E-02920-2018

1/5 Expediente Nº: E/02920/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad DATA Protection Consulting GmbH en virtud de denuncia presentada por D.G. DE LA GUARDIA CIVIL - PUESTO DE LLÍRIA y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 28 de marzo de 2018, tuvo entrada en esta Agencia escrito de D.G. DE LA GUARDIA CIVIL - PUESTO DE LLÍRIA (*en lo sucesivo el denunciante) en el que denunciaba de manera sucinta lo siguiente: ““se encontró en una página Web ***URL.1 dónde se ofrece trabajo a menores de edad, dónde se observó que podía introducir su datos y curriculum para encontrar trabajo” “Que después de introducir todos sus datos observó que estos datos eran visibles a todo el que visitaba la Web sin recibir ningún tipo de aviso, no pudiendo retirar sus datos de dicha Web” “Tras observar los datos de esta página verifican que se encuentra alojada en Hessen - Frankfurt Am Main - Digitalocean AS14061 DIGITALOCEAN-ASN DigitalOcean, LLC, US, con ***IP.1 de la empresa DIGITAL OCEAN ALEMANIA, estando la misma localizada en Alemania pero la empresa tiene la sede con dirección AVD. AVE OF THE AMERICAS 10 TH FLOOR ***LOCALIDAD.1”. “Por estos hechos se solicita a la AEPD que actúe en el procedimiento administrativo correspondiente a la protección de datos de menores, siendo necesario el bloqueo de dicha página, además de solicitar a los buscadores que dejen de referenciar la misma y los datos que en ella consten de menores de edad” (folio nº 1). SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos en relación a Data Protection Consulting GmbH con domicilio en ***DIRECCION.1 (Alemania). En fecha 02-01-2019 se obtiene impresión de la política de privacidad publicada en http://***URL.1/, verificando que no informa de los aspectos detallados en el artículo 13 del RGPD, figurando detalle de un responsable de protección de datos : A.A.A., dp.institute Data Protection Consulting GmbH, Kaiserplatz 2,--80803-München, Alemania, Correo electrónico: ***EMAIL.1. Se requiere información al supuesto responsable de protección de datos de la citada web obteniendo respuesta en fecha 27 de enero de 2019 en la que indican que ni son propietarios de la web ***URL.1, ni recogen datos personales a través de dicho dominio. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 En fecha 01/03/2019 se obtiene impresión de la nueva política de privacidad verificando que han eliminado la referencia al responsable de protección de datos. Se consulta en fecha 01/032019 el contenido de la página, verificando que ya no recaba datos personales, ni muestra datos personales al hacer una búsqueda de anuncios, limitándose a redirigir a otras webs (infojobs, ...) donde sí están publicados anuncios y ofertas. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el apartado 2 del artículo 56 en relación con el apartado 1

1. f)del artículo 57, ambos del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); y en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). II En el presente caso, se procede a examinar la reclamación trasladada por la Dirección General de la Guardia Civil de fecha 28/03/18 dónde traslada como hecho principal el siguiente: “se encontró en una página Web ***URL.1 dónde se ofrece trabajo a menores de edad, dónde se observó que podía introducir su datos y curriculum para encontrar trabajo” “Que después de introducir todos sus datos observó que estos datos eran visibles a todo el que visitaba la Web sin recibir ningún tipo de aviso, no pudiendo retirar sus datos de dicha Web” (folio nº 1). Los hechos descritos pueden suponer una afectación al contenido del artículo 12 RGPD, relativo al derecho de información al titular de los datos. “El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios”. Con la entrada en vigor el RGPD (25/05/18) se añaden requisitos adicionales en cuanto a la necesidad de informar a las personas interesadas, generalizando el concepto de “Tratamiento”, e incorporando, en líneas generales, los siguientes detalles: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5       Los datos de contacto del Delegado de Protección de Datos, en su caso, La base jurídica o legitimación para el tratamiento, El plazo o los criterios de conservación de la información, La existencia de decisiones automatizadas o elaboración de perfiles, La previsión de transferencias a Terceros Países El derecho a presentar una reclamación ante las Autoridades de Control Y además, en el caso de que los datos no se obtengan del propio interesado:  El origen de los datos  Las categorías de los datos Cabe indicar que la página web ***URL.1 se encuentra alojada en Alemania en Hessen - Frankfurt Am Main - Digitalocean AS14061 – Digital Ocean, LLC, US, con ***IP.1 de la empresa DIGITAL OCEAN ALEMANIA. Por parte de este organismo, en fecha 01/03/19 se realiza Diligencia de Inspección, dónde se obtiene la siguiente información de la página web ***URL.1. Analizada la página en cuestión se constata que no existe a día de la fecha formulario (
2. s)alguno para obtener los datos de los adolescentes. A mayor abundamiento, este organismo realiza las gestiones necesarias para ponerse en contacto con el principal responsable de la citada web—A.A.A. DP. Institute—en fecha 02/01/19. Procediendo a contestar en inglés al requerimiento de este organismo en fecha 27/01/19 “Unfortunately I have to inform you that dp. Institute Data protection Consulting GmbH is neither the owner of the aboventioned domain/website nor are we collecting personal data via that domain/website”. "Lamentablemente tengo que informarles que dp. Institute Data protection Consulting GmbH no es ni el propietario del dominio/sitio web mencionado ni recopilamos datos personales a través de ese dominio / sitio web”. En fecha 01/03/19 se obtiene impresión de pantalla de la nueva Política de Privacidad verificando que han eliminado la referencia al responsable de protección de Datos. Asimismo, se muestra en la misma el siguiente mensaje en negrita “No somos el propietario del dominio y NO somos responsables de los anuncios de este sitio”. III De acuerdo con lo expuesto, cabe indicar que en la página web denunciada –***URL.1 —se podían introducir voluntariamente datos personales con una finalidad concreta: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 obtención de un puesto de trabajo remunerado; si bien la misma no se adecuaba a los requisitos exigidos por la normativa en materia de protección de datos, al no disponer de un mecanismo sencillo de cancelación de los mismos, producir un tratamiento de éstos sin cumplir con las garantías exigibles al derecho de información y poder ser fácilmente visibles por terceros usuarios, que visitaban la página en cuestión. Tras las indagaciones oportunas, la página en cuestión ha modificado los aspectos objeto de denuncia, de manera que no recoge dato personal alguno, ni muestra en abierto dato de tercero que acceda a la misma. Por parte del presunto responsable de la página denunciada, se indica que no tienen relación con la misma y que no han procedido a la creación de base de datos alguna, con la finalidad de tratar datos personales de terceros (as). El artículo 89 de la Ley 39/2015 (1 octubre) -LPAC- dispone lo siguiente: ”El órgano instructor resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, cuando en la instrucción procedimiento se ponga de manifiesto que concurre alguna de las siguientes circunstancias:
3. b)Cuando los hechos no resulten acreditados (…)” De manera que en relación a la petición del Instituto armado (DG Guardia Civil) de que por parte de este organismo se procediera a ordenar como medida correctora el bloqueo de la página en cuestión, no se observa que por la misma se estén produciendo a día de la fecha las conductas ilícitas en su momento denunciada, bien por que las haya corregido, bien por que no se trate del responsable de las mismas. Lo anterior no impide que, por parte de este organismo, se informe en legal forma a la Autoridad Alemana de Control, a los efectos legales oportunos y para que tengan conocimiento del caso en cuestión. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a la parte denunciante-- D.G. DE LA GUARDIA CIVIL - PUESTO DE LLÍRIA--. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es