← España

E-03479-2019

1/9  Procedimiento Nº: E/03479/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, el reclamante) tiene entrada con fecha 15 de enero de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra la entidad MOOVIT APP GLOBAL LTD., con NIF B88007919 (en adelante, la reclamada). Los motivos en que basa la reclamación son que haciendo una búsqueda por su nombre y primer apellido en el enlace ***URL.1 , aparece su dirección exacta y pese a haber contactado con la reclamada pero que a pesar de su contestación, la información sigue presente en su web. Junto a la reclamación aporta copia de las conversaciones con la reclamada por correo electrónico entre los días 8 de noviembre de 2018 y 14 de enero de 2019, en las cuales se manifiesta, entre otros aspectos: o Con fecha 8 de noviembre de 2018, el reclamante manifiesta que buscando en Google por su nombre y primer apellido aparece la opción de llegar a su casa en el enlace ***URL.1 . En el mismo correo, el reclamante solicita una explicación y que se eliminen esos datos. o Con fecha 13 de noviembre de 2018 la reclamada contesta que seguramente se deba a que se ha registrado en algún momento en FOURSQUARE o OSM y que tiene que buscar un enlace en esos servicios y enviarles ese enlace. Con eso ya podrán eliminar sus datos. o Con fecha 13 de noviembre de 2018 el reclamante manifiesta tener una cuenta en OSM pero que no tiene ningún dato personal más allá de un correo. El reclamante reitera su petición de que borren sus datos a la mayor brevedad. o Con fecha 18 de noviembre de 2018 la reclamada solicita al reclamante que entre con su cuenta en OSM y que le envíe el enlace al entrar o Con fecha 19 de noviembre de 2018 el reclamante envía el enlace de su perfil de OSM indicando que no hay ninguna información personal en ese enlace más allá del nombre del perfil. o Con fecha 11 de enero de 2019 el reclamante insiste en su petición de que elimi nen su información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 o Con fecha 14 de enero de 2019 la reclamada contesta con un formulario que debe rellenar el reclamante para que puedan eliminar sus datos. o Con fecha 14 de enero de 2019 el reclamante manifiesta no ver ningún formulario pero que no va a proporcionar más datos personales. o Con fecha 14 de enero de 2019 la reclamada manifiesta haber enviado el formulario al correo electrónico del denunciante y además envía un enlace de internet donde, según manifiesta, se encuentra el formulario. En ese mismo correo la reclamada manifiesta haber borrado el nombre del reclamante del mapa y que seguramente al día siguiente ya deje de verse en la aplicación. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos:  Con fecha 15 de febrero de 2019, se inicia una petición art.

  1. en IMI con nº XXXXX con el propósito de determinar la autoridad de control principal en el contexto europeo y dentro de las actuaciones con referencia E/01769/
  2. No se ha determinado la autoridad de control principal y el caso pasa a tratarse como local.  Con fecha 27 de marzo de 2019 se inician las presentes actuaciones.  Con fecha 8 de abril de 2019, se remite correo electrónico a la reclamada.  Con fecha 16 de abril de 2019 la reclamada contesta a esta Agencia por correo electrónico indicando que la página ya no está disponible y que han eliminado todos los datos.  Con fecha 16 de abril de 2019 se comprueba que la reclamada ha borrado la página web accesible a través de la url facilitada por el denunciante.  Con fecha 10 de mayo de 2019, se remite correo electrónico a la reclamada.  Con fecha 23 de mayo de 2019, la reclamada contesta a esta Agencia en lengua inglesa por correo electrónico con, entre otra, la siguiente información según su traducción no oficial: Manifiesta que la petición recibida en el correo soporte@moovitapp.com por el denunciante fue atendida en tiempo y que los datos referidos al denunciante fueron borrados tras la petición recibida. Manifiesta que tras realizar una investigación interna, descubrieron que los datos del denunciado fueron inadvertidamente obtenidos por la reclamada como parte de un conjunto mucho mayor de datos (incluyendo millones de puntos de datos) de puntos geográficos de interés hechos públicos (POIs) desde Who’s on First (WOF) www.whosonfirst.org . Manifiesta que ni WOF ni sus contribuidores distinguen entre POIs públicos o privados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 Manifiesta que WOF es un proyecto abierto, tal y como se explicita claramente bajo sus licencias de datos admitidas, y que permite la contribución de datos abiertos solamente bajo la licencia Creative Commons la cual permite usos comerciales y usos derivados. Por tanto todos los POIs publicados en WOF deben publicarse como datos abiertos disponibles para el público. Manifiesta que la expectativa razonable tanto de los contribuidores de WOF como de los usuarios de WOF (como es el caso de la reclamada) es que los POIs serán puestos a disposición sin restricciones. Manifiesta que si bien no es la intención de la reclamada el obtener datos personales a través de la información proporcionada por WOF (POIs), no es razonablemente factible para la reclamada identificar o extraer detalles específicos de los volcados de datos de WOF. Más aún, ser puede razonablemente esperar, basado en la documentación de WOF y en sus usos previstos, que la información publicada en WOF puede ser usada tal cual por el público. Manifiesta que al poder contener cualquier POI información personal, el uso de esa información personal por la reclamada, en su caso, se basa en un interés legítimo en proporcionar servicios de navegación de transporte público y servicios de información a través de la aplicación web de la reclamada y de servicios online. Se aporta carta original en inglés remitida a esta Agencia.  Con fecha de 11 de septiembre de 2019 se comprueba la Política de Privacidad de MOOVIT que contiene, entre otra, la siguiente información: “Third Parties We may also collect personal information concerning you, from third parties who have assured us that they have obtained your consent for such provision of information or that you have freely and publicly provided. For example, we may collect and use demographic and Other information that is publicly available in an applicable jurisdiction, additional contact information, credit check information, and information from credit bureaus, as allowed by applicable national laws.” “YOUR RIGHTS REGARDING YOUR PERSONAL INFORMATION If you are an EU, EEA or Switzerland person and to the extent entitled under applicable law of your jurisdiction, you may contact us to exercise your right to access personal information, to request us to make corrections to your personal information that you have stored with us, to object to any form of processing, or to have such personal information deleted or exported in a portable copy. For this, please send us an e-mail to privacy@moovit.com (mailto:privacy@moovit.com), or mail your request to the EU representative with a copy to Moovit App Global Ltd., 2 llan Ramon St., Ness Ziona, Israel” “CONTACT US; DATA PROTECTION OFFICER; EU REPRESENTATIVE If you have any questions about this Privacy Notice or Moovit's privacy practices, please contact us at priyacy@moovit.com (mailto:privacy@moovit.com) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 Moovit has appointed a Data Protection Officer, for monitoring and advising on its ongoing privacy compliance and serving as a point of contact on privacy matters for data subjects and supervisory authorities. To contact the Data Protection Officer, in addition to emailing privacy@moovit.com please also contact dpo@moovit.com (mailto:dpo@moovit.com). EU Residents: Moovit App Global B.V., Moovit subsidiary in the Netherland has been appointed as Moovit's representative in the European Union for data protection matters, pursuant to Article 27 of the General Data Protection Regulation of the European Union. Moovit App Global B.V. can be contacted by emailing eu_privacy@moovit.com on matters related to the processing of personal data of EU residents.”  Con fecha de 11 de septiembre de 2019 se comprueba que al buscar por el nombre y primer apellido del denunciante en el buscador Google, aparece un resultado asociado al dominio moovitapp.com el cual no corresponde con la url facilitada por el reclamante. Según el contenido al que dirige este resultado, se trata de la ubicación de la empresa SERVICIOS Y EXPLOTACIONES MARTIN, S.A. en Barakaldo. Dentro del apartado “Atracciones cercanas a SERVICIOS Y EXPLOTACIONES MARTIN, S.A. en Barakaldo” aparece, entre otros, el nombre y apellidos del reclamante.  Con fecha de 12 de septiembre de 2019 se comprueba:
  3. Que en la web spelunker.whosonfirst.org aparece una ubicación del reclamante buscado por su nombre y primer apellido.
  4. Que no consta, en la página web www.whosonfirst.org , la identificación del responsable de la misma.
  5. Que tras consulta del dominio whosonfirst.org en servicio whois http://whois.domaintools.com/ aparece como registrador a AMAZON REGISTRAR, INC. y la ubicación del responsable del dominio es Estados Unidos.
  6. Que en la licencia de datos https://www.whosonfirst.org/docs/licenses/ se manifiesta: ubicada en “Because Who's On First is liberally licensed open data, we must be selective about adding new data. We either need to find a new source that is open data with a CC-BY (https://creativecommons.org/licenses/by/4.0/) or CC-O (https://creativecommons.org/share-your-work/public-domain/cc0/) license that allows commercial and derivative works or create new shapes based on local knowledge and by cross-referencing multiple sources.”
  7. Que en el aviso de privacidad sobre los servicios web de Amazon se manifiesta que: “Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L1855 Luxemburgo, es el responsable del tratamiento de datos en relación con la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 información personal recopilada o tratada a través de Ofertas de AWS. Amazon Web Services EMEA SARL, es el representante autorizado de Amazon Web Services, Inc. en el EEE”  Con fecha 19 de septiembre de 2019 se solicita colaboración A61VM nº 78586 en IMI a la Autoridad Supervisora de Luxemburgo con el propósito de recabar, de Amazon Web Services EMEA SARL, información acerca del propietario de las páginas web www.whosonfirst.org y https://spelunker.whosonfirst.org . No se ha recibido contestación por parte de la Autoridad Supervisora de Luxemburgo. TERCERO: Con fecha 27 de marzo de 2019, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de estas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del RGPD, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 III En el presente caso, se considera la vulneración de los artículos 17 y 32 del RGPD en relación con el derecho a la supresión de los datos personales (derecho al olvido), así como el de seguridad en el tratamiento de estos. En este sentido, hay que señalar que el artículo 17 del RGPD, establece lo siguiente: “
  8. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes: a) los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo; 4.5.2016 L 119/43 Diario Oficial de la Unión Europea ES b) el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico; c) el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2; d) los datos personales hayan sido tratados ilícitamente; e) los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento; f) los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado
  9. 2.Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3.Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario: a) para ejercer el derecho a la libertad de expresión e información; b) para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 c) por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras h) e i), y apartado 3; d) con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o e) para la formulación, el ejercicio o la defensa de reclamaciones.” Por su parte el artículo 32 del RGPD señala que: “
  10. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: a) la seudonimización y el cifrado de datos personales; b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2.Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3.La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4.El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros.” IV En el presente caso, la reclamación presentada manifiesta la posible vulneración de los artículos 17 y 32 del RGPD antes mencionados, ya que haciendo una búsqueda con el nombre y primer apellido del reclamante aparece su dirección exacta, en el enlace de la página web de la entidad reclamada ***URL.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 A través de las actuaciones de investigación de esta Agencia se ha constatado que los datos del reclamante fueron obtenidos por la reclamada como parte de un conjunto mucho mayor de datos (incluyendo millones de puntos de datos) de puntos geográficos de interés hechos públicos (POIs) desde Who’s on First (WOF) www.whosonfirst.org . En este sentido hay que señalar que las actuaciones de investigación indican que ni WOF ni sus contribuidores distinguen entre puntos geográficos de interés hechos públicos o privados y que WOF es un proyecto abierto, tal y como se explicita claramente bajo sus licencias de datos admitidas, que permite la contribución de datos abiertos solamente bajo la licencia Creative Commons la cual permite usos comerciales y usos derivados. Por tanto todos los puntos geográficos de interés hechos públicos publicados en WOF deben publicarse como datos abiertos disponibles para el público, de modo que la expectativa razonable tanto de los contribuidores de WOF como de los usuarios de WOF (como es el caso de la reclamada) es que todos los puntos geográficos de interés hechos públicos publicados serán puestos a disposición sin restricciones. En relación a la entidad reclamada, señalar que a través de las actuaciones de investigación realizadas por esta Agencia, se ha tenido conocimiento de que la petición remitida al correo de la reclamada soporte@moovitapp.com por el reclamante solicitando la cancelación de sus datos, fue atendida en tiempo y que los datos referidos al reclamante fueron borrados tras la petición recibida. Por lo tanto, se ha acreditado que la actuación de la reclamada como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores en relación con la supresión de los datos. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.