1/4 Expediente Nº: EXP202103851 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Doña A.A.A., en nombre de numerosas personas (en adelante, la parte reclamante) con fecha 23 de noviembre de 2020, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra OFICINA DEL ALTO COMISIONADO DE NACIONES UNIDAS PARA LOS DERECHOS HUMANOS. Los motivos en que basa la reclamación son los siguientes: Que, en fecha 18 de diciembre de 2018, presentó una demanda ante la sede en Ginebra del Comité de Derechos Humanos contra Colombia como representante legal de algunas víctimas del terrorismo colombiano. El 15 de marzo de 2019, dicho organismo le notifica el registro de la demanda y el envío de una copia al estado colombiano para que realice las alegaciones pertinentes. Asimismo, le indica que las decisiones finales adoptadas por el Comité se hacen públicas, por lo que debe indicar si autoriza a dicho Comité a que las identidades de los denunciantes y de ella (como representante) se hagan públicas en la decisión final, mostrando su negativa para ello, con fecha 1 de junio de 2019, al ser datos de máxima sensibilidad. En el mes de septiembre, la reclamante solicita al organismo información acerca de las observaciones realizadas a la demanda por la otra parte y recibe notificación, por correo electrónico, en fecha 22 de abril de 2020, trasladándole las alegaciones realizadas, en las que figuran datos personales de la reclamante, tales como: nombre, apellidos, país de residencia, correo electrónico, etc. Asimismo, le indican que dicha información fue enviada, por error, en fecha 26 de septiembre de 2019, a otra dirección de correo electrónico: "B.B.B.@gmail.com". Junto a su reclamación, aporta documentación acreditativa, entre la que se encuentra la respuesta recibida en la que se incluye el correo electrónico enviado por error. SEGUNDO: La Subdirección General de Inspección de Datos procedió solicitar información a la Oficina reclamada, en el sentido siguiente: - Con fecha 21 de junio de 2021 se ha requerido a la OFICINA DEL ALTO COMISIONADO DE NACIONES UNIDAS PARA LOS DERECHOS HUMANOS información relativa a los hechos objeto de reclamación con su descripción detallada y cronológica. Aclaración sobre la recepción de la documentación con datos personales en la dirección de correo electrónico B.B.B.@gmail.com. Si les consta, la devolución del correo electrónico por inexistencia de la cuenta o si han conseguido contactar con el receptor indebido para que procediese a la eliminación de los contenidos y aclarar la situación. Por último, se solicitada que informasen sobre las medidas de seguridad previas al acontecimiento de esta incidencia implantadas en su entidad con objeto de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 evitar incidentes como el ocurrido, y las nuevas medidas de seguridad implantadas a raíz de este incidente para reforzar que volviera a ocurrir en el futuro, si las hubiere. Este requerimiento consta entregado en fecha 30 de junio de 2021, sin haber recibido respuesta. - Con fecha 2 de noviembre de 2021 se remitió nuevamente el requerimiento de información a la dirección de correo electrónico petitions@ohchr.org sin que haya sido atendido. FUNDAMENTOS DE DERECHO I De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Al recibir las reclamaciones en la Agencia Española de Protección de Datos, se verifica si de conformidad con el artículo 3 del RGPD somos competentes para la tramitación de la misma. El artículo 3 del RGPD, referido al ámbito territorial, establece lo siguiente: “1. El presente Reglamento se aplica al tratamiento de datos personales en el contexto de las actividades de un establecimiento del responsable o del encargado en la Unión, independientemente de que el tratamiento tenga lugar en la Unión o no. 2. El presente Reglamento se aplica al tratamiento de datos personales de interesados que residan en la Unión por parte de un responsable o encargado no establecido en la Unión, cuando las actividades de tratamiento estén relacionadas con:
- a)la oferta de bienes o servicios a dichos interesados en la Unión, independientemente de si a estos se les requiere su pago, o
- b)el control de su comportamiento, en la medida en que este tenga lugar en la Unión. 3. El presente Reglamento se aplica al tratamiento de datos personales por parte de un responsable que no esté establecido en la Unión sino en un lugar en que el DereC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 cho de los Estados miembros sea de aplicación en virtud del Derecho internacional público”. El Considerando 25 del mismo RGPD indica: “Cuando sea de aplicación el Derecho de los Estados miembros en virtud del Derecho internacional público, el presente Reglamento debe aplicarse también a todo responsable del tratamiento no establecido en la Unión, como en una misión diplomática u oficina consular de un Estado miembro”. Debe analizarse si a la Oficina del Alto Comisionado de las Naciones Unidas para los Derechos Humanos, con sedes en numerosos países de todo el mundo, le sería aplicable el apartado 3, del artículo 3 del RGPD. La Oficina del Alto Comisionado de las Naciones Unidas para los Derechos Humanos es una es un organismo especializado del sistema de Naciones Unidas, la principal entidad de las Naciones Unidas en derechos humanos. Forma parte de la Secretaría de las Naciones Unidas y su sede principal está establecida en Ginebra. En consecuencia, la investigación y, en su caso, sanción del tratamiento de datos realizado por la mencionada Oficina no entraría en el ámbito competencial de esta Agencia. Las actuaciones efectuadas se realizaron para poder conocer las circunstancias de los hechos objeto de reclamación e informar de ello a los reclamantes, a través de su representante. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a Doña A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-200122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es