1/10 Procedimiento Nº: A/00035/2014 RESOLUCIÓN: R/00772/2014 En el procedimiento A/00035/2014, instruido por la Agencia Española de Protección de Datos a D. A.A.A., vista la denuncia presentada por Dña. B.B.B. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha de 22 de febrero de 2013 tiene entrada en esta Agencia un escrito de Dña. B.B.B. en el que declara estar siendo víctima de suplantación de identidad desde que su DNI fue escaneado y subido a la red eMule, y por este motivo ha interpuesto numerosas denuncias en instancias policiales. Junto con su escrito aporta copia de las denuncias presentadas entre mayo de 2011 y octubre de 2012, así como contestación del Defensor del Pueblo, de 30/10/2012. Junto a un nuevo escrito, de fecha de entrada en esta Agencia de 5 de marzo de 2013, la denunciante aporta también copia de un mensaje electrónico, redactado en inglés y remitido el 20 de febrero de 2013 al buzón info@eMule......... en el que exponía que, en el mes de septiembre de 2010, el que fuera su pareja depositó, de forma involuntaria, en una carpeta compartida a través de la red eMule, una copia escaneada de su DNI, ocasionando que su identidad fuera desde entonces suplantada. En ese mismo mensaje la denunciante manifiesta no haber recibido ningún tipo de ayuda para lograr que dicho documento dejara de ser “emulado”. SEGUNDO: Tras la recepción de estos escritos, por la Subdirección General de Inspección de Datos se iniciaron cinco expedientes de actuaciones previas de inspección, para determinar, por una parte, la posible responsabilidad de cada una las entidades financieras referidas por la denunciante y, por otra, de los usuarios de la red eMule que pudieran haber tratado indebidamente los datos de la denunciante. A este último respecto, teniendo como base el citado escrito de 5 de marzo, se tramitaron las actuaciones con referencia E/01620/2013, que dan lugar al presente Acuerdo. A continuación, se extracta el contenido del informe de actuaciones previas. AL RESPECTO DEL FUNCIONAMIENTO GENERAL DE LA RED EMULE La red eMule de compartición de ficheros es una red formada por un conjunto de servidores y un conjunto de equipos que tienen instalado un programa cliente eMule. Existen varias versiones del programa cliente eMule (el que un usuario instala en su equipo) pero todas ellas permiten definir una o varias carpetas dentro de las cuales cualquier fichero se hará disponible al resto de la red. La carpeta cuyo contenido se comparte por defecto se encuentra dentro del directorio de instalación del programa y se denomina “Incoming”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 Los servidores almacenan las listas que cada usuario conectado al servidor le transmite, no los ficheros. Esas listas son almacenadas durante un cierto periodo de tiempo (que depende de la configuración del servidor) y después, si no son actualizadas, son eliminadas. El cliente eMule permite la búsqueda en base al nombre y al hash1 de un fichero y la búsqueda puede limitarse a los usuarios conectados al mismo servidor al que está conectado o los usuarios de la red conectados a cualquier servidor. Cuando se busca un fichero, el programa servidor busca en el conjunto de listas que los usuarios le han proporcionado en base al criterio seleccionado y proporciona una lista con los resultados. Esa lista contiene los distintos ficheros cuyo nombre o hash coincide con el buscado y, para cada uno de ellos, la lista de usuarios que lo comparten. El programa cliente permite la descarga de los ficheros hallados como resultado de la búsqueda. Para ello trata de establecer una conexión con cada uno de los usuarios de la red que comparte el fichero. Con el fin de hacer el sistema más eficiente, los ficheros compartidos almacenados en los equipos de los usuarios no son descargados en un solo bloque monolítico sino en pequeñas porciones. De esa forma un fichero puede obtenerse de a partir de porciones de distintos usuarios que lo comparten. Es debido al comportamiento descrito, en el que cualquiera de los clientes puede servir un fichero y cualquiera puede recibirlo, que este tipo de red se denomina “peer to peer” o red entre iguales. IMPLICACIONES SOBRE LA DISPONIBILIDAD DE FICHEROS Ficheros encontrados que no se descargan Cada fichero de la lista de resultados muestra la lista de usuarios que comparte ese fichero pero en ocasiones no hay ningún usuario en esa lista. El hecho de que un servidor muestre un resultado coincidente con el criterio de búsqueda no implica que el fichero esté disponible en la red en ese momento o que lo pueda estar en el futuro, únicamente que lo ha estado en un pasado reciente. Los servidores no borran las listas de ficheros compartidos de sus usuarios una vez éstos se desconectan sino que las almacenan durante un tiempo. Debido a ello, es posible que un fichero aparezca en la lista de disponibles pero no sea posible su descarga porque los usuarios que lo estaban compartiendo no están conectados a la red. Ficheros que aparecen y desaparecen En algunas ocasiones la búsqueda de un fichero no devuelve resultados y en otras ocasiones sí, a pesar de que los criterios de búsqueda son idénticos. Sólo es posible encontrar y descargar un fichero en la red si alguno de los usuarios que lo comparten se conecta a dicha red. Si un fichero es compartido por pocos usuarios y éstos se conectan con poca frecuencia puede ocurrir que las listas de 1 En este contexto, un hash es un código de 32 caracteres que se obtiene de un fichero a partir de su contenido y que permite relacionar ficheros de idéntico contenido pero distinto nombre. Así, dos ficheros que contuviesen la misma imagen del DNI de la denunciante pero que tuviesen distinto nombre, tendrían idéntico hash. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 todos los usuarios sean borradas del servidor, con lo que el fichero no parecería en los resultados de la búsqueda inicial. En una búsqueda posterior, después de que alguno de dichos usuarios se hubiese conectado al servidor de nuevo, el fichero volvería a aparecer como disponible al remitir el usuario la lista de ficheros. METODOLOGIA DE LAS COMPROBACIONES REALIZADAS El subinspector actuante ha realizado un total de trece comprobaciones en las que se ha buscado el DNI de la denunciante. En los casos en los que la búsqueda ofrecía resultados significativos se procedió a la descarga de los ficheros y, a través del módulo de chat del programa cliente eMule, se contactó con los usuarios que se encontraban compartiendo el fichero. En dichas sesiones de chat se les informaba de que la Agencia Española de Protección de Datos estaba realizando una investigación y que tanto el almacenamiento como la transmisión del DNI de la denunciante sin su consentimiento representaba una infracción a la normativa en materia de protección de datos personales, requiriéndose la eliminación del fichero. En la mayor parte de los casos, los usuarios que compartían el fichero se desconectaron de la red tras recibir el mensaje del Subinspector actuante. […] En la primera de las comprobaciones se localiza y descarga un fichero […] que contiene dos imágenes con el anverso y reverso del DNI de la denunciante, emitido el 14 de diciembre de 2004. En el resto de las comprobaciones se verifica que el nombre y el hash del fichero son coincidentes descargándose únicamente el fichero en algunos casos. En todos los casos en los que un usuario estaba compartiendo el fichero, el subinspector actuante inició una sesión de chat mediante el módulo de que dispone uno de los programas cliente eMule. En todos los casos el usuario se desconectó de la sesión de chat sin haber contestado nada y en ocasiones incluso antes de que el Subinspector actuante terminase de informarle de que su conducta podía ser constitutiva de una infracción a la normativa en materia de protección de datos. […] TERCERO: En el informe de actuaciones previas se obtienen las siguientes conclusiones al respecto de uno de los equipos que compartían el fichero conectado a través de una línea, cuyo titular pudo ser identificado a partir de las direcciones IP que en cada caso tenía asignadas el fichero: El cliente que tuvo asignadas la direcciones IP citadas en el momento en el que desde éstas se estaba compartiendo la imagen con el DNI de la denunciante es A.A.A., en adelante el compartidor. Con fecha 16 de enero de 2014 se remitió una solicitud de información al compartidor en la que se le informaba de que se había detectado que desde la conexión a Internet de la que es titular se estaba compartiendo el DNI de la denunciante sin disponer del consentimiento de ésta por lo que se le solicitaba el borrado del fichero y de cualquier copia que de éste tuviera, además de requerir información sobre los usos que, en su caso, hubiese realizado de dicho documento. El escrito consta como entregado por el servicio de correos el 22 de enero de 2014. Con fecha 6 de febrero al no haber recibido respuesta alguna a su solicitud, el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 Subinspector actuante realizó una llamada telefónica a la línea de la que es titular el compartidor. La llamada fue contestada por una mujer que informó al Subinspector actuante que el compartidor de pondría en otro momento en contacto con él. Dicha respuesta fue dada después de que el Subinspector informará de la falta de respuesta del compartidor a la solicitud de información remitida. A fecha del presente informe no se ha recibido en esta Agencia respuesta alguna por parte del compartidor. CUARTO: Con fecha 25 de febrero de 2014, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00035/2014. Dicho acuerdo fue notificado a la denunciante y a D. A.A.A.. QUINTO: Con fecha 3/03/2014 se recibe en esta Agencia escrito de D. C.C.C., en el que comunica que con fecha 22 de enero de 2014 remitió escrito de contestación a esta Agencia pero que por error lo dirigió a la web agdp.es, en el mismo se comunicaba que: “…os envío este mensaje por una carta recibida, con Ref.: E/01620/2013. Indicando unas pruebas que acabo de comprobar que son ciertas. La carta ha llegado referida a mi padre A.A.A.. Sin embargo, era yo C.C.C., el que al parecer disponía de dicho archivo. Digo al parecer, porque no tengo ni idea, de qué hacía eso ahí, o cómo ha llegado. El caso es que ni sé cuánto tiempo lleva. Pero como se me pide, indico que no he dado uso alguno, menos aun conscientemente. Ni quiero, ni me hace falta algo así para nada, y he procedido a borrarlo en cuanto me ha llegado la noticia. Siento mucho las molestias a las que haya podido contribuir, inconscientemente teniendo eso ahí, y agradezco vuestra atención y esfuerzo en solucionarlo…” HECHOS PROBADOS PRIMERO: Con fecha de 22 de febrero de 2013 tiene entrada en esta Agencia un escrito de Dña. B.B.B. en el que declara estar siendo víctima de suplantación de identidad desde que su DNI fue escaneado y subido a la red eMule, y por este motivo ha interpuesto numerosas denuncias en instancias policiales. Junto con su escrito aporta copia de las denuncias presentadas entre mayo de 2011 y octubre de 2012, así como contestación del Defensor del Pueblo, de 30/10/2012. Junto a un nuevo escrito, de fecha de entrada en esta Agencia de 5 de marzo de 2013, la denunciante aporta también copia de un mensaje electrónico, redactado en inglés y remitido el 20 de febrero de 2013 al buzón info@eMule......... en el que exponía que, en el mes de septiembre de 2010, el que fuera su pareja depositó, de forma involuntaria, en una carpeta compartida a través de la red eMule, una copia escaneada de su DNI, ocasionando que su identidad fuera desde entonces suplantada. En ese C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 mismo mensaje la denunciante manifiesta no haber recibido ningún tipo de ayuda para lograr que dicho documento dejara de ser “emulado” (folios 1 a 18). SEGUNDO: Tras la recepción de estos escritos, por la Subdirección General de Inspección de Datos se iniciaron cinco expedientes de actuaciones previas de inspección, para determinar, por una parte, la posible responsabilidad de cada una las entidades financieras referidas por la denunciante y, por otra, de los usuarios de la red eMule que pudieran haber tratado indebidamente los datos de la denunciante. A este último respecto, teniendo como base el citado escrito de 5 de marzo, se tramitaron las actuaciones con referencia E/01620/2013, que dan lugar al presente Acuerdo. A continuación, se extracta el contenido del informe de actuaciones previas. METODOLOGIA DE LAS COMPROBACIONES REALIZADAS El subinspector actuante ha realizado un total de trece comprobaciones en las que se ha buscado el DNI de la denunciante. En los casos en los que la búsqueda ofrecía resultados significativos se procedió a la descarga de los ficheros y, a través del módulo de chat del programa cliente eMule, se contactó con los usuarios que se encontraban compartiendo el fichero. En dichas sesiones de chat se les informaba de que la Agencia Española de Protección de Datos estaba realizando una investigación y que tanto el almacenamiento como la transmisión del DNI de la denunciante sin su consentimiento representaba una infracción a la normativa en materia de protección de datos personales, requiriéndose la eliminación del fichero. En la mayor parte de los casos, los usuarios que compartían el fichero se desconectaron de la red tras recibir el mensaje del Subinspector actuante. […] En la primera de las comprobaciones se localiza y descarga un fichero […] que contiene dos imágenes con el anverso y reverso del DNI de la denunciante, emitido el 14 de diciembre de 2004. En el resto de las comprobaciones se verifica que el nombre y el hash del fichero son coincidentes descargándose únicamente el fichero en algunos casos. En todos los casos en los que un usuario estaba compartiendo el fichero, el subinspector actuante inició una sesión de chat mediante el módulo de que dispone uno de los programas cliente eMule. En todos los casos el usuario se desconectó de la sesión de chat sin haber contestado nada y en ocasiones incluso antes de que el Subinspector actuante terminase de informarle de que su conducta podía ser constitutiva de una infracción a la normativa en materia de protección de datos […] (folio 175 y 176). TERCERO: En el informe de actuaciones previas se obtienen las siguientes conclusiones al respecto de uno de los equipos que compartían el fichero conectado a través de una línea, cuyo titular pudo ser identificado a partir de las direcciones IP que en cada caso tenía asignadas el fichero: El cliente que tuvo asignadas la direcciones IP citadas en el momento en el que desde éstas se estaba compartiendo la imagen con el DNI de la denunciante es A.A.A., en adelante el compartidor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 Con fecha 16 de enero de 2014 se remitió una solicitud de información al compartidor en la que se le informaba de que se había detectado que desde la conexión a Internet de la que es titular se estaba compartiendo el DNI de la denunciante sin disponer del consentimiento de ésta por lo que se le solicitaba el borrado del fichero y de cualquier copia que de éste tuviera, además de requerir información sobre los usos que, en su caso, hubiese realizado de dicho documento. El escrito consta como entregado por el servicio de correos el 22 de enero de 2014. Con fecha 6 de febrero al no haber recibido respuesta alguna a su solicitud, el Subinspector actuante realizó una llamada telefónica a la línea de la que es titular el compartidor. La llamada fue contestada por una mujer que informó al Subinspector actuante que el compartidor de pondría en otro momento en contacto con él. Dicha respuesta fue dada después de que el Subinspector informará de la falta de respuesta del compartidor a la solicitud de información remitida. A fecha del presente informe no se ha recibido en esta Agencia respuesta alguna por parte del compartidor (folio 177). CUARTO: Con fecha 3/03/2014 se recibe en esta Agencia escrito de D. C.C.C., en el que comunica que con fecha 22 de enero de 2014 remitió escrito de contestación a esta Agencia pero que por error lo dirigió a la web agdp.es, en el mismo se comunicaba que: “…os envío este mensaje por una carta recibida, con Ref.: E/01620/2013. Indicando unas pruebas que acabo de comprobar que son ciertas. La carta ha llegado referida a mi padre A.A.A.. Sin embargo, era yo C.C.C., el que al parecer disponía de dicho archivo. Digo al parecer, porque no tengo ni idea, de qué hacía eso ahí, o cómo ha llegado. El caso es que ni sé cuánto tiempo lleva. Pero como se me pide, indico que no he dado uso alguno, menos aun conscientemente. Ni quiero, ni me hace falta algo así para nada, y he procedido a borrarlo en cuanto me ha llegado la noticia. Siento mucho las molestias a las que haya podido contribuir, inconscientemente teniendo eso ahí, y agradezco vuestra atención y esfuerzo en solucionarlo…” (folio 203). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.