1/7 Expediente N.º: EXP202400620 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 8 de noviembre de 2023, se presentó reclamación con número de registro de entrada REGAGE23e00075879582 ante la Agencia Española de Protección de Datos contra SERVITECH TELEFONÍA & INFORMÁTICA con NIF ***NIF.1 (en adelante, SERVITECH). La reclamación se presenta por A.A.A. (en adelante, A.A.A.), quien manifiesta que se llevó a SERVITECH un equipo a que fuera reparado el día 14/10/2023, siendo recogido el día 17/10/2023 a las 18:35 horas. Según indica, durante el tiempo que duró la reparación, en concreto, el día 17 entre las 14:49 y 14:50 horas, se hicieron, desde distintas cuentas de Google que estaban guardadas en el equipo entregado, tres reseñas positivas a la entidad en la que se llevó a cabo la reparación, valorando la labor del trabajador con 5 estrellas. Junto a la notificación se aporta: - Orden de servicio por la que se encarga la reparación de la placa de carga con Jack de un dispositivo no identificado, a nombre de B.B.B., con fecha de 1410-23 a las 13:53 horas, en la que aparece el sello de pagado de SERVITECH. Justificante bancario del pago de la factura el 17-10-23 a las 18:35 horas. Captura de pantalla con el historial de búsqueda de reseñas en Google, donde aparecen 3 búsquedas de servitech (…) - Google search en las que aparecen las siguientes horas sin fecha ni reflejarse el contenido: 14:50, 14:50 y 14:49. Captura de pantalla de 3 reseñas realizadas desde las cuentas de Google de A.A.A., B.B.B. y C.C.C., con 5 estrellas, realizadas “hace dos semanas” sin que se refleje en la captura de pantalla a favor de quién se realizaron. Correo electrónico de Google de 24 de octubre de 2023 agradeciendo la reseña 1 de A.A.A., donde tampoco se observa la fecha y hora de la reseña. SEGUNDO: Con fecha de 10/01/2024 se recogen evidencias en esta Agencia de que en la cuenta de Google correspondiente a SERVITECH se hallan publicadas las mismas tres reseñas aportadas por la reclamante, si bien no consta la fecha y hora de su realización. TERCERO: Tras obtener los datos correspondientes al NIF indicado en la reclamación y orden de servicio de SERVITECH, se observa que dicho NIF consta a nombre de D.D.D. (en adelante la parte reclamada). De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a esta, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), se remitió al domicilio postal de la misma y fue recogido en fecha 23/01/24, como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. CUARTO: Con fecha 8 de febrero de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. En el marco de las actuaciones previas de investigación se tuvo conocimiento de lo siguiente: - Se requiere a GOOGLE IRELAND LIMITED que informe a esta Agencia de las direcciones IP desde las que se subieron las reseñas controvertidas. En contestación a este requerimiento se recibe con fecha de 1 de agosto de 2024, escrito remitido por esta entidad informando de que GOOGLE no guarda información de las direcciones de internet desde las que se publican las reseñas. - Con fecha de 11 de abril de 2025 se recibe en esta Agencia escrito remitido por la parte reclamada realizando, en síntesis, las siguientes manifestaciones: “(…) Debido a un error humano, en nuestras instalaciones, dos ordenadores, ambos de la misma marca y modelo, fueron entregados a los clientes incorrectos que además compartían nombre de pila, B.B.B., que solicitaron los servicios de reparación. Uno de estos ordenadores fue utilizado para publicar una reseña en nombre del propietario del otro ordenador. (…) Tan pronto como se detectó el error, contactamos a ambos clientes para informarles sobre la situación, solicitar la retirada de las reseñas incorrectas, proceder con la devolución del importe abonado por las reparaciones y solicitar la devolución de los ordenadores. Además, ofrecimos asistencia para cualquier inconveniente causado. Igualmente, hemos iniciado una revisión exhaustiva de nuestros procesos para identificar y corregir las fallas que llevaron a este incidente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 (…) A raíz de este incidente, hemos implementado una serie de medidas correctivas y preventivas para evitar que situaciones similares vuelvan a ocurrir: corrección de las reseñas erróneas (…), devolución de pagos (…), mejoras en la verificación interna en la entrega y devolución de equipos (…), nuestro personal está recibiendo formación en materia de protección de datos para evitar errores humanos (…). Contratación de consultoría jurídica especializada para garantizar que nuestra empresa cumpla con la normativa vigente en materia de protección de datos. (…) Conformidad con el cliente afectado: el cliente afectado, B.B.B., ha quedado conforme con las medidas correctivas y preventivas implementadas, habiendo declinado tomar medidas adicionales”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El tratamiento de los datos personales realizado por las empresas que prestan servicios a sus clientes, como podría ser el caso de la reclamada, está sometido a los requisitos y principios previstos en la normativa de protección de datos personales. Entre otros muchos requisitos, para poder realizar operaciones de tratamiento de datos personales de un cliente, la empresa deberá disponer de lo que se denomina en el RGPD como una base de licitud (una causa legal que le habilite a ello). En desarrollo de uno de estos Principios previsto en el artículo 5.1.
- a)del RGPD (Principio de licitud, lealtad y transparencia), el artículo 6 del RGPD relativo a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7 “Licitud del tratamiento” determina en su apartado 1 los supuestos en los que la normativa permite realizar el tratamiento de datos personales de un tercero, que se denominan como “bases de licitud”. Si no concurre alguno de estos supuestos o condiciones, el tratamiento no será legítimo, o considerado lícito por el RGPD: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” III Presunción de inocencia El artículo 28.1 de la Ley 40/2015, de Régimen Jurídico del Sector Público señala que “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. En relación con lo anterior, conviene señalar que al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. El Tribunal Constitucional en su Sentencia 76/1990, de 26 de abril, en relación con el derecho a la presunción de inocencia y del principio de culpabilidad establece: No puede suscitar ninguna duda que la presunción de inocencia rige sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, sean penales, sean administrativas en general o tributarias en particular, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7 procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el derecho a la presunción de inocencia comporta: que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio.” La Sentencia del Tribunal Constitucional de 20/02/1989 indica que “nuestra doctrina y jurisprudencia penal han venido sosteniendo que, aunque ambos puedan considerarse como manifestaciones de un genérico favor rei, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” En conclusión, estos principios impiden imputar una infracción administrativa cuando no se haya obtenido y acreditado una prueba de cargo acreditativa de los hechos que motivan esta imputación o se conozca con certeza la identidad del presunto infractor, aplicando el principio “in dubio pro reo” en caso de duda. En el presente supuesto, A.A.A. asegura que la parte reclamada, a quien se encomendó la reparación de un ordenador propiedad de un tercero, el 17 de octubre de 2023 realizó varias reseñas desde diversas cuentas de Google, incluida la suya, guardadas en el ordenador en cuestión, sin contar con base de legitimación alguna para el tratamiento de sus datos personales. No obstante, con la documentación obrante en el expediente, no se desprende ni se acredita que la cuenta de Google de A.A.A. (y, por tanto, sus datos personales) se encontrara guardada en un dispositivo a nombre de un tercero, B.B.B., a cuyo nombre figura la factura aportada por A.A.A. y a quien la parte reclamada reconoce como cliente y propietario del ordenador. Basa su afirmación en que las reseñas se realizaron mientras que el ordenador se encontraba en poder de la parte reclamada, entre las 14:49 y 14:50 horas. No obstante, no se acredita tal manifestación. Así, si bien junto a su reclamación aporta capturas de pantalla de Google Search en las que figurarían tales reseñas, en estas no consta la hora, sino la leyenda “hace dos semanas”. Asimismo, aporta otra captura de pantalla donde solo aparecen las horas de publicación a nombre de la cuenta de SERVITECH, pero no el nombre de usuario. Por último, se aporta un correo electrónico de agradecimiento de Google por la reseña que es posterior (24 de octubre) en la que no aparece tampoco una mención a la fecha y hora de la reseña. Durante las actuaciones previas a la admisión a trámite de la reclamación y actuaciones previas de investigación, tampoco han podido determinarse estas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7 circunstancias, ni tampoco que la dirección IP desde la que se realizaron las reseñas en nombre de A.A.A.. Por otra parte, la parte reclamada ha reconocido durante las actuaciones previas de investigación que se produjo una errónea vinculación de dos ordenadores cuyos propietarios compartían el mismo nombre de pila, siendo uno de ellos B.B.B., lo que llevó a que “uno de estos ordenadores fue utilizado para publicar una reseña en nombre del propietario del otro ordenador”. Sin embargo, de lo anterior no puede inferirse que por parte de la reclamada se realizara una reseña desde la cuenta de A.A.A. y, en consecuencia, que se haya producido un tratamiento de datos personales de A.A.A.. Todo ello sin olvidar que, de conformidad con el artículo 77 del RGPD la presentación de una reclamación ante la autoridad de control corresponde al titular de los datos personales afectados, en la medida en que el derecho a la protección de datos es un derecho personalísimo. De todo lo expuesto cabe concluir que se plantean dudas razonables acerca de los hechos señalados por A.A.A. respecto a una reseña realizada en su nombre cuya autoría atribuye a la parte reclamada. En consecuencia, procede el archivo de las presentes actuaciones, en aplicación del principio in dubio pro reo, consagrado en el artículo 24.2 de la Constitución española, como garantía esencial que supone una manifestación del principio de presunción de inocencia de acuerdo con consolidada jurisprudencia del Tribunal Constitucional y Tribunal Supremo (entre otras, la STS Sala 2ª 459/2018 de 10 de octubre). Este principio, como se ha señalado es aplicable al procedimiento administrativo sancionador, en el que la carga de la prueba recae en la administración, señalándose que en caso de duda sobre la responsabilidad del investigado/imputado debe realizarse la interpretación más favorable al presunto infractor. III Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento a la reclamada por las operaciones de tratamiento de datos personales a las que se refiere la reclamación, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a D.D.D. y a la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es