
AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento
(UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la
Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos
Personales y a la Libre Circulación de estos Datos (en lo sucesivo, RGPD), teniendo
en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar
como autoridad de control principal, dado que GLOVO tiene su sede social y
establecimiento principal en España.

Los tratamientos de datos que se llevan a cabo afectan a interesados en varios
Estados miembros. Según las informaciones incorporadas al Sistema IMI, de
conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de
“autoridad de control interesada”, además de la autoridad de protección de datos de
Polonia, las autoridades de Italia, Portugal y Francia. Todas ellas en virtud del artículo
4.22 del RGPD, dado que los interesados que residen en el territorio de estas
autoridades de control se ven sustancialmente afectados o es probable que se vean
sustancialmente afectados por el tratamiento objeto del presente procedimiento.

TERCERO: El 6 de junio de 2022 la AEPD solicita, a través del Sistema IMI, a la
autoridad de protección de datos de Polonia que envíe de nuevo la información
relevante del caso.

La autoridad de protección de datos de Polonia compartió a través del Sistema IMI, el
10 de junio de 2022 la documentación solicitada.

CUARTO: Con fecha 24 de junio de 2022, de conformidad con el entonces vigente
artículo 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos
Personales y garantía de los derechos digitales (LOPDGDD), se admitió a trámite la
reclamación presentada por la parte reclamante.

QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de
actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en adelante LOPDGDD), teniendo conocimiento de los
siguientes extremos:

1. El 15 de noviembre de 2022, se recibió en esta Agencia escrito de respuesta a
requerimiento de información, presentado en nombre de GLOVO, con número de
registro de entrada ***REFERENCIA.1, en el que se aportaba, entre otra, la siguiente
información:

a) Declaración de que la parte reclamante “… ha ejercido su derecho de acceso a
través de esta Agencia y que nunca antes Glovo había recibido su solicitud de derecho
de acceso a través de la dirección de correo electrónico habilitada a tal efecto, tal
como se indica en la Política de Privacidad vigente en el momento en que aquél
ejerció su derecho de acceso, a saber, el correo electrónico [email protected]”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/66

b) Indicación de que, cuando se recibió esta solicitud de acceso a través del
requerimiento de la AEPD, GLOVO trasladó la solicitud a su delegado de protección de
datos, que envió contestación a la parte reclamante el día 14 de noviembre de 2022
desde la dirección [email protected] adjuntando los 4 documentos que solicitaba la
parte reclamante en sus correos a Atención al Cliente de Glovo.

c) Se aporta copia de correo electrónico remitido por [email protected] a
***EMAIL.1 (que GLOVO indica que es la dirección de correo electrónico de la parte
reclamante), con fecha de 14 de noviembre de 2022 a las 7:30 horas PM, con el
siguiente contenido:

“Estimado Sr. A.A.A.:

36. confirmamos que hemos recibido su solicitud para ejercer su derecho de
acceso en relación con los datos personales, de conformidad con las leyes de
protección de datos aplicables (Reglamento UE 2016/679).

37. Nos complace informarle que después de analizar la información solicitada
y verificar su identidad de acuerdo con la información solicitada por la
Autoridad Española de Protección de Datos (la denominada ≪Autoridad de
Protección de Datos≫). Agencia Española de Protección de Datos), a través
de la Autoridad Polaca de Protección de Datos, facilitamos la siguiente
información junto con los documentos adjuntos:

1. Informe de la entrevista con (...) B.B.B. de 19.8.2021
38. Se adjunta una charla (documento 1).

2. Hora exacta de inicio de sesión en la aplicación el 19.8.2021 con una lista de
acciones tomadas por los empleados de Glovo

39. Adjunto a la solicitud de información (documento 2).

3. Información sobre la cancelación del pedido de Spring Square a Biedronka
el 19.8.2021 año en

40. Por favor, tenga en cuenta que por razones operativas tuvimos que
asignar proactivamente un pedido a otro mensajero para que el usuario
recibiera el pedido a su debido tiempo. Le informamos que después de un
largo tiempo sin ninguna actividad de su parte, tuvimos que asignar el
pedido a otro mensajero para recibir el producto a su debido tiempo (ver
Documento 3).

4. Horario de servicio de 19.8.2021

41. Se adjuntan las acciones realizadas en el sistema que indican su
calendario y las acciones emprendidas por Glovo en esa fecha (documento
4).

42. Esperamos que esta información sea útil.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/66

43. Tenga en cuenta que puede leer nuestra política de privacidad en
https://glovoapp.com/es/legal/privacy-couriers/

44. Teniendo en cuenta que Glovo participa en la protección de datos
personales, le recordamos que puede ejercer sus derechos de acceso,
rectificación, supresión, limitación del tratamiento, portabilidad de datos y
oposición en cualquier momento, utilizando el formulario disponible en la
Plataforma o enviando un correo electrónico a [email protected].
Alternativamente, en cualquier caso, puede ponerse en contacto con la
autoridad de protección de datos competente.

45. Equipo de Glovo”

d) Copia de un certificado de la empresa ***EMPRESA.1 en el que se indica que el
correo citado en el anterior punto fue enviado el 14 de noviembre de 2022 a las 19:31
horas y fue accedido por el destinatario el 14 de noviembre de 2022 a las 19:44 horas.
Este certificado también incorpora el contenido de los documentos adjuntos al correo.

e) Copia de la “POLITYKA PRYWATNOŚCI DLA KURIERÓW” [Traducción no oficial:
“Política de Privacidad para Mensajeros”] en idioma polaco de GLOVO. Dentro de esta
política de privacidad, en su sección 11, dedicada a los derechos de los interesados,
se indica que “Powyższe prawa mogą być wykonywane poprzez wysłanie wiadomości
e-mail na adres [email protected].” [Traducción no oficial: “Estos derechos pueden
ejercerse enviando un correo electrónico a [email protected].”].

2. El día 30 de marzo de 2023, la Subdirección General de Inspección de Datos realizó
una navegación por el sitio web https://web.archive.org obteniendo el contenido
histórico del día 13 de agosto de 2021 de la página web
https://glovoapp.com/pl/legal/privacy-couriers/, que contiene la política de privacidad
para mensajeros de GLOVO, obteniendo los siguientes resultados:

Dentro de la sección “11. Derechos de los interesados”, se indica que “Los derechos
antes mencionados podrán ser ejercitados mediante el envío de correo electrónico a la
dirección [email protected]”.

3. Según consulta realizada el día 30 de marzo de 2023 en el servicio Monitoriza de
Axesor (https://monitoriza.axesor.es/), GLOVO es un tipo de empresa “(...)” que, en el
año 2021, tuvo un volumen de negocio total anual global de ***CANTIDAD.1 €, y
contaba con ***CANTIDAD.2 empleados.

OCTAVO: Con fecha 16 de junio de 2023, la Directora de la AEPD adoptó un proyecto
de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido
en el artículo 60 del RGPD, ese mismo día se transmitió a través del sistema IMI este
proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían
cuatro semanas desde ese momento para formular objeciones pertinentes y
motivadas. El plazo de tramitación del presente procedimiento sancionador quedó
suspendido automáticamente durante estas cuatro semanas, de acuerdo con lo
dispuesto en el artículo 64.5 de la LOPDGDD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/66

Dentro del plazo a tal efecto, las autoridades de control interesadas no presentaron
objeciones pertinentes y motivadas al respecto, por lo que se consideró que todas las
autoridades estaban de acuerdo con dicho proyecto de decisión y estaban vinculadas
por éste, de conformidad con lo dispuesto en el apartado 6 del artículo 60 del RGPD.

NOVENO: Con fecha 17 de julio de 2023, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a GLOVO, con arreglo a
lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas (en adelante,
LPACAP), a fin de imponerle una multa de 15.000 euros, por la presunta infracción del
artículo 15 del RGPD, tipificada en el artículo 83.5 del RGPD, en el que se le indicaba
que tenía un plazo de diez días para presentar alegaciones.

Este acuerdo de inicio, que se notificó a GLOVO conforme a las normas establecidas
en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (LPACAP), fue recogido en fecha 17/07/2023 y 18/07/2023,
como consta en el acuse de recibo que obra en el expediente.

DÉCIMO: El 17 de julio de 2023, GLOVO presentó un escrito ante esta Agencia
comunicando que había recibido un aviso de una notificación postal remitida a esta
Agencia con “Identificador: ***REFERENCIA.2”, pero que no pudieron encontrarla.

También informaban que su actual domicilio se encontraba en Calle Llull, 108 08005
Barcelona y que la forma social de la entidad había cambiado a S.A., siendo su
denominación social correcta Glovoapp23, S.A.

DÉCIMO PRIMERO: Con fecha 17 de julio de 2023, GLOVO presentó un escrito a
través del cual solicitaba la ampliación del plazo para aducir alegaciones.

DÉCIMO SEGUNDO: Con fecha 19 de julio de 2023, se acordó la ampliación de plazo
instada hasta un máximo de cinco días, de acuerdo con lo dispuesto en el artículo 32.1
de la LPACAP.

El citado acuerdo se notificó a GLOVO en fecha 20 de julio de 2023, como consta en
el acuse de recibo que obra en el expediente.

DÉCIMO TERCERO: Con fecha 3 de agosto de 2023, se recibió en esta Agencia, en
tiempo y forma, escrito de GLOVO en el que aducía alegaciones al acuerdo de inicio.
En estas alegaciones, en síntesis, manifestaba que:

- Primera.- GLOVO dispone de abundantes procedimientos internos y de una cultura
de privacidad en su compañía y actuó de forma diligente y proactiva para velar por el
cumplimiento de protección de datos en toda la empresa.

- Segunda.- GLOVO había establecido expresamente que en todos los casos similares
al de la parte reclamante todas las solicitudes debían ser comunicadas a su
Departamento de Protección de Datos, pero la parte reclamante no utilizó los canales
destinados para ello.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/66

- Tercera.- 3.1. Se le dio respuesta a la parte reclamante con toda la información
requerida en cuanto se recibió el traslado de la reclamación por parte de esta Agencia.

3.2. GLOVO no ha actuado con dolo ni negligencia.

- Cuarta.- Se citan otros procedimientos relevantes de esta Agencia en que se resolvió
el archivo de actuaciones.

- Quinta.- GLOVO ha evolucionado muchísimo en materia de protección de datos
personales.

DÉCIMO CUARTO: Con fecha 16 de abril de 2024, el órgano instructor del
procedimiento dictó propuesta de resolución en la que propuso imponerle una multa de
15.000 euros a GLOVO, con arreglo a lo dispuesto en los artículos 63 y 64 de la
LPACAP, por la infracción del Artículo 15 del RGPD, tipificada en el Artículo 83.5 del
RGPD, en el que se le indicaba que tenía un plazo de diez días para presentar
alegaciones.

Esta propuesta de resolución, que se notificó a GLOVO conforme a las normas
establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (LPACAP), fue recogida en fecha 26 de abril
de 2024, como consta en el acuse de recibo que obra en el expediente.

DÉCIMO QUINTO: Con fecha 26 de abril de 2024, GLOVO presentó un escrito a
través del cual solicitaba la ampliación del plazo para aducir alegaciones.

DÉCIMO SEXTO: Con fecha 30 de abril de 2024, el órgano instructor del
procedimiento acordó la ampliación de plazo instada hasta un máximo de cinco días,
de acuerdo con lo dispuesto en el artículo 32.1 de la LPACAP.

El citado acuerdo se notificó a GLOVO ese mismo día, como consta en el acuse de
recibo que obra en el expediente.

DÉCIMO SÉPTIMO: Con fecha 17 de mayo de 2024, se recibió en esta Agencia, en
tiempo y forma, escrito de GLOVO en el que aducía alegaciones a la propuesta de
resolución. En estas alegaciones, en síntesis, manifestaba que:

- Primera.- GLOVO dispone de numerosas medidas técnicas y organizativas
destinadas a asegurar el cumplimiento de la normativa aplicable en materia de
protección de datos y, especialmente en relación con el caso que nos ocupa, la
atención de los derechos de los interesados.

- Segunda.- Se le dio respuesta a la solicitud del interesado. GLOVO realizó los
esfuerzos razonables para asegurar que los agentes del equipo de soporte al
repartidor pudieran identificar las solicitudes de ejercicio de derechos y bien
comunicarlas directamente al departamento de protección de datos, bien responder al
interesado la dirección donde dirigirse, esfuerzos que por un error humano no se
plasmaron en la realidad.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/66

- Tercera.- Sorprende a GLOVO que, habiendo dado respuesta al interesado primero
por chat, y posteriormente de forma oficial por parte del Departamento de Protección
de Datos, decida la Agencia proceder al inicio de un procedimiento sancionador sin
proponer la apertura de un procedimiento de tutela de derecho.

- Cuarta.- Sorprende a GLOVO que la AEPD no aplique en este caso la posibilidad que
ofrece la LOPDGDD de remitir cualquier reclamación al delegado de protección de
datos antes de resolver sobre la admisión a trámite de la misma, de conformidad con
el artículo 65.

-Quinta.- No procede considerar responsabilidad de GLOVO, por negligencia o por
culpa, la respuesta incorrecta o insuficiente al interesado que reclama.

- Sexta.- Solicita no se apliquen las agravantes alegadas por la AEPD y que se
considere como atenuante el hecho de que la AEPD haya sido conocedora de varias
reclamaciones por atención de derechos, sin que hubiera encontrado nunca ningún
hecho reprobable en la actuación de GLOVO.

De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:

HECHOS PROBADOS

PRIMERO: El 19 de agosto de 2021 a las 12:31 horas la parte reclamante envió un
correo electrónico a la dirección [email protected], con el
siguiente contenido (en polaco el original, traducción no oficial): “Buenos días por favor
envíeme la conversación con (...), B.B.B., a mi dirección de correo electrónico, ya que
será la base de mi caso judicial, si eso no sucede, le enviaré una orden judicial.”

El 19 de agosto de 2021 a las 14:31 horas la parte reclamante recibió un correo
electrónico desde la dirección [email protected] en idioma polaco
con el siguiente contenido (traducción no oficial): “Gracias por contactar con nosotros.
Hemos recibido su comunicación y enviamos este mensaje automáticamente para
confirmarlo. Nuestro servicio al cliente contactará con usted a la brevedad. Saludos!”.

SEGUNDO: El 19 de agosto de 2021 a las 15:30 horas la parte reclamante recibió un
correo electrónico desde la dirección [email protected] en idioma
polaco, con el siguiente contenido (traducción no oficial): “Buenos días, gracias por
contactar con Glovo. Desafortunadamente, no podemos compartir con usted la
conversación o sus fragmentos. Por favor, infórmenos cuál es su problema con
nuestra ***PUESTO.1. Saludos cordiales, Atención al cliente de Glovo”.

TERCERO: El 19 de agosto de 2021 a las 20:54 horas la parte reclamante envió un
correo electrónico a la dirección [email protected] en idioma
polaco, con el siguiente contenido (traducción no oficial): “Entonces, en ese caso, su
consultor dijo que me bloquearon en rojo por no hacer nada durante 2 horas, y luego
me bloqueó por todo el día?”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/66

CUARTO: El 20 de agosto de 2021 a las 08:29 horas la parte reclamante recibió un
correo electrónico desde la dirección [email protected] en idioma
polaco, con el siguiente contenido (traducción no oficial): “Buenos días, gracias por
contactar con Glovo. Le informamos que 15 minutos antes del inicio del bloqueo usted
recibe un recordatorio de check-in. Después debe confirmar su disposición a trabajar
durante las horas que se han reservado. Usted no confirmó que estaba listo para
trabajar, por lo que el sistema marcó automáticamente sus bloques en rojo. Si necesita
más soporte, le invitamos a ponerse en contacto con nosotros. Le ayudaremos con
placer. Atención al cliente de Glovo”.

QUINTO: El 23 de agosto de 2021 a las 14:16 horas la parte reclamante recibió un
correo electrónico desde la dirección [email protected] en idioma
polaco, con el siguiente contenido: “Buenos días, gracias por contactar con Glovo. Se
bloqueó una hora porque su contrato fue reasignado, el resto porque no hizo check-in
en la aplicación. Le informamos de que 15 minutos antes del inicio del bloqueo usted
recibe un recordatorio de check-in. Después debe confirmar su disposición a trabajar
durante las horas que se han reservado. Usted no confirmó que estaba listo para
trabajar, por lo que el sistema marcó automáticamente sus bloques en rojo. Si necesita
más soporte, le invitamos a ponerse en contacto con nosotros. Le ayudaremos con
placer. Atención al cliente de Glovo”.

SEXTO: El 26 de agosto de 2021 a las 09:56 horas la parte reclamante recibió un
correo electrónico desde la dirección [email protected] en idioma
polaco, con el siguiente contenido (traducción no oficial): “Gracias por contactar con
nosotros. Hemos recibido su comunicación y enviamos este mensaje
automáticamente para confirmarlo. Nuestro servicio al cliente contactará con usted a
la brevedad. Saludos!”.

Este correo responde a uno previo enviado por la parte reclamante el 26 de agosto de
2021 a las 07:56 horas, con el siguiente contenido (en polaco el original, traducción no
oficial): “Sobre la base del artículo 15 del RGPD, me gustaría solicitar los siguientes
datos:
- registro de conversación con (...) B.B.B. del 17 de agosto con tiempo por
minuto para cada frase de esta conversación
- la hora exacta en la que hice check-in el 17 de agosto en la aplicación junto
con las acciones tomadas por sus empleados que cambiaron estos datos
- información sobre el pedido cancelado desde ***DIRECCION.1 hasta
Biedronka de 17 de agosto, junto con el motivo de esta cancelación y las
acciones realizadas por sus empleados que cambiaron estos datos
- plan de trabajo del 17 de agosto con información minuto a minuto de sus
cambios por parte del sistema y sus empleados”.

SÉPTIMO: El 26 de agosto de 2021 a las 20:09 horas la parte reclamante recibió un
correo electrónico desde la dirección [email protected] en idioma
polaco, con el siguiente contenido (traducción no oficial): “Hola, A.A.A.! Gracias por
contactar con nosotros. Su caso fue transferido a otro departamento. Una vez que
tengamos una respuesta, se la transmitiremos. Esperamos que esta información sea
útil, porque estamos siempre intentando ocuparnos de dar la más alta calidad en

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/66

nuestro servicio. Puede contar con nosotros. Gracias por su confianza. Atención al
cliente de Glovo”.

OCTAVO: El 3 de septiembre de 2021 a las 12:36 horas la parte reclamante recibió un
correo electrónico desde [email protected] en idioma polaco, con
el siguiente contenido (traducción no oficial): “Buenos días, Lamentablemente, no
podemos compartir dicha información con usted. ¿Puede especificar qué es
exactamente lo que está solicitando? Recordamos que la apertura de varios chats
puede ralentizar su tiempo de servicio. Le pedimos que utilice un único chat para esta
solicitud. Saludos, Equipo de Glovo Atención al cliente de Glovo”.

NOVENO: El 3 de septiembre de 2021 a las 13:10 horas la parte reclamante envió un
correo electrónico a [email protected] una contestación al
anterior correo en idioma polaco, con el siguiente contenido (traducción no oficial):
“Estaba solicitando la información del día 19 de agosto (sin embargo, cometí un error
al escribir 17 de agosto). Sobre la base del artículo 15 RGPD quisiera solicitar la
siguiente información:
- registro de conversación con (...) B.B.B. del 17 de agosto con tiempo por
minuto para cada frase de esta conversación
- la hora exacta en la que hice check-in el 17 de agosto en la aplicación junto
con las acciones tomadas por sus empleados que cambiaron estos datos
- información sobre el pedido cancelado desde ***DIRECCION.1 hasta
Biedronka de 17 de agosto, junto con el motivo de esta cancelación y las
acciones realizadas por sus empleados que cambiaron estos datos
- plan de trabajo del 17 de agosto con información minuto a minuto de sus
cambios por parte del sistema y sus empleados”.
Y la respuesta oficial de su empresa es que no puede proporcionar esa información,
no?”

DÉCIMO: El 6 de septiembre de 2021 a las 17:22 horas la parte reclamante recibió un
correo electrónico desde la dirección [email protected], en
respuesta al anterior correo de la parte reclamante, en idioma polaco, con el siguiente
contenido (traducción no oficial): “Buenos días, Como hemos mencionado
anteriormente, no podemos compartir dicha información. Saludos cordiales, Equipo de
Glovo Atención al Cliente de Glovo”.

DÉCIMO PRIMERO: El 14 de noviembre de 2022 a las 19:31 horas se envió un correo
electrónico desde la dirección [email protected] a ***EMAIL.1, con el siguiente
contenido:

“Estimado A.A.A.:

confirmamos que hemos recibido su solicitud para ejercer su derecho de
acceso en relación con los datos personales, de conformidad con las leyes de
protección de datos aplicables (Reglamento UE 2016/679).

Nos complace informarle que después de analizar la información solicitada y
verificar su identidad de acuerdo con la información solicitada por la Autoridad
Española de Protección de Datos (la denominada ≪Autoridad de Protección
de Datos≫). Agencia Española de Protección de Datos), a través de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/66

Autoridad Polaca de Protección de Datos, facilitamos la siguiente información
junto con los documentos adjuntos:

1. Informe de la entrevista con (...) B.B.B. de 19.8.2021
Se adjunta una charla (documento 1).

2. Hora exacta de inicio de sesión en la aplicación el 19.8.2021 con una lista de
acciones tomadas por los empleados de Glovo

Adjunto a la solicitud de información (documento 2).

3. Información sobre la cancelación del pedido de Spring Square a Biedronka
el 19.8.2021 año en

Por favor, tenga en cuenta que por razones operativas tuvimos que asignar
proactivamente un pedido a otro mensajero para que el usuario recibiera el
pedido a su debido tiempo. Le informamos que después de un largo
tiempo sin ninguna actividad de su parte, tuvimos que asignar el pedido a
otro mensajero para recibir el producto a su debido tiempo (ver Documento
3).

4. Horario de servicio de 19.8.2021

Se adjuntan las acciones realizadas en el sistema que indican su calendario
y las acciones emprendidas por Glovo en esa fecha ( documento 4 ).

Esperamos que esta información sea útil.

Tenga en cuenta que puede leer nuestra política de privacidad en
https://glovoapp.com/es/legal/privacy-couriers/

Teniendo en cuenta que Glovo participa en la protección de datos personales,
le recordamos que puede ejercer sus derechos de acceso, rectificación,
supresión, limitación del tratamiento, portabilidad de datos y oposición en
cualquier momento, utilizando el formulario disponible en la Plataforma o
enviando un correo electrónico a [email protected]. Alternativamente, en
cualquier caso, puede ponerse en contacto con la autoridad de protección de
datos competente.

Equipo de Glovo”

Este correo electrónico fue accedido por el destinatario el 14 de noviembre de 2022 a
las 19:44 horas.

DÉCIMO SEGUNDO: En la “Política de Privacidad para Mensajeros” vigente en
septiembre de 2021, se indicaba que la dirección para ponerse en contacto con
GLOVO sobre cuestiones era enviando un correo electrónico a [email protected].

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/66

DÉCIMO TERCERO: Según consta en la diligencia de fecha 30 de marzo de 2023, en
el año 2021, GLOVO era una empresa de tipo “(...)” con un volumen de negocio total
anual global de ***CANTIDAD.1 €, y contaba con ***CANTIDAD.2 empleados.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con lo dispuesto en los artículos 58.2 y 60 del Reglamento (UE) 2016/679
del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección
de las personas físicas en lo que respecta al tratamiento de datos personales y a la
libre circulación de estos datos (RGPD), y según lo establecido en los artículos 47,
48.1, 64.2 y 68.1 y 68.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección
de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) es
competente para iniciar y resolver este procedimiento la Directora de la Agencia
Española de Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”

II
Cuestiones previas

En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que GLOVO
realiza la recogida y conservación de, entre otros, los siguientes datos personales de
personas físicas: nombre y apellido y correo electrónico, entre otros tratamientos.

GLOVO realiza esta actividad en su condición de responsable del tratamiento, dado
que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del
RGPD. Además, se trata de un tratamiento transfronterizo, dado que GLOVO está
establecida en España, si bien presta servicio a otros países de la Unión Europea.

El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos,
previstos en su artículo 4.23), en relación con la competencia de la autoridad de
control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de
control del establecimiento principal o del único establecimiento del responsable o del
encargado del tratamiento será competente para actuar como autoridad de control
principal para el tratamiento transfronterizo realizado por parte de dicho responsable o
encargado con arreglo al procedimiento establecido en el artículo 60. En el caso
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/66

examinado, como se ha expuesto, GLOVO tiene su establecimiento principal en
España, por lo que la Agencia Española de Protección de Datos es la competente para
actuar como autoridad de control principal.

Por su parte, el artículo 15 del RGPD regula el derecho de acceso del interesado a sus
datos personales.

III
Alegaciones aducidas

En relación con las alegaciones aducidas al acuerdo de inicio del presente
procedimiento sancionador, se procede a dar respuesta a las mismas según el orden
expuesto por GLOVO:

PRIMERA.- SOBRE LOS PROCESOS INTERNOS DE GLOVO

Alega GLOVO que dispone de sus propios procedimientos internos para velar por el
cumplimiento de la normativa de protección de datos personales en general y, en
particular, en relación con la atención de los derechos de protección de datos ejercidos
por los interesados, ya sean estos usuarios, partners o repartidores.

Indican ser conscientes de que los interesados que se relacionan con GLOVO pueden
interactuar directamente con sus canales de soporte o atención al cliente (customer
support) para aspectos relacionados con su privacidad y, en especial, para ejercer sus
derechos de protección de datos a pesar de que no sea el canal oficial para ello según
se informa en su política de privacidad.

Sin embargo, por la especial sensibilidad de estos casos y, especialmente, aquellos
casos que pueden tener un impacto en otras personas -como lo es el presente caso
donde la parte reclamante solicitó una transcripción de una conversación suya con
B.B.B. del equipo de Customer Support-, se estableció expresamente que en esos
casos todas las solicitudes deben ser comunicadas al Departamento de Protección de
Datos de GLOVO.

Se adjunta como prueba de ello, como DOCUMENTO 1, copia del protocolo de
actuación que los agentes encargados de prestar servicios de Customer Support, y
gestionado por el Departamento de Live Ops, debían seguir en caso de recibir
solicitudes de derechos GDPR como el presente caso.

En el citado documento aportado se indica que se trata de la “Versión 1- Válido desde
Febrero 2021” y en su apartado 5.1, se indica expresamente lo siguiente:

“5.1. Right of access by the data subject
User or Courier contact LiveOps and request his/her data.
If he/she is not in Glovo systems you should inform him/her that we are unable to
attend his request.
If he/she is in Glovo systems, LiveOps should redirect User or Courier to
[email protected] in order to assist this request, since the Legal Privacy Team
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/66

needs to reach out to Tech to obtain an Excel with personal details and order details as
well as reach out the specific Team in charge of chat conversations or call recordings
where applicable.”
(traducción no oficial: “5.1. Derecho de acceso por el interesado
El usuario o Repartidor contacta con LiveOps y solicita sus datos.
Si él o ella no está en los sistemas de Glovo, debe informarle que no podemos atender
su solicitud.
Si él o ella está en los sistemas de Glovo, LiveOps debe redirigir al Usuario o
Repartidor a [email protected] para poder atender su solicitud, dado que el Equipo
Legal de Privacidad necesita contactar con Tech para obtener un Excel con los
detalles personales y detalles de pedidos así como contactar con el Equipo específico
a cargo de las conversaciones del chat o grabaciones de llamadas en su caso”.)

Adicionalmente, en su apartado 6, se indica también lo siguiente:
“6. Relevant issues to take into account
In case of any doubt please, reach out to the Legal Privacy Team through
[email protected].
In case if support of other Glovo teams is needed (such as Tech, Risk Ops, etc)
please, reach out to the Legal Privacy Team through [email protected].
In accordance with Article 12 of the GDPR Glovo as data controller will provide User or
Courier with the requested information within one month of receipt of the request.
The unique official channels to exercise data subjects rights are [email protected]
and the form available here.”
(traducción no oficial: “6. Aspectos relevantes a tener en cuenta
En caso de duda, por favor contactar con el Equipo Legal de Privacidad a través de
[email protected].
En caso de que se requiera ayuda de otros equipos de Glovo (como Tech, Risk Ops,
etc) por favor contactar con el Equipo Legal de Privacidad a través de
[email protected].
De acuerdo con el artículo 12 del RGPD Glovo como responsable del tratamiento
proporcionará al Usuario o Repartidor la información solicitada en el plazo de un mes
desde la recepción de la solicitud.
Los únicos canales oficiales para ejercitar los derechos de los interesados son
[email protected] y el formulario disponible aquí”.)

Explica GLOVO que este protocolo, por un lado, indica en qué consisten los derechos
de acceso, rectificación, oposición, supresión, limitación y portabilidad. Por otro lado,
explica paso por paso cómo los agentes deben atender estos derechos. Y matiza que,
en caso de dudas, todos los agentes encargados de prestar servicios de Customer
Support están debidamente informados de la necesidad de remitir cualquier ejercicio
de derechos de protección de datos al canal de comunicación directo
[email protected], tal como consta en su política de privacidad.

Añade GLOVO que todos sus empleados, cuando se incorporan a la organización,
suscriben un documento llamado “PERSONAL DATA PROCESSING,
COMMUNICATIONS AND USE OF EQUIPMENT POLICY” (se acompaña como
DOCUMENTO 2 copia de dicho documento), el cual en su apartado 8 incluye un
capítulo específico que lleva por título “Guidelines for responding a petition of access,
cancellation, limitation, suppression, opposition or portability rights” que describe cómo
reaccionar ante un ejercicio de derechos de protección de datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/66

Alega GLOVO que el Departamento de Protección de Datos, además de gestionar la
cuenta [email protected], también tiene acceso a la cuenta [email protected]
para que pueda atender los derechos de protección de datos que los agentes
encargados de prestar servicios de Customer Support puedan redirigir a este correo.

Indica GLOVO que este documento fue aceptado y firmado por los tres agentes que
mantuvieron conversaciones con la parte reclamante. A modo de ejemplo, se aporta
como DOCUMENTO 3 las condiciones suscritas por uno de ellos.

No obstante, añade GLOVO que dichos agentes ya no prestan sus servicios en la
organización. Al respecto, se adjunta como DOCUMENTO 4 la declaración firmada por
el representante legal de Restaurant Partner Polska sp. z o.o. (en adelante, “Glovo
Polonia”), entidad filial de Glovo que opera en el mercado polaco y con la que los
agentes implicados en el caso de la parte reclamante dejaron de prestar sus servicios
para Glovo Polonia.

Destaca GLOVO que todos los agentes que prestan servicios Customer Support a sus
usuarios han sido formados en la gestión de derechos de protección de datos y deben
actuar conforme el protocolo de actuación aportado como DOCUMENTO 1.

Explica también que en abril de 2021 el Departamento de Protección de Datos de
GLOVO realizó una formación específica al Departamento de Live Ops, equipo
encargado de gestionar los agentes de Customer Support, donde explicó en qué
consiste Reglamento General de Protección de Datos, sus principios, por qué es tan
importante el cumplimiento de la normativa de privacidad y, en particular, la gestión de
los derechos de protección de datos de nuestros usuarios (repartidores incluidos) por
parte de los agentes. Se adjunta como DOCUMENTO 5 la formación realizada.

Así las cosas, concluye GLOVO que no cabe más que concluir que dispone de
abundantes procedimientos internos y de una cultura de privacidad en su compañía
formada por distintos protocolos, formaciones y directrices dirigidos a la protección de
datos personales. Por tanto, a su juicio, es más que evidente que actuó de forma
diligente y actúa de forma proactiva para velar por el cumplimiento de protección de
datos en toda la empresa a través de continuas formaciones obligatorias para todos
sus empleados.

Al respecto, esta Agencia desea señalar que, con independencia de las medidas
adoptadas por GLOVO, en el presente caso la parte reclamante realizó numerosas
comunicaciones solicitando su derecho de acceso a los datos sobre su persona,
incluso haciendo referencia al artículo 15 del RGPD, solicitud que no fue debidamente
atendida.

La propia GLOVO reconoce que los interesados pueden interactuar con otros canales
distintos al canal oficial que se informa en su política de privacidad e incluso tenía
indicado que los casos como el que da origen al presente procedimiento debían
comunicarse a su Departamento de Protección de Datos, lo cual no ha ocurrido.

Por lo que se desestima la presente alegación.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/66

SEGUNDA.- SOBRE LA FORMA DE SOLICITUD DEL DERECHO DE ACCESO

Alega GLOVO que la solicitud del derecho de acceso no se hizo por los canales
oficiales para ello, ya que no utilizó la dirección de correo que GLOVO tenía a
disposición de los interesados en la fecha en que se solicitó el ejercicio de derecho
([email protected]).

Asimismo, indica que todos los repartidores de GLOVO -y, por consecuencia, la parte
reclamante- deben aceptar expresamente los términos y condiciones aplicables a
repartidores y la política de privacidad en el momento de crearse una cuenta en su
plataforma. Se acompaña como DOCUMENTO 6 capturas de pantalla acreditativas de
dicho extremo (el documento está redactado en polaco).

Añade GLOVO que todos los repartidores tienen a su disposición, mediante la web o
la aplicación móvil, un apartado en el que acceder a las condiciones legales y de
privacidad. En el caso de los repartidores, los canales de atención son destinados,
exclusivamente, a: accidentes u ofensas, cuestiones relativas a los envíos, relativas a
las ganancias o incidentes con la aplicación.

También explica GLOVO que en la propia app o web los repartidores pueden acceder
a su perfil de usuario, donde se encuentran permanentemente accesibles tanto los
términos y condiciones de la APP como la política de privacidad aplicable, la cual
incluye toda la información sobre cómo ejercitar los derechos.

Por tanto, alega GLOVO que, sin querer justificar el comportamiento de los agentes
que atendieron a la parte reclamante que no fue conforme a las políticas internas de
GLOVO, tampoco cabe ignorar que la parte reclamante no utilizó los canales
esperados para el ejercicio de los derechos.

Y que lo anterior es relevante porque, teniendo en cuenta que se trataba de una
persona con una mínima sensibilidad hacia la protección de datos, suficiente como
para exponer directamente el artículo 15 del RGPD para solicitar el acceso a sus datos
personales, no pareció interesado en ningún momento en buscar los canales oficiales
para solicitar la información cuando no la obtuvo por parte de customer care. En
ningún momento el interesado se puso en contacto con el Departamento de Protección
de Datos de GLOVO.

En este sentido, entiende GLOVO que efectivamente las empresas deben atender los
derechos por cualquier canal que utilice el interesado, pero esta obligación debe
modularse, por un lado porque no cualquier correo de una compañía debe ser hábil
para recibir este tipo de solicitudes sujetas a plazo de respuesta, ni teniendo la
empresa canales oficiales para el ejercicio de derechos pueden los interesados
ignorarlos para interponer reclamaciones o realizar solicitudes en cualquier canal,
sabiendo claramente dónde deben dirigirse para ello.

En definitiva, alega que no puede exigirse a las compañías una diligencia que puede
llegar al absurdo. Si se pudiera aceptar cualquier tipo de ejercicio de derechos de
cualquier manera, se podría llegar al absurdo de que un usuario pudiera requerir al
mismo repartidor que hace entrega de su pedido que eliminara sus datos de la
aplicación. Todas las organizaciones tienen distintos empleados o colaboradores para
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/66

distintas funciones y no es de ningún modo de recibo que se exija a cualquier
empleado o colaborador que tenga autoridad ni capacidad para gestionar derechos de
interesados; esto supondría un indiscriminado acceso a datos de usuarios que
atentaría gravemente contra toda normativa de protección de derechos personales.

En el presente caso, entiende GLOVO que la misma diligencia que se le solicita para
atender cualquier solicitud en cualquier canal, debe solicitarse también a un interesado
que conoce suficientemente el RGPD como para citar artículos concretos (tal y como
se desprende de las comunicaciones mantenidas), y por tanto debería ponderarse
hasta qué punto era también obligación del interesado informarse de los canales que
GLOVO pone expresamente a su disposición para el ejercicio de sus derechos y hacer
uso de ellos.

Al respecto, esta Agencia desea señalar que en el presente caso la parte reclamante
realizó su solicitud de acceso a sus datos personales a través del canal que GLOVO
pone a disposición para atender las consultas de los repartidores, precisamente. No se
trata de que la parte reclamante hubiera realizado su solicitud a “cualquier empleado o
colaborador”, sino que se dirigió al canal específicamente previsto para que los
repartidores pudieran dirigir sus consultas y peticiones.

De hecho, la propia GLOVO ya preveía que tales solicitudes pudieran ser dirigidas a
través de este canal, razón por la que su propio protocolo indicaba que debían
redirigirse al departamento correspondiente para poder ser atendidas debidamente.
Incluso GLOVO reconoce que los propios agentes que interactuaron con la parte
reclamante no actuaron conforme lo indicaba el propio protocolo de GLOVO.

En cualquier caso, GLOVO no puede pretender que una mayor diligencia y
conocimiento de la protección de datos personales por parte de quien solicita un
ejercicio de derechos se convierta en un nivel mayor de exigencia para él que respecto
a otros usuarios.

Por lo expuesto, se desestima la presente alegación.

TERCERA.- SOBRE EL CONOCIMIENTO DEL EJERCICIO DEL DERECHO Y LA
INMEDIATA ACTUACIÓN DE GLOVO. EL INCUMPLIMIENTO PUNTUAL DE LOS
PROCEDIMIENTOS INTERNOS POR PARTE DE EMPLEADOS CONCRETOS Y LA
DESPROPORCIONALIDAD DE LA SANCIÓN PROPUESTA

3.1. El conocimiento del ejercicio del derecho por parte de la parte reclamante y la
reacción inmediata de Glovo

Alega GLOVO que el Departamento de Protección de Datos responsable de todos los
aspectos relacionados con la privacidad de los interesados no tuvo en ningún
momento conocimiento del derecho de acceso ejercitado por la parte reclamante hasta
que la propia AEPD lo puso en conocimiento de la compañía el 11 de octubre de 2022.

Y que en ese mismo instante, y tras revisar detenidamente el caso, se procedió a
contestar de forma inmediata la solicitud de la parte reclamante proporcionándole

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/66

acceso a toda la información relevante, incluida la transcripción de la conversación
mencionada.

Tras el envío de la información al interesado, no ha habido ninguna otra queja o
reclamación por la parte reclamante, ni se ha tenido conocimiento de ningún
procedimiento judicial o extrajudicial iniciado por éste, a pesar de indicar éste
expresamente que era la razón por la que solicitaba la información.

Así las cosas, entiende que debe tenerse en cuenta que, a pesar de tener protocolos y
procedimientos internos debidamente implementados en la organización, en este caso
concreto de la parte reclamante, los agentes encargados de prestar servicios de
Customer Support no cumplieron con el proceso establecido.

Al respecto, esta Agencia no tiene más que añadir a lo ya expuesto: que no se le
proporcionó debido acceso a la parte reclamante hasta que no intervino esta Agencia y
que la solicitud de acceso no se redirigió debidamente al departamento indicado para
ello. El hecho de que la parte reclamante presentara (o no) otra queja o reclamación o
hubiera iniciado un procedimiento judicial o extrajudicial resulta, a los fines del
presente procedimiento sancionador, irrelevante.

El considerando (59) del RGPD dispone que: “Deben arbitrarse fórmulas para facilitar
al interesado el ejercicio de sus derechos en virtud del presente Reglamento, incluidos
los mecanismos para solicitar y, en su caso, obtener de forma gratuita, en particular, el
acceso a los datos personales y su rectificación o supresión, así como el ejercicio del
derecho de oposición. El responsable del tratamiento también debe proporcionar
medios para que las solicitudes se presenten por medios electrónicos, en particular
cuando los datos personales se tratan por medios electrónicos. El responsable del
tratamiento debe estar obligado a responder a las solicitudes del interesado sin
dilación indebida y a más tardar en el plazo de un mes, y a explicar sus motivos en
caso de que no fuera a atenderlas”.

En este sentido, no cabe entender que solamente serán atendidas aquellas solicitudes
de ejercicio de derechos que se realicen únicamente a través de los cauces
establecidos por los responsables de tratamiento en sus políticas de privacidad. Más
bien al contrario, cada responsable de tratamiento tiene la facultad de organizarse
como mejor considere, siempre que se proporcione respuesta satisfactoria al ejercicio
de los derechos que soliciten los interesados, en el plazo legalmente previsto. Pero la
organización que hubiera previsto este responsable de tratamiento no puede ser óbice
para la satisfacción de un derecho que le reconoce a los interesados el RGPD.

En el presente caso, GLOVO había decidido centralizar todas las solicitudes de
ejercicios de derechos relativas en la dirección [email protected]. Ahora bien, el
hecho de que una solicitud determinada se dirija a través de un canal distinto no
implica que no se deba darle debida respuesta, en tanto que responsable del
tratamiento en cuestión.

En el presente caso, no puede negarse que al comunicarse a través del canal previsto
para la atención de incidencias de los repartidores la parte reclamante podía esperar
razonablemente que su solicitud fuera atendida. Es más, parece razonable a los ojos
de esta Agencia que la parte reclamante se comunicara con GLOVO a través de este
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/66

canal, que es el especialmente previsto para las solicitudes de los repartidores. Al
contrario, esta Agencia considera que, en todo caso, era obligación de GLOVO
atender debidamente la solicitud de la parte reclamante, ya sea que el servicio de
atención al cliente (al repartidor) reenviara dicha solicitud a través de los canales
pertinentes al departamento dedicado a este tipo de solicitudes, o como mejor
considerara.

En este sentido, en el apartado 53 de las citadas Directrices 01/2022 sobre los
derechos de los interesados- Derecho de acceso, el EDPB “…anima a los
responsables de tratamiento a que proporcionen los canales de comunicación más
adecuados y fáciles de usar, de conformidad con el artículo 12, apartado 2, y el
artículo 25, para permitir que el interesado realice una solicitud efectiva. No obstante,
si el interesado realiza una solicitud a través de un canal de comunicación
proporcionado por el responsable de tratamiento que es diferente de la indicada como
preferible, la solicitud se considerará, en general, eficaz y el responsable del
tratamiento deberá tramitar dicha solicitud en consecuencia (véanse los ejemplos a
continuación). Los responsables de tratamiento deben realizar todos los esfuerzos
razonables para asegurarse de que se facilita el ejercicio de los derechos del
interesado (por ejemplo, en caso de que el interesado envíe los datos la solicitud a un
empleado que está de permiso, un mensaje automático informando al interesado
sobre un canal de comunicación alternativo para su solicitud podría ser un esfuerzo
razonable).”

Por tanto, esta Agencia insiste en que el canal utilizado en el presente caso por la
parte reclamante, canal que la misma GLOVO proporciona a los repartidores como
medio idóneo para ponerse en contacto con ella, es un medio perfectamente válido
para solicitar el ejercicio de los derechos reconocidos en el RGPD por parte de los
repartidores. Y que era obligación de GLOVO atender debidamente tal solicitud,
reenviando la solicitud al Departamento que la empresa determinó como el más
idóneo para dar debida respuesta, en su caso, o como mejor considerara la empresa.
De hecho, la propia GLOVO reconoce en sus alegaciones que ya preveía que tales
solicitudes pudieran ser dirigidas a través de este canal, razón por la que su propio
protocolo indicaba que debían redirigirse al departamento correspondiente para poder
ser atendidas debidamente. Y es que la propia GLOVO reconoce que los propios
agentes que interactuaron con la parte reclamante no actuaron conforme lo indicaba el
propio protocolo de GLOVO.

El apartado 56 de las citadas Directrices citan como ejemplo un caso en el que “un
responsable de tratamiento X proporciona, en su página web y en su política de
privacidad, dos correos electrónicos – el correo electrónico general del responsable de
tratamiento: [email protected] y el correo electrónico del punto de contacto de
protección de datos del responsable de tratamiento: [email protected]. De forma
adicional, el responsable de tratamiento X indica en su página web que para enviar
cualquier consulta o solicitud respecto al tratamiento de datos personales, se debe
contactar con el punto de contacto de protección de datos al correo electrónico
indicado. Sin embargo, el interesado envía una solicitud al correo electrónico general
del responsable de tratamiento: [email protected]. En este caso, el responsable de
tratamiento debe realizar todos los esfuerzos razonables para que sus servicios
conozcan de la solicitud, la cual fue realizada a través del correo electrónico general,
para que se pueda redirigir al punto de contacto de protección de datos y sea
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/66

respondida dentro del plazo establecido por el RGPD. Es más, el responsable de
tratamiento no puede extender el plazo para responder a la solicitud, solamente
porque el interesado ha enviado una solicitud al correo electrónico general del
responsable de tratamiento y no al punto de contacto de protección de datos.”

Al respecto, esta Agencia entiende que precisamente el primer ejemplo del apartado
56 de las citadas Directrices es el supuesto que se dio en el presente caso. El
interesado (la parte reclamante) ha enviado su solicitud de acceso mediante un canal
genérico proporcionado por la empresa a la que se dirige. Por tanto, el responsable de
tratamiento (GLOVO) debió realizar todos los “esfuerzos razonables para que sus
servicios conozcan de la solicitud, la cual fue realizada a través del correo electrónico
general, para que se pueda redirigir al punto de contacto de protección de datos y sea
respondida dentro del plazo establecido por el RGPD”, tal y como indican las citadas
Directrices, para que tal solicitud fuera redirigida al punto de contacto de protección de
datos que correspondiera, a fin de poder atenderla en el plazo establecido por el
RGPD. Por tanto, esta Agencia considera que sí que la parte reclamante podía
“esperar razonablemente” que su solicitud fuera atendida.

Por todo lo expuesto, se desestima la presente alegación.

3.2. Inexistencia de negligencia de Glovo, incumplimiento de los agentes y
desproporción de la sanción

Alega GLOVO que es una compañía preocupada por la privacidad de los interesados
que se relacionan con ella, y a tales efectos ha implementado textos legales y políticas
de privacidad que proporcionan información detallada sobre los tratamientos de datos
realizados, así como los canales de atención a cuestiones relacionadas con la
privacidad y el ejercicio de derechos.

Asimismo, indica que dispone de procedimientos internos orientados a garantizar que
un equipo especializado, responsable de asegurar el cumplimiento de la normativa,
gestiona correctamente todas las dudas, quejas, reclamaciones y ejercicios de
derechos de los interesados.

En este sentido, explica que se ha priorizado esta centralización respecto de una
potencial mala gestión por parte de un departamento no especializado como lo es el
de atención al cliente (Customer Support), cuya función es la resolución de incidencias
en la prestación del servicio.

Alega que en el caso específico del derecho de acceso de la parte reclamante no
puede decirse que haya habido intencionalidad o negligencia en la actuación de
GLOVO. La compañía ha diseñado un mecanismo específico y especializado para la
atención de estos casos, proporciona formación a todos sus empleados, sobre
protección de datos en general, y de gestión de derechos en particular. Por ello,
entiende que no puede negarse que los empleados de GLOVO conocen la existencia
de un procedimiento específico. Y que el incumplimiento de los procedimientos
internos de la compañía por parte de empleados concretos, que realizan una mala
interpretación sobre cómo atender la reclamación, no puede atribuirse en este caso,
bajo ninguna premisa, en una negligencia o intencionalidad de GLOVO al respecto.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/66

Alega GLOVO que, sin contar las solicitudes de ejercicio de derechos gestionadas
directamente por el Departamento de Customer Support, el Departamento de
Protección de Datos ha gestionado 2182 solicitudes de ejercicio de derechos de los
interesados en 2021, 6396 en 2022 y 1970 en lo que llevamos del año 2023.

Por tanto, insiste en que los procedimientos implementados por GLOVO son
conocidos, funcionan y son efectivos. Explica que el presente caso depende
exclusivamente del incumplimiento de estos procedimientos por parte de empleados
concretos, incumplimiento que entendemos no puede atribuirse de ninguna forma a
GLOVO, que ha realizado, a su juicio, todos los esfuerzos necesarios y razonables
para asegurar la correcta atención de derechos, incluso cuando el interesado no utiliza
los canales específicos de que dispone para ello.

Asimismo, GLOVO destaca que la gestión del caso con la parte reclamante no fue en
ningún caso amigable, habiendo faltado al respeto a la primera interlocutora con la que
trató, lo que pudo afectar la forma en la que los siguientes agentes encargados de
prestar servicios de Customer Support se comunicaron y en cómo gestionaron sus
peticiones (lo que en ningún caso se aprueba desde GLOVO).

Atendido lo anterior, a GLOVO le parece injusto y desproporcionado que, siendo
diligente, responsable y sensible en materia de protección de datos, se le pretenda
sancionar con una cantidad tan elevada (15.000 €) por solamente no atender, a ojos
de esta Agencia, incorrectamente un derecho de acceso, en el que quien ha fallado ha
sido unos agentes del Departamento de Customer Support, y que ni siquiera están ya
en la organización porque se tomaron las medidas pertinentes al tener conocimiento
de estos hechos.

Al respecto, esta Agencia desea señalar que no basta con que el responsable del
tratamiento (en este caso, GLOVO) disponga de unos protocolos de actuación para
eliminar la intencionalidad o negligencia en su actuación. Sino que es obligación del
responsable del tratamiento que tales protocolos sean conocidos y seguidos por todos
sus empleados.

Es más, la actuación negligente del empleado no exime de responsabilidad a GLOVO.
La responsabilidad de la empresa en el ámbito sancionador por la actuación
negligente de un empleado que suponga el incumplimiento de la normativa de
protección de datos ha sido confirmada por la jurisprudencia del Tribunal Supremo. A
este respecto, cabe indicar que la Sentencia del Tribunal Supremo núm. 188/2022
(Sala de lo Contencioso, Sección 3ª), de 15 de febrero de 2022 (rec. 7359/2020)
señala en su Fundamento de Derecho Cuarto: “El hecho de que fuese la actuación
negligente de una empleada no le exime de su responsabilidad en cuanto encargado
de la correcta utilización de las medidas de seguridad que deberían haber garantizado
la adecuada utilización del sistema de registro de datos diseñado. Como ya
sostuvimos en la STS nº 196/2020, de 15 de febrero de 2021 (rec.
1***CANTIDAD.2/2020) el encargado del tratamiento responde también por la
actuación de sus empleados y no puede excusarse en su actuación diligente,
separadamente de la actuación de sus empleados, sino que es la actuación "culpable"
de éstos, consecuencia de la violación de las medidas de seguridad existentes la que
fundamenta la responsabilidad de la empresa en el ámbito sancionador por actos
"propios" de sus empleados o cargos, no de terceros.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/66

Continúa la sentencia argumentando acerca de la de la responsabilidad de las
personas jurídicas en nuestro ordenamiento: “…Sencillamente sucede que, estando
admitida en nuestro Derecho Administrativo la responsabilidad directa de las personas
jurídicas, a las que se reconoce, por tanto, capacidad infractora, el elemento subjetivo
de la infracción se plasma en estos casos de manera distinta a como sucede respecto
de las personas físicas, de manera que, como señala la doctrina constitucional que
antes hemos reseñado -SsTC STC 246/1991, de19 de diciembre (F.J. 2) y 129/2003,
de 30 de junio (F.J. 8)- la reprochabilidad directa deriva del bien jurídico protegido por
la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz
y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta
al cumplimiento de dicha norma." (el subrayado es de esta Agencia).

Por tanto, en el presente caso, el hecho de que los empleados hubieran (o no) actuado
fuera de lo establecido por el protocolo de GLOVO no exime a ésta de su
responsabilidad por su actuación.

En cualquier caso, en ningún momento esta Agencia ha atribuido responsabilidad a
GLOVO por la infracción del artículo 15 del RGPD a título de dolo, sino que se ha
considerado que su accionar respecto de la presente reclamación ha sido gravemente
negligente.

Por lo que se desestima la presente alegación.

CUARTA.- OTROS PROCEDIMIENTOS RELEVANTES

GLOVO considera oportuno mencionar distintas resoluciones de la AEPD vinculadas a
su actividad en la atención de derechos:

1) EXP202305625: Archivo de actuaciones en relación con un ejercicio de supresión
de datos.
2) EXP202301329: Archivo de actuaciones en relación con un ejercicio de supresión
de datos.
3) E/00917/2021: Archivo de actuaciones en relación con una supresión/modificación
de datos.

Alega GLOVO que, en los tres supuestos, el ejercicio efectivo del derecho fue
extemporáneo, debido a distintas razones que impidieron inicialmente su gestión.
Aunque se trate de casos cuyo origen y finalidad sean distintos, son atribuibles a
errores que no dependían de las políticas y procedimientos implementados por
GLOVO, como el presente caso, y sin embargo en todos los casos la AEPD optó por el
archivo de actuaciones y no por iniciar un procedimiento sancionador.

Y añade GLOVO que la resolución efectiva de este caso es la misma que en los
anteriores, siendo que, en el momento que GLOVO ha tenido conocimiento del caso,
ha procedido inmediatamente a atender el derecho ejercido por la parte reclamante,
por lo que entiende que la resolución del caso por parte de la AEPD debería haber
sido el mismo que en las situaciones anteriores.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/66

Al respecto, esta Agencia desea destacar que la propia GLOVO reconoce que se trata
de casos con un origen y finalidad distinta del caso que da origen al presente
procedimiento sancionador.

Además, los casos citados por GLOVO habían sido admitidos a trámite al haber
transcurrido más de tres meses desde su recepción (con una diferencia de días), en
virtud del artículo 65 de la vigente LOPDGDD, pero su archivo se debió a que en
respuesta al citado traslado, en virtud de las facultades discrecionales que esta
Agencia ostentaba, se consideró ajustado a derecho no iniciar procedimiento
sancionador alguno. Pero ello no le impide a esta Agencia iniciar las debidas
actuaciones previas de investigación o un procedimiento sancionador, a fin de
determinar la posible existencia de una infracción al RGPD en el ámbito de sus
competencias.

En cualquier caso, con independencia de las posibles decisiones que se hubiera
adoptado con anterioridad ante una reclamación presentada ante esta Agencia, en el
presente supuesto se trata de una reclamación presentada por un ciudadano de un
Estado Miembro de la Unión Europea, por la realización de un tratamiento
transfronterizo realizado por un responsable del tratamiento ubicado en otro Estado
Miembro, que afecta a ciudadanos de más de un Estado Miembro de la Unión
Europea. Por tanto, el artículo 60 del RGPD obliga a los citados Estados Miembros a
alcanzar un consenso en cuanto a la posible decisión que se adopte respecto de tal
reclamación. En el presente caso, se ha seguido el procedimiento así establecido en el
RGPD y se ha alcanzado un acuerdo con todas las autoridades involucradas, de iniciar
un procedimiento sancionador a GLOVO, con el alcance que consta en el presente
documento.

Por lo que se desestima la presente alegación.

QUINTA.- SOBRE LA EVOLUCIÓN DE GLOVO

Alega GLOVO que los hechos sobre los que la AEPD se basa para imponer la sanción
propuesta son de fecha agosto y septiembre de 2021.

Y que desde que se iniciaron las primeras interacciones con esta Agencia, GLOVO ha
evolucionado muchísimo, incrementando los miembros de su Departamento de
Protección de Datos, mejorando y adaptando los protocolos, medidas (tanto legal,
técnicas como organizativas), directrices y procedimientos que ya constaban
implementados en su organización, así como, creando de nuevos.

Todo ello con el objetivo de seguir velando por la protección de los datos personales
de los repartidores, además de otras categorías de interesados cuyos datos trata.

Añade como prueba de esto que la Delegada de Protección de Datos de GLOVO ha
sido pre-seleccionada en la categoría “Best Privacy Culture Improvement Award” de
los prestigiosos PICCASO Privacy Awards Europe. Y que recientemente GLOVO ha
devenido empresa colaboradora de la prestigiosa Asociación Profesional Española de
Privacidad, lo cual muestra un firme y claro compromiso de GLOVO con la privacidad
de sus usuarios y, en definitiva, de sus repartidores.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/66

Al respecto, esta Agencia desea señalar que no es objeto del presente procedimiento
los posibles premios y reconocimientos con que pudiera o no contar GLOVO o su
Delegada de Protección de Datos, sino que se trata de determinar en el caso concreto
si la actuación de GLOVO ha podido infringir lo dispuesto en el artículo 15 del RGPD.

Por lo que se desestima la presente alegación.

En relación con las alegaciones aducidas a la propuesta de resolución del presente
procedimiento sancionador, se procede a dar respuesta a las mismas según el orden
expuesto por GLOVO:

PRIMERA.- SOBRE LOS SUCESOS ACAECIDOS EN LA GESTIÓN DE LA
SOLICITUD

Alega GLOVO que dispone de numerosas medidas técnicas y organizativas
destinadas a asegurar el cumplimiento de la normativa aplicable en materia de
protección de datos y, especialmente, la atención de los derechos de los interesados.

Se sorprende de que la AEPD se limite, a su juicio, a concluir que la solicitud no fue
debidamente atendida “con independencia de las medidas adoptadas” por GLOVO,
dejando sin efecto todas estas medidas como si no existieran.

Indica GLOVO que dichas medidas no solo existen, si no que se muestran efectivas en
la gran mayoría de los casos recordándose que ha gestionado 2182 solicitudes de
ejercicio de derechos de los interesados en 2021, 6396 en 2022, 3059 en 2023, y 329
en lo que llevamos de 2024. A estos efectos, resalta que ha llegado a gestionar más
de 17 solicitudes al día, de media, únicamente en el canal de atención de derechos
mediante el buzón GDPR.

Explica GLOVO que en ningún momento ha pretendido rechazar que el presente caso
no fue atendido en tiempo por parte del Departamento de Protección de Datos, pero sí
considera que la actuación sancionadora de la AEPD es excesiva, habida cuenta lo
argumentado en el requerimiento de información.

Al respecto, esta Agencia desea señalar que de ninguna manera ha negado ni ha
“dejado sin efecto” las medidas que GLOVO ha podido adoptar en materia de
protección de datos, en relación con la cuestión objeto de la reclamación. De hecho,
de carecer de estas medidas se estaría no solo ante la infracción del artículo 15 del
RGPD, sino también muy posiblemente ante la existencia de otras infracciones.

Tampoco es objeto del presente procedimiento realizar una auditoría sobre los
procedimientos de derechos que ha atendido GLOVO.

Simplemente, se trata de constatar que en el presente caso no se ha atendido
debidamente el ejercicio del derecho de acceso de la parte reclamante a sus datos
personales, tal y como había solicitado, lo cual tampoco ha sido rechazado por la
propia GLOVO.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/66

Por último, esta Agencia desea destacar que no se trata tampoco en el presente caso
que no se hubiera atendido “en tiempo” tal solicitud, sino que tal solicitud no hubiera
sido atendida de no haber intervenido esta Agencia, toda vez que sólo se le
proporcionó el acceso a sus datos a la parte reclamante con posterioridad a habérsele
requerido información sobre la reclamación.

Alega GLOVO que esta reclamación trae causa de un derecho de acceso ejercitado en
el chat de customer support facilitado a los usuarios de la plataforma destinado a
resolver incidencias relativas a su uso, no en el canal destinado a la atención de
derechos de protección de datos.

Señala que el Departamento de Atención al Cliente de GLOVO ha gestionado entre
2023 y lo que va de 2024 casi 3 millones de casos, lo que son más de 8000 peticiones
diarias, y entre las que se encuentran solicitudes de ejercicio de derechos bajo el
RGPD que debían comunicarse al equipo de protección de datos.

Y que esta obligación de derivar cualquier solicitud de ejercicios de derechos de
protección de datos al Departamento de Protección de Datos es comunicada a todos
los empleados de GLOVO y, especialmente al Departamento de Live Ops responsable
de los canales de atención y soporte al usuario, entre otros, como ha quedado
acreditado. Sin embargo, ante la multitud de casos que se gestionan, en este en
concreto se dieron determinadas circunstancias que impidieron una correcta gestión,
como, por ejemplo:

- Una conversación previa con una agente en la que el interesado mostró una
conducta, por lo menos, reprobable en la no se ejercitó ningún derecho en esta
conversación.
- Una solicitud de derechos que exigía que se le proporcionara la conversación
mantenida con la agente, conversación que el Departamento de Atención al
Cliente no está autorizado a proporcionar, siendo el Departamento de
Protección de Datos autorizado para ello.
- Otra información relativa a la operativa de GLOVO y especialmente una
discusión sobre la ejecución de los servicios prestados por la parte reclamante,
que derivó la atención de las peticiones realizadas y que fue atendida
correctamente por los agentes responsables.

Por tanto, indica GLOVO que no se trató únicamente de una petición de acceso, si no
de la coexistencia de varias peticiones al mismo tiempo, lo cual hizo que el servicio de
customer support (i) informara de que no podía darle acceso a la información (por
tanto, sí contestó a la solicitud del interesado) y, (ii) se focalizara en la atención del
resto de peticiones, que sí podía atender, puesto que el objetivo de este departamento
es gestionar las incidencias y reclamaciones de los usuarios de la plataforma, lo que
incluye también incidencias y reclamaciones que puedan tener los repartidores en
relación con la ejecución de sus servicios, y ayudarlos en lo que sea posible.

Al respecto, esta Agencia desea insistir en que el hecho de que se haya realizado la
solicitud a través del Departamento de Atención al Cliente de GLOVO no es óbice para
que subsista la obligación de dar debida respuesta a tal solicitud.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/66

También esta Agencia desea señalar que no es objeto del presente procedimiento la
posible conversación previa que hubiera tenido la parte reclamante con una agente de
GLOVO ni la conducta (reprobable o no) de la parte reclamante, toda vez que en esa
conversación no se habría realizado ninguna solicitud de acceso a los datos
personales.

Tampoco es objeto del presente procedimiento la posible solicitud de la parte
reclamante de “otra información relativa a la operativa de GLOVO y especialmente una
discusión sobre discusión sobre la ejecución de los servicios prestados”. Simplemente,
en el presente procedimiento, se trata de constatar que en el presente caso no se ha
atendido debidamente el ejercicio del derecho de acceso de la parte reclamante a sus
datos personales, tal y como había solicitado, lo cual tampoco ha sido rechazado por
la propia GLOVO.

El hecho de que el Departamento de Atención al Cliente no estuviera autorizado a
proporcionar la conversación de la parte reclamante con la agente de GLOVO, sino el
Departamento de Protección de Datos, obedece única y exclusivamente a la
posibilidad de GLOVO de organizarse como desee y no puede significar un obstáculo
para la debida atención de las solicitudes de acceso a los datos personales de los
interesados.

En cuanto a que GLOVO ha gestionado numerosas peticiones, de las cuales muchas
de ellas son solicitudes de ejercicio de derechos bajo el RGPD, esta Agencia desea
señalar que el objeto del presente procedimiento sancionador es el supuesto concreto
reseñado en la reclamación que le dio origen y que a la hora de graduar la sanción ello
se ha tenido en cuenta.

En cuanto a la coexistencia de varias peticiones al mismo tiempo, esta Agencia desea
matizar que (i) esta Agencia no considera que no se le hubiera dado una respuesta a
la parte reclamante, sino que se trata de que no se atendió debidamente el ejercicio
del derecho (es decir, no se le proporcionó la información sobre sus datos personales),
cuando así le correspondía a GLOVO. En cuanto a que GLOVO (ii) se focalizara en el
resto de peticiones, esta Agencia se reitera en que ello no es objeto del presente
procedimiento.

Respecto a que el servicio de customer support de GLOVO le informó a la parte
reclamante que no podía proporcionarle la conversación solicitada pero que atendió
correctamente el resto de peticiones realizadas, esta Agencia desea recordar que, tal
como consta en los hechos probados de la presente resolución, el 26 de agosto de
2021 a las 20:09 horas la parte reclamante recibió un correo electrónico desde la
dirección [email protected] en idioma polaco, con el siguiente
contenido (traducción no oficial): “Hola, A.A.A.! Gracias por contactar con nosotros. Su
caso fue transferido a otro departamento. Una vez que tengamos una respuesta, se la
transmitiremos. Esperamos que esta información sea útil, porque estamos siempre
intentando ocuparnos de dar la más alta calidad en nuestro servicio. Puede contar con
nosotros. Gracias por su confianza. Atención al cliente de Glovo”.

Y que el 3 de septiembre de 2021 a las 12:36 horas la parte reclamante recibió un
correo electrónico desde [email protected] en idioma polaco, con
el siguiente contenido (traducción no oficial): “Buenos días, Lamentablemente, no
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/66

podemos compartir dicha información con usted. ¿Puede especificar qué es
exactamente lo que está solicitando? Recordamos que la apertura de varios chats
puede ralentizar su tiempo de servicio. Le pedimos que utilice un único chat para esta
solicitud. Saludos, Equipo de Glovo Atención al cliente de Glovo”.

Es decir, que el Departamento de Atención al Cliente de GLOVO sí que habría dado
traslado de la solicitud de la parte reclamante a otro departamento, aunque esta
Agencia desconoce a quién se le trasladó. No obstante, al responder a la parte
reclamante no se le indica los motivos de tal denegación, sino simplemente se limita a
indicarle que “no podemos compartir dicha información con usted”, sin más
información al respecto.

En cualquier caso, aun en el supuesto de que se hubieran realizado varias peticiones
de distinta índole al mismo tiempo, considera esta Agencia que ello tampoco es óbice
para que subsista la obligación de dar debida respuesta a la solicitud de acceso de la
parte reclamante.

Por último, señala GLOVO que, como se desarrollará más adelante al comentar las
circunstancias agravantes aludidas por la AEPD, el interesado no insistió al menos tres
veces en que quería que le proporcionara la información solicitada en el sentido que
tuvo que realizar tres solicitudes distintas, si no que se hizo siempre dentro del mismo
ticket, y habiendo recibido siempre la misma respuesta: el Departamento de Atención
al Cliente no puede facilitar esa información.

En todo caso entiende GLOVO que son dos solicitudes, una primera el 26 de agosto a
las 7:56, indicando que solicitaba la conversación del día 17 de agosto, junto con otra
información vinculada a la ejecución de sus servicios, y una segunda solicitud, el 3 de
septiembre a las 12:36, copiando exactamente la misma solicitud anterior, pero
corrigiendo la fecha de la conversación solicitada (inicialmente indicaba que era del 17
de agosto, y posteriormente rectifica para indicar que es del 19 de agosto). Se trata
por tanto, a su entender, siempre de la misma solicitud, dentro del plazo de un mes
para dar respuesta, y que únicamente se repitió para corregir la fecha de la
conversación solicitada. Resalta que sí se resolvieron el resto de cuestiones
vinculadas a la ejecución de los servicios por parte de la parte reclamante.

Por todo lo anterior, considera GLOVO que se trata de un caso que debería tratarse
como un error humano en la gestión por parte de un departamento que no es el que
debía responder, habiendo tomado GLOVO todas las medidas oportunas y en su
mano para asegurar que, de conformidad con el artículo 12.1 y 12.2 del RGPD, se
facilite al interesado cualquier comunicación con arreglo a los artículos 15 a 22, y
facilitar el ejercicio de sus derechos. Alega que no puede exigirse a GLOVO más que
el proporcionar, a todos los departamentos que no tienen funciones vinculadas a la
gestión de solicitudes de protección de datos, instrucciones claras sobre cómo
proceder, y mucho menos, responsabilidad por el incumplimiento por parte de estas
personas en relación con dichas instrucciones.

Al respecto, esta Agencia desea señalar que el hecho de que las comunicaciones de la
parte reclamante con la empresa se hubieran realizado a través de un mismo ticket, no
es indicativo de nada, simplemente es un modo de organizarse de la empresa, como
cualquier otro.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/66

En el presente caso, consta que el 19 de agosto de 2021 a las 12:31 horas, la parte
reclamante envió una comunicación al Departamento de Atención al Cliente con el
siguiente contenido (en polaco el original, traducción no oficial): “Buenos días por favor
envíeme la conversación con (...), B.B.B., a mi dirección de correo electrónico, ya que
será la base de mi caso judicial, si eso no sucede, le enviaré una orden judicial.”

Es decir, realizó una primera solicitud de acceso a sus datos personales (en este caso,
las grabaciones de su conversación con una ***PUESTO.1). GLOVO parece
desconocer en sus alegaciones esta primera solicitud de la parte reclamante, pero el
hecho de no citar el artículo 15 del RGPD no impide que su contenido sea el de una
solicitud de acceso a los datos personales de la parte reclamante.

Ante la negativa de la empresa de facilitarle tal información, y tras una serie de
conversaciones sobre otras cuestiones, el 26 de agosto de 2021 a las 07:56 horas, la
parte reclamante solicitó nuevamente al Departamento de Atención al Cliente de
GLOVO que se le proporcionara determinada información del 17 de agosto de 2021
sobre su persona, esta vez en base al artículo 15 del RGPD.

El 26 de agosto de 2021 se le informó a la parte reclamante que su caso fue
transferido a otro departamento y el 3 de septiembre de 2021 a las 12:36 horas se le
informó que no se le puede facilitar la información solicitada.

El 3 de septiembre de 2021 la parte reclamante indicó que había cometido un error
solicitando información sobre su persona del 17 de agosto de 2021, que lo que quería
era información del 19 de agosto de 2021.

Y, nuevamente, la empresa le informó el 6 de septiembre de 2021 que no podía
facilitarle tal información.

Es decir, en tres comunicaciones distintas (del 19 de agosto, 26 de agosto y 3 de
septiembre) la parte reclamante había solicitado el acceso a sus datos personales. Si
bien es cierto que todas estas comunicaciones se realizaron en el plazo del mes
dentro del cual GLOVO debía dar respuesta, no es menos cierto que tales
comunicaciones existieron, que la parte reclamante solicitó en tres oportunidades el
acceso a sus datos personales y que las tres veces GLOVO le respondió que no podía
proporcionarle tal acceso, sin dar más información al respecto. La propia GLOVO así
lo ha reconocido en sus alegaciones al afirmar “habiendo recibido siempre la misma
respuesta: el Departamento de Atención al Cliente no puede facilitar esa información.”

En cuanto a la alegación de que sí se resolvieron el resto de cuestiones vinculadas a
la ejecución de los servicios por parte de la parte reclamante, ya esta Agencia ha
insistido en que ello no es objeto del presente procedimiento sancionador.

Por último, esta Agencia desea señalar que está profundamente en desacuerdo con la
afirmación de GLOVO de que el Departamento de Atención al Cliente “no es el que
debía responder” de una solicitud de acceso a los datos personales de un interesado y
que se trata de un departamento que no tiene “funciones vinculadas a la gestión de
solicitudes de protección de datos”. Al contrario, esta Agencia considera que el canal
del Departamento de Atención al Cliente es un medio perfectamente válido para el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/66

ejercicio de derechos, por lo que la solicitud de la parte reclamante debía ser atendida.
No se trata solamente de que se le diera una respuesta (negativa), sino que se trata
de que debió proporcionársele el debido acceso a sus datos personales al dirigir su
solicitud a través de tal canal. Esta Agencia no tiene la potestad de establecer cómo
debe organizarse cada empresa y qué departamento es el que debe dar respuesta a la
solicitud de ejercicios de derechos, pero sí que no puede entenderse que una solicitud
dirigida a una dirección genérica como puede ser la del Departamento de Atención al
Cliente no sea debidamente atendida (esto es, que se proporcione el ejercicio del
derecho solicitado, no solo se le de una respuesta de que no se puede facilitar el
derecho solicitado).

Tal y como se ha manifestado en la respuesta a las alegaciones al acuerdo de inicio
del presente procedimiento sancionador, no cabe entender que solamente serán
atendidas aquellas solicitudes de ejercicio de derechos que se realicen únicamente a
través de los cauces establecidos por los responsables de tratamiento en sus políticas
de privacidad. Más bien, cada responsable de tratamiento tiene la facultad de
organizarse como mejor considere, siempre que se proporcione respuesta satisfactoria
al ejercicio de los derechos que soliciten los interesados, en el plazo legalmente
previsto. Pero la organización que hubiera previsto este responsable de tratamiento no
puede ser óbice para la satisfacción de un derecho que le reconoce a los interesados
el RGPD.

En el presente caso, GLOVO había decidido centralizar todas las solicitudes de
ejercicios de derechos relativas en la dirección [email protected]. Ahora bien, el
hecho de que una solicitud determinada se dirija a través de un canal distinto no
implica que no se deba darle debida respuesta, en tanto que responsable del
tratamiento en cuestión.

En el presente caso, no puede negarse que al comunicarse a través del canal previsto
para la atención de incidencias de los repartidores la parte reclamante podía esperar
razonablemente que su solicitud fuera atendida. Es más, parece razonable a los ojos
de esta Agencia que la parte reclamante se comunicara con GLOVO a través de este
canal, que es el especialmente previsto para las solicitudes de los repartidores. Al
contrario, esta Agencia considera que, en todo caso, era obligación de GLOVO
atender debidamente la solicitud de la parte reclamante, ya sea que el servicio de
atención al cliente (al repartidor) reenviara dicha solicitud a través de los canales
pertinentes al departamento dedicado a este tipo de solicitudes, o como mejor
considerara.

Por tanto, esta Agencia insiste en que el canal utilizado en el presente caso por la
parte reclamante, canal que la misma GLOVO proporciona a los repartidores como
medio idóneo para ponerse en contacto con ella, es un medio perfectamente válido
para solicitar el ejercicio de los derechos reconocidos en el RGPD por parte de los
repartidores. reenviando la solicitud al Departamento que la empresa determinó como
el más idóneo para dar debida respuesta, en su caso, o como mejor considerara la
empresa.

Finalmente, en cuanto a que no puede exigirse a GLOVO responsabilidad por el
supuesto incumplimiento por parte de” estas personas” en relación con “dichas
instrucciones”, esta Agencia desea insistir en lo dicho en la respuesta a las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/66

alegaciones al acuerdo de inicio, en el sentido de que el hecho de que los empleados
hubieran (o no) actuado fuera de lo establecido por el protocolo de GLOVO no exime a
ésta de su responsabilidad por su actuación.

Por todo lo expuesto, se desestima la presente alegación.

SEGUNDA.- SOBRE LA NO ATENCIÓN DEL DERECHO DE ACCESO

Alega GLOVO la AEPD le inicia un procedimiento sancionador por no atender un
derecho de acceso.

Y que técnicamente sí se dio respuesta a su solicitud, al indicarle que
“Desafortunadamente no podemos compartir con usted dicha información.” Indica que,
efectivamente, el equipo de soporte al repartidor no puede facilitar directamente esta
información a los repartidores porque la propia normativa de GLOVO así lo establece a
fin de asegurar que cualquier solicitud de derecho es atendida correctamente de
conformidad con el RGPD.

Por tanto, solicita que la AEPD reevalúe el caso tomando en consideración esta
información ya que no es lo mismo que un interesado se dirija al Departamento de
Protección de Datos y este no le proporcione ninguna respuesta en absoluto, a que un
repartidor haga una solicitud a un departamento al que no le corresponde atender este
tipo de solicitudes, y dicho departamento le dé una respuesta con la que no estuvo
conforme.

Al respecto, esta Agencia insiste en que esta Agencia no considera que no se le
hubiera dado una respuesta a la parte reclamante, sino que se trata de que no se
atendió debidamente el ejercicio del derecho (es decir, no se le proporcionó la
información sobre sus datos personales), cuando así le correspondía a GLOVO. No se
trata en el presente caso de que la parte reclamante no estuviera conforme con la
respuesta facilitada, sino que era obligación de GLOVO proporcionarle la información
solicitada.

También desea insistir esta Agencia en que el hecho de que el Departamento de
Atención al Cliente no estuviera autorizado a proporcionar la conversación de la parte
reclamante con la agente de GLOVO, sino el Departamento de Protección de Datos,
obedece única y exclusivamente a la posibilidad de GLOVO de organizarse como
desee y no puede significar un obstáculo para la debida atención de las solicitudes de
acceso a los datos personales de los interesados.

Por último, esta Agencia insiste en que está profundamente en desacuerdo con la
afirmación de GLOVO de que el Departamento de Atención al Cliente no debía
responder a una solicitud de acceso a los datos personales de un interesado. Al
contrario, esta Agencia considera que el canal del Departamento de Atención al Cliente
es un medio perfectamente válido para el ejercicio de derechos, por lo que la solicitud
de la parte reclamante debía ser atendida. No se trata solamente de que se le diera
una respuesta (negativa), sino que se trata de que debió proporcionársele el debido
acceso a sus datos personales al dirigir su solicitud a través de tal canal. Esta Agencia
no tiene la potestad de establecer cómo debe organizarse cada empresa y qué
departamento es el que debe dar respuesta a la solicitud de ejercicios de derechos,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/66

pero sí que no puede entenderse que una solicitud dirigida a una dirección genérica
como puede ser la del Departamento de Atención al Cliente no sea debidamente
atendida (esto es, que se proporcione el ejercicio del derecho solicitado, no solo se le
de una respuesta de que no se puede facilitar el derecho solicitado).

Tal y como ya se ha manifestado, no cabe entender que solamente serán atendidas
aquellas solicitudes de ejercicio de derechos que se realicen únicamente a través de
los cauces establecidos por los responsables de tratamiento en sus políticas de
privacidad. Más bien, cada responsable de tratamiento tiene la facultad de organizarse
como mejor considere, siempre que se proporcione respuesta satisfactoria al ejercicio
de los derechos que soliciten los interesados, en el plazo legalmente previsto. Pero la
organización que hubiera previsto este responsable de tratamiento no puede ser óbice
para la satisfacción de un derecho que le reconoce a los interesados el RGPD.

En el presente caso, GLOVO había decidido centralizar todas las solicitudes de
ejercicios de derechos relativas en la dirección [email protected]. Ahora bien, el
hecho de que una solicitud determinada se dirija a través de un canal distinto no
implica que no se deba darle debida respuesta, en tanto que responsable del
tratamiento en cuestión.

En el presente caso, no puede negarse que al comunicarse a través del canal previsto
para la atención de incidencias de los repartidores la parte reclamante podía esperar
razonablemente que su solicitud fuera atendida. Es más, parece razonable a los ojos
de esta Agencia que la parte reclamante se comunicara con GLOVO a través de este
canal, que es el especialmente previsto para las solicitudes de los repartidores. Al
contrario, esta Agencia considera que, en todo caso, era obligación de GLOVO
atender debidamente la solicitud de la parte reclamante, ya sea que el servicio de
atención al cliente (al repartidor) reenviara dicha solicitud a través de los canales
pertinentes al departamento dedicado a este tipo de solicitudes, o como mejor
considerara.

Por tanto, esta Agencia insiste en que el canal utilizado en el presente caso por la
parte reclamante, canal que la misma GLOVO proporciona a los repartidores como
medio idóneo para ponerse en contacto con ella, es un medio perfectamente válido
para solicitar el ejercicio de los derechos reconocidos en el RGPD por parte de los
repartidores. Y que era obligación de GLOVO el arbitrar los mecanismos internos
necesarios para que esa solicitud de derechos fuera, en su caso, reenviada a los
canales que la empresa determinó como los más idóneos para dar debida respuesta.

Alega GLOVO que el repartidor no se puso nunca en contacto con el Departamento de
Protección de Datos, a pesar de:

- (i) haber suscrito un contrato con GLOVO en el que aparece la dirección
donde ejercitar los derechos de protección de datos,
- (ii) haber aceptado una política de privacidad para el uso de la app donde
aparece la dirección para el ejercicio de derechos de protección de datos,
- (iii) existir un portal específico para repartidores donde encontrar información
relevante, entre ellos la política de privacidad, que identifica la dirección para el
ejercicio de derechos de protección de datos, y

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/66

- (iv) utilizar una aplicación para ejecutar sus servicios de reparto, con un
apartado específico en el que puede acceder a la política de privacidad, donde
se identifica la dirección para el ejercicio de derechos de protección de datos.

Por tanto, entiende GLOVO que no solo proporcionó medios a sus agentes del servicio
de soporte al repartidor, sino que también se aseguró de que los repartidores tenían la
información oportuna en todo momento para saber dónde dirigirse.

Explica GLOVO que es consciente que por parte del regulador y las autoridades de
protección de datos se aboga por permitir que los interesados puedan solicitar sus
derechos en cualquier canal, tal y como menciona la AEPD en la Propuesta de
Resolución, pero tampoco es menos cierto que no es un derecho absoluto, no todos
los canales son per se válidos, ni puede eximirse de responsabilidad a un interesado
que, siendo capaz de mencionar expresamente el artículo 15 del RGPD (y no hacer
una solicitud genérica tipo “quiero que me enviéis mis datos”), no se molesta siquiera
en buscar cuál es la dirección para el ejercicio de los derechos.

Indica GLOVO que no es que no la busque en un primer momento, sino que ni siquiera
procura hacerlo cuando desde el Departamento de Atención al Cliente al repartidor se
le informa, oportunamente, que no pueden facilitarle esta información. Cabe recordar
que las propias Directrices 01/2022 sobre los derechos de los interesados
mencionadas por la AEPD indica que “Los responsables de tratamiento deben realizar
todos los esfuerzos razonables para asegurarse de que se facilita el ejercicio de los
derechos del interesado [...]”.

GLOVO entiende que realizó los esfuerzos razonables para asegurar que los agentes
del equipo de soporte al repartidor pudieran identificar las solicitudes de ejercicio de
derechos y bien comunicarlas directamente al departamento de protección de datos,
bien responder al interesado la dirección donde dirigirse, esfuerzos que por un error
humano no se plasmaron en la realidad.

En definitiva, del mismo modo que se acepta que un interesado pueda no optar por
dirigir su solicitud al departamento correspondiente, teniendo vías de obtención de la
información de contacto más que accesibles, entiende GLOVO que bien debe
entenderse posible un error humano en la forma de gestionar la respuesta a una
solicitud de ejercicio de derechos por parte de un agente que se dedicó a tratar de
solventar una serie de incidencias de dicho repartidor.

Y que, además, el interesado tampoco insistió (como ha interpretado la AEPD en su
Propuesta de Resolución) en dicho derecho de acceso una vez se le comunicó que no
se le podía proporcionar dicha información, lo que no hizo más que impedir la
corrección del error cometido por el agente del departamento de soporte a los
repartidores, quien pudo entender que el repartidor daba por resuelta, en general, su
incidencia.

Al respecto, esta Agencia desea señalar que no es objeto del presente procedimiento
lo que el agente del departamento de soporte a los repartidores hubiera podido
entender sobre la incidencia planteada por la parte reclamante. Simplemente, se trata
de constatar que en el presente caso no se ha atendido debidamente el ejercicio del

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

35/66

derecho de acceso de la parte reclamante a sus datos personales, tal y como había
solicitado, lo cual tampoco ha sido rechazado por la propia GLOVO.

Esta Agencia insiste en que el canal utilizado en el presente caso por la parte
reclamante, canal que la misma GLOVO proporciona a los repartidores como medio
idóneo para ponerse en contacto con ella, es un medio perfectamente válido para
solicitar el ejercicio de los derechos reconocidos en el RGPD por parte de los
repartidores. Y que era obligación de GLOVO atender debidamente tal solicitud,
reenviando la solicitud al Departamento que la empresa determinó como el más
idóneo para dar debida respuesta, en su caso, o como mejor considerara la empresa.

Tampoco se trata que el derecho de acceso sea un “derecho absoluto” ni que “todos
los canales son per se válidos”, pero no cabe entender en el presente caso que un
repartidor se dirija al Servicio de Atención al Cliente, canal destinado a recibir las
solicitudes de los repartidores, a fin de solicitar un derecho de acceso a sus datos
personales, no es un canal idóneo para ello, tal y como ya se ha explicado
ampliamente.

En ningún momento las citadas Directrices 01/2022 obliga a los interesados a dirigir
sus solicitudes de ejercicio de derechos única y exclusivamente a través del canal
preferente para ello, ni tan siquiera a buscarlo ni en un primer momento ni en un
momento posterior ni cuando la empresa le indique que no puede facilitarle tal
información. Por más que GLOVO pretenda desligarse de la respuesta brindada por su
Departamento de Atención al Cliente a la parte reclamante, como si no fuera una
respuesta brindada por la propia empresa, ello no deja de ser así: ha sido GLOVO a
través de su Departamento de Atención al Cliente la que ha denegado la información
solicitada por la parte reclamante. Es más, supuestamente la petición de la parte
reclamante había sido transferida a otro departamento, según se indica en su
respuesta a la parte reclamante el 26 de agosto de 2021. En cualquier caso, si el
motivo de la tal denegación era que ese Departamento no estaba habilitado para
proporcionarlo, pero sí que había otro autorizado para ello, esa información tampoco
fue facilitada a la parte reclamante.

A lo que sí obligan las citadas Directrices 01/2022, tal y como reconoce GLOVO, es a
que “Los responsables de tratamiento deben realizar todos los esfuerzos razonables
para asegurarse de que se facilita el ejercicio de los derechos del interesado [...]”.

Esta Agencia insiste en que el considerando (59) del RGPD dispone que: “Deben
arbitrarse fórmulas para facilitar al interesado el ejercicio de sus derechos en virtud del
presente Reglamento, incluidos los mecanismos para solicitar y, en su caso, obtener
de forma gratuita, en particular, el acceso a los datos personales y su rectificación o
supresión, así como el ejercicio del derecho de oposición. El responsable del
tratamiento también debe proporcionar medios para que las solicitudes se presenten
por medios electrónicos, en particular cuando los datos personales se tratan por
medios electrónicos. El responsable del tratamiento debe estar obligado a responder a
las solicitudes del interesado sin dilación indebida y a más tardar en el plazo de un
mes, y a explicar sus motivos en caso de que no fuera a atenderlas”.

En este sentido, no cabe entender que solamente serán atendidas aquellas solicitudes
de ejercicio de derechos que se realicen únicamente a través de los cauces
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

36/66

establecidos por los responsables de tratamiento en sus políticas de privacidad. Más
bien al contrario, cada responsable de tratamiento tiene la facultad de organizarse
como mejor considere, siempre que se proporcione respuesta satisfactoria al ejercicio
de los derechos que soliciten los interesados, en el plazo legalmente previsto. Pero la
organización que hubiera previsto este responsable de tratamiento no puede ser óbice
para la satisfacción de un derecho que le reconoce a los interesados el RGPD.

En el presente caso, GLOVO había decidido centralizar todas las solicitudes de
ejercicios de derechos relativas en la dirección [email protected]. Ahora bien, el
hecho de que una solicitud determinada se dirija a través de un canal distinto no
implica que no se deba darle debida respuesta, en tanto que responsable del
tratamiento en cuestión.

En el presente supuesto, no puede negarse que al comunicarse a través del canal
previsto para la atención de incidencias de los repartidores la parte reclamante podía
esperar razonablemente que su solicitud fuera atendida. Es más, parece razonable a
los ojos de esta Agencia que la parte reclamante se comunicara con GLOVO a través
de este canal, que es el especialmente previsto para las solicitudes de los
repartidores. Al contrario, esta Agencia considera que, en todo caso, era obligación de
GLOVO atender debidamente la solicitud de la parte reclamante, ya sea que el servicio
de atención al cliente (al repartidor) reenviara dicha solicitud a través de los canales
pertinentes al departamento dedicado a este tipo de solicitudes, o como mejor
considerara.

En este sentido, en el apartado 53 de las citadas Directrices 01/2022 sobre los
derechos de los interesados- Derecho de acceso, el EDPB “…anima a los
responsables de tratamiento a que proporcionen los canales de comunicación más
adecuados y fáciles de usar, de conformidad con el artículo 12, apartado 2, y el
artículo 25, para permitir que el interesado realice una solicitud efectiva. No obstante,
si el interesado realiza una solicitud a través de un canal de comunicación
proporcionado por el responsable de tratamiento que es diferente de la indicada como
preferible, la solicitud se considerará, en general, eficaz y el responsable del
tratamiento deberá tramitar dicha solicitud en consecuencia (véanse los ejemplos a
continuación). Los responsables de tratamiento deben realizar todos los esfuerzos
razonables para asegurarse de que se facilita el ejercicio de los derechos del
interesado (por ejemplo, en caso de que el interesado envíe los datos la solicitud a un
empleado que está de permiso, un mensaje automático informando al interesado
sobre un canal de comunicación alternativo para su solicitud podría ser un esfuerzo
razonable).”

Por tanto, esta Agencia insiste en que el canal utilizado en el presente caso por la
parte reclamante, canal que la misma GLOVO proporciona a los repartidores como
medio idóneo para ponerse en contacto con ella, es un medio perfectamente válido
para solicitar el ejercicio de los derechos reconocidos en el RGPD por parte de los
repartidores. Y que era obligación de GLOVO atender debidamente tal solicitud,
reenviando la solicitud al Departamento que la empresa determinó como el más
idóneo para dar debida respuesta, en su caso, o como mejor considerara la empresa.

El apartado 56 de las citadas Directrices citan como ejemplo un caso en el que “un
responsable de tratamiento X proporciona, en su página web y en su política de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

37/66

privacidad, dos correos electrónicos – el correo electrónico general del responsable de
tratamiento: [email protected] y el correo electrónico del punto de contacto de
protección de datos del responsable de tratamiento: [email protected]. De forma
adicional, el responsable de tratamiento X indica en su página web que para enviar
cualquier consulta o solicitud respecto al tratamiento de datos personales, se debe
contactar con el punto de contacto de protección de datos al correo electrónico
indicado. Sin embargo, el interesado envía una solicitud al correo electrónico general
del responsable de tratamiento: [email protected]. En este caso, el responsable de
tratamiento debe realizar todos los esfuerzos razonables para que sus servicios
conozcan de la solicitud, la cual fue realizada a través del correo electrónico general,
para que se pueda redirigir al punto de contacto de protección de datos y sea
respondida dentro del plazo establecido por el RGPD. Es más, el responsable de
tratamiento no puede extender el plazo para responder a la solicitud, solamente
porque el interesado ha enviado una solicitud al correo electrónico general del
responsable de tratamiento y no al punto de contacto de protección de datos.”

Al respecto, esta Agencia entiende que precisamente el primer ejemplo del apartado
56 de las citadas Directrices es el supuesto que se dio en el presente caso. El
interesado (la parte reclamante) ha enviado su solicitud de acceso mediante un canal
genérico proporcionado por la empresa a la que se dirige. Por tanto, el responsable de
tratamiento (GLOVO) debió realizar todos los “esfuerzos razonables para que sus
servicios conozcan de la solicitud, la cual fue realizada a través del correo electrónico
general, para que se pueda redirigir al punto de contacto de protección de datos y sea
respondida dentro del plazo establecido por el RGPD”, tal y como indican las citadas
Directrices, para que tal solicitud fuera redirigida al punto de contacto de protección de
datos que correspondiera, a fin de poder atenderla en el plazo establecido por el
RGPD. Por tanto, esta Agencia considera que sí que la parte reclamante podía
“esperar razonablemente” que su solicitud fuera atendida.

Por todo lo expuesto, se desestima la presente alegación.

TERCERA.- SOBRE LA APERTURA DE UN PROCEDIMIENTO SANCIONADOR EN
VEZ DE UNA TUTELA DE DERECHOS

Sorprende a GLOVO que la AEPD haya optado por iniciarle directamente un
procedimiento sancionador en este caso, teniendo en cuenta que en la respuesta al
requerimiento de información se acreditó fehacientemente haber dado respuesta a la
parte reclamante de forma inmediata una vez tuvo constancia de la existencia de su
solicitud, lo que sucedió una vez la AEPD le envió el requerimiento de información.

Al respecto, esta Agencia desea señalar que la parte reclamante solicitó acceso a sus
datos personales en tres ocasiones al Departamento de Atención al Cliente de GLOVO
(los días 19 de agosto, 26 de agosto y 3 de septiembre de 2021), solicitud que fue
denegada las tres veces por parte de GLOVO, y que sólo fue debidamente atendida
con posterioridad al envío del requerimiento de información con la reclamación ante
esta AEPD. No es cierto que GLOVO no tuviera constancia de la existencia de su
solicitud, sino que, tal y como la propia empresa ha afirmado en múltiples ocasiones
en sus alegaciones, tales peticiones de la parte reclamante fueron rechazadas por la
empresa.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

38/66

Destaca GLOVO que no ha obtenido reacción alguna por parte de la parte reclamante
a la información que le proporcionó en atención del derecho de acceso, por lo que
debe entenderse el derecho de acceso de la parte reclamante plenamente atendido.

Al respecto, esta Agencia desea destacar que el hecho de que la parte reclamante no
hubiera reaccionado de forma alguna desde que se le proporcionó la información
sobre sus datos personales, no es evidencia de absolutamente nada en cuanto a si el
derecho de acceso ha sido o no “plenamente atendido”. En cualquier caso, esta
Agencia ha considerado que GLOVO ha dado respuesta al derecho de acceso de la
parte reclamante mediante su correo electrónico de 14 de noviembre de 2022.

Alega GLOVO que si no se contestó antes fue (i) porque el interesado no se puso en
contacto con el departamento oportuno, (ii) porque habiéndole contestado el
Departamento de Atención al Cliente, el repartidor no insistió en su pretensión ni buscó
otra forma alternativa de solicitar la información -que no podía ser de otra forma que
consultando la política de privacidad o cualquiera de las otras fuentes de información
indicadas en el alegación SEGUNDA anterior-, donde figura la dirección concreta y
clara donde dirigirse-, y (iii) porque al interponer su reclamación ante la Autoridad de
Protección de Datos de Polonia el 30 de septiembre de 2021, la lentitud del “Sistema
de Información del Mercado Interior” (en lo sucesivo, Sistema IMI), no permitió que
GLOVO fuera conocedor de la reclamación hasta el 11 de octubre del año siguiente,
esto es, 2022, incluso a pesar de haber admitido a trámite la reclamación el 24 de
junio de ese mismo año.

Al respecto, (i) esta Agencia desea insistir en que no es obligación del interesado
dirigir sus solicitudes de ejercicio de derechos a través del canal preferido por la
empresa responsable de tratamiento. Además, esta Agencia considera que el canal
utilizado en el presente caso por la parte reclamante, canal que la misma GLOVO
proporciona a los repartidores como medio idóneo para ponerse en contacto con ella,
es un medio perfectamente válido para solicitar el ejercicio de los derechos
reconocidos en el RGPD por parte de los repartidores. Y que era obligación de
GLOVO atender debidamente tal solicitud, reenviando la solicitud al Departamento que
la empresa determinó como el más idóneo para dar debida respuesta, en su caso, o
como mejor considerara la empresa.

(ii) Tampoco es obligación del interesado el insistir en su pretensión ni buscar una
forma alternativa de solicitar la información. No puede entenderse que no se le facilite
al interesado el acceso a sus datos personales por no solicitarlo a través del canal
preferente de la empresa, pero mucho menos puede entenderse que no se le
proporcione tal información por no insistir en su solicitud. Además, como ya se ha
mencionado, en el presente caso la parte reclamante sí que insistió en su solicitud de
acceso en tres comunicaciones distintas con la empresa.

(iii) En cuanto a que GLOVO no pudo atender la solicitud antes debido a la lentitud del
“Sistema de Información del Mercado Interior, esta Agencia insiste en que la parte
reclamante insistió en tres ocasiones en su solicitud de acceso a sus datos
personales, por lo que GLOVO tuvo varias ocasiones para hacerlo, mucho antes de
que la parte reclamante presentara su reclamación o de que tal reclamación fuera
recibida en esta Agencia.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

39/66

Asimismo, GLOVO indica que existían medios destinados a asegurar que un
departamento concreto, entre cuyas funciones no figuran el dar respuesta a derechos
de los interesados, reenvíe la información al Departamento de Protección de Datos,
único y exclusivo responsable de dar respuesta a estas solicitudes, pero que un error
humano impidió que dicha comunicación fuera efectiva.

Al respecto, esta Agencia se reitera en que considera que el canal utilizado en el
presente caso por la parte reclamante, canal que la misma GLOVO proporciona a los
repartidores como medio idóneo para ponerse en contacto con ella, es un medio
perfectamente válido para solicitar el ejercicio de los derechos reconocidos en el
RGPD por parte de los repartidores. Y que era obligación de GLOVO atender
debidamente tal solicitud, reenviando la solicitud al Departamento que la empresa
determinó como el más idóneo para dar debida respuesta, en su caso, o como mejor
considerara la empresa.

En cuanto a que el Departamento de Protección de Datos fuera el “único y exclusivo
responsable de dar respuesta a estas solicitudes”, ello obedece a la potestad de
organización que tiene GLOVO y en modo alguno puede ser óbice para atender
debidamente los derechos de los interesados en materia de protección de datos. El
interesado (en este caso, la parte reclamante) se puso en contacto con la empresa
responsable de tratamiento (GLOVO) y solicitó el acceso a sus datos personales. Y fue
el responsable de tratamiento (GLOVO) quien en tres ocasiones denegó dicho acceso,
con independencia de cuál fuera el Departamento que lo hizo.

Continúa alegando GLOVO que le sorprende que, habiendo dado respuesta al
interesado primero por chat (aunque la respuesta no fuera del agrado del interesado o
no satisficiera sus pretensiones, lo que no transmitió al agente en cuestión), y
posteriormente de forma oficial por parte del Departamento de Protección de Datos,
decida la Agencia proceder al inicio de un procedimiento sancionador sin siquiera
proponer la apertura de un procedimiento de tutela de derecho.

Sorprende también a GLOVO que, existiendo antecedentes entre las resoluciones de
la AEPD en las que, contestando de forma extemporánea, se haya procedido a cerrar
un procedimiento de tutela sin sanción alguna (cuando, respondiendo fuera de plazo,
técnicamente se ha incumplido ya el RGPD y por tanto existe capacidad sancionadora
por parte de la AEPD), no haya aceptado esta solución en el presente caso, quedando
acreditado de forma más que suficiente que ésta ha implementado, a su juicio, los
medios necesarios para cumplir con la normativa.

En este sentido, GLOVO trae a colación la existencia de procedimientos como el
PS/00197/2019, donde un interesado solicitó un derecho de cancelación directamente
al responsable, sin que obtuviera respuesta, siendo que la AEPD:

1) Abrió el procedimiento de tutela TD/01105/2018;
2) La reclamada respondió indicando que contestó al interesado por teléfono;
3) La AEPD estimó la reclamación de la parte reclamante, instando a la
reclamada a responder en un plazo de 10 días;
4) La AEPD tuvo que realizar un segundo requerimiento, casi dos meses
después, toda vez que la reclamada no acreditó a la AEPD haber dado
respuesta al interesado;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

40/66

5) Casi un año después, la AEPD acordó iniciar un procedimiento sancionador
por no haberse acreditado el haber dado respuesta al interesado por parte de
la reclamada;
6) Como respuesta a dicho procedimiento sancionador, la reclamada alega que
sí que dio respuesta al interesado tras el procedimiento de tutela;
7) Como conclusión, la AEPD no solo no sanciona ni apercibe a la reclamada,
sino que acuerda la finalización del procedimiento “ante la inexistencia de
hechos que pudieran ser constitutivos de la infracción tipificada en el 83.5 e)
del RGPD”.

Otro caso, más reciente, que a GLOVO genera todavía más sorpresa, es el
PD/00018/2024, por el que:

1) Un interesado solicita un derecho de acceso.
2) El responsable no le proporciona ninguna respuesta.
3) El interesado interpone reclamación a la AEPD quien, vía artículo 65.4 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y Garantía de
los Derechos Digitales (en adelante, “LOPDGDD”, le proporcionó 10 días a la
reclamada para que presentase alegaciones.
4) La parte reclamada no dio respuesta ni a la parte reclamante ni siquiera a la
propia AEPD, pero en cambio de momento la AEPD sigue insistiendo en
otorgar a la reclamada más tiempo aún para dar respuesta al derecho de
acceso del interesado.

En definitiva, desconoce GLOVO por qué, tratándose el caso de un supuesto
incumplimiento del artículo 15 a 22 del RGPD, vinculado a los derechos de los
interesados, no se ha abierto por parte de la AEPD, como en casos anteriores, un
procedimiento de tutela de derechos, o un procedimiento de derechos, otorgando a
GLOVO un plazo determinado para cumplir con la obligación de atender al derecho.
GLOVO manifiesta su desacuerdo en esta forma de proceder por parte de la Agencia
por haber indicado directamente un procedimiento sancionador en lugar de un
procedimiento de tutela de derechos.

Al respecto, esta Agencia desea insistir en que no considera que no se le hubiera dado
una respuesta a la parte reclamante, sino que se trata de que no se atendió
debidamente el ejercicio del derecho (es decir, no se le proporcionó la información
sobre sus datos personales), cuando así le correspondía a GLOVO. Y en que tampoco
existía obligación alguna del interesado (la parte reclamante) de hacerle saber al
agente en cuestión que su pretensión no había sido satisfecha (lo cual, por otra parte,
resultaba evidente, toda vez que había solicitado el acceso a sus datos personales y la
petición había resultado denegada). Además, tampoco se trata en el presente caso
sobre si la respuesta de GLOVO a su solicitud había resultado o no satisfactoria para
el interesado (la parte reclamante), sino que, simplemente, en el presente
procedimiento sancionador se trata de constatar que GLOVO no cumplió con la
obligación establecida en el artículo 15 del RGPD de atender debidamente el ejercicio
del derecho de acceso de la parte reclamante a sus datos personales, tal y como
había solicitado, lo cual tampoco ha sido rechazado por la propia GLOVO.

En cuanto a la referencia al PS/00197/2019, se trata de un supuesto completamente
distinto al presente caso.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

41/66

Para empezar, se trata de un procedimiento sancionador por no haber cumplido lo
ordenado en la resolución estimatoria de fecha 12 de julio de 2018 del procedimiento
de tutela de derechos TD/01105/2018 contra la reclamada, el cual tuvo origen en una
reclamación presentada ante esta Agencia el 3 de mayo de 2018 por una solicitud de
cancelación de datos personales (borrado de la imagen de la reclamante de un vídeo
de Youtube) de fecha 5 de marzo de 2018, que no obtuvo respuesta. Es decir, no se
trata de un procedimiento sancionador por no haber atendido debidamente una
solicitud de ejercicio de derechos, sino que se abrió un procedimiento sancionador por
no haber acreditado que se había cumplido con lo ordenado en un procedimiento
anterior. Además, como resulta evidente, en el momento de los hechos ni siquiera era
de aplicación el RGPD, sino que la normativa infringida fue la derogada LOPD.

Por su parte, el procedimiento de derechos PD/00018/2024 tiene su origen en una
reclamación por un derecho de acceso a la historia clínica de la parte reclamante, que
no obtuvo respuesta, y en el que además del RGPD le resulta de aplicación la Ley
41/2002, de 14 de noviembre, básica reguladora de la Autonomía del Paciente y de
Derechos y Obligaciones en Materia de Información y Documentación Clínica.

Esta Agencia desconoce qué es lo que le genera tanta sorpresa a GLOVO de este
procedimiento, que no es más que una situación de las típicas de un derecho de
acceso no atendido en el plazo debido, luego de lo cual el interesado presenta una
reclamación ante la AEPD, ésta le da traslado de la reclamación a la reclamada, la
reclamada no da respuesta a este traslado (lo cual no es obligatorio, cabe recordar),
se admite a trámite la reclamación y en el mismo acto se le otorga a la reclamada 10
días para presentar alegaciones (siguiendo lo dispuesto en la LOPDGDD), para
finalmente dictar una resolución estimatoria que ordena a la reclamada a atender
debidamente la solicitud de la parte reclamante. No se trata en ese caso de que esta
Agencia le estuviera otorgando plazo y más plazo a la reclamada para atender la
solicitud de quien reclama sin motivos, sino que se trata de que esta Agencia debe
seguir una serie de pasos que la LOPDGDD establece como garantía de contra quien
se reclama, para poder dictar una resolución que estime la reclamación presentada.

En cuanto a la posibilidad de esta Agencia de haber iniciado un procedimiento
sancionador en vez de un procedimiento de derechos, en ningún caso la normativa
obliga, ante un ejercicio de derechos no atendido debidamente, a incoar un
denominado “procedimiento de derechos” en vez de un procedimiento sancionador. O
a seguir un orden determinado, incoando primero un procedimiento de derechos para
después, a su finalización, iniciar un procedimiento sancionador. Al contrario, se trata
de dos vías independientes una de la otra, que pueden tener lugar de forma
simultánea o alternativa. En el presente caso, el incumplimiento del artículo 15 del
RGPD por parte de GLOVO se ha constatado, por lo que se ha tramitado un
procedimiento sancionador.

Al respecto, cabe traer a colación la Sentencia de la Audiencia Nacional 3432/2009 de
18 de junio de 2009, plenamente extrapolable al presente supuesto, en la que se dice:

“(…) Argumenta E-Business, en la demanda, que ante la denegación del derecho de
acceso del denunciante a sus datos personales, la AEPD no puede ordenar
directamente la incoación de un expediente sancionador, sino que debe incoar el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

42/66

procedimiento de tutela de derechos previsto en el RD 1332/1994 (vigente hasta el 18-
4-2008), con el fin de garantizar dicho acceso y resolver el mismo en el plazo de seis
meses y, al ser estimatoria la resolución, hacer efectivo el repetido acceso en el plazo
de diez días.

Así se ha venido pronunciando dicha Agencia en los procedimientos de tutela de
derechos cuyas resoluciones se adjuntan como documentos 1 a 14 con la demanda,
por lo que ante la evidencia de que la AEPD no ha seguido el procedimiento
legalmente establecido, nos hallamos ante la nulidad de pleno derecho que establece
el artículo 62.1.e) de la Ley 30/1992.

Efectivamente es el artículo 18.2 de la LOPD el que bajo la denominación "tutela de
derechos" indica que el interesado al que se denieguen, total o parcialmente el
ejercicio de los derechos de (entre otras) acceso, podrá ponerlo en conocimiento de la
AEPD que deberá asegurarse de la procedencia o improcedencia de la denegación.

Añadiendo el ordinal 3 del mismo artículo 48 que el plazo máximo en que deberá
dictarse la resolución expresa de tutela de derechos será de seis meses y el siguiente
48.4 que, contra las resoluciones de la AEPD, procederá recurso contencioso-
administrativo.

En base a ello, es cierto que en la mayoría de las ocasiones en que se denuncia por
un particular, ante la AEPD, el incumplimiento del derecho de acceso por él ejercitado,
dicha Administración incoa el procedimiento de tutela de derechos, regulado en la
actualidad en los artículos 115 a 119 del RD 1720/20007, de 21 de diciembre, tal y
como así parece haberse efectuado en los catorce procedimientos cuyas resoluciones
adjunta como prueba documental la entidad actora.

También es cierto que el procedimiento sancionador previsto en el artículo 48 de la
misma LOPD, que puede iniciarse de oficio en base a las infracciones prevista en el
artículo 44 de dicha LO 15/1999, entre otras, por impedir u obstaculizar el ejercicio de
los derechos de acceso y oposición (Art 44.3 .e) es un procedimiento totalmente
distinto del de tutela de derechos, y con finalidad distinta, pues mientras este último se
dirige a garantizar o tutelar los indicados derechos personales (de acceso, oposición,
rectificación y cancelación) en beneficio de los titulares de los datos personales, el
procedimiento sancionador persigue determinar y sancionar las infracciones
cometidas y derivadas del incumplimiento de la Ley de Protección de Datos.

La nítida distinción entre tales procedimientos de tutela de derechos y sancionador ya
se hizo constar en la SAN 11-5-2001 (Rec. 12/2000 ), que razona que una cosa es el
procedimiento regulado en el Art. 17 del RD 1332/1994, que se establece para
garantizar los derechos de acceso, rectificación y cancelación, mediante la creación
de un sistema de reclamación que resuelve la AEPD, siendo su resolución recurrible
en vía contencioso-administrativa; y otra muy distinta la apertura de un procedimiento
sancionador, que puede hacerse incluso de oficio, y para lo cual habilita el Art. 47 de la
LO 5/1992 (Art. 48 LOPD ), desarrollado por el Art. 18 del RD 1332/1994. Se trata de
dos procedimientos distintos, que obedecen a distinta finalidad, por lo que no puede
existir violación del principio non bis in idem ni del principio de seguridad jurídica.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

43/66

En similares términos también nuestra SAN 26-1-2006 (Rec. 441/2004) indica que
aunque procedimiento de tutela no es un procedimiento sancionador, puede tener, y
de hecho tiene en ocasiones, trascendencia sancionadora para el administrado.
Cuando la Administración estima una reclamación, como aquí ocurre, está declarando
que se ha denegado la efectividad de uno de los derechos que afectan al núcleo
esencial del derecho fundamental reconocido en el artículo 18.4 de la Constitución -el
habeas data o habeas scriptum- y entre las infracciones graves que recoge el Art. 44
de la Ley 15/1999 , está la de impedir u obstaculizar el ejercicio de los derechos de
acceso y oposición y la negativa a facilitar la información que sea solicitada, por lo que
la declaración de la Administración puede tener la consecuencia de abrir un
procedimiento sancionador posterior.

CUARTO.- Lo que se plantea en esta litis por E-Business, sin embargo, no es la
distinción y compatibilidad de ambos procedimientos previstos en la LOPD sino si ante
la falta de respuesta a uno de tales derechos (acceso, cancelación y rectificación) por
parte del responsable del fichero, la AEPD necesariamente ha de acudir al
procedimiento de tutela de derechos o puede también alternativamente, o incluso
simultáneamente, instar la iniciación de un procedimiento sancionador.

Ha sido la SAN, Secc. 1ª, 14-12-2006 (Rec. 165/2005) la que ha resuelto la disyuntiva,
declarando que la incoación de un procedimiento de tutela de los derechos del
perjudicado, no es obstáculo para la imposición de la sanción, pues ambas vías
pueden desarrollarse de forma paralela.

El allí recurrente había presentado denuncia ante la AEPD contra una Caja de Ahorros
por falta de respuesta alguna al ejercicio del derecho de acceso a sus datos.

La AEPD dicta resolución declarando el archivo de actuaciones en relación con la
infracción del artículo 15 de la LOPD, por entender que la protección del derecho de
acceso se logra mediante el procedimiento de tutela de los derechos recogido en la
LO 15/1999, y no mediante la imposición de sanciones. El recurso contencioso-
administrativo frente a dicha resolución es estimado por la referida sentencia, que
ordena la retroacción del procedimiento a fin de que la Agencia dicte la resolución que
corresponda, con relación a la vulneración del indicado derecho de acceso del artículo
15 de la Ley Orgánica 15/1999.

La Sala, tras reiterar su doctrina de que no parece posible mayor impedimento al
ejercicio del derecho de acceso que la absoluta desatención ( falta de respuesta) al
mismo, convirtiendo dicho derecho en inútil o completamente ineficaz, concluye que el
derecho que asiste al recurrente al amparo del artículo 17.1 del RD 1332/1994,
consistente en interesar de la AEPD el procedimiento de tutela de derechos, no es
incompatible con la imposición de sanciones por la falta de suministro de información.

(…) Es necesario señalar, concluye la misma sentencia, que en el súplico del escrito
de denuncia formulado por la parte recurrente se hacía expresa mención a la
posibilidad de que se iniciara el procedimiento de tutela de derechos pero, sin
embargo, la Agencia optó por iniciar un solo procedimiento, el sancionador, y lo que no
tiene sentido es, ahora, abocar al recurrente a que inicie un nuevo procedimiento de
tutela de derechos cuando se ha producido una grave desatención por la entidad de
crédito de sus obligaciones en materia de protección de datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

44/66

Doctrina plenamente aplicable al supuesto ahora litigioso y que impide que esta Sala
pueda atender la pretensión de E-Business teniendo en cuenta que ha quedado
probado en las actuaciones que el denunciante solicitó a dicha entidad, con fechas de
24- 11-2005, 12-12-2006 y 27-12-2006 el acceso a sus datos personales, solicitudes
de acceso que no consta fueran contestadas por tal recurrente. (…)”

En cualquier caso, en el presente supuesto se trata de una reclamación presentada
por un ciudadano de un Estado Miembro de la Unión Europea, por la realización de un
tratamiento transfronterizo realizado por un responsable del tratamiento ubicado en
otro Estado Miembro, que afecta a ciudadanos de más de un Estado Miembro de la
Unión Europea. Por tanto, el artículo 60 del RGPD obliga a los citados Estados
Miembros a alcanzar un consenso en cuanto a la posible decisión que se adopte
respecto de tal reclamación.

En el presente supuesto, se ha seguido el procedimiento así establecido en el RGPD y
se ha alcanzado un acuerdo con todas las autoridades involucradas, de iniciar un
procedimiento sancionador a GLOVO, con el alcance que consta en el presente
documento.

Por todo lo expuesto, se desestima la presente alegación.

CUARTA.- SOBRE LA FALTA DE TRASLADO DE LA RECLAMACIÓN AL DELEGADO
DE PROTECCIÓN DE DATOS

Alega GLOVO que le sorprendente que la AEPD no aplicara en este caso la
posibilidad que ofrece la LOPDGDD de remitir cualquier reclamación al delegado de
protección de datos antes de resolver sobre la admisión a trámite de la misma, de
conformidad con el artículo 65.

Y añade que la AEPD sabe que la Delegada de Protección de Datos de GLOVO, así
como el Departamento de Protección de Datos que dirige, ha tenido siempre la
intención de colaborar con cualquier procedimiento o inspección realizada por esta
Agencia. Alega que, en este caso, la comunicación previa a la Delegada de Protección
de Datos habría permitido proporcionar la información a la parte reclamante con mayor
celeridad (toda vez que la AEPD tuvo conocimiento de la reclamación por el sistema
IMI el 24 de febrero de 2022). Asimismo, habría podido mantener una interlocución
sobre las causas del caso y los mecanismos implementados por GLOVO para prevenir
casos similares de forma más constructiva que mediante un procedimiento
sancionador (de nuevo, ni siquiera de tutela de derechos), en el que la AEPD no tiene
en absoluta consideración todo el trabajo realizado por GLOVO.

En cualquier caso, GLOVO indica ser conocedora de que el artículo 65.4 de la
LOPDGDD ofrece únicamente una potestad a la AEPD de realizar esta actuación, sin
que sea obligatorio en ningún caso.

Al respecto, esta Agencia desea señalar que la posibilidad establecida en el artículo
65.4 de la LOPDGDD de que esta Agencia de traslado de la reclamación al delegado
de protección de datos, se refiere a reclamaciones presentadas ante la Agencia

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

45/66

Española de Protección de Datos, de conformidad con el artículo 65.1 de la
LOPDGDD.

En el presente caso, la reclamación se presentó ante la autoridad de protección de
datos de Polonia, es decir, la AEPD actuó como consecuencia de la comunicación
remitida por la autoridad de control de otro Estado miembro de la Unión Europea,
conforme lo establecido en el artículo 65.5 de la citada LOPDGDD, por lo que no cabía
el traslado de la reclamación a GLOVO antes de la admisión a trámite de la citada
reclamación.

En cualquier caso, tal como ha reconocido la propia GLOVO en sus alegaciones, la
posibilidad de dar traslado de la reclamación al Delegado de Protección de Datos
establecida en el artículo 65.4 de la LOPDGDD se trata de una potestad de la AEPD
de realizar esta actuación, sin que sea obligatorio en ningún caso.

Por lo que se desestima la presente alegación.

QUINTA.- SOBRE LA CULPABILIDAD O NEGLIGENCIA DE GLOVO

Indica GLOVO que la AEPD alega que “la actuación negligente del empleado no
exime de responsabilidad a la parte reclamada”, apoyándose en la Sentencia del
Tribunal Supremo núm. 188/2022 (Sala de lo Contencioso, Sección 3a), de 15 de
febrero de 2022 (rec. 7359/2020).

Pero que la AEPD obvia un elemento clave, y es que, en este caso, la solicitud
realizada por la parte reclamante no se hizo por los canales oficiales y comunicados a
los interesados, sino que lo hace a través de un chat de soporte al repartidor que,
como se ha explicado, no está destinado a atender derechos de los interesados.

Al respecto, esta Agencia desea insistir en que no es obligación del interesado dirigir
sus solicitudes de ejercicio de derechos a través del canal preferido por la empresa
responsable de tratamiento. Además, esta Agencia considera que el canal utilizado en
el presente caso por la parte reclamante, canal que la misma GLOVO proporciona a
los repartidores como medio idóneo para ponerse en contacto con ella, es un medio
perfectamente válido para solicitar el ejercicio de los derechos reconocidos en el
RGPD por parte de los repartidores. Y que era obligación de GLOVO atender
debidamente tal solicitud, reenviando la solicitud al Departamento que la empresa
determinó como el más idóneo para dar debida respuesta, en su caso, o como mejor
considerara la empresa.

Alega GLOVO que haber realizado la solicitud de acceso a sus datos personales a
través de un chat de soporte al repartidor es clave a la hora de evaluar la culpabilidad
de la empresa en relación con la gestión de derechos, puesto que no se está aquí, en
su opinión, evaluando si un agente con funciones de atención de derechos de
protección de datos ha cumplido o no con sus obligaciones, y por tanto, se puede
vincular directamente al bien jurídico protegido por la norma. Sino que se trata, a su
juicio, de un departamento con otras funciones distintas, que dispone de unas normas
internas para asegurar que el Departamento de Protección de Datos puede dar
cumplimiento a las obligaciones del RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

46/66

Al respecto, cita GLOVO las Directrices 01/2022 sobre los derechos de los interesados
que indican que “Los responsables de tratamiento deben realizar todos los esfuerzos
razonables para asegurarse de que se facilita el ejercicio de los derechos del
interesado [...]”.

Al respecto de esta cita, dice GLOVO que la AEPD indica que el canal utilizado por la
parte reclamante, es un medio perfectamente válido para solicitar el ejercicio de los
derechos reconocidos en el RGPD por parte de los repartidores, añadiendo que era
obligación de GLOVO el arbitrar los mecanismos internos necesarios para que esa
solicitud de derechos fuera reenviada a los canales que la empresa determinó como
los más idóneos para dar debida respuesta.

Y que la AEPD añade, además, que “Al respecto, esta Agencia desea señalar que no
basta con que el responsable del tratamiento (en este caso, la parte reclamada)
disponga de unos protocolos de actuación para eliminar la intencionalidad o
negligencia en su actuación. Sino que es obligación del responsable del tratamiento
que tales protocolos sean conocidos y seguidos por todos sus empleados”.

GLOVO entiende que se ha acreditado ya, con toda la información y documentación
aportada en las alegaciones al acuerdo de inicio del presente procedimiento
sancionador, que dichos mecanismos internos necesarios existían y se habían
comunicado de forma eficaz.

Añade que ese extremo lo vuelve a acreditar mediante la aportación del protocolo de
actuación que los agentes encargados de prestar servicios de customer support, y
gestionado por el Departamento de Live Ops, debían seguir en caso de recibir
solicitudes de derechos GDPR (DOCUMENTO 1 de las presentes alegaciones) y la
formación realizada por Departamento de Protección de Datos de GLOVO al
Departamento de Live Ops, equipo encargado de gestionar los agentes de customer
support, donde se explicó en particular, la gestión de los derechos de protección de
datos de sus usuarios (repartidores incluidos) por parte de los agentes (DOCUMENTO
2 de las presentes alegaciones), sin perjuicio de otros documentos aportados a lo
largo de procedimiento.

Indica GLOVO que desconoce de qué otra forma se puede acreditar su existencia y
comunicación, o su eficacia, pero lo que es evidente, a su juicio, es que no puede
pretender la AEPD que GLOVO haga esfuerzos desproporcionados y no razonables
yendo individual y diariamente detrás de cada agente del departamento de soporte al
repartidor para asegurar que cumplen con sus procedimientos. Ni tampoco que, por
haber comunicado un procedimiento interno y unas instrucciones claras, un empleado
no pueda cometer un error humano en su aplicación, precisamente porque se trata de
un humano y no un sistema tecnológico automatizado.

Al respecto, esta Agencia desea insistir en que el canal utilizado en el presente caso
por la parte reclamante, canal que la misma GLOVO proporciona a los repartidores
como medio idóneo para ponerse en contacto con ella, es un medio perfectamente
válido para solicitar el ejercicio de los derechos reconocidos en el RGPD por parte de
los repartidores. Y que era obligación de GLOVO atender debidamente tal solicitud,
reenviando la solicitud al Departamento que la empresa determinó como el más
idóneo para dar debida respuesta, en su caso, o como mejor considerara la empresa.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

47/66

Y que no cabe entender en el presente caso que un repartidor se dirija al Servicio de
Atención al Cliente, canal destinado a recibir las solicitudes de los repartidores, a fin de
solicitar un derecho de acceso a sus datos personales, no es un canal idóneo para
ello, tal y como ya se ha explicado ampliamente.

Se reitera en ningún momento las citadas Directrices 01/2022 obliga a los interesados
a dirigir sus solicitudes de ejercicio de derechos única y exclusivamente a través del
canal preferente para ello, ni tan siquiera a buscarlo ni en un primer momento ni en un
momento posterior ni cuando la empresa le indique que no puede facilitarle tal
información. Por más que GLOVO pretenda desligarse de la respuesta brindada por su
Departamento de Atención al Cliente a la parte reclamante, como si no fuera una
respuesta brindada por la propia empresa, ello no deja de ser así: ha sido GLOVO a
través de su Departamento de Atención al Cliente la que ha denegado la información
solicitada por la parte reclamante. Es más, supuestamente la petición de la parte
reclamante había sido transferida a otro departamento, según se indica en su
respuesta a la parte reclamante el 26 de agosto de 2021. En cualquier caso, si el
motivo de la tal denegación era que ese Departamento no estaba habilitado para
proporcionarlo, pero sí que había otro autorizado para ello, esa información tampoco
fue facilitada a la parte reclamante.

A lo que sí obligan las citadas Directrices 01/2022, tal y como reconoce GLOVO, es a
que “Los responsables de tratamiento deben realizar todos los esfuerzos razonables
para asegurarse de que se facilita el ejercicio de los derechos del interesado [...]”.

Esta Agencia insiste en que el considerando (59) del RGPD dispone que: “Deben
arbitrarse fórmulas para facilitar al interesado el ejercicio de sus derechos en virtud del
presente Reglamento, incluidos los mecanismos para solicitar y, en su caso, obtener
de forma gratuita, en particular, el acceso a los datos personales y su rectificación o
supresión, así como el ejercicio del derecho de oposición. El responsable del
tratamiento también debe proporcionar medios para que las solicitudes se presenten
por medios electrónicos, en particular cuando los datos personales se tratan por
medios electrónicos. El responsable del tratamiento debe estar obligado a responder a
las solicitudes del interesado sin dilación indebida y a más tardar en el plazo de un
mes, y a explicar sus motivos en caso de que no fuera a atenderlas”.

En este sentido, no cabe entender que solamente serán atendidas aquellas solicitudes
de ejercicio de derechos que se realicen únicamente a través de los cauces
establecidos por los responsables de tratamiento en sus políticas de privacidad. Más
bien al contrario, cada responsable de tratamiento tiene la facultad de organizarse
como mejor considere, siempre que se proporcione respuesta satisfactoria al ejercicio
de los derechos que soliciten los interesados, en el plazo legalmente previsto. Pero la
organización que hubiera previsto este responsable de tratamiento no puede ser óbice
para la satisfacción de un derecho que le reconoce a los interesados el RGPD.

En el presente caso, GLOVO había decidido centralizar todas las solicitudes de
ejercicios de derechos relativas en la dirección [email protected]. Ahora bien, el
hecho de que una solicitud determinada se dirija a través de un canal distinto no
implica que no se deba darle debida respuesta, en tanto que responsable del
tratamiento en cuestión.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

48/66

En el presente supuesto, no puede negarse que al comunicarse a través del canal
previsto para la atención de incidencias de los repartidores la parte reclamante podía
esperar razonablemente que su solicitud fuera atendida. Es más, parece razonable a
los ojos de esta Agencia que la parte reclamante se comunicara con GLOVO a través
de este canal, que es el especialmente previsto para las solicitudes de los
repartidores. Al contrario, esta Agencia considera que, en todo caso, era obligación de
GLOVO atender debidamente la solicitud de la parte reclamante, ya sea que el servicio
de atención al cliente (al repartidor) reenviara dicha solicitud a través de los canales
pertinentes al departamento dedicado a este tipo de solicitudes, o como mejor
considerara.

En este sentido, en el apartado 53 de las citadas Directrices 01/2022 sobre los
derechos de los interesados- Derecho de acceso, el EDPB “…anima a los
responsables de tratamiento a que proporcionen los canales de comunicación más
adecuados y fáciles de usar, de conformidad con el artículo 12, apartado 2, y el
artículo 25, para permitir que el interesado realice una solicitud efectiva. No obstante,
si el interesado realiza una solicitud a través de un canal de comunicación
proporcionado por el responsable de tratamiento que es diferente de la indicada como
preferible, la solicitud se considerará, en general, eficaz y el responsable del
tratamiento deberá tramitar dicha solicitud en consecuencia (véanse los ejemplos a
continuación). Los responsables de tratamiento deben realizar todos los esfuerzos
razonables para asegurarse de que se facilita el ejercicio de los derechos del
interesado (por ejemplo, en caso de que el interesado envíe los datos la solicitud a un
empleado que está de permiso, un mensaje automático informando al interesado
sobre un canal de comunicación alternativo para su solicitud podría ser un esfuerzo
razonable).”

Por tanto, esta Agencia insiste en que el canal utilizado en el presente caso por la
parte reclamante, canal que la misma GLOVO proporciona a los repartidores como
medio idóneo para ponerse en contacto con ella, es un medio perfectamente válido
para solicitar el ejercicio de los derechos reconocidos en el RGPD por parte de los
repartidores. Y que era obligación de GLOVO atender debidamente tal solicitud,
reenviando la solicitud al Departamento que la empresa determinó como el más
idóneo para dar debida respuesta, en su caso, o como mejor considerara la empresa.

El apartado 56 de las citadas Directrices citan como ejemplo un caso en el que “un
responsable de tratamiento X proporciona, en su página web y en su política de
privacidad, dos correos electrónicos – el correo electrónico general del responsable de
tratamiento: [email protected] y el correo electrónico del punto de contacto de
protección de datos del responsable de tratamiento: [email protected]. De forma
adicional, el responsable de tratamiento X indica en su página web que para enviar
cualquier consulta o solicitud respecto al tratamiento de datos personales, se debe
contactar con el punto de contacto de protección de datos al correo electrónico
indicado. Sin embargo, el interesado envía una solicitud al correo electrónico general
del responsable de tratamiento: [email protected]. En este caso, el responsable de
tratamiento debe realizar todos los esfuerzos razonables para que sus servicios
conozcan de la solicitud, la cual fue realizada a través del correo electrónico general,
para que se pueda redirigir al punto de contacto de protección de datos y sea
respondida dentro del plazo establecido por el RGPD. Es más, el responsable de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

49/66

tratamiento no puede extender el plazo para responder a la solicitud, solamente
porque el interesado ha enviado una solicitud al correo electrónico general del
responsable de tratamiento y no al punto de contacto de protección de datos.”

Al respecto, esta Agencia entiende que precisamente el primer ejemplo del apartado
56 de las citadas Directrices es el supuesto que se dio en el presente caso. El
interesado (la parte reclamante) ha enviado su solicitud de acceso mediante un canal
genérico proporcionado por la empresa a la que se dirige. Por tanto, el responsable de
tratamiento (GLOVO) debió realizar todos los “esfuerzos razonables para que sus
servicios conozcan de la solicitud, la cual fue realizada a través del correo electrónico
general, para que se pueda redirigir al punto de contacto de protección de datos y sea
respondida dentro del plazo establecido por el RGPD”, tal y como indican las citadas
Directrices, para que tal solicitud fuera redirigida al punto de contacto de protección de
datos que correspondiera, a fin de poder atenderla en el plazo establecido por el
RGPD. Por tanto, esta Agencia considera que sí que la parte reclamante podía
“esperar razonablemente” que su solicitud fuera atendida.

En cuanto a la alegación de GLOVO de que no puede pretender la AEPD que la
empresa haga esfuerzos desproporcionados y no razonables yendo individual y
diariamente detrás de cada agente del departamento de soporte al repartidor para
asegurar que cumplen con sus procedimientos, en ningún momento esta Agencia ha
afirmado tal cosa. No se trata de que el responsable de tratamiento realice esfuerzos
desproporcionados y no razonables, sino de que la empresa debe asegurarse que las
solicitudes de ejercicio de derechos sean atendidas debidamente. Pretender que un
Departamento de Atención al Cliente tramite como corresponde una solicitud de ese
tipo, no resulta desproporcionado ni fuera de toda razón, toda vez que es un canal
destinado a la recepción de solicitudes de todo tipo. Por tal motivo, los agentes deben
poder identificar, canalizar y dar debida respuesta a tales solicitudes, lo cual no ha
ocurrido en el presente caso.

Alega GLOVO que en la actividad sancionadora de la AEPD se está pretendiendo
asumir que, cuando un interesado solicita un derecho por el canal que no está
específicamente previsto por la empresa para ello, la obligación de arbitrar los
mecanismos internos necesarios deriva en una obligación de resultado, mientras que
tanto las directrices mencionadas como el propio RGPD lo configuran como una
obligación de medios, del mismo modo que sucede en relación con las medidas de
seguridad, aspecto que precisamente se trata en la misma STS 188/2022 referenciada
anteriormente.

Explica GLOVO que el RGPD establece en su artículo 12 que “El responsable del
tratamiento tomará las medidas oportunas para facilitar al interesado [...] cualquier
comunicación con arreglo a los artículos 15 a 22”, y continúa indicando que “El
responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en
virtud de los artículos 15 a 22”.

Y que así también lo resuelve la mencionada STS 188/2022 en su fundamento jurídico
TERCERO en relación con las medidas de seguridad, igualmente extrapolables para
las medidas técnicas y organizativas que el responsable de tratamiento se establezca
para la atención de derechos de protección de dato de los interesados:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

50/66

“La obligación de adoptar las medidas necesarias para garantizar la seguridad de los
datos personales no puede considerarse una obligación de resultado, que implique
que producida una filtración de datos personales a un tercero exista responsabilidad
con independencia de las medidas adoptadas y de la actividad desplegada por el
responsable del fichero o del tratamiento.”

Alega que GLOVO (i) ha tomado las medidas oportunas para facilitar la comunicación
con el interesado, y (ii) facilita al interesado el ejercicio de sus derechos.

Entiende que la interpretación del artículo 12, junto con las Directrices 01/2022, no
pueden llevar a otra consideración que, especialmente cuando una solicitud se ha
remitido a un departamento que no es el oportuno para atender los derechos de los
interesados, la única obligación que tiene el responsable del tratamiento es la de
asegurar la implementación (“arbitrar”, en palabras de las Directrices) de mecanismos
internos necesarios para que la solicitud sea reenviada a los canales idóneos para dar
respuesta. Se trata por tanto de una obligación de medios, en estos casos, y no de
resultado, en relación con el cumplimiento del artículo 15 del RGPD. Alega GLOVO
que no era función del Departamento de Atención al Cliente el proporcionarle al
repartidor respuesta al derecho de acceso, lo que de hecho, se le indicó a la parte
reclamante, al informarle que no podían facilitarle dicha información.

Al respecto, esta Agencia desea señalar que en ningún momento esta Agencia ha
afirmado que el cumplimiento del artículo 15 del RGPD sea una obligación de
resultado, ni mucho menos.

No obstante, esta Agencia insiste en que no es obligación del interesado dirigir sus
solicitudes de ejercicio de derechos a través del canal preferido por la empresa
responsable de tratamiento. Y en que esta Agencia considera que el canal utilizado en
el presente caso por la parte reclamante, canal que la misma GLOVO proporciona a
los repartidores como medio idóneo para ponerse en contacto con ella, es un medio
perfectamente válido para solicitar el ejercicio de los derechos reconocidos en el
RGPD por parte de los repartidores. Y que era obligación de GLOVO atender
debidamente tal solicitud, reenviando la solicitud al Departamento que la empresa
determinó como el más idóneo para dar debida respuesta, en su caso, o como mejor
considerara la empresa.

En cuanto a que GLOVO (i) ha tomado las medidas oportunas para facilitar la
comunicación con el interesado, y (ii) facilita al interesado el ejercicio de sus derechos,
esta Agencia entiende que estas afirmaciones refieren al canal establecido como
medio preferente, toda vez que insiste en numerosas ocasiones que el Servicio de
Atención al Cliente no es el medio idóneo para ejercitar tales derechos, aun cuando en
sus propios documentos destinados a tal área se prevé que tales solicitudes tengan
lugar.

Esta Agencia considera que haberle respondido en el presente caso a la parte
reclamante que no se le podía proporcionar los datos solicitados, sin darle más
información al respecto, no puede entenderse especialmente como que GLOVO
hubiere “facilitado la comunicación con el interesado” ni “el ejercicio de sus derechos”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

51/66

Esta Agencia desea insistir en que no considera que no se le hubiera dado una
respuesta a la parte reclamante, sino que se trata de que no se atendió debidamente
el ejercicio del derecho (es decir, no se le proporcionó la información sobre sus datos
personales), cuando así le correspondía a GLOVO.

Continúa alegando GLOVO que no puede considerarse de otra forma cuando
precisamente este caso dependía de la actuación de una persona, donde no es
posible que la norma establezca una obligación de resultado, existiendo incontables
razones que pueden llevar a un error. Explica GLOVO que el error humano es algo
conocido y estudiado empíricamente. Y que en cualquier actividad humana concurren
factores ambientales, personales y estadísticos que configuran el nivel de probabilidad
de que se produzca un error. Y que ese riesgo es calculable mediante una simple
fórmula matemática. De hecho, el error humano es algo tan humano que el propio
Ministerio de Trabajo y Asuntos Sociales tiene, desde hace más de 25 años, una serie
de notas técnicas sobre fiabilidad humana, entre las que destacan la NTP 360, sobre
conceptos básicos, la NTP 377, donde se estudian diferentes métodos de análisis, o la
NTP 401, sobre métodos de cuantificación. Tres notas técnicas dedicadas
exclusivamente al error humano.

Alega GLOVO que, efectivamente, se trata de un error puntual en la gestión de un
ticket que trataba distintas incidencias, en el que se dio por buena una respuesta que,
aunque respuesta, no era la esperada por el interesado ni por la normativa propia de
GLOVO. Explica que no es un error en un sistema de información, o una válvula
mecánica que debe abrirse o cerrarse, ni un fallo sistémico o derivado de una
negligencia corporativa. Sino que se ha tratado de un error cometido por una persona,
errores que suceden en cualquier empresa, que son imprevisibles y no se pueden
controlar o prevenir. Tal y como ocurre con las medidas de seguridad cuando,
habiendo aplicado las que se consideraban oportunas, resultan ineficaces ante un
ataque informático cometido por cibercriminales que han obtenido unas credenciales
de acceso a los sistemas mediante un ataque de phishing previo, de forma que
pueden acceder de forma legítima sin ser detectados por los sistemas de seguridad,
firewalls, antivirus, perpetrando con éxito el incidente de seguridad.

Explica GLOVO que en el presente caso pueden haber miles de factores que afectan
de forma imperceptible al ser humano y causar un error en la ejecución de sus
obligaciones. El estrés, fatiga, aspectos externos de su vida privada, repetición, son
factores que pueden llevar a que una persona cometa un error. Y que el error que no
puede preverse ni prevenirse, sencillamente sucede, pero definitivamente este error
que supuso que el interesado recibiera una información insuficiente (se le contestó que
no se podía facilitar la información, pero no fue redirigido al Departamento de
Protección de Datos) no puede constituir un hecho sancionable para el responsable, y
menos aun cuando GLOVO (i) desarrolló procedimientos internos, generales de
protección de datos y específicos de gestión de datos en LiveOps para la atención de
derechos de los interesados, (ii) formó al departamento de atención al repartidor sobre
protección de datos y la atención de derechos, y (iii) puso a disposición de todos los
interesados múltiples formas de asegurar que podía obtener información sobre cómo
ejercitar sus derechos de protección de datos (contrato de repartidor, política de
privacidad, portal del repartidor, textos legales en la aplicación, página web…).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

52/66

Asimismo, recuerda GLOVO que no debe olvidarse el numeroso volumen de
peticiones de ejercicio de derechos como de resolución de consultas e incidencias que
recibe cuyo porcentaje de atención exitosa es muy significativo.

En definitiva, concluye GLOVO que tratándose como se ha acreditado de una
obligación de medios, porque así se deduce de la normativa y las Directrices 1/2022, y
porque no puede ser de otra forma, la empresa tomó todas las medidas razonables y
necesarias para garantizar que los agentes sabían que debían redirigir estas
peticiones al Departamento de Protección de Datos. Pero sencillamente en este caso,
no pasó, por un error humano, equivalente a una vulnerabilidad de día cero en un
sistema informático. Y que ello no es previsible, ni se puede prevenir o evitar.

No discute GLOVO que, efectivamente, la solicitud no se envió al Departamento de
Protección de Datos.

Pero alega que esta infracción no está relacionada con el cumplimiento del RGPD,
sino con la normativa interna de GLOVO, provocada por un error humano de un
empleado que, en ningún caso, puede atribuirse al responsable o derivar
responsabilidad jurídica en él. Y que GLOVO adoptó medios técnicos y organizativos y
desplegó una actividad diligente en la implantación y utilización de estos para
conseguir el resultado esperado, esperando que la diligencia de sus empleados así lo
faciliten.

Al respecto, esta Agencia desea insistir en que no considera que no se le hubiera dado
una respuesta a la parte reclamante, sino que se trata de que no se atendió
debidamente el ejercicio del derecho (es decir, no se le proporcionó la información
sobre sus datos personales), cuando así le correspondía a GLOVO.

En cuanto a que en el presente caso se trató de un error puntual de un empleado, esta
Agencia desea recordar que, tal como consta en los hechos probados de la presente
resolución, el 19 de agosto de 2021 a las 12:31 horas, la parte reclamante envió una
comunicación al Departamento de Atención al Cliente con el siguiente contenido (en
polaco el original, traducción no oficial): “Buenos días por favor envíeme la
conversación con (...), B.B.B., a mi dirección de correo electrónico, ya que será la
base de mi caso judicial, si eso no sucede, le enviaré una orden judicial.”

Es decir, realizó una primera solicitud de acceso a sus datos personales (en este caso,
las grabaciones de su conversación con una ***PUESTO.1). GLOVO parece
desconocer en sus alegaciones esta primera solicitud de la parte reclamante, pero el
hecho de no citar el artículo 15 del RGPD no impide que su contenido sea el de una
solicitud de acceso a los datos personales de la parte reclamante.

Ante esta solicitud, la empresa contestó a la parte reclamante el 19 de agosto de 2021
a las 15:30 horas en idioma polaco, con el siguiente contenido (traducción no oficial):
“Buenos días, gracias por contactar con Glovo. Desafortunadamente, no podemos
compartir con usted la conversación o sus fragmentos. Por favor, infórmenos cuál es
su problema con nuestra ***PUESTO.1. Saludos cordiales, Atención al cliente de
Glovo”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

53/66

Ante la negativa de la empresa de facilitarle tal información, y tras una serie de
conversaciones sobre otras cuestiones, el 26 de agosto de 2021 a las 07:56 horas, la
parte reclamante solicitó nuevamente al Departamento de Atención al Cliente de
GLOVO que se le proporcionara determinada información del 17 de agosto de 2021
sobre su persona, esta vez en base al artículo 15 del RGPD.

El 26 de agosto de 2021 se le informó a la parte reclamante que su caso fue
transferido a otro departamento y el 3 de septiembre de 2021 a las 12:36 horas se le
informó que no se le puede facilitar la información solicitada.

El 3 de septiembre de 2021 la parte reclamante indicó que había cometido un error
solicitando información sobre su persona del 17 de agosto de 2021, que lo que quería
era información del 19 de agosto de 2021.

Y, nuevamente, la empresa le informó el 6 de septiembre de 2021 que no podía
facilitarle tal información.

Es decir, en tres comunicaciones distintas (el 19 de agosto, 26 de agosto y 3 de
septiembre) la parte reclamante había solicitado el acceso a sus datos personales. Y
las tres veces GLOVO le respondió que no podía proporcionarle tal acceso, sin dar
más información al respecto. La propia GLOVO así lo ha reconocido en sus
alegaciones.

Es más, el 3 de septiembre de 2021 a las 12:36 horas la parte reclamante recibió un
correo electrónico desde [email protected] en idioma polaco, con
el siguiente contenido (traducción no oficial): “Buenos días, Lamentablemente, no
podemos compartir dicha información con usted. ¿Puede especificar qué es
exactamente lo que está solicitando? Recordamos que la apertura de varios chats
puede ralentizar su tiempo de servicio. Le pedimos que utilice un único chat para esta
solicitud. Saludos, Equipo de Glovo Atención al cliente de Glovo”.

Esta Agencia entiende que no cabe entender que en el presente caso se produjo un
error humano por “estrés, fatiga, aspectos externos de su vida privada, repetición…”.
En tres ocasiones distintas, en tres días distintos e incluso habiéndose analizado la
cuestión por dos departamentos distintos (la solicitud de la parte reclamante había sido
trasladada a otro departamento, al decir de la empresa), la respuesta de GLOVO
siempre había sido la misma: que no podía facilitarle a la parte reclamante tal
información, cuando sí que era obligación de GLOVO proporcionársela.

Cita GLOVO aquí el Procedimiento PD/00078/2023, de resolución de procedimiento de
derechos, en el que se aborda, entre otras, la obligación de atender la solicitud por
cualquier canal:

“Las normas antes citadas (NOTA: artículos 15 a 22 RGPD y 12 LOPDGDD) no
permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola
sin la respuesta que obligatoriamente deberán emitir los responsables, aún en el
supuesto de que no existan datos en los ficheros o incluso en aquellos supuestos en
los que no reuniera los requisitos previstos, en cuyo caso el destinatario de dicha
solicitud viene igualmente obligado a requerir la subsanación de las deficiencias

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

54/66

observadas o, en su caso, denegar la solicitud motivadamente indicando las causas
por las que no procede considerar el derecho de que se trate.”

Al respecto, GLOVO indica que sí se dio respuesta, y se indicó a la parte reclamante
que no se le podía proporcionar la información solicitada, lo que no hace más que
ahondar en que la empresa ha implementado los mecanismos internos necesarios
para que los agentes del Departamento de Atención al Cliente que prestan soporte al
repartidor conozcan que no pueden atender derechos de los interesados y se
reenviara la petición al Departamento de Protección de Datos dónde sí podía solicitar
dicha información, tal y como exigen los mecanismos internos implementados por
GLOVO, tanto a nivel de normativa interna como de iniciativa formativa a sus
empleados (véanse los documentos “Protocol for Action in the event of GDPR requests
from Glovo users, couriers or any data subject” o el “Training GDPR - Live Ops 2021”,
ambos aportados al presente procedimiento en la anterior respuesta de GLOVO a la
AEPD, y que se vuelven a aportar como DOCUMENTOS 1 y 2 de las presentes
alegaciones). Si bien, de nuevo y por error humano, no se realizó en el caso de la
parte reclamante.

Alega también GLOVO que en el referido procedimiento PD/00078/2023 no se
sancionó a la reclamada, sino que se le proporcionó un plazo de 10 días para proceder
a atender el derecho de acceso solicitado.

Al respecto, esta Agencia desea insistir en que no considera que no se le hubiera dado
una respuesta a la parte reclamante (como en el caso del PD/00078/2023), sino que
se trata de que no se atendió debidamente el ejercicio del derecho (es decir, no se le
proporcionó la información sobre sus datos personales), cuando así le correspondía a
GLOVO.

Y en que, con independencia de las medidas adoptadas por GLOVO, en el presente
caso la parte reclamante realizó numerosas comunicaciones solicitando su derecho de
acceso a los datos sobre su persona, incluso haciendo referencia al artículo 15 del
RGPD, solicitud que no fue debidamente atendida.

En cuanto a que se trató de un “error humano”, esta Agencia se reitera en que no
puede considerarse tal el haber respondido que no se le facilitaba la información
solicitada a la parte reclamante en tres ocasiones distintas, en días distintos y
habiendo analizado la cuestión dos departamentos distintos de la empresa.

Por lo demás, esta Agencia no alcanza a entender que GLOVO cite en sus
alegaciones al PD/00078/2023 en el cual precisamente se reconoce el derecho de la
parte reclamante a acceder a las grabaciones de sus conversaciones con la empresa
reclamada y estima la reclamación, ordenando al reclamado a proporcionar el acceso
solicitado.

En cuanto a que en ese caso se hubiera optado por no iniciar un procedimiento
sancionador, esta Agencia se reitera en que en ningún caso la normativa obliga, ante
un ejercicio de derechos no atendido debidamente, a incoar un denominado
“procedimiento de derechos” en vez de un procedimiento sancionador. O a seguir un
orden determinado, incoando primero un procedimiento de derechos para después, a
su finalización, iniciar un procedimiento sancionador. Al contrario, se trata de dos vías
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

55/66

independientes una de la otra, que pueden tener lugar de forma simultánea o
alternativa.

En definitiva, entiende GLOVO que no procede considerar responsabilidad de la
empresa, por negligencia o por culpa, la respuesta incorrecta o insuficiente a la parte
reclamante, en tanto que:

1) Se trataba de una solicitud realizada por un canal genérico proporcionado
por GLOVO para la atención de incidencias en la prestación de servicios por
parte de los repartidores.
2) GLOVO había implementado mecanismos internos oportunos para que la
solicitud recibida por este canal fuera reenviada al canal idóneo para su
respuesta, esto es el Departamento de Protección de Datos.
3) La obligación de implementar tales mecanismos no puede tener otra
consideración que obligación de medios, y no de resultado.
4) La implementación de estos mecanismos, debidamente acreditados,
suponen esfuerzos razonables para que sus servicios conozcan de la solicitud,
como argumenta la AEPD en su Propuesta de Resolución, y proponen las
Directrices 1/2022.
5) El agente contestó al interesado informando de que no podía proporcionarle
la información solicitada.
6) GLOVO dispone de un canal específico para la solicitud de derechos de
protección de datos, informado en multitud de canales y documentos, entre
ellos el contrato firmado por el repartidor o la aplicación y entorno web
específicos de los repartidores, por lo que el interesado podía fácilmente acudir
a dicho canal.

Por tanto, alega GLOVO que la respuesta incompleta por parte del agente que atendió
a la parte reclamante, quien no proporcionó la dirección del Departamento de
Protección de Datos, o no envió directamente la solicitud a este departamento, no
puede categorizarse de otra forma que no sea un error humano que, como se ha
explicado anteriormente, deriva de (i) la creencia de haber contestado a su solicitud al
indicarle que no podía proporcionar esa información, y (ii) de atender correctamente al
resto de incidencias notificadas por el interesado, de conformidad con las funciones
que sí tenía de conformidad con su rol dentro del Departamento de Atención al Cliente
para dar soporte al repartidor.

Al respecto, esta Agencia se reitera en que:

1) El canal utilizado por la parte reclamante es un medio perfectamente válido
para ejercitar una solicitud de acceso a sus datos personales.
2) Con independencia de las medidas adoptadas por GLOVO, en el presente
caso la parte reclamante realizó numerosas comunicaciones solicitando su
derecho de acceso a los datos sobre su persona, incluso haciendo referencia al
artículo 15 del RGPD, solicitud que no fue debidamente atendida.
3) No se trata de una obligación de resultado. Pero no es obligación del
interesado dirigir sus solicitudes de ejercicio de derechos a través del canal
preferido por la empresa responsable de tratamiento. Era obligación de GLOVO
atender debidamente tal solicitud, reenviando la solicitud al Departamento que

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

56/66

la empresa determinó como el más idóneo para dar debida respuesta, en su
caso, o como mejor considerara la empresa.
4) No se trata de que el responsable de tratamiento realice esfuerzos
desproporcionados y no razonables, sino de que la empresa debe asegurarse
que las solicitudes de ejercicio de derechos sean atendidas debidamente.
Pretender que un Departamento de Atención al Cliente tramite como
corresponde una solicitud de ese tipo, no resulta desproporcionado ni fuera de
toda razón, toda vez que es un canal destinado a la recepción de solicitudes de
todo tipo. Por tal motivo, los agentes deben poder identificar, canalizar y dar
debida respuesta a tales solicitudes, lo cual no ha ocurrido en el presente caso.
5) No se considera que no se le hubiera dado una respuesta a la parte
reclamante, sino que se trata de que no se atendió debidamente el ejercicio del
derecho (es decir, no se le proporcionó la información sobre sus datos
personales), cuando así le correspondía a GLOVO.
6) No es obligación del interesado dirigir sus solicitudes de ejercicio de
derechos a través del canal preferido por la empresa responsable de
tratamiento.

Por último, esta Agencia se reitera en que no puede calificarse lo ocurrido en el
presente caso como un “error humano” el haber respondido que no se le facilitaba la
información solicitada a la parte reclamante en tres ocasiones distintas, en días
distintos y habiendo analizado la cuestión dos departamentos distintos de la empresa.

Además, según lo dictaminado en la STS 7887/2011 de 24 de noviembre de 2011,
Rec. 258/2009, “(…) desde su sentencia 76/1990, de 26 de abril, el Tribunal
Constitucional viene declarando que no cabe en el ámbito sancionador administrativo
la responsabilidad objetiva o sin culpa, doctrina que se reafirma en la sentencia
164/2005, de 20 de junio de 2005 , en cuya virtud se excluye la posibilidad de imponer
sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título
de mera negligencia. Ahora bien, el modo de atribución de responsabilidad, a las
personas jurídicas no se corresponde con las formas de culpabilidad dolosas o
imprudentes que son imputables a la conducta humana.”

Sucede así que, en el caso de infracciones cometidas por personas jurídicas, aunque
haya de concurrir el elemento de la culpabilidad (véase la sentencia de esta Sala del
Tribunal Supremo de 20 de noviembre de 2011 (recurso de casación en interés de ley
48/2007), éste se aplica necesariamente de forma distinta a como se hace respecto de
las personas físicas. Según la STC 246/1991 “(...) esta construcción distinta de la
imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia
naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el
elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las
que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que
deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que
dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe
asumir la persona jurídica que está sujeta al cumplimiento de dicha norma.”

A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998,
parcialmente trascrita en la STS 6262/2009, de 9 de octubre de 2009, Rec 5285/2005,
y STS 6336/2009, de 23 de octubre de 2009, Rec 1067/2006, que "aunque la
culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

57/66

orden a la asunción de la correspondiente carga, que ordinariamente los elementos
volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta
típica probada, y que su exclusión requiere que se acredite la ausencia de tales
elementos, o en su vertiente normativa, que se ha empleado la diligencia que era
exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente
a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa".

En cualquier caso, tal y como se ha señalado, la Sentencia del Tribunal Supremo núm.
188/2022 (Sala de lo Contencioso, Sección 3ª), de 15 de febrero de 2022 (rec.
7359/2020) argumenta acerca de la de la responsabilidad de las personas jurídicas en
nuestro ordenamiento: “…Sencillamente sucede que, estando admitida en nuestro
Derecho Administrativo la responsabilidad directa de las personas jurídicas, a las que
se reconoce, por tanto, capacidad infractora, el elemento subjetivo de la infracción se
plasma en estos casos de manera distinta a como sucede respecto de las personas
físicas, de manera que, como señala la doctrina constitucional que antes hemos
reseñado -SsTC STC 246/1991, de19 de diciembre (F.J. 2) y 129/2003, de 30 de junio
(F.J. 8)- la reprochabilidad directa deriva del bien jurídico protegido por la norma que
se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo
que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento
de dicha norma." (el subrayado es de esta Agencia).

Por tanto, en el presente caso, la actuación de los empleados no exime a GLOVO de
su responsabilidad por tal actuación.

Finalmente, en cuanto a que sí se resolvieron el resto de cuestiones vinculadas a la
ejecución de los servicios por parte de la parte reclamante, ya esta Agencia ha
insistido en que ello no es objeto del presente procedimiento sancionador.

Por todo lo expuesto, se desestima la presente alegación.

SEXTA.- SOBRE LAS CIRCUNSTANCIAS AGRAVANTES

GLOVO realiza algunas apreciaciones sobre las agravantes alegadas por la AEPD:

1) La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido (apartado a): por la no atención de la solicitud de la parte reclamante del
ejercicio de su derecho de acceso, del 19 de agosto de 2021 al 14 de noviembre de
2022, una vez intervino esta Agencia.

Entiende GLOVO que esta agravante no debe ser considerada, ya que (i) sí se dio
respuesta, por más que pudiera ser insuficiente o incompleta, conforme el
departamento de atención al repartidor no puede proporcionar la información solicitada
por éste, y (ii) si no se dio respuesta hasta el 14 de noviembre de 2022 fue porque el
Sistema IMI de intercambio de información es excesivamente lento, porque la AEPD
no contactó con el Delegado de Protección de Datos en febrero de 2022 antes de
admitir a trámite la reclamación, y por que incluso así, habiéndose admitido en junio,
no trasladó el requerimiento de información hasta noviembre de ese mismo año.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

58/66

Por tanto, solicita que no se tenga en consideración esta agravante o, en su caso, que
no se consideren los plazos temporales tal y como los computa la AEPD, puesto que
podría haber sido todo mucho más rápido.

Al respecto, esta Agencia se reitera en que no considera que no se le hubiera dado
una respuesta a la parte reclamante, sino que se trata de que no se atendió
debidamente el ejercicio del derecho (es decir, no se le proporcionó la información
sobre sus datos personales), cuando así le correspondía a GLOVO.

Y en que la parte reclamante insistió en tres ocasiones en su solicitud de acceso a sus
datos personales, por lo que GLOVO tuvo varias ocasiones para proporcionar tal
información, mucho antes de que la parte reclamante presentara su reclamación o de
que tal reclamación fuera recibida en esta Agencia.

En cuanto a que no se contactó con el Delegado de Protección de Datos antes de
admitir a trámite la reclamación, esta Agencia se reitera en que la LOPDGDD prevé
esa posibilidad (la cual no es obligatoria) únicamente para reclamaciones presentadas
directamente ante la AEPD, lo cual no ocurrió en el presente caso.

En cualquier caso, esta Agencia desea destacar que no se trata tampoco en el
presente caso que no se hubiera atendido “en tiempo” tal solicitud, sino que tal
solicitud no hubiera sido atendida de no haber intervenido esta Agencia, toda vez que
sólo se le proporcionó el acceso a sus datos a la parte reclamante con posterioridad a
habérsele requerido información sobre la reclamación.

2) La intencionalidad o negligencia en la infracción (apartado b): la conducta de
GLOVO fue gravemente negligente toda vez que no se atendió el ejercicio del derecho
de acceso de los datos personales pese a que la parte reclamante insistió al menos
tres veces en que quería se le proporcionara la información solicitada.

Alega GLOVO que en ningún caso puede aceptar que se considere que su actuación
de Glovo fue gravemente negligente.

Primero, porque como considera demostrado, GLOVO implementó los mecanismos
oportunos para asegurar que el Departamento de Atención al Cliente que presta
servicios de soporte al repartidor facilitara la dirección del Departamento de Protección
de Datos a los interesados, tal y como exigen la obligación de medios del artículo 12
RGPD o las Directrices 1/2022, siendo un error humano del agente que atendió el
caso el que generó la reclamación que trae causa al presente procedimiento.

Segundo, porque, aunque no fuera así (que lo es), entiende GLOVO que la parte
reclamante no insistió tres veces en que quería que se le proporcionara la información
solicitada. De conformidad con la documentación aportada por la propia AEPD, existen
únicamente dos mensajes que hacen referencia al derecho de acceso, el primero en
fecha 26 de agosto a las 7:56, indicando que solicitaba la conversación del día 17 de
agosto, junto con otra información vinculada a la ejecución de sus servicios, y una
segunda solicitud, el 3 de septiembre a las 12:36, copiando exactamente la misma
solicitud anterior, pero corrigiendo la fecha de la conversación solicitada (inicialmente
indicaba que era del 17 de agosto, y posteriormente rectifica para indicar que es del 19

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

59/66

de agosto. Es cierto que, en la documentación aportada, el mensaje de 3 de
septiembre aparece dos veces, pero es siempre el mismo mensaje.

Asimismo, destaca GLOVO que ambos mensajes se enviaron con 6 días de diferencia
entre ellos, dentro del mismo caso o ticket, por lo que no cabe considerarlo como
“insistió tres veces”. Es la misma petición, realizada (para corregirla) por duplicado
dentro del mes que tenía GLOVO para dar respuesta, luego no puede aquí
considerarse reiteración ni insistencia alguna.

Por tanto, solicita GLOVO que no se tenga en consideración esta agravante por no ser
de aplicación a este caso.

Al respecto, esta Agencia se reitera en lo ya respondido en la alegación anterior, en
especial, que con independencia de las medidas adoptadas por GLOVO, en el
presente caso la parte reclamante realizó numerosas comunicaciones solicitando su
derecho de acceso a los datos sobre su persona, incluso haciendo referencia al
artículo 15 del RGPD, solicitud que no fue debidamente atendida.

En ningún momento se pretende una obligación de resultado. Pero era obligación de
GLOVO atender debidamente tal solicitud, reenviando la solicitud al Departamento que
la empresa determinó como el más idóneo para dar debida respuesta, en su caso, o
como mejor considerara la empresa.

Tampoco esta Agencia pretende que el responsable de tratamiento realice esfuerzos
desproporcionados y no razonables, sino de que la empresa debe asegurarse que las
solicitudes de ejercicio de derechos sean atendidas debidamente. Pretender que un
Departamento de Atención al Cliente tramite como corresponde una solicitud de ese
tipo, no resulta desproporcionado ni fuera de toda razón, toda vez que es un canal
destinado a la recepción de solicitudes de todo tipo. Por tal motivo, los agentes deben
poder identificar, canalizar y dar debida respuesta a tales solicitudes, lo cual no ha
ocurrido en el presente caso.

En cuanto al número de veces que la parte reclamante solicitó sus datos, esta Agencia
se reitera en que, tal como consta en los hechos probados de la presente resolución,
el 19 de agosto de 2021 a las 12:31 horas, la parte reclamante envió una
comunicación al Departamento de Atención al Cliente con el siguiente contenido (en
polaco el original, traducción no oficial): “Buenos días por favor envíeme la
conversación con (...), B.B.B., a mi dirección de correo electrónico, ya que será la
base de mi caso judicial, si eso no sucede, le enviaré una orden judicial.”

Es decir, realizó una primera solicitud de acceso a sus datos personales (en este caso,
las grabaciones de su conversación con una ***PUESTO.1). GLOVO parece
desconocer en sus alegaciones esta primera solicitud de la parte reclamante, pero el
hecho de no citar el artículo 15 del RGPD no impide que su contenido sea el de una
solicitud de acceso a los datos personales de la parte reclamante.

Ante esta solicitud, la empresa contestó a la parte reclamante el 19 de agosto de 2021
a las 15:30 horas en idioma polaco, con el siguiente contenido (traducción no oficial):
“Buenos días, gracias por contactar con Glovo. Desafortunadamente, no podemos
compartir con usted la conversación o sus fragmentos. Por favor, infórmenos cuál es
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

60/66

su problema con nuestra ***PUESTO.1. Saludos cordiales, Atención al cliente de
Glovo”.

Ante la negativa de la empresa de facilitarle tal información, y tras una serie de
conversaciones sobre otras cuestiones, el 26 de agosto de 2021 a las 07:56 horas, la
parte reclamante solicitó nuevamente al Departamento de Atención al Cliente de
GLOVO que se le proporcionara determinada información del 17 de agosto de 2021
sobre su persona, esta vez en base al artículo 15 del RGPD.

El 26 de agosto de 2021 se le informó a la parte reclamante que su caso fue
transferido a otro departamento y el 3 de septiembre de 2021 a las 12:36 horas se le
informó que no se le puede facilitar la información solicitada.

El 3 de septiembre de 2021 la parte reclamante indicó que había cometido un error
solicitando información sobre su persona del 17 de agosto de 2021, que lo que quería
era información del 19 de agosto de 2021.

Y, nuevamente, la empresa le informó el 6 de septiembre de 2021 que no podía
facilitarle tal información.

Es decir, en tres comunicaciones distintas (el 19 de agosto, 26 de agosto y 3 de
septiembre) la parte reclamante había solicitado el acceso a sus datos personales. Y
las tres veces GLOVO le respondió que no podía proporcionarle tal acceso, sin dar
más información al respecto. La propia GLOVO así lo ha reconocido en sus
alegaciones.

Es más, el 3 de septiembre de 2021 a las 12:36 horas la parte reclamante recibió un
correo electrónico desde [email protected] en idioma polaco, con
el siguiente contenido (traducción no oficial): “Buenos días, Lamentablemente, no
podemos compartir dicha información con usted. ¿Puede especificar qué es
exactamente lo que está solicitando? Recordamos que la apertura de varios chats
puede ralentizar su tiempo de servicio. Le pedimos que utilice un único chat para esta
solicitud. Saludos, Equipo de Glovo Atención al cliente de Glovo”.

Esta Agencia entiende que no cabe entender que en el presente caso se produjo un
error humano cuando en tres ocasiones distintas, en tres días distintos e incluso
habiéndose analizado la cuestión por dos departamentos distintos (la solicitud de la
parte reclamante había sido trasladada a otro departamento, al decir de la empresa),
la respuesta de GLOVO siempre había sido la misma: que no podía facilitarle a la
parte reclamante tal información, cuando sí que era obligación de GLOVO
proporcionársela.

Por último, esta Agencia desea señalar que el hecho de que las comunicaciones de la
parte reclamante con la empresa se hubieran realizado a través de un mismo ticket, no
es indicativo de nada, simplemente es un modo de organizarse de la empresa, como
cualquier otro.

Por tanto, por todo lo expuesto, se desestima la presente alegación.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

61/66

3) Toda infracción anterior cometida por el responsable o el encargado del tratamiento
(apartado e): El 1 de abril de 2020 la Directora de la AEPD firmó resolución de
procedimiento sancionador PS/00417/2019 en la que se sancionó a GLOVO con una
multa de 25.000€ por la infracción del artículo 37 del RGPD.

El 7 de marzo de 2023 la Directora de la AEPD firmó resolución de procedimiento
sancionador PS/00209/2022 en la que se dirigió un apercibimiento a GLOVO por la
infracción del artículo 13 del RGPD y se sancionó a GLOVO con una multa de
550.000€ por la infracción de los artículos 25 y 32 del RGPD.

Alega GLOVO que no se niega la existencia de los procedimientos sancionadores
anteriores, pero sí considera oportuno recordar a la AEPD que nada tienen que ver
con el presente caso, ni directa ni indirectamente, y que en cambio no está tomando
en consideración que entre los casos que ha gestionado la AEPD vinculados a la
atención de derechos de los interesados, no ha procedido nunca a sancionar a
GLOVO.

Por tanto, solicita que no se tenga en consideración esta agravante o, en su defecto,
que se considere también como atenuante el hecho de que la AEPD haya sido
conocedora de varias reclamaciones por atención de derechos, sin que hubiera
encontrado nunca ningún hecho reprobable en la actuación de GLOVO.

Al respecto, esta Agencia desea señalar que el literal del artículo 83.2.e) del RGPD
reza: “toda infracción anterior cometida por el responsable o el encargado del
tratamiento”, sin obligar a que las citadas infracciones estén relacionadas con la
infracción que se estuviera evaluando. Pero no puede negarse que a la hora de
graduar una multa, no puede tener igual consideración quien no hubiera infringido
nunca el RGPD, que quien sí lo hubiera hecho. De igual modo, no tendrá igual
consideración a la hora de graduar la multa por una infracción determinada si se
hubiera cometido idéntica infracción en ocasiones anteriores o si se trata de otras
infracciones. Para tranquilidad de GLOVO, se le informa que todo ello ha sido
debidamente tenido en cuenta por esta Agencia a la hora de graduar la sanción para el
presente procedimiento, razón por la que se le impone una multa de solo el 0,01% del
volumen total de negocio anual ( 15.000€ en relación con ***CANTIDAD.1 € de
volumen de negocio, según consta en los hechos probados).

Por lo demás, debido a un error involuntario por su parte, esta Agencia ha omitido en
su valoración de la graduación de la posible sanción en el presente procedimiento el
procedimiento PS/00372/2021 en el cual, mediante resolución de 13 de junio de 2022
la Directora de esta Agencia impuso a GLOVO un apercibimiento por la infracción del
artículo 12 del RGPD, por un derecho de supresión no atendido debidamente.

También debido a un error involuntario por su parte, esta Agencia no tuvo en
consideración que en el procedimiento TD/00268/2020 se dictó resolución estimatoria
de la pretensión de la parte reclamante por una solicitud de derecho de acceso a los
datos personales de la parte reclamante que no había sido debidamente atendida.

Por lo expuesto, esta Agencia no puede más que desestimar la presente alegación.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

62/66

IV
Derecho de acceso del interesado

El artículo 15 “Derecho de acceso del interesado” del RGPD establece:

“1. El interesado tendrá derecho a obtener del responsable del tratamiento
confirmación de si se están tratando o no datos personales que le conciernen y, en tal
caso, derecho de acceso a los datos personales y a la siguiente información:
a) los fines del tratamiento;
b) las categorías de datos personales de que se trate;
c) los destinatarios o las categorías de destinatarios a los que se comunicaron o serán
comunicados los datos personales, en particular destinatarios en terceros países u
organizaciones internacionales;
d) de ser posible, el plazo previsto de conservación de los datos personales o, de no
ser posible, los criterios utilizados para determinar este plazo;
e) la existencia del derecho a solicitar del responsable la rectificación o supresión de
datos personales o la limitación del tratamiento de datos personales relativos al
interesado, o a oponerse a dicho tratamiento;
f) el derecho a presentar una reclamación ante una autoridad de control;
g) cuando los datos personales no se hayan obtenido del interesado, cualquier
información disponible sobre su origen;
h) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que
se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información
significativa sobre la lógica aplicada, así como la importancia y las consecuencias
previstas de dicho tratamiento para el interesado.

2. Cuando se transfieran datos personales a un tercer país o a una organización
internacional, el interesado tendrá derecho a ser informado de las garantías
adecuadas en virtud del artículo 46 relativas a la transferencia.

3. El responsable del tratamiento facilitará una copia de los datos personales objeto de
tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el
interesado un canon razonable basado en los costes administrativos. Cuando el
interesado presente la solicitud por medios electrónicos, y a menos que este solicite
que se facilite de otro modo, la información se facilitará en un formato electrónico de
uso común.

4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente
a los derechos y libertades de otros”.

En el presente caso, la parte reclamante solicitó a GLOVO a través de un correo
electrónico a [email protected] el 19 de agosto de 2021 la
conversación mantenida con B.B.B..

Ese mismo día, el equipo de Atención al cliente de GLOVO le indica que no pueden
compartir la citada conversación o sus fragmentos, sin justificar tal denegación.

Después de un intercambio de correos electrónicos entre la parte reclamante y
GLOVO, la parte reclamante el 26 de agosto de 2021 solicita a GLOVO mediante
correo electrónico a [email protected], sobre la base del artículo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

63/66

15 del RGPD que se le proporcione el registro de la conversación con B.B.B. de 17 de
agosto de 2021, la hora exacta en que hizo check-in ese día y las acciones de los
empleados que modificaron esos datos, información sobre un pedido cancelado el 17
de agosto junto con los motivos de la cancelación y las acciones de los empleados que
cambiaron esos datos, y el plan de trabajo del 17 de agosto de los cambios del
sistema y los empleados de GLOVO.

El 26 de agosto de 2021 a las 20:09 horas la parte reclamante recibió un correo
electrónico desde la dirección [email protected] en idioma polaco,
con el siguiente contenido (traducción no oficial): “Hola, A.A.A.! Gracias por contactar
con nosotros. Su caso fue transferido a otro departamento. Una vez que tengamos
una respuesta, se la transmitiremos. Esperamos que esta información sea útil, porque
estamos siempre intentando ocuparnos de dar la más alta calidad en nuestro servicio.
Puede contar con nosotros. Gracias por su confianza. Atención al cliente de Glovo”.

El 3 de septiembre de 2021 el equipo de atención al cliente de GLOVO le contesta
nuevamente que no puede compartir la información solicitada por la parte reclamante,
sin indicar justificación alguna.

El 3 de septiembre de 2021 la parte reclamante indica que cometió un error y estaba
solicitando la información correspondiente al día 19 de agosto de 2021.

El 6 de septiembre de 2021 el equipo de atención al cliente de GLOVO insiste en que
no puede proporcionar la información solicitada a la parte reclamante, sin indicar
justificación alguna.

Es decir, en ninguna de estas ocasiones se atendió por parte de GLOVO la solicitud de
acceso a los datos personales de la parte reclamante.

Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de resolución de procedimiento sancionador, se considera que los hechos conocidos
son constitutivos de una infracción, imputable a GLOVO, por vulneración del artículo
15 del RGPD.

V
Tipificación y calificación de la infracción del artículo 15 del RGPD

La citada infracción del artículo 15 del RGPD supone la comisión de las infracciones
tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
(…)
b) los derechos de los interesados a tenor de los artículos 12 a 22; (…)”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

64/66

A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
(…)
k) El impedimento o la obstaculización o la no atención reiterada del ejercicio
de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE)
2016/679 (…)”.

VI
Sanción por la infracción del artículo 15 del RGPD

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone en el presente momento de
resolución de procedimiento sancionador, se considera que procede graduar la
sanción a imponer de acuerdo con los siguientes criterios que establece el artículo
83.2 del RGPD:

- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido (apartado a): por la no atención de la solicitud de
la parte reclamante del ejercicio de su derecho de acceso, del 19 de agosto de
2021 al 14 de noviembre de 2022, una vez intervino esta Agencia.

- La intencionalidad o negligencia en la infracción (apartado b): la conducta de
GLOVO fue gravemente negligente toda vez que no se atendió el ejercicio del
derecho de acceso de los datos personales pese a que la parte reclamante
insistió al menos tres veces en que quería se le proporcionara la información
solicitada.

Como agravantes:

- Toda infracción anterior cometida por el responsable o el encargado del
tratamiento (apartado e): El 1 de abril de 2020 la Directora de la AEPD firmó
resolución de procedimiento sancionador PS/00417/2019 en la que se sancionó
a GLOVO con una multa de 25.000€ por la infracción del artículo 37 del RGPD.

El 7 de marzo de 2023 la Directora de la AEPD firmó resolución de
procedimiento sancionador PS/00209/2022 en la que se dirigió un
apercibimiento a GLOVO por la infracción del artículo 13 del RGPD y se
sancionó a GLOVO con una multa de 550.000€ por la infracción de los artículos
25 y 32 del RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

65/66

Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas
correctivas” de la LOPDGDD:

Como agravantes:

- La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales (apartado b): El desarrollo de la actividad empresarial que
desempeña GLOVO requiere un tratamiento continuo de datos personales.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 15 del RGPD, permite imponer una sanción de 15.000 € (quince mil euros).

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a GLOVOAPP23, S.A., con NIF A66362906, por una infracción
del Artículo 15 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de
15.000,00 euros (QUINCE MIL euros).

SEGUNDO: NOTIFICAR la presente resolución a GLOVOAPP23, S.A.

Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso
potestativo de reposición (un mes a contar desde el día siguiente a la notificación de
esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al
sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente
resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b) de la ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

66/66

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.

938-16012024
Mar España Martí
Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es