← España

A-00025-2016

1/15 Procedimiento Nº: A/00025/2016 RESOLUCIÓN: R/01748/2016 En el procedimiento A/00025/2016, instruido por la Agencia Española de Protección de Datos a la entidad ADTRIBOO, S.L., vista la denuncia presentada por Don A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 26 de marzo de 2015 tiene entrada en esta Agencia escrito de Don A.A.A., (en lo sucesivo el denunciante), comunicando que en las Condiciones y Términos del sitio web www.adtriboo.com no se ofrece ninguna dirección de correo electrónico, teléfono o dirección postal a través de la cual los usuarios registrados en ADTRIBOO puedan ejercer los derechos de acceso, rectificación, cancelación y oposición por parte de los usuarios dados de alta en la plataforma de dicho sitio. Asimismo comunica que en la Agencia Española de Protección de Datos hay varios ficheros registrados a nombre de ADTRIBOO. SEGUNDO: Del examen de la documentación presentada por el denunciante y de las actuaciones practicadas desde la Subdirección General de Inspección de Datos a la vista de los hechos denunciados se tiene conocimiento de lo que sigue: 2.1 Con fecha 18 de mayo de 2015 se accede al sitio web www.adtriboo.com, comprobándose que en los “Términos y Condiciones de utilización de Servicios de ADTRIBOO (Para Clientes)- Modalidad Freelance” se indica que la sociedad ADTRIBOO, S.L, en adelante la denunciada, es la empresa titular del señalado sitio web, desde el que se ofrece a las personas físicas interesadas la posibilidad de publicar o presentar en dicho sitio web un “Proyecto Freelance” para obtener propuestas para su realización procedentes de los profesionales registrados en el propio sitio. La utilización de dicho servicio requiere que las personas interesadas se registren como usuarios del sitio web cumplimentando un formulario de registro y acepten las Condiciones Generales de Uso del servicio al cumplimentarlo. Se constata que en el formulario de registro (apartado cliente) de la citada web se recogen datos personales, en concreto email y teléfono. En la cláusula relativa al “Tratamiento de los datos de carácter personal”, accesible desde el enlace ubicado al pie del citado formulario bajo la leyenda “He leído y acepto los términos y condiciones de uso”, se hace constar lo siguiente: “adtriboo garantiza la protección de todos los datos de carácter personal que proporcione el Cliente por el hecho de presentar y publicar el Proyecto Freelance en el Website y, en cumplimiento de lo dispuesto en el la Ley Orgánica 15/1999, de 13 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 Diciembre de Protección de Datos de Carácter Personal (en Adelante “LOPD”), en el RD 1720/2007, de 21 de diciembre por el que se aprueba el Reglamento de desarrollo de la LOPD(en adelante , “RLOPD) y restante normativa aplicable (entre ellas la Ley 34/2002, de 11 de julio de Servicios de la Sociedad de la Información y de Comercio Electrónico), le informa que:

  1. a)Todos los datos de carácter personal facilitados a adtriboo para publicar el Proyecto Freelance en el Website serán procesados por ésta de acuerdo con las prescripciones legales y quedarán incorporados en un fichero automatizado creado y mantenido bajo la responsabilidad de adtriboo.
  2. b)Los datos son recabados con las finalidades de: (
  3. i)permitir la correcta identificación de los Clientes, (ii)llevar el mantenimiento, control y desarrollo del proyecto, (iii) enviar comunicaciones publicitarias o promocionales por correo electrónico y otro medio de comunicación electrónica equivalente referente a los propios productos y servicios ofrecidos por adtriboo similares a los que han sido objeto de utilización por el Cliente (estos mensajes promocionales llevarán la identificación “publicidad” y en ellos el Cliente podrá manifestar su deseo de no recibirlos en lo sucesivo) y (
  4. iv)realizar de estudios estadísticos y comparativas históricas anónimas. (…)
  5. d)El Cliente puede, en todo momento, ejercitar los derechos de acceso, rectificación, cancelación y oposición sobre sus datos personales así como el de revocación del consentimiento para cualquiera de las finalidades antes señaladas.” 2.2 Con fecha 18 de mayo de 2015 se accede al registro de dominios de Internet who.is comprobándose que el dominio adtriboo.com consta registrado por Don Jaime Sanmartín Jordana. 2.3 Con fecha 2 de octubre de 2015 al consultar vía Internet el Registro Mercantil Central se constata que la persona registrante del citado dominio figura como Apoderado y Consejero de la mercantil ADTRIBOO, S.L. 2.4 Con fecha 2 de febrero de 2016 se comprueba que en el Registro General de Protección de Datos de esta Agencia figuran inscritos un total de siete ficheros bajo la titularidad de la entidad ADTRIBOO, S.L. TERCERO: Con fecha 9 de febrero de 2016, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00025/2016. Dicho acuerdo fue notificado al denunciante y a la empresa a denunciada con fechas 18 y 19 de febrero de 2016, respectivamente. CUARTO: Con fecha 4 de marzo de 2016 se registra de entrada en esta Agencia escrito del Administrador Concursal de la entidad denunciada comunicando que ha sido nombrado como tal ante el Juzgado Mercantil nº 5 de Madrid con motivo del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 seguimiento de los autos de concurso voluntario de acreedores de la mercantil ADTRIBBO (autos ****/2014) , circunstancia que justifica mediante copia del Auto de declaración de concurso de fecha 2 de diciembre de 2014 dictado por el citado Juzgado. Añade que con fecha 27 de enero de 2015 el mismo Juzgado acordó, conforme figura en el documento que se acompaña, poner fin a la fase común del concurso abriendo la fase de liquidación, tesitura en la que, con fecha 30 de septiembre de 2015 se produjo la compraventa de todos los activos integrantes en la partida del inmovilizado intangible a favor de la sociedad TEAM2VENTURE GmbH. Se señala que al acceder a la zona de registros de la página web www.adtribbo.com se advierte dicha circunstancia, lo que se justifican mediante captura de pantalla. Con arreglo a lo cual el Administrador Concursal informa que la empresa denunciada no tiene legitimidad para adoptar medidas correctoras respecto al portal de internet www.adtribbo.com , debido a que en la actualidad el titular del sitio web y encargado de la información recabada es la mercantil TEAM2VENTURE QUINTO: Con fecha 11 de julio de 2016 se incorpora al procedimiento impresión de la siguiente documentación: - Impresión de la información de la página web https://www.twago.es que aparecía a fecha 9 de marzo de 2016 al seleccionar en Google el sitio web www.adtriboo.com. entre la que se encuentran formularios de recogida de datos de carácter personal y los documentos de “Política de privacidad y consentimiento para la utilización de datos” y de “Términos y condiciones” e “Información Legal” de Twago. - Impresión de la información de la página web https://www.twago.es que aparece a fecha 11 de julio de 2016 al seleccionar en Google el sitio web www.adtriboo.com. entre la que se encuentran varios formularios de recogida de datos de carácter personal y los documentos de “Política de privacidad y consentimiento para la utilización de datos” y de “Términos y condiciones” de Twago. - Información obrante en el Registro Mercantil Central respecto de la sociedad ADTRIBOO, S.L. a fecha 11 de julio de 2016. - Información que aparece en el sitio web www.nic.es relativa al dominio twago.es, en el que aparece como titular team2venture GmbH. HECHOS PROBADOS PRIMERO: Con fecha 26 de marzo de 2015 se registra de entrada en la Agencia Española de Protección de Datos denuncia de Don A.A.A., (en lo sucesivo el denunciante), comunicando que en el sitio web www.adtriboo.com no se ofrece ninguna dirección electrónica o postal del responsable del tratamiento a través de la cual los usuarios dados de alta en dicho portal puedan ejercer los derechos de acceso, rectificación, cancelación y oposición al tratamiento de sus datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 SEGUNDO: Con fecha 18 de mayo de 2015 se verifica que la sociedad ADTRIBOO, S.L aparece como titular del sitio web www.adtriboo.com en los “Términos y Condiciones de utilización de Servicios de ADTRIBOO (Para Clientes)- Modalidad Freelance”. Para poder utilizar los servicios del portal los usuarios debían registrarse vía formulario en adtriboo.com facilitando sus datos de email y teléfono y marcar como leídos y aceptados los términos y condiciones de uso del portal, documento en cuyo apartado 9, relativo al “Tratamiento de los datos de carácter personal” se informaba de lo siguiente: “adtriboo garantiza la protección de todos los datos de carácter personal que proporcione el Cliente por el hecho de presentar y publicar el Proyecto Freelance en el Website y, en cumplimiento de lo dispuesto en el la Ley Orgánica 15/1999, de 13 de Diciembre de Protección de Datos de Carácter Personal (en Adelante “LOPD”), en el RD 1720/2007, de 21 de diciembre por el que se aprueba el Reglamento de desarrollo de la LOPD(en adelante , “RLOPD) y restante normativa aplicable (entre ellas la Ley 34/2002, de 11 de julio de Servicios de la Sociedad de la Información y de Comercio Electrónico), le informa que:
  6. a)Todos los datos de carácter personal facilitados a adtriboo para publicar el Proyecto Freelance en el Website serán procesados por ésta de acuerdo con las prescripciones legales y quedarán incorporados en un fichero automatizado creado y mantenido bajo la responsabilidad de adtriboo.
  7. b)Los datos son recabados con las finalidades de: (
  8. i)permitir la correcta identificación de los Clientes, (ii)llevar el mantenimiento, control y desarrollo del proyecto, (iii) enviar comunicaciones publicitarias o promocionales por correo electrónico y otro medio de comunicación electrónica equivalente referente a los propios productos y servicios ofrecidos por adtriboo similares a los que han sido objeto de utilización por el Cliente (estos mensajes promocionales llevarán la identificación “publicidad” y en ellos el Cliente podrá manifestar su deseo de no recibirlos en lo sucesivo) y (
  9. iv)realizar de estudios estadísticos y comparativas históricas anónimas.
  10. c)(…)
  11. d)El Cliente puede, en todo momento, ejercitar los derechos de acceso, rectificación, cancelación y oposición sobre sus datos personales así como el de revocación del consentimiento para cualquiera de las finalidades antes señaladas.” TERCERO: Con fecha 18 de mayo de 2015 en el registro de dominios de Internet who.is el dominio adtriboo.com consta registrado por Don Jaime Sanmartín Jordana, persona que a fecha 2 de octubre de 2015 aparecía en el Registro Mercantil Central como Apoderado y Consejero de la mercantil ADTRIBOO, S.L. CUARTO: Con fecha 2 de diciembre de 2014 el Juzgado de lo Mercantil nº 5 de Madrid dictó Auto en el “Concurso Voluntario ****/2014”, en cuya parte dispositiva se declaraba en concurso voluntario al deudor ADTRIBOO, S.L., nombrándose administrador del concurso a Don B.B.B.. QUINTO: Con fecha 27 de enero de 2015 el Juzgado de lo Mercantil nº 5 de Madrid C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 dictó Auto en el “Concurso Abreviado ****/2014”, en cuya parte dispositiva se fijaba, entre otras disposiciones, declarar abierta la fase de liquidación de la mercantil ADTRIBOO, S.L., disolver la mercantil concursada, cesando en su función sus administrados, que serán sustituidos por la Administración Concursal. SEXTO: El administrador Concursal de ADTRIBOO, S.L. ha alegado que con fecha 30 de septiembre de 2015 se produjo la compra-venta de todos los activos integrantes en el partida del inmovilizado intangible de la mercantil concursada a favor de la sociedad TEAM2VENTURE GmbH. SÉPTIMO: Con fecha 9 de marzo de 2016 se verifico que al intentar acceder por Internet al sitio web www.adtriboo.com a la búsqueda redirigía a la página web https://www.twago.es, portal en el que se advertía: “¡Adtriboo es ahora twago! Bienvenido a la plataforma de freeelance líder en Europa.” y se requería la cumplimentación de un formulario para crear una cuenta en twago, en el que se solicitaba: nombre de usuario, email, contraseña. En la “Política de Privacidad” del sitio www.twago.es mostrada en esa fecha se indicaba: “La entidad responsable de la recopilación, tratamiento y utilización de los datos personales de los usuarios con arreglo a la utilización de datos establecida por los servicios ofrecidos a través de www.twago.es es Team2Venture GmbH concede en FriedrichstraBe 224, 10969 Berlín Germany conforme a lo dispuesto en la Ley Federal Alemana de Protección de Datos (BDSG, por sus siglas en alemán). “ OCTAVO: Con fecha 11 de julio de 2016 se comprueba en el registro de dominios www.nic.es de Internet que el dominio twago.es está registrado bajo la titularidad de Team2ventureGmbH y que en el documento de “Política de Privacidad” del sitio web www.twago.es, se identifica a la citada empresa como responsable del tratamiento FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  12. g)en relación con el artículo 36 de la LOPD. II En el presente procedimiento se imputa a la mercantil ADTRIBOO, S.L. una infracción del artículo 5 de la LOPD. Los apartados 1, 2 y 3 del citado artículo 5 de la LOPD, establecen en cuanto al “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  13. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  14. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 planteadas.
  15. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
  16. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  17. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
  18. c)y
  19. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban”. Dicho precepto fija el momento en que se ha de informar al interesado al que se recaben datos personales y el contenido de dicha información. La obligación que impone el artículo 5 es, por tanto, la de informar al afectado en el momento de la recogida de datos, pues solo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. De conformidad con lo cual, la entidad denunciada, debía dar a los usuarios que se registraban en el portal de su titularidad la información prevista en el artículo 5 de la LOPD con carácter previo a la solicitud de sus datos personales, y esa información debía ser expresa, precisa e inequívoca. La ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. La Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aun cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. En este sentido, la LOPD recoge las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. III En el caso que nos ocupa, con anterioridad a la adopción del acuerdo de audiencia previa al apercibimiento se constató que la mercantil ADTRIBOO, S.L. era titular del sitio web www.adtriboo.com y que tenía habilitado un formulario para la recogida de datos de carácter personal de los usuarios que deseaban registrarse en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 dicho portal, en el que se solicitaban sus datos de carácter personal de teléfono. email y Asimismo, se constató que al clicar el enlace situado al pie de dicho formulario de recogida de datos se podía acceder al apartado denominado “Tratamiento de los datos de carácter personal” transcrito en los Hechos Probados en el que si bien se identifica a ADTRIBOO, S.L. como responsable del fichero en el que se registraban los datos de carácter personal recabados, se describían las finalidades para las que se destinan los mismos y se informaba a los usuarios sobre la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición respecto de sus datos de carácter personal, sin embargo no se informaba sobre la dirección concreta (postal o electrónica) del responsable del tratamiento al que los titulares de tales datos debían dirigir las solicitudes relativas al ejercicio de los mencionados derechos, incumpliendo de este modo el requisito contemplado en la letra
  20. e)del artículo 5.1 de la LOPD. El apartado 2 del citado artículo 5 de la LOPD establece que los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco de todas las advertencias a las que se refiere el apartado 1 del mismo precepto. Por tanto, la información ofrecida por la denunciada no se ajustaba a las previsiones normativas reseñadas, por lo que no cabe admitir la cláusula informativa a la que dirige el enlace como suficiente para entender cumplido el deber de información al tratamiento de los datos de carácter personal recabados vía cuestionario. En este caso, la denunciada recababa, al menos hasta el 18 de mayo de 2015, fecha en que se accedió por la AEPD a la información obrante en la web www.adtriboo.com, datos personales de los usuarios que se registraban en dicho portal sin facilitarles la información que señala el artículo 5.1.
  21. c)de la LOPD, por lo que debe considerarse que ADTRIBOO, S.L. incurrió en la infracción leve descrita en el artículo 44.2
  22. c)de la LOPD, que considera como tal “el incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado.” No obstante lo anterior, conforme lo señalado en los Hechos Probados de esta resolución, con posterioridad a la notificación del trámite de audiencia se ha tenido conocimiento que todos los activos integrantes del inmovilizado intangible de ADTRIBOO, S.L, sociedad declarada en concurso voluntario mediante Auto de fecha 2 de diciembre de 2014 y disuelta en fase de liquidación mediante Auto de fecha 27 de enero de 2015, fueron adquiridos, según ha manifestado el Administrador Concursal de la denunciada, por la empresa alemana TEAM2VENTURE GmbH con fecha 30 de septiembre de 2015, entidad a la que resulta de aplicación la Ley Federal Alemana de Protección de Datos según aparece en el documento de “Política de Privacidad” publicado en el sitio web www.twago.es, portal al que dirige Google Chrome al intentar buscar el sitio web www.adtriboo.com . y se desprende de la información obtenida con fecha 3 de marzo de 2016 IV El artículo 2.1 de la LOPD, bajo la rúbrica “Ámbito de aplicación”, establece: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado. Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
  23. a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.
  24. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.
  25. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito.” A la vista de dicho precepto y de la nueva situación, ignorada hasta la presentación de alegaciones por el Administrador Concursal de la denunciada, se plantea si la LOPD resulta de aplicación al supuesto estudiado, en el que la denunciada ha sido adquirida por una empresa radicada en Alemania, y a la que le resulta de aplicación la Ley Federal Alemana de Protección de Datos (BDSG, por sus siglas en alemán), según consta en el documento de “Política de Privacidad” del sitio www.twago.es . Para ello debe tenerse en cuenta que el Tribunal Supremo, en Sentencia de la Sala de lo Contencioso-Administrativo de 13 de junio de 2016 (recurso de casación 810/2015), se ha pronunciado al respecto de la Sentencia del TJUE, confirmando el criterio expuesto en anteriores Sentencias y poniéndolo en relación con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo relativo al tratamiento de datos personales y a la libre circulación de estos datos que, si bien no será directamente aplicable hasta el 24 de mayo de 2018, ya está en vigor. En la citada STS se expone: << […] no podemos desconocer el hecho de que con posterioridad a las referidas sentencias de esta Sala de 11, 14 y 15 de marzo de 2016, se ha dictado por la Sala Primera de este Tribunal Supremo sentencia de 5 de abril de 2016, en el recurso 3269/2014, sobre tutela del derecho al honor, a la intimidad, a la propia imagen y a la protección de datos de carácter personal, que se refiere a la responsabilidad de Google Spain S.L., en el tratamiento de tales datos y la incidencia que para el ejercicio por el interesado del derecho a la tutela judicial efectiva puede tener la consideración como responsable de Google Inc., con domicilio en otro país. En la propia sentencia, que en lo sustancial no incorpora motivación distinta a la que ya valoró esta Sala al resolver los recursos de casación interpuestos contra las sentencias de la Audiencia Nacional, se hace referencia, en apoyo de su distinto criterio, a la falta de efecto prejudicial de las sentencias dictadas por ambas salas y recuerda la existencia de “distintos criterios rectores en las distintas jurisdicciones, por la diversidad de las normativas que con carácter principal se aplican en unas y otras”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 Efectivamente, en el ámbito de esta jurisdicción contencioso administrativa, la tutela de los derechos de oposición, acceso, rectificación y cancelación reconocidos al titular de los datos personales objeto de tratamiento, se recaba mediante la impugnación de la correspondiente resolución de la Agencia Española de Protección de Datos, resolución que se produce, como se ha indicado anteriormente, a través de un procedimiento que comienza con la reclamación o comunicación dirigida al responsable del tratamiento, ejercitando el correspondiente derecho (art. 25 R.D. 1720/2007), frente a cuya respuesta el interesado puede formular reclamación ante la referida Agencia Española de Protección de Datos (art. 117 R.D. 1720/2007), que deberá dictar resolución en el plazo de seis meses, contra la cual puede interponerse el recurso contencioso administrativo (art. 18 LOPD 15/1999). En este ámbito jurisdiccional, como se desprende de lo expuesto en los anteriores fundamentos de derecho, la identificación de Google Inc. como responsable del tratamiento al que debe dirigirse el titular de los datos personales en ejercicio de su derecho, se justifica ampliamente en esta sentencia y las citadas de referencia, como resultado de:
  26. i)la clara definición legal de la condición de responsable establecida tanto en la Directiva 95/46/CE (art. 2.
  27. d)como en la Ley Orgánica 15/1999, de Protección de Datos (art. 3.d);
  28. ii)la interpretación que al respecto sostiene el TJUE en la citada sentencia de 13 de mayo de 2014, que al resolver las cuestiones prejudiciales planteadas por la Sala de la Audiencia Nacional, declara expresamente en su parte dispositiva 1), en relación con el tratamiento de datos consistente en “hallar información publicada o puesta en Internet por terceros, indexarla de manera automática, almacenarla temporalmente y, por último, ponerla a disposición de los internautas”, que “el gestor de un motor de búsqueda debe considerarse responsable de dicho tratamiento, en el sentido del mencionado artículo 2, letra d)” gestor que en este caso nadie cuestiona que es Google Inc. y no Google Spain S.L.; iii) la percepción de que dicha interpretación del alcance de tales preceptos y los pronunciamientos efectuados en la sentencia del TJUE no responde a un planteamiento subjetivo sino que, objetivamente, puede sostenerse por los distintos tribunales que han de aplicar las normas comunitarias, como se refleja en las resoluciones adoptadas por ocho órganos jurisdiccionales europeos que se incorporan por la parte recurrente y que se han reflejado antes;
  29. iv)la naturaleza de la obligación cuyo cumplimiento se exige por el interesado, obligación de hacer o no hacer impuesta por la ley en virtud de la efectiva participación del responsable en el tratamiento de datos objeto de impugnación, participación que delimita el alcance de su responsabilidad y la exigencia de la correspondiente reparación, adoptando las medidas precisas al efecto;
  30. v)la asunción como propia de tal condición por parte de la entidad Google Inc., que a raíz de la sentencia del TJUE ha adoptado medidas tendentes a facilitar el ejercicio del denominado “derecho al olvido”. […] el criterio mantenido por la Sala en esas sentencias, como hemos señalado antes, se ha visto confirmado por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo relativo al tratamiento de datos personales y a la libre circulación de estos datos, recientemente aprobado y publicado en el Diario Oficial de la Unión Europea de 4 de mayo de 2016, que deroga la Directiva 95/46/CE, el cual, entre otras previsiones a las que ya nos hemos referido y despejando posibles dudas, regula en su art. 26 la corresponsabilidad en el tratamiento de datos, considerando corresponsables a quienes determinen conjuntamente los objetivos y los medios del tratamiento, exigiendo, además, que los corresponsables C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 determinen de modo transparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el Reglamento, en particular en cuanto al ejercicio de los derechos del interesado, previsión que, como ya se recoge en nuestras sentencias, impide considerar corresponsable a una entidad como Google Spain, S.L., que ninguna participación tiene en la gestión del motor de búsqueda y la determinación de los fines y medios del tratamiento, circunstancia que en ningún momento se cuestiona. Por otra parte, en este ámbito jurisdiccional, la identificación de Google Inc., con domicilio legal en California, como responsable del tratamiento al que debe dirigirse el interesado en el ejercicio de sus derechos, no supone para este dificultad o carga añadida significativa para la obtención de una eficaz tutela judicial, en ninguna de las fases del procedimiento que se establece al efecto, al que hemos hecho referencia antes. Así, en la primera fase, según dispone el art. 24 del Real Decreto 1720/2007, de 21 de diciembre, que aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, el ejercicio de los derechos de acceso, rectificación, cancelación y oposición, frente al responsable del tratamiento, ha de responder a un medio sencillo y gratuito, sin que en ningún caso pueda suponer para el responsable un ingreso adicional, pudiéndose ejercitar tales derechos a través de los servicios de cualquier índole para la atención al público o el ejercicio de reclamaciones relacionadas con el servicio prestado de que disponga el responsable del tratamiento, imponiendo a dicho responsable la obligación de atender la solicitud del interesado aun cuando no hubiera utilizado el procedimiento establecido específicamente al efecto por aquel, siempre que el interesado haya utilizado un medio que permita acreditar el envío y la recepción de la solicitud. La reclamación, por lo tanto, se formula electrónicamente de manera sencilla, gratuita y directa por el interesado, siendo válida en cualquier forma que permita justificar que se ha enviado y recibido por el responsable. Ello se facilita todavía más cuando, como sucede en este caso, el responsable Google Inc., según dice, implementando la tantas veces citada sentencia del TJUE sobre el derecho al olvido, ofrece a los interesados información completa sobre el ejercicio de su derecho, facilita los correspondientes formularios y proporciona instrucciones precisas para cumplimentarlos, habiendo establecido un Consejo Asesor, compuesto por cualificados miembros de distintos países, para evaluar las solicitudes y remitiendo al interesado, caso de desacuerdo con la decisión adoptada, a su impugnación ante la autoridad de protección de datos local, en congruencia con lo dispuesto en el art. 35 del citado Real Decreto 1720/2007, que establece genéricamente el plazo de diez días para resolver por el responsable, transcurrido el cual sin resolución, el interesado podrá interponer la reclamación prevista en el art. 18 de la LO 15/1999 ante la Agencia de Protección de Datos. Tampoco en esta segunda fase, ante la Autoridad de control, se aprecia dificultad o carga significativa para el ejercicio de su derecho por el interesado, por el hecho de que el responsable del tratamiento sea una entidad como Google Inc. domiciliada en otro país, pues, como dispone el art. 117 del Reglamento aprobado por Real Decreto 1720/2007, basta para la iniciación del procedimiento la presentación de la correspondiente reclamación ante la Agencia Española de Protección de Datos, sin que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 las comunicaciones con el responsable del tratamiento en el ámbito del procedimiento abierto presenten mayores exigencias que las llevadas a cabo directamente por el interesado, máxime teniendo en cuenta la implicación de los intervinientes en el desarrollo de la llamada sociedad de la información y la constante evolución normativa hacia la tramitación de los procedimientos a través de medios electrónicos, como refleja el art. 71 de la nueva Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común; que esto es así resulta de los numerosos procedimientos ante la Agencia de Protección de Datos tramitados con la intervención de Google Inc., sin ir más lejos el procedimiento que dio lugar al recurso contencioso administrativo en el que se plantearon por la Sala de la Audiencia Nacional las cuestiones prejudiciales resueltas por el TJUE en la referida sentencia de 13 de mayo de 2014. Lo mismo puede decirse de la vía jurisdiccional, que se desarrolla de acuerdo con las previsiones de la Ley reguladora de esta Jurisdicción Contencioso-Administrativa y que, como en todos los casos, el interesado puede instar y abrir mediante un simple escrito de impugnación de la resolución adoptada por la Agencia de Protección de Datos, a partir del cual el proceso contencioso-administrativo se impulsa de oficio hasta su terminación en cualquiera de las formas establecidas en la propia Ley procesal. Por lo demás, la exigencia del cumplimiento de la obligación a Google Inc. como responsable del tratamiento - además de venir impuesta por la ley aplicable (art. 12.
  31. b)de la Directiva 95/46/CE) y por la naturaleza de la obligación, como se refleja en los arts. 705 y siguientes de la Ley de Enjuiciamiento Civil al regular la ejecución de este tipo de obligaciones favorece que la tutela judicial obtenida por el interesado resulte eficaz y se plasme en la correspondiente actividad o realización práctica, pues, cuando se trata de la exigencia de obligaciones de hacer o no hacer, su efectividad viene determinada por la actitud o respuesta del propio responsable, más aún cuando, como sucede en este caso, el cumplimiento de la obligación exige la utilización de unos medios sobre los que solo tiene capacidad de disposición el responsable, como gestor del motor de búsqueda. >> VI El Grupo de Protección de Datos del art. 29 en su Dictamen 8/2010 sobre Derecho aplicable, en el apartado III. <<…Análisis de las disposiciones: La disposición clave sobre el Derecho aplicable es el artículo 4, que determina qué disposición(disposiciones) nacional(
  32. es)de protección de datos aprobada(
  33. s)para la aplicación de la Directiva puede(
  34. n)aplicarse al tratamiento de datos personales III.1. El responsable del tratamiento está establecido en uno o varios Estados miembros (artículo 4, apartado1, letra a)) (…) En tales circunstancias, la noción de «marco de actividades» –y no la ubicación de los datos– es un factor determinante en la determinación del Derecho aplicable. La noción de «marco de actividades» no implica que el Derecho aplicable sea el del Estado miembro donde esté establecido el responsable del tratamiento, sino donde un establecimiento del responsable del tratamiento esté implicado en actividades relativas al tratamiento de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 La consideración de diferentes hipótesis podría contribuir a clarificar lo que significa la noción de «marco de actividades» y su influencia en la determinación del Derecho aplicable a las diferentes actividades de tratamiento en diferentes países a. Cuando un responsable del tratamiento tiene un establecimiento en Austria y trata datos personales en Austria en el marco de actividades de ese establecimiento, el Derecho aplicable obviamente sería el de Austria, es decir donde el establecimiento está situado. b. En la segunda hipótesis, el responsable del tratamiento tiene un establecimiento en Austria, en cuyo marco de actividades trata datos personales recogidos a través de su sitio Internet. El sitio Internet es accesible a usuarios en distintos países. El Derecho de protección de datos aplicable seguirá siendo el de Austria, es decir el de donde está situado el establecimiento, con independencia de la ubicación de los usuarios y de los datos. c. En la tercera hipótesis, el responsable del tratamiento está establecido en Austria y contrata el tratamiento a un encargado del tratamiento en Alemania. El tratamiento en Alemania se efectúa en el marco de las actividades del responsable del tratamiento en Austria. Es decir, el tratamiento se realiza en aras de los objetivos comerciales y bajo las instrucciones del establecimiento austríaco. El Derecho austríaco será aplicable al tratamiento efectuado por el encargado del tratamiento en Alemania. Además, el encargado del tratamiento estará sujeto a los requisitos del Derecho alemán respecto de las medidas de seguridad que está obligado a adoptar en relación con el tratamiento. Esto requeriría una supervisión coordinada por parte de las autoridades de protección de datos alemanas y austríacas. d. En la cuarta hipótesis, el responsable del tratamiento establecido en Austria abre una oficina de representación en Italia, que organiza todos los contenidos italianos del sitio Internet y gestiona las peticiones de los usuarios italianos. Las actividades de tratamiento de datos realizadas por la oficina italiana se efectúan en el marco del establecimiento italiano, de modo que el Derecho italiano se aplicaría a dichas actividades…>> Así mismo en la Sentencia del Tribunal de Justicia de la Unión Europea (Sala Tercera) de 1 de octubre de 2015 en el asunto C-230/14, se establece: <<1. El artículo 4, apartado 1, letra a), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, debe interpretarse en el sentido de que permite aplicar la legislación relativa a la protección de los datos personales de un Estado miembro distinto de aquel en el que está registrado el responsable del tratamiento de esos datos, siempre que éste ejerza, mediante una instalación estable en el territorio de dicho Estado miembro, una actividad efectiva y real, aun mínima, en cuyo marco se realice el referido tratamiento. Para determinar si así ocurre, en circunstancias como las controvertidas en el litigio principal, el órgano jurisdiccional remitente puede tener en cuenta, por un lado, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 que la actividad del responsable de dicho tratamiento, en cuyo marco éste tiene lugar, consiste en la gestión de sitios de Internet de anuncios de inmuebles situados en el territorio de dicho Estado miembro y redactados en la lengua de ese Estado y que, en consecuencia, se dirige principalmente, incluso íntegramente, a dicho Estado miembro y, por otro lado, que ese responsable dispone de un representante en el referido Estado miembro que se encarga de cobrar los créditos resultantes de dicha actividad y de representarlo en los procedimientos administrativo y judicial relativos al tratamiento de los datos en cuestión. En cambio, es irrelevante el tema de la nacionalidad de las personas afectadas por dicho tratamiento de datos. 2) En el supuesto de que la autoridad de control de un Estado miembro que entiende de unas denuncias, de conformidad con el artículo 28, apartado 4, de la Directiva 95/46, llegue a la conclusión de que el Derecho aplicable al tratamiento de los datos personales de que se trata no es el Derecho de ese Estado miembro, sino el de otro Estado miembro, el artículo 28, apartados 1, 3 y 6, de esa misma Directiva debe interpretarse en el sentido de que dicha autoridad de control sólo podría ejercer en el territorio de su propio Estado miembro las facultades efectivas de intervención que se le han conferido conforme al artículo 28, apartado 3, de la citada Directiva. Por lo tanto, no puede imponer sanciones basándose en el Derecho de ese Estado miembro al responsable del tratamiento de tales datos que no está establecido en dicho territorio, sino que, con arreglo al artículo 28, apartado 6, de la misma Directiva, debe instar la intervención de la autoridad de control dependiente del Estado miembro cuyo Derecho es aplicable…>> Por lo que, con arreglo al Dictamen citado y la Sentencia referida, al tratamiento realizado por la entidad TEam2Venture GmbH, con sede en Berlín (Alemania), con los datos de carácter personal que recaba mediante los formularios insertados en el sitio web www.twago.es le resulta de aplicación la Ley Federal Alemana de Protección de Datos en lugar de la LOPD. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR el procedimiento A/00025/2016 seguido contra la mercantil ADTRIBOO, S.L., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por la infracción de los apartados 1 y 2 del artículo 5 de la LOPD. 2.- NOTIFICAR el presente Acuerdo a Don B.B.B., Administrador Concursal de ADTRIBOO, S.L. y a Don A.A.A. . De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.