E-01779-2013

1/6 Expediente Nº: E/01779/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos en virtud de denuncia presentada por don A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 8 de marzo de 2013 tiene entrada en esta Agencia una denuncia de don A.A.A. en el que expone que en el mes de febrero pasado le desaparecieron los mensajes electrónicos que almacenaba en su buzón del servicio Terra, ..........@terra.es, y solicita a la Agencia la reposición de los mismos. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:

1. Por la Inspección se solicitó al denunciante que aportara una copia de las comunicaciones que, en su caso, hubiera recibido de TELEFÓNICA DE ESPAÑA, S.A.U., informándole de la migración de los contenidos asociados a su cuenta de correo electrónico, del dominio terra.es, a otra cuenta del dominio terra.com, de acuerdo con la información publicada en http://www.terra.es........... Asimismo, se le requirió copia de la solicitud de “reposición de sus correos” que, en su caso, hubiera dirigido al operador de telecomunicaciones, incluyendo copia de la respuesta recibida. El denunciante contestó en fecha 5 de junio de 2013, alegando: “no puedo cumplimentar lo solicitado ya que al haberme borrado todos los correos y en varias fechas, todos los archivos de reclamaciones también me fueron borrados”.
2. En respuesta al requerimiento de la Inspección de Datos, TELEFÓNICA DE ESPAÑA, S.A.U. ha aportado copia de los datos identificativos que figuran en sus ficheros relativos al usuario titular de la dirección de correo electrónico ..........@terra.es, incluyendo la relación completa de los servicios que hubiera contratado. De la documentación aportada se desprende que el titular registrado de la citada dirección es otra persona, cuyo primer apellido coincide con el primer apellido del denunciante y cuyo domicilio también coincide con el declarado por el denunciante. Según se indica, el servicio contratado es de tipo gratuito.
3. La representante de TELEFÓNICA DE ESPAÑA, S.A.U. ha aclarado: “El cierre responde a una decisión estratégica largamente solicitada por nuestros clientes, consistente en simplificar el complicado portfolio de productos y servicios de mi representada. Telefónica nunca tenido intención de perjudicar a los clientes que utilizaban el correo gratuito de Terra, sino todo lo contrario, como lo demuestra el hecho de que ofreciera a los mismos la posibilidad de migrarse a un servicio de correo más evolucionado tecnológicamente, como es el prestado por la filial del Grupo, Terra Operations, INC, servicio sujeto a las condiciones establecidas por dicha empresa.”
4. TELEFÓNICA DE ESPAÑA, S.A.U. ha aportado a la Agencia copia de las condiciones generales del servicio que debieron ser aceptadas por los usuarios en el momento del alta. En particular, el operador alude a la cláusula 3.3, que establece: “Las características del Servicio, podrán verse modificadas con la finalidad de adaptarse C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 a la evolución técnica, pudiendo introducirse variantes, cualquiera que sea la opción contratada, así como cualquier mejora técnica que permita incorporar un mayor número de prestaciones en aras de la mejora del Servicio. Telefónica de España, en dichos supuestos, comunicará la modificación, cancelación o la exigencia de un precio, con la antelación suficiente.” También alude a la cláusula 10, donde se prevé: “El usuario autoriza a Telefónica de España para utilizar el buzón de correo electrónico para comunicarse con él”.
5. Por la Inspección de Datos se solicitó al operador de telecomunicaciones que especificara el número de clientes afectados y el procedimiento por el que, en su caso, fueron informados de la finalización del servicio con la suficiente antelación para que pudieran descargar los contenidos que hubieran almacenado en su espacio privado de almacenamiento, en el que podían figurar datos de carácter personal. En particular, se solicitó copia de la documentación de la que dispusiera la compañía que acreditara las comunicaciones informativas remitidas al citado cliente. TELEFÓNICA DE ESPAÑA, S.A.U. ha indicado: “El número total de clientes afectados es de 2.244.359, de los cuales sólo 501.790 utilizaban su cuenta de correo. Las comunicaciones se realizaron en dos fases, tal y como se indica a continuación: 1ª Fase, dirigida a 200.000 usuarios. […] Primera comunicación: 12 de Marzo de
6. Segunda comunicación: 26 de Marzo de
7. Tercera comunicación: 16 de Abril de
8. 2ª Fase, dirigida a 2.044.359 usuarios. […] Primera comunicación: 29 de Abril de
9. Segunda comunicación: 15 de Mayo de
10. Tercera comunicación: 29 de Mayo de 2013.” La compañía ha aportado copia de las dos comunicaciones realizadas, con el siguiente contenido: Estimado usuario: A partir de hoy y durante las próximas semanas se procederá de manera progresiva al cierre del servicio de correo de Terra España, por lo que el día [16 de abril de 2013 en la 1ª comunicación; 30 de mayo de 2013, en la 2ª] su cuenta dejará de funcionar. Esta decisión forma parte de la nueva estrategia corporativa de Terra, que en los últimos años se ha convertido en un medio de comunicación global cuyo modelo, presente en 18 países, aterriza ahora en España. No obstante, con la Intención de proporcionar a nuestros usuarios una alternativa de calidad, ofrecemos la posibilidad de crear una nueva cuenta @terra.com con una capacidad de 1 GB, anti-spam y antivirus. Esto supondrá darse de alta en un nuevo servido prestado por Terra Networks Operations, INC*. ¿Qué pasará con mis correos y mis contactos? A través del manual de ayuda “Cómo transferir mis datos a una nueva cuenta @terra.com” le ayudaremos a descargar en su equipo sus correos y contactos. Una vez lo haya hecho, le guiaremos a través del proceso para que pueda crear una nueva cuenta @terra.com y transferir allí sus datos. ¿Y si quiero abrir una cuenta que no sea de Terra? Si usted decide cambiarse a otro servicio de correo electrónico, en el manual de ayuda “Cómo guardar mis datos en mi equipo para transferirlos a otra cuenta” le explicamos paso a paso cómo descargar en su equipo correos y contactos. Una vez lo haya hecho, deberá seguir los pasos de su nuevo servicio de correo electrónico para transferirlos a otra cuenta. Imaginamos que tendrá más preguntas, por eso hemos preparado un documento con preguntas frecuentes (FAQs) en el que resolvemos las dudas que le puedan C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 surgir. Para cualquier otra consulta, puede ponerse en contacto con nosotros a través de la dirección de correo electrónico ayuda@terra.com. Atentamente, El Equipo de Terra España Al pie de página se incluye la siguiente nota: En el caso de optar por la solución de crear una nueva cuenta @terra.com, esto supondrá darse de alta en un nuevo servicio prestado por Terra Networks Operations, INC con sede en Estados Unidos, con domicilio social en 396 Alhambra Circle, Suite S700, Coral Gables, FL, 33134 US, que se regirá por sus Condiciones Generales propias, con la consiguiente alta de sus datos personales en la citada sociedad que quedará como responsable de los mismos, y teniendo en cuenta que se regirá por la Legislación del mencionado país. *
11. TELEFÓNICA DE ESPAÑA, S.A.U. también ha aportado a la Agencia copia de los manuales de ayuda a los que se referían las citadas comunicaciones, de 20 y 36 páginas, respectivamente, con detalladas instrucciones para la portabilidad de los contenidos almacenados por los usuarios, incluyendo indicaciones para la configuración del nuevo servicio, según el protocolo POP3, así como para la exportación de las direcciones de los contactos y de los mensajes en distintas plataformas del mercado.
12. Según expone la compañía en su escrito, se ha podido comprobar que el usuario recibió el correo y que lo abrió en 5 ocasiones, detallando las horas en que lo hizo, a lo largo del día 30 de abril de
13. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD). II El artículo 16 de la LOPD, que regula el derecho de rectificación y cancelación, establece en su apartado 5: “Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado.” En la cláusula 8 del documento que regula las condiciones generales del servicio de correo electrónico prestado, TELEFÓNICA DE ESPAÑA, S.A.U. informa al cliente de la existencia de ficheros automatizados de datos de carácter personal cuya finalidad es realizar el mantenimiento y la gestión de la relación contractual. Al margen de estos datos, que obran en los ficheros del prestador del servicio, resulta claro que el cliente puede utilizar el espacio de almacenamiento que el prestador le proporciona para mantener, en las distintas carpetas de su buzón y en su agenda de direcciones, diversa información que puede incluir datos de carácter personal propios y ajenos, sobre los que el prestador de servicios no tiene control directo. Si se trata de un buzón de uso personal, los datos generalmente formarán parte del ámbito doméstico del cliente, resultando deseables, por parte del prestador del servicio, unas mínimas garantías C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 sobre su disponibilidad, integridad y confidencialidad. No son descartables, sin embargo, eventuales usos del servicio por su titular en ámbitos no domésticos, involucrando datos cuyo tratamiento en servidores de terceros requeriría garantías especiales que no están cubiertas por el contrato tipo que regula este servicio de la sociedad de la información y que, por tanto, deberían instrumentarse de una forma alternativa. En el presente caso, conviene aclarar que el denunciante no parece tener la consideración de responsable de fichero o tratamiento alguno en los términos de la LOPD, sino que probablemente almacenaba datos de ámbito doméstico en los buzones o agendas asociadas a la dirección ..........@terra.es, cuya titularidad, por otra parte, parece corresponder a otra persona de su entorno familiar. No obstante lo anterior, aunque la relación entre el titular y el prestador del servicio no obedece al esquema expuesto de responsable-encargado de tratamiento, sí pueden resultar un referente las consideraciones que, al respecto del almacenamiento de datos personales en servidores ajenos accesibles a través de internet, ha realizado el Grupo de Trabajo del artículo 29 (GT29), órgano consultivo europeo independiente establecido en virtud del artículo 29 de la Directiva 95/46/CE. III El GT29 adoptó el 1 de julio de 2012 el Dictamen 5/2012, sobre la computación en nube. En este documento se subrayan las responsabilidades de un cliente de servicios de computación en nube (como responsable del tratamiento) y se recomienda que el cliente seleccione un proveedor de servicios que garantice el cumplimiento de la legislación de la UE sobre protección de datos. El dictamen aborda las salvaguardias contractuales apropiadas estableciendo la condición de que todo contrato entre el cliente y el proveedor deberá ofrecer garantías suficientes en términos de medidas técnicas y de organización. El dictamen establece directrices sobre los requisitos de seguridad, como salvaguardia estructural y de procedimiento. Se hace especial hincapié en las disposiciones contractuales que deben regular la relación entre los responsables y los encargados del tratamiento en este sentido. Los objetivos clásicos de seguridad de los datos son la disponibilidad, la integridad y la confidencialidad. Sin embargo, según expone, la protección de los datos no se limita a la seguridad y, por tanto, estos objetivos se complementan con los objetivos específicos de transparencia, aislamiento, posibilidad de intervención y portabilidad para justificar el derecho del individuo a la protección de datos, con arreglo a lo previsto en el artículo 8 de la Carta de los Derechos Fundamentales de la UE. El requisito de disponibilidad se desarrolla particularmente en el apartado 3.4.3.1 del dictamen: “La disponibilidad supone garantizar un acceso oportuno y fiable a los datos personales. Una grave amenaza para la disponibilidad en la nube es la pérdida accidental de conectividad de red entre el cliente y el proveedor, o del rendimiento de los servidores a causa de acciones malintencionadas tales como ataques de denegación de servicio (distribuido). Otros riesgos para la disponibilidad incluyen fallos accidentales de los equipos tanto en la red como en los sistemas de almacenamiento de datos y de tratamiento en la nube, cortes de suministro y otros problemas de infraestructura. Los responsables del tratamiento deben comprobar si el proveedor ha adoptado medidas razonables para afrontar el riesgo de perturbaciones, tales como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 copia de seguridad de los enlaces de internet, almacenamiento suplementario y mecanismos efectivos para la copia de seguridad de los datos.” El requisito de portabilidad se aborda, en particular, en el apartado 3.4.3.6 del dictamen: “Actualmente, la mayoría de los proveedores no utiliza formatos de datos e interfaces de servicios estándar que facilitan la interoperabilidad y la portabilidad entre los diferentes proveedores. Si un cliente decide migrar de un proveedor a otro, esta falta de interoperabilidad puede dar lugar a la imposibilidad o al menos a dificultades para transferir los datos (personales) del cliente al nuevo proveedor (esto se denomina dependencia respecto al proveedor). Lo mismo ocurre con los servicios desarrollados por el cliente en una plataforma ofrecida por el proveedor original (PaaS). Antes de contratar un servicio de computación en nube, el cliente deberá comprobar si el proveedor garantiza la portabilidad de los datos y servicios y de qué manera lo hace.” Al respecto de la portabilidad de los datos, en la página 17 de la Guía para clientes que contraten servicios de cloud computing, editada por esta Agencia, se incluyen recomendaciones específicas para que los clientes se aseguren de que pueden recuperar los datos personales de los que son responsables: – La portabilidad significa que el proveedor ha de obligarse, cuando pueda resolverse el contrato o a la terminación del servicio, a entregar toda la información al cliente en el formato que se acuerde, de forma que éste pueda almacenarla en sus propios sistemas o bien optar porque se traslade a los de un nuevo proveedor en un formato que permita su utilización, en el plazo más breve posible, con total garantía de la integridad de la información y sin incurrir en costes adicionales. – En particular, el cliente debe tener la opción de exigir la portabilidad de la información a sus propios sistemas de información o a un nuevo prestador de cloud cuando considere inadecuada la intervención de algún subcontratista o la transferencia de datos a países que estime no aportan garantías adecuadas. – También es particularmente importante en los casos en que el proveedor de cloud modifique unilateralmente las condiciones de prestación del servicio dado su poder de negociación frente al cliente. – Solicite información y garantías al proveedor sobre la portabilidad de los datos personales. Como ya se ha indicado, en el presente caso la relación establecida entre el titular y el prestador del servicio no responde al esquema de responsable-encargado de tratamiento y, si bien los requisitos expuestos resultan deseables en servicios de la sociedad de la información como el que venía prestando TELEFÓNICA DE ESPAÑA, S.A.U. a través de la marca Terra, los mismos no resultan exigibles al caso analizado. En este sentido, del análisis de las medidas adoptadas por la compañía para informar a sus clientes, con antelación suficiente, de la finalización del servicio y del procedimiento habilitado para que estos pudieran exportar las informaciones que mantenían en sus buzones y agendas, se concluye que fue adecuado y respetuoso con la normativa de protección de datos, en particular con lo previsto en el apartado 5 del artículo 16 de la LOPD. El prestador del servicio ha aportado asimismo referencias detalladas acerca de los repetidos accesos por parte del titular, el día 30 de abril de 2013, a la notificación en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 la que se le comunicaba el procedimiento de exportación. Por lo que respecta a los mensajes que según el denunciante le desaparecieron en su bandeja a finales del mes de febrero de 2013, es preciso tener en cuenta que, tal y como se ha expuesto, a partir de las actuaciones practicadas no ha podido acreditarse que el denunciante, usuario declarado del servicio, ostentara la titularidad del buzón mencionado en su escrito y, por otra parte, tampoco se ha acreditado la desaparición de tales mensajes. Procede reseñar asimismo que esta Agencia no ha recibido más denuncias de otros clientes al respecto de los mismos hechos o de cualquier otra incidencia relativa a la finalización del servicio de correo electrónico. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
14. PROCEDER AL ARCHIVO de las presentes actuaciones.
15. NOTIFICAR la presente Resolución a TELEFÓNICA DE ESPAÑA, S.A.U. y a don A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es