PS-00327-2013

1/15 Procedimiento Nº PS/00327/2013 RESOLUCIÓN: R/00393/2015 En el procedimiento sancionador PS/00327/2013, instruido por la Agencia Española de Protección de Datos a D. A.A.A., vista la denuncia presentada por Dña. B.B.B., D. C.C.C., D. D.D.D., D. E.E.E. y Dña. F.F.F. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 1 de agosto de 2012 se recibió en la Agencia Española de Protección de Datos escrito de Dña. F.F.F., D. E.E.E., Dña. B.B.B., D. C.C.C. y D. D.D.D. (en adelante los denunciantes) en el que se denunciaban los siguientes hechos. En Julio de 2012, los denunciantes tuvieron conocimiento de la creación de varios perfiles en la red social “Facebook” con los nombres “F.F.F.”, “E.E.E.”, “D.D.D.” y “XXXX”, correspondiendo tanto los nombres como la fotografías con la identidad personal de los denunciantes, no habiendo sido los creadores de esos perfiles, ni habiendo consentido hacerlo. Según se exponía en la denuncia, se interconectaron las identidades falsas con los perfiles reales de los denunciantes en Twitter y en Linkedin, colgando en el muro los links directos a ambas, creando de este modo la confusión de ser la misma persona. Adjunto a la denuncia aportaban copia impresa de varios de los perfiles referidos. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a diversas entidades y a D. A.A.A. (en lo sucesivo el denunciado), teniendo conocimiento de que: 1. Con fechas 25 y 26 de octubre de 2012 se ha verificado, desde la Inspección de Datos, la existencia del perfil www.facebook............... Respecto de los perfiles ubicados en www.facebook..............1 y www.facebook.com.............2 no se encontraban ya disponibles. 2. Con fechas 29 de octubre y 8 de noviembre de 2012, se solicita información a FACEBOOK INC, sobre las direcciones IP de creación y accesos a los perfiles ubicados en www.facebook.............., www.facebook..............1 y www.facebook.com.............2, con datos de carácter personal de dos de los denunciantes. A este respecto FACEBOOK INC ha informado de diversas direcciones IP de creación y acceso a dichos perfiles, de las cuales, algunas de ellas pertenecen a empresas extranjeras, entre ellas las direcciones IP ***IP.1 y ***IP.2, atribuida a la compañía ALFA LAVAL LUND AB. Asimismo, la dirección IP ***IP.3 pertenece al rango de direcciones atribuido a TELEFONICA MOVILES ESPAÑA, S.A.U. y la dirección IP ***IP.4 pertenece al rango de direcciones atribuido a FRANCE TELECOM ESPAÑA, S.A. 3. Con fecha 20 de diciembre de 2012 se remiten sendos escritos a TELEFONICA MOVILES ESPAÑA, S.A.U. y a FRANCE TELECOM ESPAÑA, S.A., solicitando C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 información en relación con el cliente que en las fechas de creación y acceso a los citados perfiles fuera el titular de las citadas direcciones IP, respectivamente. TELEFONICA MOVILES ESPAÑA, S.A.U. ha informado a esta Inspección que en las fechas indicadas la dirección IP ***IP.3 estuvo asignada al número de teléfono ***TEL.1 cuyo titular es la empresas ALFA LAVAL IBERIA, S.A. FRANCE TELECOM ESPAÑA, S.A. ha informado a esta Inspección que en las fechas indicadas la dirección IP ***IP.4 estuvo asignada al número de teléfono ***TEL.2 cuyo titular es don A.A.A.. 4. Con fechas 24 y 25 de enero de 2012, se remite solicitud de información a la compañía ALFA LAVAL IBERIA, S.A. en relación con el consentimiento de los denunciantes para la creación de los perfiles en la red FACEBOOK e identificación de las personas que tenían asignada la línea telefónica móvil ***TEL.1. ALFA LAVAL IBERIA, S.A. realiza las siguientes manifestaciones en contestación a los requerimientos de la Inspección:  “Alfa Laval Iberia, SA no asume ninguna responsabilidad en relación con el presunto tratamiento no consentido en internet de los datos de carácter personal de D.D.D. y E.E.E.. Desde Alfa Laval Iberia SA podemos asegurar que esta compañía no tiene ni ha tenido relación alguna con la empresa AVALMADRID, S.G.R. ni con las personas citadas. El presunto tratamiento no consentido de estas personas en internet, se ha realizado sin conocimiento, ni consentimiento de esta empresa. Es de señalar que Alfa Laval Iberia, SA cuenta con una política corporativa de uso de internet y de los equipos puestos a disposición del personal”; Asimismo manifiesta que, en base a la información facilitada por el escrito de la Agencia, en donde se especifican las direcciones IP ***IP.1 y ***IP.2 y el número de teléfono ***TEL.1, se han realizado las siguientes actuaciones:  “Identificación de la persona titular de la línea mediante la consulta de los archivos propios. Consulta a la compañía ALFA LAVAL LUND AB, sobre la posibilidad de conocer si en las fechas señaladas en el escrito de la Agencia Española de Protección de Datos, estas direcciones IP fueron utilizadas por la línea telefónica, citada anteriormente, y en su caso, a que páginas se conectó. Comprobación de las facturas telefónicas y constatación de la existencia de tráfico de datos de internet, y consulta al operador para que facilite lo accesos a internet realizados”. De las actuaciones practicadas, la compañía manifiesta que:  “Con la consulta a los archivos de Alfa Laval Iberia, SA, se ha podido identificar la persona a la que está asignada dicho número de teléfono, D. A.A.A. […].” “De la consulta realizada de las facturas de Telefónica de la citada línea se ha podido comprobar por Alfa Laval Iberia que el domingo 5 de agosto de 2012 aparece una conexión a datos de internet, con un tráfico de 352,16 Megabytes, según consta en la citada factura”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15  “De la consulta a la empresa ALFA LAVAL LUND AB se concluye que estas direcciones son las utilizadas por el Grupo Alfa Laval como direcciones de salida de todo el tráfico de internet generado… Alfa L val Lund AB sólo guarda los logs HTTP durante un par de días, transcurridos los cuales estos registros son eliminados”. 5. Con fecha 22 de marzo de 2013, desde la Inspección de Datos se solicitó información a don A.A.A., acerca de su relación con los dos denunciantes cuyos datos fueron utilizados para la creación de los respectivos perfiles en Facebook y de la documentación que pudiese acreditar, en su caso, el consentimiento otorgado por los afectados para el tratamiento de sus datos. El requerimiento de información fue contestado mediante mensaje de correo electrónico fechado el 4 de abril de 2013, no aportándose la información solicitada y alegándose que esta Agencia no tiene competencias para investigar una denuncia por usurpación de identidad. TERCERO: En fase de actuaciones previas se ha tenido conocimiento de que, por los mismos hechos:  Don E.E.E. presentó denuncia ante la Policía dando lugar a las Diligencias Previas del Procedimiento Abreviado 4030/2012, sustanciadas ante el Juzgado de Instrucción número 20 de Madrid.  Don D.D.D. presentó denuncia ante la Policía que dio lugar a las Diligencias Previas de Procedimiento Abreviado 3654/2012, que se están sustanciando en el Juzgado de Instrucción número 1 de Alcobendas. CUARTO: Con fecha 24 de junio de 2013, el Director de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al denunciado, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 € de acuerdo con el artículo 45.2 de dicha Ley Orgánica. QUINTO: Notificado el citado Acuerdo de inicio al representante legal de los denunciantes; en fechas 28/06 y 1/07 de 2013 se intentó la notificación del citado acuerdo de inicio de procedimiento sancionador al denunciado a través del servicio de Correos y Telégrafos. Según se desprende de la información facilitada por este servicio, dicha notificación fue depositada para su retirada en oficina de Correos, siendo devuelta junto al documento de aviso de recibo, con la anotación “ausente reparto”. Con fecha 15 de julio de 2013, se envió al Ayuntamiento del municipio de residencia del denunciante un extracto del citado Acuerdo de Inicio, para su exposición en el Tablón de edictos, y al Boletín Oficial del Estado, publicándose en este último en fecha 20 de julio de 2013. Con fecha 20/08/2013, tuvo entrada en esta Agencia escrito del citado Ayuntamiento, en el que se hace constar que el edicto, correspondiente a la notificación del acuerdo del procedimiento sancionador a la denunciante, estuvo expuesto en el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 Tablón de edictos del citado Ayuntamiento desde el día 23/07 al 9/08 de 2013. SEXTO: Con fecha 25 de junio de 2013, la Instructora del procedimiento solicita información al Juzgado de Instrucción número 20 de Madrid y al Juzgado de Instrucción nº 1 de Alcobendas, sobre la identidad de sujeto, hecho y fundamento entre la presunta infracción administrativa y la infracción penal que pudiera corresponder. El Director de la Agencia Española de Protección de Datos en fecha 28/06/2013 acuerda suspender el presente procedimiento sancionador, en cumplimiento del artículo 7 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la Potestad Sancionadora, hasta tanto recaiga resolución judicial al respecto. Dicho Acuerdo fue notificado a las partes y al citado Juzgado de Instrucción. Mediante escrito de 14/07/2013 el Juzgado de Instrucción nº 20 de Madrid solicita copia del presente procedimiento sancionador, siendo remitido el 4 de septiembre de 2013. Con fechas 12/12/2013 y 18/07/2014 se solicitó a los citados Juzgados de Instrucción información sobre las citadas Diligencias. Con fecha 1/08/2014 se recibe escrito del Juzgado de Instrucción nº 20 de Madrid comunicando: “…En virtud de lo acordado en el procedimiento de referencia, dirijo el presente adjuntando copia del oficio recibido, poniendo en su conocimiento que las presentes actuaciones se encuentra en situación de sobreseimiento provisional por busca del denunciado D. A.A.A. por paradero desconocido desde el día 25 de abril de 2014…” El 14/08/2014 se recibe escrito del Juzgado de Instrucción nº 1 de Alcobendas comunicando: <<…se encuentran pendientes de tomar declaración como imputado a A.A.A., encontrándose actualmente en paradero desconocido, lo que hago constar a los efectos oportunos y a petición de la Agencia Española de Protección de Datos…>> SÉPTIMO: A la vista de los citados escritos, el Director de la Agencia Española de Protección de Datos en fecha 04/09/2014 acordó levantar la suspensión del presente procedimiento sancionador. Dicha resolución fue notificada a los denunciantes. En fechas 8 y 10 de septiembre de 2014, se intentó la notificación del citado procedimiento sancionador al denunciado, a través del servicio de Correos y Telégrafos. Según se desprende de la información facilitada por este servicio, dicha notificación fue depositada para su retirada en oficina de Correos hasta el 10/09/2014, siendo devuelta junto al documento de aviso de recibo, con la anotación “desconocido”. Con fecha 12/12/2014, se envió al Ayuntamiento del municipio de la antigua residencia del denunciado un extracto del citado Acuerdo de Inicio, para su exposición en el Tablón de edictos, y al Boletín Oficial del Estado, publicándose en este último en fecha 27/12/2014. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 Con fecha 23/01/2015, tuvo entrada en esta Agencia escrito del citado Ayuntamiento, en el que se hace constar que el edicto, correspondiente a la notificación del citado acuerdo, estuvo expuesto en el Tablón de edictos del citado Ayuntamiento desde el día 18/12/2014 al 08/01/2015. OCTAVO: Transcurrido el plazo concedido para formular alegaciones al acuerdo de inicio sin que se hayan recibido las mismas, el citado acuerdo se considera propuesta de resolución, por lo que procede a elevar el procedimiento a la resolución del Director de la Agencia Española de Protección de Datos, en virtud de lo previsto en el artículo 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del Procedimiento para el ejercicio de la potestad sancionadora. HECHOS PROBADOS PRIMERO: Con fecha 1 de agosto de 2012 se recibió en la Agencia Española de Protección de Datos escrito de los denunciantes, comunicando que en Julio de 2012, los denunciantes tuvieron conocimiento de la creación de varios perfiles en la red social “Facebook” con los nombres “F.F.F.”, “E.E.E.”, “D.D.D.” y “XXXX”, correspondiendo tanto los nombres como la fotografías con la identidad personal de los denunciantes, no habiendo sido los creadores de esos perfiles, ni habiendo consentido hacerlo. Según se exponía en la denuncia, se interconectaron las identidades falsas con los perfiles reales de los denunciantes en Twitter y en Linkedin, colgando en el muro los links directos a ambas, creando de este modo la confusión de ser la misma persona. Adjunto a la denuncia aportaban copia impresa de varios de los perfiles referidos (folios 1 a 46) SEGUNDO: Con fechas 25 y 26 de octubre de 2012 se ha verificado, desde la Inspección de Datos, la existencia del perfil www.facebook............... Respecto de los perfiles ubicados en www.facebook..............1 y www.facebook.com.............2 no se encontraban ya disponibles (folios 52 a 58). TERCERO: Con fechas 29 de octubre y 8 de noviembre de 2012, se solicita información a FACEBOOK INC, sobre las direcciones IP de creación y accesos a los perfiles ubicados en www.facebook.............., www.facebook..............1 y www.facebook.com.............2, con datos de carácter personal de dos de los denunciantes. A este respecto FACEBOOK INC ha informado de diversas direcciones IP de creación y acceso a dichos perfiles, de las cuales, algunas de ellas pertenecen a empresas extranjeras, entre ellas las direcciones IP ***IP.1 y ***IP.2, atribuida a la compañía ALFA LAVAL LUND AB. Asimismo, la dirección IP ***IP.3 pertenece al rango de direcciones atribuido a TELEFONICA MOVILES ESPAÑA, S.A.U. y la dirección IP ***IP.4 pertenece al rango de direcciones atribuido a FRANCE TELECOM ESPAÑA, S.A (folios 59 a 68 y del 108 a 122). CUARTO: Con fecha 20 de diciembre de 2012 se remiten sendos escritos a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 TELEFONICA MOVILES ESPAÑA, S.A.U. y a FRANCE TELECOM ESPAÑA, S.A., solicitando información en relación con el cliente que en las fechas de creación y acceso a los citados perfiles fuera el titular de las citadas direcciones IP, respectivamente. TELEFONICA MOVILES ESPAÑA, S.A.U. ha informado a esta Inspección que en las fechas indicadas la dirección IP ***IP.3 estuvo asignada al número de teléfono ***TEL.1 cuyo titular es la empresas ALFA LAVAL IBERIA, S.A. FRANCE TELECOM ESPAÑA, S.A. ha informado a esta Inspección que en las fechas indicadas la dirección IP ***IP.4 estuvo asignada al número de teléfono ***TEL.2 cuyo titular es don A.A.A. (folios 123 a 130, del 141 a 148, del 166 al 177). QUINTO: Con fechas 24 y 25 de enero de 2012, se remite solicitud de información a la compañía ALFA LAVAL IBERIA, S.A. en relación con el consentimiento de los denunciantes para la creación de los perfiles en la red FACEBOOK e identificación de las personas que tenían asignada la línea telefónica móvil ***TEL.1. ALFA LAVAL IBERIA, S.A. realiza las siguientes manifestaciones en contestación a los requerimientos de la Inspección: “…Alfa Laval Iberia, SA no asume ninguna responsabilidad en relación con el presunto tratamiento no consentido en internet de los datos de carácter personal de D.D.D. y E.E.E.. Desde Alfa Laval Iberia SA podemos asegurar que esta compañía no tiene ni ha tenido relación alguna con la empresa AVALMADRID, S.G.R. ni con las personas citadas. El presunto tratamiento no consentido de estas personas en internet, se ha realizado sin conocimiento, ni consentimiento de esta empresa. Es de señalar que Alfa Laval Iberia, SA cuenta con una política corporativa de uso de internet y de los equipos puestos a disposición del personal…” Asimismo manifiesta que, en base a la información facilitada por el escrito de la Agencia, en donde se especifican las direcciones IP ***IP.1 y ***IP.2 y el número de teléfono ***TEL.1, se han realizado las siguientes actuaciones: “Identificación de la persona titular de la línea mediante la consulta de los archivos propios. Consulta a la compañía ALFA LAVAL LUND AB, sobre la posibilidad de conocer si en las fechas señaladas en el escrito de la Agencia Española de Protección de Datos, estas direcciones IP fueron utilizadas por la línea telefónica, citada anteriormente, y en su caso, a que páginas se conectó. Comprobación de las facturas telefónicas y constatación de la existencia de tráfico de datos de internet, y consulta al operador para que facilite lo accesos a internet realizados”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 De las actuaciones practicadas, la compañía manifiesta que: “Con la consulta a los archivos de Alfa Laval Iberia, SA, se ha podido identificar la persona a la que está asignada dicho número de teléfono, D. A.A.A. […].” “De la consulta realizada de las facturas de Telefónica de la citada línea se ha podido comprobar por Alfa Laval Iberia que el domingo 5 de agosto de 2012 aparece una conexión a datos de internet, con un tráfico de 352,16 Megabytes, según consta en la citada factura”. “De la consulta a la empresa ALFA LAVAL LUND AB se concluye que estas direcciones son las utilizadas por el Grupo Alfa Laval como direcciones de salida de todo el tráfico de internet generado… Alfa L val Lund AB sólo guarda los logs HTTP durante un par de días, transcurridos los cuales estos registros son eliminados” (folios 136 a 165). SEXTO: Con fecha 22 de marzo de 2013, desde la Inspección de Datos se solicitó información a don A.A.A., acerca de su relación con los dos denunciantes cuyos datos fueron utilizados para la creación de los respectivos perfiles en Facebook y de la documentación que pudiese acreditar, en su caso, el consentimiento otorgado por los afectados para el tratamiento de sus datos. El requerimiento de información fue contestado mediante mensaje de correo electrónico fechado el 4 de abril de 2013, no aportándose la información solicitada y alegándose, en síntesis, que esta Agencia no tiene competencias para investigar una denuncia por usurpación de identidad (folios 178 a 192). SÉPTIMO: En fase de actuaciones previas se ha tenido conocimiento de que, por los mismos hechos: Don E.E.E. presentó denuncia ante la Policía dando lugar a las Diligencias Previas del Procedimiento Abreviado 4030/2012, sustanciadas ante el Juzgado de Instrucción número 20 de Madrid. Don D.D.D. presentó denuncia ante la Policía que dio lugar a las Diligencias Previas de Procedimiento Abreviado 3654/2012, que se están sustanciando en el Juzgado de Instrucción número 1 de Alcobendas (folios 200 a 202). OCTAVO: Con fecha 1/08/2014 se recibe escrito del Juzgado de Instrucción nº 20 de Madrid comunicando: “…En virtud de lo acordado en el procedimiento de referencia, dirijo el presente adjuntando copia del oficio recibido, poniendo en su conocimiento que las presentes actuaciones se encuentra en situación de sobreseimiento provisional por busca del denunciado D. A.A.A. por paradero desconocido desde el día 25 de abril de 2014…” (folio 322). El 14/08/2014 se recibe escrito del Juzgado de Instrucción nº 1 de Alcobendas comunicando: “…se encuentran pendientes de tomar declaración como imputado a A.A.A., encontrándose actualmente en paradero desconocido, lo que hago constar a los efectos oportunos y a petición de la Agencia Española de Protección de Datos…” (folio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 325). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II Para determinar si la actuación de la denunciada constituye un tratamiento o no de datos, debe tenerse en cuenta el criterio de la sentencia del Tribunal de Justicia de las Comunidades Europeas de 6 de noviembre de 2003, en el asunto C-101/01 (caso Lindqvist). En los apartados 25 y 26, relativos al concepto de dato personal, se considera incluida en el mismo “toda información sobre una persona física identificada o identificable”, añadiendo que “este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones”. Así mismo, establece la sentencia en su apartado 27: “Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un tratamiento total o parcialmente automatizado de datos personales” en el sentido del artículo 3, apartado 1, de la Directiva 95/46.” III El Grupo de Trabajo del artículo 29 (GT29), órgano consultivo europeo independiente establecido en virtud del artículo 29 de la Directiva 95/46/CE, adoptó el 12 de junio de 2009 el Dictamen 5/2009, sobre las redes sociales en línea. Este documento se centra en cómo el funcionamiento de los servicios de redes sociales (SRS) puede satisfacer los requisitos de la legislación sobre protección de datos de la Unión Europea. En particular, en el documento se destaca cómo muchos usuarios de las redes sociales se mueven dentro de una esfera puramente personal, poniéndose en contacto con gente como parte de la gestión de sus asuntos personales, familiares o domésticos. Según destaca el GT29, la citada Directiva no impone las obligaciones de un responsable de datos a un individuo que procesa datos personales "en el transcurso de actividades estrictamente personales o domésticas". Siguiendo este precepto, el GT29 estima que, con carácter general, en la mayor parte de las actividades realizadas por los usuarios de un SRS debe aplicarse lo que denomina "exención doméstica", en lugar de la normativa de protección de datos. Ahora bien, en el Dictamen se especifican así mismo tres supuestos en los que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 tales actividades no estarían cubiertas por la "exención doméstica". El primer supuesto se refiere a los casos en los que se utiliza el SRS como plataforma de colaboración para una asociación o una empresa. Si un usuario de SRS actúa en nombre de una sociedad o asociación, o utiliza el SRS principalmente como una plataforma para conseguir objetivos comerciales, políticos o benéficos, la exención no se aplica. En este caso, el usuario asume todas las obligaciones de un responsable de datos que está revelando datos personales a otro responsable de datos (el SRS) y a terceros (otros usuarios del SRS o, potencialmente, otros responsables de datos con acceso a los mismos). En estas circunstancias, el usuario necesita el consentimiento de las personas concernidas o algún otro fundamento legítimo dispuesto en la Directiva de Protección de Datos. El GT29 expone que los prestadores del SRS deben garantizar la instauración de configuraciones por defecto gratuitas y que respeten la privacidad, restringiendo el acceso a los contactos seleccionados. En estas condiciones, cuando el acceso a la información del perfil se amplía hasta más allá de los contactos seleccionados, como cuando se facilita el acceso al perfil a todos los miembros del SRS o cuando los datos son indexables por motores de búsqueda, el acceso se sale de la esfera personal o doméstica. De igual manera, si un usuario toma una decisión informada de ampliar el acceso más allá de los "amigos" seleccionados, las responsabilidades inherentes a un responsable de datos se activan. Efectivamente, se aplicará el mismo régimen legal que cuando cualquier persona utiliza otras plataformas tecnológicas para divulgar datos personales en Internet. En varios Estados Miembros, la falta de restricciones de acceso (y así el carácter público) significa que la Directiva de Protección de Datos se aplica en el sentido de que el usuario de Internet adquiere responsabilidades de un responsable de datos. No obstante, el GT29 hace constar que, aunque la exención doméstica no se aplique, el usuario de SRS puede beneficiarse de otras exenciones como la exención con fines periodísticos o de expresión literaria o artística. En dichos casos, se ha de llegar a un equilibrio entre la libertad de expresión y el derecho a la privacidad. Finalmente, el GT29 aborda un tercer escenario en que la “exención doméstica” no sería aplicable. Se trata de aquellos supuestos en los que es preciso garantizar los derechos de terceros, particularmente en relación con datos sensibles. No obstante, se hace constar que, aun cuando se aplique la “exención doméstica”, un usuario podría ser responsable de acuerdo con las disposiciones generales de la legislación civil o penal nacional en cuestión. En el Dictamen se aclara el concepto de “datos sensibles”. Así, los datos que revelan el origen racial o étnico, opiniones políticas, creencias religiosas o filosóficas, la pertenencia a un sindicato o datos relativos a la salud o a la vida sexual se consideran sensibles. Los datos personales sensibles solo se pueden publicar en Internet con el consentimiento explícito del sujeto de datos o si el sujeto de datos ha hecho que los datos sean manifiestamente públicos él mismo. El GT29 expone que en algunos Estados Miembros de la UE, las imágenes de los sujetos de datos se consideran una categoría especial de datos personales, ya que se pueden utilizar para distinguir entre orígenes raciales/étnicos o pueden utilizarse para deducir las creencias religiosas o los datos sobre la salud. El GT29, en general, no considera que las imágenes en Internet sean datos sensibles, a menos que éstas se utilicen claramente para revelar datos sensibles acerca de los individuos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 En consecuencia, de conformidad con el criterio interpretativo mantenido por el GT29, es preciso que concurra alguno de los escenarios expuestos, en los que la “exención doméstica” no resulta de aplicación, para que sean aplicables los requisitos previstos en la LOPD. De acuerdo con lo expuesto, en el presente caso, de acuerdo con la documentación que obra en el presente procedimiento, ha quedado acreditada la creación de perfiles en la red social Facebook con los datos personales de, al menos, dos de los denunciantes y que tales perfiles, creados con la voluntad de suplantar la identidad de los denunciantes, no tenían restricciones de acceso público. En consecuencia, nos hallamos ante un escenario en el que, de acuerdo con el criterio interpretativo del GT29, no cabe aplicar la citada exención doméstica, siendo plenamente aplicable la normativa de protección de datos. IV El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
3. a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. El artículo 3 de la LOPD define en su letra
4. c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación. El vigente Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, define el concepto de datos de carácter personal como cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a una persona física identificada o identificable. En este mismo sentido se pronuncia el artículo 2.
5. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Asimismo, el Considerando 26 de esta Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. Atendiendo a la definición contenida en las normas citadas, que considera dato de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”, el nombre, apellido de los denunciantes e imágenes de los denunciantes incluidos en los citados perfiles, se ajustan a este concepto. La Directiva 95/46/CE en su Considerando 14 lo afirma expresamente al señalar: “