E-03256-2014

1/3 Expediente Nº: E/03256/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos en virtud del oficio remitido por el Juzgado de Instrucción nº 2 de Lugo y teniendo como base los siguientes HECHOS PRIMERO: En fecha 20 de mayo de 2014 tiene entrada en esta Agencia un escrito del Juzgado de Instrucción nº 2 de Lugo, al que se adjunta testimonio de una resolución dictada en fecha 23 de septiembre de 2013, “por si se pudiese haber incurrido en infracción de la Ley Orgánica 15/1999 de protección de datos de carácter personal por parte de la página web milanuncios.com”. En el documento aportado se acuerda el archivo de las actuaciones practicadas en relación con una denuncia presentada por una señora por la utilización de sus datos personales (número de teléfono) en un anuncio de la citada página sin su consentimiento. SEGUNDO: En fecha 12 de junio tiene entrada en la Agencia un nuevo escrito del Juzgado, por el que se da contestación a la solicitud de subsanación remitida por la Inspección de Datos el 26 de mayo. Entre la documentación aportada figura copia de la comunicación dirigida por la Policía a milanuncios.com en fecha 11 de julio de 2013, solicitando “supresión y datos” en relación con el anuncio denunciado. Figura asimismo copia impresa de la contestación remitida por el requerido al día siguiente, confirmando el borrado de dos anuncios y facilitando a la Policía información relativa a las direcciones IP asociadas a los anuncios. TERCERO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados. Por la Inspección de Datos se solicitó a MILANUNCIOS, S.L. información sobre el procedimiento que la compañía tenía habilitado, en las fechas referidas por el Juzgado, para la acreditación de la identidad de las personas que remiten anuncios para su publicación en www.milanuncios.com, así como sobre las verificaciones que fueron realizadas en relación con los anuncios referidos por el Juzgado. También se solicitó información sobre las mejoras que, en su caso, hubieran sido aplicadas al citado procedimiento con posterioridad a la citada fecha. La compañía realizó, mediante correo electrónico de 16 de julio de 2014, las siguientes manifestaciones: “Nunca hemos dispuesto de un sistema que nos permita identificar identidades de personas ya que no recogemos nombre completos o dni de los anunciantes. Sí registramos los datos necesarios para el uso del portal como por ejemplo el email, teléfono o ip. Actualmente en la sección de contactos verificamos que el email es correcto enviando un mensaje de confirmación pero no podemos precisar si este sistema ya estaba operativo en el momento de publicación del anuncio que investigan aunque creemos que muy probablemente ya estuviera operativo.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/3 FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), dispone en sus apartados 1 y 2 que el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público o bien que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento, siempre que los datos de que se trate sean necesarios para el mantenimiento o cumplimiento del contrato. Tal y como se exponía en la resolución del procedimiento PS/00219/2014, en el que por la Agencia se sancionó al autor de hechos similares a los expuestos en la denuncia referida por el Juzgado de Instrucción nº2 de Lugo, la compañía MILANUNCIOS, S.L. ya comunicó a esta Agencia el procedimiento general de control habilitado en relación con los anuncios que publican los usuarios en su portal. Así, en el marco de las actuaciones de inspección practicadas entonces, la compañía declaró, en escrito fechado el 31 de julio de 2013: “Para tratar de identificar la autenticidad de los datos y así evitar bromas y estafas, inicialmente creamos un sistema que por SMS comprobaba que el teléfono publicado era el correcto. Este método nunca fue efectivo por que los usuarios se saltaban la protección publicando el número de teléfono en el texto del anuncio intercalándolo entre letras o símbolos como es el caso que investigan en el que el teléfono se encuentra separados por puntos. Encima este sistema suponía un coste para el anunciante que va contra la filosofía de milanuncios. Por ello, buscamos otro método que fuera más efectivo y probamos la verificación de las cuentas de email. Este sistema resultó ser más efectivo y encima no tenía costes para el anunciante. La verificación de correo hace que los usuarios nuevos que quieran publicar un anuncio en contactos deberán primero hacer clic en un enlace que se envía a su email.” MILANUNCIOS, S.L. también declaró: “El usuario puede acceder y/o rectificar la mayoría de sus datos de carácter personal accediendo a los mismos a través del Portal. Para acceder o rectificar cualquier otro dato que no pueda consultarse a través de la página web, así como ejercitar los derechos de cancelación u oposición, el usuario puede comunicarse con info(arroba)milanuncios.com o a través de correo tradicional: Milanuncios, Apartado postal 29059 de Madrid. Milanuncios cancelará los datos de carácter personal cuando ya no se necesitan para los fines descritos anteriormente. La cancelación da lugar al bloqueo de los datos, conservándose únicamente aquéllos necesarios para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas.” En el presente caso, del análisis de la documentación aportada por el Juzgado y de las manifestaciones realizadas por MILANUNCIOS, S.L. en julio de 2014, que ratifican las efectuadas en julio de 2013, no se desprenden indicios de que, en relación con la referida denuncia, pudiera haber sido vulnerada, por parte del portal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/3 milanuncios.com, la normativa de protección de datos. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a MILANUNCIOS, S.L. y al Juzgado de Instrucción nº 2 de Lugo. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es