← España

E-06190-2012

1/5 Expediente Nº: E/06190/2012 De las actuaciones practicadas por la Agencia Española de Protección de Datos ante las entidades GOOGLE, INC y GOOGLE SPAIN, S.L., de oficio, y teniendo como base lo siguiente: PRIMERO: Entre los servicios ofrecidos por la entidad GOOGLE Inc., complementario del servicio “Google Maps”, figura el denominado “Google Street View”, que permite observar imágenes de las calles y carreteras de numerosos países del mundo, entre los que se encuentra España. Las imágenes que utiliza el servicio son captadas por una flota de vehículos que recorren las carreteras y calles dentro del denominado “Proyecto Google Street View”, del que es responsable igualmente la entidad GOOGLE Inc., que ha dispuesto los equipos y diseñado el software empleado en la captación de información y creado los ficheros en los que se registra la misma para su posterior utilización a través de la red. En relación con dicho servicio y, en concreto, con la recogida de datos personales que lleva a cabo en España, durante los meses de mayo a julio de 2010 se realizaron actuaciones de investigación dirigidas a sustanciar la eventual actividad infractora de Google que, mediante los coches habilitados para fotografiar las calles de distintas ciudades del mundo, para la aplicación Street View y al margen de esta función, recopiló datos de localización de las redes WI-FI, los datos SSID (identificador de la Red que, en ocasiones, coincide con el nombre real del abonado de la ed), las direcciones MAC, (los números que identifican la dirección fija de los dispositivos router) y datos de tráfico asociados a las redes WI-FI (datos transferidos mediante redes abiertas). La captación de señales de redes inalámbricas llevada a cabo por las entidades GOOGLE SPAIN, S.L. y GOOGLE Inc. en el marco del Proyecto denominado “Google Street View”, atendiendo a la naturaleza de la información registrada, se estimó como una recogida de datos de carácter personal, al tratarse de información concerniente a personas físicas identificadas o identificables. Ello determinó, con fecha 18/10/2010, la apertura de un procedimiento sancionador a las entidades GOOGLE SPAIN, S.L. y GOOGLE Inc., señalado con el número PS/00541/2010, por las presuntas infracciones de los artículos 6, 7 y 33 de la Ley Orgánica 15/1999, 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). Durante las actuaciones previas de investigación desarrolladas por los Servicios de Inspección de la Agencia Española de Protección de Datos, se tuvo conocimiento de las Diligencias Previas Procedimiento Abreviado que se siguen en el Juzgado de Instrucción núm. 45 de Madrid, señaladas con el número *****/2010, por presunto delito informático, tipificado en el Código Penal, Título X “Delitos contra la intimidad, el derecho a la propia imagen y la inviolabilidad del domicilio”, Capítulo I “Del descubrimiento y revelación de secretos, artículo 197, en virtud de denuncia formulada en relación con la recogida de datos efectuada en el marco del citado proyecto “Google Street View”. Considerando la vinculación con estas actuaciones que por los mismos hechos se están desarrollando en el orden jurisdiccional penal, el citado procedimiento sancionador fue suspendido y permanece en ese mismo estado en esta fecha. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 SEGUNDO: Con fecha de 24 de agosto de 2012, tuvo entrada en esta Agencia un correo electrónico de Google Inc., mediante el cual dicha entidad notifica lo siguiente:

  1. Con el fin de informar a las autoridades en materia de protección de datos sobre en inventario de discos utilizados por el servicio Street View, se procedió recientemente a una revisión de dicho inventario que incluyó una inspección física y re-escaneo de miles de discos.
  2. Tras la finalización del proceso de revisión han detectado que está en posesión de discos que no se hallaban incluidos en el inventario y podrían contener datos de carga (payload). Debido a ello el contenido de dichos discos no fue proporcionado a la Agencia durante la anterior investigación, por lo que se disculpan e informan de que dichos discos se encuentran inventariados y seguros.
  3. Conservarán los datos de carga hasta que reciban instrucciones para su destrucción. TERCERO: Conocida la información reseñada en el Antecedente anterior, con fecha 19/09/2012, se acordó el inicio de actuaciones previas de investigación para esclarecer los hechos descritos y su adecuación a la normativa vigente en materia de protección de Datos. Como resultado de dichas investigaciones, por los Servicios de Inspección de esta Agencia se informó lo siguiente:
  4. Entre el 15 de mayo de 2008 y el 10 de mayo de 2010 los vehículos del servicio Street View recogieron datos de las redes inalámbricas ubicadas en España. Conforme a lo manifestado por Google durante las actuaciones previas realizadas en el ámbito del expediente E/01482/2010 “…los discos se enviaban por mensajero desde las ciudades españolas por las que habían circulado los vehículos Street View hasta un almacén belga, desde el cual se remitían a un centro de datos de Google, normalmente con frecuencia semanal. Estos discos duros se descargaban en el centro de datos belga de Google, en el que los datos se cargaban en servidores de Google y acto seguido se borraban de los discos.” A partir de mayo de 2010, los discos utilizados para recabar datos en Europa fueron remitidos, para ser almacenados en cuarentena, al centro de datos de Google en Ghlin, Bélgica. A finales de 2010, una vez finalizado el proceso de recogida de discos, se elaboró un inventario definitivo con los discos en cuarentena y una lista maestra con aquellos discos que contenían datos de carga (payload).
  5. En febrero de 2012 Google descubrió una irregularidad en el inventario de discos en cuarentena. Según manifiestan los representantes de la entidad “…la irregularidad que Google descubrió en el inventario de discos en cuarentena, era que un número de discos que, potencialmente, podían contener payload de países con investigaciones ya concluidas, parecían estar aún alojados en las cajas de cuarentena utilizadas para almacenar estos discos”. Google inicio una revisión del procedimiento de recogida de discos para asegurarse de que éstos habían sido almacenados en el centro de proceso de datos adecuado que finalizó alrededor del 5 de octubre de
  7. El proceso de revisión confirmo que 7 discos que podían contener datos de carga (payload) recogidos en España se habían almacenado en el centro de datos de Ghlin pero no fueron correctamente incluido en el inventario. Dos de los discos fueron utilizados exclusivamente en España, mientras que los otros cinco discos fueron utilizados tanto en España como en Portugal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 Google ha proporcionado una copia de los dos discos que fueron utilizados exclusivamente en España, pero no de los utilizados en ambos países.
  8. Cinco de los siete discos se encontraban en un subconjunto de discos del inventario que no pudieron ser adecuadamente clasificados, por lo que Google contrató a un tercero experto para que este, a través de los propios discos, obtuviese información sobre su localización sin acceder a los datos contenidos en ellos.
  9. Dos de los discos no fueron incluidos en el inventario inicial debido a un error humano. Respecto a los datos hallados en la copia de los dos discos proporcionada por Google:
  10. La cantidad total de datos existentes es de 277 MB, lo que representa aproximadamente un 0,15 % de la información recabada, distribuidos en 58 ficheros. La mitad de los ficheros mantienen la nomenclatura descrita en las actuaciones de investigación anteriores, cuyos nombres de fichero están formados por el texto “gstumbler_” (nombre del programa utilizado para recoger la información), el código del vehículo, la fecha de recogida de la información, la hora de inicio de la recogida y un código numérico del que se desconoce el significado. La otra mitad tiene nombres idénticos pero con el texto inicial “.attr.plain”. Estos archivos, con un tamaño idéntico de 161 bytes, no contienen tramas capturadas sino una estructura de datos en la que la mayor parte de los campos están vacíos.
  11. 7 de los 29 ficheros de nomenclatura estándar están vacíos, por lo que los datos que a continuación se describen han sido obtenidos de los restantes
  13. En base a los datos proporcionados por los nombres de los ficheros se puede afirmar que los datos fueron recogidos por un vehículo con identificador “***VEHÍCULO.1” entre el 8 y el 15 de enero de 2009 (28 ficheros) y por un segundo vehículo con identificador “***VEHÍCULO.2” el 2 de marzo de
  14. Revisados los ficheros proporcionados durante la actuaciones del expediente E/01482/2010 constan ficheros con datos recogidos por el vehículo con identificador “***VEHÍCULO.1” entre el 14 de mayo de 2008 y el 25 de febrero de 2009 (existe un hueco en ese periodo en el que encajan los ficheros aportados en estas actuaciones). Constan asimismo ficheros con datos recogidos por el vehículo con identificador “***VEHÍCULO.2” entre el 8 de junio y el 20 de diciembre de
  16. La siguiente tabla muestra el análisis cuantitativo del contenido del fichero: Tipo de trama MANAGEMENT CONTROL DATA RESERVED TOTAL Número de tramas % 219.915 95,66% 6.340 2,76% 3.642 1,58% 2 0,001% 229.899 100% Únicamente los tipos de tramas “DATA” contienen datos de carga (payload) y la cantidad de datos que contienen, respecto del total de tramas con datos de carga analizados en la campaña de recogida de datos, es menor que el 0.01%.
  17. Se han analizado los distintos 942 SSID (nombres de red) recabados en los discos proporcionados por Google. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 Se han hallado SSID con nombres de pila como "ildefonso" o "JAZZTEL_CARMEN" y con nombres junto con una inicial como "wifi_Manuel_N", pero el único SSID que podría contener un nombre y apellido que unidos al resto de los datos disponibles (p.e. localización aproximada) podrían permitir identificar a su titular es "XXXXXXXXXXXX". Sí que se han hallado SSID que describen empresas perfectamente identificables como "Inpisol2000SL", "HotelPalace", "FERRETERIA XXXX" o "Confortel Islantilla".
  18. Las únicas direcciones de correo electrónico halladas, ..........1@hotmail.es y ..........2@hotmail.com, lo son en relación con una serie de mensajes recibidos por sus titulares a través del servicio de mensajería instantánea Microsoft Messenger. Los mensajes recibidos son textos los cortos “2 años”, “m levo de puta amdre” y “vale avsiame”. Los remitentes de los mensajes recibidos son desconocidos ya que las tramas recogidas no contenían dicha información.
  19. No se han hallado pares de nombres de usuario y claves que permitan el acceso a perfiles de usuario, pero algunos de los datos de carga contenían los valores de las cookies descargadas en los terminales de los usuarios que en ese momento navegaban. Dentro del conjunto de cookies recogidas, se encuentra una cookie denominada “sid”, asociada a un dominio de la red social Tuenti que podría ser utilizada para suplantar al usuario que estaba navegando en ese momento. Entre los datos recabados mediante las cookies también se encuentra el nombre de usuario (..........89) y un identificador único (XXXXX Id) de un perfil de una red social de Eslovaquia (http://............sk) Por lo tanto, de acuerdo con lo señalado, y teniendo en cuenta, por un lado, que con fecha 18/10/2010 el Director de la Agencia Española de Protección de Datos acordó iniciar el procedimiento sancionador señalado con el número PS/00541/2010, seguido contra las entidades GOOGLE Inc. y GOOGLE SPAIN, por presuntos incumplimientos de la LOPD que resultan de la captación de señales de redes inalámbricas llevada a cabo en el marco del Proyecto denominado “Google Street View”; y por otro, que las presentes actuaciones se siguen ante las mismas entidades GOOGLE Inc. y GOOGLE SPAIN por hechos de naturaleza similar, relacionados con la campaña de recogida de datos que dio lugar al procedimiento PS/00541/2010, desarrollada en España en el marco del proyecto citado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:
  20. INCORPORAR las actuaciones señaladas con el número de expediente de investigación E/06190/2012 al procedimiento sancionador número PS/00541/2010, para que surtan los efectos pertinentes en la Resolución que se adopte en dicho procedimiento sancionador.
  21. NOTIFICAR el presente Acuerdo a GOOGLE INC y a GOOGLE SPAIN, S.L., advirtiéndoles que las actuaciones señaladas con el número E/06190/2012 le serán puestas de manifiesto, para que formulen las alegaciones y propongan las pruebas que consideren convenientes y ejerciten el derecho a la audiencia, una vez se produzca el levantamiento de la suspensión del procedimiento número PS/00541/
  23. TRASLADAR copia de las actuaciones señaladas con el número de expediente de investigación E/06190/2012 al Juzgado de Instrucción núm. 45 de Madrid para que sean tenidas en cuenta en las Diligencias Previas Procedimiento Abreviado que se siguen con el número C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 *****/2010, por presunto delito informático, tipificado en el Código Penal, Título X “Delitos contra la intimidad, el derecho a la propia imagen y la inviolabilidad del domicilio”, Capítulo I “Del descubrimiento y revelación de secretos, artículo 197, en virtud de denuncia formulada en relación con la recogida de datos efectuada en el marco del proyecto “Google Street View”. Conforme a lo establecido en el artículo 107 de la LRJPAC, contra el presente acto no cabe recurso administrativo alguno. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.