E-09478-2018

1/5 Expediente Nº: E/09478/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De la petición razonada trasladada por la Letrada de la UNIDAD PROCESAL DE APOYO DIRECTO AL JUEZ DE PRIMERA INSTANCIA E INSTRUCCIÓN N 4 DE IRÚN a esta Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 17/05/2018 tuvo entrada en esta Agencia escrito la Letrada de la UNIDAD PROCESAL DE APOYO DIRECTO AL JUEZ DE PRIMERA INSTANCIA E INSTRUCCIÓN N 4 DE IRÚN remitiendo copia de diligencias previas 417/2017 "a los efectos sancionadores administrativos que pudieran corresponder". Destacan: -Hecho denunciado: usurpación, denunciante A.A.A.. -Origen: atestado de la Ertzaintza de 22/05/2017 en virtud del cual se denuncia un delito de usurpación de cuenta de INSTAGRAM, “con oficio por el que se interesa que dicha compañía facilite los datos relativos a las conexiones IP del usuario que subió fotografías en la cuenta que poseía el 21/05/2017 y ese mismo día efectuó un cambio de clave de acceso a la cuenta”. El origen fue una denuncia de A.A.A. el 21/05/2017 que manifiesta que el día 21/05/2017, en su cuenta de INSTAGRAM, usuario “***USUARIO.1” alguien accedió y ha publicado dos fotografías, una con el dedo hacia arriba haciendo un corte de mangas, y la otra de contenido sexual mostrando una vagina, y además le han cambiado las contraseñas, y que fue avisada por amigas de que en su cuenta figuraba lo manifestado. Manifiesta que “la denunciante ha podido entrar en su cuenta, ha publicado que le habían pirateado la cuenta y ha borrado las fotografías, pero acto seguido le han vuelto a publicar las mismas fotografías y ya no podía entrar en la cuenta con las claves antiguas”” “la denunciante indica que no ha facilitado las claves a nadie ni ha permitido a nadie publicar fotografías en su nombre” -Diligencia de 21/05/2017 oficio judicial a INSTAGRAM entidad ubicada en California, US para que facilite la IP del usuario que subió las fotografías en a la cuenta el 21/05/2017, y la conexión IP del usuario que el ciado día cambó la clave de acceso de la cuenta. Escrito del Juzgado de 7/11/2017 con el mismo literal dirigido a la citada entidad. La petición se amplió el 8/01/2018 a FACEBOOK. Escrito de 18/12/2017 que da respuesta a la petición de 7/11/2017 en la que se solicitaba a INSTAGRAM que revelara los datos de las conexiones IP. Indican que INSTAGRAM es una entidad constituida bajo la legislación de DELAWARE, EE. UU. y no se encuentra sometida a la jurisdicción de Tribunales y juzgados españoles”” INSTAGRAM puede proporcionar información básica del suscriptor-BSI sobre una cuenta en la medida en que exista y sea razonablemente accesible, previa notificación de una resolución judicial validad. Los datos BSI incluyen el nombre y la dirección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 correo electrónico o el número de teléfono proporcionado durante el proceso de registro fecha, hora de inicio de dicho registro, fecha, hora y dirección IP de conexiones recientes. Cualquier resolución judicial por la que se requiera la revelación de datos BSI debe identificar la cuenta a través de vanity @vanity, debe identificar la última fecha en que la cuenta estaba activa, uy debe limitarse al ámbito de datos BSIS embargo su requerimiento se excede del ámbito de los datos del BSI”” Por las razones anteriormente expuestas, INSTAGRAM entiende que no se encuentra en la obligación de proporcionar información alguna en contestación de su requerimiento.“ -Informe del fiscal al Juzgado de 24/10/2017 indicando que se trata de un acceso ilícito a un sistema informático que afecta a la intimidad y secreto de las comunicaciones. En el escrito solicita que se adopten medidas de investigación policial. -Auto de juez de 7/11/2017 que declara compleja la instrucción de la causa indicando que tendrá una duración de 18 meses contadas desde la fecha del auto de incoación. -Escrito al Juzgado del Fiscal, de 22/06/2018 en el que interesa el sobreseimiento provisional de actuaciones por no haber autor conocido. Añade que “En cuanto a la solicitud de FACEBOOK en la sede de Irlanda, no tiene visos de prosperar, habida cuenta de que previsiblemente se escudaran en la separación de ambas empresas y en la localización de sus datos fuera de las fronteras de la unión europea.” -Con fecha 5/07/2018 figura una providencia del Juez que acuerda remitirá los hechos a la AEPD. Con la misma fecha se firma el auto de sobreseimiento provisional. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el apartado 2 del artículo 56 en relación con el apartado 1

1. f)del artículo 57, ambos del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); y en el artículo 47 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD) II El RGPD establece en su artículo 3.2 a): “El presente Reglamento se aplica al tratamiento de datos personales de interesados que residan en la Unión por parte de un responsable o encargado no establecido en la Unión, cuando las actividades de tratamiento estén relacionadas con:
2. a)la oferta de bienes o servicios a dichos interesados independientemente de si a estos se les requiere su pago” C/ Jorge Juan, 6 28001 – Madrid en la Unión, www.agpd.es sedeagpd.gob.es 3/5 Instagram es una aplicación que actúa como red social ya que permite a sus usuarios subir cualquier tipo de fotos y videos, con la opción de aplicar diversos efectos fotográficos, para compartirlas no sólo en Instagram, sino en Facebook Para a crear una cuenta en Instagram por ejemplo en el móvil, una vez descargada la aplicación del App Store (iPhone) o de Google Play Store (Android) se ha de completar el registro con una dirección de correo electrónico o línea de teléfono, se crea un usuario y una contraseña, se completa la información sobre el perfil. La cuenta también se puede crear desde un ordenador o a través de FACEBOOK para registras con esa cuenta. Los Servicios de redes sociales (SRS) pueden definirse generalmente como plataformas de comunicación en línea que permiten a los individuos crear redes de usuarios que comparten intereses comunes. En sentido jurídico, las redes sociales son servicios de la sociedad de la información, según se definen en el artículo 1, apartado 2, de la Directiva 98/34/CE, modificada por la Directiva 98/48/CE. Los SRS comparten determinadas características: - los usuarios deben proporcionar datos personales para generar su descripción o «perfil»; - los SRS proporcionan también herramientas que permiten a los usuarios poner su propio contenido en línea (contenido generado por el usuario como fotografías, crónicas o comentarios, música, vídeos o enlaces hacia otros sitios5); - las «redes sociales» funcionan gracias a la utilización de herramientas que proporcionan una lista de contactos para cada usuario, con las que los usuarios pueden interactuar. Los proveedores de SRS son responsables del tratamiento de datos en virtud de la Directiva relativa a la protección de datos. Proporcionan los medios que permiten tratar los datos de los usuarios, así como todos los servicios «básicos» vinculados a la gestión de los usuarios (por ejemplo, el registro y la supresión de cuentas). Los proveedores de SRS determinan también la manera en que los datos de los usuarios pueden utilizarse. Se verifica por consulta en la web que existen varias herramientas y aplicaciones que con el nombre de usuario de una cuenta de INSTAGRAM son capaces de averiguar la contraseña de acceso de la cuenta, considerando también las medidas de seguridad que tenga implantadas el usuario, siendo más sencillo si se configuran escasas medidas de seguridad cuando se registra la cuenta, o cuando se usa la misma Si bien la seguridad 100% no existe, se pueden instaurar medidas de seguridad básicas que eviten en lo posible situaciones, aconsejándose para evitar el conocido coloquialmente como hackeo de la cuenta, se mencionan alguna: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 - autentificación en dos pasos, para que el acceso consista no solo en introducir la contraseña, sino que sea necesario introducir un código que se recibe vía telefónica como SMS. -necesidad de tener actualizada la aplicación para aprovechar las medidas de seguridad implantadas. -tener un sistema de contraseñas robusto. -correos electrónicos recibidos que pueden ofrecer apariencia legitima pero que buscan conseguir datos (phishing)., En el presente caso, se intentó obtener del responsable de la aplicación datos de la cuenta que alguna persona consiguió obtener y variar sin que la denunciante consiguiera acceder. El juez de forma razonada solicitó a la titular de INSTAGRAM la remisión de una interceptación de la comunicación electrónica en los datos electrónicos de tráfico de un usuario y en una fecha concreta que podría haber dado pistas sobre la dirección IP desde la que se lleva a cabo, sin garantizarse que dicha persona pudiera haber sido objeto de actuaciones por parte de esta AEPD si residiera en un país fuera de la UE. La petición de forma motivada, de acuerdo con la ley fue rechazada por INSTAGRAM aduciendo que no se hallan sometidos a la petición de investigación de las autoridades españolas y no tienen obligación de responder a lo solicitado. Por otro lado, se ha de añadir que los hechos acontecen el 21/05/2017, que los plazos de retención de datos de tráfico de internet, al menos en España tienen una duración de un año. No habiendo sido posible la averiguación de la posible identificación del sujeto que consiguió las contraseñas de la denunciante, procede archivar la misma. Por lo tanto, de acuerdo con lo señalado, por la directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es