Casos Resueltos

Los casos resueltos llevados a cabo por nuestro despacho, LAWDATA, son el resultado de nuestro éxito y el reflejo de nuestro resultado y compromiso con cada uno de los clientes que tratamos.

Contamos con un equipo multidisciplinar que se encarga de llevar a cabo cada uno de los casos de forma conjunta, trabajando en equipo y abordando todas las cuestiones que se presentan.

Somos especialistas en protección de datos, privacidad y asuntos relativos a la Agencia Española de Protección de Datos.

Caso 1

Hechos relevantes

PRIMERO.- Alguien ha cogido los datos de Arturo y los ha utilizado para solicitar créditos a nombre del mismo.

SEGUNDO.- La empresa crediticia concede el crédito a esta persona que solicita los créditos.

TERCERO.- Esta primera empresa crediticia cede los datos de Arturo a la empresa de cobro de deudas Cobros Rápidos, S.L. cediendo los créditos.

CUARTO.- La empresa Cobros Rápidos, S.L. utiliza los datos de Arturo y le requieren el pago en su domicilio en repetidas ocasiones.

QUINTO.- Arturo fue incluido desde hace dos meses en un "registro de morosos" y reclamándole un total de 1.619,76 euros, procedentes de microcréditos solicitados a distintas empresas de préstamo que se cedieron a la empresa de cobro de deudas Cobros Rápidos, S.L.

SEXTO.- Arturo no contrató préstamo alguno y se comunicó con la empresa de cobro de deudas Cobros Rápidos, S.L para que finalizasen las reclamaciones hacia su persona debido a que él no había solicitado ningún tipo de crédito.

SÉPTIMO.- Arturo solicitó a la empresa de cobro de deudas Cobros Rápidos, S.L que borrasen sus datos personales de las bases informáticas. La comunicación no prosperó en ningún aspecto, y los intentos de cobro reiterados siguieron sucediendo.

OCTAVO.- La empresa volvió a utilizar los datos personales de Arturo, ya no únicamente para el cobro de la empresa sino dando esa información a un "cobrador de deudas". El día del cumpleaños de Arturo apareció en la puerta de su domicilio aparece un "cobrador" disfrazado, con un cartel donde se indica "Arturo, ¿puedes invitar a gente a tu cumpleaños, pero no pagar tus deudas? ¡Paga ya lo que nos debes!".

NOVENO.- Tras esta situación, Arturo volvió a contactar con la empresa de cobro de deudas Cobros Rápidos, S.L con la finalidad de que borren sus datos personales como anteriormente había solicitado.

DÉCIMO.- La empresa de cobro de deudas Cobros Rápidos, S.L utilizó de nuevo los datos contactando con otro cobrador que apareció dos días después del cumpleaños de Arturo en el colegio de sus hijas mientras les recogía a la salida, con un cartel en el que ponía "¿Saben tus hijas que eres un moroso? ¡Arturo, paga tus deudas ya!". Esta información acerca del colegio de su hija fue producto de la investigación de un detective privado que contrató la empresa de cobro de deudas.

UNDÉCIMO.- Días después Arturo fue al hospital para recibir el tratamiento de quimioterapia debido al padecimiento de una enfermedad. El mismo "cobrador" aparece a las puertas del hospital con un cartel en el que dice "¿No quieres pagar tus deudas y tratar tu cáncer en paz sin que te molestemos? Arturo, por favor, paga tus deudas". Esta información deriva de una de las empresas que cedió el crédito a la empresa de cobro de deudas Cobros Rápidos, S.L.

DUODÉCIMO.- Arturo denunció los hechos en la Policía.

DECIMOTERCERO.- Además de la denuncia, Arturo denunció los hechos ante la Agencia Española de Protección de Datos, sin recibir respuesta alguna.

Normativa aplicable

LEY ORGÁNICA 3/2018, DE 5 DE DICIEMBRE, DE PROTECCIÓN DE DATOS PERSONALES Y GARANTÍA DE LOS DERECHOS DIGITALES.

Artículo 5. Deber de confidencialidad.

1. Los responsables y encargados del tratamiento de datos así como todas las personas que intervengan en cualquier fase de este estarán sujetas al deber de confidencialidad al que se refiere el artículo 5.1.f) del Reglamento (UE) 2016/679.

2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable.

3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento.

Artículo 6. Tratamiento basado en el consentimiento del afectado.

1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen.

2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas.

3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual.

Artículo 8. Tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos.

1. El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una obligación legal exigible al responsable, en los términos previstos en el artículo 6.1.c) del Reglamento (UE) 2016/679, cuando así lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley, que podrá determinar las condiciones generales del tratamiento y los tipos de datos objeto del mismo así como las cesiones que procedan como consecuencia del cumplimiento de la obligación legal. Dicha norma podrá igualmente imponer condiciones especiales al tratamiento, tales como la adopción de medidas adicionales de seguridad u otras establecidas en el capítulo IV del Reglamento (UE) 2016/679.

2. El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el artículo 6.1 e) del Reglamento (UE) 2016/679, cuando derive de una competencia atribuida por una norma con rango de ley.

Artículo 9. Categorías especiales de datos.

1. A los efectos del artículo 9.2.a) del Reglamento (UE) 2016/679, a fin de evitar situaciones discriminatorias, el solo consentimiento del afectado no bastará para levantar la prohibición del tratamiento de datos cuya finalidad principal sea identificar su ideología, afiliación sindical, religión, orientación sexual, creencias u origen racial o étnico.

Lo dispuesto en el párrafo anterior no impedirá el tratamiento de dichos datos al amparo de los restantes supuestos contemplados en el artículo 9.2 del Reglamento (UE) 2016/679, cuando así proceda.

2. Los tratamientos de datos contemplados en las letras g), h) e i) del artículo 9.2 del Reglamento (UE) 2016/679 fundados en el Derecho español deberán estar amparados en una norma con rango de ley, que podrá establecer requisitos adicionales relativos a su seguridad y confidencialidad.

En particular, dicha norma podrá amparar el tratamiento de datos en el ámbito de la salud cuando así lo exija la gestión de los sistemas y servicios de asistencia sanitaria y social, pública y privada, o la ejecución de un contrato de seguro del que el afectado sea parte.

Artículo 15. Derecho de supresión.

1. El derecho de supresión se ejercerá de acuerdo con lo establecido en el artículo 17 del Reglamento (UE) 2016/679.

2. Cuando la supresión derive del ejercicio del derecho de oposición con arreglo al artículo 21.2 del Reglamento (UE) 2016/679, el responsable podrá conservar los datos identificativos del afectado necesarios con el fin de impedir tratamientos futuros para fines de mercadotecnia directa.

Artículo 16. Derecho a la limitación del tratamiento.

1. El derecho a la limitación del tratamiento se ejercerá de acuerdo con lo establecido en el artículo 18 del Reglamento (UE) 2016/679.

2. El hecho de que el tratamiento de los datos personales esté limitado debe constar claramente en los sistemas de información del responsable.

Artículo 72. Infracciones consideradas muy graves.

1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:

a) El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.

b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.

c) El incumplimiento de los requisitos exigidos por el artículo 7 del Reglamento (UE) 2016/679 para la validez del consentimiento.

d) La utilización de los datos para una finalidad que no sea compatible con la finalidad para la cual fueron recogidos, sin contar con el consentimiento del afectado o con una base legal para ello.

e) El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas en dicho precepto y en el artículo 9 de esta ley orgánica.

f) El tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas fuera de los supuestos permitidos por el artículo 10 del Reglamento (UE) 2016/679 y en el artículo 10 de esta ley orgánica.

g) El tratamiento de datos personales relacionados con infracciones y sanciones administrativas fuera de los supuestos permitidos por el artículo 27 de esta ley orgánica.

h) La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica.

i) La vulneración del deber de confidencialidad establecido en el artículo 5 de esta ley orgánica.

j) La exigencia del pago de un canon para facilitar al afectado la información a la que se refieren los artículos 13 y 14 del Reglamento (UE) 2016/679 o por atender las solicitudes de ejercicio de derechos de los afectados previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679, fuera de los supuestos establecidos en su artículo 12.5.

k) El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679.

LEY ORGÁNICA 15/1999, DE 13 DE DICIEMBRE, DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL.

REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO DE 27 DE ABRIL DE 2016 RELATIVO A LA PROTECCIÓN DE LAS PERSONAS FÍSICAS EN LO QUE RESPECTA AL TRATAMIENTO DE DATOS PERSONALES Y A LA LIBRE CIRCULACIÓN DE ESTOS DATOS Y POR EL QUE SE DEROGA LA DIRECTIVA 95/46/CE (REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS)

Artículo 5.1.f) sobre Principios relativos al tratamiento.

Los datos personales serán: tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).

Artículo 4.11. Definiciones

A efectos del presente Reglamento se entenderá por: «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que

el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen;

Artículo 6.1.c) Licitud del tratamiento

El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento.

Artículo 17.1 Derecho de supresión («el derecho al olvido»)

1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:

a) los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;

b) el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;

c) el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;

d) los datos personales hayan sido tratados ilícitamente;

e) los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;

f) los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1.

Artículo 18. Derecho a la limitación del tratamiento

1. El interesado tendrá derecho a obtener del responsable del tratamiento la limitación del tratamiento de los datos cuando se cumpla alguna de las condiciones siguientes:

a) el interesado impugne la exactitud de los datos personales, durante un plazo que permita al responsable verificar la exactitud de los mismos;

b) el tratamiento sea ilícito y el interesado se oponga a la supresión de los datos personales y solicite en su lugar la limitación de su uso;

c) el responsable ya no necesite los datos personales para los fines del tratamiento, pero el interesado los necesite para la formulación, el ejercicio o la defensa de reclamaciones;

d) el interesado se haya opuesto al tratamiento en virtud del artículo 21, apartado 1, mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del interesado.

2. Cuando el tratamiento de datos personales se haya limitado en virtud del apartado 1, dichos datos solo podrán ser objeto de tratamiento, con excepción de su conservación, con el consentimiento del interesado o para la formulación, el ejercicio o la defensa de reclamaciones, o con miras a la protección de los derechos de otra persona física o jurídica o por razones de interés público importante de la Unión o de un determinado Estado miembro.

3. Todo interesado que haya obtenido la limitación del tratamiento con arreglo al apartado 1 será informado por el responsable antes del levantamiento de dicha limitación.

Artículo 82. Derecho a indemnización y responsabilidad

1. Toda persona que haya sufrido daños y perjuicios materiales o inmateriales como consecuencia de una infracción del presente Reglamento tendrá derecho a recibir del responsable o el encargado del tratamiento una indemnización por los daños y perjuicios sufridos.

2. Cualquier responsable que participe en la operación de tratamiento responderá de los daños y perjuicios causados en caso de que dicha operación no cumpla lo dispuesto por el presente Reglamento. Un encargado únicamente responderá de los daños y perjuicios causados por el tratamiento cuando no haya cumplido con las obligaciones del presente Reglamento dirigidas específicamente a los encargados o haya actuado al margen o en contra de las instrucciones legales del responsable.

3. El responsable o encargado del tratamiento estará exento de responsabilidad en virtud del apartado 2 si demuestra que no es en modo alguno responsable del hecho que haya causado los daños y perjuicios.

4. Cuando más de un responsable o encargado del tratamiento, o un responsable y un encargado hayan participado en la misma operación de tratamiento y sean, con arreglo a los apartados 2 y 3, responsables de cualquier daño o perjuicio causado por dicho tratamiento, cada responsable o encargado será considerado responsable de todos los daños y perjuicios, a fin de garantizar la indemnización efectiva del interesado.

5. Cuando, de conformidad con el apartado 4, un responsable o encargado del tratamiento haya pagado una indemnización total por el perjuicio ocasionado, dicho responsable o encargado tendrá derecho a reclamar a los demás responsables o encargados que hayan participado en esa misma operación de tratamiento la parte de la indemnización correspondiente a su parte de responsabilidad por los daños y perjuicios causados, de conformidad con las condiciones fijadas en el apartado 2.

6. Las acciones judiciales en ejercicio del derecho a indemnización se presentarán ante los tribunales competentes con arreglo al Derecho del Estado miembro que se indica en el artículo 79, apartado 2.

Artículo 83.5 y 83.6. Condiciones generales para la imposición de multas administrativas

5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;

b) los derechos de los interesados a tenor de los artículos 12 a 22;

c) las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49;

d) toda obligación en virtud del Derecho de los Estados miembros que se adopte con arreglo al capítulo IX;

e) el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1.

6. El incumplimiento de las resoluciones de la autoridad de control a tenor del artículo 58, apartado 2, se sancionará de acuerdo con el apartado 2 del presente artículo con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.

LEY 29/1998, DE 13 DE JULIO, REGULADORA DE LA JURISDICCIÓN CONTENCIOSO-ADMINISTRATIVA

Artículo 25.

1. El recurso contencioso-administrativo es admisible en relación con las disposiciones de carácter general y con los actos expresos y presuntos de la Administración pública que pongan fin a la vía administrativa, ya sean definitivos o de trámite, si estos últimos deciden directa o indirectamente el fondo del asunto, determinan la imposibilidad de continuar el procedimiento, producen indefensión o perjuicio irreparable a derechos o intereses legítimos.

2. También es admisible el recurso contra la inactividad de la Administración y contra sus actuaciones materiales que constituyan vía de hecho, en los términos establecidos en esta Ley.

CÓDIGO DE COMERCIO

Artículo 347. Los créditos mercantiles no endosables ni al portador, se podrán transferir por el acreedor sin necesidad del consentimiento del deudor, bastando poner en su conocimiento la transferencia.

El deudor quedará obligado para con el nuevo acreedor en virtud de la notificación, y desde que tenga lugar no se reputará pago legítimo sino el que se hiciere a éste.

Argumentos

Argumento 1: Vulneración del deber de confidencialidad.

Norma en la que se basa: Artículo 5 y artículo 72.1.i) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y el artículo 5.1.f) del REGLAMENTO (UE) 2016/679.

Desarrollo del argumento: La empresa de cobro de deudas Cobros Rápidos, S.L y las empresas que han cedido los créditos a la misma han vulnerado el deber de confidencialidad ya que no se ha garantizado una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito así como la integridad y confidencialidad.

Además, el cobrador ha divulgado datos especialmente protegidos como el hecho de que Arturo padece cáncer a través de un cartel en la puerta del hospital.

Argumento 2: Vulneración del tratamiento basado en el consentimiento del afectado.

Norma en la que se basa: Artículo 6 y 72.1.b) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y el artículo 4.11. del REGLAMENTO (UE) 2016/679.

Desarrollo del argumento: El tratamiento de datos no ha sido consentido por parte de la persona afectada, Arturo, vulnerando de tal manera este derecho. Además, solicitó en reiteradas ocasiones que sus datos personales se borrasen de las bases de datos que pudiese tener la empresa.

Argumento 3: Vulneración del tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos.

Norma en la que se basa: Artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y artículo 6.1.c) del REGLAMENTO (UE) 2016/679.

Desarrollo del argumento: El tratamiento de datos no ha sido fundado en el cumplimiento de una obligación legal exigible al responsable debido a que la deuda contraída no es producto de Arturo, vulnerando de tal manera este principio de tratamiento de datos por obligación legal.

Argumento 4: Vulneración del tratamiento de datos especialmente protegidos.

Norma en la que se basa: Artículo 9.2 y 72.1.e) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

Desarrollo del argumento: Vulneración del tratamiento de datos especialmente protegidos debido a la información trasladada por las empresas crediticias a la empresa de cobro de deudas Cobros Rápidos, y de ésta a los "cobradores de deudas". Esto se refleja en la asistencia de los cobradores al colegio de sus hijas y al hospital en el que recibe tratamiento de quimioterapia.

Argumento 5: Vulneración del Derecho de supresión.

Norma en la que se basa: Artículo 15 y 72.1.j) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y artículo 17 del REGLAMENTO (UE) 2016/679.

Desarrollo del argumento: Arturo solicitó que se borrasen sus datos personales en repetidas ocasiones de las bases de datos y registros existentes, además de que nunca prestó consentimiento para el tratamiento de sus datos.

Argumento 6: Vulneración del Derecho a la limitación del tratamiento.

Norma en la que se basa: Artículo 16 y 72.1.j) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y artículo 18 del REGLAMENTO (UE) 2016/679.

Desarrollo del argumento: Arturo alegó e impugnó en repetidas ocasiones la inexactitud de datos personales, el tratamiento ilícito de los datos personales, su oposición al tratamiento de sus datos. Este tratamiento ilícito deriva de la cesión de datos personales y especialmente protegidos en repetidas ocasiones, por parte de las empresas crediticias, la empresa de cobro de deudas Cobros Rápidos, S.L y los "cobradores".

Argumento 7: Inactividad de la Administración.

Norma en la que se basa: Artículo 25 Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa

Desarrollo del argumento: Impugnación de la inactividad de la Administración en actuaciones materiales que constituyen vía de hecho, debido a haber prescindido totalmente del procedimiento.

Argumento previsible parte contraria

Argumento 1 previsible de la parte contraria: Sistemas de información crediticia.

Norma en la que se basa: Artículo 20.1.a) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

Posibles contraargumentos: Arturo ha denunciado la inexactitud de los datos además de haber solicitado que se borren sus datos personales de los sistemas de información, además de que no hay consentimiento por parte del mismo.

Argumento 2 previsible de la parte contraria: Sistemas de información crediticia.

Salvo prueba en contrario se presumirá lícito el tratamiento de datos personales relativos al incumplimiento de obligaciones dinerarias, financieras o de crédito por sistemas comunes de información crediticia cuando el acreedor haya informado al afectado en el contrato o en el momento de requerir el pago acerca de la posibilidad de inclusión en dichos sistemas, con indicación de aquéllos en los que participe.

Norma en la que se basa: Artículo 20.1.c) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y artículo 347 Código de Comercio.

Posibles contraargumentos: Arturo no ha sido informado de forma contractual porque él no ha firmado contrato alguno, razón por la cual hay iniciado un procedimiento penal abierto para determinar la suplantación de identidad.

Además, de acuerdo con artículo 347 C.de Co la cesión de créditos se ha realizado con los requisitos formales necesarios pero no se ha notificado al deudor, por consiguiente no se ha respetado la totalidad de los requisitos y el acto no se ha llevado a cabo de acuerdo con la ley.

Argumento 3 previsible de la parte contraria: Los datos de Arturo se han obtenido de forma lícita a través de la utilización de un detective.

Norma en la que se basa: Artículo 20 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

Posibles contraargumentos: Divulgación de datos especialmente protegidos en la puerta del hospital a través de un cartel en el que ponía que Arturo tenía cáncer, además de la transferencia de los datos por parte de la empresa a los cobradores. (Artículo 5 y 73 la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.)

Petitum:

Solicito al juzgado que dicte sentencia en virtud de la cual acuerda lo siguiente:

PRIMERO.- Indicar que la AEPD en cumplimiento de los deberes encomendados debía resolver la denuncia presentada por don Arturo.

SEGUNDO.- Indemnizar por parte de los demandados al demandante con la cuantía de 5000 euros por daños y perjuicios morales.

TERCERO.- La imposición de la debida multa administrativa correspondiente a la cuantía de 20.000.000 euros o el 4% del volumen de facturación anual global de la empresa, en su caso la que resulte mayor en virtud del artículo 83 RGPD.

CUARTO.- Condenar a los demandados la eliminación de la información de datos personales que dispongan de Don Arturo de conformidad al artículo 17 RGPD.

QUINTO.- Condenar en costas a los demandados de conformidad al artículo 139.4 LJCA.

Posible petitum de la parte contraria y defensa prevista:

PRIMERO.- Desestimación de las pretensiones solicitadas por la parte demandante.

SEGUNDO.- Imponer las costas del procedimiento a la parte demandante.

Adriana Alvarado, Carla Artagoitia, Jorge Gómez y Julián Jiménez 4º Derecho B

Valencia, 6 de Febrero de 2025.

Caso 2

Hechos relevantes

PRIMERO.- Lucía es socia del gimnasio FIT-SUPERPRO. En el momento en que se apuntó al gimnasio se accedía mediante pulsera y tarjeta identificativa. Lucía firmó la documentación necesaria para asociarse al gimnasio, entre la cual se incluía la autorización de tratamiento de datos, el contrato y la normativa del gimnasio.

SEGUNDO.- El gimnasio FIT-SUPERPRO, situado en Valencia, en mayo de 2021, impone como requisito a los usuarios del mismo el acceso a las instalaciones mediante huella dactilar.

TERCERO.- Lucía se niega a dar su huella dactilar al gimnasio, habiendo firmado la normativa cuando entró en el gimnasio en la que se indica "para acceder al gimnasio los socios disponen de una pulsera personal- intransferible y es necesario el uso de un sistema biométrico junto con la pulsera de acceso".

CUARTO.- Nuestro cliente, FIT-SUPERPRO, indica a Lucía la posibilidad de retirar su consentimiento y dejar de ser socia del gimnasio, lo previsto en la normativa.

QUINTO.- Lucía, se da de baja del gimnasio el 1 de junio de 2021.

SEXTO.- Posteriormente presentó declaración ante la AEPD, la cual fue desestimada.

Normativa aplicable

Artículo 6 del REGLAMENTO (UE) 2016/679.

Licitud del tratamiento

1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;

b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;

f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño….

Artículo 4. del REGLAMENTO (UE) 2016/679.

A efectos del presente Reglamento se entenderá por:

14) «datos biométricos»: datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos;

Artículo 7 del REGLAMENTO (UE) 2016/679. Condiciones para el consentimiento

1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.

2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento.

3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo.

4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato.

Artículo 9 del REGLAMENTO (UE) 2016/679

1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientación sexuales de una persona física.

2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:

el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;

el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;

Argumentos

Argumento 1: Licitud del tratamiento

Norma en la que se basa: Artículo 6.1a) del REGLAMENTO (UE) 2016/679.

Desarrollo del argumento: Lucía prestó consentimiento y firmó las condiciones de acceso al gimnasio en el momento de darse de alta. Citamos textualmente "para acceder al gimnasio los socios disponen de una pulsera personal intransferible y es necesario el uso de un sistema biométrico junto con la pulsera de acceso"

A pesar de haber variado la metodología de acceso al gimnasio, Lucía prestó su consentimiento de acceso a través de huella digital en el momento en el que firmó que era necesario el uso de un sistema biométrico junto con la pulsera.

Este sistema biométrico es complementario al uso de la pulsera, algo contemplado en el documento de acceso que consintió para darse de alta en el establecimiento.

Argumento 2: El tratamiento es necesario para la ejecución del contrato.

Norma en la que se basa: Artículo 6.1b) del REGLAMENTO (UE) 2016/679.

Desarrollo del argumento: El tratamiento de estos datos es necesario para la ejecución del contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;

Argumento 3: Datos biométricos

Norma en la que se basa: Artículo 4.14 del REGLAMENTO (UE) 2016/679.

Desarrollo del argumento: Los datos biométricos son aquellos datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos.

La huella dactilar está comprendida como uno de los datos biométricos para los que Lucía prestó su consentimiento.

Argumento 4: El tratamiento es necesario para la satisfacción de intereses legítimos.

Norma en la que se basa: Artículo 6.1 f) del REGLAMENTO (UE) 2016/679.

Desarrollo del argumento: Este tipo de tratamiento de datos es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.

Realmente nuestro cliente pretende incrementar una mayor seguridad de acceso en su gimnasio, beneficiosa tanto para el establecimiento como para los propios socios del gimnasio, brindando además la oportunidad de comprobar tendencias y ofrecer una serie de servicios personalizados.

Argumento 5: Condiciones para el consentimiento

Norma en la que se basa: Artículo 7.1 del REGLAMENTO (UE) 2016/679.

Desarrollo del argumento: El tratamiento se basa en el consentimiento del interesado, en este caso Lucia, y el responsable que es FIT-SUPERPRO es capaz de demostrar que consintió el tratamiento de sus datos personales cuando firmó la normativa del gimnasio al darse de alta.

Argumento 6: Condiciones para el consentimiento

Norma en la que se basa: Artículo 7.3 del REGLAMENTO (UE) 2016/679.

Desarrollo del argumento: El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada.

Por consiguiente, el tratamiento de datos y medidas llevadas a cabo han sido lícitas, y Lucía ha podía retirar el consentimiento ocasionando su retirada del gimnasio.

Posibles contraargumentos:

Argumento 1 previsible de la parte contraria: Falta de proporcionalidad para la recogida de huellas dactilares

Norma en la que se basa: Artículo 5.1 c) del REGLAMENTO (UE) 2016/679.

Posibles contraargumentos: Es proporcional la necesidad de utilizar las huellas dactilares para el control de acceso porque por ejemplo una tarjeta identificativa puede darse a otra persona no cliente para que pueda acceder al gimnasio conforme a la evaluación de impacto relativo a la protección de datos del artículo 35 del REGLAMENTO (UE) 2016/679.

Petitum:

PRIMERO.- Desestimación de las pretensiones solicitadas por la parte demandante.

SEGUNDO.- Imponer las costas del procedimiento a la parte demandante.

Posible petitum de la parte contraria y defensa prevista: […]

PRIMERO- Anulación del requisito de proporcionar la huella dactilar para acceder al gimnasio.

SEGUNDO- Reconocimiento de la vulneración de sus derechos de protección de datos.

TERCERO- Compensación por daños y perjuicios.

Grupo 2: Adriana Alvarado, Carla Artagoitia, Jorge Gómez, Julián Jiménez y Aroa Otero

Caso 3

Hechos relevantes

PRIMERO.- En el año 1970 Manuel con 15 años de edad, integraba una banda criminal especialmente violenta, en el municipio de Arteixo. Cometió un homicidio y fue condenado a una pena de internamiento en centro de menores hasta su mayoría de edad.

SEGUNDO.- Tras realizar actividades de reinserción, Manuel se convirtió en un ciudadano modelo y obtuvo un trabajo como profesor. Hasta 2022 tuvo un modelo de vida normal.

TERCERO.- El periódico La Voz de Galicia decidió digitalizar su hemeroteca, exponiendo una noticia acerca de los hechos sucedidos cuando Manuel tenía tan solo 15 años, señalando lo siguiente: "López López, de 15 años de edad y natural de Arteixo, fue condenado ayer por este horrible crimen a 3 años de internamiento en centro cerrado, una condena que no ha dejado para nada satisfechos a los padres de la víctima, deshechos en llanto tras conocer la Sentencia".

La noticia iba acompañada de una foto del menor siendo detenido en su edificio.

CUARTO.- Uno de los lectores que dio con la noticia fue uno de los padres de los niños que estudiaban en el colegio.

QUINTO.- Tras relacionar de forma evidente que el profesor cometió un homicidio cuando era menor de edad, el padre de los niños presentó una queja al colegio y organizó varias manifestaciones para promover el despido de Manuel.

SEXTO.- Manuel terminó siendo despedido. Posteriormente se quitó la vida tras ahondar en una grave depresión fundada en el espesor de su pasado, que tras haberse reinsertado y rehecho su vida todavía no le permitía retomar la normalidad que desde hace años llevaba teniendo.

SÉPTIMO.- Jesús, el amigo de Manuel, se pone en contacto con la Voz de Galicia para que borre la noticia de su hemeroteca o impida que sea localizada en el buscador.

OCTAVO.- El periódico se niega. Jesús presenta una reclamación ante la AEPD, quien la admite a trámite y acaba señalando fecha para una vista donde Jesús y La Voz de Galicia expondrán sus argumentos.

Normativa aplicable

Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales

Artículo 15. Derecho de supresión.

1. El derecho de supresión se ejercerá de acuerdo con lo establecido en el artículo 17 del Reglamento (UE) 2016/679.

Artículo 93. Derecho al olvido en búsquedas de Internet.

1. Toda persona tiene derecho a que los motores de búsqueda en Internet eliminen de las listas de resultados que se obtuvieran tras una búsqueda efectuada a partir de su nombre los enlaces publicados que contuvieran información relativa a esa persona cuando fuesen inadecuados, inexactos, no pertinentes, no actualizados o excesivos o hubieren devenido como tales por el transcurso del tiempo, teniendo en cuenta los fines para los que se recogieron o trataron, el tiempo transcurrido y la naturaleza e interés público de la información.

Del mismo modo deberá procederse cuando las circunstancias personales que en su caso invocase el afectado evidenciasen la prevalencia de sus derechos sobre el mantenimiento de los enlaces por el servicio de búsqueda en Internet.

Este derecho subsistirá aun cuando fuera lícita la conservación de la información publicada en el sitio web al que se dirigiera el enlace y no se procediese por la misma a su borrado previo o simultáneo.

2. El ejercicio del derecho al que se refiere este artículo no impedirá el acceso a la información publicada en el sitio web a través de la utilización de otros criterios de búsqueda distintos del nombre de quien ejerciera el derecho.

Artículo 96. Derecho al testamento digital.

1. El acceso a contenidos gestionados por prestadores de servicios de la sociedad de la información sobre personas fallecidas se regirá por las siguientes reglas:

b) El albacea testamentario así como aquella persona o institución a la que el fallecido hubiese designado expresamente para ello también podrá solicitar, con arreglo a las instrucciones recibidas, el acceso a los contenidos con vistas a dar cumplimiento a tales instrucciones.

Artículo 3. Datos de las personas fallecidas.

2. Las personas o instituciones a las que el fallecido hubiese designado expresamente para ello podrán también solicitar, con arreglo a las instrucciones recibidas, el acceso a los datos personales de este y, en su caso su rectificación o supresión.

Mediante real decreto se establecerán los requisitos y condiciones para acreditar la validez y vigencia de estos mandatos e instrucciones y, en su caso, el registro de los mismos.

Artículo 28. Obligaciones generales del responsable y encargado del tratamiento

2. Para la adopción de las medidas a que se refiere el apartado anterior los responsables y encargados del tratamiento tendrán en cuenta, en particular, los mayores riesgos que podrían producirse en los siguientes supuestos:

a) Cuando el tratamiento pudiera generar situaciones de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico, moral o social significativo para los afectados.

Artículo 2. Ámbito de aplicación de los Títulos I a IX y de los artículos 89 a 94.

2. Esta ley orgánica no será de aplicación:

b) A los tratamientos de datos de personas fallecidas, sin perjuicio de lo establecido en el artículo 3.

REGLAMENTO (UE) 2016/679.

Artículo 17 Derecho de supresión («el derecho al olvido»)

d) los datos personales hayan sido tratados ilícitamente;

e) los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;

Artículo 28. Encargado del tratamiento

3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:

a) tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público

Argumentos

Argumento 1: Incumplimiento del derecho de supresión

Norma en la que se basa: Artículo 15 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y artículo 17.1 d) del REGLAMENTO (UE) 2016/679.

Desarrollo del argumento: El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes: los datos personales hayan sido tratados ilícitamente;

Argumento 2: Incumplimiento del derecho de supresión

Norma en la que se basa: Artículo 15 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y artículo 17.1 e) del REGLAMENTO (UE) 2016/679.

Argumento 3: Incumplimiento del derecho al olvido en búsqueda de internet

Norma en la que se basa: Artículo 93 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales.

Desarrollo del argumento: El interesado mediante el derecho al olvido, puede solicitar la eliminación de enlaces en motores de búsqueda cuando la información sea inadecuada, desactualizada o excesiva. Si sus derechos prevalecen, los buscadores deben eliminar los enlaces, aunque la información siga accesible en su fuente original. Sin embargo, esta puede seguir encontrándose con otros criterios de búsqueda. Este derecho protege la privacidad sin borrar completamente la información de Internet.

Argumento 4: Datos de las personas fallecidas

Norma en la que se basa: Artículo 3.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

Desarrollo del argumento: Las personas o instituciones a las que el fallecido hubiese designado expresamente para ello podrán también solicitar, con arreglo a las instrucciones recibidas, el acceso a los datos personales de este y, en su caso su rectificación o supresión.

Argumento 5: Derecho al testamento digital

Norma en la que se basa: Artículo 96.1 b) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

Desarrollo del argumento: El acceso a contenidos gestionados por prestadores de servicios de la sociedad de la información sobre personas fallecidas se regirá por las siguientes reglas: El albacea testamentario así como aquella persona o institución a la que el fallecido hubiese designado expresamente para ello también podrá solicitar, con arreglo a las instrucciones recibidas, el acceso a los contenidos con vistas a dar cumplimiento a tales instrucciones.

Argumento 6: Incumplimiento de obligaciones generales del responsable y encargado del tratamiento.

Norma en la que se basa: Artículo 28.2 a) de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

Desarrollo del argumento: Para la adopción de las medidas a que se refiere el apartado anterior los responsables y encargados del tratamiento tendrán en cuenta, en particular, los mayores riesgos que podrían producirse en los siguientes supuestos: Cuando el tratamiento pudiera generar situaciones de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico, moral o social significativo para los afectados.

Posibles contraargumentos:

Argumento 1 previsible de la parte contraria: La ley orgánica de 2018 de protección de datos no es de aplicación para el tratamiento de datos de personas fallecidas.

Norma en la que se basa: Artículo 2.2.b) de la LO 3/2018 de protección de datos y considerando el artículo 27 del Reglamento (UE) 2016/679 de Protección de datos

Posibles contraargumentos: El artículo 2.2. b) de la LO 3/2018 remite al artículo 3, en cuyo apartado 2 de la misma ley, se establece que las personas a las que el fallecido haya designado expresamente para solicitar el derecho de supresión de sus datos, podrán dirigirse al responsable o encargado del tratamiento al objeto de solicitar el derecho de supresión sobre los datos de carácter personal del fallecido.

Argumento 2 previsible de la parte contraria: En la la STS 1401/2024 establece que no es de aplicación el Reglamento (UE) 2016/679 de Protección de datos en el que se recoge el Derecho de Supresión

Norma en la que se basa: Considerando 27 del Reglamento (UE) 2016/679 de Protección de datos

Posibles contraargumentos: De acuerdo con el fundamento de derecho tercero de la STS 1401/2024, el considerando 27 del Reglamento de protección de datos, no prohíbe la aplicación del mismo a personas fallecidas al dejar a los Estados Miembros la competencia para dictar normas relativas al tratamiento de datos de estas personas, pudiendo quedar dicho tratamiento sometido a las mismas reglas aplicables a las personas vivas, entre las que se encuentra el Reglamento en cuestión.

Argumento 3 previsible de la parte contraria: Licitud del tratamiento de datos para la protección de las personas que informen sobre infracciones normativas.

Norma en la que se basa: Artículo 24 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

Posibles contraargumentos: Serán lícitos los tratamientos de datos personales necesarios para garantizar la protección de las personas que informen sobre infracciones normativas. En caso de comisión de infracciones normativas es lícito el tratamiento de datos de los sujetos actores.

Argumento 4 previsible de la parte contraria: Mantenimiento de datos de interés público general y facilitar acceso a ellos.

Norma en la que se basa: Considerando 158 del Reglamento (UE) 2016/679 de Protección de Datos.

Posibles contraargumentos: el derecho fundamental recogido en el artículo 18 de la CE debe prevalecer sobre el derecho a la información, así se establece en el fundamento de derecho cuarto b de la STC del 29 de junio de 2022. Se considera innecesaria la publicación de los datos identificativos del autor de los hechos (apellidos, domicilio, etc.) para cumplir con el deber de informar del períodico la Voz de Galic

Petitum:

PRIMERO.- Que se retire el contenido de la hemeroteca.

SEGUNDO.- En caso de que el anterior punto no se cumpla, que se impida la localización en el buscador.

TERCERO.- Indemnización de 90.000€ daños y perjuicios por el suicidio de Manuel como consecuencia de la repercusión sufrida.

CUARTO.- Condena en costas a la parte demandada.

Posible petitum de la parte contraria y defensa prevista: […]

PRIMERO.- Desestimación de las pretensiones solicitadas por la parte demandante.

SEGUNDO.- Imponer las costas del procedimiento a la parte demandante.

Grupo 2: Adriana Alvarado, Carla Artagoitia, Jorge Gómez, Julián Jiménez y Aroa Otero

4º Derecho B

Valencia, 27 de marzo de 2025

Caso 4

Hechos relevantes

PRIMERO.- Los directivos de Tik Tok decidieron encargar una auditoría interna para analizar los vídeos de dicha plataforma, como consecuencia del supuesto incremento de contenido ilícito publicado en la aplicación.

SEGUNDO.- Los resultados de la auditoría reflejaron que en pequeños porcentajes (1%; 2% y 11% respectivamente de concretas secciones de vídeos publicados por agentes externos) contenían mensajes ilícitos.

TERCERO.- Además, como la mayoría de redes sociales, mediante el funcionamiento de un algoritmo recomienda una serie de preferencias para una mejor atención del cliente, habiendo coincidido este hecho con que el supuesto contenido ilícito fuese nuevamente recomendado por el algoritmo de la aplicación de nuestro cliente.

CUARTO.- Tras un análisis exhaustivo de los directivos de la aplicación, la reformulación del algoritmo de la misma es algo excesivamente costoso debido a la cantidad de vídeos que se verían afectados. Por consiguiente se decidió en consejo que era necesario el estudio de la propuesta de forma más íntegra, no haciendo público el informe de auditoría hasta alcanzar una solución que abarque la problemática y se determinase de forma más precisa el problema.

QUINTO.- Posteriormente hackearon los ordenadores de la compañía de mi cliente, haciendo pública información confidencial de la empresa.

SEXTO.- La hija de Victoria fue víctima de un atentado en Barcelona que presuntamente fue anunciado a través de la aplicación de nuestro cliente. De tal manera decide demandar a la compañía reclamando una cantidad millonaria. Además, Victoria decido crear una cuenta en la propia aplicación frente a la que reclama con la finalidad de recaudar fondos para las víctimas del terrorismo.

SÉPTIMO.- A Victoria (de Valencia) se suman María (Madrid) y Juan (Bilbao), achacando la primera como causa de su bulimia el contenido que consumió ella misma en la aplicación de nuestro cliente. Sin embargo, Juan es presidente de una asociación contra el maltrato infantil.

OCTAVO.- Estos dos sujetos cedieron los créditos recibidos de sus respectivas reclamaciones para acumular todas las reclamaciones en una única demanda en un solo lugar. De tal manera se firma un contrato de crédito entre María, Juan y Victoria.

NOVENO.- La demanda se presenta ante los Juzgados de Valencia.

Normativa aplicable

PARTE PROCESAL

Ley 1/2000, de Enjuiciamiento Civil

Artículo 6. Capacidad para ser parte.

7.º Los grupos de consumidores o usuarios afectados por un hecho dañoso cuando los individuos que lo compongan estén determinados o sean fácilmente determinables. Para demandar en juicio será necesario que el grupo se constituya con la mayoría de los afectados

Artículo 10. Condición de parte procesal legítima.

Serán considerados partes legítimas quienes comparezcan y actúen en juicio como titulares de la relación jurídica u objeto litigioso. Se exceptúan los casos en que por ley se atribuya legitimación a persona distinta del titular.

Artículo 427. Posición de las partes ante los documentos y dictámenes presentados.

1. En la audiencia, cada parte se pronunciará sobre los documentos aportados de contrario hasta ese momento, manifestando si los admite o impugna o reconoce o si, en su caso, propone prueba acerca de su autenticidad.

Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial

Artículo 11

1. En todo tipo de procedimiento se respetarán las reglas de la buena fe. No surtirán efecto las pruebas obtenidas, directa o indirectamente, violentando los derechos o libertades fundamentales.

Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de losderechos digitales

Artículo 4. Exactitud de los datos.

1. Conforme al artículo 5.1.d) del Reglamento (UE) 2016/679 los datos serán exactos y, si fuere necesario, actualizados.2. A los efectos previstos en el artículo 5.1.d) del Reglamento (UE) 2016/679, no será imputable al responsable del tratamiento, siempre que éste haya adoptado todas las medidas razonables para que se supriman o rectifiquen sin dilación, la inexactitud de los datos personales, con respecto a los fines para los que se tratan, cuando los datos inexactos:

a) Hubiesen sido obtenidos por el responsable directamente del afectado.

b) Hubiesen sido obtenidos por el responsable de un mediador o intermediario en caso de que las normas aplicables al sector de actividad al que pertenezca el responsable del tratamiento establecieran la posibilidad de intervención de un intermediario o mediador que recoja en nombre propio los datos de los afectados para su transmisión al responsable. El mediador o intermediario asumirá las responsabilidades que pudieran derivarse en el supuesto de comunicación al responsable de datos que no se correspondan con los facilitados por el afectado.

c) Fuesen sometidos a tratamiento por el responsable por haberlos recibido de otro responsable en virtud del ejercicio por el afectado del derecho a la portabilidad conforme al artículo 20 del Reglamento (UE) 2016/679 y lo previsto en esta ley orgánica.

d) Fuesen obtenidos de un registro público por el responsable.

Artículo 5. Deber de confidencialidad.

2. La obligación general señalada en el apartado anterior será complementaria de los deberes de secreto profesional de conformidad con su normativa aplicable.

3. Las obligaciones establecidas en los apartados anteriores se mantendrán aun cuando hubiese finalizado la relación del obligado con el responsable o encargado del tratamiento.

REGLAMENTO (UE) 2016/679.

Artículo 5 Principios relativos al tratamiento

1. Los datos personales serán:

d) exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);f) tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»).

Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico.

Artículo 17. Responsabilidad de los prestadores de servicios que faciliten enlaces a contenidos o instrumentos de búsqueda.

1. Los prestadores de servicios de la sociedad de la información que faciliten enlaces a otros contenidos o incluyan en los suyos directorios o instrumentos de búsqueda de contenidos no serán responsables por la información a la que dirijan a los destinatarios de sus servicios, siempre que:

a) No tengan conocimiento efectivo de que la actividad o la información a la que remiten o recomiendan es ilícita o de que lesiona bienes o derechos de un tercero susceptibles de indemnización,

Argumentos

Argumento 1: Ilicitud de la prueba

Norma en la que se basa: Artículo 11 de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial

Desarrollo del argumento: La obtención del informe de la auditoría interna mediante un hackeo es una vulneración del derecho a la intimidad y privacidad del artículo 18 CE siendo una violación de un derecho fundamental provocando la ilicitud de la prueba.

Argumento 2: Exactitud de los datos

Norma en la que se basa: Artículo 4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y artículo 5.1.d) del REGLAMENTO (UE) 2016/679.

Desarrollo del argumento: Los datos de la auditoría no fueron inexactos, simplemente no se publicaron por parte de nuestro cliente con la finalidad de llevar a cabo un análisis más exhaustivo en el que se pretendía emprender soluciones antes de alertar acerca de unos datos basados en una primera auditoría que realmente no reflejaba la realidad.

Argumento 3: Deber de confidencialidad

Norma en la que se basa: Artículo 5 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y artículo 5.1.f) del REGLAMENTO (UE) 2016/679.

Desarrollo del argumento: Infracción del deber de confidencialidad por parte de los agentes externos que hackearon los ordenadores de la empresa de nuestro cliente con la finalidad de publicar datos de carácter privado.

Argumento 4: Responsabilidad de los prestadores de servicios de alojamiento o

almacenamiento de datos.

Norma en la que se basa: Artículo 16.1.a) Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico.

Desarrollo del argumento: Los prestadores de un servicio de intermediación consistente en albergar datos proporcionados por el destinatario de este servicio no serán responsables por la información almacenada a petición del destinatario, siempre que: No tengan conocimiento efectivo de que la actividad o la información almacenada es ilícita o de que lesiona bienes o derechos de un tercero susceptibles de indemnización.

Argumento 5: Responsabilidad de los prestadores de servicios que faciliten enlaces a contenidos o instrumentos de búsqueda.

Norma en la que se basa: Artículo 17.1.a) Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico.

Desarrollo del argumento: Los prestadores de servicios de la sociedad de la información que faciliten enlaces a otros contenidos o incluyan en los suyos directorios o instrumentos de búsqueda de contenidos no serán responsables por la información a la que dirijan a los destinatarios de sus servicios, siempre que: no tengan conocimiento efectivo de que la actividad o la información a la que remiten o recomiendan es ilícita o de que lesiona bienes o derechos de un tercero susceptibles de indemnización.

Argumento 6: Libertad

Norma en la que se basa: Artículo 20 de la Constitución Española.

Desarrollo del argumento: Se reconocen y protegen los derechos: A expresar y difundir libremente los pensamientos, ideas y opiniones mediante la palabra, el escrito o cualquier otro medio de reproducción; A la producción y creación literaria, artística, científica y técnica; A la libertad de cátedra; A comunicar o recibir libremente información veraz por cualquier medio de difusión. La ley regulará el derecho a la cláusula de conciencia y al secreto profesional en el ejercicio de estas libertades.

El ejercicio de estos derechos no puede restringirse mediante ningún tipo de censura previa.

Posibles contraargumentos:

Argumento 1 previsible de la parte contraria: Tratamiento de datos por obligación legal, interés público o ejercicio de poderes públicos.

Norma en la que se basa: Artículo 8 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales y artículo 6.1.c) del REGLAMENTO (UE) 2016/679.

Posibles contraargumentos: el tratamiento de datos por interés público debido a los problemas que genera con la sociedad.

Petitum:

PRIMERO.- Desestimación de las pretensiones solicitadas por la parte demandante.

SEGUNDO.- Imponer las costas del procedimiento a la parte demandante.

Posible petitum de la parte contraria y defensa prevista:

PRIMERO.- Rechazar las pretensiones de la parte demandada.

SEGUNDO.- Retirada del contenido subliminal y vídeos y contenidos no apropiados de la red social.

TERCERO.- Compensación por daños y perjuicios.

CUARTO.- Imponer las costas del procedimiento a la parte demandada.

Grupo 2: Adriana Alvarado, Carla Artagoitia, Jorge Gómez, Julián Jiménez y Aroa Otero

Caso 5

Hechos relevantes

PRIMERO.- En 2023 entró en vigor el Reglamento (UE) 2022/1925 del Parlamento Europeo y del Consejo, de 14 de septiembre de 2022, sobre mercados disputables y equitativos en el sector digital y por el que se modifican las Directivas (UE) 2019/1937 y (UE) 2020/1828 (Reglamento de Mercados Digitales).

SEGUNDO.- La Comisión Europea tras un año de investigación ha concluido que Apple y Meta vulneran la Ley de Mercados Digitales.

TERCERO.- Apple ha impuesto trabas a los desarrolladores para que no puedan comunicar a los consumidores fuera de App Store. Sin embargo, Meta no ofrece alternativas que hagan uso de menos datos personales. Ambas empresas aplican medidas que refuerzan la dependencia de los usuarios empresariales y los consumidores de sus plataformas.

CUARTO.- Apple impone restricciones impidiendo a desarrolladores y consumidores beneficiarse de canales alternativos para tener ofertas alternativas y más baratas a la App Store.

QUINTO.- Meta responde del modelo responden al modelo de 'consentimiento o pago' que impone a las redes sociales Facebook o Instagram y que básicamente obliga a los usuarios a dar datos personales para tener publicidad personalizada o a pagar para tener una versión sin anuncios.

SEXTO.- La Comisión Europea ha sancionado a ambas empresas: 500 millones de euros a Apple y 200 millones de euros a Meta por haber vulnerado la normativa.

Normativa aplicable

Reglamento (UE) 2022/1925 del Parlamento Europeo y del Consejo, de 14 de septiembre de 2022, sobre mercados disputables y equitativos en el sector digital y por el que se modifican las Directivas (UE) 2019/1937 y (UE) 2020/1828 (Reglamento de Mercados Digitales).

Artículo 5. Obligaciones de los guardianes de acceso

2. El guardián de acceso se abstendrá de realizar lo siguiente: a) tratar, con el fin de prestar servicios de publicidad en línea, los datos personales de los usuarios finales que utilicen servicios de terceros que hagan uso de servicios básicos de plataforma del guardián de acceso;

3. El guardián de acceso se abstendrá de aplicar obligaciones que impidan a los usuarios profesionales ofrecer los mismos productos o servicios a usuarios finales a través de servicios de intermediación en línea de terceros o de su propio canal de venta directa en línea a precios o condiciones que sean diferentes de los ofrecidos a través de los servicios de intermediación en línea del guardián de acceso.

4. El guardián de acceso permitirá a los usuarios profesionales, de forma gratuita, comunicar y promover ofertas, en particular con condiciones diferentes, entre los usuarios finales adquiridos a través de su servicio básico de plataforma u otros canales y celebrar contratos con esos usuarios finales, independientemente de si, para este fin, utilizan los servicios básicos de plataforma del guardián de acceso.

7. El guardián de acceso no exigirá a los usuarios finales que utilicen un servicio de identificación, un motor de navegación web o un servicio de pago o servicios técnicos de ese guardián de acceso que permitan la prestación de servicios de pago, como los sistemas de pago para realizar compras integradas en una aplicación de dicho guardián de acceso, en el marco de los servicios prestados por los usuarios profesionales que utilicen los servicios básicos de plataforma de dicho guardián de acceso; y, en el caso de los usuarios profesionales, el guardián de acceso no les exigirá que utilicen y ofrezcan estos servicios ni

que interoperen con ellos.

Artículo 6. Obligaciones de los guardianes de acceso que pueden ser especificadas con

mayor detalle en virtud del artículo 8

4. El guardián de acceso permitirá y posibilitará técnicamente la instalación y el uso efectivo de aplicaciones informáticas o tiendas de aplicaciones informáticas de terceros que utilicen su sistema operativo o interoperen con él, y permitirá el acceso a estas aplicacionesDerecho de las TICS – Caso 5 informáticas o tiendas de aplicaciones informáticas por medios distintos a los servicios básicos de plataforma pertinentes de dicho guardián de acceso. El guardián de acceso, no impedirá, en su caso, que las aplicaciones informáticas o las tiendas de aplicaciones informáticas de terceros descargadas soliciten a los usuarios finales que decidan si desean configurar dicha aplicación informática o tienda de aplicaciones informáticas descargada como opción por defecto. El guardián de acceso posibilitará técnicamente que los usuarios finales que decidan configurar esa aplicación informática o tienda de aplicaciones informáticas descargada como opción por defecto puedan efectuar el cambio con facilidad.

En la medida en que estas sean estrictamente necesarias y proporcionadas, no se impedirá al guardián de acceso adoptar medidas para garantizar que las aplicaciones informáticas o las tiendas de aplicaciones informáticas de terceros no pongan en peligro la integridad del hardware o del sistema operativo proporcionado por el guardián de acceso, siempre que tales medidas no excedan de lo estrictamente necesario y proporcionado y estén debidamente justificadas por el guardián de acceso.

Asimismo, en la medida en que estas sean estrictamente necesarias y proporcionadas tampoco se impedirá al guardián de acceso aplicar unas medidas y una configuración distintas a la configuración por defecto que permitan a los usuarios finales proteger con eficacia la seguridad en relación con las aplicaciones informáticas o las tiendas de aplicaciones informáticas de terceros, siempre que tales medidas y tal configuración distintas a la configuración por defecto estén debidamente justificadas por el guardián de acceso.

11. El guardián de acceso proporcionará a terceras empresas proveedoras de motores de búsqueda en línea, a petición de estas, el acceso en condiciones equitativas, razonables y no discriminatorias a datos sobre clasificaciones, consultas, clics y visualizaciones en relación con la búsqueda gratuita y de pago generados por los usuarios finales en sus motores de búsqueda en línea. Cualesquiera de tales datos sobre consultas, clics y visualizaciones que sean datos personales se anonimizarán.

12. El guardián de acceso aplicará a los usuarios profesionales condiciones generales equitativas, razonables y no discriminatorias de acceso a sus tiendas de aplicaciones informáticas, motores de búsqueda en línea y servicios de redes sociales en línea enumerados en la decisión de designación de conformidad con el artículo 3, apartado 9

Argumentos

Argumento 1: Incumplimiento de la obligación de publicidad en línea (Meta)

Norma en la que se basa: Artículo 5.2.a) LMA

Desarrollo del argumento: El guardián de acceso se abstendrá de realizar lo siguiente: tratar, con el fin de prestar servicios de publicidad en línea, los datos personales de los usuarios finales que utilicen servicios de terceros que hagan uso de servicios básicos de plataforma del guardián de acceso;

Argumento 2: Incumplimiento del deber de libre mercado (Apple)

Norma en la que se basa: Artículo 5.3 LMA

Desarrollo del argumento: El guardián de acceso se abstendrá de aplicar obligaciones que impidan a los usuarios profesionales ofrecer los mismos productos o servicios a usuarios finales a través de servicios de intermediación en línea de terceros o de su propio canal de venta directa en línea a precios o condiciones que sean diferentes de los ofrecidos a través de los servicios de intermediación en línea del guardián de acceso.

Argumento 3: Incumplimiento del deber de libre mercado (Apple)

Norma en la que se basa: Artículo 5.4 LMA

Desarrollo del argumento: El guardián de acceso permitirá a los usuarios profesionales, de forma gratuita, comunicar y promover ofertas, en particular con condiciones diferentes, entre los usuarios finales adquiridos a través de su servicio básico de plataforma u otros canales y celebrar contratos con esos usuarios finales, independientemente de si, para este fin, utilizan los servicios básicos de plataforma del guardián de acceso.

Argumento 4: Imposición de uso de aplicaciones propias (Apple)

Norma en la que se basa: Artículo 5.7 LMA

Desarrollo del argumento: El guardián de acceso no exigirá a los usuarios finales que utilicen un servicio de identificación, un motor de navegación web o un servicio de pago o servicios técnicos deDerecho de las TICS – Caso 5 ese guardián de acceso que permitan la prestación de servicios de pago, como los sistemas de pago para realizar compras integradas en una aplicación de dicho guardián de acceso, en el marco de los servicios prestados por los usuarios profesionales que utilicen los servicios básicos de plataforma de dicho guardián de acceso; y, en el caso de los usuarios profesionales, el guardián de acceso no les exigirá que utilicen y ofrezcan estos servicios ni que interoperen con ellos.

Argumento 5: Imposibilidad de tiendas de aplicaciones informáticas (Apple)

Norma en la que se basa: Artículo 6.4 LMA

Desarrollo del argumento: El guardián de acceso permitirá y posibilitará técnicamente la instalación y el uso efectivo de aplicaciones informáticas o tiendas de aplicaciones informáticas de terceros que utilicen su sistema operativo o interoperen con él, y permitirá el acceso a estas aplicaciones informáticas o tiendas de aplicaciones informáticas por medios distintos a los servicios básicos de plataforma pertinentes de dicho guardián de acceso.

Argumento 6: Anonimato de búsquedas respecto a la información publicitaria(Meta)

Norma en la que se basa: Artículo 6.11 LMA

Desarrollo del argumento: El guardián de acceso proporcionará a terceras empresas proveedoras de motores de búsqueda en línea, a petición de estas, el acceso en condiciones equitativas, razonables y no discriminatorias a datos sobre clasificaciones, consultas, clics y visualizaciones en relación con la búsqueda gratuita y de pago generados por los usuarios finales en sus motores de búsqueda en línea. Cualesquiera de tales datos sobre consultas, clics y visualizaciones que sean datos personales se anonimizarán.

Argumento 7: Desigualdad entre profesionales

Norma en la que se basa: Artículo 6.12 LMA

Desarrollo del argumento: el guardián de acceso aplicará a los usuarios profesionales condiciones generales equitativas, razonables y no discriminatorias de acceso a sus tiendas de aplicaciones informáticas, motores de búsqueda en línea y servicios de redes sociales en línea enumerados en la decisión de designación de conformidad con el artículo 3, apartado 9.

Posibles contraargumentos:

Argumento 1 previsible de la parte contraria: No han tenido tiempo suficiente para poder adaptarse a las condiciones de la Ley

Norma en la que se basa: Artículo 3.10 del Reglamento 2022/1925 del Parlamento europeo y del Consejo.

Posibles contraargumentos: Ambas empresas han tenido los plazos legalmente establecidos para adaptar sus obligaciones como guardianes de acceso, puesto que fueron designadas el 6 de septiembre de 2023 y se les dieron, de acuerdo con el artículo 3.10 del Reglamento 2022/1925 del Parlamento europeo y del Consejo, 6 meses de prórroga para poder modificar sus sistemas.

Argumento 2 previsible de la parte contraria: Las restricciones establecidas por Apple, son objetivamente necesarias y proporcionales.

Norma en la que se basa: Artículo 6.4 y 6.7 del Reglamento 2022/1925 del Parlamento europeo y del Consejo

Posibles contraargumentos: La empresa ha fallado en demostrar que las restricciones establecidas sean objetivamente necesarias y proporcionales, puesto que la seguridad, calidad o funcionamiento del ecosistema, no está en riesgo con las obligaciones de guardianes de acceso establecidas en el Reglamento 2022/1925 del Parlamento europeo y del Consejo, en sus artículos 5 y 6, que son las que se están incumpliendo.

Petitum:

Solicito al juzgado que dicte sentencia en virtud de la cual acuerda lo siguiente:

PRIMERO.- Que se desestimen las pretensiones ejercitadas por la parte demandante.

SEGUNDO.- Que se mantengan las medidas establecidas en la resolución precedente.

TERCERO.- Condena en costas a la parte demandante.

Posible petitum de la parte contraria y defensa prevista:

PRIMERO.- Que se revoque la resolución adoptada por la Comisión Europea.

SEGUNDO.- Que se mantenga la prestación de servicios que se ha estado llevando a cabo hasta el momento.

TERCERO.- Compensación por daños y perjuicios.

CUARTO.- Imponer las costas del procedimiento a la parte demandada.

Grupo 2: Adriana Alvarado, Carla Artagoitia, Jorge Gómez, Julián Jiménez y Aroa Otero

Casos Resueltos

Caso 1

Caso 2

Caso 3

Caso 4

Caso 5

Configuración avanzada