E-03699-2017

1/5 Expediente Nº: E/03699/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades AMAZON EU SARL, SUCURSAL EN ESPAÑA y AMAZON WEB SERVICES SPAIN, S.L., en virtud de denuncia presentada por Don B.B.B. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 10 de junio de 2017, tiene entrada en esta Agencia escrito de Don B.B.B. (en lo sucesivo el denunciante), ampliado con fecha 17 de junio de 2017, en los que expone que con fecha 10 de junio de 2017, al poner sus apellidos en el buscador de Google, constató que su “Curriculum Vitae”, (en adelante CV), estaba alojado en la dirección web Https:// ***WEB.1, de tal modo que cualquier tercero podía acceder a la información de carácter personal del mismo (datos identificativos, domicilio y experiencia laboral) contenida en el CV expuesto sin su consentimiento en dicha página web. El denunciante señala que ignora quien ha colgado dicha información, aunque afirma que se trata del mismo CV que hace unos meses envió a AMAZON EU SARL, SUCURSAL EN ESPAÑA, (en adelante AMAZON EU), para sendas ofertas de trabajo en España y Francia. El denunciante aporta la siguiente documentación: -Captura con una lista de resultados ofrecidos por el buscador Google, uno de los cuales es “B.B.B.-Amazon Web Services”, donde asociado a la URL Https:// ***WEB.1 se visualiza un nº de CV, el nombre y apellidos del denunciante, un domicilio y dos direcciones de correo electrónico. - Contenido del CV que, según indica, se corresponde con el descargado desde la página web que cita. - Contestaciones automáticas de AMAZON, de fecha 9 de febrero de 2017, acusando recibo de su CV para dos puestos, uno en Madrid y otro en Francia. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 13 de junio de 2017 se realizó una búsqueda en Google a raíz de la cual se verificó que continuaba saliendo el resultado citado por el denunciante, a través del cual se accedía a su CV. Con fecha 19 de febrero de 2018 se realizó una nueva búsqueda por el nombre y apellidos del denunciante en el buscador Google, verificándose que el resultado denunciado ya no se encuentra accesible. Con esa misma fecha se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 constata que si se introduce la URL Https:// ***WEB.1 en el navegador, se obtiene una respuesta XML con el mensaje "Access Denied" (acceso denegado). Efectuado requerimiento de información, AMAZON EU SARL SUCURSAL EN ESPAÑA comunica que dicha empresa no es responsable del tratamiento respecto de los datos personales contenidos en el CV ni se tiene conocimiento de ninguna brecha de seguridad que afecte a dicha información, ya que la URL que aparece en el resultado enviado junto a la solicitud de información no pertenece ni es gestionada por AMAZON EU. Afirman que la URL en cuestión está relacionada con AMAZON WEB SERVICES, INC, entidad domiciliada en EEUU que presta servicios TIC en la nube y gestiona el dominio ***WEB.1, y cuyo marco de actividades no está relacionado con las llevadas a cabo por AMAZON EU, puntualizando también que a fecha 20 de marzo de 2018 la URL no se encuentra activa, tal y como acredita el mensaje de error que aparece al intentar acceder al enlace y que se adjunta. Asimismo, AMAZON EU apunta que, examinando la URL que “supuestamente” daba acceso al PDF con el CV del denunciante, se observa que contiene la palabra "emprego", en relación con lo cual señalan que el CV podría haber sido expuesto en la mencionada dirección URL por la empresa portuguesa de selección de personal TYMR UNIPESSOAL LDA, que opera la web ***WEB.2. Efectuado requerimiento de información, AMAZON WEB SERVICES SPAIN S.L., responde que no dispone de la información solicitada relacionada con los hechos objeto de denuncia, remitiendo a AMAZON WEB SERVICES INC., en EEUU, como empresa que presta los servicios de “cloud-based IT infraestructure” a sus clientes a nivel mundial, y que trata los contenidos alojados por ellos en sus servidores. Remitido con fecha 16 de abril de 2018 requerimiento de información a AMAZON WEBSERVICES INC. en EEUU, a fecha 30 de mayo de 2018 no se tiene constancia de su recepción por dicha empresa. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 El artículo 10 de la LOPD establece que “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Dado el contenido del precepto, ha de entenderse que el mismo tiene como finalidad evitar que por parte de quienes están en contacto con los datos personales almacenados en ficheros se realicen filtraciones de los datos no consentidas por los titulares de los mismos. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30/11, contiene un “…instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos”. “Este derecho fundamental a la protección de los datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino” que impida que se produzcan situaciones atentatorias con la dignidad de la persona, “es decir, el poder de resguardar su vida privada de una publicidad no querida.” El deber de secreto profesional que incumbe a los responsables de los ficheros y a quienes intervienen en cualquier fase del tratamiento, recogido en el artículo 10 de la LOPD, comporta que el responsable de los datos almacenados o tratados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la protección de datos a que se refiere la citada Sentencia del Tribunal Constitucional 292/2000, y por lo que ahora interesa, comporta que los datos personales no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. IV En el presente caso, a la vista de la documentación presentada por el denunciante y de las comprobaciones efectuadas durante las actuaciones de inspección practicadas, consta acreditado que los datos de carácter personal del denunciante contenidos en el CV adjuntado a la denuncia se difundieron en abierto a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 través de la dirección web Https:// ***WEB.1, de tal forma que cualquier usuario de Internet que accediese a dicha URL o, en su caso, realizase una búsqueda con el nombre y apellidos del denunciante podía visualizar, sin restricción alguna, la información de carácter personal concerniente al denunciante que figuraba registrada en dicho documento, difusión que se produjo hasta que la reseñada URL pasó a estar inactiva y que podría constituir por parte del responsable del citado tratamiento una vulneración del deber de guardar secreto. Sentado lo anterior, conviene precisar que el resultado de dichas actuaciones no ha permitido obtener indicios de prueba de entidad suficiente como para poder determinar la identidad del responsable del citado tratamiento. Así, AMAZON EU, entidad denunciada por el afectado, ha negado que la dirección web en cuestión fuera gestionada por esa empresa, remitiendo a AMAZON WEB SERVICES INC, como empresa radicada en Estados Unidos que presta servicios de tecnologías de la información en la nube y gestiona el dominio ***WEB.1. Por su parte AMAZON WEB SERVICES SPAIN, S.L. ha indicado que no tiene acceso ni controla los datos o los contenidos almacenados en los servidores de AMAZON WEBSERVICES INC, como tampoco tiene acceso a la información ni gestiona recurso alguno en relación con las cuentas de clientes de dicha empresa. Por otra parte, tanto AMAZON EU como AMAZON WEB SERVICES SPAIN, S.L. advierten que la URL en cuestión incluye una referencia a “Emprego”, lo que podría remitir a la empresa portuguesa de selección de personal TYMR UNIPESSOAL LDA que es responsable del sitio web ***WEB.2. Precisamente, esta observación pone de manifiesto que teniendo en cuenta la naturaleza de los servicios proporcionados por AMAZON WEB SERVICES INC, podría darse la circunstancia de que dicho documento hubiera sido alojado en la reseñada dirección web por algún cliente de esa empresa que, habiendo tenido acceso al CV del denunciante, tuviera cuenta abierta o fuera consumidor de los servicios de “cloud” prestados por AMAZON WEB SERVICES INC, pudiendo haber ocurrido también que dicha difusión se originara en un fallo en la configuración de seguridad de los recursos colgados en la cuenta privada responsabilidad de alguno de esos clientes. En consecuencia, no ha sido posible identificar al responsable del tratamiento denunciado al no poder vincularse a ninguna de las entidades investigadas con la publicación del CV del denunciante en la citada dirección web. V Lo anteriormente expuesto, ha de conectarse con la vigencia en nuestro Derecho Administrativo sancionador del principio de presunción de inocencia reconocido en el artículo 24.2 de la Constitución Española, de modo que el ejercicio de la potestad sancionadora del Estado, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. El principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. El Tribunal Constitucional (SSTC 131/2003 y 242/2005, por todas) se ha pronunciado en ese sentido al indicar que una de las exigencias inherentes al derecho a la presunción de inocencia es que la sanción esté fundada en actos o medios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 probatorios de cargo o incriminadores de la conducta imputada y que recae sobre la Administración pública actuante la carga probatoria de la comisión del ilícito administrativo y de la participación en él del denunciado. Igualmente, se debe tener en cuenta lo que establece el artículo 53.2 la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, establece que: “Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables, tendrán los siguientes derechos: (…)
2. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. En atención a que de no existen elementos probatorios o indicios razonables que permitan determinar la responsabilidad de las dos empresas investigadas en los hechos denunciados, y teniendo en cuenta que se ha constatado que el CV del denunciante ya no se encuentra accesible a través del buscador Google ni tampoco se puede acceder al mismo navegando directamente a la URL del documento, procede acordar el archivo de las actuaciones de investigación practicadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a Don B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es