AI-00037-2025

1/4  Expediente N.º: EXP202407306 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 28 de febrero de 2024, se presentó reclamación ante la Agencia Española de Protección de Datos, contra un responsable no identificado. Los motivos en que basa la reclamación son los siguientes: El reclamante manifiesta que al buscar en Google su dirección de correo electrónico se indexa el enlace ***URL.1, que permite descargar un documento PDF en el que figuran sus datos personales (nombre, apellidos, domicilio y dirección de correo electrónico) así como el de centenares de personas más. Se queja de que no ha "hallado forma de contactar con los propietarios del sitio web para poder solicitar la eliminación de dichos datos". Y, aporta la siguiente documentación: Página de contacto de ***WEB.1. SEGUNDO: Con fecha 28 de mayo de 2024, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, en adelante, LOPDGDD, se admitió a trámite la reclamación presentada. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1. En fecha del 7 de abril de 2025, el servidor que contenía el PDF en el que el reclamante indicaba que aparecían sus datos personales ***URL.1 devolvía un mensaje de error “502 Bad Gateway”, lo que indicaba que esos datos no estaban accesibles en ese momento. 2. Entre las fechas 7 de abril de 2025 y el 20 de agosto del mismo año, el buscador de Google dejó de devolver resultados cuando se hacía una búsqueda introduciendo el email del reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/4 3. Se solicita información, con fecha 20 de agosto de 2025, a la fundación ***FUNDACIÓN.1, que registró el dominio ***DOMINIO.1. En fecha del 18 de agosto de 2025, esta fundación aparecía, en el sitio web de ***WEB.1 como la fundación a la que se pueden dirigir donaciones deducibles de impuestos dentro de la Unión Europea mediante cheque o transferencia bancaria. 4. ***FUNDACIÓN.1, con fecha 21 de noviembre de 2025 declara que ellos son proveedores de alojamiento del sitio web ***WEB.1 pero no operan el sitio web ni son titulares del dominio ***DOMINO.1. 5. El nombre y domicilio del titular del sitio web ***WEB.1 o su representante dentro del Espacio Económico Europeo no ha podido ser constatado durante las actuaciones previas de investigación. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/4
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " III Conclusión Para que esta Agencia pueda apreciar la existencia de una infracción del RGPD, es imprescindible que concurran dos elementos esenciales: por un lado, que se haya producido un tratamiento de datos personales y, por otro, que dicho tratamiento resulte ilícito por carecer de base jurídica, infringir principios del RGPD o vulnerar derechos del interesado, entre otras obligaciones que se imponen al responsable del tratamiento. La responsabilidad por la comisión de la posible infracción debe ser atribuible a una persona física o jurídica identificada que actúe como responsable o encargado del tratamiento conforme dispone el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público En el presente expediente, se han llevado a cabo actuaciones de investigación para determinar las circunstancias en que se han producido los hechos objeto de la reclamación. En particular, se ha averiguado que el enlace reclamado no se encuentra operativo, que ***FUNDACIÓN.1 registró el dominio ***DOMINIO.1 pero que no es titular del dominio ni opera el sitio web. A pesar de dichas actuaciones, no se han podido obtener elementos objetivos, directos ni indirectos, que aporten pruebas o indicios suficientes que permitan la imputación de una infracción a una persona o entidad determinada. Por lo tanto, procede acordar el archivo de las actuaciones. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/4 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
10. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es