E-11786-2019

1/6  Procedimiento Nº: E/11786/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por Don A.A.A. (en adelante, el reclamante) tiene entrada con fecha 27 de septiembre de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra ALUMNIUS CORP. Los motivos en que basa la reclamación son: - Publicación de datos personales del reclamante (nombre, apellidos, puesto de trabajo, formación y experiencia) en el portal web ***URL.1 - Ha intentado, sin éxito, solicitar la supresión de sus datos mediante los enlaces proporcionados en la política de privacidad del portal web y a través de la dirección de correo electrónico de la empresa que ha registrado el dominio ***DOMINIO.1 Junto a la reclamación aporta la siguiente documentación: - Copia de los datos personales publicados, y prueba de los intentos infructuosos de suprimir la información efectuados por el reclamante (ha intentado hacer uso de los enlaces proporcionados en la política de privacidad y ha escrito un email a la dirección ***EMAIL.1, que es la que aparece al buscar el dominio ***DOMINIO.1 en la página web de la ICANN. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: La página con los datos personales del reclamante tiene la siguiente URL: ***URL.2 El portal web es un directorio que, aparentemente, recopila datos de personas tituladas universitarias. En el caso del reclamante, lo que se publica parece el perfil de una red social profesional como Linkedin, reflejando su perfil académico y formación y su experiencia profesional. La política de privacidad del sitio web no refleja la posibilidad de ejercitar derechos. Expresamente no se refleja ninguna vía de contacto, aunque en el sitio web aparece claramente una dirección postal (en ***PAIS.1) y un formulario de contacto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 Los datos, según la política de privacidad, provienen de fuentes de acceso público y terceros sin especificar. - Una reclamación anterior, por los mismos hechos, se incluyó en el procedimiento de transfronterizo, establecido en el RGPD. En un caso comunicado a la autoridad ***AUTORIDAD.1, ésta afirmaba, con fecha 10 de diciembre de 2018: "There is no such company registered in Cyprus and the address provided on the website (77 Spyrou Kyprianou Avenue 6052, ***PAIS.1) does not exist. Indeed one of our staff members has visited the site earlier this month and found that there is not such a company established at the before mentioned address”. Es decir, que la dirección postal que aparece en la información, no existe. Se había realizado una visita de inspección por la autoridad de protección de datos chipriota, comprobando que la compañía no se encontraba en esa dirección. Se requirió ayuda a la policía chipriota y, en fecha 18 de noviembre de 2019, la Autoridad chipriota informa que la policía les ha comunicado que parece que la empresa no está en la dirección que especifican. El dominio de ***URL.1 está registrado por Key Systems, basado en Alemania o Moniker online services en USA (en cuya web declaran que su DPD está en Key Systems). El servicio está alojado en Rusia. La Autoridad Chipriota considera que no hay conexión alguna con ***PAIS.1 y no van a asumir esta reclamación contra la entidad reclamada caso como autoridad principal. Proponían investigar de forma independiente y cooperar ambas agencias. La Autoridad ***AUTORIDAD.1 ha solicitado a Moniker online services, Key Systems y King Servers información sobre las personas o empresas que han registrado los dominios y que administran las webs, pero hasta el momento no han recibido respuesta. TERCERO: El Inspector de datos responsable de estas actuaciones previas, verifica, en fecha 12 de diciembre de 2019, que los datos del reclamante figuran en el enlace: ***URL.2 En esta misma fecha, se envía el siguiente mensaje a través del formulario de contacto solicitando la baja del afectado: D. A.A.A. ha presentado una reclamación contra su entidad solicitando la cancelación de sus datos que figuran en el enlace ***URL.2 Les solicito que procedan a atender esta solicitud de cancelación y lo comuniquen a la Agencia Española de Protección de Datos para que se pueda informar al afectado En fecha 13 de febrero de 2020, se comprueba que no han atendido la solicitud de la Agencia ni han contestado a la misma; permaneciendo la información del reclamante en el enlace ***URL.2 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 CUARTO: En fecha 20 de abril de 2020, se obtiene impresión de la siguiente información obtenida a través de Internet, en relación al dominio ***DOMINIO.1: El registrador del dominio es: Moniker Privacy Services 2320 NE 9th St, Second Floor , Fort Lauderdale , FL , 33304 , US La dirección IP está ubicada en: Hosting Solution Ltd. Dirección: 501 Franklin Ave Ciudad: Garden City NY Estado / Provincia: NY Código postal: 11530 País: Estados Unidos FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II Las presentes Actuaciones de Investigación tienen como finalidad determinar si el reclamado, cumplió la normativa de protección de datos en lo referido al derecho de supresión de los datos del reclamante. El artículo 17.1 del RGPD “Derecho de supresión” dispone: <<1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:

1. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6
2. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
3. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
4. d)los datos personales hayan sido tratados ilícitamente;
5. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
6. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1.>> III De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de estas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del RGPD, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 60 y siguientes del RGPD, establece la obligación de cooperar entre las autoridades de control de los estados miembros. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. IV La LOPDGDD, en su artículo 67 indica: “1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica”. Todas las actuaciones se han realizado en cumplimiento de lo establecido legalmente, y con la finalidad de determinar, con la mayor precisión posible, las circunstancias relevantes que pudieran concurrir en el caso, resultando infructuosa la investigación, ya que no hemos conseguido encontrar la entidad responsable del tratamiento de los datos en el portal web ***URL.1. Aparentemente, el responsable está establecido en un país de la Unión Europea, pero tras colaborar con las autoridades de protección de datos ***AUTORIDAD.1, no se ha podido localizar. De ahí que no se den las condiciones para iniciar un procedimiento sancionador por infracción de la LOPDGDD, ni continuar las actuaciones investigadoras. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
7. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es