La Audiencia Nacional ha desestimado el recurso contencioso-administrativo interpuesto por GlovoAPP23 contra la resolución de la AEPD que le impuso una sanción de 25.000 euros por la comisión de una infracción grave consistente en el incumplimiento de su obligación de designar un delegado de protección de datos.
Rechaza así la alegación de la empresa de que cumplía la normativa al contar como garante de los derechos de los interesados con un comité de protección de datos en cuyo auxilio existía un subcomité.
Recuerda la Sala que la figura del delegado de protección de datos es obligatoria, según el art. 37.1 b) RGPD (LA LEY 6637/2016), cuando se realizan operaciones de tratamiento de datos personales que, en razón de su naturaleza, alcance y/o fines, requieran una observación habitual y sistemática de interesados a gran escala. Señala que éste el caso de Glovo, por lo que no puede aducir que estaba exenta de la obligación de designar un delegado.
Explica que se trata de una empresa cuya actividad principal es la intermediación entre los clientes y usuarios de la app Glovo, que aportan sus datos personales para solicitar productos o servicios, y los propietarios de negocios que suministran esos productos u ofrecen esos servicios. Subraya que esa actividad de intermediaria exige, necesariamente, que el usuario aporte sus datos personales, y esos datos personales son seguidos de manera habitual y sistemática por parte de la recurrente, puesto que se trata de una app muy popular cuyas técnicas para obtener datos, hacer un seguimiento de los mismos y predecir la geolocalización de los interesados, son factores que evidencian que tales datos se emplean en actividades de mercadotecnia, lo que exige que la empresa efectué un tratamiento de datos personales, debiendo el encargado del tratamiento cumplir plenamente las disposiciones del RGPD (LA LEY 6637/2016) y LOPD (LA LEY 19303/2018) en el ejercicio de su actividad.
Incide en que Glovo es una entidad a la que se puede acceder por cualquier usuario de un teléfono móvil, una tablet o una TV inteligente con un software que puede recoger datos de los usuarios, de forma constante y continua, y de hecho una vez que el usuario emplea la aplicación recibe información de ofertas, oportunidades, descuentos, de ahí que la empresa esté obligada a adoptar cuantas medidas de seguridad sean necesarias al ser la suya una actividad a gran escala que eleva el riesgo de un mal tratamiento de los datos personales.
De este modo, concluye la Audiencia que la sancionada no puede escudar su incumplimiento en que disponía de un comité de protección de datos, y destaca que, cuando se iniciaron las actuaciones previas por parte de la AEPD, procedió a la designación de un delegado de inmediato y así se comunicó, porque el supuesto comité de protección de datos con el que Glovo dice que contaba no se había puesto en conocimiento de la autoridad de control y tampoco estaba publicada su designación.
En definitiva, no estando exonerada de la obligación de designar un delegado de protección de datos, la Sala confirma que Glovo incurrió en la falta por la que es sancionada por la AEPD, confirmando también el importe de la multa, resultado de aplicar dos agravantes, el muy elevado número de afectados y que los datos afectan a identificadores personales básicos, que la sancionada estaba especialmente obligada a proteger.