E-01468-2018

1/7 Expediente Nº: E/01468/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad DVUELTA ASISTENCIA LEGAL, S.L.U. en virtud de denuncia presentada por Dña. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 8 de febrero de 2018, tuvo entrada en esta Agencia escrito de Dña. A.A.A. (en lo sucesivo la denunciante) contra DVUELTA ASISTENCIA LEGAL, S.L.U. (en lo sucesivo el denunciado) por los siguientes hechos según manifestaciones de la denunciante: Habiendo realizado una búsqueda en el TESTRA de la DGT y en BOP de Granada si tiene alguna multa de tráfico pendiente, comprueba que no hay nada a su nombre asociada a su DNI o matrícula del vehículo, pero al consultar en un buscador de multas por internet: http://www.buscamultas.com, comprueba que tiene sus datos completos e información sobre unas multas que no aparecen en los organismos administrativos oficiales reseñados anteriormente, por lo que desconoce de donde han recabado sus datos, toda vez no le consta que haya autorizado a esta empresa u otra similar al respecto. Dicha consulta la realizó el 1 de febrero de 2018. Y, entre otra, anexa la siguiente documentación:  Copia impresa del resultado de la consulta realizada en www.buscamultas.com SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, solicitando información al denunciado y a la entidad BIGINDEX S.L.U. teniendo conocimiento de los siguientes extremos: 1 Se ha verificado por la Inspección de Datos que en el portal www.buscamultas.com se encontraba accesible, con los criterios de número de NIF de la denunciante y el número de la matrícula del vehículo, dos notificaciones de multas de tráfico con fechas 11/7/2017 y 13/9/2017, figurando el hecho denunciado, nombre y apellidos, NIF y matrícula del vehículo. También se ha verificado que con fecha 19/3/2018 no consta información en el Tablón Edictal de Tráfico con los mismos criterios de búsqueda. 2 Se ha solicitado información a BIGINDEX, S.L.U. (titular del mencionado portal de internet) teniendo entrada con fechas 4 y 25 de abril de 2018 escritos de respuesta en el que manifiesta lo siguiente: 2.1. El responsable del Fichero de datos de carácter personal, con la denominación de “BUSCAMULTAS” es DVUELTA ASISTENCIA LEGAL S.L., con descripción de la finalidad como Fichero para recoger los usuarios registrados en el servicio Buscamultas y poder prestarles el servicio, siendo su finalidad tipificada la prestación de servicios de comunicaciones electrónicas, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 recogiéndose dentro de su estructura de datos D.N.I./N.I.F., NOMBRE Y APELLIDOS, DIRECCION, TELEFONO, MATRICULA, E-MAIL, NOTIFICACIONES DE LA ADMINISTRACION, RESOLUCIONES SANCIONADORAS. 2.2. Con fecha de 22 de octubre de 2014, DVUELTA ASISTENCIA LEGAL y BUSCAMULTAS, S.L.U (ahora BIGINDEX S.L.U.) suscribieron un contrato de prestación de servicios, por el cual BIGINDEX prestaría los servicios de información a los clientes de DVUELTA ASISTENCIA LEGAL, bajo la marca BUSCAMULTAS, que conlleva el acceso y tratamiento de datos por cuenta de terceros por parte de BIGINDEX del fichero de datos de carácter personal denominado “BUSCAMULTAS”. 2.3. El 13 de mayo de 2010, a las 09:18:52 AM, se procede al alta de usuario del servicio de BUSCAMULTAS, en la página web www.devuelta.es, sobre la matrícula del vehículo ***MATRICULA.1 por usuario con número de DNI/CIF ***DNI.1, registro en el que el usuario antes de ser dado de alta en el servicio debe de aceptar y otorgar su consentimiento para el tratamiento de sus datos personales para ser dado de alta en el servicio y prestarle los servicios solicitados, autorizando expresamente a que –“en mi nombre realice en los Boletines Oficiales y en el TESTRA, las actuaciones necesarias para localizar mis multas. Y declaro que los datos que facilito son veraces y estoy legitimado para usarlos”. Aportan copia impresa del registro de la aplicación en el que consta dicho registro. Este consentimiento no ha sido revocado. 2.4. En relación al plazo de conservación de los datos relativos al usuario registrado, dichos datos se conservan mientras se mantiene vigente la relación con el usuario registrado que no haya solicitado expresamente la baja en el servicio “BUSCAMULTAS”, siendo posteriormente bloqueados los datos identificativos del usuario registrado, así como los datos relativos a las consultas efectuadas a través del servicio, notificaciones comerciales e informativas realizadas al usuario registrado y demás interactuaciones entre el usuario registrado y BUSCAMULTAS a durante la vigencia de la relación. 3 Se ha verificado que para registrarse como usuario en www.devuelta.es de dicho sitio web es necesario aceptar las cláusulas de protección de datos y la política de privacidad que incluyen las siguientes cláusulas: “Los datos facilitados en el formulario van a ser tratados para responder a tus preguntas, ponernos en contacto contigo y remitirte la información sobre nuestros productos y servicios. La base que legitima el tratamiento es tu consentimiento, otorgado a través de la aceptación y envío de tus datos. Responsable: DVUELTA ASISTENCIA LEGAL S.L.U., con domicilio en C/ Flandes, 2 - 28231, Las Rozas de Madrid, Madrid. Derechos: puedes ejercitar en cualquier momento tus derechos de acceso, rectificación, supresión y oposición, así como otros derechos, remitiéndonos una comunicación a la dirección indicada. Política de Privacidad Todos los datos facilitados por los Usuarios en los diferentes formularios, procesos de contratación y para ponernos en contacto contigo que se encuentran en www.dvuelta.es serán incorporados y tratados, tanto a través de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 medios telemáticos, informáticos y no automatizados, siendo el responsable de dichos tratamientos: DVUELTA ASISTENCIA LEGAL S.L.U. (en adelante, DVUELTA) … Al enviar una consulta de información, ponerte en contacto con nosotros a través de correo electrónico o por teléfono, que respondamos a tus solicitudes, contrates nuestros servicios o nos habilites para realizar consultas en tu nombre a boletines oficiales y TESTRA, podemos solicitarle que nos facilites una serie de datos e información personal tal como tu nombre, apellidos, dirección, email, teléfono de contacto, DNI, Matrícula de Vehículo. … Al utilizar los servicios de consulta de Buscamultas, prestados por la empresa del Grupo Reacciona BiGINDEX S.L.U., otorgas tu consentimiento y autorizas expresamente a que dicha empresa realice las consultas y actuaciones de localización de multas y sanciones publicadas en Boletines Oficiales y en el Tablón Electrónico de la Tráfico (TESTRA). Los datos serán tratados durante el plazo de publicación en dichos medios de consulta de manera activa, salvo que sean contratados servicios de asistencia legal y vigilancia de sanciones publicadas en dichos medios. … Una vez cumplido el servicio o el plazo de publicación en caso de no ser contratado ningún servicio, los datos de sanciones y multas serán disociados de tus datos personales y almacenados a efectos de análisis estadísticos, de manera segura. La base que legitima el tratamiento es tu consentimiento y, en caso de contratación de servicios, la existencia de una relación entre las partes; en cualquier momento podrás darte de baja del servicio y revocar el consentimiento solicitándolo por escrito, como se describe en el apartado Derechos.” 4 En respuesta al requerimiento de la Inspección de Datos, con fecha 12 de septiembre de 2018 tiene entrada un escrito del representante de BIGINDEX S.L.U. en el que manifiesta que el origen de los datos relativos a notificaciones de multas de tráfico de fechas 11/7/2017 y 13/9/2017 que constan en sus ficheros relativas a la denunciante, fueron obtenidas de los Boletines Oficiales del Estado de fechas 22 de diciembre de 2017 y 20 de octubre de 2017, no obstante, la publicación de estas notificaciones ya no están accesibles on line en el BOE en cumplimiento del artículo 14 del Real Decreto 181/2008, de 8 de febrero, de ordenación del diario oficial "Boletín Oficial del Estado" 5 Adjuntan a sus contestaciones relación de comunicaciones realizadas desde el alta de la denunciante con el estado de envío. De acuerdo con dicha relación le han remitido más de 10 correos electrónicos a la dirección ***EMAIL.1, desde marzo de 2011 a marzo de 2018. Alegando así mismo: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 <<…Se aporta asimismo su consentimiento expreso y la autorización para realizar los trámites de consulta y localización de datos relativos a sanciones de tráfico y multas en Boletines Oficiales y en el TESTRA, consentimiento que se ha mantenido en el tiempo desde dicho registro y que no ha sido revocado desde el alta de usuario registrado, bien a través de la no oposición del usuario al tratamiento de sus datos y a la recepción de las comunicaciones y notificaciones realizadas desde el 01 de marzo de 2011 a la dirección email ***EMAIL.1, dirección de contacto electrónica del usuario registrado en el servicio de “Buscamultas” ni haberse solicitado la cancelación del servicio y la baja como usuario registrado del mismo, tal y como se recoge en la relación de comunicaciones realizadas al usuario que se aporta como DOCUMENTOS 4 y 5 del presente escrito. Que toda comunicación electrónica realizada por el servicio de BUSCAMULTAS al usuario registrado a la dirección email de contacto dispone de sistemas de baja automatiza del servicio, en cumplimiento de lo dispuesto por el artículo 21.2 de la Ley 34/2002, de 12 de julio, de Servicios de la Sociedad de la Información y del Comercio Electrónico, así como la posibilidad de revocar el consentimiento otorgado, solicitar la baja del servicio o bien ejercitar los derechos de acceso, rectificación, cancelación y oposición al tratamiento de los datos de carácter personal de conformidad con lo establecido en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal y por su normativa de desarrollo reglamentario…>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 III El artículo 6 de la LOPD establece: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado.” En el apartado
2. j)del artículo 3 de la LOPD se define el concepto de fuentes accesibles al público de la siguiente forma “Aquellos ficheros cuya consulta puede ser realizada por cualquier persona, no impedida por una norma limitativa, o sin más exigencia que, en su caso, el abono de una contraprestación. Tienen la consideración de fuentes de acceso público, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos por su normativa específica y las listas de personas pertenecientes a grupos de profesionales que contengan únicamente los datos de nombre, título, profesión, actividad, grado académico, dirección e indicación de su pertenencia al grupo. Asimismo, tienen el carácter de fuentes de acceso público, los Diarios y Boletines oficiales y los medios de comunicación.” De las actuaciones inspectoras practicadas se desprende que el servicio gratuito de búsqueda de multas de tráfico que DVUELTA ASISTENCIA LEGAL, S.L. presta a través del sitio web http://www.buscamultas.com se realiza previa recopilación y tratamiento de datos personales que han sido publicados en Diarios y Boletines oficiales. Tales datos quedan indexados temporalmente en los equipos de la compañía, borrándose periódicamente cuando su publicación ha superado los 3 meses de antigüedad, al ser este el plazo hábil durante el cual pueden recurrirse aún las sanciones en vía administrativa. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 IV El apartado 5 del artículo 7 de la LOPD prevé: “Los datos de carácter personal relativos a la comisión de infracciones penales o administrativas sólo podrán ser incluidos en ficheros de las Administraciones Públicas competentes en los supuestos previstos en las respectivas normas reguladoras.” Los datos almacenados durante un tiempo limitado en los índices que utiliza DVUELTA ASISTENCIA LEGAL, S.L. para la prestación del servicio de búsqueda son análogos a los que diariamente rastrean los robots de otros motores de búsqueda que ofrecen servicios menos específicos de acceso a la información publicada en Internet. El Grupo de Trabajo del artículo 29 (GT29), órgano consultivo europeo independiente establecido en virtud del artículo 29 de la Directiva 95/46/CE, emitió el 4 de abril de 2008 el Dictamen 1/2008, sobre cuestiones de protección de datos relacionadas con motores de búsqueda. En el apartado 4.2.2 de este documento se realiza la siguiente interpretación al respecto del tratamiento que realizan los prestadores de servicios de búsqueda en Internet: “El principio de proporcionalidad requiere que, en la medida en que un proveedor de un motor de búsqueda actúe exclusivamente como intermediario, no debe considerarse como responsable principal del tratamiento de datos personales efectuado. En este caso, los responsables principales del tratamiento de datos personales son los proveedores de información. La responsabilidad formal, jurídica y práctica de los datos personales que incumbe al motor de búsqueda se limita generalmente a la posibilidad de retirar datos de sus servidores. Por lo que se refiere a la retirada de datos personales de su índice y de sus resultados de búsqueda, los motores de búsqueda tienen una responsabilidad suficiente para considerarse responsables del tratamiento (solos o conjuntamente con otros) en estos casos, pero la medida en la que existe una obligación de retirar o bloquear datos personales puede depender de la legislación en materia de responsabilidad civil y de las normas en materia de responsabilidad del Estado miembro en cuestión.” En consecuencia, respecto de los datos de multas de tráfico rastreados por DVUELTA ASISTENCIA LEGAL, S.L. en la edición digital de los Diarios y Boletines oficiales españoles, en aplicación del criterio adoptado por el GT29, no cabe exigir a esa compañía otra responsabilidad que la que se deriva de retirar o bloquear los datos de sus servidores en atención al derecho de oposición que, en su caso, puedan ejercitar los afectados. A este respecto, la Agencia no tiene conocimiento de que estas solicitudes no hayan sido convenientemente atendidas. Tampoco se ha detectado que DVUELTA ASISTENCIA LEGAL, S.L. realice otro tratamiento de tales datos, a excepción del que se lleva a cabo para los usuarios registrados, los cuales dan su consentimiento informado al tratamiento de los datos que les conciernen. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 En el presente caso, la entidad denunciada ha remitido documentación que avalan la presunción legal de que la denunciante se registró en la web del denunciado, por lo que, si no quiere figurar en la misma debe solicitar la baja de dicho fichero. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a DVUELTA ASISTENCIA LEGAL, S.L.U. y a Dña. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es