1/5 Procedimiento Nº: E/06754/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por Doña A.A.A. (en adelante, el reclamante) tiene entrada con fecha 18 de junio de 2020 en la Agencia Española de Protección de Datos. La reclamación se dirige contra ***URL.1 (en adelante, el reclamado). Los motivos en que basa la reclamación son los siguientes: la publicación en el portal web ***URL.1 de un anuncio de alquiler de la vivienda de la reclamante. Ella no ha ordenado la publicación del anuncio en dicha web, ni en ninguna otra desde hace más de dos años. En el anuncio se incluye su número de teléfono, y no deja de recibir llamadas y mensajes interesándose por el alquiler. SEGUNDO: Con fecha 13 de agosto de 2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ~ Con fecha 17 de agosto de 2020 se accede a la URL facilitada por la reclamante ***URL.2 verificando que figura el anuncio relativo a un piso en la calle ***DIRECCIÓN.1, en ***LOCALIDAD.1. ~ Se accede a ***URL.1, y se recaba su política de privacidad, verificando que no informa de procedimiento para contactar con la entidad ni como solicitar la cancelación de datos personales. No obstante, sí informa de que “***URL.1 proporciona solo una herramienta que permite a los usuarios ingresar a una relación comercial. Cada anunciante es el único responsable de la legalidad de su anuncio” ~ Se consulta en Whois los datos de registro del dominio ***DOMINIO.1, encontrándose la mayoría de la información oculta salvo los datos del registrante ENOM INC y la provincia del registrante ***LOCALIDAD.2 (***PAÍS.1) ~ Se intenta contactar con el registrante en el enlace ***URL.3 obteniendo un mensaje de error. ~ Se consultan datos de ENOM INC obteniendo como información ***DIRECCIÓN.2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 Correo para asuntos legales ***EMAIL.1. Se comprueba que ENOM es un servicio de TUCOWS La dirección de tucows es: ***DIRECCIÓN.3 Teléfono: ***TELÉFONO.1 Número gratuito: ***TELÉFONO.2 Correo electrónico general: ***EMAIL.2 ~ Hay una dirección en Alemania ***DIRECCIÓN.4 Se contacta con la entidad utilizando el formulario web Estimados señores, Para poder investigar una reclamación desde la Agencia Española de Protección de Datos relacionada con la publicación del teléfono de una ciudadana española en un anuncio fraudulento en la URL ***URL.2 Necesitamos que nos proporcionen los datos de contacto de la entidad responsable del dominio ***DOMINIO.1 que según figura en WHOIS fue registrado por ENOM un servicio de TUCOWS. También le solicitamos que informen a los responsables de la web tixduz.com que den de baja el anuncio. Dear Sirs, In order to investigate a claim from the Spanish Agency for Data Protection related to the publication of the telephone number of a Spanish citizen in a fraudulent advertisement at the URL ***URL.2 We need you to provide us with the contact details of the entity responsible for the domain ***DOMINIO.1, which according to the WHOIS, was registered by ENOM, a TUCOWS service. We also ask you to inform those responsible for the tixduz.com website to unsubscribe the advertisement. No se ha recibido respuesta a este requerimiento ~ Con fecha 26 de mayo de 2021 se accede a la dirección facilitada por el reclamante en la que se publica la venta de su piso ***URL.2 verificando que el anuncio sigue accesible aunque el contenido (el piso publicitado) no se corresponde con el del afectado ya que se refiere a uno de ***LOCALIDAD.3. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), reconoce a cada Autoridad de Control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que: «Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.» II La reclamación que examinamos versa, en el primer caso, sobre el tratamiento de los datos de la reclamante sin legitimación para ello. El artículo 6 del RGPD, “Licitud del tratamiento”, establece como causas legitimadoras: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
- c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
- c)y e), deberá ser establecida por: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5
- a)el Derecho de la Unión, o
- b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. Paralelamente el artículo 4 del RGPD define el “tratamiento” como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción o consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación, de acceso, cotejo o interconexión, limitación, supresión o destrucción” En el caso objeto de reclamación, referido a la la publicación en el portal web ***URL.1 de un anuncio de alquiler de la vivienda de la reclamante, sin que lo hubiese solicitado, supone un tratamiento de sus datos, el teléfono, sin legitimación para ello. III El artículo 67 de la LOPDGDD establece los siguiente: “1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.” Durante estas actuaciones se trató de identificar al responsable de la inclusión como se indica en los antecedentes. A través del formulario web se solicitó información del responsable de la publicación del piso con los datos de la reclamante y también se indicó que se suprimiese el anuncio. No se ha recibido respuesta, pero si se ha modificado el anuncio al aparecer la provincia de ubicación del piso en ***LOCALIDAD.3, en lugar de ***LOCALIDAD.1. No se ha podido determinar quien es el responsable del tratamiento objeto de reclamación. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es