1/6
• Expediente N.º: EXP202203606
RESOLUCIÓN Nº: R/00665/2022
Vista la reclamación formulada el 21 de febrero de 2022 ante esta Agencia por A.A.A.,
(a partir de ahora la parte reclamante), contra SECURITAS DIRECT ESPAÑA, S.A., (a
partir de ahora la parte reclamada), por no haber sido debidamente atendido su derecho
de acceso y supresión.
Realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes
HECHOS
PRIMERO: La parte reclamante ejerció los derechos de acceso y supresión frente a la
reclamada con NIF A26106013, sin que su solicitud haya recibido la contestación
legalmente establecida. Aporta diversa documentación relativa a la reclamación
planteada ante esta Agencia y sobre el ejercicio del derecho ejercitado.
SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, que ha previsto un
mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la
AEPD, consistente en trasladarlas a los Delegados de Protección de Datos designados
por los responsables o encargados del tratamiento, a los efectos previstos en el artículo
37 de la citada norma, o a éstos cuando no los hubieren designado, se dio traslado de
la reclamación a la entidad reclamada para que procediese a su análisis y diera
respuesta a la parte reclamante y a esta Agencia en el plazo de un mes.
El representante/Delegado de Protección de datos del reclamado responde a esta
Agencia con fecha 22 de abril de 2022, nos explica la relación contractual mantenida
entre las partes y respecto a los derechos solicitados solo hace referencia a la falta de
copia/fotocopia del DNI para identificar a la reclamante en su solicitud.
A saber:
“…no fue hasta el 18 de junio de 2021 cuando Securitas Direct recibió el primer escrito
de ejercicio de derecho de cancelación (no acceso) de datos personales por parte de la
Sra. A.A.A. que se contestó en fecha 21 de junio de 2021 por correo electrónico y donde
se le pidió que debía adjuntar copia del DNI para poder ejecutarlo. Posteriormente, se
volvió a recibir esa misma petición, ahora por correo postal el 23 de agosto de 2021
que se volvió a responder el 24 de agosto de 2021 en términos similares, esto es,
solicitando de nuevo copia de su DNI ya que no venía adjunto…”
El reclamado aporta también, un correo electrónico con la misma fecha, 22 de abril de
2022, donde envía a la parte reclamante sus datos referentes al derecho de acceso y,
justifica que no atiende el derecho de supresión por la controversia habida entres las
partes en espera de que se resuelvan.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/6
TERCERO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió
entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con
fecha 21 de mayo de 2022, a los efectos previstos en su artículo 64.2 de la LOPDGDD,
la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la
reclamación presentada y se informó a las partes que el plazo máximo para resolver el
presente procedimiento, que se entiende iniciado mediante dicho acuerdo de admisión
a trámite, será de seis meses.
El mencionado acuerdo concedió a la entidad reclamada trámite de audiencia, para que
en el plazo de quince días hábiles presentase las alegaciones que estimara
convenientes. A fecha de resolución de esta reclamación se han presentado
alegaciones donde, confirman todo lo expuesto anteriormente y manifiestan no entender
porque se admitió a trámite la reclamación a la vista de los expuesto.
FUNDAMENTOS DE DERECHO
PRIMERO: Es competente para resolver la Directora de la Agencia Española de
Protección de Datos, conforme a lo establecido en el apartado 2 del artículo 56 en
relación con el apartado 1 f) del artículo 57, ambos del Reglamento (UE) 2016/679 del
Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las
personas físicas en lo que respecta al tratamiento de datos personales y a la libre
circulación de estos datos (en lo sucesivo, RGPD); y en el artículo 47 de la Ley Orgánica
3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los
derechos digitales (en lo sucesivo LOPDGDD).
SEGUNDO: De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia
Española de Protección de Datos es competente para desempeñar las funciones que
se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover
la sensibilización de los responsables y los encargados del tratamiento acerca de las
obligaciones que les incumben, así como tratar las reclamaciones presentadas por un
interesado e investigar el motivo de las mismas.
Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables
y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en
el desempeño de sus funciones. Para el caso de que éstos hayan designado un
delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de
cooperar con dicha autoridad.
Del mismo modo, el ordenamiento jurídico interno, en el artículo 65.4 la LOPDGDD, ha
previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se
formulen ante la Agencia Española de Protección de Datos, que consiste en dar traslado
de las mismas a los delegados de protección de datos designados por los responsables
o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma,
o a éstos cuando no los hubieren designado, para que procedan al análisis de dichas
reclamaciones y a darles respuesta en el plazo de un mes.
De conformidad con esta normativa, con carácter previo a la admisión a trámite de la
reclamación que da lugar al presente procedimiento, se dio traslado de la misma a la
entidad responsable para que procediese a su análisis, diera respuesta a esta Agencia
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/6
en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida,
en el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD.
El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la
parte reclamante. En consecuencia, con fecha 21 de mayo de 2022, a los efectos
previstos en su artículo 64.2 de la LOPDGDD, la Directora de la Agencia Española de
Protección de Datos acordó admitir a trámite la reclamación presentada. Dicho acuerdo
de admisión a trámite determina la apertura del presente procedimiento de falta de
atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a
22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual:
“1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una
solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del
Reglamento (UE) 2016/679, se iniciará por acuerdo de admisión a trámite, que se
adoptará conforme a lo establecido en el artículo siguiente.
En este caso el plazo para resolver el procedimiento será de seis meses a contar desde
la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite.
Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”.
No se estima oportuna la depuración de responsabilidades administrativas en el marco
de un procedimiento sancionador, cuyo carácter excepcional implica que se opte,
siempre que sea posible, por la prevalencia de mecanismos alternativos que tengan
amparo en la normativa vigente.
Es competencia exclusiva de esta Agencia valorar si existen responsabilidades
administrativas que deban ser depuradas en un procedimiento sancionador y, en
consecuencia, la decisión sobre su apertura, no existiendo obligación de iniciar un
procedimiento ante cualquier petición realizada por un tercero. Tal decisión ha de
basarse en la existencia de elementos que justifiquen dicho inicio de la actividad
sancionadora, circunstancias que no concurren en el presente caso, considerando que
con el presente procedimiento quedan debidamente restauradas las garantías y
derechos del reclamante.
TERCERO: Los derechos de las personas en materia de protección de datos personales
están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se
contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la
limitación del tratamiento y derecho a la portabilidad.
Los aspectos formales relativos al ejercicio de esos derechos se establecen en los
artículos 12 del RGPD y 12 de la LOPDGDD.
Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del
RGPD.
De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe
arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos,
que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD),
y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo
que pueda demostrar que no está en condiciones de identificar al interesado, y a
expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/6
responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio
de sus derechos formulada por el afectado.
La comunicación que se dirija al interesado con ocasión de su solicitud deberá
expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje
claro y sencillo.
Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido
en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran
cantidad de datos, el responsable podrá solicitar al afectado que especifique los “datos
o actividades de tratamiento a los que se refiere la solicitud”. El derecho se entenderá
otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida
la solicitud (si bien el interesado podrá solicitar la información referida a los extremos
previstos en el artículo 15 del RGPD).
El ejercicio de este derecho se podrá considerar repetitivo en más de una ocasión
durante el plazo de seis meses, a menos que exista causa legítima para ello.
Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio
distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser
asumido por el afectado.
CUARTO: El artículo 17 del RGPD, que regula el derecho de supresión de los datos
personales, establece lo siguiente:
“1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del
tratamiento la supresión de los datos personales que le conciernan, el cual estará
obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna
de las circunstancias siguientes:
a) los datos personales ya no sean necesarios en relación con los fines para los que
fueron recogidos o tratados de otro modo;
b) el interesado retire el consentimiento en que se basa el tratamiento de conformidad
con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se
base en otro fundamento jurídico;
c) el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no
prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al
tratamiento con arreglo al artículo 21, apartado 2;
d) los datos personales hayan sido tratados ilícitamente;
e) los datos personales deban suprimirse para el cumplimiento de una obligación legal
establecida en el Derecho de la Unión o de los Estados miembros que se aplique al
responsable del tratamiento;
f) los datos personales se hayan obtenido en relación con la oferta de servicios de la
sociedad de la información mencionados en el artículo 8, apartado 1.
2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo
dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento,
teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará
medidas razonables, incluidas medidas técnicas, con miras a informar a los
responsables que estén tratando los datos personales de la solicitud del interesado de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/6
supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de
los mismos.
3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
a) para ejercer el derecho a la libertad de expresión e información;
b) para el cumplimiento de una obligación legal que requiera el tratamiento de datos
impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al
responsable del tratamiento, o para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable;
c) por razones de interés público en el ámbito de la salud pública de conformidad con el
artículo 9, apartado 2, letras h) e i), y apartado 3;
d) con fines de archivo en interés público, fines de investigación científica o histórica o
fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el
derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente
el logro de los objetivos de dicho tratamiento, o
e) para la formulación, el ejercicio o la defensa de reclamaciones”.
QUINTO: Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la
LOPDGDD, “el interesado tiene derecho a obtener del responsable del tratamiento
confirmación de si se están tratando o no datos personales que le conciernen y, en tal
caso, derecho de acceso a los datos personales”.
Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho
personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se
está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales
que le conciernan y que estén siendo objeto de tratamiento, así como información, en
particular, sobre los fines del tratamiento, las categorías de datos personales de que se
trate, los destinatarios o categorías de destinatarios a los que se comunicaron o serán
comunicados los datos personales, el plazo previsto o criterios de conservación, la
posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la
autoridad de control, la información disponible sobre el origen de los datos (si estos no
se han obtenido directamente de titular), la existencia de decisiones automatizadas,
incluida la elaboración de perfiles, e información sobre transferencias de datos
personales a un tercer país o a una organización internacional. La posibilidad de obtener
copia de los datos personales objeto de tratamiento no afectará negativamente a los
derechos y libertados de otros, es decir, el derecho de acceso se otorgará de modo que
no afecte a datos de terceros.
En el supuesto aquí analizado, la parte reclamante ejerció sus derechos de acceso y
supresión. De conformidad con la documentación aportada por la parte reclamada
durante la tramitación del procedimiento, el derecho de acceso fue atendido en fecha 22
de abril de 2022,
En cuanto al derecho de supresión, en la misma fecha, se indicó a la parte reclamante
que no se podía atender la solicitud hasta que se solventen las cuestiones relativas a
las controversias contractuales surgidas y el pago de la cantidad adeudada. De
conformidad con lo dispuesto en el artículo 17 del RGPD, apartado 3:
“Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
e) para la formulación, el ejercicio o la defensa de reclamaciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/6
Por tanto, se considera contestado, asimismo, el derecho de supresión.
En base a cuanto antecede, considerando que el presente procedimiento tiene como
objeto que las garantías y los derechos de los afectados queden debidamente
restaurados, procede estimar por motivos formales la reclamación que originó el
presente procedimiento por considerar que el derecho de acceso ha sido atendido y el
de supresión denegado motivadamente.
Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia
Española de Protección de Datos RESUELVE:
PRIMERO: ESTIMAR por motivos formales, la reclamación formulada por A.A.A. a
contra la entidad SECURITAS DIRECT ESPAÑA, S.A.
No obstante, no procede la emisión de nueva certificación por parte de dicha entidad, al
haberse emitido la respuesta extemporáneamente, sin que se requiera la realización de
actuaciones adicionales por parte del responsable.
SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a SECURITAS DIRECT
ESPAÑA, S.A.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la Directora
de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde
el día siguiente a la notificación de esta resolución o directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional,
con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional
cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-
administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación
de este acto, según lo previsto en el artículo 46.1 de la referida Ley.
1037-020622
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es