1/5 Expediente Nº: E/04333/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad TWITTER INC., en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 5 de julio de 2017, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante), en el que formula denuncia contra la entidad “TWITTER”, manifestando que la misma ha modificado su política de privacidad, y los actuales términos de uso pueden dar lugar a una cesión de datos de hábitos, localizaciones, dispositivos respecto a los usuarios, sin que se informe adecuadamente acerca de los destinatarios de la información, el uso que se dará a la misma, estando premarcado el consentimiento para ello. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación señaladas con el número E/04333/2017 para el esclarecimiento de los hechos. Desde la Inspección de datos se accedió a las direcciones web de TWITTER en las que se publica la Política de Privacidad y el apartado de Personalización que indica el reclamante. De todo ello se destaca lo siguiente:
- La fecha de entrada en vigor de la nueva Política de Privacidad de TWITTER es el 18 de junio de 2017, tal y como consta en la web https://twitter.com/es/privacy.
- En la dirección web https://twitter.com/personalization figura el apartado PERSONALIZACIÓN Y DATOS que coincide con el aportado por el denunciante en el que se informa que “Controla el modo en que TWITTER personaliza contenidos y como recolecta y comparte ciertos datos. Esta configuración se aplica a este dispositivo cuando no está conectado a twitter y no se aplicará a tu cuenta cuando tengas una sesión abierta”. Permite Desactivar todo lo marcado. Constan pre-marcadas las casillas de personalización: Personalizar anuncios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 “Activa esto para ver anuncios basados en tus intereses dentro o fuera de Twitter. Más información”. En el apartado de más información indican que “colaboramos con socios de publicidad para ofrecerte contenido publicitario más útil e interesantes a través de la publicidad basada en los intereses”. Y explican cómo funciona este proceso. Asimismo, explican la forma de desactivar esta función tanto en la web como en los móviles. Personaliza en todos tus dispositivos “Twitter siempre se personalizará en los dispositivos que has usado para iniciar sesión. Si desactivas esta configuración, Twitter olvidará que has usado otros dispositivos. Más información”. En este apartado informan de la manera que Twitter asocia los dispositivos a la cuenta del usuario incluyendo las visitas a los sitios web de terceros que integran contenido de twitter. Almacenando la dirección IP y la fecha y hora de utilización del dispositivo. Además, a los dispositivos se aplican los datos de “Genero (Twitter asocia el más probable), Edad, Idiomas”. Twitter utiliza la asociación de dispositivos para personalizar la experiencia en otros dispositivos (ej. Si desde un dispositivo Android se utiliza Twitter a la misma hora y desde la misma red donde se navega por sitios con información de deportes, Twitter infiere que el dispositivo Android y el equipo utilizado para navegar están relacionados y por tanto Twitter pueden publicar anuncios de deportes en el dispositivo Android) Twiter informa que se puede ajustar la configuración de personalizar tus dispositivos. Constan pre-marcadas la casilla de Datos: Compartir datos a través de una selección de asociaciones “Esta configuración le permitirá a Twitter compartir cierta información privada (excepto tu nombre, correo electrónico o número de teléfono) a través de una selección de asociaciones. Más información”. En este apartado informan de la posibilidad de compartir información con otras empresas asociadas (socios) y ofrecen la opción para decidir si se desea compartir datos con los siguientes tipos de socios (actualizada a 30 de enero de 2018). . Pujas en tiempo real (RTB). Twitter comparte datos demográficos a nivel de los dispositivos e información de la ubicación con estos socios (ej. Twitter puede compartir información de que un dispositivo móvil corresponde a un usuario hombre, de 25 a 34 años de edad con el fin de ayudar a las empresas a publicar anuncios apropiados para este tipo de audiencia). Twitter no comparte nombre, correo electrónico, teléfono ni nombre de usuario, no obstante el socio puede establecer una conexión con la información que ya posea anteriormente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 Twitter permite al usuario desactivar los servicios de ubicación. . Datos de audiencias de Twitter. Twitter comparte información a nivel de dispositivo con socios que ofrecen a terceras empresas herramientas de administración de datos, de tal forma que estas herramientas utilizan los datos aportados por Twitter para permitir que las empresas mejoren su manera de comercializar, analizar y adaptar sus productos en función de los usuarios. Twitter no comparte nombre, correo electrónico, teléfono ni nombre de usuario.
- Con fecha 18 de abril de 2018, se remitió requerimiento de información a TWITTER SPAIN, S.L. con objeto de conocer las actividades que realiza para TWITTER INTERNATIONAL COMPANY, siendo devuelta la notificación tal y como certifica el Servicio de Notificaciones Electrónica y Dirección Electrónica Habilitada (rechazo automático tras haber transcurrido diez días naturales desde su puesta a disposición). TERCERO: Mediante Diligencia de Inspección de fecha 15/06/2018, se incorporó a las actuaciones copia de la política de cookies disponible en el sitio web twitter.com en fecha 21/05/2018, obtenida a través de archive.org. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d) en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 122.2 del Reglamento de desarrollo de la LOPD (RLOPD), aprobado por Real Decreto 1720/2007, de 21 de diciembre, dispone, en relación con las actuaciones previas, que “se llevarán a cabo de oficio por la Agencia Española de Protección de Datos, bien por iniciativa propia o como consecuencia de la existencia de una denuncia o una petición razonada de otro órgano”. De conformidad con el párrafo 4 del referido artículo 122, estas actuaciones previas tendrán una duración máxima de doce meses “a contar desde la fecha en la que la denuncia o petición razonada a las que se refiere el párrafo segundo hubieran tenido entrada en la Agencia Española de Protección de Datos o, en caso de no existir aquellas, desde que el Director de la Agencia acordase la realización de dichas actuaciones. El vencimiento del plazo sin que haya sido dictado y notificado acuerdo de inicio de procedimiento sancionador producirá la caducidad de las actuaciones previas.” En el presente supuesto el cómputo de los doce meses de duración máxima de las actuaciones previas E/04333/2017 se inició el día 5 de julio de 2017 y finalizó el día 5 de julio de 2018, por lo que éstas deben declararse caducadas. Todo ello de conformidad con la interpretación que al respecto ha realizado la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 Audiencia Nacional en su Sentencia de 19 de julio de 2013, en la que establece que “el hecho de que tras la denuncia se acordara por el Director de la Agencia Española de Protección de Datos no incoar actuaciones inspectoras y no iniciar procedimiento sancionador, para a continuación, en respuesta al recurso de reposición formalizado por el denunciante contra tal acuerdo, resolver su estimación y ordenar a la Subdirección General de Inspección de Datos que se procediera a realizar actuaciones de inspección, no enerva aquella conclusión”. Esto es, que las actuaciones previas de investigación deben entenderse caducadas si transcurridos doce meses desde el día inicial del cómputo no se ha procedido a dictar y notificar acuerdo de inicio de procedimiento sancionador. III Por su parte el artículo
- 3 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, determina que “La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción. En los casos en los que sea posible la iniciación de un nuevo procedimiento por no haberse producido la prescripción, podrán incorporarse a éste los actos y trámites cuyo contenido se hubiera mantenido igual de no haberse producido la caducidad. En todo caso, en el nuevo procedimiento deberán cumplimentarse los trámites de alegaciones, proposición de prueba y audiencia al interesado.” Al respecto la Audiencia Nacional considera (Sentencia de 10 de julio de 2013) que “declarada la caducidad de las actuaciones previas de investigación iniciadas por la Agencia Española de Protección de Datos, tal circunstancia no supone obstáculo alguno para que dicha entidad proceda a iniciar o reiniciar otras actuaciones previas de investigación sobre los mismos hechos, siempre y cuando no hubiere transcurrido el plazo de prescripción de la infracción administrativa objeto de investigación”. En consecuencia, dado que los hechos objeto de investigación no se encuentran prescritos, se dan instrucciones a la Subdirección General de Inspección de Datos para que inicie nuevas actuaciones de investigación. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- ABRIR nuevas actuaciones de investigación.
- NOTIFICAR la presente Resolución a TWITTER INC., a través de a TWITTER SPAIN, S.L., y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es