1/6 Expediente Nº: E/04208/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante 1&1 INTERNET ESPAÑA, S.L.U. en virtud de denuncia presentada por doña A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: En escrito de fecha de entrada en esta Agencia de 17 de junio de 2015, doña A.A.A. denuncia a la compañía 1&1 Internet España, S.L.U., a la que contrató el registro de un dominio .com, como responsable de que sus datos hayan sido publicados en internet. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Por la Inspección de Datos se verificó el 29 de julio de 2015 que en el sitio web https://whoisology.com, al que expresamente se refiere la denunciante, figuraban publicados su nombre y primer apellido, junto a su domicilio y dirección de correo electrónico, vinculados a un dominio de internet, en calidad de contacto administrativo. 2. Se ha verificado que en el sitio web del agente registrador denunciado figura un documento de política de privacidad, cuyo contenido es aceptado por los titulares en el momento de solicitar la titularidad de un dominio, en el que se hace referencia a la difusión pública, con carácter general, de los datos administrativos de los registrantes de los dominios de internet, de acuerdo con las normas internacionales que regulan la asignación de los nombres. Así, el apartado titulado Cesión de información, cuyo contenido es aceptado por los usuarios, reza: “Alguna información de los clientes será facilitada a Whois así como a registros nacionales e internacionales de datos una vez se haya registrado un nombre de dominio. Se puede tener acceso a estas bases de datos desde cualquier parte del mundo. Por ejemplo, para el registro de un dominio .es algunos datos de carácter personal tienen que facilitarse a la Entidad Pública Empresarial Red.es. Igualmente esta información puede consultarse desde cualquier parte del mundo y es pública desde la dirección https://www.nic.es.” 3. En respuesta a la solicitud de información de la Inspección de Datos, 1&1 INTERNET ESPAÑA, S.L. ha declarado que es un agente registrador que actúa como intermediario entre el solicitante de un dominio y los registros oficiales de los distintos nombres de dominio y que no facilita los nombre de dominio a ninguna base de datos whois. A este respecto, ha aclarado que son las oficinas de registro de nombres de dominio las que hacen públicos los datos de los registrantes de los dominios y que esta información es la que se ofrece a los clientes que, en su caso, se opongan a que sus datos estén publicados en las bases de datos whois. 4. En fecha 16 de marzo se ha realizado una nueva búsqueda en internet, no obteniéndose constancia de que los datos de la afectada figuren actualmente publicados y vinculados al citado dominio. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 11 de la LOPD prevé: “1. Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado. 2. El consentimiento exigido en el apartado anterior no será preciso:
- a)Cuando la cesión está autorizada en una ley.
- b)Cuando se trate de datos recogidos de fuentes accesibles al público.
- c)Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique.
- d)Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los Jueces o Tribunales o el Tribunal de Cuentas, en el ejercicio de las funciones que tiene atribuidas. Tampoco será preciso el consentimiento cuando la comunicación tenga como destinatario a instituciones autonómicas con funciones análogas al Defensor del Pueblo o al Tribunal de Cuentas.
- e)Cuando la cesión se produzca entre Administraciones públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
- f)Cuando la cesión de datos de carácter personal relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar los estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica. 3. Será nulo el consentimiento para la comunicación de los datos de carácter personal a un tercero, cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquel a quien se pretenden comunicar. 4. El consentimiento para la comunicación de los datos de carácter personal tiene también un carácter de revocable. 5. Aquel a quien se comuniquen los datos de carácter personal se obliga, por el solo hecho de la comunicación, a la observancia de las disposiciones de la presente Ley. 6. Si la comunicación se efectúa previo procedimiento de disociación, no será aplicable lo establecido en los apartados anteriores.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 III En relación con la aplicación de los principios de protección de datos a los directorios Whois, en el año 2003 el Grupo de Autoridades Europeas de protección de datos (GT29) expresó su criterio a través del Dictamen 2/2003, en el que se alude a la evolución que han experimentado las finalidades de estos directorios con el tiempo. Según se indica en el Dictamen, los datos “se hacían públicos en un principio para que los que explotan redes pudieran ponerse en contacto con el responsable técnico de otra red, de otro dominio, en caso de problemas”, pero en la actualidad la configuración de dichos directorios tiende a asimilarse a la de los repertorios telefónicos, pero careciendo de las garantías establecidas por el derecho interno o comunitario para estas guías. Ello exige extremar las garantías tendentes a asegurar que en dichos directorios se incluyan únicamente los datos que resulten necesarios para el cumplimiento de su finalidad o al menos se garantice el derecho de los interesados a no incluir en dichos directorios más datos de los necesarios para el cumplimiento de aquélla, de forma que, en caso de que sea posible, se establezcan mecanismos que permitan garantizar la mayor confidencialidad de los datos de los solicitantes de un nombre de dominio, sin que los mismos consten en un directorio público. En relación con esta cuestión, el GT29 exponía: “La letra
- c)del apartado 1 del artículo 6 de la Directiva impone claras restricciones a la recogida y el tratamiento de datos personales, al establecer que los datos deben ser adecuados, pertinentes y no excesivos con relación a los fines para los que se recaben. Por este motivo, es esencial limitar la cantidad de datos personales que se recojan y traten, especialmente al debatir los deseos de algunas partes de aumentar la uniformidad de los diversos directorios Whois. Los aspectos jurídicos que se plantean cuando son los particulares los que registran nombres de dominio no son los mismos que cuando son las empresas u otras personas jurídicas las que lo hacen: - En el primer caso, la publicación de determinada información sobre la empresa u organización (como su identificación y su ubicación física) constituye a menudo un requisito legal en el marco de las actividades comerciales o profesionales que realizan. No obstante, hay que señalar que, al igual que en el caso de las empresas u organizaciones que registran nombres de dominio, los particulares no pueden ser obligados a publicar sus nombres como punto de contacto, en virtud del derecho de oposición. - En el segundo caso, si un particular registra un nombre de dominio, la situación es diferente y, aunque evidentemente la identidad y la información de contacto deben comunicarse al proveedor de servicios, no existe fundamento jurídico que justifique la publicación obligatoria de los datos personales relativos a esa persona. La publicación de datos personales de particulares, por ejemplo su dirección y número de teléfono, entraría en conflicto con su derecho a decidir si sus datos personales figuran en una guía pública y en su caso cuáles de ellos. La finalidad original de los directorios Whois puede no obstante respetarse igualmente si el proveedor de servicios de Internet conoce los datos de la persona y puede ponerse en contacto con ella en caso de problemas relacionados con el sitio.” En el Dictamen 2/2003 se indicaba finalmente: “A la luz del principio de proporcionalidad, es necesario buscar métodos menos intrusivos que sigan cumpliendo la finalidad de los directorios Whois sin poner todos los datos directamente a disposición C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 de todo el mundo en línea. Como ya se ha mencionado en la introducción, los proveedores de servicios de Internet pueden desempeñar, y de hecho están desempeñando, en algunos países un importante papel en esta cuestión. En cualquier caso, deberían desarrollarse filtros para garantizar la limitación de finalidad en las interfaces para acceder a los directorios.” IV La Corporación de Internet para la Asignación de Nombres y Números (ICANN) es la organización internacional independiente que, entre otras funciones, gestiona el sistema de dominios de internet. En la versión española del sitio web http://whois.icann.org se expone en la actualidad: << Conforme a su Afirmación de Compromisos, la ICANN debe "implementar medidas para mantener el acceso puntual, irrestricto y público a datos de WHOIS precisos y completos...". El servicio de WHOIS es un directorio gratuito y de acceso público que contiene información técnica y de contacto de los titulares de nombres de dominio registrados (los “registratarios”). Toda persona que desee saber quién está detrás del nombre de dominio de un sitio web puede solicitar esa información mediante WHOIS. Los registradores y registros se encargan de recopilar y poner esos datos a disposición del público de conformidad con los términos de los acuerdos que hayan celebrado con la ICANN. WHOIS no es una base de datos única con gestión centralizada. Por el contrario, los datos de registración se guardan en distintas ubicaciones y son administrados por múltiples registros y registradores. Ellos se encargan de establecer sus propias pautas para el servicio de WHOIS, en consonancia con los requisitos mínimos establecidos en sus contratos con la ICANN.>> En el apartado de requisitos de WHOIS se indica: << Toda persona que desee registrar un nombre de dominio debe proporcionar información técnica y de contacto que figurará en la base de datos de WHOIS; en efecto, los datos de WHOIS son parte de la información que se debe presentar al momento de la registración. A su vez, los acuerdos entre la ICANN y los registradores establecen que los registradores posibiliten el acceso público a los datos de los nombres registrados. [..] Los registradores y registros tienen la obligación de proveer acceso a los datos de WHOIS mediante servicios de publicación de datos de registración. Esta información debe estar accesible al público en un formato específico y en un “puerto” designado, reservado para el intercambio de datos de WHOIS (puerto 43), así como en una página web interactiva. […] Los datos deben incluir información de identificación, técnica y de contacto específica. En la actualidad, las consultas al sistema de WHOIS en la Web pueden efectuarse mediante los sitios web de los registradores y registros acreditados por la ICANN, de la mayoría de los registros regionales de Internet y de proveedores […] que brindan el servicio de WHOIS a sus clientes. […] Los registradores deben notificar a todo titular de un nuevo nombre registrado, o que efectúe la renovación de un nombre registrado, acerca de la finalidad de los datos personales recabados. Asimismo, el registratario debe prestar su consentimiento para el procesamiento de los datos. Tanto los registradores como los registros deben cumplir con las leyes aplicables y las normativas gubernamentales sobre la recolección, divulgación y distribución de datos personales mediante el sistema de WHOIS. Si un registrador o un registro tuviesen un conflicto con las leyes locales, la ICANN cuenta con procedimientos vigentes para la evaluación y consideración de tales situaciones.>> Respecto de los usos de los datos publicados, se indica: <<Los operadores de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Internet usan WHOIS para identificar personas o entidades responsables del funcionamiento de una red en Internet. Con el transcurso del tiempo, WHOIS ha evolucionado para satisfacer las necesidades de múltiples partes interesadas, como registratarios, organismos encargados del cumplimiento de la ley, titulares de propiedad intelectual y marcas comerciales, empresas y usuarios individuales.>> En el sitio web se aclara: <<El servicio de WHOIS se usa con muchos fines legítimos. Conforme a los acuerdos de la ICANN, el servicio de WHOIS puede utilizarse para toda finalidad legítima, excepto para permitir acciones de comercialización o envío de correos electrónicos no deseados, ni para permitir procesos masivos automatizados de consultas a los sistemas de registradores o registros, salvo para gestionar nombres de dominio. Además de identificar a los titulares de nombres de dominio, los datos de WHOIS permiten que los administradores de redes y demás personas localicen y solucionen problemas, y mantengan la estabilidad de Internet. Mediante el servicio de WHOIS, se puede determinar la disponibilidad de nombres de dominio, combatir el correo electrónico no deseado y el fraude, detectar la infracción en materia de marcas comerciales, y mejorar la responsabilidad de los registratarios de nombres de dominio. Por ejemplo, a veces los datos WHOIS se utilizan para rastrear e identificar registratarios que podrían estar publicando contenido ilegal o participando en el envío de mensajes de correo electrónico fraudulento. Estos son solamente algunos ejemplos de cómo el servicio de WHOIS nos ayuda a mantener un ecosistema de Internet saludable.>> ICANN incluye en su sitio web un apartado específico sobre cuestiones de privacidad: << En ocasiones, en los resultados de una búsqueda quizás no se muestre ningún dato de contacto del operador de un nombre de dominio, sino que se indica información suministrada mediante un servicio de privacidad y representación. Algunos registros y registradores ofrecen servicios de privacidad o representación que muestran únicamente la información de contacto del servicio, para proteger a los registratarios que no desean que sus datos personales figuren en la base de datos. Su anonimato no está garantizado, ya que es probable que los registradores deban cumplir con requisitos legales y dar a conocer la verdadera identidad del registratario. De igual modo, los registros o registradores en países donde la ley prohíbe la recolección y publicación de datos personales no están obligados a infringir dicha normativa legal para cumplir con los requisitos del sistema de WHOIS. Pueden presentar una solicitud de exención del sistema de WHOIS ante la ICANN.>> Respecto de estos “servicios de privacidad y representación” se exponen dos categorías generales: • El servicio de privacidad, mediante el cual se publican datos de contacto alternativos y confiables en el sistema de WHOIS, como un domicilio o número telefónico, pero se mantiene el registratario como usuario beneficiario del nombre de dominio. • El servicio de representación (proxy), cuyo proveedor registra el nombre de dominio y le otorga una licencia de uso a su cliente. Se publica la información de contacto del proveedor del servicio en lugar de la información de contacto del cliente. El proveedor del servicio de representación (proxy) tiene la responsabilidad de proveer información de contacto exacta y adecuada para facilitar la resolución oportuna de todo problema que pudiera surgir en relación al nombre de dominio. El proveedor del servicio de representación (proxy) acepta la responsabilidad por el daño causado por el uso indebido del nombre de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 dominio, salvo que divulgue la identidad del licenciatario a la parte que presente pruebas razonables de daño pasible de acción legal. Según se indica en el sitio web de ICANN: <<Los servicios de privacidad y representación (proxy) que los registradores ofrecen a sus afiliados están sujetos a mayores obligaciones. Estos servicios de privacidad y representación (proxy) deben dar a conocer sus condiciones de servicio, publicar un punto de contacto para instancias de uso indebido y cumplir con obligaciones en materia de custodia de datos.>> En el presente caso, no se ha hallado constancia de ningún incumplimiento de la normativa de protección de datos por parte del agente registrador denunciado. En relación con la privacidad de los datos de las personas físicas vinculadas con dominios de internet, estas pueden, según lo anteriormente expuesto, hacer uso de los servicios descritos en el sitio web de ICANN, a través de las oficinas de registro y agentes registradores que específicamente ofrezcan estos servicios. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a 1&1 INTERNET ESPAÑA, S.L.U. y a doña A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es