AI-00266-2022

1/8  Expediente N.º: EXP202206891 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 16 de febrero de 2022, se presentó reclamación con número de registro de entrada O00007128e2200007094 ante la Agencia Española de Protección de Datos contra ES. LOCALE.ONLINE (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La reclamante manifiesta que al buscar por su nombre y apellidos en buscadores se ofrecen dos resultados en los que se publican su nombre y apellidos, dirección postal, fotos de la vivienda, indicaciones para llegar y la asignación de la profesión de agente inmobiliario, siendo esto último totalmente falso. La reclamante ha solicitado la supresión, enviando sendos correos electrónicos a las únicas direcciones de contacto previstas en los sitios web referidos (connect@locale.online y connect@top10place.com) con fecha 24/11/21, sin haber recibido respuesta. Junto a la notificación se aporta: - Copia de los correos electrónicos enviados a las direcciones de contacto previstas en los sitios web referidos (connect@top10place.com) con fecha 24/11/21. - Copia de las reclamaciones presentadas en el enlace “Contáctenos” de ambos sitios web. SEGUNDO: Con fecha 3 de mayo de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Con fecha 14 de julio de 2022 se confirma que el enlace a la información personal de la reclamante ***URL.1 todavía está activo. Se comprueba que la web ES. LOCALE.ONLINE no tiene identificación alguna de su propietario ni políticas de privacidad y el formulario de actualización de datos lleva a un bucle infinito que no permite la modificación de dicha información. Realizadas las indagaciones en internet mediante la herramienta WHOIS sobre el titular del registro del sitio web denunciado y sobre el registrador del servidor reclamado, se obtienen los siguientes resultados: a. ES. LOCALE.ONLINE está registrada por CLOUDFLARE, INC., con país de registro en India. b. Con respecto al alojamiento de estos servidores, las investigaciones han dado como resultado que el mencionado sitio web está alojado en los sistemas de CLOUDFLARE, INC. con sede en Estados Unidos y suscrita al acuerdo “Privacy Shield Framework”. ○ El servicio de alojamiento de “ES. LOCALE.ONLINE" es prestado por CLOUDFLARE, INC., constando que los servidores se encuentran en Singapur. No se puede determinar, por tanto, los titulares del referido sitio web. Con fecha 29 de julio de 2022 se realiza un requerimiento a CLOUDFLARE, INC. vía certificado internacional, el cual no ha sido entregado ni se ha recibido respuesta a fecha de firma de este informe. En paralelo, se envía una solicitud de información a CLOUDFLARE, INC., a través de correo electrónico a la dirección: privacyquestions@cloudflare.com, a la que se anexa el requerimiento enviado por certificado internacional. Se recibe una respuesta automática que indica, entre otras opciones, que se utilice la dirección de correo abuse+law@cloudflare.com en el caso de haber contactado con ellos para solicitar información en respuesta de un proceso legal. "If you are contacting us to request disclosure of information in response to legal process, please contact abuse+law@cloudflare.com. " Con fecha 5 de agosto de 2022 se recibe respuesta de CLOUDFLARE, INC. enviada desde la dirección de correo electrónico dpo@cloudflare.com en la que señalan que sus archivos no indican que los propietarios sean ciudadanos europeos, aunque no tienen garantías de la exactitud de esa información (“In addition, we note that our records do not indicate that the owners are Europeans citizens. However, please note that Cloudflare makes no warranties as to the accuracy of any of this information.”). Respecto a la información solicitada, CLOUDFLARE, INC. aporta que: Proveedor de alojamiento: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 • LOCALE.ONLINE está alojado en abuse@linode.com Registrante de dominio: • LOCALE.ONLINE está registrado en locale_online@zorus.in Con fecha 30 de enero de 2023 se envía solicitud de información a LINODE.COM a través de un formulario establecido para reportar abusos en su sitio web: https://www.linode.com/legal-abuse. Al enviar el formulario completado para informar del abuso, la web lleva de nuevo al comienzo de envío de informes, sin haber registrado la solicitud. Por este motivo se envía de nuevo la solicitud de información, esta vez por correo electrónico a la dirección de correo facilitada por CLOUDFLARE, INC.: abuse@linode.com sin que se haya recibido respuesta. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
3. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
4. b)los datos de contacto del delegado de protección de datos, en su caso;
5. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
6. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
7. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
8. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
9. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
10. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
11. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
12. d)el derecho a presentar una reclamación ante una autoridad de control;
13. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8
14. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." III Derecho de supresión («el derecho al olvido») El artículo 17 del RGPD dispone lo siguiente: "1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
15. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
16. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
17. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
18. d)los datos personales hayan sido tratados ilícitamente;
19. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
20. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
21. a)para ejercer el derecho a la libertad de expresión e información;
22. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
23. c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
24. h)e i), y apartado 3;
25. d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
26. e)para la formulación, el ejercicio o la defensa de reclamaciones." IV Principios relativos al tratamiento La letra
27. d)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
28. d)exactos y, si fuera necesario, actualizados; se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan («exactitud»);" V Licitud del tratamiento El artículo 6 del RGPD detalla en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
29. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
30. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
31. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8
32. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
33. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
34. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
35. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” VI Conclusión Pese a las actuaciones realizadas por esta Agencia, no se ha podido obtener la titularidad del sitio web reclamado. El registrador del dominio y el responsable del alojamiento del sitio web reclamado por ofrecer información errónea de la reclamante sin su consentimiento se encuentra ubicado en la India. En relación con la solicitud de supresión solicitada por la reclamante, hay que manifestar que el enlace a la información personal de la reclamante ya no se encuentra operativo a fecha de firma de la presente resolución. Así pues, al no haber sido posible acreditar la identidad del responsable del tratamiento de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
36. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es