E-02624-2019

1/5  Procedimiento Nº: E/02624/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, el reclamante) tiene entrada con fecha 20/01/2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra ALBERT RELOJES ALMERÍA, BUSCADOR DE TRABAJO, S.L., con NIF (en adelante, el reclamado). Los motivos en que basa la reclamación son: que el ***FECHA.1 en la web ***WEB.1 publican un anuncio donde se oferta una vacante de auxiliar administrativo de una empresa de joyas y relojes en Almería. Que tras apuntarse a la oferta recibe un correo electrónico el día 11/01/2019 desde la dirección ***EMAIL.1 desde donde le solicitan copia de su DNI. Tras enviar la copia solicitada, el día 12/01/2019 recibe otro correo electrónico en el cual le solicitan un selfie de su DNI con su cara, lo cual le parece ilógico y se pone en contacto con la página web donde ofertan el empleo y le contestan que han retirado el anuncio porque otro usuario se ha quejado de lo mismo por lo cual creen que el anuncio es una estafa para recabar datos y usarlos fraudulentamente. Que solicita se haga lo pertinente para que su DNI no pueda ser utilizado con otro fin que no es el acontecido de un puesto de trabajo. Y, entre otra, anexa la siguiente documentación:  Correo electrónico del portal de empleo con la oferta de trabajo.  Correos electrónicos intercambiados con ***EMAIL.1 SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: El 18/06/2019, Buscador de Trabajo, S.L. remite a esta Agencia la siguiente información: 1. Que para ser anunciante en su página web solamente requieren que el anunciante les de como contacto una dirección de email. 2. Que la fecha de publicación del anuncio fue el día 08/01/2019 y se dio de baja el anuncio el 11/01/2019 dado que la oferta les pareció poco real y fiable. 3. Que el correo del anunciante es ***EMAIL.1 4. Que la IP desde la que se colgó el anuncio es ***IP.1 5. Que en todos los casos, los anunciantes no tienen por qué pagar absolutamente nada por poner sus ofertas de trabajo en su página web por lo que no pueden facilitar datos de facturación de la mercantil que ha colgado el anuncio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 Con fecha 04/07/2019 se comprueba que la IP ***IP.1 pertenece a JSC “Zap-Sib TransTelecom” ubicado en Rusia. Con fecha 18/09/2019 se remite requerimiento de información a JSC “Zap-Sib TransTelecom” por correo electrónico. A la fecha del presente informe no se ha recibido contestación. Con fecha 18/09/2019 se remite requerimiento de información a GOOGLE LLC (GOOGLE SPAIN, S.L.). Con fecha 11/10/2019, GOOGLE LLC, con domicilio en 1600 Amphitheatre Parkway Mountain View, Califomia 94043, Estados Unidos remite a esta Agencia la siguiente información: 1. Que la sociedad prestadora del servicio Gmail para usuarios residentes en el Espacio Económico Europeo y Suiza es GOOGLE IRELAND LIMITED. GOOGLE IRELAND LIMITED es una compañía irlandesa con domicilio social en Gordon House, Barrow Street, Dublín 4, Irlanda. 2. Que, a los efectos de verificar que se cumplen los requisitos y circunstancias previstas, entre otros, en el artículo 52.3.

1. b)de la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales ("Deber de colaboración"), esta parte ruega la Agencia que facilite la información adicional que resulte adecuada para aclarar el objeto y motivación de su requerimiento. Con fecha 14 de octubre de 2019 se solicita colaboración A61VM nº 83743 en IMI a la Autoridad Supervisora Irlandesa con el propósito de recabar de GOOGLE IRELAND LIMITED la información requerida previamente a GOOGLE LLC (GOOGLE SPAIN, S.L.). La Autoridad Supervisora Irlandesa facilita dos direcciones de correo electrónico para contactar directamente con GOOGLE IRELAND LIMITED; ***EMAIL.2 y ***EMAIL.3 Entre el 03/12/2019 y el 11/12/2019 se intercambian correos electrónicos con GOOGLE en las direcciones de correo facilitadas requiriendo información. Con fecha 19/12/2019, GOOGLE IRELAND LIMITED remite a esta Agencia escrito solicitando información: “1. Confirmación de si la solicitud de información se formula: a. en el marco de actuaciones de investigación iniciadas como consecuencia de una denuncia presentada por un afectado respecto de una conducta de una persona jurídica: o b. en el marco de actuaciones de investigación iniciadas como consecuencia de una denuncia presentada por un afectado respecto a la utilización de sistemas que permitan la divulgación sin restricciones de datos personales. 2. Confirmación de que no se ha podido realizar la identificación por otros medios. 3. Confirmación de que los datos solicitados resultan imprescindibles para la identificación del presunto responsable.” Con fecha 9 de enero de 2020, se remite a GOOGLE LLC (GOOGLE SPAIN, S.L.) escrito de respuesta. La notificación consta entregada con fecha 17/01/2020: “1. La solicitud de información se formula en el marco de actuaciones de investigación iniciadas como consecuencia de una denuncia presentada por un afectado respecto de una conducta de un responsable del tratamiento a identificar. 2. No se ha podido realizar la identificación por otros medios. 3. Los datos solicitados resultan imprescindibles para la identificación del presunto responsable.” Con fecha 06/02/2020, GOOGLE IRELAND LIMITED remite a esta Agencia escrito solicitando información: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 “En línea con lo reflejado en nuestra anterior respuesta, de fecha 19 de diciembre de 2019, le rogamos que por favor nos confirme si el requerimiento se formula: a. en el marco de actuaciones de investigación iniciadas como consecuencia de una denuncia presentada por un afectado respecto de una conducta de una persona jurídica; o b. en el marco de actuaciones de investigación iniciadas como consecuencia de una denuncia presentada por un afectado respecto a la utilización de sistemas que permitan la divulgación sin restricciones de datos personales. En caso de que la investigación no se realice respecto de uno de los supuestos mencionados, y en cumplimiento de lo dispuesto por el artículo 52.3.
2. b)de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), le pedimos que por favor aporte una orden judicial que ampare el requerimiento de los datos relativos al usuario ***EMAIL.1” FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II Los hechos denunciados se concretan en que en la web buscadordetrabajo.es publican oferta de trabajo para empresa de Almería y que tras optar al mismo, desde la dirección ***EMAIL.1 le solicitan copia de su DNI; que enviada la copia correspondiente, le solicitan un selfie de su DNI con su cara, poniéndose en contacto con la página web donde ofertan el empleo y le contestan que han retirado el anuncio porque otro usuario se ha quejado de la misma circunstancia sosteniendo la posibilidad de que el anuncio sea una estafa para recabar datos y usarlos fraudulentamente. El reclamante ha aportado la copia tanto del correo electrónico del portal de empleo buscadordetrabajo.es con la oferta de trabajo, como los correos electrónicos intercambiados con ***EMAIL.1 En el presente caso, el reclamante con una diligencia razonable ha puesto en conocimiento de la Agencia unos hechos que pudieran ser constitutivos de infracción de la normativa de protección de datos dada posible ilicitud del tratamiento de datos personales puesto de manifiesto en la reclamación. Hay que señalar, que en el presente caso a pesar de los esfuerzos realizados por los servicios de inspección de este centro directivo en aclarar los términos de la reclamación planteada no han dado sus frutos, pues tanto las consultas realizadas, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 requerimientos solicitados y búsquedas efectuadas realizadas a través de otros cauces han sido infructuosas. En definitiva, pese a la investigación realizada por la Inspección de Datos de la AEPD no se ha logrado contactar con la/s persona/s responsable/s, ni identificar al responsable del tratamiento. En este orden de ideas debe tenerse en cuenta que en el ámbito administrativo sancionador son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. Esto, porque el ejercicio del ius puniendi, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido el Tribunal Constitucional, en Sentencia 76/1990, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. Como ha precisado el Tribunal Supremo en STS de 26 de octubre de 1998 la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” A la luz de lo expuesto se concluye que el principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención del presunto infractor. Trasladando los razonamientos precedentes al supuesto que nos ocupa, habida cuenta de que no se ha podido identificar al responsable, conducta que pudiera ser constitutiva de una infracción del RGPD, corresponde acordar el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a Dña. A.A.A. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
3. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es