← España

E-05497-2015

1/8 Expediente Nº: E/05497/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad ONE.COM ESPAÑA en virtud de la denuncia presentada por D. A.A.A. y en consideración a los siguientes HECHOS PRIMERO: Con fecha 05/07/2015 ha tenido entrada en la Agencia Española de Protección de Datos (AEPD) un escrito de D. A.A.A. (en lo sucesivo, el denunciante) en el que expone que ONE.COM ESPAÑA, (en lo sucesivo, la denunciada o ONE.COM) le ha requerido, mediante correo postal, el pago de una deuda derivada de un servicio que no ha contratado. Añade que en las cartas de requerimiento de pago constan su nombre, apellidos y dirección postal pero no el número de su DNI. Además aparece en ellas una dirección electrónica que no le pertenece. El denunciante manifiesta que los intentos realizados para que la denunciada cancelara sus datos han sido infructuosos, pues no ha contestado a sus correos electrónicos, e indica que la única vía de contacto con ella es a través de la web, para lo cual ha de facilitarle una contraseña que no tiene ni puede conseguir dado que el servicio contratado está asociado a una dirección de email que no es suya. Aporta copia de una carta de fecha 19/06/2015 remitida por “ ONE.COM – Dirección de Asistencia”, dirigida a su nombre y a su domicilio, con la “Referencia: A.A.A..com”, “Nº de pedido: ***PEDIDO.1”, y con el siguiente texto: “(…) El 20/04/2015 le enviamos una factura en relación a su suscripción al espacio web con el dominio A.A.A..com. También le enviamos un recordatorio de pago el 17/05/2015. Le enviamos la factura por correo electrónico a la dirección ....@.....com.” Adjunta, asimismo, copia del correo electrónico que envió el 25/06/2015 a la dirección www.one.com -del que remitió copia al sistema de verificación frente a terceros www.........com-, en el que relata que ha recibido por segunda vez un requerimiento de pago de una deuda que no le pertenece y que en las cartas figura una dirección electrónica que no es suya, por lo que le resulta imposible acceder al panel de gestión ya que al no ser titular de la dirección no dispone de credenciales de acceso. Solicita también la cancelación de sus datos personales. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos realizó actuaciones encaminadas al esclarecimiento de los hechos teniendo conocimiento de los siguientes extremos que constan en el Informe de Actuaciones Previas de Inspección que se reproduce: <<ACTUACIONES PREVIAS Con fecha 16 de septiembre de 2015, se solicita información a One.COM, al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 domicilio que figura en el requerimiento de pago recibido por el denunciante. El escrito es devuelto por el Servicio de Correos con la anotación “Desconocido”. Con fecha 2 de octubre de 2015, se remite la solicitud de información al domicilio que consta de contacto en España de ONE.COM, sin que a la fecha de este informe se haya recibido contestación al respecto. Con fecha 2 de diciembre se realiza una llamada al número de teléfono ***TEL.1, obtenido a través de la página web www.one.com. y se mantiene una conversación telefónica con una persona de la empresa que se identifica como ***NOMBRE.1, la cual manifiesta lo siguiente: 1. ONE.COM es una empresa danesa cuyas sedes sociales se encuentran en Dubai y Dinamarca y que presta, entre otros, servicios de internet, como registro de dominios y alojamiento de páginas web. 2. Normalmente, la contratación de sus servicios, se realiza a través de internet, en su página web www.one.com. 3. Tiene oficinas comerciales en Alemania, Inglaterra y Holanda. 4. En España no tiene ninguna sede social, únicamente dispone de una dirección en la que recibe el correo y un número de teléfono de Asistencia Técnica, que coincide con el teléfono al que se ha realizado la llamada. 5. Al no tratarse de una empresa Española, consideran que no tienen obligación legal de atender requerimiento de la Agencia Española. No obstante, cuando reciben alguna reclamación de cualquier cliente, indicando que no ha contratado el servicio que ofrecen, le informan de que presente una denuncia ante la Policía y se la remita, una vez recibida la denuncia, proceden a marcar el servicio como Fraude y a cancelarlo. 6. Cuando se le informa del presente caso, manifiesta que se informe al denunciante del procedimiento indicado en el punto anterior, y que una vez recibida la denuncia procederán a cancelar su servicio. 7. Por último facilita una dirección de correo electrónico a la que se puede dirigir el denunciante y que es atendida por ella misma: ....1@es.one.com>> FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 2 de la LOPD, relativo al “Ámbito de aplicación”, establece: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico, que los haga susceptibles de tratamiento, y a toda C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 modalidad de uso posterior de estos datos por los sectores público y privado. Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:

  1. a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.
  2. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.
  3. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito.” (El subrayado es de la AEPD) El Reglamento de desarrollo de la LOPD, aprobado por el Real Decreto 1720/2007 (RLOPD), dispone en su artículo 3: “Ámbito territorial de aplicación 1. Se regirá por el presente reglamento todo tratamiento de datos de carácter personal:
  4. a)Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español. Cuando no resulte de aplicación lo dispuesto en el párrafo anterior, pero exista un encargado del tratamiento ubicado en España, serán de aplicación al mismo las normas contenidas en el título VIII del presente reglamento.
  5. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española, según las normas de Derecho internacional público.
  6. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito. En este supuesto, el responsable del tratamiento deberá designar un representante establecido en territorio español. 2. A los efectos previstos en los apartados anteriores, se entenderá por establecimiento, con independencia de su forma jurídica, cualquier instalación estable que permita el ejercicio efectivo y real de una actividad.” (El subrayado es de la AEPD) Para una adecuada interpretación del sentido y alcance de los preceptos citados es preciso acudir a la Directiva 95/46/CE, del Parlamento Europeo y del Consejo, cuya trasposición al Derecho interno español se llevó a cabo a través de la LOPD, y en particular al artículo 4 que versa sobre el Derecho nacional aplicable: “1. Los Estados miembros aplicarán las disposiciones nacionales que hayan aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:
  7. a)el tratamiento sea efectuado en el marco de las actividades de un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable;
  8. b)el responsable del tratamiento no esté establecido en el territorio del Estado miembro, sino en un lugar en que se aplica su legislación nacional en virtud del Derecho internacional público;
  9. c)el responsable del tratamiento no esté establecido en el territorio de la Comunidad y recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea.” (El subrayado es de la AEPD) El artículo 4.1 de la Directiva 95/46 CE citado contiene un mandato a los Estados miembros respecto a la delimitación del ámbito objetivo de aplicación de las normas de trasposición, de modo que cualquier interpretación que se haga de tales normas (por lo que aquí interesa, de la LOPD y el RLOPD) ha de ser congruente con los términos de la Directiva. La Sentencia del Tribunal de Justicia de la Unión Europea (TJUE) de 13/05/2014 se pronunció, entre otras cuestiones, y con ocasión de resolver la cuestión prejudicial planteada por España, sobre la interpretación del artículo 4, apartado 1, letras
  10. a)y
  11. c)de la Directiva 95/46 de la que transcribimos los siguientes considerandos: “48.Sobre este particular, procede recordar, en primer lugar, que el considerando 19 de la Directiva aclara que «el establecimiento en el territorio de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable», y «que la forma jurídica de dicho establecimiento, sea una simple sucursal o una empresa filial con personalidad jurídica, no es un factor determinante». “50.Para cumplir el requisito establecido en dicha disposición, es necesario además que el tratamiento de datos personales por parte del responsable del tratamiento se «lleve a cabo en el marco de las actividades» de un establecimiento de dicho responsable situado en territorio de un Estado miembro.” “52.No obstante, como subrayaron, en particular, el Gobierno español y la Comisión, el artículo 4, apartado 1, letra a), de la Directiva 95/46 no exige que el tratamiento de datos personales controvertido sea efectuado «por» el propio establecimiento en cuestión, sino que se realice «en el marco de las actividades» de éste.” Procede asimismo mencionar el Dictamen 8/2010, sobre Derecho aplicable, del “Grupo de Protección de Datos del art. 29”, en cuyo apartado III, “Análisis de las disposiciones” indica: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 <<La disposición clave sobre el Derecho aplicable es el artículo 4, que determina qué disposición (disposiciones) nacional(
  12. es)de protección de datos aprobada(
  13. s)para la aplicación de la Directiva puede(
  14. n)aplicarse al tratamiento de datos personales III.1. El responsable del tratamiento está establecido en uno o varios Estados miembros (artículo 4, apartado1, letra a)) (…) En tales circunstancias, la noción de «marco de actividades» –y no la ubicación de los datos– es un factor determinante en la determinación del Derecho aplicable. La noción de «marco de actividades» no implica que el Derecho aplicable sea el del Estado miembro donde esté establecido el responsable del tratamiento, sino donde un establecimiento del responsable del tratamiento esté implicado en actividades relativas al tratamiento de datos. La consideración de diferentes hipótesis podría contribuir a clarificar lo que significa la noción de «marco de actividades» y su influencia en la determinación del Derecho aplicable a las diferentes actividades de tratamiento en diferentes países a. Cuando un responsable del tratamiento tiene un establecimiento en Austria y trata datos personales en Austria en el marco de actividades de ese establecimiento, el Derecho aplicable obviamente sería el de Austria, es decir donde el establecimiento está situado. b. En la segunda hipótesis, el responsable del tratamiento tiene un establecimiento en Austria, en cuyo marco de actividades trata datos personales recogidos a través de su sitio Internet. El sitio Internet es accesible a usuarios en distintos países. El Derecho de protección de datos aplicable seguirá siendo el de Austria, es decir el de donde está situado el establecimiento, con independencia de la ubicación de los usuarios y de los datos. c. En la tercera hipótesis, el responsable del tratamiento está establecido en Austria y contrata el tratamiento a un encargado del tratamiento en Alemania. El tratamiento en Alemania se efectúa en el marco de las actividades del responsable del tratamiento en Austria. Es decir, el tratamiento se realiza en aras de los objetivos comerciales y bajo las instrucciones del establecimiento austríaco. El Derecho austríaco será aplicable al tratamiento efectuado por el encargado del tratamiento en Alemania. Además, el encargado del tratamiento estará sujeto a los requisitos del Derecho alemán respecto de las medidas de seguridad que está obligado a adoptar en relación con el tratamiento. Esto requeriría una supervisión coordinada por parte de las autoridades de protección de datos alemanas y austríacas. d. En la cuarta hipótesis, el responsable del tratamiento establecido en Austria abre una oficina de representación en Italia, que organiza todos los contenidos italianos del sitio Internet y gestiona las peticiones de los usuarios italianos. Las actividades de tratamiento de datos realizadas por la oficina italiana se efectúan en el marco del establecimiento italiano, de modo que el Derecho italiano se aplicaría a dichas actividades…>> (El subrayado es de la AEPD) Asimismo, ha de traerse a colación la Sentencia dictada en el asunto C-230/14 por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 el Tribunal de Justicia de la Unión Europea, Sala Tercera, de 1/10/2015, que establece: <<1. El artículo 4, apartado 1, letra a), de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, debe interpretarse en el sentido de que permite aplicar la legislación relativa a la protección de los datos personales de un Estado miembro distinto de aquel en el que está registrado el responsable del tratamiento de esos datos, siempre que éste ejerza, mediante una instalación estable en el territorio de dicho Estado miembro, una actividad efectiva y real, aun mínima, en cuyo marco se realice el referido tratamiento. Para determinar si así ocurre, en circunstancias como las controvertidas en el litigio principal, el órgano jurisdiccional remitente puede tener en cuenta, por un lado, que la actividad del responsable de dicho tratamiento, en cuyo marco éste tiene lugar, consiste en la gestión de sitios de Internet de anuncios de inmuebles situados en el territorio de dicho Estado miembro y redactados en la lengua de ese Estado y que, en consecuencia, se dirige principalmente, incluso íntegramente, a dicho Estado miembro y, por otro lado, que ese responsable dispone de un representante en el referido Estado miembro que se encarga de cobrar los créditos resultantes de dicha actividad y de representarlo en los procedimientos administrativo y judicial relativos al tratamiento de los datos en cuestión. En cambio, es irrelevante el tema de la nacionalidad de las personas afectadas por dicho tratamiento de datos. 2) En el supuesto de que la autoridad de control de un Estado miembro que entiende de unas denuncias, de conformidad con el artículo 28, apartado 4, de la Directiva 95/46, llegue a la conclusión de que el Derecho aplicable al tratamiento de los datos personales de que se trata no es el Derecho de ese Estado miembro, sino el de otro Estado miembro, el artículo 28, apartados 1, 3 y 6, de esa misma Directiva debe interpretarse en el sentido de que dicha autoridad de control sólo podría ejercer en el territorio de su propio Estado miembro las facultades efectivas de intervención que se le han conferido conforme al artículo 28, apartado 3, de la citada Directiva. Por lo tanto, no puede imponer sanciones basándose en el Derecho de ese Estado miembro al responsable del tratamiento de tales datos que no está establecido en dicho territorio, sino que, con arreglo al artículo 28, apartado 6, de la misma Directiva, debe instar la intervención de la autoridad de control dependiente del Estado miembro cuyo Derecho es aplicable…>> (El subrayado es de la AEPD) III La denuncia que nos ocupa versa sobre el tratamiento de los datos personales del denunciante - nombre, apellidos y domicilio-, presuntamente sin su consentimiento, del que se responsabiliza a ONE. COM ESPAÑA toda vez que la entidad denunciada le ha enviado a su nombre y a su domicilio una carta, fechada el 19/06/2015, en la que le requiere el pago de un servicio que el denunciante niega haber contratado. El servicio que según la denunciada habría contratado el denunciante consistió en una suscripción al espacio web con el dominio A.A.A..com. El denunciante niega haber contratado dicho servicio y afirma que no le pertenece la dirección electrónica a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 que la denunciada le envió la factura, ....@.....com, como le informa en la carta de requerimiento de pago. Las actuaciones practicadas por la Inspección de Datos de la AEPD han permitido comprobar que ONE.COM es el nombre comercial de la empresa Danesa (DK HOSTAMASTER, A/S), que cuenta con sedes en Dinamarca y Dubai y oficinas y locales comerciales en Alemania, Inglaterra y Holanda. El sitio web informa también de una oficina de contacto One.com en España sita en Madrid, ***CP.1, (C/...1). No obstante, la AEPD dirigió un requerimiento informativo por correo postal a esa dirección que fue devuelto por el Servicio de Correos indicando como motivo de la devolución “Desconocido”. Asimismo, accediendo a www.one.com.......1, constan los siguientes datos de contacto: las direcciones electrónicas ....1@es.one.com y ....2@es.one.com , el número de teléfono +34 ***TEL.1 y una dirección postal en España, One.com España, (C/...2), Barcelona ***CP.2. A raíz de la llamada telefónica efectuada por la Inspección de Datos al citado número de teléfono fue informada de que la empresa no tiene sede social en España; que en territorio español únicamente dispone de una dirección en la que recibe el correo y un número de teléfono de asistencia técnica que es el mismo al que se hizo la llamada y que figura en la página web. La persona con la que la Inspección contactó a través de la llamada telefónica manifestó que, puesto que la empresa no tiene sede social en territorio español, no está sujeta a la LOPD pero que, no obstante, cuando reciben la reclamación de un cliente manifestando que no ha contratado el servicio que ofrecen le informan de que el protocolo a seguir es presentar una denuncia ante la Policía y remitirles la denuncia tras lo cual proceden a identificar ese servicio como fraude y a cancelarlo. Informó a ese respecto que el afectado puede dirigirse a la entidad a través de la dirección ....1@es.one.com. Como se ha explicado en el Fundamento precedente, el criterio o punto de conexión para determinar la Ley aplicable es que el tratamiento de datos personales se realice en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Recordemos que según el Grupo de Protección de Datos del artículo 29 la noción de marco de actividades hace referencia al establecimiento del responsable del tratamiento que esté implicado en actividades relativas al tratamiento de los datos. Como se ha precisado, ONE.COM ni tiene sede social en España ni realiza en la oficina abierta en España un tratamiento de los datos personales de los usuarios, pues dicha oficina se limita a tener una dirección postal en la que recibir el correo y un número de teléfono de Asistencia Técnica que es el mismo número de línea con el que contactó la Inspección de Datos de la AEPD. Así pues, conforme a las disposiciones de la LOPD y RLOPD precitadas y a la luz de la interpretación que de esos preceptos ha de hacerse conforme al Dictamen 8/2010, sobre Derecho aplicable, del Grupo de Protección de Datos del artículo 29 y a la STJUE de 01/10/2015, hemos de concluir que los hechos objeto de la denuncia no pueden quedar sometidos a la normativa española. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Habida cuenta de que la AEPD carece de competencia para valorar la conducta objeto de la presente denuncia, se acuerda archivar las actuaciones de inspección practicadas, sin perjuicio de que se proceda a dar traslado a la Autoridad de Protección de Datos del Estado al que pertenece la empresa denunciada, Dinamarca, de una copia de la denuncia y del expediente de investigación. Por último, se recuerda al denunciante que a fin de que se anule el servicio contratado a su nombre, puede dirigirse a la dirección electrónica ....1@es.one.com. y solicitar la cancelación de sus datos personales adjuntando copia de la denuncia que por estos hechos hubiera presentado en la Policía. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.