E-06481-2020

1/5  Procedimiento Nº: E/06481/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por Doña A.A.A. (en adelante, el reclamante) tiene entrada con fecha 31 de julio de 2020 en la Agencia Española de Protección de Datos. La reclamación se dirige contra la dirección ***URL.1 (en adelante, sitio web reclamado o el sitio web). Los motivos en que basa la reclamación son la publicación en el sitio web reclamado de su teléfono de contacto y otros datos personales de la reclamante, incluyendo fotografía. Los hechos se han producido en el momento de presentar la reclamación. Junto a la reclamación aporta lo siguiente: - Denuncia ante la Dirección General de Policía (Cuerpo Policía Nacional) - Impresión de pantalla de sus datos personales publicados en el sitio web reclamado SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ~ Mediante la herramienta de internet WHOIS se comprueba que se ha registrado, como titular del registro del dominio del sitio web reclamado, la sociedad “Domains by Proxy, LLC”, con sede en ***LOCALIDAD.1 (***PAÍS.1). En este registro, aparece una dirección de correo electrónico anonimizada del titular final del dominio. ~ Con fecha de 11 de agosto de 2020, se traslada la reclamación recibida en esta Agencia al titular del dominio reclamado. Con fecha de 21 de agosto de 2020, se recibe escrito de contestación, en el que expone que los datos personales indicados se obtuvieron de forma totalmente automática mediante buscadores en la red Internet, al igual que el resto de contenido su sitio web, a excepción de los posibles comentarios de usuarios, que, en el caso de la página web reclamada, no existen. Añaden, que, en el caso concreto relativo a esta reclamación, los datos se obtuvieron de un anuncio público en Internet del sitio “pasion.com”. Concretamente, en la dirección: ***URL.2 Finalizan señalando que el contenido ha sido eliminado de su sitio web y que han solicitado a Google su desindexación. ~ Realizada solicitud de información a MUBA ONLINE, S.L., (en adelante, MUBA), propietaria del sitio web de contactos “***URL.3”, sobre el origen de la publicación referida por el titular del sitio web “***URL.4” y otros posibles anuncios con el mismo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 número de teléfono, se recibe en esta Agencia escrito de contestación informando de que el único dato necesario para publicar anuncios en su sitio web es el correo electrónico, siendo el teléfono opcional, por lo que solo disponen de estos datos de contacto del usuario que publicó el anuncio. No obstante, facilitan además, la dirección IP de sesión desde donde se cargó el contenido del anuncio. Añaden que existen otros 7 anuncios activos con la misma dirección de correo electrónico y teléfono, y de los que facilitan, igualmente, la dirección IP de sesión de la publicación. Finalizan señalando que el anunciante con la dirección de correo electrónico de estos anuncios ha realizado pagos en enero, febrero y agosto de 2020 para que estos anuncios fueran destacados. ~ Consultada a TELEFÓNICA DE ESPAÑA, S.A.U., operadora de las IP de sesión informadas por MUBA, sobre el titular y domicilio de asignación de las IP más frecuentes y recientes de publicación los anuncios en las fechas que estos fueron publicados, con fecha de 10 de noviembre de 2020, se recibe en esta Agencia, escrito de contestación informando del nombre y apellidos y NIF del titular del contrato de instalación, pero sin facilitar el domicilio. Por los datos facilitados, se desprende que el titular es la madre o tía de la reclamante. ~ Realizada una solicitud de información del domicilio fiscal del titular informado por TELEFÓNICA al Servicio de Planificación y Relaciones Institucionales de la Agencia Estatal de Administración Tributaria (en adelante, AEAT), con fecha de 18 de noviembre de 2020 se recibe en esta Agencia, escrito de contestación comunicando los datos requeridos, encontrándose que el domicilio de instalación corresponde al de la reclamante. ~ Realizada una búsqueda en internet de la dirección de correo electrónico del anunciante de los anuncios publicados en “***URL.3” encontramos que esta dirección de correo electrónico está asociado a la reclamante en todos los resultados encontrados. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), reconoce a cada Autoridad de Control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que: «Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.» C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 II La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El incluir imágenes (además del teléfono en la presente reclamación) que identifican o hacen identificable a una persona, en sitios web supone un tratamiento de datos personales y, por tanto, la persona que lo hace tiene que ampararse en alguna de las causas legitimadoras señaladas en el artículo 6 del RGPD. En estos supuestos, como en el caso objeto de reclamación, la única causa legitimadora suele ser el consentimiento, en general. Y es la persona que sube las imágenes manipuladas, como en estas reclamaciones, a un sitio web la que debe demostrar que cuenta con ese consentimiento. Para que se pueda llevar a cabo lícitamente ese tratamiento tiene que cumplirse lo establecido en el artículo 6.1 del RGPD, que indica: <<1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.>>. III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 En la reclamación presentada, la reclamante indica que se ha publicado en el sitio web reclamado su teléfono de contacto y otros datos personales de la reclamante, incluyendo fotografía. Desde el sitio web reclamado, con sede en ***LOCALIDAD.1 (***PAÍS.1) han informado a la AEPD que los datos personales objeto de la reclamación se obtuvieron de forma totalmente automática mediante buscadores en la red Internet, al igual que el resto de contenido su sitio web, a excepción de los posibles comentarios de usuarios, que, en el caso de la página web reclamada, no existen. Añaden, que, en el caso concreto relativo a esta reclamación, los datos se obtuvieron de un anuncio público en Internet del sitio “***URL.3”. Procedieron a la cancelación de los datos y a solicitar a Google la desindexación de los mismos. Se solicitó información al responsable del sitio web de contactos “***URL.3”, sobre el origen de la publicación referida por el titular del sitio web “***URL.4” y otros posibles anuncios con el mismo número de teléfono de la reclamante. Como consecuencia de su contestación, se comprueba que los anuncios publicados en el sitio web de contactos “***URL.3” han sido publicados desde la dirección de la propia reclamante. Tras el resultado de las actuaciones previas de investigación efectuadas, se concluye que el sitio web reclamado publicó de forma automática una réplica de los datos de la reclamada accesibles públicamente en un anuncio del sitio web de contactos “***URL.3”, no realizando ulterior tratamiento de los mismos y suprimiéndolos en el momento en que recibió la solicitud de la AEPD. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es