1/11 Procedimiento Nº: A/00196/2015 RESOLUCIÓN: R/02479/2015 En el procedimiento A/00196/2015, instruido por la Agencia Española de Protección de Datos a la entidad PRIVACIDAD WHOIS, S.L., vista la denuncia presentada por D. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 22/09/2014 tuvo entrada en esta Agencia, escrito de D. A.A.A. (en lo sucesivo el denunciante) comunicando que la entidad PRIVACIDAD WHOIS, S.L. (en lo sucesivo el denunciado) recopila datos personales a través de la página web www.pullback.es, sin información alguna sobre protección de datos. SEGUNDO: A la vista de los hechos denunciados, desde la Subdirección General de Inspección de datos se accede a Internet y se comprueba que la entidad denunciada, tiene una página web en la que se recogen datos personales, sin facilitar la información del art. 5 de la LOPD. TERCERO: Con fecha 15 de julio de 2015, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00196/2015. Dicho acuerdo fue notificado al denunciante y al denunciado. CUARTO: Con fecha 10/08/2015 se recibe en esta Agencia escrito del denunciado en el que comunica: <<…PRIMERO.- Titularidad del nombre de dominio. Privacidad Whois SL no es titular del nombre de dominio “pullback.es”. Privacidad Whois SL se dedica a la prestación de servicios de privacidad y proxy para nombres de dominios, consistentes en que sus datos constan en el Directorio de Datos de Registro (Whois) en lugar de los datos propios del registrante y demás contactos. Las condiciones del servicio se encuentran reguladas en el punto 4.6 de las “Condiciones Generales de Contratación del servicio de registro, renovación y traslado de nombres de dominio de Dinahosting S.L.” que pueden consultarse en todo momento en el siguiente enlace: https://dinahostinq.com/legal/. Se aportan, como DOCUMENTO núm.1, para facilitar su consulta. Privacidad Whois SL desconoce la identidad del titular del sitio web, por cuanto el servicio se contrata a través de DINAHOSTING, S.L. que actúa como intermediaria entre Privacidad Whois SL y el titular del nombre de dominio. Dinahosting SL es un agente registrador acreditado por Red.es que ofrece a sus clientes la posibilidad de contratar el servicio de privacidad whois para los dominios registrados con ella en los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 términos descritos en el punto anterior, y en ningún caso proporciona los datos identificativos del titular o demás contactos a Privacidad Whois SL. Con fecha 10/04/2013 se contrató el servicio de privacidad whois por parte del titular del dominio “pullback.es”, a través de Dinahosting SL, dándose de baja el servicio con fecha 10/04/2014, momento en que debería haber cesado el uso de los datos identificativos de Privacidad Whois SL por parte del titular del dominio. Se adjunta duplicado de la factura (núm. *******), como DOCUMENTO núm. 2, emitida en relación al servicio de privacidad whois correspondiente a las contrataciones realizadas durante el mes de abril de 2013, justificante de la relación existente entre Privacidad Whois SL y Dinahosting SL. Asimismo, se aporta Certificado emitido por Privacidad Whois S.L. en el que se plasman las condiciones concretas del servicio de privacidad whois respecto del dominio pullback.es. Privacidad Whois SL desconoce el motivo de que conste “Privacidad Whois SL” como titular del dominio en la actualidad, puesto que la prestación de servicios finalizó con fecha 10/04/2014 y actualmente dicho dominio se encuentra en otro Agente Registrador (ESTRATEGIAS WEB). En este sentido, el Agente Registrador a través del cual se contrataron los servicios, esto es, Dinahosting SL, contactó, el 21-07-2015, con el cliente que contrató los servicios en su día, en aras a informarle de que los datos que constaban en el whois de su dominio estaban desactualizados y que debía proceder a rectificarlos, siendo que dicha persona afirmó que corregiría la situación. No obstante, ha transcurrido una semana desde que comunicó la incidencia a los interesados y estos no han subsanado la situación. Se aporta como DOCUMENTO núm. 3, correo electrónico recibido de Dinahosting SL en el que se informa a Privacidad Whois SL sobre estos hechos. Privacidad Whois SL, al no haberse resuelto la situación voluntariamente por parte de los verdaderos titulares del dominio, ha denunciado los hechos ante la Entidad Pública Empresarial Red.es para que se proceda a la cancelación del dominio de conformidad con el artículo Vigésimo Tercero de la Instrucción del Director General de la entidad pública empresarial Red.es, de 2 de enero de 2010, por la que se desarrollan los procedimientos aplicables a la asignación y a las demás operaciones asociadas al registro de nombres de dominio bajo el código de país correspondiente a España (.es). La denuncia fue presentada el 27-07-2015 con base en que Privacidad Whois SL no es titular del nombre de dominio “pullback.es” ni ha consentido el uso de sus datos en el directorio whois al verdadero titular. Por tanto, los datos que constan en el directorio whois respecto del nombre de dominio “pullback.es” son falsos o inexactos. Se aporta como DOCUMENTO núm. 4, copia de la solicitud de cancelación presentada ante Red.es con base en los hechos descritos. SEGUNDO.- Falta de legitimación pasiva. Principio de responsabilidad. Privacidad Whois SL no es titular del sitio web “pullback.es”, y no puede tener la condición de responsable del fichero o tratamiento en relación con los hechos descritos en el Acuerdo de Audiencia Previa al Apercibimiento, puesto que no “decide sobre la finalidad, contenido y uso del tratamiento” (artículo 5.1 .q. del Reglamento de desarrollo de LOPD) realizado a través de dicho sitio web. En diversas resoluciones (Exp. N°: E/02318/2014 y Exp. N°: E/02047/2014, entre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 otras) esta Agencia se ha pronunciado en el sentido de que “para que pueda afirmarse la responsabilidad es imprescindible que pueda imputarse al hecho constitutivo de infracción a una persona (principio de personalidad), así como que su conducta pueda ser calificada de culpable (principio de culpabilidad). El principio de personalidad de la sanción ha sido consagrado por el Tribunal Constitucional en la STC 219/1988, como principio de responsabilidad por hechos propios. El respeto al principio de personalidad exige un nexo causal entre el hecho constitutivo de la infracción y la persona responsable. Ahora bien, en el ámbito que nos ocupa, ello no implica necesariamente que tal vínculo sólo pueda trazarse con el autor material de los hechos, ni tampoco que tal autor material deba en todo caso ser considerado responsable. Y ello no entra en colisión con la prohibición derivada del principio de personalidad, de responder por actos ajenos, sino de lo contrario. La cuestión radica en analizar la especial configuración que el hecho infractor tiene en Derecho Administrativo Sancionador. La tipificación de las infracciones administrativas trata en definitiva, por lo general, de proteger el cumplimiento del Ordenamiento Jurídico, y de sancionar, por tanto, su incumplimiento, a diferencia de lo que ocurra con las infracciones penales, que sancionan la lesión o puesta en peligro de un bien jurídico protegido, sin que haya, por lo general una norma sustantiva subyacente que imponga la obligación que haya sido vulnerada. Si en consecuencia, el hecho infractor consiste en un incumplimiento de la norma (y no es una lesión a un bien jurídico), sólo el titular de tal obligación estará, en principio capacitado para cometer la infracción. La exigencia de responsabilidad a quien no sea titular de la obligación incumplida vulneraría, por tanto, el principio de personalidad, pues no corresponde al no titular cumplir la obligación, ni por ende, se le puede hacer responder de su incumplimiento. Ello explica que, a efectos de determinar la imputación de una infracción a una persona determinada, lo relevante sea la indagación previa de la titularidad de la obligación que subyace al tipo. Del mismo modo, la culpabilidad en Derecho Administrativo Sancionador no es el fundamento de la sanción, sino un requisito para exigir responsabilidad por el ilícito cometido.” En este sentido, la asignación de un nombre de dominio implica el derecho del titular a usar y utilizar dicho nombre de dominio a los efectos de direccionamiento en el Sistema de Nombres de Dominio (DNS) de Internet, es decir, para designar la IP a la que dirige el nombre de dominio al ser introducido en cualquier navegador, o dicho de otro modo, la página web que visualiza un usuario al introducir dichos datos en el navegador. Las DNS de un dominio deben establecerse a través de las funcionalidades que habilite el correspondiente Agente Registrador, motivo por el que solo el actual Agente Registrador del dominio “pullback.es”, esto es, ESTRATEGIAS WEB (www.virtualpyme.es), podrá identificar al usuario que gestiona dicho dominio y que, por tanto, establece las DNS del mismo. Se aporta como DOCUMENTO núm. 5, consulta del directorio whois Red.es realizada en relación al dominio pullback.es. Por otro lado, la capacidad de decidir sobre el contenido y la configuración de un sitio web es la que debería determinar la condición de responsable del fichero o tratamiento, no la mera titularidad registral de un nombre de dominio, ya que es a través C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 de estas opciones —contenido y configuración- que se decide y puede producirse el tratamiento de datos de carácter personal. En este sentido, se ha consultado la identidad del proveedor de hosting del sitio web www.pullback.es, siendo que actualmente desempeña dicha función Amazon Technologies Inc. (aws.amazon.com). Se aporta como DOCUMENTO núm. 6, las consultas realizadas para determinar la identidad de dicho proveedor. El proveedor de servicios de hosting podrá identificar el usuario que ha contratado el alojamiento del sitio web, bien como titular del mismo (responsable del fichero) o bien como intermediario del titular (encargado del tratamiento), de forma que podrá llegar a establecerse la verdadera identidad del titular del sitio web, es decir, del responsable de la información recopilada a través del sitio web “pullback.es” y del cumplimiento de las obligaciones que la LOPD y su normativa de desarrollo asignan al responsable del fichero o tratamiento. Asimismo, Dinahosting SL puede proporcionar los datos identificativos del usuario que contrató los servicios de registro y privacidad whois del dominio “pullback.es” y del titular de dicho nombre de dominio en el momento de contratarse los servicios. Privacidad Whois SL al no ser titular del sitio web ni del nombre de dominio “pullback.es” ha adoptado la única medida correctora a su alcance en este caso, esto es, comunicar a la Entidad Pública Empresarial Redes la falsedad de los datos whois asociados al dominio “pullback.es” con el fin de que estos sean corregidos. Privacidad Whois no puede acceder a las funcionalidades necesarias para modificar el contenido y configuración del sitio web, a través del cual debería informarse a los interesados sobre los extremos previstos en el artículo 5 de la LOPD, ya que dicha opción solo está al alcance del usuario de los servicios del proveedor de hosting (Amazon), quien será el verdadero titular del sitio web o bien un intermediario del verdadero titular. Por todo lo expuesto, SOLICITA Que teniendo por presentado este escrito junto con los documentos que lo acompañan, se sirva admitirlo y tener por formuladas alegaciones anteriores, para que, a la vista de las mismas, se declare el archivo de las actuaciones respecto de Privacidad Whois SL por carecer de responsabilidad alguna en relación a los hechos descritos en el expediente de referencia, y que se abran nuevas actuaciones de investigación al objeto de identificar a la persona o entidad que pudiera ser responsable en atención a las alegaciones formuladas…>> (el subrayado es de la AEPD) QUINTO: Con fecha 19/08/2015 se recibe en esta Agencia nuevo escrito del denunciado en el que comunica: <<…Tal y como se indicó en la Alegación Primera del escrito de fecha 28 de julio de 2015, Privacidad Whois SL denunció los hechos ante la Entidad Pública Empresarial Red.es para que se procediese a la cancelación del dominio de conformidad con el artículo Vigésimo Tercero de la Instrucción del Director General de la entidad pública empresarial Red.es, de 2 de enero de 2010, por la que se desarrollan los procedimientos aplicables a la asignación y a las demás operaciones asociadas al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 registro de nombres de dominio bajo el código de país correspondiente a España (“es), debido a la falsedad o inexactitud de los datos asociados al dominio, dado que Privacidad Whois SL no es titular del nombre de dominio “pullback.es” ni ha consentido el uso de sus datos en el directorio whois al verdadero titular. Por otro lado, se contactó con el Agente Registrador del dominio (ESTRATEGIAS WEB), con fecha 04-08-2015-; para solicitarle su colaboración en la corrección de los datos del dominio -se aporta como DOCUMENTO N°1-, a lo que contestaron: “Pese a que nosotros, Estrategias Website SL, somos el agente registrador del dominio, no lo gestionamos directamente nosotros. Lo tiene contratado con una empresa que registra estos dominios a través de nosotros que somos agentes registradores acreditados. Debe contactar con WEBEMPRESA EUROPA, S.L., su teléfono es 902******” Tras buscar los datos de contacto de WEBEMPRESA EUROPA, S.L. constatamos que su dirección de contacto era “dominios@.........” —dirección que coincide al 100% con la que consta en el PCA y PCT del dominio “pullback.es”- y enviamos, con fecha 04-08-2015, un correo electrónico a dicha empresa solicitando que corrigieran los datos whois del dominio —se aporta como DOCUMENTO N°2-, siendo su respuesta —se aporta como DOCUMENTO N°3- la siguiente: “de acuerdo, gracias por la información. Nos ponemos en contacto con el cliente para que modifique los datos en nic.es por sus datos identificativos propios.” De la respuesta anterior puede deducirse claramente que Privacidad Whois SL no tiene el control ni gestiona dicho dominio, por cuanto la empresa WEBEMPRESA EUROPA, S.L. manifiesta que contactará con su “cliente para que éste actualice los datos de forma que consten los suyos, no los de Privacidad Whois SL. Al día siguiente, 05-08-2015, se verificó el contenido del directorio whois en relación al dominio “pullback.es” —DOCUMENTO N°4-, observándose que en lugar de modificar el dato relativo a la titularidad, el “cliente” de WEBEMPRESA EUROPA, S.L. había cambiado de Agente Registrador (OVH HISPANO) y había actualizado los datos de PCA y PCT identificando a B.B.B. con dirección dominios@......... (identificador *******), motivo por el que volvió a contactarse con WEBEMPRESA EUROPA, S.L. —se aporta como DOCUMENTO N°5 - obteniendo la siguiente respuesta —se aporta como DOCUMENTO N°6-: “Ayer por la tarde el cliente generó un nuevo identificador en esnic, y ayer mismo solicitamos a esnic el cambio de titular. La petición de modificación de datos del contacto ******* se ha creado. Queda pendiente de la aprobación del registro.” WEBEMPRESA EUROPA, S.L., con fecha 12-08-2015 ha comunicado a Privacidad Whois SL la actualización de los datos de titularidad del dominio —se aporta como DOCUMENTO N° 6, verificándose el cambio en el directorio whois de Red.es —se aporta como DOCUMENTO N°7 la consulta realizada-…>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 SEXTO: Con fecha 22/09/2015 se accede desde esta Agencia al contenido de la web www.pullback.es. HECHOS PROBADOS PRIMERO: Con fecha 22/09/2014 tuvo entrada en esta Agencia, escrito del denunciante comunicando que a través de la página web www.pullback.es, se recopilan datos personales, sin información alguna sobre protección de datos (folios 1 a 4). SEGUNDO: Con fecha 27/11/2014 se accede a la información del dominio pullback.es, figurando como titular del citado dominio el denunciado (folio 12). TERCERO: El denunciado ha comunicado y acreditado que: <<…Privacidad Whois SL no es titular del nombre de dominio “pullback.es”. Privacidad Whois SL se dedica a la prestación de servicios de privacidad y proxy para nombres de dominios, consistentes en que sus datos constan en el Directorio de Datos de Registro (Whois) en lugar de los datos propios del registrante y demás contactos. Las condiciones del servicio se encuentran reguladas en el punto 4.6 de las “Condiciones Generales de Contratación del servicio de registro, renovación y traslado de nombres de dominio de Dinahosting S.L.” que pueden consultarse en todo momento en el siguiente enlace: https://dinahostinq.com/legal/. Se aportan, como DOCUMENTO núm.1, para facilitar su consulta. Privacidad Whois SL desconoce la identidad del titular del sitio web, por cuanto el servicio se contrata a través de DINAHOSTING, S.L. que actúa como intermediaria entre Privacidad Whois SL y el titular del nombre de dominio. Dinahosting SL es un agente registrador acreditado por Red.es que ofrece a sus clientes la posibilidad de contratar el servicio de privacidad whois para los dominios registrados con ella en los términos descritos en el punto anterior, y en ningún caso proporciona los datos identificativos del titular o demás contactos a Privacidad Whois SL (…) Privacidad Whois SL, al no haberse resuelto la situación voluntariamente por parte de los verdaderos titulares del dominio, ha denunciado los hechos ante la Entidad Pública Empresarial Red.es para que se proceda a la cancelación del dominio de conformidad con el artículo Vigésimo Tercero de la Instrucción del Director General de la entidad pública empresarial Red.es, de 2 de enero de 2010, por la que se desarrollan los procedimientos aplicables a la asignación y a las demás operaciones asociadas al registro de nombres de dominio bajo el código de país correspondiente a España (.es). La denuncia fue presentada el 27-07-2015 con base en que Privacidad Whois SL no es titular del nombre de dominio “pullback.es” ni ha consentido el uso de sus datos en el directorio whois al verdadero titular. Por tanto, los datos que constan en el directorio whois respecto del nombre de dominio “pullback.es” son falsos o inexactos. Se aporta como DOCUMENTO núm. 4, copia de la solicitud de cancelación presentada ante Red.es con base en los hechos descritos…>> (el subrayado es de la AEPD) (folios 29 a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 54). FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.