E-07449-2019

1/5 Procedimiento Nº: E/07449/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por D. A.A.A. (en adelante, el reclamante) tiene entrada con fecha 10/10/2018 en la Agencia Española de Protección de Datos. La reclamación se dirige contra GOOGLE INC. (GOOGLE SPAIN, S.L., con NIF B63272603). (en adelante, el reclamado). Los motivos en que basa la reclamación están basados en las irregularidades cometidas en el tratamiento de datos por la anterior compañía y que las ultimas políticas de privacidad son fraudulentas e ilícitas siguiendo una línea de fraude en la recogida de datos, alegando en síntesis lo siguiente:

1. a)que el responsable elude afirmar en sus políticas de privacidad que los ciudadanos de la UE tienen derecho a un recurso efectivo en relación con sus datos de carácter personal, invocando un mecanismo reconocido por el acuerdo Escudo de Privacidad al que la compañía se encuentra adherida, sin embargo en su policita de privacidad no lo recoge claramente pues aunque lo arguye no lo explica en que consiste;
2. b)que a los usuarios no se les informa de que sus datos se transfieren y tratan en EEUU y por tanto son transferidos a dicho país, evitando decirlo de esta forma y aludiendo a que los datos pueden tratarse en cualquier otro lugar fuera del país de origen pero no indicando en que países para que el usuario pueda conocer el régimen de idoneidad de protección y el Derecho ante el que pueden hacer efectivos sus derechos;
3. c)la ausencia de voluntad de síntesis y organización de la información de manera que el usuario no tiene claro que es lo que hace Google con sus datos, desplazando lo relevante y sobrecargando lo prescindible;
4. d)que las finalidades son lo suficientemente amplias para permitir englobar la acumulación de datos de las personas de cara a conseguir una personalización máxima de sus productos y servicios, así como su vigilancia y, en este sentido, los registros de las actividades de las personas son masivos y abarcan acciones muy personales. Las finalidades son o deberían ser concretas por lo que estos fines son frontalmente contrarios al Derecho y por último señala que los derechos de cancelación y exclusión pueden no ser sino virtuales y dado que si ciertos registros quedan modificados y el responsable considera que en aras de la seguridad no han de borrarse, no se borraran: Posteriormente, en escrito de 24/10/2018 el reclamante se refiere a una brecha de seguridad en Google, ocurrida en marzo y que como responsable de la misma no ofrece información clara y veraz sobre los detalles de la aquella: número de afectados, información comprometida, etc, sino todo lo contrario y además esperando todo este tiempo a informar sobre el incidente. Y el 31/10/2018 aporta escrito adjuntando pruebas y referencias de Internet como anexo al anterior escrito y como complemento a tener en cuenta en relación con el primer escrito de reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: El 02/11/2018 fue trasladada al Google la reclamación presentada para su análisis y comunicación al denunciante de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. En la misma fecha se le comunicaba a la reclamante la recepción de la reclamación y su traslado a la entidad reclamada. El 27/11/2018 el reclamado solicito ampliación de plazo para presentar la información requerida. El 18/12/2018 el reclamante presento escrito invocando que no estaba de acuerdo con dar traslado de su reclamación a Google LLC y criticando el uso de la citada denominación; propone la de Google Inc., o incluso Alphabet Inc., invitando a la Agencia a investigar la identidad del responsable. El 18/12/2018 Google respondía a la solicitud de información señalando que el objeto de la reclamación eran versiones obsoletas de la política de privacidad que no estaban vigentes en el momento de la presentación de la reclamación; que las afirmaciones vertidas por el reclamante eran inexactas conteniendo juicios de valor y opiniones que no acreditaban la comisión de infracción alguna; que en la nueva política de privacidad se detallaba donde se encontraban los servidores y se hablaba claro de la política de privacidad. Asimismo, se aportaban el escrito en el que se había informado al reclamante sobre la incidencia reclamada. TERCERO: Con fecha 09/01/2019, de conformidad con el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante contra el reclamado. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II El artículo 13 del RGPD se establece la información que debe facilitarse a los interesados en el momento de la recogida de sus datos, estableciendo lo siguiente: “Información que deberá facilitarse cuando los datos personales se obtengan del interesado. 1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
5. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
6. b)los datos de contacto del delegado de protección de datos, en su caso;
7. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; 4.5.2016 L 119/40 Diario Oficial de la Unión Europea ES
8. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
9. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
10. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
11. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
12. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
13. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
14. d)el derecho a presentar una reclamación ante una autoridad de control;
15. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5
16. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. IV En el presente caso, la reclamación interpuesta versa principalmente acerca de la vulneración de la política de privacidad y transparencia por Google en relación con la normativa en materia de protección de datos de carácter personal, refiriéndose a versiones e informaciones sobre la citada política de la entidad reclamada que ya se encuentran obsoletas al no encontrarse actualmente en vigor por haber sido modificadas posteriormente por la propia entidad con ocasión de su adaptación al nuevo RGPD. En un primer momento, la presente reclamación fue trasladada a la autoridad irlandesa en materia de protección de datos, al entender que la misma era la autoridad principal para conocer de este asunto teniendo en cuenta que el responsable tenía ubicado en Irlanda su establecimiento principal, en los términos del artículo 4 del RGPD. No obstante, la autoridad irlandesa negó su competencia argumentando que la reclamación había sido presentada con anterioridad al 21 de enero, fecha en la que el responsable efectivamente fijó su establecimiento principal en dicho Estado Trasladada la reclamación a Google, solicitó la ampliación de plazo para realizar alegaciones, así como la dirección del reclamante para darle una respuesta sobre la incidencia reclamada; respuesta que ha sido trasladada asimismo a la Agencia. En este sentido habría que señalar que Google ha actualizado su actual Política de Privacidad tras meses de trabajo a fin de actualizar sus políticas y cumplimentar el nuevo reglamento general de protección de datos (RGPD). Así, Google indica y detalla los datos que recopila, cómo los utiliza y el modo en el que se pueden modificar, gestionar, descargar, eliminar, etc., y el ejercicio de los derechos establecidos en el citado Reglamento, con la finalidad de ayudar a entender cómo trata la información y cómo se puede gestionar la privacidad cuando se utilizan sus servicios y la forma en que los usuarios pueden controlar la información que Google recaba y los usos de dicha información. Aporta la dirección web para poder acceder a la versión actualizada de su Política de Privacidad y a la información sobre los Macos para la Transferencia de Datos a través de la URL:***URL.1 Aporta igualmente información sobre las Transferencias de Datos y su adhesión a los principios del Privacy Shield y la información que se presta a los usuarios sobre la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 forma de contactar si tienen alguna consulta sobre las prácticas en relación con esta materia. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. y a GOOGLE INC. (GOOGLE SPAIN, S.L., con NIF B63272603). De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
17. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán indiinterponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es