E-00254-2018

1/6 Expediente Nº: E/00254/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad B.B.B., en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 10 de noviembre de 2017, tiene entrada en esta Agencia escrito de Don A.A.A. (en lo sucesivo el denunciante) poniendo de manifiesto que ha detectado que en el sitio web www. B.B.B. (en lo sucesivo el denunciado) se indica que facilitan, a quien lo solicite, si desde un determinado número de teléfono han sido solicitados en sus teléfonos servicios de prostitución. El denunciante señala que en el citado sitio web no se identifica el sitio web en el que se recogen los datos personales, a pesar de que afirman disponer de 107.000 números recopilados. Añade que almacenan información sin consentimiento de los titulares de los datos que pertenece al ámbito privado de los mismos y que, al parecer, facilitan a terceros sin consentimiento. También expone que desde dicho sitio web no se facilita ninguna información relativa al ejercicio de los derechos de acceso, rectificación, cancelación y oposición. El denunciante adjunta impresión de varias capturas de pantalla con la información que resulta accesible en varias de las páginas del mencionado sitio web. En la captura de la página inicial bajo una casilla en la que el usuario debe introducir el “Número a comprobar”, aparece la siguiente leyenda “Introduce el número de teléfono a comprobar . En el momento te diremos si ha sido putero o no. Puedes consultar tantos números como quieras. Es fácil, gratis y sin publicidad.” Al pie de esta leyenda hay otra casilla con la indicación “COMPROBAR AHORA”. En la captura correspondiente a “Donativos” se informa que en caso de haber descubierto alguna información sobre alguna persona a través de dicha web podrá agradecerse dicho servicio “haciendo un donativo directamente a las asociaciones propuestas o mediante nosotros a través del formulario de contacto.” Junto a esta información aparecen una serie de logotipos de varias asociaciones y organizaciones, entre ellos los pertenecientes a la “***ASOCIACION.1” , (en adelante XXXXX” y la “***ASOCIACION.2”. En la captura correspondiente a la página de “Contacto” se muestra un “Formulario de contacto” en el que se requiere la facilitación de un email para contestar el motivo de la consulta, que debe seleccionarse en un desplegable. En dicho formulario aparece la siguiente leyenda “¿Qué podemos hacer por ti? Recuerda indicar el número de teléfono si es necesario.” SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 2.1 La entidad OVH HISPANO, S.L., filial española del prestador de servicios al que se contrató el registro del dominio y el alojamiento, ha informado a esta Agencia que los datos identificativos del titular del dominio B.B.B. son los que se indican a continuación, añadiendo que los pedidos se realizaron desde la IP C.C.C.: Nombre: B.B.B. Apellidos: B.B.B. Dirección: Calle (C/…1) Teléfono E.E.E. CIF D.D.D. 2.2 Realizada una llamada de comprobación al número de línea E.E.E., se contacta con una persona que afirma ser un particular que no guarda ningún tipo de relación con B.B.B. 2.3 La Presidenta de la “***ASOCIACION.2” ha manifestado a esta Agencia que la asociación no colabora con el portal web denunciado, ni ha dado su autorización para que en dicho portal aparezca su nombre ni su contacto. La citada Asociación adjunta copia del escrito dirigido con fecha 6 de noviembre de 2017 al reseñado portal exigiendo que retirasen cualquier reseña sobre su asociación y que desmintieran su participación y colaboración con esa página web, advirtiéndoles de que, en caso contrario, tomarían las medidas legales oportunas. También acreditan documentalmente que tras contactar, vía email, con el Departamento de Delitos Informáticos de la Ertzantza, desde el mismo les informaron que el registro del dominio B.B.B. se realizó en septiembre de 2017, apareciendo en los datos de contacto un número de teléfono y domicilio ubicados en Francia y que el hosting de la página web está realizado por la compañía OVH, a la par que les recomendaron la interposición de una denuncia al poder tratarse de un caso de usurpación y/o estfa recogido en el Código Penal. Igualmente adjuntan copia del correo electrónico remitido el 9 de noviembre de 2017 por la Policía Judicial de la Comisaría de Policía de ***LOC.1 informándoles de que ya se ha iniciado una investigación a raíz de una denuncia interpuesta por otra asociación de mujeres, no resultando necesaria la formulación de una nueva denuncia ya que en las actuaciones practicadas se van a incluir todas las asociaciones afectadas. También aportan copia de la denuncia interpuesta el día 7 de noviembre de 2017 por la “***ASOCIACION.3 de ***LOC.1 en la Oficina de Denuncias de la Dirección General de la Policía de esa localidad por posible ilícito penal, y en la que se expone que varias asociaciones de mujeres aparecen en la página web denunciada sin haber autorizado dicha publicación a los responsables de la misma, añadiendo que ninguna de dichas asociaciones había recibido donativo alguno de esos responsables, lo que podría ser constitutivo de ilícito penal . 2.4 La representante Legal de XXXXX ha comunicado a esta Agencia que desconocen al responsable de la mencionada página web, que la asociación nunca ha colaborado o participado en actividad alguna con el portal web B.B.B., ni se ha puesto en contacto con el mismo. 2.5 Dirigido requerimiento de solicitud de información a la dirección de gestión de la página web B.B.B., ubicada en (C/…1), el envío ha sido devuelto por el Servicio de Correos por “Desconocido”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III Los hechos denunciados podrían constituir un tratamiento de datos de carácter personal resultante de la recogida de números de teléfono y direcciones de correo electrónico de los usuarios del sitio web www. B.B.B. que podría vulnerar lo dispuesto en los artículos 5.1 al 3 y 6.1 de la LOPD. En cuanto al “Derecho de información en la recogida de datos”, dicho artículo 5 de la LOPD, en sus apartados 1, 2 y 3, establece lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
2. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
3. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
4. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
5. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
6. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
7. c)y
8. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban”. La obligación que impone el artículo 5 es, por tanto, la de informar al afectado en el momento de la recogida de datos, pues solo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquella. Además, la ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. En cuanto al principio del consentimiento el artículo 6.1 y 2 de la LOD dispone que: ”1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El artículo 6 de la LOPD consagra el principio del consentimiento o autodeterminación, piedra angular en la construcción del derecho fundamental a la protección de datos que alude a la necesidad de contar con el consentimiento del afectado para que puedan tratarse sus datos personales. Conforme al citado precepto el tratamiento de datos sin consentimiento de su titular o sin otra habilitación amparada en la Ley constituye una vulneración de este derecho, pues sólo el consentimiento, con las excepciones contempladas en la ley, legitima el tratamiento de los datos personales. Así, la LOPD recoge las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a este, y de las finalidades para las que los datos pueden ser recabados y tratados. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Por su parte, el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público establece como uno de los principios de la potestad sancionadora el de la “Responsabilidad”, determinando al respecto que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. En esta misma línea el artículo 53.2 la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, establece que: “Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables, tendrán los siguientes derechos: (…)
9. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. En el presente caso, pese a las actuaciones de investigación realizadas por la Inspección de Datos de la AEPD, no han podido obtenerse indicios de prueba que permitan determinar la identidad del responsable de la página web en cuestión, y, consecuentemente, del posible responsable de los ficheros en los que se registraba la información de carácter personal obtenida de los usuarios de la página web y, en su caso, del responsable del tratamiento realizado con la información de carácter personal obrante en los ficheros utilizados para proporcionar la información solicitada por dichos usuarios. Así, el requerimiento de información remitido a la dirección que fue facilitada por el titular del dominio B.B.B. al prestador de servicios OVH HISPANO, SLU cuando contrató al mismo el registro del dominio y el alojamiento, ha sido devuelto por la Sociedad Estatal Correos y Telegrafos, S.A. por “Desconocido” en dicha dirección con fecha 9 de abril de 2018. A su vez, al llamar al número de teléfono E.E.E., también facilitado por el prestador de servicios anteriormente indicado, se contacta con una persona que afirma no tener ningún tipo de relación con la página web denunciada. Tampoco consta que las dos Asociaciones a las que se ha solicitado información en relación con la supuesta colaboración por su parte con el responsable de la página web en cuestión conozcan la identidad del mismo, puesto que han afirmado no mantener ningún tipo de relación con el portal web B.B.B. en el que se utiliza su nombre e imagen sin su autorización. Habida cuenta de lo expuesto, y sin perjuicio de las actuaciones que puedan seguirse por la Policía Judicial de la Comisaría de Policía de ***LOC.1 con motivo de la denuncia efectuada por la “***ASOCIACION.3 de ***LOC.1” por posible estafa, usurpación y utilización ilícita del nombre e imagen de dicha Asociación en la citada página web, procede acordar el archivo de las actuaciones de investigación practicadas en aplicación del mencionado principio de responsabilidad. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a Don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es