AI-00394-2024

1/5  Expediente N.º: EXP202401543 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 1 de diciembre de 2023, se presentó reclamación con números de registro de entrada REGAGE23(…), REGAGE23(…) y REGAGE23(…) ante la Agencia Española de Protección de Datos contra el responsable de un comercio online, que operaba a través de la página web https://khasita.com/. Los motivos en que basaban sus reclamaciones son los siguientes: Las personas reclamantes denuncian que ellas, así como otros compradores, que se consideraban estafados por dicho comercio online, publicaron reseñas negativas en Google Maps y en Trustpilot. En respuesta a dichas reseñas negativas y para presionarles con el fin de que las retiraran, se publicaron diversos datos personales de los reclamantes en las contestaciones realizadas en Google y Trustpilot a las reseñas que los reclamantes habían publicado. Junto con sus reclamaciones aportaron capturas de pantalla de las reseñas publicadas por los reclamantes o terceros en Google o Trustpilot acerca de la empresa Khasita y las respuestas a dichas reseñas en donde publican los datos personales de las personas que habían publicado reseñas negativas para Khasita. Entre los datos publicados figuraban todos o algunos de los siguientes: nombre y apellidos, dirección completa, dirección de correo electrónico, teléfono de las personas que habían publicado una reseña negativa. Captura de pantalla del mensaje recibido del número de teléfono ***TELÉFONO.1 por la aplicación Whatsapp comunicando que se habían publicado sus datos personales en su reseña. Con fechas 25 y 29 de enero de 2024 se recabaron evidencias por parte de personal de la AEPD. Se comprobó que la página web www.khasita.com ya no estaba disponible. Asimismo, se verificó que existían reseñas negativas a Khasita en Google y Trustpilot por parte de los reclamantes, si bien ya no figuraban las respuestas a las mismas en las que se publicaban sus datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/5 En varios mensajes se advertía a los potenciales compradores que Khasita era la misma empresa que su predecesora ***EMPRESA.1, en esta última tienda, las personas que publicaban la reseña habían comprado muebles y se sentían estafadas. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a Khasita en la dirección postal que figuraba en internet, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante correo postal certificado, que fue devuelto por “Dirección incorrecta”. TERCERO: Con fecha 16 de abril de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitieron a trámite las reclamaciones presentadas. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1.Investigación del responsable de la web KhaSita.com: La SGID identificó que el registrador del dominio del sitio web www.khasita.com era ***EMPRESA.2 solicitando los datos identificativos (nombre, NIF, domicilio, etc.) del responsable de dicha página web. Se obtuvo respuesta el 07/10/2024 en la que se indicaba que el nombre del dominio fue registrado el ***FECHA.1 por un revendedor en línea mayorista de registro de dominios ***EMPRESA.3. Posteriormente, se remitió requerimiento de información a ***EMPRESA.3 solicitando los datos identificativos (nombre, NIF, domicilio, etc.) del responsable de la web KhaSita.com. Con fecha ***FECHA.2 se obtuvo escrito de respuesta en el que se aportaba información acerca de la identidad del responsable de la web. 2. Investigación de la persona que figuraba como responsable de la web: Con fecha 14/10/2024 se remitió un requerimiento de información a la persona que figuraba como responsable de la web. Con fecha 18/10/2024 se recibió escrito de respuesta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/5 La persona investigada afirma que fue contratada por una persona física y posteriormente fue despedida. Había impugnado el despido y estaba a la espera de juicio ante la jurisdicción social. Antes de ser despedida, afirma que la persona que la contrató usurpó su identidad para comprar dominios en internet y crear páginas web sin su conocimiento, ni consentimiento. Afirma tener abiertos varios procedimientos judiciales en fase de instrucción, denunciando la usurpación de identidad. Destaca ser también perjudicada, dado que era una mera empleada de dicha persona. Señala que no haber tenido acceso al dominio web, dado que desconocía su existencia. Junto con su escrito, aporta informe de vida laboral en el que se indica que entre las fechas ***FECHA.3 y ***FECHA.4 dicha persona figuraba como dada de alta en régimen general. Se remitió nuevo requerimiento de información a la referida persona solicitando que aportara copia de la denuncia interpuesta contra la persona que la contrató. No se ha recibido contestación, a pesar de haberse reiterado la solicitud en varias ocasiones. 3. Investigación relativa al número de teléfono que aparecía en la captura de WhatsApp aportada junto con la reclamación: Se remitió requerimiento de información a (…) solicitando la titularidad de la línea de abonado del número ***TELÉFONO.1 especificando nombre/razón social, NIF/CIF y domicilio. Con fecha 19/11/2024 se recibió escrito de respuesta aportando datos del abonado. La identidad del titular coincide con la de la persona investigada como responsable de la web. El teléfono estuvo activo durante un escaso periodo de tiempo, coincidente con los hechos, en modalidad prepago. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/5 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " III Se divulgaron datos personales de los reclamantes y terceras personas en las respuestas a reseñas negativas relacionadas con Khasita. A continuación, se resume la información obtenida por la AEPD. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Se conoce la identidad de una empleada. Tras haber examinado el informe de vida laboral aportado por la misma, se ha comprobado que fue contratada por un breve periodo de tiempo. Las reseñas negativas las realizaron clientes de la empresa ***EMPRESA.1, antecesora de khasita. En el periodo temporal anterior, en el que operaba ***EMPRESA.1, dicha empleada trabajaba para otras empresas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/5 Asimismo, se observan incoherencias en datos personales básicos aportados por ***EMPRESA.2 y ***EMPRESA.3. Datos básicos aportados (dirección, localidad, código postal, número de teléfono) no coinciden entre sí. Además ninguno de los dos números de teléfono coincide con el ***TELÉFONO.1 (número de teléfono que figura en la captura de pantalla aportada junto con una de las reclamaciones). Por otra parte, la forma en la que se contrató la línea telefónica investigada refleja una contratación para un breve periodo de tiempo en modalidad prepago, no una línea fija que utilizada de forma habitual un usuario. No resultando descartable una posible suplantación de identidad. En conclusión, se desconoce la identidad del verdadero responsable del tratamiento de datos personales. Los comentarios en los que se divulgaron datos personales de los reclamantes y de terceras personas se realizaron en Google y en Trustpilot, desconociéndose la identidad de la persona que creó dicho perfil e incluyó dichos comentarios. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
10. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es