← España

E-11918-2019

1/5  Procedimiento Nº: E/11918/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, el reclamante) tiene entrada con fecha 15 de noviembre de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra 1&1 IONOS ESPAÑA, S.L., 1984 EHF, ABELOHOST B.V., CLOUDFLARE GERMANY GMBH, (en adelante, los reclamados). Los motivos en que basa la reclamación son que en las siguientes urls se realiza un tratamiento de datos personales no autorizado ni consentido:  ***URL.1  ***URL.2 En estas urls se publica sin autorización ni consentimiento datos como nombre, apellidos, nacionalidad, número de cuenta bancaria e ideología política. También se muestra la escritura de compra venta de un domicilio en Villajoyosa, Alicante, entre el reclamado y un tercero. El 25 de junio y 19 de julio de 2019, el reclamante comunica a este servidor su deseo de que sus datos personales sean suprimidos mediante comunicación electronica certificada a la dirección email ***EMAIL.1 El día 24 de julio, 1 y 20 de agosto de 2019, solicita su ejercicio de supresión de datos personales ante cloudflare.com, mediante el envío de una comunicación certificada a la dirección email ***EMAIL.2 SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: La url ***URL.1 se encuentra en la Ip ***IP.1, que está bajo el control de ***URL.4 que es un intermediario que almacena en cache páginas web, con la función de proteger los websites que contratan sus servicios para no ser víctimas de posibles ataques informáticos, y detrás de esta empresa se encuentra el servidor, el cual es ***URL.3 Tras una comunicación efectuada por el reclamante con cloudflare.com, este servicio le comunica que ***URL.2 se encuentra alojado en ***URL.5 muestra como sede jurídica la siguiente dirección; Beatrixstraat 30, Doesburg, Gelderland 6981GN, Países Bajos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 En fecha 9 de enero de 2020 se ha verificado que ***URL.1 no tiene conexión ni presenta información del reclamante. Por su parte ***URL.2 sí está activo, de la información obtenida de Whois se desprende que el contacto técnico es DomainsByProxy.com Scottsdale, Arizona , 85260 , USA , la dirección IP ***IP.2 gestionada por Texas - Dallas - Cloudflare Inc Con fecha 9 de enero de 2020 de conformidad con el artículo 61 del RGPD se requiere la colaboración de la Autoridad Holandesa, la cual manifiesta que se ha procedido a investigar la reclamación, constatándose que la entidad Abelohost B.V. no parece ser el controlador para este procesamiento de datos personales, ya que es simplemente el proveedor del sitio web. Además, el enlace ***ENLACE.1 ya se ha eliminado. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asig nan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de estas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del RGPD, entre los que figura la fa cultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier in formación que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las cir cunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 III El artículo 6 del RGPD, regula la licitud del tratamiento estableciendo lo siguiente: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

  1. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  2. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  3. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  4. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  5. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamien to;
  6. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  7. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” El artículo 17 del RGPD, regula el derecho de supresión estableciendo que: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
  8. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
  9. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
  10. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
  11. d)los datos personales hayan sido tratados ilícitamente; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5
  12. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
  13. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
  14. a)para ejercer el derecho a la libertad de expresión e información;
  15. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
  16. c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
  17. h)e i), y apartado 3;
  18. d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
  19. e)para la formulación, el ejercicio o la defensa de reclamaciones.” IV En el presente caso, se presenta reclamación por una presunta vulneración del artículo 17 del RGPD que garantiza el derecho de supresión de los datos personales sin dilación indebida por parte del responsable del tratamiento, cuando los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o bien cuando se retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico. En concreto se denuncia que sus datos personales han sido tratados sin su consentimiento en varios enlaces de internet y sus datos no han sido suprimidos pese a sus reiteradas solicitudes de supresión. No obstante, esta Agencia ha verificado que:  ***URL.1 no tiene conexión ni presenta información del reclamante.  ***URL.2 sí está activo, pero de la información obtenida de Whois se desprende que el contacto técnico es DomainsByProxy.com Scottsdale, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Arizona , 85260, USA , la dirección IP ***IP.2 gestionada por Texas - Dallas Cloudflare Inc  la Autoridad Holandesa, constata que la entidad Abelohost B.V. no parece ser el controlador para este procesamiento de datos personales, ya que es simplemente el proveedor del sitio web.  el enlace ***ENLACE.1 ya se ha eliminado. Por ello al haber sido eliminados los datos personales del reclamante de los enlaces denunciados, se procede el archivo de la presente reclamación. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente resolución al reclamante e INFORMAR de ella al responsable del tratamiento. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  20. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.