CO-00176-2020

1/9  N/Ref.: E/00840/2020 - CO/00176/2020 – A61VM 136368 RESOLUCIÓN DE ARCHIVO De las actuaciones seguidas con motivo de la reclamación presentada en la Agencia Española de Protección de Datos, por presunta vulneración del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD) y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 31 de diciembre de 2019 y número de registro de entrada 062135/2019, tuvo entrada en esta Agencia una reclamación presentada por A.A.A. (en lo sucesivo, el reclamante) contra el responsable del servicio TWITTER, por una presunta vulneración de los art. 17 del RGPD y 94.2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). Los motivos en que se basa la reclamación son:  Ante la publicación de datos personales del reclamante (nombre, apellidos, nacionalidad, domicilio y fecha de nacimiento) en la red social TWITTER sin su consentimiento, el afectado solicitó su supresión al responsable. Sin embargo, éste rechazó la petición, al estimar que la publicación no incumplía su Política de Información Privada. Se acompaña captura de pantalla del “tuit” en cuestión, así como de la petición de supresión del afectado, remitida a TWITTER el 27 de noviembre de 2019, y la respuesta desestimatoria obtenida del prestador del servicio en fecha 12 de diciembre 2019. SEGUNDO: Según la política de privacidad accesible en la mencionada plataforma de red social, su responsable para los tratamientos de datos personales de residentes europeos es la empresa TWITTER INTERNATIONAL COMPANY, registrada en Irlanda. TERCERO: Al afectar el tratamiento de manera sustancial únicamente a interesados en España, teniendo en cuenta lo dispuesto en el artículo 56.2 del RGPD y en consonancia con el mecanismo previsto en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), la citada reclamación se trasladó con fecha 5 de febrero de 2020 a TWITTER SPAIN S.L., en calidad de establecimiento en España del prestador del servicio, para que procediera a su análisis y diera respuesta a esta Agencia en el plazo de un mes. Asimismo, se le solicitó información sobre la recepción de la solicitud, decisión adoptada y acreditación de la respuesta facilitada al reclamante, en su caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 CUARTO: No se recibió en la Agencia ninguna respuesta al traslado de la reclamación. Dado que no fue otorgado el derecho ejercido por el peticionario, continuó la tramitación de la reclamación de conformidad con el procedimiento de cooperación regulado en el art. 60 del RGPD. Con fecha de 10 de julio de 2020 se acordó el archivo provisional del procedimiento y la remisión de la reclamación a la autoridad de control de Irlanda, la Data Protection Commission (DPC), por ser la competente para actuar como autoridad de control principal, a tenor de lo dispuesto en el artículo 56.1 del RGPD. Esta remisión se realizó, a través del “Sistema de Información del Mercado Interior” (IMI). No constan como interesadas en el mismo ninguna autoridad de control distinta a esta Agencia, que es frente a la cual fue interpuesta la reclamación. QUINTO: Siguiendo sus procedimientos internos, la autoridad de control de Irlanda ha procurado obtener una resolución amistosa del caso. Para ello, ha contactado con el prestador del servicio al que va referido esta reclamación, y ha ido facilitando a esta Agencia cartas para reenviar al reclamante, con actualizaciones del caso. En la primera carta le informaban de que su caso había sido derivado a su unidad de Gestión de Reclamaciones. En su segundo caso, le comunicaban la respuesta que el responsable de la red social había proporcionado, en relación con el mismo. Según la entidad, la publicación consiste en una orden judicial, públicamente accesible y de posible interés público, ya que, además, el usuario que la realiza fue en su día máximo mandatario de un país. Una vez examinado el “tuit” en cuestión, no han encontrado en él ninguna violación de sus directrices internas. La DPC también recordó en su carta que el consentimiento no es la única base legal para un tratamiento de datos, y que el derecho de supresión establecido en el art. 17 RGPD no es absoluto. En ciertos supuestos el derecho no es de aplicación, incluidos aquellos en los que el tratamiento es necesario “para ejercer el derecho a la libertad de expresión e información”. Asumiendo que esta resolución de su caso no sería satisfactoria, la autoridad irlandesa le preguntó al reclamante por su parecer, y también por los fundamentos específicos por los cuales la publicación debería ser eliminada, o lo que es lo mismo, justificación de por qué sus derechos deberían prevalecer sobre la libertad de expresión y el derecho a la información de los usuarios de la plataforma TWITTER, incluido el que ha publicado el contenido. Según explicaban, esto les ayudaría a valorar con más profundidad la materia. En caso de no recibir comunicación suya en el plazo de 2 meses a contar desde la fecha de la carta, considerarían su reclamación retirada y cerrarían el expediente correspondiente. SEXTO: Con fecha 19 de marzo de 2021, se recibió en esta Agencia respuesta del reclamante. A través de la misma reiteraba su petición, al considerar que se estaba publicando en la red social parte de documentación judicial en la que él constaba C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 como parte demandada, y mostrándose clara e inequívocamente su nombre, apellidos y domicilio familiar, sin su autorización. También alegaba que cualquier usuario de la red social que accediera a la publicación lo relacionaría con la comisión de un delito, produciéndose así una intromisión ilegítima en su honor y reputación, y una violación de su presunción de inocencia. Este escrito fue trasladado a la autoridad principal, para su consideración en el marco del procedimiento de reclamación iniciado. SÉPTIMO: La DPC volvió a facilitar una carta para su remisión al reclamante, donde se transmitía la nueva respuesta del prestador del servicio. Según se podía leer en ella, TWITTER consideraba que su misión era servir a la conversación pública y conceder a cada uno el poder de crear y compartir ideas e información de forma instantánea y sin barreras, lo cual incluía la compartición de información que puede ser de interés público. Cuando esto ocurre, el público se beneficia, ya que obtiene información que podría ser difícil de conseguir, y también se posibilita la discusión pública de estos temas. Estiman que, si TWITTER no pudiera compartir información de interés público, se limitaría el conocimiento público de eventos de interés periodístico. El prestador añadió que el contenido mencionado es cubierto en una variedad de fuentes (cita dos de ellas, Ecuadortimes.net y 4Pelagatos.com). En relación con la supuesta absolución del reclamante, que habría tenido lugar el 9 de octubre de 2019, TWITTER no había recibido evidencia de esa decisión, y, por tanto, no podía actuar de árbitro sobre la veracidad de la afirmación del reclamante. En vista de la respuesta obtenida, la DPC solicitó al afectado evidencia de que fue absuelto con fecha 9 de octubre de 2019, en el proceso judicial en cuestión. Alternativamente, si no estaba en disposición de aportar este material, le pidieron que les informara en ese sentido, de cara a las siguientes acciones. En caso de no recibir noticias suyas en los dos meses siguientes a la recepción de esta carta, interpretarían que no querría seguir adelante con la cuestión y revisarían el expediente para su clausura. OCTAVO: Con fecha 19 de agosto de 2021, se volvió a recibir un nuevo escrito de respuesta del reclamante. Éste defendía que la libertad de expresión y el derecho a la información no comprende los datos de su domicilio familiar, que entran dentro de su esfera privada (máxime cuando él no es personaje público o famoso). Además, la Política de Información Privada que TWITTER muestra en su plataforma (accesible en la URL https://help.twitter.com/es/rules-and-policies/personal-information ) prohíbe explícitamente la publicación de este dato, en los siguientes términos: “De acuerdo con esta política, no puedes compartir los siguientes tipos de información privada sin el permiso de la persona a la que pertenece:  información sobre la dirección particular o la ubicación física, como direcciones postales, coordenadas de GPS u otra información de identificación relacionada con las ubicaciones que se consideran privadas;” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 Este escrito también fue trasladado a la autoridad principal, para su consideración en el marco del procedimiento de reclamación iniciado. NOVENO: La DPC volvió a facilitar una cuarta carta para su remisión al reclamante, donde se reproducía la nueva respuesta del prestador del servicio. Según se podía leer en ella, el responsable había confirmado a la autoridad irlandesa que había vuelto a revisar el contenido en cuestión, y lo había eliminado de la plataforma, por infringir su Política de Información Privada. Entendiendo que esta nueva acción adoptada por TWITTER abordaba adecuadamente la materia reportada en la reclamación, la autoridad irlandesa le pidió al afectado que, en caso de seguir insatisfecho con el resultado, que indicase sus motivos en el plazo de 2 meses a contar desde la fecha de la carta, para que pudieran llevar a cabo acciones adicionales. No consta recepción en la Agencia de ningún escrito procedente del reclamante, en respuesta a la carta que le fue remitida en nombre de la DPC y correctamente notificada a su destinatario el 29 de septiembre de 2021. DÉCIMO: Los servicios de Inspección de esta Agencia han comprobado que el “tuit” reportado en la reclamación ha sido retirado de la plataforma TWITTER. Su URL tan solo conduce a un mensaje con el siguiente texto: “Esta página no existe. Intenta hacer otra búsqueda.” FUNDAMENTOS DE DERECHO I – Competencia De acuerdo con lo dispuesto en los artículos 60.8 del RGPD y 47 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para adoptar esta resolución. II - Sistema de Información del Mercado Interior (IMI) El Sistema de Información del Mercado Interior se encuentra regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), y su objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información. III - Determinación del alcance territorial Según especifica el artículo 66 de la LOPDGDD: “1. Salvo en los supuestos a los que se refiere el artículo 64.3 de esta ley orgánica, la Agencia Española de Protección de Datos deberá, con carácter previo a la realización de cualquier otra actuación, incluida la admisión a trámite de una reclamación o el comienzo de actuaciones previas de investigación, examinar su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 competencia y determinar el carácter nacional o transfronterizo, en cualquiera de sus modalidades, del procedimiento a seguir. 2. Si la Agencia Española de Protección de Datos considera que no tiene la condición de autoridad de control principal para la tramitación del procedimiento remitirá, sin más trámite, la reclamación formulada a la autoridad de control principal que considere competente, a fin de que por la misma se le dé el curso oportuno. La Agencia Española de Protección de Datos notificará esta circunstancia a quien, en su caso, hubiera formulado la reclamación. El acuerdo por el que se resuelva la remisión a la que se refiere el párrafo anterior implicará el archivo provisional del procedimiento, sin perjuicio de que por la Agencia Española de Protección de Datos se dicte, en caso de que así proceda, la resolución a la que se refiere el apartado 8 del artículo 60 del Reglamento (UE) 2016/679.” IV - Establecimiento principal, tratamiento transfronterizo y autoridad de control principal El artículo 4.16 del RGPD define «establecimiento principal»: “

1. a)en lo que se refiere a un responsable del tratamiento con establecimientos en más de un Estado miembro, el lugar de su administración central en la Unión, salvo que las decisiones sobre los fines y los medios del tratamiento se tomen en otro establecimiento del responsable en la Unión y este último establecimiento tenga el poder de hacer aplicar tales decisiones, en cuyo caso el establecimiento que haya adoptado tales decisiones se considerará establecimiento principal;
2. b)en lo que se refiere a un encargado del tratamiento con establecimientos en más de un Estado miembro, el lugar de su administración central en la Unión o, si careciera de esta, el establecimiento del encargado en la Unión en el que se realicen las principales actividades de tratamiento en el contexto de las actividades de un establecimiento del encargado en la medida en que el encargado esté sujeto a obligaciones específicas con arreglo al presente Reglamento” Por su parte el artículo 4.23 del RGPD considera «tratamiento transfronterizo»: “
3. a)el tratamiento de datos personales realizado en el contexto de las actividades de establecimientos en más de un Estado miembro de un responsable o un encargado del tratamiento en la Unión, si el responsable o el encargado está establecido en más de un Estado miembro, o
4. b)el tratamiento de datos personales realizado en el contexto de las actividades de un único establecimiento de un responsable o un encargado del tratamiento en la Unión, pero que afecta sustancialmente o es probable que afecte sustancialmente a interesados en más de un Estado miembro” El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado, con arreglo al procedimiento establecido en el artículo 60. Por otro lado, los arts. 56.2 y 56.3 del RGPD establecen que cada autoridad de control será competente para tratar una reclamación que le sea presentada o una posible infracción del presente Reglamento, en caso de que se refiera únicamente a un establecimiento situado en su Estado miembro o únicamente afecte de manera sustancial a interesados en su Estado miembro. En estos casos, la autoridad de control informará sin dilación al respecto a la autoridad de control principal. En el plazo de tres semanas después de haber sido informada, la autoridad de control principal decidirá si tratará o no el caso de conformidad con el procedimiento establecido en el art. 60, teniendo presente si existe un establecimiento del responsable o encargado del tratamiento en el Estado miembro de la autoridad de control que le haya informado. En el caso examinado, como se ha expuesto, el prestador del servicio TWITTER, tiene su establecimiento principal en Irlanda (TWITTER INTERNATIONAL COMPANY), y la autoridad competente para actuar como autoridad de control principal es la DPC irlandesa. V – Traslado de la reclamación El artículo 65.4 la ley LOPDGDD ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos, que consiste en dar traslado de las mismas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubieren designado, para que procedan al análisis de dichas reclamaciones y a darles respuesta en el plazo de un mes. VI - Autoridad de control interesada De conformidad con lo dispuesto en el artículo 4.22) del RGPD, es Autoridad de control interesada, la autoridad de control a la que afecta el tratamiento de datos personales debido a que: a.- El responsable o encargado del tratamiento está establecido en el territorio del Estado miembro de esa autoridad de control; b.- Los interesados que residen en el Estado miembro de esa autoridad de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento, o c.- Se ha presentado una reclamación ante esa autoridad de control. En el presente procedimiento solo actúa en calidad de “autoridad de control interesada” esta Agencia, que es la que ha recibido la reclamación. VII - Procedimiento de cooperación y coherencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 El artículo 60 del RGPD, que regula el procedimiento de cooperación entre la autoridad de control principal y las demás autoridades de control interesadas, dispone en su apartado 8, lo siguiente: “8. No obstante lo dispuesto en el apartado 7, cuando se desestime o rechace una reclamación, la autoridad de control ante la que se haya presentado adoptará la decisión, la notificará al reclamante e informará de ello al responsable del tratamiento.” VIII - Cuestión reclamada y razonamientos jurídicos En este caso, se ha presentado en la Agencia Española de Protección de Datos una reclamación por una presunta vulneración del art. 17 RGPD y 94.2 LOPDGDD, relacionada con un posible tratamiento de carácter transfronterizo de datos personales llevado a cabo por la empresa TWITTER INTERNATIONAL COMPANY, registrada en Irlanda. De conformidad con la normativa expuesta, al afectar el tratamiento de manera sustancial únicamente a interesados en España, se dio traslado de la misma al establecimiento español del reclamado, TWITTER SPAIN S.L., no recibiendo ninguna respuesta de entidad en esta Agencia. Siguiendo el procedimiento de cooperación estipulado en el art. 60 del RGPD, al no haber quedado atendido el derecho del afectado, la citada reclamación se trasladó a la Data Protection Commission (DPC) –la autoridad de control de Irlanda –por ser la competente para actuar como autoridad de control principal, a tenor de lo dispuesto en el artículo 56.1 del RGPD. Siguiendo sus procedimientos internos, esta autoridad ha perseguido una resolución amistosa del caso. Para ello, ha contactado con TWITTER INTERNACIONAL COMPANY con motivo de esta reclamación, y ha informado al afectado de la respuesta que éste había proporcionado. Según se puede leer de las cartas que la DPC proporcionó para su envío al reclamante, TWITTER en un primer momento no accedió a retirar el “tuit” por su interés público, al consistir en una orden judicial, públicamente accesible, subida a la plataforma por un ex presidente de un país. Sin embargo, el reclamante contestó a la carta, indicando que en dicho procedimiento él constaba como parte demandada, y se estaban mostrando clara e inequívocamente, sin su autorización, su nombre, apellidos y domicilio familiar. También lo consideraba una intromisión ilegítima en su honor y reputación, así como una violación de su presunción de inocencia, ya que los usuarios, al leer el documento, lo vincularían a la comisión de un delito. Tras la mediación de la DPC, TWITTER volvió a esgrimir interés público en la publicación de la información, aunque pidiendo evidencia de la supuesta absolución del afectado. El reclamante respondió una vez más, razonando que la libertad de expresión y el derecho a la información no comprende los datos de su domicilio familiar, que entran dentro de su esfera privada. Para apoyar su argumentación, reprodujo parte de la Política de Información Privada de TWITTER, accesible en su portal web. En ella, se prohibía explícitamente la publicación, sin el permiso de su titular, de “información sobre la dirección particular o la ubicación física, como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 direcciones postales, coordenadas de GPS u otra información de identificación relacionada con las ubicaciones que se consideran privadas”. A raíz de esta respuesta del afectado, la DPC volvió a contactar con el prestador del servicio y facilitó a esta Agencia una última carta para el reclamante, donde se podía leer que el responsable había vuelto a revisar el contenido en cuestión, y lo había eliminado de la plataforma, por infringir su Política de Información Privada. En la misma carta donde le transmitían la respuesta del prestador del servicio, la DPC pedía al reclamante que, si no estaba conforme con la solución amistosa del caso, se pusiera en contacto con ellos a través de la AEPD explicando los motivos, para que la autoridad líder pudiera realizar nuevas acciones. En caso de no recibir comunicación suya en el plazo de 2 meses a contar desde la fecha de la carta, considerarían su reclamación retirada y cerrarían el expediente correspondiente. Sin embargo, no se ha recibido en la Agencia respuesta alguna del afectado, a pesar de haberle sido correctamente notificada y entregada con fecha 29 de septiembre de 2021. Teniendo en cuenta que sus servicios de Inspección han comprobado que el “tuit” que constituye el objeto de esta reclamación ha sido retirado de la plataforma donde estaba publicado, esta Agencia considera que procede concluir las presentes actuaciones y archivar la reclamación. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de la presente reclamación, presentada en fecha 31 de diciembre de 2019 y número de registro de entrada 062135/2019. SEGUNDO: NOTIFICAR la presente resolución al RECLAMANTE De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
5. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1103-070820 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es