1/7 Expediente Nº: E/04297/2016 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos en virtud de denuncia presentada por la ESCUELA DE GUERRA DEL EJERCITO DE TIERRA y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 12 de julio de 2016 tiene entrada en esta Agencia un escrito del General de Brigada del Cuerpo General del Ejército, Director de la ESCUELA DE GUERRA DEL EJERCITO DE TIERRA, (en lo sucesivo el/la denunciante), poniendo de manifiesto que : “La Escuela de Guerra del Ejército de Tierra dispone de un programa para la realización de exámenes de idiomas. Dicho programa se encuentra en el servidor del Centro y en otras unidades del Ejército de Tierra. Alguien, cuya identidad no ha sido posible identificar, copió el programa y lo "subió" a la página de software libre ****, en febrero del año 2014. Al hacerlo, incluyó 7 archivos con nombres, empleos y DNIs de personal militar (varios de ellos con errores). Una vez detectada esta situación (en el mes de abril de este año) se han realizado las siguientes acciones: Con fecha 28 de abril, se remitió una carta al administrador de la página web (***EMAIL.1) solicitando el borrado de los datos personales. No se recibió respuesta. Con fecha 10 de mayo, se remitió un correo electrónico a la dirección de contacto de la citada página. Con fecha 10 de mayo, se remitió un correo electrónico a la dirección que figura en github como la originaria de haber enviado los datos (***EMAIL.2). No se recibió respuesta. Con fecha 11 de mayo, se recibe respuesta de github solicitando las direcciones exactas de los ficheros con datos personales. Con fecha 12 de mayo, se le remiten los enlaces solicitados en el mensaje anterior. - Con fecha 17 de mayo, github contesta que investigarán el tema. También con fecha 17 de mayo, se insiste en la dirección de correo ***EMAIL.2 sobre la conveniencia de ponerse en contacto con nosotros para eliminar los datos de carácter personal. De esta dirección de e-mail nunca se ha recibido respuesta alguna. A día de hoy, todavía no se han eliminado los datos de la página, ni se han recibido más correos. Se han dado instrucciones a todos los usuarios del programa para que no se repitan situaciones similares.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 Los ficheros con datos de carácter personal son: ***WEB.1: - ***ARCHIVO.1 ***WEB.2: - ***ARCHIVO.2 - ***ARCHIVO.3 - ***ARCHIVO.4 - ***ARCHIVO.5 - ***ARCHIVO.6 - ***ARCHIVO.4 SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 8 de agosto de 2016 se verifica por la Inspección de Datos que se encuentra accesible a través del buscador de Google información relativa a la cuenta ***EMAIL.2. Se obtiene como resultado de la búsqueda un enlace a la página ***WEB.3, la cual contiene archivos con datos de carácter personal relativos a personal militar, incluyendo la graduación, nombre y apellidos y DNI. 2. El portal https://**** es titularidad de la compañía norteamericana GitHub Inc y tiene como finalidad ofrecer al usuario un servicio de hosting y una plataforma para el desarrollo de programas informáticos en entorno web, permitiendo además la interconexión a través de APIs. La plataforma alberga el código fuente, los proyectos y la información personal. Los usuarios organizan y administran sus proyectos y puede mantener su trabajo privado o compartido sin restricciones. La séptima de las condiciones generales de GitHub establece que pueden eliminar Contenidos y Cuentas que determinen a su sola discreción, que son ilegales, ofensivos, amenazantes, calumniosos, difamatorios, pornográficos, obscenos o de cualquier otra manera objetables o violen la propiedad intelectual de cualquiera de las partes o los Términos de Servicio. 3. Con fecha 22 de agosto de 2016 se remite por la Inspección de Datos un correo electrónico a GOOGLE INC solicitando la siguiente información: 1. Copia impresa de los datos identificativos (nombre y apellidos, o denominación social, dirección postal, CIF/NIF, teléfono) que figuran en sus ficheros relativos al titular de la dirección de correo electrónico ***EMAIL.2. 2. Especificación de la dirección IP asociada al equipo desde el que se creó dicha dirección de correo electrónico. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 3. Especificación de las direcciones IP asociadas a los equipos desde que se registraron las 5 últimas actividades realizadas desde la citada cuenta de GOOGLE y la fecha y hora. Con fecha 12 de septiembre de 2016 se registra de entrada un correo electrónico de respuesta a la citada solicitud, señalando que les consta que el titular de la cuenta ***EMAIL.2 es A.A.A., que la cuenta fue creada el día 25 de septiembre de 2008 desde la IP ***IP.1 y que el último acceso se realizó el 4 de diciembre de 2015, desconociéndose la IP desde la que se realizó este último acceso. Consta además el envío de un SMS de verificación al ***TEL.1. 4. Se ha verificado que el número de teléfono ***TEL.1 pertenece al área geográfica de Afganistán (Código de área 93). 5. La dirección IP ***IP.1 pertenece al rango de direcciones asignadas al operador Telefónica de España, SAU, si bien no se ha requerido información a esa empresa sobre el usuario que tenía asignada dicha dirección IP el día 25 de septiembre de 2008 al conservarse los datos de tráfico durante un año. 6. Con fecha 11 de noviembre de 2016 se ha remitido un correo electrónico a la dirección ***EMAIL.2 para que, en el plazo de 5 días, contactase con la Inspección de la Agencia de Protección de Datos al objeto de aclarar los términos de una denuncia interpuesta ante dicho organismo, sin que hasta el día de hoy se haya obtenido respuesta. 7. Con fecha 25 de noviembre de 2016 y se comprueba que continuaban estando accesibles en la página ***WEB.3, sin restricciones, los archivos con datos de carácter personal relativos a militares, conteniendo graduación, nombre y apellidos y DNI de los afectados. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). El artículo 126.1, apartado segundo, del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal establece: Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso. II En este caso, los hechos denunciados se enmarcarían en un posible tratamiento de datos de carácter personal sin consentimiento por parte de la titular de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 cuenta de correo ***EMAIL.2, quien ha mantenido en una plataforma de Internet dedicada a la compartición de software varios ficheros con datos de carácter personal de militares que participaban en un programa de exámenes de idiomas de la Escuela de Guerra del Ejército, y que después de haberlos incorporado a dicho portal en febrero de 2014 continuaban siendo accesibles en la página web ***WEB.3e con fecha 25 de noviembre de 2016. El artículo 6 de la LOPD, bajo el epígrafe “Consentimiento del afectado”, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. Por tanto, el tratamiento de datos de carácter personal tiene que contar con el consentimiento inequívoco del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. III Sin embargo, a la vista de los elementos de juicio resultantes de las actuaciones de investigación practicadas, antes de dilucidar si el tratamiento de datos de carácter personal efectuado por la titular de la mencionada cuenta de correo electrónico podría constituir una vulneración al principio del consentimiento recogido en el artículo 6 de la LOPD, procede analizar si dicho tratamiento recae, o no, bajo la órbita de la mencionada norma. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado. Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
- a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.
- b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho internacional público.
- c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito.” A su vez, el artículo 3 del Reglamento de desarrollo de la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, establece lo siguiente, en cuanto al ámbito territorial de aplicación del mismo: “1. Se regirá por el presente reglamento todo tratamiento de datos de carácter personal:
- a)Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español. Cuando no resulte de aplicación lo dispuesto en el párrafo anterior, pero exista un encargado del tratamiento ubicado en España, serán de aplicación al mismo las normas contenidas en el título VIII del presente reglamento.
- b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española, según las normas de Derecho internacional público.
- c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito. En este supuesto, el responsable del tratamiento deberá designar un representante establecido en territorio español. 2. A los efectos previstos en los apartados anteriores, se entenderá por establecimiento, con independencia de su forma jurídica, cualquier instalación estable que permita el ejercicio efectivo y real de una actividad. “ A este respecto, resulta relevante señalar los siguientes hechos constatados C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 por la Inspección de Datos en el presente caso: - El portal de Internet https://**** en el que se publican los archivos denunciados, con datos de carácter personal de los alumnos de la Escuela de Guerra del Ministerio de Defensa, es titularidad de una entidad mercantil con domicilio social en Estados Unidos. -La usuaria que incorporó la información a la mencionada plataforma desde la cuenta de correo electrónico ***EMAIL.2 cuando, con fecha 25 de septiembre de 2008, creó la cuenta de Gmail facilitó a GOOGLE INC un número de línea perteneciente al área geográfica de Afganistán. -No se ha obtenido constancia de que dicha usuaria se encuentre establecida en España, como tampoco de que exista en España un establecimiento que realice tratamientos de datos de carácter personal asociados al mencionado portal web. - También en relación con esa usuaria, únicamente se conoce su nombre y primer apellido, sin que haya sido posible obtener otros datos relativos a su identidad y domicilio que permitan identificarla de forma unívoca. En consecuencia, de las informaciones obtenidas con motivo de las actuaciones practicadas no puede afirmarse la competencia de esta Agencia para actuar en el presente caso. Asimismo, tampoco puede atribuirse la responsabilidad de un hecho a una persona determinada al desconocerse la identidad de la persona o de la entidad titular de la IP utilizada para la apertura de la cuenta de correo. No obstante, los afectados por dicho tratamiento podrán solicitar a través del formulario que aparece en la página web ***WEB.5 que Google elimine de sus índices de búsqueda las referencias a sus datos personales que figuran publicadas en la página web ***WEB.3. Asimismo, los afectados podrán ejercitar el derecho de cancelación ante GitHub, Inc a través del formulario de contacto de Privacidad disponible en la página ***WEB.4 Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución a la ESCUELA DE GUERRA DEL EJERCITO DE TIERRA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es