1/7 Expediente N.º: EXP202206886 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Doña A.A.A. (en adelante, la parte reclamante), con fecha 22 de septiembre de 2021, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra Don B.B.B., con NIF ***NIF.1 (en adelante, la parte reclamada. Los motivos en que basa la reclamación son los siguientes: El acceso a su calendario personal y privado por parte de su exmarido y exempleador sin acreditar el consentimiento para acceder a información de carácter personal de la titular de los datos. Para acceder a este calendario, el reclamado utilizó la cuenta de empleada de la reclamante en la empresa MIND YOUR ANALITYCS, S.L., (***EMAIL.1,) con la que la reclamante había compartido su calendario personal de la cuenta ***LOCALIDAD.2 en el año 2012), de la que el reclamado era administrador, y en la que la reclamante dejó de trabajar el 18 de mayo de 2016, cuando esta empresa quedó definitivamente extinguida. Sin embargo, el reclamado no bloqueó las cuentas de correo de esta empresa y las ha mantenido activas al menos hasta el 23 de junio de 2021. De esta manera, el reclamado habría compartido el calendario personal de la reclamante (***EMAIL.2), a través de la cuenta ***EMAIL.1 con la cuenta personal del reclamado ***EMAIL.3. De estos hechos tuvo conocimiento la reclamante por la declaración realizada por el reclamado el 25 de junio de 2021 en el Juzgado de 1ª Instancia e Instrucción nº1 de ***LOCALIDAD.1 en la que indicó que la reclamante compartía su calendario de Gmail con el reclamado. Documentación relevante aportada por la parte reclamante: - Declaración de que, como empleada de varias empresas constituidas por el reclamado en España, la reclamante disponía de las cuentas de correo electrónico ***EMAIL.1, ***EMAIL.4 y ***EMAIL.5. La reclamante declara que, en el año 2012, vinculó el calendario de su cuenta personal de Google ***LOCALIDAD.2 con el calendario de Google de su cuenta profesional ***EMAIL.1, de tal manera que pudiese gestionar su calendario personal y profesional desde cualquiera de las dos cuentas (***LOCALIDAD.2 y ***EMAIL.1). - Captura de pantalla de un gestor de correo electrónico en el que aparecen tres buzones de correo: ***EMAIL.1, ***EMAIL.4 y ***EMAIL.5. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 - Acta de declaración del reclamado ante el Juzgado de 1ª Instancia e Instrucción nº1 de ***LOCALIDAD.1 el 25 de junio de 2021. En esta declaración, entre otras declaraciones, aparece la siguiente: “Tiene conocimiento de que la denunciante le iba a denunciar, en concreto desde el lunes. Sabía que iba a ir el miércoles a ponerle una denuncia de violencia de género. Manifiesta que sabe esto porque comparte su calendario de Gmail con él y entonces, era algo que estaba preparado, que constaba en el calendario. Aporta el acta notarial en la que se recoge esta circunstancia, aportada en el acto.” - Acta notarial formalizada a instancia del reclamado el día 23 de junio de 2021. En esta acta se recogen, entre otras, las siguientes manifestaciones del reclamado: “Que tiene acceso a la Agenda “on line” de su ex esposa, Doña A.A.A., a través de la cual se mantiene al tanto del programa de actividades de sus hijos menores, Luca y Sofía, respecto a los cuales comparte la patria potestad. Que dispone de acceso a dicho calendario ya que le ha sido otorgado por Dña. A.A.A. siguiendo el funcionamiento del calendario de Gmail de Google, Dña. A.A.A. es especialista en “privacy” y miembro de un Comité consultivo de la Unión Europea en materia de protección de privacidad, para compartir su Agenda “on line” así como copia de unas ultimas anotaciones reflejadas en la misma. Que casualmente, por este medio, ha tenido conocimiento a través de las anotaciones aportadas, que, desde hace varios días, su ex esposa ha consignado en la agenda que tiene programado acudir a ***LOCALIDAD.2 para denunciar una supuesta “violencia de género” que intuye le atribuye falazmente…”. En esta acta notarial también se incluye: “me entrega dos impresiones, donde se ve el detalle de la denuncia de violencia de género que quiere interponer A.A.A. y en el segundo se ven los settings de mi cuenta del calendario y como la cuenta de A.A.A. está compartida conmigo. Si ella no me la hubiese compartido no podría yo tener acceso de ninguna manera.”. Y se aporta como documentación unida al acta notarial dos capturas de pantalla: - Una captura de pantalla de un calendario (con apariencia del calendario que muestra Google Calendar) en el que aparecen, entre otras, las siguientes citas del día 23 de junio: “***LOCALIDAD.2– Denuncia violencia de género” y “RGPD Phase 2”. - Una captura de pantalla de la configuración de un calendario cuyo propietario es “C.C.C.” en la que se observa que, bajo la sección “Share with specific people” [Traducción no oficial: “Compartido con determinadas personas”] aparece que el calendario está compartido con dos cuentas con los permisos “Make changes and manage sharing” [Traducción no oficial: “Hacer cambios y gestionar el uso compartido”]. Estas dos cuentas con las que se comparte el calendario son ***EMAIL.1 y ***EMAIL.3. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 Administraciones Públicas (en adelante, LPACAP) mediante correo postal certificado, fue devuelto por ausente, tras dos intentos de notificación y dejar el aviso en el buzón. TERCERO: Con fecha 22 de diciembre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha del 28 de junio de 2022, se realizó una comprobación del funcionamiento de la aplicación Google Calendar que consistía en compartir un calendario vinculado a una cuenta de Google (cta. 1) con otra cuenta de Google (cta. 2) dándole permisos, primero del tipo “Ver todos los detalles de los eventos” y después del tipo “Hacer cambios y gestionar el uso compartido”; para después compartir ese mismo calendario desde la cta. 2 con otra cuenta distinta (cta. 3). Y se obtienen los siguientes hallazgos: 1. Cuando se comparte el calendario con la cta. 2, este no se añade automáticamente para que lo pueda visualizar. Cuando, desde la aplicación de Google Calendar asociada a una cuenta de correo, se crea una vinculación del calendario con la cta. 2, la aplicación genera automáticamente el envío de un correo electrónico a la cta. 2 (más exactamente, ha sido una “invitación” a estar vinculada a ese calendario), que es remitido desde la cuenta de correo desde la cual se ha gestionado la vinculación. En este correo electrónico, se informa a la cta. 2 de que la dirección de correo remitente le ha dado acceso a poder ver los eventos en el calendario de la cta. 1. Y dice: “Después de añadir este calendario a tus otros calendarios, puedes ocultarlo o quitarlo por completo cuando quieras”. Después aparece un enlace a “Añadir este calendario”, enlace que deberá clicar el titular de la cta. 2. Y, en ese momento, podrá ver las citas del calendario de la cta. 1 desde el Google Calendar de la cta. 2. Esto mismo ocurre cuando la cta. 2 comparte el calendario de la cta. 1 con la cta. 3. 2. Cuando se comparte el calendario con la cta. 2, los permisos que se dan por defecto son “Ver todos los detalles de los eventos”, que no permiten a la cta. 2 volver a compartir ese calendario con terceros. 3. Cuando se comparte el calendario con la cta. 2, si se cambian los permisos manualmente a “Hacer cambios y gestionar el uso compartido”, entonces, la cta. 2 puede compartir ese calendario con otras cuentas (en este caso, la cta. 3). 4. El propietario del calendario original (es decir, la cta. 1) puede ver que tienen acceso a su calendario la cta. 2 y la cta. 3 con permisos de “Hacer cambios y gestionar el uso compartido” desde el menú de configuración de Google Calendar “Configuración de Calendar -> Compartir con determinadas personas”. En este menú, no se puede conocer quién compartió el calendario con cada cuenta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 Con fecha del 28 de junio de 2022, se realiza una consulta de las sociedades inscritas por el reclamado obteniéndose los siguientes resultados: La sociedad Mind Your Analytics S.L., de la que el reclamado era administrador único, tiene registrada su extinción el 18 de mayo de 2016. La sociedad Mind Your Social Media S.L., de la que el reclamado era administrador único, tiene registrada su extinción el 5 de noviembre de 2014. La sociedad Mind Your Privacy S.L., de la que el reclamado era administrador único, tiene registrada su disolución el 16 de abril de 2015. Con fecha de 30 de septiembre de 2022, se realiza una consulta en el sitio web https://whoisrequest.com/history/ relativa al histórico de titularidades del dominio mindyouranalytics.com, obteniendo, entre otros, los siguientes resultados: Entre el 1 de febrero de 2012 y el 19 de enero de 2019, el dominio estuvo servido por servidores del dominio “gandi.net”. Con fecha de 3 de octubre de 2022, mediante el Sistema de Información del Mercado Interior (IMI), se solicita a la Commission Nationale de l'Informatique et des Libertés (CNIL), autoridad de control de protección de datos de Francia, que requiera información a la sociedad GANDI SAS, titular del dominio “gandi.net”, para aclarar la titularidad del dominio “mindyouranalytics.com” en el periodo en el que servían ese dominio. En la fecha en que se firma este informe, no se tiene constancia de que se haya recibido una respuesta a este requerimiento de información. Con fecha de 3 de octubre de 2022, se envía un requerimiento de información al reclamante con el objeto de aclarar hasta qué fecha siguió utilizando el dominio “mindyouranalytics.com”, cómo se gestionaban las cuentas de este dominio y con qué finalidad. En la fecha en que se firma este informe, no se tiene constancia de que se haya podido practicar efectivamente la notificación. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.