E-03494-2020

1/3  Procedimiento Nº: E/03494/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes, HECHOS PRIMERO: Con fecha 17/02/20, tuvo entrada en esta Agencia escrito presentado por D. A.A.A., (en adelante, “el reclamante”), en los que indicaba, entre otras, lo siguiente: “El día 17 de Febrero de 2020 una persona del staff de la aplicación (bajo el nombre de B.B.B. y email ***EMAIL.1 ha mandado un email no solicitado a 419 personas distintas, incluyendo las direcciones de email en el campo "Para:" del email, tal y como se puede apreciar en los datos adjuntos a esta reclamación”. SEGUNDO: A tenor de la información preliminar de la que se dispone y al apreciarse indicios racionales de una posible vulneración de la normativa en materia de protección de datos, con fecha 02/04/20, la Directoria de Agencia Española de Protección de Datos, de acuerdo con el artículo 65 de la LOPDGDD, acordó admitir a trámite la denuncia presentada por la reclamante. QUINTO: Por parte de esta Agencia, al amparo de los poderes de investigación otorgados por el RGPD, se ha podido comprobar los siguientes aspectos respecto el envío del correo electrónico masivo: 1.- En el registro de dominios de Internet, el titular del registro del dominio “lemonade.social”, figura como residente en Delhi (INDIA). 2.- Examinadas las cabeceras del correo presentado por el reclamante, se comprueba que la persona que envió el correo utilizó el entorno “G Suite” de Google (“Google Workspace”), que permite enviar correos masivos mediante su servicio de bulk mail. Este servicio permite poner el dominio de la empresa como remitente, aunque el correo se envíe desde los servidores de Google. Es decir, esta persona se conectó al portal de G SUITE y desde dicho panel envió el correo masivo. Por este motivo no se ha podido determinar una dirección IP personal en el envío de este correo que hubiera permitido determinar la identidad del remitente. 3.- En la política de privacidad que constaba en su sitio web, en la que se aclaraba que su plataforma se gestionaba bajo las leyes de Estados Unidos, aparecían las siguientes direcciones de correo electrónico: legal@lemonadesocial.io support@lemonadesocial.io 4.- Ante la imposibilidad de dirigirse a estas direcciones de correo electrónico para obtener información, con fecha de 13 de abril de 2020 se envía requerimiento de información sobre las causas que han motivado la reclamación y si la entidad reclamada tiene sede dentro del Espacio Económico Europeo, a la dirección que aparece como remitente en el correo electrónico aportado por el reclamante, no recibiendo contestación alguna. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/3 5.- Al acceder al sitio web: https://lemonade.social, se comprueba que la política de privacidad ya no existe y que no aparece en ningún lugar del sitio web otra forma adicional de contacto, ni información sobre el titular del sitio. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (Reglamento General de Protección de Datos, en adelante RGPD) reconoce a cada Autoridad de Control y, según lo establecido en los artículos 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver estas actuaciones de investigación. II El Artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), establece, sobre las funciones y potestades de la Agencia Española de Protección de Datos que: “Corresponde a la AEPD supervisar la aplicación de esta ley orgánica y del Reglamento (UE) 2016/679 y, en particular, ejercer las funciones establecidas en el artículo 57 y las potestades previstas en el artículo 58 del mismo reglamento, en la presente ley orgánica y en sus disposiciones de desarrollo. Asimismo, corresponde a la Agencia Española de Protección de Datos el desempeño de las funciones y potestades que le atribuyan otras leyes o normas de Derecho de la Unión Europea.” El Art. 67 de la LOPDGDD, sobre las actuaciones previas de investigación, indica que: “

1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la AEPD podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales.
2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica. Por su parte, la Disposición adicional cuarta de la LOPDGDD determina, sobre el procedimiento en relación con las competencias atribuidas a la AEPD, por otras leyes, que: “Lo dispuesto en el Título VIII y en sus normas de desarrollo será de aplicación a los procedimientos que la Agencia Española de Protección de Datos hubiera de tramitar en ejercicio de las competencias que le fueran atribuidas por otras leyes.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/3 III En el presente caso se trata de determinar, a la vista del conjunto de elementos de juicios disponibles, las responsabilidades que pudieran derivarse del tratamiento de datos personales no consentidos por los responsables del dominio “lemonade.social”, así como la inexistencia de información sobre su política de privacidad. De las actuaciones practicas por esta Agencia se ha podido comprobar que, el dominio denunciado está registrado en un país fuera de la Unión Europea, en este caso, el titular del registro del dominio “lemonade.social”, figura como residente en Delhi (INDIA). Estos datos han sido obtenidos a través de la herramienta de Internet WHOIS. Por otra parte, se ha podido comprobar que, la política de privacidad del sitio web https://lemonade.social, no existe y no aparece en ningún lugar del sitio web otra forma adicional de contacto, ni información sobre el titular del sitio. A la vista de todo lo cual, al ser localizado el presunto responsable del dominio en un país fuera de la Unión Europea y la imposibilidad de dirigirse al registrador del servidor que le da soporte, se debe procederse al archivo de las presentes actuaciones. Por lo tanto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a de D. A.A.A., De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es