1/18
Expediente N.º: PS/00006/2022
IMI Reference: A56ID 157580- Case Register 354215
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 19 de febrero de 2019
interpuso reclamación ante la autoridad italiana de protección de datos. La
reclamación se dirige contra COOLTRA MOTOSHARING S.L.U., con NIF B65874877
(en adelante, COOLTRA). Los motivos en que basa la reclamación son los siguientes:
En el proceso de registro de cuenta en los servicios de ECOOLTRA disponibles a
través de su portal web, la empresa le requirió a la parte reclamante información
adicional después de haber proporcionado su carnet de conducir y datos de tarjeta de
crédito. En ese momento, la parte reclamante decidió cancelar su cuenta. Puesto que
no se ofrecía ninguna forma para eliminar el perfil ni en la web ni en la app, la parte
reclamante se puso en contacto con COOLTRA a través de la dirección de correo
[email protected] y solicitó la supresión de todos sus datos y detalles de pago,
almacenados en sus sistemas.
Sin embargo, la empresa no accedió a responder su petición, y le volvió a solicitar la
misma información adicional varias veces. La parte reclamante recurrió al canal de
"chat" con el servicio de Atención al Cliente, y ahí le confirmaron que la supresión de
sus datos se había realizado. Para dejar registrada formalmente su petición, le
instaron a remitirla a un buzón, [email protected], la cual resultó que no admitía
correos de entrada. La parte reclamante se dirigió a la dirección [email protected],
indicada en la política de privacidad para el ejercicio de derechos de protección de
datos, pero tampoco recibió contestación. En cambio, con posterioridad han llegado
mensajes comerciales procedentes de ECOOLTRA a su cuenta.
En la descripción temporal de lo sucedido aportada por la parte reclamante se indica lo
siguiente:
El 18 de octubre de 2018 COOLTRA registró la cuenta de la parte reclamante, pero
solicitó información adicional sobre su domicilio y permiso de conducir.
Ese mismo día la parte reclamante solicitó por correo electrónico - no se ofreció
ninguna función de eliminación de perfil ni en el sitio web ni a través de la aplicación -
a [email protected] que se elimine su perfil junto con todos su datos y detalles de
pago almacenados en su sitio web, sin proporcionar la información adicional que
habían solicitado.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/18
El 20 de octubre de 2018 COOLTRA solicitó, una vez más, la información antes
mencionada para finalizar el registro.
El 21 de octubre de 2018 COOLTRA solicitó, una vez más, la información antes
mencionada para finalizar el registro.
El 22 de octubre de 2018 la parte reclamante solicitó por correo electrónico - no había
ninguna función de eliminación de perfil disponible ni en el sitio web ni a través de la
aplicación - a [email protected] que se concediera su solicitud según su correo del 18
de octubre de 2018.
El 28 de octubre de 2018 COOLTRA solicitó, una vez más, la información antes
mencionada para finalizar el registro.
El 30 de octubre de 2018 la parte reclamante solicitó por correo electrónico - no había
ninguna función de eliminación de perfil disponible en el sitio web ni a través de la
aplicación - a [email protected] que su solicitud se concediera según sus correos
electrónicos del 18 y 22 de octubre de 2018.
El 30 de octubre de 2018 la parte reclamante se puso en contacto con COOLTRA a
través del chat disponible en su sitio web, en el que le aseguraron que todos sus datos
habían sido borrados. Sin embargo, le informaron que su solicitud de supresión
también debería enviarse a [email protected] para estar seguros.
Pareciera que los correos enviados a [email protected] no se entregan ya que esa
cuenta no está habilitada para la recepción de correos electrónicos. La parte
reclamante escribió un mensaje, una vez más, a [email protected].
El 22 de noviembre de 2018 la parte reclamante recibió anuncios enviados por correo
electrónico desde el sitio web de COOLTRA.
El 23 de noviembre de 2018 la parte reclamante envió un correo electrónico a
[email protected] - no hay ninguna función de borrado de perfil disponible en el sitio
web ni a través de la aplicación - solicitando según la 'Política de privacidad' en el sitio
web que su perfil se elimine junto con todos sus datos y los detalles de pago
almacenados en el sitio web. También adjuntó su identificación.
El 24 y 31 de diciembre de 2018 y el 11 y 19 de febrero de 2019 la parte reclamante
recibió más anuncios enviados por correo electrónico desde el sitio web de COOLTRA.
Junto con la reclamación aporta:
- Copia de su DNI
- Copia de la política de privacidad de COOLTRA
- Impresión de pantalla con el citado intercambio de correos electrónicos entre la parte
reclamante y COOLTRA.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/18
SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo
IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del
Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la
cooperación administrativa transfronteriza, la asistencia mutua entre los Estados
miembros y el intercambio de información, en fecha 19 de octubre de 2020 se
transmitió la citada reclamación y se le dio fecha de registro de entrada en la Agencia
Española de Protección de Datos (AEPD) el día 22 de octubre de 2020. El traslado de
esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo
56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de
27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al
Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo
sucesivo, RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia
es competente para actuar como autoridad de control principal, dado que COOLTRA
tiene su sede social y establecimiento único en España.
Los tratamientos de datos que se llevan a cabo afectan a interesados en varios
Estados miembros. Según las informaciones incorporadas al Sistema IMI, de
conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de
“autoridad de control interesada” únicamente la autoridad italiana de protección de
datos.
TERCERO: Con fecha 26 de enero de 2021, de conformidad con el artículo 64.3 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (LOPDGDD), se admitió a trámite la reclamación
presentada por la parte reclamante.
CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:
1. Decisión adoptada a propósito de esta reclamación
Al recibir la presente reclamación, el DPD de COOLTRA ha revisado toda la
documentación adjunta, lo ha contrastado con los departamentos afectados dentro de
la organización (en concreto, Legal, Marketing, Costumer Service y RRHH), ha
comprobado las comunicaciones adjuntas y ha comprobado el funcionamiento del
sistema de respuesta a los ejercicios de derechos de los afectados.
Tras recabar la información se ha procedido a establecer un cambio en el protocolo
actual y es que el correo [email protected] pasará a ser gestionado directamente
por el DPD, siendo hasta entonces gestionado de forma inicial por el Departamento de
Costumer Service.
2. Acreditación de la respuesta facilitada a la solicitud de la parte reclamante, relativa
al ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/18
Los representantes de COOLTRA han verificado que no se le dio respuesta expresa a
la parte reclamante, más allá de las indicaciones del departamento de Costumer
Service vía chat con fecha 30 de octubre de 2018 de que debía dirigirse al correo
[email protected].
Según consta en la entidad:
La parte reclamante remitió las primeras reclamaciones a la dirección
[email protected], no siendo la dirección indicada en la Política de Privacidad (esta
era [email protected]). Si bien en este correo también se gestionan las bajas, el
volumen de comunicaciones es tan elevado que puede ocurrir que se pase alguno, por
eso es importante que el ejercicio de derechos se haga por los canales establecidos
en la Política de Privacidad que está accesible en la página principal de COOLTRA.
Posteriormente, vía chat, se le indicó que podía pedir la baja sin problemas en la
dirección [email protected]. Sin embargo, la parte reclamante se equivocó al
introducir el correo, pues puso [email protected]. Por ello, nunca se recibió.
El perfil de la parte reclamante permanecía activo aunque pendiente de verificación.
No obstante, al haber aceptado el envío de comunicaciones relacionadas con el servi-
cio las seguía recibiendo.
En las comunicaciones se facilitaba un enlace casi automático para darse de baja,
pero no se utilizó.
Finalmente, la parte reclamante envió correctamente el correo electrónico para darse
de baja a [email protected] el 28 de noviembre de 2018, pero no fue atendido en
plazo por un error puntual y porque la empresa se encontraba en plena implantación
de nuevos protocolos.
Posteriormente, se detectó que este correo no había sido atendido y el Departamento
de Marketing simplemente le dio de baja del sistema, sin proceder a darle una res-
puesta. La baja se realizó a 01 de marzo de 2019.
Con fecha 17 de febrero de 2021 se ha enviado un correo electrónico a la parte recla-
mante informando de la cancelación de sus datos.
3. Informe sobre las causas que han motivado la incidencia que ha originado la
reclamación
La reclamación ejercitada por la parte reclamante tuvo lugar en el mes de octubre del
año 2018, año de implementación del RGPD, y cuando todavía no estaba vigente la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales.
La empresa estaba en un momento de plena implantación de nuevos procesos,
todavía existían muchas dudas prácticas de como operaría la nueva normativa y,
aunque se contaba con un adecuado asesoramiento externo, COOLTRA todavía no
había nombrado ningún DPD, algo que hizo el año siguiente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/18
Como primer hecho relevante cabe destacar que los correos electrónicos de fecha 18,
20 y 30 de octubre de 2018 fueron todos enviados a [email protected], y no al correo
que se indicaba ya en ese momento en la política de privacidad, que es el de
[email protected]. (Anteriormente también había una política que indicaba el correo
[email protected]).
COOLTRA es una compañía que tiene más de 1.200.000 usuarios, y pese a que
desde el correo [email protected] siempre se da respuesta a los usuarios que
quieren darse de baja, no es el canal indicado en la política de privacidad para ejercer
los derechos de las personas interesadas, que específicamente indica el correo
[email protected] ya que los ejercicios de derechos de los usuarios se canalizan a
través de un canal prioritario, a efectos de garantizar que se da cumplimiento íntegro
en tiempo y forma de todas y cada una de las solicitudes y es respondido, por
protocolo, en menos de 24 horas, además de reenviado, si es necesario, al
Departamento Legal o al DPD.
Cuando la parte reclamante contactó con Costumer Care y tras explicar la situación,
se le indicó que enviara un correo electrónico a [email protected]. Esto ocurrió en
pleno proceso de implantación de las medidas de protección de datos, y que los
trabajadores todavía no habían recibido todos los nuevos protocolos organizativos y de
seguridad, por ello se le facilitó el antiguo correo habilitado para realizar las bajas
([email protected]), que también funcionaba, coexistiendo con el recién implantado
[email protected] hasta el 2020.
Sin embargo, la parte reclamante se equivocó en el destinatario y envió el correo
electrónico a [email protected] (.it y no .com), y por ello la dirección le salía como
inválida. De haber remitido el correo a la dirección correcta, la baja se hubiera
realizado correctamente a la primera.
En relación con las comunicaciones que recibió tras solicitar la baja, los
representantes de la entidad manifiestan lo siguiente:
La parte reclamante se dio de alta en un servicio muy particular, el que le brindaba la
posibilidad de utilizar ciclomotores de la compañía aparcados en su zona de influencia
con tan solo reservarlos por la App destinada al efecto. Por normativa, el ofrecer este
servicio obliga a solicitar información de carácter personal específica, que permita no
sólo verificar la identidad, sino que el usuario dispone del correspondiente permiso de
conducción.
Es por ello que es habitual que haya usuarios que se han comenzado a dar de alta,
han aceptado los términos y condiciones, pero están en una situación provisional
porque no han remitido toda la documentación.
El usuario, cuando solicita el servicio, puede aceptar la remisión de información de
interés relativa al servicio. En ningún caso se envía “publicidad” indiscriminada, si no
comunicaciones importantes para la correcta ejecución del servicio o comunicaciones
que contiene información objetivamente interesante para el usuario (kilómetros gratis,
niveles de contaminación, etc.).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/18
Especialmente y al principio, cuando aún no ha remitido toda la información necesaria,
se envían comunicaciones para recordarle que el sistema no ha permitido validar su
identidad y su idoneidad y que aún no es un usuario activo. De forma paralela, se
remiten comunicaciones directamente relacionadas con el servicio (no para la venta de
servicios alternativos de la empresa) o bien simplemente información de interés con el
objetivo de informar y fidelizar del usuario.
Al no haberse tramitado bien la baja y haberse suscrito al servicio, recibió algunas
comunicaciones (las que constan en el expediente, todas relacionadas con el servicio
para el cual se dio de alta), teniendo en cuenta que había aceptado las mismas
previamente y en los correos tenía la opción clara en el pie de página de
“desuscribirse”.
COOLTRA reconoce que se cometió un error, porque la Sra. A.A.A. afirma que,
finalmente, envió correo electrónico correctamente a [email protected] y este no fue
contestado en el plazo de 30 días que exige la Ley. Sin embargo, la baja finalmente se
tramitó, en concreto el 1 de marzo de 2019, día en que la parte reclamante fue dada
de baja tal y como consta en la plataforma de gestión de usuarios de COOLTRA.
Este hecho es que fue un error puntual como se ha podido comprobar por la empresa
que ha revisado todas las comunicaciones recibidas y como se han gestionado. Y las
comunicaciones son miles y todas constan como que se han gestionado
correctamente.
Durante los primeros meses de obligatoriedad del RGPD coexistieron dos direcciones,
la ciao@ y la rgpd@. El cambio no fue inmediato, y los primeros meses los
empleados, acostumbrados, seguían indicando la primera. Pero esto no era un
problema, porque funcionaba correctamente.
Pero en este caso la parte reclamante se equivocó en la dirección del ciao@ y la
dirección rgpd@, en pruebas, no fue atendida en plazo por no tener muy claro el
receptor en ese momento lo que se debía hacer (aún se recibía casi todo por ciao@).
La realidad es que, con la entrada en vigor de la Ley Orgánica 3/2018, de 5 de
diciembre, y en aplicación de las medidas organizativas y técnicas que se
implementaron, se facilitó y mejoró un protocolo claro de actuación en caso de que
algún usuario quisiera ejercer sus derechos de acceso, rectificación, oposición,
limitación y, en su caso, portabilidad o cancelación.
Este protocolo se implementó a todo el Departamento de Costumer Service, y se
indicó que era preceptivo para cualquier solicitud relacionada, independientemente del
canal, fuera en el rgpd@, en el info@, telefónicamente o por chat.
Por otro lado, COOLTRA, para gestionar las comunicaciones a sus usuarios, se dio de
alta en una plataforma de gestión externa, desde la cual el circuito de baja de usuarios
pasaba a estar controlado por el departamento de marketing, siendo el departamento
de Costumer Service el encargado de reenviar las solicitudes de baja de los usuarios
al departamento de marketing.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/18
La entidad considera que este sistema funciona perfectamente desde su implantación
dado que el volumen de bajas y peticiones que se gestiona es enorme, y en los dos
años y dos meses de aplicación solo ha fallado en el caso de la parte reclamante.
4. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias
similares, fechas de implantación y controles efectuados para comprobar su eficacia
COOLTRA tiene 1.200.000 usuarios dados de alta en su plataforma y la reclamación
de la parte reclamante es la única reclamación que ha tenido COOLTRA desde que
inició su actividad en el año 2016.
Con una cantidad tan alta de usuarios, el volumen de peticiones de bajas es muy
elevado: el año 2018 se tramitaron 58.638 bajas, en el año 2019 66.313 bajas y en el
año 2020 43.781 bajas de usuarios. Todo ello sin contar las bajas automáticas
derivadas del unsubscribe de los correos con información sobre el servicio.
Durante el mes de enero de 2021, solamente en el correo electrónico habilitado a tal
efecto [email protected] se han solicitado 22 bajas que han procedido a realizarse en
un plazo máximo de 24 horas.
El equipo de Costumer Service contesta a todas las personas que quieren darse de
baja del sistema tanto si lo solicitan desde el correo electrónico [email protected],
como desde los correos electrónicos [email protected], [email protected] y
[email protected] (específicamente para Italia) e informa al departamento de
marketing para que el usuario se dé de baja de las comunicaciones comerciales.
El usuario también puede darse de baja de las comunicaciones a través del enlace del
pie del correo electrónico de las mismas. Cuando se solicita por ese canal, el proceso
es automático.
La entidad considera que los protocolos que se siguen en COOLTRA y las medidas
organizativas y técnicas instauradas a raíz de la entrada en vigor de la LOPDGDD son
fiables puesto que de 168.732 solicitudes recibidas desde el año 2018, tan solo una
persona ha interpuesto una reclamación ante la Agencia de Protección de Datos y
dicha reclamación coincide con los meses en que desde la mercantil se estaba
implantando todos los mecanismos de seguridad para que el cumplimiento del RGPD
y la LOPDGDD fueran óptimos.
A raíz de este problema se ha decidido que sea el DPD quien reciba directamente el
correo [email protected], con el objeto de filtrar aquellos correos a los que deba
prestarse especial atención y evitar dudas a Costumer Service y Marketing o retrasos
innecesarios en su gestión.
5. En relación al traslado de la reclamación de fecha 26 de octubre de 2020
Los representantes de la entidad indican que hay varias circunstancias que han
coincidido:
1.- En primer lugar, debemos tener en cuenta que COOLTRA es una empresa que se
dedica al alquiler de motos por minutos cuyos usuarios son, en una proporción
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/18
bastante importante, provenientes del turismo, por ello se encuentra en las principales
capitales europeas.
Desde el inicio de la pandemia por SARS COVID 19, COOLTRA se ha visto
seriamente afectada en sus ventas, y ha tenido que realizar un plan de
reestructuración para adaptar su plantilla a la nueva realidad mundial, recurriendo a
ERTES para una parte muy importante de su plantilla. Esto ha hecho que muchos
meses de 2020 (y los que llevamos de 2021) el personal activo se viera, en ocasiones,
asumiendo tareas que no le eran propias y asumiendo algunas responsabilidades que
no eran las habituales, lo que conlleva, sin duda, desajustes en el funcionamiento.
Aun así, el Dept. de Costumer Service se ha mantenido activo siempre y la plantilla ha
estado de alta casi al completo, garantizándose como siempre que los derechos de los
afectados estaban a salvo.
2.- Además, se decidió empresarialmente en la misma fecha (octubre 2020) unificar
todas las líneas de negocio bajo el mismo nombre comercial “Cooltra”, que engloba
tanto los servicios ofrecidos por COOLTRA como por otras marcas y líneas de negocio
que tiene la empresa. Por ello, los meses de octubre a diciembre del 2020 fueron
meses de cambios estructurales, y ello sumado a que parte de los empleados estaban
en situación de ERTE, colapsó en parte a determinados Departamentos, en especial el
Dept. Legal.
3.- Entre los días 23 y 24 de octubre se procedió a registrar al DPD para empresas del
Grupo que aún no lo tenían registrado (previamente, sólo se registró en la sociedad
Matriz, que es gestora de las demás, considerando que el resto no tenían obligación
hasta la fecha).
Precisamente con fechas 26-27 de octubre de 2020, misma fecha que se emitió por la
Agencia el requerimiento no atendido, fueron notificadas las altas de DPO del resto de
empresas del grupo, estatales y europeas.
El DPD advirtió al Dept. Legal de COOLTRA que durante los días siguientes (entre el
26 y el 29 de Octubre) recibiría bastantes notificaciones de la AEPD, pero que eran
confirmaciones del alta de DPD y al propio DPD también se lo notificaban, por lo que
las recibirían y comprobarían que todo estaba correcto.
Quien se encarga de recibir las notificaciones oficiales en el caso de COOLTRA es
***EMPRESA.1, asesoría que lleva los temas fiscales de COOLTRA, ya que la
mayoría de las notificaciones que se reciben en este buzón son de la AEAT.
El 26 de octubre de 2020 la Asesoría externa de COOLTRA descargó y reenvió al
departamento legal 6 notificaciones en formato zip de la AEPD, entre las que se
encontraban 5 altas de DPD de las realizadas los días anteriores y el requerimiento
que no fue atendido y ahora se contesta.
El departamento legal al abrir un par y ver que se trataba de las confirmaciones de
registro de alta que le habíamos advertido, no abrió más, convencida de que todas
eran lo mismo ya que en total se esperaban 12, y por lo tanto no se percató que entre
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/18
las mismas estaba la reclamación y solicitud de información E/08509/2020. Por ese
motivo el requerimiento pasó inadvertido y no se atendió.
Al recibir un correo electrónico enviado con fecha 02 de febrero de 2021 por Don
B.B.B., Inspector de Datos de la Subdirección General de Inspección de Datos de la
Agencia Española de Protección de Datos, a la dirección de correo [email protected],
se procedió desde Costumer service a reenviar a los departamentos adecuados en
menos de una hora desde su recepción.
A este correo se le dio el curso normal, recibiéndose por el DPD la advertencia por
teléfono por el Sr. B.B.B. y procediéndose a responder al requerimiento en tiempo y
forma.
QUINTO: Con fecha 10 de enero de 2022, la Directora de la AEPD adoptó una
propuesta de proyecto de decisión de inicio de procedimiento sancionador. Siguiendo
el proceso establecido en el artículo 60 del RGPD, el 12 de enero de 2022 se
transmitió a través del sistema IMI esta propuesta de proyecto de decisión como
consulta informal y se les hizo saber a las autoridades interesadas que tenían dos
semanas desde ese momento para realizar comentarios.
SEXTO: Con fecha 24 de enero de 2022, la Directora de la AEPD adoptó un proyecto
de decisión de inicio de procedimiento sancionador. Siguiendo el proceso establecido
en el artículo 60 del RGPD, ese mismo día se transmitió a través del sistema IMI este
proyecto de decisión y se les hizo saber a las autoridades interesadas que tenían
cuatro semanas desde ese momento para formular objeciones pertinentes y
motivadas. Dentro del plazo a tal efecto, las autoridades de control interesadas no
presentaron objeciones pertinentes y motivadas al respecto, por lo que se considera
que todas las autoridades están de acuerdo con dicho proyecto de decisión y están
vinculadas por éste, de conformidad con lo dispuesto en el apartado 6 del artículo 60
del RGPD.
Este proyecto de decisión se notificó a COOLTRA conforme a las normas establecidas
en la LPACAP el día 4 de febrero de 2022, como consta en el acuse de recibo que
obra en el expediente.
SÉPTIMO: Con fecha 20 de julio de 2022, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a COOLTRA a fin de
dirigirle un apercibimiento, con arreglo a lo dispuesto en los artículos 63 y 64 de la
LPACAP, por la presunta infracción del Artículo 12 del RGPD, tipificada en el Artículo
83.5 del RGPD, en el que se le indica que tiene un plazo de diez días para presentar
alegaciones.
Este acuerdo de inicio, que se notificó a COOLTRA conforme a las normas
establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 21 de julio
de 2022, como consta en el acuse de recibo que obra en el expediente.
OCTAVO: Notificado el citado acuerdo de inicio conforme a las normas establecidas
en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se
ha constatado que no se ha recibido alegación alguna por parte de COOLTRA.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/18
El artículo 64.2.f) de la LPACAP -disposición de la que se informó a COOLTRA en el
acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones
en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste
contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá
ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del
expediente sancionador determinaba los hechos en los que se concretaba la
imputación, la infracción del RGPD atribuida a COOLTRA y la sanción que podría
imponerse. Por ello, tomando en consideración que COOLTRA no ha formulado
alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el
artículo 64.2.f) de la LPACAP, el citado acuerdo de inicio es considerado en el
presente caso propuesta de resolución.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes
HECHOS PROBADOS
PRIMERO: El 18 de febrero de 2018 a las 18:27 hs se envió un correo electrónico
desde la dirección [email protected] a ***[email protected], con el
asunto (en italiano el original) “Confirma tu correo electrónico” con el siguiente texto
(en italiano el original):
“Bienvenida a eCooltra
Pulsa el botón para confirmar
CONFIRMA”
SEGUNDO: El 18 de octubre de 2018 a las 18:27 hs se envió un correo electrónico
desde la dirección ***[email protected] a [email protected], con el asunto (en
italiano el original) “Eliminación del perfil” en el que se puede leer el siguiente texto (en
italiano el original): “Solicito la eliminación de mi perfil, de todos los datos y del método
de pago registrado en su sitio. Gracias, A.A.A. (…)
TERCERO: El 18 de octubre de 2018 a las 18:37 hs se envió un correo electrónico
desde la dirección [email protected] a ***[email protected], con el
asunto (en italiano el original) “Estás a punto de alcanzar la libertad” y el mensaje (en
italiano el original): “¡Ahora es nuestro turno! Estamos validando tus datos para que
puedas acceder a nuestro sitio web.
eCooltra y hacer que el planeta sea más eco-sostenible.
¿No puedes esperar y quieres usar el eCooltra hoy? A continuación, ponte en
contacto con nosotros y comprobaremos tus datos juntos en este momento.
PONTE EN CONTACTO CON NOSOTROS”
CUARTO: El 18 de octubre de 2018 a las 19:06 hs se envió un correo electrónico
desde la dirección [email protected] a ***[email protected], con el
asunto “[Ticket#(…)] eCooltra” y el mensaje (en italiano el original):
“¡Gracias por haberte registrado! Para activar tu cuenta, necesitamos la siguiente
información:
Dirección completa: calle, n., ciudad, código postal
Foto delantera y trasera de la licencia actual (desde la que se muestra la fecha
hasta que será válida)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/18
Dado que las fotos cargadas en la aplicación se confunden y no se puede distinguir
correctamente los datos según el estado, puedes adjuntar tu licencia de conducir. Te
pedimos que te registres en la página que se adjunta a continuación y aportes el
certificado de tu documento, cuando tengas el certificado te pedimos que lo envíes al
correo electrónico para que puedas activar tu cuenta.
***URL.1
Para cualquier aclaración, por favor no dudes en ponerte en contacto con nosotros!
Saludos
C.C.C.”
QUINTO: El 19 de octubre de 2018 a las 01:02 hs se envió un correo electrónico
desde la dirección ***[email protected] a [email protected], con el asunto (en
italiano el original) “Eliminación del perfil” en el que se puede leer el siguiente texto (en
italiano el original): “Solicito la eliminación de mi perfil, de todos los datos y del método
de pago registrado en su sitio. Gracias, A.A.A. (…)”.
SEXTO: El 21 de octubre de 2018 a las 00:07 hs se envió un correo electrónico desde
la dirección [email protected] a ***[email protected], con el asunto
(en italiano el original) “Completa tu registro para empezar a conducir con nosotros” en
el que se puede leer el siguiente texto (en italiano el original):
“¡Hola!
Antes de comenzar a conducir, debes completar tu registro. Necesitamos unos
minutos de tu tiempo, para que puedas utilizar eCooltra por primera vez
Comprueba los siguientes pasos:
1. Has confirmado tu correo electrónico
2. Has introducido la foto de tu licencia y código fiscal (tarjeta de salud).
3. Has introducido tus datos de pago
COMPLETAR REGISTRO (…)”
SÉPTIMO: El 22 de octubre de 2018 a las 00:07 hs se envió un correo electrónico
desde la dirección [email protected] a ***[email protected], con el
asunto (en italiano el original) “A.A.A., falta poco” en el que se puede leer el siguiente
texto (en italiano el original):
“¡Hola!
¡Te falta poco para ser parte de eCooltra! Recuerda que necesitamos algunos datos
para que puedas moverte por la ciudad con nuestros scooters.
Comprueba los siguientes pasos:
1. Has confirmado tu correo electrónico
2. Has introducido la foto de tu licencia y código fiscal (tarjeta de salud).
3. Has introducido tus datos de pago
COMPLETAR REGISTRO (…)”
OCTAVO: El 22 de octubre de 2018 a las 11:52 hs se envió un correo electrónico
desde la dirección ***[email protected] a [email protected], con el asunto (en
italiano el original) “Fwd: Eliminación del perfil” en el que se puede leer el siguiente
texto (en italiano el original): “Al continuar recibiendo correos electrónicos, solicito lo
que he pedido”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/18
NOVENO: El 29 de octubre de 2018 a las 00:08 hs se envió un correo electrónico
desde la dirección [email protected] a ***[email protected], con el
asunto (en italiano el original) “A.A.A., estás a un paso de sentir el viento en tu cara”
en el que se puede leer el siguiente texto (en italiano el original):
“¡Hola!
Más de 3.000 scooters eléctricos te esperan para moverte por la ciudad.
Comprueba los siguientes pasos:
1. Has confirmado tu correo electrónico
2. Has introducido la foto de tu licencia y código fiscal (tarjeta de salud).
3. Has introducido tus datos de pago
COMPLETAR REGISTRO (…)”
DÉCIMO: El 30 de octubre de 2018 a las 15:23 hs la parte reclamante se puso en
contacto con http://www.ecooltra.com/ a través de su chat, en la que indica que
preguntó hacía varios días por la cancelación de su perfil por correo electrónico, pero
hasta la fecha no había sucedido. Y pide de nuevo su cancelación. Le dicen que está
solicitado pero que por favor envíe un correo electrónico a [email protected] para
que haya evidencias de que no quiere utilizar más la cuenta.
DÉCIMO PRIMERO: El 30 de octubre de 2018 a las 16:26 hs se envió un correo
electrónico desde la dirección ***[email protected] a [email protected], con
el asunto (en italiano el original) “Fwd: Eliminación del perfil” en el que se puede leer el
siguiente texto (en italiano el original): “Pido de nuevo la eliminación de mi perfil y
todos los datos personales, de lo contrario, ya que el sitio no lo permite, tendré que
informarlo al garante para la privacidad”.
DÉCIMO SEGUNDO: El 3 de noviembre de 2018 a las 02:24 hs se envió un correo
electrónico desde la dirección [email protected] a
***[email protected], con el asunto (en inglés el original) “Notificación del
estado de entrega (Fallo)”, con el siguiente texto (en italiano e inglés el original): “Hubo
un problema durante la entrega del mensaje
en [email protected]. Vea los detalles técnicos a continuación o prueba a enviarlo de
nuevo en unos minutos.
MÁS INFORMACIÓN
Respuesta: El servidor receptor no aceptó nuestras solicitudes de conexión. Obtenga
más información en https://support.google.com/mail/answer/7720 [ecooltra.it
37.152.88.55:generic:failed_precondition:connect error (0): error]”
DÉCIMO TERCERO: El 5 de noviembre de 2018 a las 09:36 hs se envió un correo
electrónico desde la dirección ***[email protected] a [email protected], con
el asunto (en italiano el original) “Re: Eliminación del perfil” en el que se puede leer el
siguiente texto (en italiano el original): “Me pediste que escribiera a [email protected],
pero el buzón no acepta correos electrónicos.
El martes 30 Oct 2018 a las 16:26 A.A.A. escribió: [Texto citado oculto]”.
DÉCIMO CUARTO: El 23 de noviembre de 2018 a las 04:02 hs se envió un correo
electrónico desde la dirección [email protected] a
***[email protected], con el asunto (en italiano el original) “A.A.A., ¡llega el
Black Friday y te traemos un montón de descuentos!”, con publicidad de COOLTRA.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/18
DÉCIMO QUINTO: El 23 de noviembre de 2018 a las 18:05 hs se envió un correo
electrónico desde la dirección ***[email protected] a [email protected], con
el asunto (en italiano el original) “Fwd: Eliminación del perfil” en el que se puede leer el
siguiente texto (en italiano el original): “Veo que mis demandas aún no han sido
atendidas. Solicito la eliminación inmediata de todos mis datos (incluyendo la
información de la tarjeta de crédito y la licencia de conducir). Estoy esperando
confirmación. De lo contrario, me sentiré obligada a recurrir al garante de la
privacidad. Saludos cordiales”.
DÉCIMO SEXTO: El 23 de noviembre de 2018 a las 18:09 hs se envió un correo
electrónico desde la dirección ***[email protected] a [email protected], con
el asunto (en italiano el original) “Re: Eliminación del perfil” en el que se puede leer el
siguiente texto (en italiano el original): “También adjunto mi documento de identidad,
según lo indica su política de privacidad”. En el que se adjunta un documento con el
nombre “<4- Carta di identita.pdf>”.
DÉCIMO SÉPTIMO: El 24 de diciembre de 2018 a las 22:01 hs se envió un correo
electrónico desde la dirección [email protected] a
***[email protected], con el asunto (en italiano el original) “Feliz verde
navidad”, felicitando las navidades.
DÉCIMO OCTAVO: El 31 de diciembre de 2018 a las 20:01 hs se envió un correo
electrónico desde la dirección [email protected] a
***[email protected], con el asunto (en italiano el original) “Una buena noticia
para empezar el 2019”, con publicidad de COOLTRA.
DÉCIMO NOVENO: El 12 de febrero de 2019 a las 02:00 hs se envió un correo
electrónico desde la dirección [email protected] a
***[email protected], con el asunto (en italiano el original) “A.A.A., gana 1.000
minutos gratis”, con publicidad de COOLTRA.
DUODÉCIMO: El 19 de febrero de 2019 a las 21:04 hs se envió un correo electrónico
desde la dirección ***[email protected] a [email protected], con el asunto
(en italiano el original) “Última hora: 45 min. a 9,99 EUR, compra el MiniPack aquí”,
con publicidad de COOLTRA.
FUNDAMENTOS DE DERECHO
I
Competencia y legislación aplicable
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/18
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Cuestiones previas
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta
la realización de un tratamiento de datos personales, toda vez que COOLTRA realiza
la recogida y conservación de, entre otros, los siguientes datos personales de
personas físicas: nombre y apellido y correo electrónico, entre otros tratamientos.
COOLTRA realiza esta actividad en su condición de responsable del tratamiento, dado
que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del
RGPD. Además, se trata de un tratamiento transfronterizo, dado que COOLTRA está
establecida en España, si bien presta servicio a otros países de la Unión Europea
El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos,
previstos en su artículo 4.23), en relación con la competencia de la autoridad de
control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de
control del establecimiento principal o del único establecimiento del responsable o del
encargado del tratamiento será competente para actuar como autoridad de control
principal para el tratamiento transfronterizo realizado por parte de dicho responsable o
encargado con arreglo al procedimiento establecido en el artículo 60. En el caso
examinado, como se ha expuesto, COOLTRA tiene su establecimiento único en
España, por lo que la Agencia Española de Protección de Datos es la competente para
actuar como autoridad de control principal.
Por su parte, el derecho de supresión de los datos personales se regula en el artículo
17 del RGPD y las modalidades de ejercicio de los derechos de los interesados se
detallan en el artículo 12 del RGPD.
III
Derecho de supresión
El artículo 17 “Derecho de supresión («el derecho al olvido»)” del RGPD establece:
“1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del
tratamiento la supresión de los datos personales que le conciernan, el cual estará
obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna
de las circunstancias siguientes:
a) los datos personales ya no sean necesarios en relación con los fines para
los que fueron recogidos o tratados de otro modo;
b) el interesado retire el consentimiento en que se basa el tratamiento de
conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2,
letra a), y este no se base en otro fundamento jurídico;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/18
c) el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1,
y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se
oponga al tratamiento con arreglo al artículo 21, apartado 2;
d) los datos personales hayan sido tratados ilícitamente;
e) los datos personales deban suprimirse para el cumplimiento de una
obligación legal establecida en el Derecho de la Unión o de los Estados
miembros que se aplique al responsable del tratamiento;
f) los datos personales se hayan obtenido en relación con la oferta de servicios
de la sociedad de la información mencionados en el artículo 8, apartado 1.
(…)
3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
a) para ejercer el derecho a la libertad de expresión e información;
b) para el cumplimiento de una obligación legal que requiera el tratamiento de datos
impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al
responsable del tratamiento, o para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable;
c) por razones de interés público en el ámbito de la salud pública de conformidad con
el artículo 9, apartado 2, letras h) e i), y apartado 3;
d) con fines de archivo en interés público, fines de investigación científica o histórica o
fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que
el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar
gravemente el logro de los objetivos de dicho tratamiento, o
e) para la formulación, el ejercicio o la defensa de reclamaciones.”
En el presente caso, consta que la parte reclamante había solicitado a COOLTRA la
supresión de sus datos personales en numerosas ocasiones.
IV
Ejercicio de los derechos del interesado
El artículo 12 “Transparencia de la información, comunicación y modalidades de
ejercicio de los derechos del interesado” del RGPD establece:
“1. El responsable del tratamiento tomará las medidas oportunas para facilitar al
interesado toda información indicada en los artículos 13 y 14, así como cualquier
comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma
concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en
particular cualquier información dirigida específicamente a un niño. La información
será facilitada por escrito o por otros medios, inclusive, si procede, por medios
electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse
verbalmente siempre que se demuestre la identidad del interesado por otros medios.
2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos
en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado
2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer
sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no
está en condiciones de identificar al interesado.
3. El responsable del tratamiento facilitará al interesado información relativa a sus
actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin
dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción
de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/18
teniendo en cuenta la complejidad y el número de solicitudes. El responsable
informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a
partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el
interesado presente la solicitud por medios electrónicos, la información se facilitará por
medios electrónicos cuando sea posible, a menos que el interesado solicite que se
facilite de otro modo.
4. Si el responsable del tratamiento no da curso a la solicitud del interesado, le
informará sin dilación, y a más tardar transcurrido un mes de la recepción de la
solicitud, de las razones de su no actuación y de la posibilidad de presentar una
reclamación ante una autoridad de control y de ejercitar acciones judiciales. (…)”
En el presente caso, consta que la parte reclamante solicitó la supresión de su cuenta
y sus datos personales en hasta 6 ocasiones. La última de ellas el día 23 de
noviembre de 2018. Y recién el 17 de febrero de 2021 COOLTRA ha enviado un
correo electrónico a la parte reclamante informándole de la cancelación de sus datos,
luego de recibir un requerimiento de información por parte de esta Agencia, junto con
la reclamación correspondiente. No obstante, no fue hasta el 01 de marzo de 2019 que
COOLTRA realizó la baja de los datos personales de la parte reclamante de sus
sistemas.
Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de resolución de procedimiento sancionador, se considera que los hechos conocidos
son constitutivos de una infracción, imputable a COOLTRA, por vulneración del
artículo 12 del RGPD, en relación con el artículo 17 del RGPD.
V
Tipificación de la infracción del artículo 12 del RGPD
La citada infracción del artículo 12 del RGPD supone la comisión de las infracciones
tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
(…)
b) los derechos de los interesados a tenor de los artículos 12 a 22; (…)”
A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que:
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/18
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
(…)
k) El impedimento o la obstaculización o la no atención reiterada del ejercicio
de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE)
2016/679. (…)”.
VI
Sanción por la infracción del artículo 12 del RGPD
Sin perjuicio de lo dispuesto en el artículo 83 del RGPD, el citado Reglamento dispone
en el apartado 2.b) del artículo 58 “Poderes” lo siguiente:
“Cada autoridad de control dispondrá de todos los siguientes poderes correctivos
indicados a continuación:
(…)
b) dirigir a todo responsable o encargado del tratamiento un apercibimiento
cuando las operaciones de tratamiento hayan infringido lo dispuesto en el
presente Reglamento; (…)”
Por su parte, el considerando 148 del RGPD indica:
“En caso de infracción leve, o si la multa que probablemente se impusiera
constituyese una carga desproporcionada para una persona física, en lugar de
sanción mediante multa puede imponerse un apercibimiento. Debe no obstante
prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su
carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos,
al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en
que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento
de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de
conducta y a cualquier otra circunstancia agravante o atenuante.”
De conformidad con las evidencias de que se dispone en el presente momento de
resolución de procedimiento sancionador, se considera que la infracción en cuestión
es leve a los efectos del artículo 83.2 del RGPD dado que en el presente caso,
atendiendo a que no constan antecedentes en esta Agencia de COOLTRA por no
haber atendido debidamente un derecho de supresión, a las circunstancias tan
excepcionales que fueron la causa de que tal solicitud no hubiera sido debidamente
atendida, a que la parte reclamante envió algunas de sus solicitudes a una dirección
de correo electrónico que no era la indicada en la política de privacidad
correspondiente, a que la supresión había sido atendida en marzo de 2019 aunque no
se hubiera comunicado debidamente a la parte reclamante y a que, ni bien tuvo
conocimiento de la reclamación, COOLTRA le comunicó la baja a la parte reclamante
y modificó sus protocolos para evitar que un incidente de estas características se
repita, se puede considerar una disminución de la culpa en los hechos, por lo que se
considera conforme a Derecho no imponer sanción consistente en multa administrativa
y sustituirla por dirigir un apercibimiento a COOLTRA.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/18
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DIRIGIR a COOLTRA MOTOSHARING S.L.U., con NIF B65874877, por
una infracción del Artículo 12 del RGPD, tipificada en el Artículo 83.5 del RGPD, un
apercibimiento.
SEGUNDO: NOTIFICAR la presente resolución a COOLTRA MOTOSHARING S.L.U.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
De acuerdo con lo establecido en el artículo 60.7 del RGPD, se informará de esta
resolución, una vez sea firme, a las autoridades de control interesadas y al Comité
Europeo de Protección de Datos.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-181022
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es