← España

PS-00315-2018

1/25 Procedimiento Nº PS/00315/2018 RESOLUCIÓN: R/00005/2019 En el procedimiento sancionador PS/00315/2018, instruido por la Agencia Española de Protección de Datos a la entidad MIRACLIA TELECOMUNICACIONES, S.L., vista la denuncia presentada por A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha de 1/04/2018, tiene entrada en esta Agencia a través de su sede electrónica una denuncia interpuesta por Doña A.A.A., en la que manifiesta lo siguiente: 1. Ha recibido varias llamadas telefónicas generadas de forma automática por una aplicación, JUASAPP, gestionada por la empresa MIRACLIA TELECOMUNICACIONES, S.L. Dicha aplicación permite contactar telefónicamente con cualquier número telefónico y emitir en la llamada una grabación seleccionada de un repertorio, con la cual se le gasta una broma al receptor de la llamada. La aplicación no solo graba una conversación telefónica sin el consentimiento del receptor; también permite almacenarla y compartirla. 2. Las llamadas telefónicas ocurrieron entre el 14 y el 19/03/2018, llegando a recibir la denunciante hasta 10 llamadas en 3 horas añadiendo que le han molestado y que la posible grabación de la misma no ha sido consentida por ella y en esos días su hija estaba enferma, teniendo el teléfono colapsado. 3. Ha contactado con la empresa responsable de la aplicación, pero ésta ha justificado el funcionamiento de la aplicación. Le ha informado de la posibilidad de bloquear su número de teléfono para no recibir llamadas en el futuro, pero a la denunciante esto le parece insuficiente. 4. Entiende que esta aplicación vulnera el derecho al honor, a la intimidad personal y familiar, y a la propia imagen. Aporta la siguiente documentación:  Impresiones de pantalla de su terminal móvil donde se puede comprobar que las llamadas de produjeron en los siguientes días y franjas horarias, con los correspondientes números de origen: a. desde el número ***TELEFONO.1: i. el día 14/03/2018 de 9:00 a 10:30 horas (dos llamadas) b. desde el número ***TELEFONO.2: i. el día 14/03/2018 de 9:00 a 10:30 horas ii. el día 19/03/2018 de 8:30 a 11:30 horas (cinco llamadas) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/25 c. desde el número ***TELEFONO.3: i. el día 16/03/2018 de 12:30 a 14:00 horas d. desde el número ***TELEFONO.4: i. el día 19/03/2018 de 8:30 a 10:00 horas (dos llamadas) e. desde el número ***TELEFONO.5: i. el día 19/03/2018 de 8:30 a 10:00 horas (dos llamadas) f. desde el número ***TELEFONO.6: i. el día 19/03/2018 de 10:00 a 11:30 horas  Intercambio de correos electrónicos con el servicio de soporte de la aplicación realizado el día 16/03/2018 con el motivo de conocer el autor de la broma que sin su autorización ha utilizado su número de móvil. El servicio de soporte indica que “La broma que ha recibido posiblemente haya sido mandado por un amigo o conocido que tiene su número y sea usuario de JUASAPP”. No facilita la identificación del usuario que le ha gastado la broma. Ofreciendo en su lugar estas explicaciones: o “Hemos introducido medidas como la limitación horaria, la limitación de bromas a 5 a un mismo número e incluso el bloqueo de aquellos números que no quieren recibir más bromas” o “Si no quiere recibir más bromas y borrar cualquier llamada que le hayan podido realizar, puede hacerlo bloqueando su número de teléfono aquí. El número de teléfono que introduzca quedará bloqueado en las plataformas de manera que nunca nadie le podrá enviar una broma desde esta aplicación (ni por supuesto, ningún otro tipo de acción). El número se almacena encriptado en los sistemas, de manera que nadie podrá recuperar ese número para utilizarlo en el futuro” o “En los registros informáticos de MIRACLIA quedan almacenadas la dirección IP del usuario, la marca y modelo de dispositivo, el operador móvil, perfil en redes sociales (p.ej. Facebook), número de teléfono (si es usuario de la app para iOS – Apple) y la fecha y hora exacta del momento de uso o transacción, que podrán ser facilitadas a las fuerzas del orden y/o las autoridades judiciales para el caso de que sea requerida para ello en orden a la investigación o persecución de un delito”.  Factura del operador de telecomunicaciones MOVISTAR emitida a la denunciante 01/05/2001 para acreditar que desde hace tiempo es titular, asociada a la línea receptora de las llamadas, de número ***TELEFONO.7. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se ha tenido conocimiento de lo siguiente: 1. La empresa ORANGE ESPAGNE S.A.U., indica el 30/05/2018 que uno de los números origen de las llamadas, el ***TELEFONO.2, está asociada al cliente IMAGINE800 S.L., cuyo CIF es B74165176. En la política de privacidad de la aplicación JUASAPP se menciona dicha empresa como una de las compañías que asiste a MIRACLIA en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/25 servicio de hosting y métricas en España para poder prestar el servicio técnico. (folio 57) 2. La empresa MIRACLIA TELECOMUNICACIONES S.L. contesta al requerimiento el 1/06/2018 de información de la Agencia de la siguiente forma: 2.1 JUASAPP es una aplicación móvil de bromas telefónicas disponibles en tienda de aplicaciones de GOOGLE que el usuario puede descargarse. Sirve para gastar una broma a alguien del que se sepa el número de teléfono. La llamada de la broma se realiza en la fecha y hora que indique el usuario. La conversación de la broma puede ser grabada si el usuario de la aplicación así lo indica, quedando esa grabación disponible para el usuario dentro de la aplicación. JUASAPP es una herramienta tecnológica de comunicación en la nube-internet- que por sí sola no realiza función alguna. Son los usuarios los que introducen los números de teléfono. Los usuarios de JUASAPP han de aceptar los términos y condiciones de uso del servicio TCU. Indican la dirección en internet de las TCUS en vigor hasta el 25/05/2018, y que a raíz de los casos transmitidos como infracciones a lo largo de los años 2015, 2016 y 2017, sus sistemas han sido modificados en su totalidad, así como las apps de los usuarios, de manera que ahora no existe ninguna comunicación al receptor de la llamada de que sus datos van a ser tratados por MIRACLIA (ya que no hay tratamiento alguno por parte suya), ni se almacenan en las plataformas de MIRACLIA los datos de las personas a las que los usuarios de JUASAPP realizan llamadas telefónicas. Nunca se ha realizado tratamiento alguno de los datos, por ser datos privados de los usuarios de la aplicación, pero ahora, con el nuevo sistema implantado en los pasados meses, tampoco se almacenan en los sistemas. En la cláusula 4 de los TCus se indica que los datos personales facilitados quedan recogidos en ficheros automatizados, cuyo responsable es MIRACLIA y que se trataran de acuerdo con lo dispuesto en la LOPD. Es por ello por lo que, si en el futuro se les solicita información sobre otros casos, con el número de teléfono de la persona que recibió la llamada del usuario de JUASAPP no pueden identificar a nadie basado en los datos presentes en las plataformas. 2.2 En consonancia con esta explicación, declaran que no consta ninguno de los datos que se le solicitan desde la Agencia en relación con los hechos denunciados: datos asociados a la línea de la denunciante, fechas y horas en la que la entidad hizo uso de la línea a través de JUASAPP, dirección IP del usuario, número de teléfono de este, etc. En este caso aclaran que puede ser que no consten o bien es imposible de obtenerse esta información partiendo del número de teléfono receptor, ya que este dato no se encuentra en las plataformas de MIRACLIA. Lo mismo comentan de la acreditación del consentimiento. Adicionalmente, indican que la línea receptora no se encuentra incluida en la “blacklist” de números que no quieren recibir llamadas desde JUASAPP (en la cual se puede registrar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/25 cualquier número cuyo usuario no desee recibir llamadas de broma de la app). Al hilo de esto destacan que la denunciante, en el correo electrónico de la queja que sí que admiten haber recibido, no solicita que se le bloquee su número, sino la identidad del posible bromista, información que no pueden facilitar porque no disponen de la misma en sus plataformas. 3. TELEFONICA DE ESPAÑA S.A.U. con fecha 18/07/2018 confirma las llamadas recibidas, proporcionando información de fechas, líneas de origen, en todas las llamadas recibidas por la denunciante figura tipo llamada “speech” desglosadas en tres llamadas el día 14/03/2018, una el 16, diez el 19 en los diversos números que como líneas llamantes aportó la denunciante. 4. Del resto de los números no se ha podido averiguar ninguna información, ya que pertenecen a rangos no utilizados a día de hoy (la página de la CNMC no proporciona ninguna información sobre ellos). 5. Con fecha 19/07/2018 el Servicio de Inspección incorpora las cláusulas de la policita de privacidad que figuran en la página web de la denunciada sobre la aplicación JUASAPP. La dirección es distinta de la que dio la denuncia en su primera respuesta en actuaciones previas que indicaba eran las TCU antes de 25/05. Sobre el usuario indica que se le recoge la dirección IP fecha y hora de la transacción, marca y modelo del dispositivo, el operador móvil, número de teléfono del usuario solo usa la app para IOS-APPLE, sin que figure en usuarios de sistema Android registrada el número de línea de teléfono. En ningún caso figura recogida la identificación del usuario. MIRACLIA presta un servicio de almacenamiento en la nube de los ficheros audio que se graban. JUASAPP utiliza los servicios de login y registro de FACEBOOK y GOOGLE, así como los medios de pago de APPLE u de GOOGLE, Indica que basan el tratamiento de sus datos (referidos a los usuarios) en su consentimiento” Se indica una serie de empresas de hosting y métricas que tienen contratos con MIRACLIA para poder prestar el servicio técnico. Entre ellas figura ORANGE o IMAGINE 800, GOOGLE, FACEBOOK o APPLE. No se prevé aspecto alguno sobre los derechos o intereses de la persona a la que se le gasta la broma ni posibilidad alguna de no autorizar la reproducción de la broma ni la grabación de la misma. 6. Adicionalmente, desde la Subdirección General de Inspección de la Agencia el 9/07/2018 se han realizado las siguientes pruebas con ayuda de dos terminales móviles de la Subdirección General de Inspección, de marca Samsung y modelos Galaxy A3 y A5 respectivamente. 6.1 Se ha descargado del PLAY STORE la aplicación JUASAPP (versión 1.1.310518.82) y se ha instalado en los dos terminales móviles. Se procede a ejecutar la aplicación. Ésta tiene tres pestañas, una llamada “Listado” donde se muestra el repertorio de bromas a lanzar haciendo clic sobre la que se quiera seleccionar; otra llamada “Ejemplos” donde se muestra el mismo repertorio con posibilidad de escucharlas, y una última, “Mis Bromas”, con el histórico de bromas realizadas. 6.2 Se ha probado a realizar una llamada de broma al número de teléfono ***TELEFONO.8. Una vez realizada la broma, que el destinatario de esta ha recibido sin poder conocer el número de origen (se lee “número privado”), se comprueba, tras el aviso de que se ha programado la llamada con éxito, que en la pestaña “Mis Bromas” de la aplicación aparece ahora un ítem C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/25 asociado a la broma realizada. Si se presiona el botón que aparece con los símbolos de teléfono y grabado, tras elegir “aceptar” en el botón que va asociado a una ventana emergente titulada “Generar Grabación”, el botón grande es sustituido por tres botones más pequeños, que permiten realizar las siguientes opciones: descargar un fichero de audio con la grabación de la broma, escuchar el mismo en línea o compartirlo a través de una dirección URL que aparece escrita en el medio por el que se elige compartir la broma. 6.3 La dirección URL generada en esta prueba tiene el siguiente aspecto ***URL.1 Se observa que la URL lleva un código identificador de 19 caracteres que caracteriza a la grabación realizada. Dicha URL conduce a una web disponible en Internet donde se puede descargar el fichero audio con la broma y escuchar en línea. 6.4 Se hace la siguiente prueba: se saca la tarjeta SIM del terminal y se coloca en otro terminal distinto. Se descarga la aplicación JUASAPP en este nuevo terminal y se comprueba que, al ejecutar la aplicación, no existen bromas en el histórico de bromas. Se devuelve la SIM al terminal original. 6.5 Se lleva a cabo otra prueba más: primeramente, se borra manualmente la broma realizada. A continuación, en el terminal original se introduce el identificador de un usuario de Facebook y se procede a realizar una nueva broma con el primer terminal dirigida al número ***TELEFONO.8 y se observa el registro de la misma en la pestaña “Mis Bromas”. A continuación, en el segundo terminal (dotada de su propia SIM) después de haber comprobado que el histórico está vacío se introduce el mismo identificador de Facebook. Se observa que en el histórico de bromas de dicho segundo terminal, aparece el registro de la broma realizada con el primer terminal, aunque el número destinatario ha sido sustituido por los símbolos “???????”. 6.6 Por último, desde un terminal PC se prueba a introducir el número telefónico receptor de la broma, el ***TELEFONO.8, en la página web del proveedor con URL http://www.juasapp.es/blacklists_userpaneljs.html cuya función es precisamente registrar números telefónicos para ser incluidos en la lista negra de JUASAPP. A continuación, con el terminal original se intenta realizar una broma con destino este número. Se verifica que la aplicación no permite realizar la broma mostrando un mensaje que reza “El teléfono indicado no está disponible para recibir bromas”. Sin embargo, esto no impide que se pueda visualizar, descargar, escuchar en línea desde la URL generada la broma realizada con anterioridad al bloqueo. TERCERO: Con fecha 10/08/2018, la directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a MIRACLIA TELECOMUNICACIONES, S.L. por una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

  1. b)de dicha norma. La cuantía inicial de la sanción propuesta en el acuerdo de inicio a los efectos del artículo 64.2.
  2. b)de la Ley 39/2015 de 1/10 y artículo 127
  3. b)del Reglamento de Desarrollo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/25 de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); se cifró en 6.000 euros. CUARTO: Notificado el acuerdo de inicio, mediante escrito de fecha 28/08/2018, la denunciada alega: 1 La línea telefónica y la voz no son datos de carácter personal al no permitir identificar al titular. Menciona informes de la AEPD 549/2008 y 78/2009 de los que se deduce que las grabaciones a las que se refiere la consulta solo podrán ser consideradas datos de carácter personal en caso de que las mismas permitan la identificación de las personas que aparecen en dichas grabaciones, no encontrándose amparadas en la ley en caso contrario. Asimismo, en el informe 1999/0000 (literal) se trata la cuestión de la recopilación por una empresa de diversos registros de voz con el fin de elaborar un programa de software de reconocimiento de llamadas telefónicas efectuadas desde un estado miembro de la unión europea. La AEPD consideró que siempre que quien haya de realizar el tratamiento tenga conocimiento directo o indirecto de que es la persona cuya voz está siendo objeto de grabación, así como su número de teléfono, la grabación efectuada tendrá la naturaleza de dato de carácter personal, lo cual no sucede en este caso. Además, para determinar si una persona es identificable, hay que considerar el conjunto de medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a dicha persona y en este caso, no existen programas de reconocimiento de voz al alcance de cualquier compañía, y de forma masiva a fin de identificar inequívocamente a una persona física concreta. No disponen de programas de reconocimiento de voz al alcance de cualquier compañía El sistema de bromas telefónicas se desarrolla en el ámbito privado o domestico del bromista y abromado, para gastar una broma no se precisaría el consentimiento pues el factor sorpresa es parte de esta, y su uso es de tipo lúdico. Menciona el informe 615/2018 que clarifica lo que se entiende por tratamiento domestico como el que afecta a sus relaciones familiares y de amistad y la finalidad del tratamiento surte efectos en esos ámbitos. Señala como ejemplo de dato no sujeto, el de la sentencia de la audiencia nacional de 15/06/2006 sala de lo contencioso advo., sección primera, sobre celebración de bodas de plata de la 25 promoción de la AG Militar de Zaragoza. La sentencia dictaminó que “lo relevante para la sujeción al régimen de protección de datos no será por tanto que haya existido tratamiento, sino si dicho tratamiento se ha desarrollado en un ámbito o finalidad que no sea exclusivamente personal o doméstico.” … “no deja de ser personal aquella actividad de tratamiento de datos que aun siendo desarrollada por varias personas físicas su finalidad no trasciende de su esfera más íntima o familiar, como la elaboración de un fichero por varios miembros de una familia a los efectos de poder cursar invitaciones de boda” …”Será personal cuando los datos tratados afecten a la esfera más íntima de la persona, a sus relaciones familiares y de amistad y que la finalidad del tratamiento no sea otra que surtir efectos en esos ámbitos” 2 La denunciada se limita a proporcionar un medio “con todas las garantías de seguridad posibles pues en la propia llamada permite borrar la grabación, la información se almacena cifrada, no se guardan números de teléfono y el abromado puede anotar su línea en una lista de exclusión o blacklist”. Actúa como servicio de sociedad de la información en los términos del artículo 17 de la Ley 34/2002 de servicios de sociedad de la información y comercio electrónico, ofreciendo un servicio que permite conectar usuarios Equipara su situación a la de un operador de telefonía que proporciona una línea de teléfono o a GOOGLE que crea un espacio en la red para almacenar cualquier fichero de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/25 fotos videos o audios grabados por un usuario, insistiendo en que se limitan a facilitar los medios, siendo el responsable el usuario que gasta la broma. En la información de la aplicación se indica que la responsabilidad de la llamada, la grabación y su uso posterior es el que gasta la broma. Indica que ellos solo ofrecen un servicio de almacenamiento en la nube de la grabación generada a la cual solo tiene acceso el usuario a través de una url que solo el conoce, con código único de 19 caracteres 3 Indica que la base que legitima el tratamiento no es el consentimiento sino el interés legítimo para lo cual ofrecen garantías al abromado como son poder borrar la broma desde el principio, y bloquear su teléfono para bromas futuras 4 Indica que las sanciones anteriores están recurridas en la Audiencia Nacional. A partir de sus declaraciones han adoptado medidas para que: 4.1 El número de teléfono del abromado no se almacena, solo se dispone de el durante dicha llamada. “Al final de la llamada, una locución avisa al abromado de que es una broma y se le da la ocasión para que la misma no genere ningún fichero de grabación pulsando el 5. 4.2 Cuando la broma ha finalizado, el usuario para poder generar el fichero con la grabación y disponer la url tendrá que volver a confirmar que tiene el permiso del abromado para generar esa grabación. 4.3 Miraclia ofrece un servicio de almacenamiento en la nube de la grabación, accesible a través de url que solo conoce el usuario. MIRACLIA no puede enlazar dicha grabación con ningún dato personal ya que no dispone de ellos.” CUARTO: Con fecha 3/09/2018 se inicia el período de pruebas teniendo por incorporadas a tal efecto las actuaciones previas de la presente denuncia E/02003/2018, y alegaciones formuladas al acuerdo de inicio. Se acuerda, además, practicar las siguientes pruebas: Incorporar, además, el acta de inspección a MIRACLIA que forma parte de las actuaciones previas de inspección E/02229/2016 que dieron lugar al procedimiento PS/00559/2016 resuelto el 11/07/2017 en el que se acumularon y resolvieron varias denuncias, desde el número de expediente 559 a 562 imponiendo a la denunciada una sanción de 7.500 € por las infracciones del artículo 6.1 de la LOPD; tipificadas como graves en el artículo 44.3.
  4. b)de dicha norma Por otro lado, en cuanto a la prueba solicitada referida a que la Agencia acuda a sus instalaciones para mostrar el funcionamiento de la aplicación, se les solicita que ustedes mismos indiquen las diferencias sustanciales de funcionamiento con relación a la visita que se realizó a MIRACLIA TELECOMUNICACIONES, el día 31/08/2016. QUINTO: El acta de inspección E/02229/2016 refleja la visita de inspección el 31/08/2016 en los locales de MIRACLIA TELECOMUNICACIONES, S.L., y se señalaba: “Los inspectores de la Agencia informan al representante de la entidad de que la presente inspección se realiza como consecuencia de varias reclamaciones presentadas ante la Agencia Española de Protección de Datos, por personas que han recibido llamadas de bromas telefónicas, cuyo gestor es MIRACLIA. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/25 1 El representante de la entidad realiza las siguientes declaraciones en contestación a las cuestiones planteadas por las inspectoras: 1.1 MIRACLIA es una entidad cuyo objeto social es la prestación de servicios de alojamiento de contenidos multimedia para su acceso a través de dispositivos móviles GSM, de tercera generación y sucesivas, PCs conectados a Internet, etc. 1.2 Entre los servicios que ofrece se encuentra la APP gratuita “Juasapp”, que es una aplicación que permite al usuario enviar bromas consistentes en un archivo de audio pregrabado vía telefónica, al número de teléfono de destino seleccionado por el usuario. Dicha aplicación está disponible para sistemas operativos IOS y Android y también está disponible para Windows en la página juasapp.mobi. El mercado de esta aplicación se extiende a unos 30 países con 12.000.000 de usuarios aproximadamente. 1.3 Cuando un usuario decide utilizar dicho servicio, debe de descargarse la APP en el terminal. En sistemas iOs el usuario debe cumplimentar un formulario de registro en el que debe facilitar el número de teléfono y se acredita introduciendo un PIN que previamente le ha sido enviado por SMS. En sistemas Android el registro es automático mediante la información facilitada por el propio sistema Android y el control de usuarios que tiene Google, propietaria del sistema operativo y la tienda de aplicaciones Google Play Store. Una vez iniciada la aplicación, la primera vez que se accede, aparece una pantalla de bienvenida con un enlace a los “Términos y condiciones” legales de uso de la aplicación e informa de que al continuar con la aplicación declara ser mayor de 18 años y contar con el permiso de la persona receptora para la grabación y difusión de la broma. Pulsando el botón de “CONTINUAR” se ofrece un listado de bromas, entre las que el usuario puede seleccionar la que desea enviar. Para ello, se solicita el número de teléfono del destinatario de la misma y la fecha y hora en la que desea que el destinatario reciba la broma (siempre dentro de los horarios permitidos de 08:00 a 23:59), a continuación, habrá que clicar el botón “Generar Broma”. De forma automática, la plataforma que ejecuta las bromas realiza una llamada al número indiciado reproduciendo una locución pregrabada de manera que da la sensación a la persona llamada que es una llamada interactiva. Esta llamada es grabada por el sistema y se conserva en el fichero de MIRACLIA. 1.4 Una vez realizada la broma, la aplicación ofrece la posibilidad de generar el fichero de grabación de la broma, de manera que el usuario pueda posteriormente reproducir, descargar y compartir el fichero de audio que contiene la grabación de la broma enviada. La opción “compartir” permite al usuario compartir el enlace (URL) que permite acceder al fichero de audio en los servidores de MIRACLIA. Para cada envío de broma en particular, se informa al usuario que es requisito indispensable que haya obtenido el consentimiento expreso del receptor de la broma para poder obtenerla y posteriormente hacer uso de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/25 misma. Antes de descargar y compartir el fichero de audio, el usuario debe aceptar esta condición. En caso de que no lo acepte, esa grabación no estará nunca disponible para el usuario ni para nadie. 1.5 Las condiciones generales de uso de la aplicación incluyen información sobre los procedimientos para ejercer los derechos de protección de datos de carácter personal de los usuarios. También se informa de que es el usuario el propietario de la grabación de la broma que se realiza y único responsable de su generación y difusión. 1.6 Al receptor de la broma se le informa del procedimiento para ejercer los derechos de protección de datos de carácter personal y de la procedencia de su número de teléfono, al final de la locución de la broma: “Conforme a la normativa de protección de datos, le informamos que su teléfono ha sido proporcionado por un amigo o conocido suyo. Salvo que Ud. nos comunique su oposición, sus datos personales formarán parte de un fichero titularidad de Miraclia Telecomunicaciones, S.L., cuya finalidad es la gestión de servicios y aplicaciones ofrecidas a los usuarios. Ud. también puede enviar un correo a apps@miraclia.com en caso de que no quiera que su amigo o conocido pueda descargarse y difundir la broma grabada o en caso de que no quiera recibir más bromas. Puede ejercer sus derechos de acceso, rectificación, cancelación y oposición a Miraclia Telecomunicaciones, S.L., en la dirección Paseo de la Castellana, 135 Planta 7ª – 28046 – Madrid - España o a través del correo electrónico apps@miraclia.com, acreditando debidamente su identidad”. Si el receptor de la broma devuelve la llamada al número de teléfono desde el que se ha realizado la broma, también puede escuchar esta cláusula. 2 1.7 MIRACLIA dispone de una lista denominada “BLACKLIST” en la que se incluyen los números de teléfono encriptados de las personas que han ejercido el derecho de cancelación u oposición, con la finalidad de impedir que se le vuelva a enviar bromas por ningún usuario. 1.8 Cuando un receptor solicita la cancelación de sus datos, además de anotar su número en la BLACKLIST, queda registrada la cancelación en cada una de las bromas con el literal “BANEADO”, no siendo posible el acceso a las mismas, ya que el fichero de audio queda eliminado automáticamente 1.9 MIRACLIA cuenta con un fichero inscrito en el Registro General de Protección de Datos, con el código ***CODIGO.1, denominado USUARIOS DE SERVICIOS Y APP. Los inspectores de la Agencia realizan las siguientes comprobaciones a través de la aplicación informática de gestión del fichero donde se custodian los datos de los usuarios de bromas: 2.1 Se realiza una búsqueda de los datos relativos al número de teléfono emisor, utilizado previamente por los inspectores para el envío de una broma, obteniendo como resultado el literal “usuario no encontrado”. El representante de MIRACLIA manifiesta que en el fichero no se registra los números de teléfono de los usuarios C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/25 que utilizan el sistema Android. Se adjunta como documento número 1 impresión de pantalla de la comprobación realizada. 2.2 Se realiza una búsqueda de los datos relativos al número de teléfono receptor de la broma, utilizado previamente por los inspectores en el envío de una broma, obteniendo como resultado que dicho número consta como receptor de una broma realizada el día 27 de julio de 2016 a las 12:36:00 y que dicha broma ha sido enviada por un usuario del que se registran los siguientes datos: Identificador de usuario de GOOGLE en el caso de SO Android Número de teléfono en el caso de Sistema Operativo IOS IP desde la que se registró por primera vez Identificador único de dispositivo dentro de Juasapp Fecha de alta Fecha de último uso Saldo de bromas (crédito que se compra en AppStore o Google Play Store o mediante promociones gratuitas de la aplicación) Identificador de actividad (frecuencia de uso) Identificador de Facebook (si se registró a través de Facebook) IP desde la que se han realizado cada una de las bromas. Número de teléfono receptor de las bromas Marca y modelo del terminal Operador de telecomunicaciones del usuario. Se adjunta como documento número 2 impresiones de pantalla de las comprobaciones realizadas. 2.3 Desde el terminal utilizado por los inspectores para el envío de la broma referida en la anterior comprobación, se accede a la aplicación Juasapp y se realiza el borrado de la broma, posteriormente se accede al fichero de la entidad comprobando que la broma continua registrada figurando con el estado “No visible” y ésta deja de estar disponible para el usuario de la aplicación y deshabilita la URL de escucha de manera que no es posible su reproducción por parte de las personas con las que haya compartido la URL. Se adjunta como documento número 3 impresión de pantalla de la comprobación realizada. 2.4 El representante de MIRACLIA manifiesta que los datos de los usuarios, el número de teléfono destinatario de la broma y las grabaciones de las bromas se conservan en el fichero indefinidamente, cancelándose solamente en el caso de que los interesados lo soliciten expresamente, siguiendo la operativa marcada en los términos y condiciones de uso de la aplicación: Datos de los usuarios: si un usuario solicita a MIRACLIA cancelar sus datos, éstos quedarían bloqueados, no pudiendo el usuario volver a utilizar la aplicación ni tener acceso a las bromas grabadas y quedando sus datos a disposición de la Administración Pública, Jueces y Tribunales, por si es necesario. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/25 Número de teléfono del destinatario de la broma: si el destinatario de la broma expresa su oposición al tratamiento de este dato y el deseo de no recibir más bromas, el número de teléfono pasa a una blacklist encriptada, de forma que ningún usuario podrá utilizar este número para realizar más bromas. Grabaciones de las bromas: son propiedad del usuario de la aplicación. No obstante, si se solicita la cancelación de la grabación, MIRACLIA bloquea el número de teléfono (blacklist) y automáticamente la grabación se elimina de los servidores que prestan servicio a MIRACLIA. Asimismo, si un receptor de una llamada de broma solicita que se le envíe el fichero de audio de esta, se le envía un SMS con el código de la broma y, tras responder al correo original incluyendo ese código recibido por SMS, se le envía adjunto el fichero de audio (está operativa está disponible desde aproximadamente el 5 de enero de 2016).” SEXTO: Con fecha 11/09/2018, se recibe escrito de la denunciada en el que expone la diferencia entre la situación citada en la visita de inspección con la producida a partir de 25/05/2018. 1 En cuanto al almacenaje de los datos del usuario de la app, permanece igual, es decir se almacenan datos, entre otros, sobre su dispositivo, dirección IP si el usuario se registra con perfil de FACEBOOK también. 2 En cuanto a datos de abromado, se almacenaba el número de teléfono introducido por el usuario de la app como forma de identificar las llamadas hechas con la eliminación del rastro de llamadas si así lo desean, realizando búsqueda por número de teléfono. Cuando se genera la grabación de la llamada, esta queda asociada al usuario. Ahora, no se almacena el número de teléfono, solo está en el dispositivo del usuario, 3 Generación del fichero de audio de la llamada: Antes, era generada por el usuario, queda disponible para él desde la app en una URL que solo él puede conocer, y se le informa que, si difunde esa URL sin el consentimiento del abromado, él es el responsable. La grabación realizada por el usuario en lugar de hacerlo en el terminal se realiza en la nube por usabilidad y ahorro de espacio en el terminal. Ahora la situación es la misma. 4 Forma de almacenaje del fichero de audio: Antes el audio se conservaba en la nube en un fichero mp3 asociado a una URL, esta es conocida solo por el usuario que es el único que puede acceder a ella o compartirla, estando ahora la situación igual. 5 Sistema de baneo on call y no consentimiento para grabar la conversación: Antes al receptor se le daba la posibilidad al final de esta, de incluir su número en la lista negra para no recibir más llamadas, así como para que esa llamada no sea grabada-presionar 5 tras la locución en el teclado del teléfono. Ahora es igual. 6 -Blacklist: Tanto antes como ahora el número que se introduce está encriptado con un sha no reversible, el número no está almacenado, aunque si se conoce se puede saber si está o no en el blacklist. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/25 7 Ahora existe la posibilidad de identificar al usuario de la app a través de la recogida de su IP, solo cuando lo solicite algún organismo judicial o los cuerpos y fuerzas de seguridad del Estado. SÉPTIMO: Con fecha 13/12/2018 se emite propuesta de resolución del literal: “Que por la directora de la Agencia Española de Protección de Datos se sancione a MIRACLIA TELECOMUNICACIONES, S.L. con NIF B85623775, con multa de 6.000 euros por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  5. b)de dicha norma, de conformidad con el artículo 45.1.2,4
  6. f)j), y 45.5.
  7. a)de la LOPD.” OCTAVO. Frente a la misma, se reciben alegaciones de la denunciada el 27/12/2018. A) Envía escrito en el que pasa a analizar el equilibrio entre el interés legítimo de MIRACLIA TELECOMUNICACIONES y los derechos y libertades de las personas susceptibles de recibir una broma a través de la aplicación JUASAPP, indicando: ” mayo 2018” que “El análisis desarrolla una serie de cuestiones relacionadas con el potencial perjuicio para las partes intervinientes en el tratamiento de datos (si es que existe). Indica: 1- Reitera que no realiza tratamiento de datos, pue es el usuario quien elige el número de teléfono, no se almacenan datos. Es imposible con un número de teléfono localizar una llamada, siendo necesario contar con la URL generada con el audio que lleva asociado un código para localizar la llamada. MIRACLIA facilita la herramienta. No son datos personales porque MIRACLIA no es capaz de identificar a los abromados. Ni siquiera cuando escriben para interesarse sobre quien les ha gastado la broma saben quién es y qué broma se le ha gastado. 2- Un mal uso es ajeno a MIRACLIA que sólo pone el medio. El usuario introduce en la app el número de teléfono, que en tiempo real se transmite a los servidores de llamadas de MIRACLIA para que la llamada pueda salir a las redes telefónicas públicas, pero este dato no se almacena, ni se trata en los servidores de MIRACLIA. Si se genera un archivo de audio solo puede ser accedido por el usuario de la app desde la propia app, y queda alojado en su apartado de la nube de MIRACLIA tal y como tiene contratado. 3-El objetivo de entretenimiento, es gastar bromas de corta duración y de contenido inocente que se consigue con la introducción de la menor información posible, divirtiendo a los usuarios y a los abromados. El tratamiento no es inapropiado ni intrusivo pues las bromas son inocentes y bastante “asépticas”, evitando que pudieran ser “bromas pesadas”. Al ponerse el catálogo de bromas a disposición de los usuarios, son éstos los que deben valorar si esa broma sentará mejor o peor a su destinatario. MIRACLIA en este proceso tiene una posición neutra, aunque advierte siempre de los malos usos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/25 4-En cuanto a si afecta negativamente los derechos del individuo, el máximo daño que puede sufrir una persona es que le moleste la broma, sería el mismo que si alguien le gasta una broma de otro tipo, pero el uso de la aplicación es neutra, no utilizando los datos de los abromados ni se sabe quiénes son, y después de la sorpresa inicial se aclara que se trata de una broma. También puede darse el supuesto de que reciba una broma de alguien que no conoce A diario se realizan miles de bromas en todo el mundo, y muy pocas personas reclaman. De los 60 millones de bromas telefónicas que se han hecho con JUASAPP en los últimos 4 años, sólo somos conscientes de las 10 denuncias que desde la Agencia Española de Protección de Datos se han recibido hasta la fecha. Es decir, 0,000017%. 5-El perjuicio si el tratamiento no se diera, sería que el usuario, no podría gastar las bromas, y acudiría a otras aplicaciones similares en el mercado. El tratamiento redunda en interés de la persona a cuyos datos personales se refiere pues la finalidad de la broma es en el sector del entretenimiento hacer reír tanto a quien la gasta como a quien la recibe, planteándose como algo lúdico y beneficioso. 6- La relación entre el individuo y la organización es indirecta, por cuanto MIRACLIA no elige a los abromados. El abromado no tiene relación con MIRACLIA ni esta con el abromado más que como titular de la herramienta que permite que el usuario de la aplicación gaste la broma y la grabe. Los datos, no se obtienen directamente del afectado, sino que los facilita siempre el usuario de la app, pero esa información no queda registrada como tal en MIRACLIA. Todo queda almacenado en el teléfono del usuario. Considera que no existe ningún desequilibrio o situación de poder, pues MIRACLIA no conoce nunca dato personal alguno de los receptores de las llamadas. 7- La naturaleza de los datos a tratar son: Teléfono del abromado Si se genera la grabación, la voz en el contexto de una conversación breve No son por lo tanto datos especiales y la identificación de los individuos sólo puede hacerse por el propio usuario de la aplicación y por su entorno si divulga la grabación. 8-En cuanto a la expectativa razonable del uso de la línea de móvil del abromado, o si es probable que el individuo pueda esperar que su información vaya a ser utilizada para este propósito, manifiesta que cuando una persona facilita su teléfono a un tercero (amigo, familiar, conocido) espera que se haga un buen uso de dicho teléfono. Si es un amigo, se puede entender que el ámbito lúdico entra en dicha expectativa. Un mal uso lógicamente no se espera. MIRACLIA es ajena a la intencionalidad, pero advierte al usuario en el momento de registrarse y en el momento de gastar las bromas de posibles malos usos. 9-En cuanto a la cuestión de si se proporciona una notificación de tratamiento justo al individuo, si es así, y cómo, y si la información es clara en cuanto a los objetivos del tratamiento, manifiestan que antes de 25/05 se advertía al usuario al final de la grabación del tratamiento de sus datos y del lugar para ejercitar sus derechos. (Se deduce que no se le ofrecía la opción de no continuar con la broma o de no permitir la grabación como parece ser se dispone a partir de dicha fecha.) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/25 Tras el 25/05 se ha eliminado esa referencia pues el sistema ha cambiado. Se advierte simplemente que se ha sido objeto de una broma y qué hacer para que no se genere la grabación y bloquear su teléfono si no quiere recibir más bromas. Se le ofrece al abromado la posibilidad de controlar la actividad del tratamiento, al final de la broma. Además, si se dirige a MIRACLIA se le ofrece la posibilidad de localizar la grabación (si tiene la URL de la misma) y de bloquear su teléfono para no recibir más bromas. 10-Entienden que han adoptado todas las medidas necesarias para mitigar cualquier riesgo o daño, garantizándose la seguridad del sistema, y advirtiendo a los usuarios de las consecuencias de hacer malos usos de la aplicación y en el caso de los abromados, les ofrece soluciones si dichos malos usos se producen. Se considera que en el contexto del esparcimiento que es en el que se gastan las bromas, el uso de un teléfono para generar una broma cuyo contenido ha sido preparado para que no resulte ofensivo ni de mal gusto, no perjudica los derechos de las personas, aunque pueden existir malos usos y por ello se han realizado esfuerzos para que el abromado pueda defenderse. Esta actividad no perjudica a las personas. En la inmensa mayoría de los casos sirve para pasar buenos momentos y reírse. 11-MIRACLIA ha desarrollado esta app como actividad empresarial, analizando todos los escenarios para garantizar tanto la seguridad como la confidencialidad de los datos. Si no se pudiera hacer nada con los datos de los abromados, MIRACLIA tendría que dejar de prestar el servicio y sus intereses empresariales, los puestos de trabajo que mantiene se verían comprometidos; así como los impuestos que paga al Estado Español por los ingresos obtenidos en todo el mundo. Los usuarios buscarían otras alternativas en el mercado de aplicaciones parecidas, quedando excluida de este negocio y aumentando el de sus competidores ubicados en otros países. B) Aporta también escrito en el que manifiesta: 1) En la propuesta se contiene una entidad como llamante al número del denunciante, indicando que es uno de “nuestros proveedores de telecomunicaciones de nuestra aplicación Juasapp”, suposición que es exagerada pues el mismo trabaja para otros clientes dando servicio de numeración y plataformas para la gestión del tráfico telefónico. Es decir, sin más comprobaciones se atribuyen a MIRACLIA LAS LLAMADAS de teléfono recibidas por el denunciante, sin constatar si proceden de la denunciada. 2) Reitera que no estamos ante datos de carácter personal ni se guarda dato alguno. HECHOS PROBADOS 1) La denunciante, titular de la línea ***TELEFONO.2 denuncia que entre los días 14 a 19/03/2018 ha recibido llamadas a su móvil con el fin de gastarle una broma a través de la aplicación denominada “JUASAPP” titularidad de MIRACLIA TELECOMUNCIACIONES SL, aplicación que se descarga a través de Google Play. La denunciante envió correos electrónicos a MIRACLIA el 16/03/2018 solicitando se le proporcionara la persona que sin su permiso había utilizado su número de línea móvil para gastarle bromas a través de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/25 aplicación JUASSAP. La denunciada le respondió que habrá recibido las bromas porque algún amigo o conocido que tiene su número y es usuario de JUASAPP. 2) La denunciante aporta impresión de las líneas desde las que se producen las llamadas entre dichas fechas. Según se indica en términos y condiciones de uso del servicio (TCU), JUASAPP es trata de una aplicación que permite al usuario que la ha descargado enviar bromas a un tercero, dando el número de teléfono móvil a la aplicación. Mediante un audio pregrabado de la app se realiza la broma a la línea que se dio. El usuario podrá seleccionar entre un listado de bromas e indicar el destino, y horario que desea que el destinatario reciba la broma. Una vez realizada la broma, la aplicación tiene la funcionalidad de grabar la broma si el usuario así lo desea, pudiéndose también compartir por el usuario el archivo de audio, pues existe un enlace en forma de URL que los sistemas de MIRACLIA almacenan y posibilitan compartir pinchando en ese link que se genera. 3) Se indica también en los TCU que “será requisito indispensable que el usuario cuente con el consentimiento expreso de la persona que ha recibido la broma para poder obtenerla y posteriormente hacer uso de esta”, si bien cabe perfectamente la posibilidad de hacer la broma a personas y números de móvil que se conocen, pero no por relación de amistad, sino por cualquier otra. “La cláusula de política de privacidad 4 indica que los datos personales facilitados quedan recogidos en ficheros automatizados cuyo responsable es MIRACLIA” (folio 30). Entre otros datos que se almacenan figura el número de teléfono del usuario si utiliza el sistema IOS de APPLE. Sobre la persona a la que se gasta la broma, no figura información alguna sobre sus datos de línea móvil, voz, registros o reproducción de su voz, en el momento de haberse gastado la broma. No consta acreditado que la denunciada ofrezca la posibilidad una vez hecha la broma de que el afectado consienta sobre el uso que a partir de la misma se produce (reproducción, grabación-almacenamiento en URL para compartir) ni se le informa en ese momento de que se le ha gastado una broma ni del origen o persona de la que se recaban sus datos. Solo se ofrece en la forma escrita de las TCU la posibilidad a partir de hacerse la broma de introducir su línea móvil en una lista de exclusión o blacklist. 4) La denunciada indicó en su respuesta de 1/06/2018 en actuaciones previas que en su plataforma no figuraba dato alguno relacionado con la línea de la denunciante ***TELEFONO.2, ni siquiera en la lista de bloqueos para no recibir más bromas. La denunciada indica que dicha lista posibilita que un número de teléfono se incluya de modo que los usuarios no les puedan enviar bromas. Si se incluye un número de línea móvil que se haya dado antes en la lista de exclusión, no se le puede gastar la broma. 5) De entre todos los números que figuran como desde los que se llaman para hacer las bromas denunciadas, ORANGE ESPAGNE S.A.U., indicó el 30/05/2018 que el ***TELEFONO.2, está asociado al cliente IMAGINE800 S.L., figurando su referencia en la política de privacidad de la aplicación JUASAPP como una de las compañías que asiste a MIRACLIA en el servicio de hosting y métricas en España para poder prestar el servicio técnico, aunque esta manifiesta que presta servicios también para otras. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/25 6) La denunciada indica que desde 25/05/2018 y con el análisis de denuncias y sanciones por la AEPD precedentes, la cláusula informativa ha variado. Entre otras medidas indica que una vez grabada la broma, si es el caso, en la nube se almacena la dirección URL que permite que sea compartida por el usuario, de modo que la puede remitir a otra persona y este la puede escuchar. Analizados los términos de condición y uso extraídos de la web de la denunciada el 19/07/2018, no figura mención alguna a los derechos del sujeto al que se le gasta la broma, en concreto la operativa para no dejar reproducir la broma, que no se lleve a cabo, o lo contrario, ni los derechos de información sobre el origen de sus datos. Tampoco se establece la base legitima alguna para el tratamiento de los datos de la persona a la que se le gasta la broma. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  8. g)en relación con el artículo 36 de la LOPD. II La LOPD define dato de carácter personal: Artículo 3 a)” cualquier información concerniente a personas físicas identificadas o identificables.” El Reglamento de Desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12 (en adelante RLOPD); en su artículo 5.1
  9. f)“Datos de carácter personal: Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”, considerando tratamiento en su artículo 5.1.
  10. t)como “cualquier operación o procedimiento técnico, sea o no automatizado, que permita la recogida, grabación, conservación, elaboración, modificación, consulta, utilización, modificación, cancelación, bloqueo o supresión, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.”, definición que la LOPD en su artículo 3.c:”Tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” El Dictamen 4/2007 sobre el concepto de datos personales, emitido por el Grupo del Artículo 29, en relación con los elementos que obran como identificadores de las personas físicas, directa o indirectamente, viene a señalar lo siguiente: “Esta idea se aclara aún más en los comentarios a los artículos de la propuesta modificada de la Comisión, en donde se afirma que “una persona puede ser identificada directamente por su nombre y apellidos o indirectamente por un número de teléfono, la matrícula de un coche, un número de seguridad social, un número de pasaporte o por una combinación de criterios significativos (edad, empleo, domicilio, etc.) que haga posible su identificación al estrecharse el grupo al que pertenece. “Los términos de esta declaración C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/25 indican claramente que el que determinados identificadores se consideren suficientes para lograr la identificación es algo que depende del contexto de la situación de que se trate. Un apellido muy común no bastará para identificar a una persona –es decir, para aislarla – dentro del conjunto de la población de un país, mientras que es probable que permita la identificación de un alumno dentro de una clase. Incluso una información auxiliar, como, por ejemplo, el hombre que lleva un traje negro puede identificar a alguno de los transeúntes que esperan en un semáforo. Así pues, el que se identifique o no a la persona a la que se refiere una información depende de las circunstancias concretas del caso”. Y en el presente caso, aparte del número de teléfono (que si bien, en principio, por sí solo podría no ser considerado dato personal, “ayuno de otras circunstancias que identifiquen o pudiesen permitir identificar al titular del mismo impide que pueda encajarse en la definición legal de dato de carácter personal”, en palabras de la Audiencia Nacional, en su sentencia de 17/09/2008, rec. 353/2007), MIRACLIA procede a registrar también la voz de la persona denunciante a través de la oportuna grabación de la broma, susceptible de ser difundida, amén de otros datos del usuario. En relación con la grabación de voz, el Informe 497/2007 del Gabinete Jurídico de esta Agencia afirma que “las grabaciones de sonido permitirán identificar a una persona, más aún sí esa grabación se adjunta a un expediente y por ello quedarán incluidas en el ámbito de aplicación de la LOPD”. En el mismo sentido se ha manifestado la Audiencia Nacional. A esto último, añadir que la sentencia de la Audiencia Nacional de fecha 19/03/2014 (rec.176/2012) dice que “la voz de una persona constituye dato de carácter personal, tal y como se deduce de la definición que del mismo ofrece el artículo 3.
  11. a)de la LOPD, como <<cualquier información concerniente a personas físicas identificadas o identificables>>, cuestión esta que no resulta controvertida”. El art. 6 de la LOPD establece: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6 , de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El art. 3.
  12. c)y
  13. h)de la LOPD define: “
  14. c)Tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/25
  15. h)“consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Por otro lado, el artículo 10.2.b del RLOPD indica: “1. Los datos de carácter personal únicamente podrán ser objeto de tratamiento o cesión si el interesado hubiera prestado previamente su consentimiento para ello. 2. No obstante, será posible el tratamiento o la cesión de los datos de carácter personal sin necesidad del consentimiento del interesado cuando:
  16. b)Los datos objeto de tratamiento o de cesión figuren en fuentes accesibles al público y el responsable del fichero, o el tercero a quien se comuniquen los datos, tenga un interés legítimo para su tratamiento o conocimiento, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” Se plantean pues en este caso dos modalidades que podrían ser bases legitimas para el tratamiento de datos de la línea móvil de la denunciante, la grabación y registro del archivo sonoro o la constancia en la lista de exclusión de la línea. Una podría ser el consentimiento del afectado por la broma recabado cuando se le hace la misma, al final. La otra base podría ser el interés legítimo, sin el consentimiento del afectado, pero con unas garantías. Ambos son objeto de análisis en este procedimiento. Se parte de la base de que la denunciada utiliza una aplicación diseñada para utilizar datos personales, número de teléfono del que es titular la persona que es llamada, y cuyo número es proporcionado por un tercero que puede tener relación con él, o no, o puede tener buena, mala relación o ninguna. La denunciada primero crea una aplicación específica para un fin a la que añaden los datos de una línea de móvil, y está configurada para que los datos se utilicen para realizar la broma. Gracias a la aplicación es posible no solo correlacionar la línea móvil a la que se envía la comunicación, sino en cuanto afecta a la persona a la que se hace la broma, hacer la broma con la participación de la persona, reproducir la alocución de la broma, grabarla, almacenarla en la nube o su anotación posteriormente en la lista blacklist o de exclusión. Por lo que respecta al desarrollo reglamentario del artículo 6.2 de la LOPD, debe tenerse en cuenta que el artículo 10.2.
  17. b)del RD 1720/2007, de 21/12, de desarrollo de la LOPD, fue objeto de anulación por exigir para aplicar la excepción a la regla general del consentimiento y así legitimar el tratamiento o cesión de los datos que estos figurasen en “fuentes accesibles al público “. El Tribunal de Justicia de la Unión Europea, al resolver la cuestión prejudicial planteada por el Tribunal Supremo, dictaminó a finales del año 2011, STS de 8/02/2012, rec. 25/2008, la aplicación directa del artículo 7
  18. f)de la Directiva 95/46, en virtud del cual, puede producirse el tratamiento de datos personales siempre y cuando sea necesario para obtener un interés legítimo para el responsable o terceros y no se perjudiquen los derechos y libertades del interesado o afectados. El interés legítimo sigue siendo una base legitima del tratamiento con el nuevo Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos RGPD). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/25 Como regla interpretativa, para dicha labor se puede contar con el dictamen 06/2014 del Grupo de Trabajo creado de conformidad con el artículo 29 de la Directiva 95/46/CE, órgano consultivo independiente de la UE en materia de protección de datos y privacidad. sobre el concepto de interés legítimo del responsable del tratamiento de los datos en virtud del artículo 7 de la Directiva 95/46/CE, adoptado el 9/04/2014 en el que se indica que el artículo 7, letra f). Siendo este uno de los seis fundamentos jurídicos del tratamiento de los datos personales, requiere una prueba de sopesamiento entre el interés legítimo del responsable del tratamiento o cualesquiera terceros a los que se comuniquen los datos y los intereses o los derechos fundamentales del interesado. El resultado de esta prueba de sopesamiento determinará si el artículo 7, letra f), puede utilizarse como fundamento jurídico del tratamiento El artículo 7, letra f), no deberá utilizarse como «un último recurso» para situaciones raras o inesperadas en las que se considere que no son aplicables otros fundamentos jurídicos del tratamiento. No obstante, no deberá elegirse automáticamente ni deberá extenderse su uso de manera indebida basándose en la percepción de que es menos restrictivo que los demás fundamentos. Dicho examen requiere una consideración completa de una serie de factores, con el fin de garantizar que se tienen en cuenta debidamente los intereses y los derechos fundamentales de los afectados. Al mismo tiempo, se trata de una prueba modulable, que puede variar desde sencilla hasta compleja, y no es necesario que resulte indebidamente onerosa. Los factores que deben considerarse cuando se efectúe dicha prueba de sopesamiento comprenderán: - la naturaleza y la fuente del interés legítimo, y si el tratamiento de datos es necesario para el ejercicio de un derecho fundamental, resulta de otro modo de interés público o se beneficia del reconocimiento de la comunidad afectada; - la repercusión para el interesado y sus expectativas razonables sobre qué sucederá con sus datos, así como la naturaleza de los datos y la manera en la que sean tratados; - las garantías adicionales que podrían limitar un impacto indebido sobre el interesado, tales como la minimización de los datos, las tecnologías de protección de la intimidad, el aumento de la transparencia, el derecho general e incondicional de exclusión voluntaria y la portabilidad de los datos. La denunciada en su análisis de dicho interés establece una separación antes y después del 25/05/2018, fecha en que entró en vigor el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos RGPD) indicando que ahora si se deja a la persona a la que se le gasta la broma si quiere continuar con el proceso. Si acepta dicho proceso de reproducción y no le importa que sea grabada la misma, con la información de la fuente de la que se han obtenido los datos en realidad se trataría de un consentimiento, no de interés legítimo el cual se fundamenta en que no se precisa el consentimiento del mismo. Analizando el interés legítimo se ha de considerar:
  19. a)Por un lado, de la balanza: lo que sería «el interés legítimo perseguido por el responsable del tratamiento, por otro lado, lo que constituyen «los intereses o los derechos y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/25 libertades fundamentales del interesado que requieran protección en virtud del apartado 1 del artículo 1». En este sentido la finalidad del tratamiento es gastar una broma a alguien sin que se aperciba de ello, sin que sepa quien le llama en primera instancia ni cuándo, ni quien. El envío de la broma no es gratuito, salvo promociones, por lo que la denunciada tiene interés comercial lucrativo en realizar la llamada. La llamada es efectuada, pero también la grabación y el envío a la persona que le quiere gastar la broma, sin pedir antes de ello (hasta 25/05) consentimiento ni información al afectado, pues al final de la alocución de la broma no se prevén tales extremos. Tampoco que la grabación puede ser usada por el usuario de la broma y que la difusión de la broma y su voz es por cuenta del usuario, ni se informa de quien le ha gastado la broma que por naturaleza debiera ser conocido al final de la alocución, o de otros derechos relacionados con la recogida de datos que ha tenido lugar para la llamada o de como quedan sus datos en dicha entidad.
  20. a)La denunciada no ha tenido antes relación alguna con el titular de la línea móvil usada para gastar la broma.
  21. b)No se puede olvidar que el número de teléfono también puede proceder sin consentimiento o conocimiento de su titular por no habérselo proporcionado al usuario, o de la cesión de otra persona, un tercero que se lo da al usuario de la aplicación que va a gastar la broma. Ello hace que no siempre existe expectativa de uso, que se aumenta porque no se informa de quien ha gastado la broma, pues cuando se hace la misma al abromado, no se le da ningún detalle de la persona que ha dado su número o la línea desde la que procede.
  22. d)El caso es que, por la existencia de dicha aplicación, esta dispone de los medios técnicos para que el número introducido con la broma elegida por el usuario remita una llamada al titular de la línea, que coge la llamada y se le hace la broma. Antes del 25/05, al producirse la llamada, el abromado no tenía ningún control sobre la misma, lo que suponía que la broma era grabada y podía ser difundida por el usuario, sin poder hacer ya nada el abromado sobre dicho archivo. Incluso si se apuntaba en la lista de exclusión tras habérsele hecho la broma, el archivo desaparece de los servidores de la denunciada, pero el usuario que la gastó conserva el archivo sonoro que lo ha podio difundir, elementos que suponen claramente tratamientos de datos al correlacionar una línea con una persona. El abromado, en la fecha en que se le hace la broma no tenía capacidad de decidir sobre sus datos que podían no haber sido dados por el a la persona que le gasta la broma, y no tiene capacidad de que se siga el tratamiento con la grabación de su voz. A partir del 25/05 según la denunciada ha cambiado la situación de modo que no se llevará a cabo la broma si el afectado no autoriza a posteriori que se siga con la misma. Esta garantía impuesta a partir de 25/05 es adecuada para controlar los datos del abromado, pero ha de ir acompañada por una más amplia información para que también forme parte del consentimiento otorgado e informado. Se deberían implementar por parte de la denunciada medidas para que el afectado por la broma conozca de quién parte el dato de la línea que sirve para gastarle la broma, la persona que dispone de ese dato y lo está usando o lo ha dado a la aplicación. El artículo 5. 4 de la LOPD indica:” Cuando los datos de carácter personal no hayan sido recabados del interesado, éste deberá ser informado de forma expresa, precisa e inequívoca, por el responsable del fichero o su representante, dentro de los tres meses siguientes al momento del registro de los datos, salvo que ya hubiera sido informado con anterioridad, del contenido del tratamiento, de la procedencia de los datos, así C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/25 como de lo previsto en las letras a),
  23. d)y
  24. e)del apartado 1 del presente artículo.” Entre otros de los aspectos sobre los que debe versar la información debería contemplarse la información al momento de informarle si da permiso para emitir la broma al usuario, que la grabación sobre la que ha consentido puede ser utilizada o difundida por el usuario ya que forma parte del posible impacto en el riesgo del tratamiento el hecho de que su voz pueda circular hacia terceros como consecuencia de los medios técnicos que utiliza la aplicación. En este caso, no sería preciso el plazo de los tres meses debiendo ser informado en el momento en el que ese le gasta la broma. Si el afectado por la broma puede tener la carga de sufrir la broma, forma parte de esta conocer la persona que se la ha gastado, que es la que cede el dato y hace posible el desenvolvimiento de esta. Por lo tanto, la denunciada debería implementar en su diseño de tratamiento entre otros elementos, la información de la procedencia de su línea telefónica en el momento de pedir el permiso para grabar la broma, circunstancias que la denunciada no ha tenido en cuenta. Además, y en todo caso, la implementación de estos elementos ha de poder ser acreditada y constar documentada en el razonamiento del interés legítimo como base de tratamiento. Se concluye que, si el abromado da permiso para efectuar la broma, realmente no nos hallaríamos en el esquema del interés legítimo, sino en el del consentimiento. Dado el tipo de tratamiento que se lleva a cabo, lúdico para el que pretende gastar la broma pero no siempre para el titular de la línea, que no tiene relación alguna con el responsable del tratamiento y desconoce de quien se trata, sin expectativa alguna del fin, no se acredita que las medidas que puedan basarse en el tratamiento con el interés legítimo tal como están configuradas proteja en todos los casos a los titulares de las líneas que reciben las mismas, por lo que se estima que no cumplían las premisas del interés legítimo en el momento en que se le gasta la broma al denunciado, no existiendo base legitima para dicho tratamiento, con independencia de que tras la entrada en vigor del Reglamento se hayan instaurado o perfeccionado medidas para adecuar el mismo. Se confirma la infracción de tratamiento de datos sin consentimiento ni concurrencia de interés legítimo que presupone el artículo 6.2 de la LOPD. III Tanto una línea telefónica móvil con la que se contacta, a instancia de la persona que gasta la broma, sabedora de la persona titular de dicha línea, como la voz que se recoge en la conversación conectada con esa línea para gastar la broma son datos de carácter personal y suponen tratamiento de datos porque se produce la interconexión, correlación con un archivo mp3 y una URL. Este tratamiento de datos no sería posible si no existiera la aplicación que de forma automatizada ordena la llamada, almacena la misma y posibilita la grabación y divulgación de esta, aunque sea a instancia de un tercero usuario, considerando que la aplicación puede ser usada no solo por amigos sino por cualquier persona que conozca la línea telefónica y su titular. Para efectuar tratamiento de datos no solo se precisa el almacenamiento de los mismos, pues la mera recogida o conexión como se deriva de su definición sería tratamiento de datos. Además, la voz se almacenaba en archivos de audio y era susceptible de ser enviada como un archivo más a cualquier otra línea de telefonía móvil conteniendo la URL que remite a los medios técnicos implementados por la denunciada. Hasta 25/05, el audio se conserva en la nube en un fichero mp3 asociado a una URL, sistema que posibilita la denunciada y que permite su acceso por el usuario. Si el abromado mete su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/25 número de móvil para no volver a recibir bromas, se produce la comunicación dentro de la aplicación, de modo que la broma que figuraba en dicha URL deja a partir de ese momento de funcionar, circunstancias todas ellas que apuntan a que se producen operaciones con el dato de la línea de móvil, y por tanto tratamientos de datos. Realizar la broma con el dato del móvil, sin solicitar el consentimiento o contar con una base legitima de tratamiento para una vez realizada no informar de que se le está grabando la broma, el origen de los datos y si da o no el consentimiento, suponen en conjunto una pérdida del poder decidir sobre los propios datos que no cuenta con el consentimiento o base legitima del afectado, que habilite los tratamientos que se realizan con los datos. La denunciada dispone para el tratamiento de los datos no solo de sus propios sistemas sino de las plataformas tecnológicas con las que haya podido contratar el servicio de almacenamiento de estos. En sus alegaciones la denunciada enfatiza que no es responsable de la circulación de la broma que pueda hacer el usuario, y respecto a ello se ha de indicar que la infracción imputada no tiene que ver solo con dicha posibilidad que la aplicación ofrece, sino también relacionado con la posibilidad de que se establezca y haga la broma sin ofrecer claramente la información que necesita el titular, todo titular de sus datos. La denunciada debería tender a acreditar que al que se le gasta la broma es informado tras hacerle la broma de si desea seguir adelante para facilitar la conclusión de la broma y de sus derechos en la recogida y uso de los datos. Los TCU que figuraban en la web de la denunciada a 19/07/2018 no indican aspecto alguno sobre el titular de los datos. Se acredita así que se produce un tratamiento de datos por la denunciada IV La infracción cometida por la denunciada aparece tipificada en el artículo 44.3.
  25. b)de la LOPD que indica: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. V El artículo 45 de la LOPD, establece, en sus apartados 1 a 2, y 4 y 5, lo siguiente: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  26. a)El carácter continuado de la infracción.
  27. b)El volumen de los tratamientos efectuados.
  28. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  29. d)El volumen de negocio o actividad del infractor.
  30. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  31. f)El grado de intencionalidad.
  32. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  33. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  34. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/25 tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  35. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  36. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  37. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  38. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  39. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  40. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» En el acuerdo de inicio se contemplaba una cuantía sancionadora de 6.000 euros. Se consideraba la infracción grave, aunque con la aplicación del artículo 45.5
  41. a)de la LOPD. Para ello se ha de tener en cuenta que la naturaleza de los perjuicios causados no es grave (45.4
  42. h)y no es un tratamiento continuado (45.4. a). Todo ello sin perjuicio de lo que resultara de la tramitación del presente procedimiento. Una vez reducida la cuantía de la infracción a la escala inferior, se debe tener en cuenta: La denunciada tras la denuncia indica que ha establecido la opción para el afectado de no consentir la difusión y grabación de la broma cuando ha finalizado la misma, circunstancia que, si se acredita en el mismo momento de realizarse, con la cancelación total de datos podría suponer una garantía para no tratar datos sin su consentimiento, concurriendo elementos que contribuyen a posibilitar un tratamiento con base legal si se añaden el resto de requisitos como la información, por lo que se puede aplicar el artículo 45.4.j de la LOPD. -El grado de intencionalidad que al desarrollar la aplicación puede deducirse que no se han tenido en cuenta convenientemente los datos de las personas a las que se llama, y que debería revisarse. (45.4.f de la LOPD), y que la aplicación podría adecuarse a la normativa implementando garantías para la persona que es llamada el derecho a que, en su caso tras hacerse la broma, en ese momento, pueda oponerse al tratamiento antes de continuar tratando la misma. Por dichas razones, se impone una sanción por la infracción del artículo 6.1 de la LOPD de 6.000 euros. Vistos los preceptos citados y demás de general aplicación, la directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a MIRACLIA TELECOMUNICACIONES, S.L. con NIF B85623775, por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
  43. b)de la LOPD, una multa de 6.000 €, de conformidad con lo establecido en el artículo 45.1), 2) 4
  44. f)y
  45. j)y 5.
  46. a)de la citada LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/25 SEGUNDO: NOTIFICAR la presente resolución a MIRACLIA TELECOMUNICACIONES, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  47. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  48. a)de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1/10. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/25 recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.