AI-00386-2024

1/6 Expediente N.º: EXP202406334 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 18 de marzo de 2024, se presentó reclamación con número de registro de entrada REGAGE24e00020655799 ante la Agencia Española de Protección de Datos inicialmente contra A.A.A., con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes hechos. La parte reclamante, suscriptor del servicio “***PLATAFORMA.1”, ofrecido por ***EMPRESA.1, y cuyo sitio web es ***URL.1, denuncia que no se ofrece la información relacionada con el tratamiento de datos personales a la que se refiere el art. 13 RGPD y, en particular, no consta debidamente identificado el responsable de tratamiento. El reclamante solicitó la cancelación de sus datos personales mediante comunicación por Linkedin a uno de los responsables del servicio, solicitud que supuestamente habrían atendido, pero de la cual no recibió ninguna confirmación. Tampoco recibió respuesta sobre la identidad de la persona responsable del tratamiento de datos personales. Junto a la notificación se aporta: 1.- Copia de la conversación mantenida por escrito por medio de Linkedin el 18/03/2024 entre el reclamante, y B.B.B., como “contacto de 2º grado Pentester en ***EMPRESA.1”. 2.- Copia de un certificado de “eGarante” firmado electrónicamente en el que esta sociedad certifica el contenido encontrado en Internet con las siguientes características: “URL de Acceso: ***URL.1.”; “Fecha de visita: Mon Mar 18 15:34:22 2024”; “Dirección IP: (...)”. En este certificado aparece A.A.A. como “CEO and Developer and Ideator of the Project” de ***PLATAFORMA.1. SEGUNDO: Con fecha 23/04/2024, se diligencia la política de privacidad en el sitio ***URL.1. y se obtienen impresiones de la herramienta whois del sitio web (…) y del perfil del reclamado en X TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con fecha de 06/05/2024 se dio traslado de dicha reclamación a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/6 A.A.A. con NIF ***NIF.1 para que informase sobre los hechos alegados en la reclamación. No consta que se haya recibido respuesta. TERCERO: Con fecha 18 de junio de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Para determinar la identidad del responsable del tratamiento de la web (…), se envía con fecha de 25/10/2024nuevo requerimiento de información al domicilio fiscal de la parte reclamada con dos intentos de notificación postal los días 31/10/2024 y 04/11/2024, y una reiteración entregada el día 12/03/2025, de la que no se ha recibido contestación. Se diligencia el día 18/03/2025 la política de privacidad actualizada a fecha 14/03/2024 del sitio ***PLATAFORMA.2 ***URL.2, porque consultada nuevamente la dirección ***URL.1., se constata que ya no tiene contenido y que al clicar se redirige al sitio ***PLATAFORMA.2. La política de privacidad de ambos sitios es idéntica y no se informa sobre la identidad y datos de contacto del responsable del tratamiento. La diligencia muestra también otra clara conexión adicional entre ambos dominios, al aparecer en página de ***PLATAFORMA.2 el logotipo de icono ***PLATAFORMA.1, con la dirección ***URL.1. y al aparecer en el texto también: “(…). All Rights Reserved.”. Adicionalmente hay que señalar que ambos sitios webs tienen prácticamente el mismo nombre, si sustituimos el guarismo “0” (…) por el literal inglés “zero” en (…). Adicionalmente A.A.A. ostenta puestos de responsabilidad en relación con ambos sitios, como muestra la búsqueda de “***PLATAFORMA.1 Consultoría y servicios a empresas” en Linkedin, diligenciada el 18/03/2025, aparece con la siguiente información relevante: “***PLATAFORMA.1 Consultoría y servicios a empresas […] Sitio web: (…) Sector: Consultoría y servicios a empresas. Tamaño de la empresa: De 2 a 10 empleados. Tipo: De financiación privada Fundación 2023 Empleados en ***PLATAFORMA.1: A.A.A. Managing Partner at ***PLATAFORMA.2 y C.C.C. Director técnico en ***PLATAFORMA.1”. Sin embargo, no aparece resultado alguno en conexión con los nombres sindicados, en la consulta diligenciada en la página web del Registro Mercantil. Consultada la herramienta WHOIS, se confirma que ***COMPAÑÍA.1 es la registradora del dominio ***URL.1. y del dominio ***PLATAFORMA.2 es ***COMPAÑÍA.2. Sendos requerimientos enviados a ambas registradoras de dominio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/6 tienen como resultado que el titular del dominio ***URL.2 es B.B.B., Dirección: ***DIRECCIÓN.1, pero no se recibe respuesta de la titularidad del dominio ***URL.1. Consultados LinkdIn y mypublicinbox.com se constata que B.B.B. (en lo sucesivo, B.B.B) es el interlocutor del hilo de mensajes aportado con la reclamación y que trabajó como director de tecnología en ***PLATAFORMA.1 entre diciembre de 2023 y junio de 2024. Con fecha 14/05/2025, contesta B.B.B. al requerimiento de la Agencia que, a su entender, el responsable del tratamiento es ***EMPRESA.1 (***EMPRESA.1) (en lo sucesivo, ***EMPRESA.1), NIF: (…), con domicilio social en ***DIRECCIÓN.2, A.A.A. y teléfono: (…) o (…)”. Indica B.B.B., además, que su vinculación con el sitio web ***PLATAFORMA.2 se limitó exclusivamente a labores de desarrollo de forma externa, sin haber sido designado en ningún momento, ni responsable, ni encargado del tratamiento de datos personales gestionados a través del portal y que su relación profesional externa con ***EMPRESA.1 finalizó en julio de 2024. En la contestación al requerimiento de la AEPD contesta ***EMPRESA.1 el día 05/06/2025, que no es, ni ha sido responsable del tratamiento de datos de las suscripciones al servicio de ***PLATAFORMA.1, y, que únicamente ha realizado colaboraciones puntuales en el desarrollo del sistema, pero no en la comercialización del servicio. Informa también de que, según su información, el responsable es ***EMPRESA.2 (en lo sucesivo ***EMPRESA.2), con domicilio en ***DIRECCIÓN.3 y cuya persona de contacto es A.A.A. ***NIF.1”. Una nueva consulta en Google muestra en el sitio web LinkedIn que la parte reclamada parece ser Managing Partner de ***PLATAFORMA.2 y CEO de ***EMPRESA.1 y, por esta razón, se le reitera un nuevo requerimiento, que, habiendo sido recogido por la parte reclamada el día 09/07/2025, sigue sin respuesta hasta la fecha. Se envían requerimientos de información a ***EMPRESA.2 con fechas 16/06/2025 y el 25/07/2025, y, al no haber recibido contestación alguna, se ha iniciado procedimiento sancionador contra ***EMPRESA.2 por infracción del artículo 58.1 del Reglamento (UE) 2016/679 General de Protección de Datos. Concluye el informe de investigaciones que el sitio web ***URL.1, objeto de esta reclamación, ya no tiene contenido propio y se redirige mediante un link a ***PLATAFORMA.2; ambas páginas contienen exactamente la misma política de privacidad, y se omite en ambas la información relativa a la identidad y los datos de contacto del responsable del tratamiento de datos personales. Concluye también que no se ha podido confirmar la identidad del responsable del tratamiento de datos, ni de la plataforma ***PLATAFORMA.1, ni ***PLATAFORMA.2. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/6 De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
3. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
4. b)los datos de contacto del delegado de protección de datos, en su caso;
5. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
6. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
7. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
8. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
9. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
10. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/6 de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
11. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
12. d)el derecho a presentar una reclamación ante una autoridad de control;
13. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
14. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." En el presente caso, se ha puesto de manifiesto que la página web objeto de la reclamación no cumpliría con las exigencias de información del artículo 13.1
15. a)del RGPD, al omitir la identidad y los datos del responsable del tratamiento. No obstante, no se ha podido determinar la identidad del responsable del mencionado sitio web. Para que esta Agencia pueda apreciar la existencia de una infracción del Reglamento General de Protección de Datos (RGPD), es imprescindible que concurran dos elementos esenciales: por un lado, que se haya producido un tratamiento de datos personales; y, por otro, que dicho tratamiento resulte ilícito por carecer de base jurídica, infringir principios del RGPD o vulnerar derechos del interesado, entre otras obligaciones del responsable del tratamiento. Además, la responsabilidad debe ser atribuible a una persona física o jurídica identificada que actúe como responsable o encargado del tratamiento. III Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, aunque se han encontrado evidencias que acreditan la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos, no ha sido posible determinar la identidad del responsable. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/6 Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
16. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es