1/4 Expediente Nº: E/04592/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad WWW.ESTASERVICE.COM en virtud de denuncia presentada por A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 28 de mayo de 2018, tuvo entrada en esta Agencia escrito de A.A.A. (en lo sucesivo la reclamante) contra WWW.ESTASERVICE.COM por una presunta vulneración del artículo 6 del RGPD, por facturarle un importe de 73,87 dólares en lugar de 14, sin su consentimiento, cuando la reclamante, solicitó el documento ESTA, para poder residir unos días en Boston visitando a su hijo y nieto. A través de su entidad financiera BANCO POPULAR, tuvo conocimiento de que, pese a que el coste de dicho documento es de 14 dólares, WWW.ESTASERVICE.COM le ha facturado 73,87 dólares, por lo que la reclamante solicitó a dicha empresa que le devolviera el dinero, inició una reclamación de fraude a través de su entidad financiera BANCO POPULAR, y acudió al Juzgado de Guardia de Madrid, al consulado y embajada de EEUU, para denunciar los hechos. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos:
- Se ha consultado la política de privacidad publicada en la página web www.estaservice.com y se ha verificado que no contiene información alguna relativa a Identidad y los datos de contacto del responsable del tratamiento, Fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento, Destinatarios de los datos personales, si está previsto transferir datos personales a un tercer país u organización internacional, Plazo durante el cual se conservarán los datos personales, Existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos, La existencia del derecho a retirar el consentimiento en cualquier momento, El derecho a presentar una reclamación ante una autoridad de control, La existencia de decisiones automatizas y elaboración de perfiles.
- La web proporciona como medios de contacto el número + 34 330 808 3923 o la dirección de correo info@estaservice.com. Ante la imposibilidad de encontrar información relativa a la dirección postal de la entidad responsable de la web se ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 enviado por correo electrónico a la dirección de contacto info@estaservice.com un requerimiento de información que ha sido contestado con una respuesta automática indicando que no pueden encontrar la orden.
- Se ha solicitado asistencia a la Information Commisioner´s Office (ICO) del Reino Unido por ser de este país el número de teléfono de atención al cliente que se ofrece en infoservice.com, con objeto de identificar la dirección postal de instalación y la sede social de la entidad que presta el servicio. Con fecha 11 de diciembre de 2018 se ha recibido respuesta por correo electrónico en el que se informa a la Agencia Española de Protección de Datos que para requerir esta información debe existir un incumplimiento del RGPD por estaservice.com. Solo en este caso podrían enviar un requerimiento a Voxbone (operador titular de la línea de atención al cliente). Esto se debe a que su legislación de protección de datos exige incorporar ciertos detalles de la reclamación dentro de todo requerimiento de información que permitan justificar la razón por la que es necesaria la información solicitada. Un requerimiento de información puede ser apelado ante el Tribunal de primer nivel (Derechos de información) en el Reino Unido. Dicha apelación deberá presentarse dentro de los 28 días a partir de la fecha en que se envió el aviso de información. Si se presenta una apelación contra un aviso de información, no es necesario que la información se proporcione hasta que se resuelva o se retire la apelación lo que puede llevar un tiempo indeterminado. Por otro lado si la entidad no responde al requerimiento de información, ya sea sin una apelación o después de una apelación perdida, ICO tendría que solicitar y convencer a un tribunal del Reino Unido para que emita una orden que requiera que la información solicitada sea proporcionada.
- Se ha consultado en whois la identidad del responsable del registro del dominio estaservice.com verificando que se trata de DOMAINSBYPROXY, LLC ubicada en 14455 N. Hayden Road, Scottsdale, 85260 Arizona, Estados Unidos FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), de plena aplicación desde el 25 de mayo de 2018, reconoce a cada autoridad de control, es competente para resolver esta reclamación la Directora de la Agencia Española de Protección de Datos, de conformidad con el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD) II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. III El artículo 6 del RGPD, regula la licitud del tratamiento de los datos personales estableciendo que el tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. IV Así las cosas, en el presente caso, esta Agencia recibe la reclamación presentada por A.A.A. contra WWW.ESTASERVICE.COM, donde se manifiesta que la reclamante a través de dicha entidad, solicitó el documento ESTA, para poder residir unos días en Boston visitando a su hijo y nieto. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 La reclamante manifiesta que, por dicho servicio, WWW.ESTASERVICE.COM le ha facturado 73,87 dólares en lugar de los 14 legalmente establecidos, por lo que la reclamante inició una reclamación de fraude a través de su entidad financiera, BANCO POPULAR, y acudió al Juzgado de Guardia de Madrid, al consulado y embajada de EEUU, para denunciar estos hechos. En este sentido, señalar que esta Agencia no es competente para dirimir cuestiones civiles, tales como las relativas a la validez civil o mercantil del contrato, la exactitud de la cuantía de la deuda, la correcta prestación de los servicios contratados o la interpretación de cláusulas contractuales, pues su competencia se limita a determinar si se han cumplido los requisitos legales y reglamentarios establecidos para el tratamiento de los datos, pero sin realizar indagaciones propias de la esfera civil. La determinación de la legitimidad de una deuda basada en una interpretación del contrato suscrito entre las partes y de su correcta cuantía deberá instarse ante los órganos administrativos o judiciales competentes, al exceder del ámbito competencial de esta Agencia. Por este motivo, la Directora de la Agencia Española de Protección de Datos acuerda el archivo de estas actuaciones, al carecer dicho Organismo de competencia para su resolución. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA 1 PROCEDER AL ARCHIVO de las presentes actuaciones. 2 NOTIFICAR la presente resolución al reclamante e INFORMAR de ella al responsable del tratamiento. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es