E-06555-2017

1/10 Expediente Nº: E/06555/2017 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad UNIVERSIDAD COMPLUTENSE DE MADRID en virtud de denuncia presentada por D. A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 26/10/2017, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante), en el que formula denuncia contra la entidad UNIVERSIDAD COMPLUTENSE DE MADRID (en lo sucesivo UCM), en la que se matriculó para el curso académico 2016/2017. En concreto, se refiere el denunciante a diversas circunstancias que derivan del contrato de prestación de servicios que la citada Universidad tiene suscrito con la entidad Google Inc. (actualmente Google LLC) para el correo electrónico bajo el dominio “ucm”, destinado a la comunidad universitaria, señalando que la creación de una cuenta de correo en dicho dominio conlleva la aceptación de las condiciones de servicio y la Política de privacidad de Google, en la que figura que la finalidad principal es publicitaria y comercial ( “Nuestros sistemas analizan tu contenido para ofrecerte funciones de productos que sean relevantes para ti...”); que la compañía vincula el contenido de los datos de otros servicios; y que la misma efectúa tratamiento de datos de carácter personal (“La información que recogemos cuando inicias sesión en google, además de los datos que obtenemos sobre ti a través de nuestros partners, se puede asociar a tu cuenta de Google. Cuando la información se asocia a tu cuenta de Google la tratamos como información personal”). El denunciante manifiesta que la UCM no informa en la matrícula de los alumnos de todos estos hechos, únicamente de una colaboración con Google a partir de octubre de 2012 (“El objetivo de esta iniciativa es ofrecer a la comunidad universitaria una serie de servicios en la nube. Entre ellos un buzón de correo de 25GB”), sin especificar otros aspectos como el destino de los datos, ubicación de los servidores o los responsables de los tratamientos. Así mismo manifiesta que la UCM tampoco informa sobre el procedimiento para ejercer los derechos. Por otra parte, añade que es requisito indispensable para tener una cuenta de correo introducir una clave proporcionada por la propia Universidad y seguir los pasos establecidos por la UCM en su web http://www.ucm.es, entre los que figura la Gestión de la Identidad UCM y dentro de ella, las “Condiciones de uso” de las cuentas de correo, en la que consta como finalidad la utilización para fines académicos y otros de carácter personal o privado legal y no comercial. En los principios generales también figura que se prohíbe el envío de “spam”, los envíos masivos y que a través de la cuenta se podrán recibir las comunicaciones de la UCM. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/10 El denunciante manifiesta que esta información soló se refiere a la Gestión de Identidad UCM y no a las condiciones de utilización de correo electrónico que corresponden a las condiciones de Google, lo que supone una recogida de datos en forma engañosa o fraudulenta ya que los datos se almacenan en Estados Unidos. Entre otra, anexa la siguiente documentación:  Fotografía de la pantalla de Política de Privacidad al dar de alta una cuenta de correo en el dominio “ucm” que muestra la Bienvenida a la nueva cuenta e informa que es compatible con muchos servicios de Google pero el administrador ucm.es decide cuáles de ellos son accesibles. Así ismo informa que “al usar los servicios de Google, el administrador del dominio puede acceder a tu información de la cuenta…, como los datos que almacenes con esta cuenta en los servicios de Google…”.  Impresión del buzón de una cuenta de correo “ucm” en el que se observa la dirección IP 216.58.201.133 para el dominio mail.goggle.com  Fotografía de la página de un servicio de geolocalización que muestre el lugar exacto de ubicación en Estados Unidos en octubre de 2017.  Fotografías digitales de dos búsquedas realizadas con el buscador de la web de UCM http://www.ucm.es con el argumento de búsqueda “sites:google” sin obtener ningún registro. SEGUNDO: Tras la recepción de la denuncia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados. En el marco de dichas actuaciones se remitieron dos requerimientos de información a la entidad UCM, que informó lo siguiente: 1. La Universidad ha aportado copia del convenio suscrito con Google Ireland Limited para la utilización de los servicios G Suite para Educación de Google en el que se incluye un Acuerdo de Tratamiento de Datos, y copia de las Cláusulas Contractuales Tipo suscritas con Google LCC (anteriormente Google Inc). En el citado acuerdo consta que la UCM es la responsable del fichero y Google el encargado del tratamiento y que UCM ha decidido que los datos de los usuarios sean tratados por Google como parte de los servicios en el ámbito de las prestaciones que conforman los mismos, que se describen en las Políticas de Privacidad de Google, comprometiéndose esta entidad a prestar los servicios y a tratar dichos datos con arreglo a las mismas. Las políticas de Privacidad de Google se incorporan por referencia al Acuerdo. También figura que “Google únicamente tratará los datos personales de los Usuarios con las siguientes finalidades: (

1. l)prestar los Servicios (incluyendo la prevención de spam, realizar copias de seguridad de mensajes y mostrar contenido y publicidad personalizada); (Il) mantener, proteger y mejorar los Servicios (incluyendo el desarrollo de nuevas aplicaciones y características como parte de los Servicios); (III) asegurar el funcionamiento técnico de la red de Google (incluyendo la detección, prevención o el tratamiento de cualquier otra forma. de cualquier fraude, cuestiones de seguridad o cuestiones técnicas): (lV) hacer cumplir los términos del servicio que sean aplicables (incluyendo la Investigación de potenciales incumplimientos de los mismos); (V) proteger los derechos, la propiedad y la seguridad de Google, sus usuarios o el público, conforme lo permita la ley aplicable: y (VI) acceder, usar, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/10 preservar o comunicar los datos para cumplir con cualquier ley, regulación, procedimiento judicial o requerimiento gubernamental que sea aplicable”. En el Acuerdo consta que la política de privacidad está disponible en la dirección http://www.google.com/privacypolicy.html así como en las modificaciones que introduzca Google. El acceso a la dirección http://www.google.com/privacypolicy.html se redirige a la dirección https://policies.google.com/privacy/hl.es, en la que consta la política de privacidad. A este respecto la UCM ha aportado a esta Agencia la Política de Privacidad de Google disponible en la dirección https://policies.google.com/privacy/hl.es, en la que figura información sobre la posible utilización de los datos aportados, la utilización de cookies… y “nuestros sistemas automatizados analizan tu contenido (incluidos los correos electrónicos) para ofrecerte funciones de productos que sean relevante para ti, como resultados de búsqueda y anuncios personalizados, así como detección de software malicioso y spam“. No obstante figura que “la política de privacidad se aplica a todos los servicios ofrecidos por Google y sus filiales… pero excluye aquellos servicios que están sujetos a políticas de privacidad independientes que no incorporan la presente política de privacidad”. El Acuerdo de Tratamiento de Datos aportado por la UCM modifica las cláusulas de la Política de Privacidad de Google. En dicho Acuerdo consta lo siguiente:  En el apartado 5.3 respecto de las restricciones al procesamiento figura que, sin perjuicio de cualquier otro término del Acuerdo, Google no procesará los datos del cliente con fines publicitarios ni realizará publicidad en los servicios.  En el apartado 5.4. sobre productos adicionales, figura que el Cliente reconoce que si instala, usa o habilita Productos Adicionales, los Servicios pueden permitir que dichos Productos Adicionales accedan a los datos del cliente según sea necesario para la interoperación de esos Productos Adicionales con los Servicios. El cliente puede habilitar o deshabilitar productos adicionales. El Cliente no está obligado a utilizar Productos Adicionales para usar los Servicios.  En el apartado 10 sobre transferencias de datos figura que Google puede almacenar y procesar los datos del cliente en los Estados Unidos o en cualquier otro país en el que Google mantenga instalaciones. Si el almacenamiento o procesamiento implica transferencias de datos personales del Cliente fuera del Estados Unidos, la Legislación de Protección de Datos se aplica a las transferencias de dichos datos y requerirá que el Cliente suscriba Cláusulas de Contrato Modelo con respecto a tales transferencias, a menos que Google haya adoptado una Solución de Transferencia Alternativa. 2. La prestación de los servicios G Suite para Educación corresponden al servicio de correo electrónico, calendario, videoconferencias, presentaciones, documentos y almacenamiento en nube. La Universidad manifiesta que Google trata los datos necesarios para la prestación de estos servicios, lo cuales se especifican en el Apéndice 1 del Acuerdo para el tratamiento de datos de G Suite. En dicho Apéndice figura, entre otra información, la identificación de usuarios, correos electrónicos, documentos, presentaciones, imágenes, entradas a calendarios, tareas… 3. La ubicación de los centros de Google que pueden albergar datos para los servicios G C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/10 Suite para Educación está publicada en la dirección web https://www.google.com/about/datacenters/insade/locations/index.html y se encuentran en diversos países de América, Asia y Europa. Corresponde a lo estipulado en la cláusula 10.3 del Acuerdo para el Tratamiento de Datos para los servicios de G Suite. La Universidad manifiesta que las Cláusulas Contractuales Tipo suscritas con Google LCC se consideran por la Agencia garantías adecuadas para las transferencias internacionales de datos a Estados Unidos 4. El alta de un usuario en el dominio “ucm” comienza con la asignación de identificador de usuario de los servicios informáticos de la UCM (alumnos o trabajadores de la Universidad). En este proceso la UCM proporciona al usuario un “código de activación” para continuar con el siguiente apartado de Gestión de Identidad, en el que se deben efectuar los siguientes pasos para poder activar los servicios:     “Lea y acepte las condiciones de uso Elija su identificador de usuario Elija la nueva contraseña Proporcione datos de contacto adicionales” El usuario elige su identificador y su contraseña y debe aceptar las condiciones de uso redactadas por el Departamento de Seguridad. Opcionalmente puede aportar una dirección de correo electrónico externa al dominio “ucm” y un teléfono móvil. Una vez finalizado, se muestra un mensaje indicando que se ha completado la activación y creado un buzón en la nube de la Universidad e información básica sobre protección de datos (primera capa de información) del tratamiento Correoweb. En las condiciones de uso (disponibles también en https://idm.ucm.es/idmNormas.html) se informa, entre otros aspectos, que solo se podrán utilizar estos servicios para “fines académicos y otros de carácter personal o privado legal y no comercial”. Asimismo, se informa sobre la política de privacidad, en la cual se indica que el responsable del fichero es el Vicerrectorado de Informatica y Comunicaciones de la Universidad, indicando la finalidad y el procedimiento para ejercer los derechos ARCO. Los datos asociados a la cuenta activada corresponden a nombre y apellidos (recabados con anterioridad en los procesos de inscripción del alumno o de contratación en el caso de un empleado), e identificador. 5. La primera vez que el usuario accede a la cuenta se muestra una pantalla de bienvenida en la que se indica que la cuenta creada es compatible con muchos servicios de Google, pero el administrador de UCM decide a que servicios puedes acceder. El acceso a los servicios de G. Suite se rigen por el acuerdo con UCM, cualquier otro servicio de Google que habilite el administrador está regulado por las Condiciones de Servicio de Google y la Política de Privacidad de Google. Es obligatorio aceptar la pantalla de bienvenida. La UCM manifiesta que un usuario puede no aceptar las condiciones de Google por lo que dispondrá de todas formas de una cuenta “ucm” que le permite acceder a los servicios de la Universidad (matricula, gestión académica…) pero no dispondrá de correo ni acceso a las aplicaciones de G Suite. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/10 6. Los servicios habilitados por la Universidad de G Suite contratados con Google corresponden a: Calendario, Clasroom (documentos sin papel), Drive (compartir archivos), Gmail (correo electrónico), Google Apps Vault (archivo, búsqueda de correos, chat) Google Talk/Hangouts (videoconferencia y conversaciones en texto), Groups for business para administradores (grupos y listas de distribución), sincronización con Google Crome y Keep (crear y compartir notas y tareas). Se encuentran no habilitados los servicios de Contactos y sitios web. Junto con estos servicios se encuentran habilitados servicios generales de Google: Analytics, Blogger, Google +… En el manual para titulares de cuentas de la Universidad, en el apartado Presentación, figura que al activar la cuenta se tiene disponible un buzón de correo electrónico de 25GB y una serie de servicios que se implementan de forma progresiva. En la prima fase se podrá acceder a: Gmail, Calendar, GTalk, Drive, y Docs. El resto de los servicios estarán disponibles en la web de forma gradual. 7. Respecto de la necesidad de aceptar la política de privacidad de Google, la Universidad manifiesta que para los servicios de G Suite habilitados por la Universidad ya se encuentra regulada por el Acuerdo de Tratamiento de Datos y las Cláusulas Contractuales tipo suscrito para la prestación del servicio de G Suite. El resto de los servicios adicionales que Google proporciona se regulan por la política de privacidad y las Condiciones de uso de Google. Estos servicios adicionales pueden ser activados o desactivados por los usuarios. 8. Respecto de los administradores del sistema de los servicios aportados por G Suite, la Universidad manifiesta que todos ellos son empleados de la Universidad y pueden acceder a los datos de las cuentas de los usuarios. La Universidad dispone de:  seis cuentas de superadministradores  dos cuentas de administradores de grupo y usuarios  seis cuentas de operadores de usuarios. Los superadministradores también pueden modificar los datos de las cuentas TERCERO: Por los Servicios de Inspección, se incorpora a las actuaciones copia de la Resolución dictada en el procedimiento señalado con el número TI/00153/2017, por la que esta Agencia declara adecuadas las garantías establecidas en los modelos de contratos aportados por Google Inc. (actualmente Google LLC) para la transferencia internacional de datos con destino a dicha entidad, establecida en Estados Unidos, y actuando como encargado del tratamiento, con motivo de la prestación de servicios de computación en nube. En dicha resolución, además, se resuelve considerar autorizadas las transferencias internacionales de datos con destino a los Estados Unidos que se realicen al amparo de las cláusulas contractuales mencionadas, en las condiciones que en la misma se expresan. El supuesto objeto de análisis en la resolución citada se refiere a las garantías establecidas con carácter general en los supuestos de contratación de los servicios de computación en nube prestados por Google Inc., y estuvo motivado por la solicitud presentada por dicha entidad con fecha 26/05/2017, en la que expone que presta los servicios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/10 de computación en nube (cloud computing) denominados: Cloud Platform y G-Suite a través de Google Ireland, LTD, establecida en Irlanda, que ofrece a los clientes la firma, junto con el correspondiente contrato comercial, de un acuerdo de tratamiento de datos llamado "Términos y Condiciones de Seguridad y Tratamiento de Datos". En dicha solicitud se indica que los servicios son prestados por Google Ireland, LTD como encargado del tratamiento, por sí misma o a través del subcontratista Google Inc., sociedad matriz del Grupo Google, establecida en los Estados Unidos. Y se añade que, con la finalidad de aportar las garantías suficientes para las transferencias de datos a Google Inc., ofrece a sus clientes la posibilidad de firmar las cláusulas contractuales tipo adoptadas por la Comisión Europea en su Decisión 2010/87/UE, y un acuerdo suplementario a dichas cláusulas para adecuar a las características de los servicios de computación en nube la realización de las auditorias de las actividades de tratamiento y la subcontratación de operaciones de tratamiento. En la misma resolución se advierte que la incorporación de las garantías adecuadas en el marco contractual presentado por el solicitante fue evaluada por el Grupo de Trabajo del artículo 29 de la Directiva 95/46/CE, en el marco del procedimiento establecido en el documento de trabajo 226, del que no se dispone de traducción oficial al idioma español, denominado "Working Document Setting Forth a Co-Operation Procedure for Issuing Common Opinions on "Contractual clauses" Considered as compliant with the EC Model Clauses". En este documento, el Grupo de Trabajo del artículo 29 estableció un procedimiento que permitiese a las compañías que quisieran utilizar un mismo grupo de cláusulas contractuales que, aunque basadas en las cláusulas modelos aprobadas por la Comisión Europea, incluyesen algunas adicionales con el fin de adaptar las garantías contractuales a las especificidades de la prestación de servicios en el contexto de la computación en la nube. La finalidad de esta evaluación dentro del procedimiento coordinado establecido al efecto es la de obtener una opinión coordinada de todas las autoridades de protección de datos sobre los contratos propuestos a evaluación y decidir, en particular, si las garantías aportadas por el contrato pueden considerarse conformes a las cláusulas contractuales tipo aprobadas por la Comisión Europea. De acuerdo al procedimiento establecido en el citado documento de trabajo 226, los documentos Términos y Condiciones de Seguridad y Tratamiento de Datos" y "Contrato de la Adenda de Tratamiento de Datos" fueron analizados por el Grupo de Trabajo de autoridades de protección de datos creados por el artículo 29 de la Directiva 95/46/CE, bajo el liderazgo de la Autoridad de Protección de Datos de Irlanda ("Data Protection Commissioner") y conforme al procedimiento coordinado establecido en el mencionado documento de trabajo 226 del dicho Grupo. Finalizado el procedimiento coordinado, con fecha 30/12/2016, el Grupo del artículo 29 consideró que los documentos "Términos y Condiciones de Seguridad y Tratamiento de Datos" y "Contrato de la Adenda de Tratamiento de Datos" cumplían con los requisitos de la Decisión de la Comisión Europea sobre cláusulas contractuales tipo para la transferencia internacional de datos 2010/87/UE, de 5 de febrero de 2010 y, en consecuencia, no deberían ser consideradas como cláusulas "ad hoc". C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/10 FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
2. d)en relación con el artículo 36, ambos de la LOPD. II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III El presente procedimiento se circunscribe a determinar la regularidad de los servicios “G Suite para Educación” de Google habilitados por la UCM con destino a la comunidad universitaria, entre los que se incluye el servicio Gmail (correo electrónico) al que se refiere el denunciante. Dichos servicios se prestan al amparo del convenio suscrito por la citada Universidad Google Ireland Limited, que incluye un Acuerdo de Tratamiento de Datos, según el cual la UCM es la responsable del fichero y Google el encargado del tratamiento, de modo que los datos personales son tratados por esta última entidad en el ámbito de las prestaciones que conforman los servicios contratados y con arreglo a las estipulaciones convenidas, sin que en ningún caso pueda procesar los datos con finalidades publicitarias. Conforme al artículo 3.
3. d)de la LOPD, el responsable del fichero o del tratamiento es “la persona física o jurídica... que decida sobre la finalidad, contenido y uso del tratamiento”. En el artículo 5.1.
4. q)del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), se define “Responsable del fichero o del tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente”. El artículo 3.
5. g)de la LOPD, define la figura del encargado del tratamiento como “…la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, sólo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento…”. Y el artículo 5.1.
6. i)del RDLOPD lo define como “La persona física o jurídica, pública o privada, u órgano administrativo que, solo o conjuntamente con otros, trate datos personales por cuenta del responsable del tratamiento o del responsable del fichero, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/10 En cuanto a las relaciones entre el responsable del fichero o tratamiento y el encargado del tratamiento, habrá que estar a lo dispuesto en el art. 12 de la LOPD: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. Por tanto, el acceso por parte de Google a los datos personales que conlleva la prestación de los servicios contratados por la entidad UCM queda amparado por lo dispuesto en el citado artículo 12 de la LOPD. A este respecto, el Grupo de Trabajo creado por el artículo 29 de la Directiva 95/46/CE, en su Dictamen 05/2012 sobre la computación en nube, adoptado el 1 de julio de 2012 (WP 196), señala lo siguiente: "El cliente determina el objetivo último del tratamiento y decide sobre la externalización de este tratamiento y la delegación de la totalidad o de parte de las actividades de tratamiento a una organización externa. El cliente actúa por tanto como responsable del tratamiento. La Directiva define al responsable del tratamiento como «la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que sólo o conjuntamente con otros determine los fines y los medios del tratamiento de datos personales». El cliente, como responsable del tratamiento, debe aceptarla responsabilidad de respetarla legislación sobre protección de datos, y es responsable y está sujeto a todas las obligaciones legales que figuran en la Directiva 95/46/CE. El cliente podrá encargar al proveedor que elija los métodos y medidas técnicas y de organización adecuados para alcanzar los fines del responsable del tratamiento. El proveedor es la entidad que presta los servicios de computación en nube de las distintas formas que se han mencionado. Cuando el proveedor suministra los medios y la plataforma, actuando en nombre del cliente, se considera que es el encargado del tratamiento es decir, con arreglo a la Directiva 95/46/CE, «la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo que, solo o conjuntamente con otros, trate datos personales por C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/10 cuenta del responsable del tratamiento»." Por otra parte, las garantías ofrecidas en estas contrataciones de servicios de computación en nube prestados por Google, fue analizada con carácter general por el Grupo de Trabajo del artículo 29 de la Directiva 95/46/CE, en el marco del procedimiento establecido en el documento de trabajo 226, a partir de las cláusulas contractuales tipo adoptadas por la Comisión Europea en su Decisión 2010/87/UE y de los acuerdos suplementarios o cláusulas adicionales que pudieran incluirse para adaptar las garantías a las especificidades de la prestación de servicios en el contexto de la computación en la nube. En el citado documento de trabajo 226 se analizaron los documentos Términos y Condiciones de Seguridad y Tratamiento de Datos" y "Contrato de la Adenda de Tratamiento de Datos" y, con fecha 30/12/2016, el Grupo del artículo 29 consideró que tales documentos cumplían con los requisitos de la Decisión de la Comisión Europea sobre cláusulas contractuales tipo para la transferencia internacional de datos 2010/87/UE, de 5 de febrero de 2010. El resto de los servicios adicionales que Google proporciona, no incluidos en los servicios “G Suite para Educación”, se regulan por la política de privacidad y las Condiciones de uso de Google. Sin embargo, estos servicios adicionales pueden ser activados o desactivados por los usuarios. Estas circunstancias se expresan claramente por parte de la Universidad a los alumnos y trabajadores para los que se habilitaron los servicios objeto de las actuaciones. Así, en el proceso de alta, estos usuarios deben aceptar las condiciones de uso redactadas por el Departamento de Seguridad, en las que se informa, entre otros aspectos, que solo se podrán utilizar estos servicios para “fines académicos y otros de carácter personal o privado legal y no comercial”. Asimismo, se informa sobre la política de privacidad, detallando que el responsable del fichero es el Vicerrectorado de Informatica y Comunicaciones de la Universidad, así como la finalidad y el procedimiento para ejercer los derechos. Asimismo, la primera vez que el usuario accede a la cuenta recibe un mensaje de bienvenida y se le advierte que el acceso a los servicios de G. Suite se rigen por el acuerdo formalizado por la UCM y que la cuenta creada es compatible con muchos servicios de Google, los cuales, sin son distintos a los habilitados por el administrador, están regulados por las Condiciones de Servicio de Google y la Política de Privacidad de Google. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a la UNIVERSIDAD COMPLUTENSE DE MADRID y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/10 Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es