PS-00416-2019

1/61  Procedimiento Nº: PS/00416/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 03/09/2018, tuvo entrada en esta Agencia una reclamación presentada por A.A.A. (en lo sucesivo el reclamante 1), contra la entidad MIRACLIA TELECOMUNICACIONES, S.L., con NIF B85623775 (en lo sucesivo MIRACLIA o la reclamada), por la utilización de sus datos personales para hacerle una broma sirviéndose para ello de la aplicación “***APLICACIÓN.1”, mediante llamada telefónica a su línea móvil ***TELÉFONO.1 en la que una persona fingía ser un agente de policía, la cual tuvo lugar el día ***FECHA.1. Con este motivo, denuncia la grabación realizada sin su conocimiento ni consentimiento, la difusión de dicha grabación a terceros, también sin su consentimiento, y que la llamada se produce desde un número oculto. Añade que la línea habilitada como contacto por aquella compañía es de tarificación adicional, que conlleva un coste para el interesado que pretenda contactar con la misma. Manifiesta que dispone de una copia de la grabación, que le fue facilitada por la persona que utilizó los servicios de MIRACLIA y solicita que sus datos sean cancelados, así como la apertura de un procedimiento sancionador. Esta reclamación fue trasladada a la entidad MIRACLIA. En respuesta a lo manifestado por el reclamante 1, MIRACLIA informa a esta Agencia que la broma a la que se refiere el reclamante es ajena a la aplicación “***APLICACIÓN.1”, en cuyo catálogo de bromas no existe ninguna que tenga que ver con policías. Sobre el tratamiento de datos personales, indica que no almacena datos del abromado (en lo sucesivo, también, interesado o persona que recibe la llamada de broma): ni grabaciones ni teléfono, que estará en el dispositivo móvil del bromista (en lo sucesivo, también, usuario de la aplicación o persona que encarga la llamada de broma); limitándose a prestar un servicio al usuario de la aplicación (el bromista) que elige la broma, introduce el teléfono del destinatario y, previa la aceptación de los términos y condiciones, genera la grabación. MIRACLIA, por tanto, no tiene forma de saber si el reclamante ha recibido una broma de “***APLICACIÓN.1” (advierte al respecto que existen otras aplicaciones similares), y sólo puede bloquear el número de línea telefónico del abromado, aún sin saber si efectivamente ha recibido la broma, o borrar la URL de la grabación si dispusieran de ella, cosa que no ocurre en este caso al no haberla aportado el reclamante 1. Según MIRACLIA, es el bromista quien puede borrar la grabación, por lo que la petición del reclamante ha de dirigirse a éste. La actuación de la entidad, que no identifica a las personas abromadas, consiste en evitar que la persona destinataria de la broma reciba más llamadas en el futuro, bloqueando el teléfono, o proceder al borrado de la grabación mediante la URL de la broma, que no lleva ningún teléfono asociado, y siempre que el bromista no lo haya hecho previamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/61 El usuario de la aplicación o bromista es advertido en dos ocasiones sobre la responsabilidad que conlleva la realización de la grabación. Finalmente, MIRACLIA informa que desde la plena aplicación del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo RGPD), ha modificado su operativa con el objeto de no conservar ningún tipo de datos, quedando éstos en los teléfonos de los usuarios, siendo imposible identificar a los abromados. En el caso de que éstos últimos, los abromados, aportasen su número de línea, se podría proceder a su bloqueo para que no reciba llamadas en el futuro. SEGUNDO: Con fecha 04/07/2019, tuvo entrada en esta Agencia una reclamación presentada por B.B.B. (en lo sucesivo la reclamante 2), contra la entidad MIRACLIA, señalando, al igual que el reclamante 1, que ha sido objeto de una broma (agradecimiento por su voto a XXXXX) que fue grabada y difundida por redes sociales con la mención de su nombre, llevada a cabo utilizando la aplicación “***APLICACIÓN.1” (aporta el enlace al audio objeto de la denuncia –“***ENLACE.1”, que permite el acceso al audio correspondiente a la llamada). Solicita la eliminación de su número de línea de telefonía móvil en la que recibió la llamada de la base de datos de la compañía responsable y la eliminación del audio de la red. Denuncia, asimismo, que se realicen mensajes xenófobos de la supuesta “asociación de amigos de XXXXX”. TERCERO: Las reclamaciones a las que se refieren las actuaciones fueron admitidas a trámite mediante resoluciones de fecha 20/11/2018 (la relativa al reclamante 1) y 09/08/2019 (la relativa a la reclamante 2). CUARTO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante 1, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), a la que se vinculó igualmente la reclamación formulada por la reclamante 2. Como resultado de dichas actuaciones, el informe elaborado por la inspección actuante pone de manifiesto lo siguiente: 1. Realizado requerimiento de información a MIRACLIA sobre diversos aspectos, con fecha 25/06/2019 se recibió en esta Agencia escrito procedente de dicha compañía en el que realiza las siguientes manifestaciones: a. Al final de la llamada de broma, el receptor escucha una locución ofreciéndole la posibilidad de no permitir la generación del fichero con la grabación de la broma. La locución es la siguiente: "Un amigo suyo le ha gastado una broma. En caso de que no quiera que su amigo pueda escuchar, descargar o difundir la broma, o en caso de que no quiera recibir más bromas, pulse 5 con su teclado después de la señal. Beeep” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/61 Añaden que adicionalmente, se puede eliminar la broma conociendo la url de la grabación de la broma y enviando un correo a ***EMAIL.1 indicando esa url. b. Entre otros aspectos técnicos, indican que, una vez programada la broma, la llamada se inicia desde los servidores de Voz sobre IP de la reclamada en la fecha y hora especificadas. El usuario bromista descarga la aplicación y acepta los términos y condiciones de la misma. En ese momento se genera su perfil de usuario para utilizar un servicio de Voz sobre IP y se le asigna una numeración, la cual se le alquila mientras es usuario de la aplicación y realiza cada llamada. Para hacer uso de la aplicación, elige una broma del catálogo e introduce el teléfono del destinatario de la broma y programa una fecha y hora, y la llamada de Voz sobre IP sale de los servidores en la nube a esa hora que ha programado el usuario bromista. Si el usuario bromista selecciona grabar la llamada (y el receptor de la misma, al recibir la llamada no elige la opción de que no se grabe según se indica en el punto anterior), se generará un fichero de audio con el contenido de la misma. El fichero de audio generado está disponible en una URL a la que solamente el bromista usuario de la aplicación tiene acceso y solamente el bromista en su propio dispositivo donde tiene instalada la aplicación tiene asociado ese contenido al nº de teléfono del destinatario de la llamada, pues los servidores de ***APLICACIÓN.1 no almacenan ningún dato personal del destinatario de la llamada. c. En los términos y condiciones de uso de la aplicación se les informa a los usuarios bromistas que la compañía podría eliminar sus perfiles (incluyendo los contenidos/grabaciones) tras 6 meses de no uso de la aplicación. 2. Con objeto de determinar el funcionamiento exacto de la aplicación y las posibles variaciones incorporadas en la aplicación desde la última reclamación, el inspector instaló en su terminal móvil la aplicación “***APLICACIÓN.1”. La aplicación consta de 3 pestañas: “Listado” (de bromas disponibles), “Ejemplos” y “Mis bromas”. En esta última pestaña es donde se guardarán las bromas realizadas por el bromista si no son eliminadas. Se comprueba que en el listado de bromas disponibles constan las bromas relacionadas con el reclamante 1 y la reclamante 2. 3. Con fechas 6, 9 y 12 de septiembre de 2019, los Servicios de Inspección de la Agencia realizaron unas pruebas consistentes en descargar la aplicación “***APLICACIÓN.1” en un terminal móvil y proceder a su uso. Como resultado de estas pruebas se obtuvieron las constataciones que constan reseñadas en el Hecho Probado Segundo. 4. Se ha constatado que en la página web “***APLICACIÓN.1.es” se ofrece un sistema gratuito e inmediato para incluir un número de teléfono en la lista de teléfonos bloqueados. Según manifestación de MIRACLIA, el número de teléfono se almacena encriptado en sus sistemas. Se realizó una prueba dando de alta el número de teléfono correspondiente a la segunda SIM del terminal del inspector y, a continuación, se intentó realizar una broma a este número de teléfono. La aplicación no permitió la ejecución de la broma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/61 5. En cuanto a la cuestión de la difusión de la broma, que está presente en las reclamaciones, hay que aclarar que MIRACLIA no dispone de ningún sitio público donde se publiquen o plataforma alguna de difusión de las bromas. Las bromas solo las puede difundir el usuario bromista mediante el envío del enlace al archivo de audio: en el listado de bromas realizadas por el bromista, junto a cada una de las bromas no eliminadas por el receptor de la broma siguiendo el procedimiento indicado, aparece un icono para descargar el archivo de audio de la grabación de la conversación telefónica de la broma, otro para escucharla y un tercero para compartirla (se envía el enlace al archivo de audio de la grabación a través del medio que se haya elegido para compartirla -este es el único momento en el que el bromista conoce el enlace al archivo de audio). 6. Con fecha 26/08/2019, por los Servicios de Inspección se accede a la web “***WEB.1”, a la URL correspondiente a la grabación de la broma realizada a la reclamante 2. Se comprueba que utilizando el botón derecho se muestran distintas opciones, entre ellas la de reproducir y descargar la grabación. La inspección actuante recoge en su informe una reseña de las pruebas de funcionamiento de la aplicación “***APLICACIÓN.1” realizada con motivo de alguna actuación anterior desarrollada por la Agencia (expediente E/02003/2018). Con respecto al tratamiento por parte de la reclamada de los datos personales del destinatario, en dicho informe se indica lo siguiente: I. I. I. Almacenamiento del teléfono del destinatario. Se almacena el teléfono del destinatario en los sistemas de la reclamada hasta el momento de realizar la llamada. Las llamadas de broma pueden ser instantáneas o programadas especificando fecha y hora de ejecución. Grabación de la broma. Permanece en los sistemas de la reclamada hasta que el bromista decide eliminarla, el destinatario de la broma decide ejercer su derecho de supresión, para lo cual debe conocer el enlace web a la broma, o como norma general, un periodo de tiempo de 6 meses de no uso de la aplicación establecido por la reclamada. No existen en los sistemas de la reclamada otros datos personales del destinatario de la broma adicionales a los reflejados en los anteriores puntos I y II. QUINTO: Con fecha 19/11/2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad MIRACLIA, de conformidad con lo previsto en el artículo 58.2 del RGPD, por la presunta infracción de los artículos 13 y 14 del RGPD, tipificada en el artículo 83.5.

1. b)del citado Reglamento; y por la presunta infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.
2. a)del citado Reglamento; determinando que la sanción que pudiera corresponder ascendería a un total de 100.000,00 euros (50.000,00 euros por cada una de las infracciones imputadas), sin perjuicio de lo que resulte de la instrucción. Asimismo, a los efectos previstos en el artículo 58.2.
3. d)del RGPD, en dicho acuerdo de inicio se advertía que las infracciones imputadas, de confirmarse, podrán conllevar la imposición a la entidad MIRACLIA de la obligación de adoptar las medidas necesarias para adecuar a la normativa de protección de datos personales las operaciones de tratamiento que realiza, la información ofrecida a sus clientes y el procedimiento mediante el que los mismos prestan su consentimiento para la recogida y tratamiento de sus datos personales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/61 todo ello con el alcance expresado en los Fundamentos de Derecho del repetido acuerdo de inicio del procedimiento y sin perjuicio de lo que resulte de la instrucción. SEXTO: Notificado el citado acuerdo de inicio, MIRACLIA presentó escrito de alegaciones en el que solicita la reducción de la sanción a la que se hace referencia en el acuerdo de apertura del procedimiento, habida cuenta las alegaciones formuladas y las medidas inmediatas adoptadas. Basa su pretensión en las consideraciones siguientes: 1. Como cuestión preliminar, advierte la citada entidad que ha sido objeto de varios procedimientos sancionadores con anterioridad (por ausencia de consentimiento únicamente), que están siendo revisados ante el Tribunal Supremo, tres de ellos ya admitidos formalmente a trámite y pendientes de vista oral. En dichos procedimientos se discute la posición de MIRACLIA en la relación personal entre bromista y abromado al facilitar un medio de ocio entre particulares, así como la existencia o no de datos personales y la base jurídica del tratamiento (el interés legítimo, según la entidad), pues de otra forma el hecho de gastar una broma no sería posible. Acompaña copia de uno de los recursos de casación, en los que se resumen, según MIRACLIA, sus argumentos. A raíz de esos casos, y la entrada en vigor del RGPD, realizó una modificación de sus sistemas para evitar que los datos estuviesen almacenados en los servidores de MIRACLIA, alejando la idea de “tratamiento de datos personales” y apostando, según sus manifestaciones, por ser un medio de comunicación como puede ser una línea telefónica. Es un intermediario en una relación entre particulares, siendo el usuario que gasta la broma el responsable de la información. También es el que introduce el teléfono. MIRACLIA indica que solo dota de seguridad al proceso, pero no es capaz de identificar al abromado ni de vincularle con ningún otro dato; no guarda el teléfono al que se dirige la broma no lo asocia al archivo de audio, que queda cifrado con un código. Añade que bloquea el teléfono del destinatario de la broma cuando solicita no recibirlas, borra la grabación cuando así se solicita y no dispone de listados de teléfonos de abromados, listados de grabaciones o similar. Es algo similar, dice MIRACLIA, a lo que ocurre con Instagram o Twitter cuando un particular hace una foto y la sube a estas redes sociales, las cuales no son responsables de estos hechos y, como mucho, habilitan medios para solicitar la retirada del contenido. Tampoco una empresa dedicada el envío de regalos sorpresa tiene que pedir permiso anterior al destinatario. De otra forma, no sería posible la actividad. 2. En relación con la reclamación formulada por el reclamante 1, reitera que la broma a la que hace referencia no figura en el catálogo de bromas de ***APLICACIÓN.1. Sobre la segunda reclamación manifiesta que la interesada no se dirigió a la entidad para solicitar la supresión de sus datos y que esta solicitud pudo realizarla desde el momento mismo de la llamada o posteriormente, al disponer de la URL con la grabación. Según MIRACLIA, esta denuncia evidencia que lo solicitado habitualmente es la supresión de la broma. En este caso, transcurrieron casi tres meses, cuando en el mismo día se podría haber satisfecho el derecho. 3. Sobre las pruebas realizadas por el inspector: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/61 - La grabación no queda materializada en un fichero de audio con su correspondiente URL hasta que el usuario que hace la llamada confirma que ha aceptado los Términos y Condiciones por segunda vez y genera el fichero de audio. - El borrado de las bromas se produce con el envío de un tono DTMF durante la llamada, que los operadores deben garantizar su funcionamiento. Lamentablemente en el mundo VoIP (que es la tecnología con la que los operadores prestan el servicio de envío de las llamadas telefónicas desde los servidores de ***APLICACIÓN.1), esto no siempre es así dependiendo de la ruta que haya seguido la llamada, lo cual está detrás de la inestabilidad que pueda tener el sistema. - La usabilidad de borrado tras mantener pulsación es algo que MIRACLIA considera intuitivo porque muchas apps de mensajería lo realizan de la misma forma. Se trata ya de un estándar de usabilidad de los smartphones. - El número de teléfono para las bromas programadas queda encolado con la llamada a realizar. Cuando ésta se realiza, desaparece de los sistemas. En ningún momento queda guardado el número de teléfono y la grabación en el mismo momento y lugar, con lo cual es imposible que haya asociación entre ambos datos. El fichero de la grabación se genera cuando el bromista acepta su generación, lo cual sólo se produce cuando la llamada ha finalizado y el abromado no ha pulsado la tecla 5. Si el bromista no aceptara la generación de la grabación, no existe conversión del audio en un fichero accesible vía URL y, por tanto, incluso ni el usuario podría acceder al fichero. El audio serían unos bits en memoria temporal sin que genere un fichero cerrado de audio. 4. Sobre el funcionamiento de la aplicación: la información y la base jurídica que legitima el tratamiento de datos. Cuestiona que la información pueda considerarse dato personal, por cuanto MIRACLIA es incapaz de identificar a los abromados de manera sencilla y sin medios desproporcionados, a partir del número de telefonía móvil o de los archivos de voz (STS 2484/2019: “una persona física no se considera identificable si dicha identificación requiere plazos o actividades desproporcionadas”). En este caso, el único que puede identificar al abromado es el usuario y para MIRACLIA el destinatario es anónimo. Sobre el deber de información señala lo siguiente: MIRACLIA adoptó medidas adicionales para garantizar la seguridad de la información tratada y que el número de teléfono se almacenara en el dispositivo del usuario y no en los servidores de la entidad. Inicialmente, el teléfono del abromado se almacenaba para facilitar cualquier solicitud de información del afectado, si bien, según indica MIRACLIA, de forma encriptada irreversible con algoritmo sha-2 evitando el uso del número para cualquier acción que no fuera dar ese soporte, dado que sólo se podía recuperar si alguien (ej: el propio abromado) lo facilitaba. Al mismo tiempo, se incluyó al final de la broma una nota informativa sobre el tratamiento de datos que, aunque es cierto que la locución actual no informa de todo lo exigido en el artículo 14 del RGPD, sí se indica cómo oponerse al tratamiento de los datos y su supresión (insiste en que considera que no trata datos personales, pero, “ad cautelam”, informa y ofrece garantías). Igualmente, en la política de privacidad insertada de la web y en los Términos y Condiciones de la app se informa de lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/61 “Miraclia no recoge datos de los destinatarios de las bromas. La actividad de Miraclia es la de facilitar un medio de telecomunicaciones para que el titular del teléfono que se descarga la app, elija una broma y la grabe, quedando los datos relativos al destinatario de la llamada almacenados en el terminal del propio usuario sin que Miraclia conserve información del número de teléfono del destinatario. Miraclia presta un servicio de almacenamiento en la nube de los ficheros de audio del cliente y en ningún momento difunde ni comparte con nadie esa información, dado que es información privada del usuario de la aplicación”. Por otra parte, con motivo de las presentes actuaciones, conocida la imputación realizada por primera vez en relación con los defectos de información, ha procedido de inmediato a su subsanación completando la información ofrecida al final de la conversación de la broma como sigue: - Que alguien ha gastado una broma para pasar ambos un buen rato. - Que para la misma ha utilizado la aplicación ***APLICACIÓN.1 propiedad de MIRACLIA TELECOMUNICACIONES, S.L. - Que para oponerse a que dicha broma llegue al bromista y para suprimirla puede pulsar la tecla 5. - Que tiene más información pulsando la tecla 1. Y al pulsar la tecla 1 se ofrece la explicación detallada, también incluida en la web. De este modo, de la información que no facilitaba al interesado, ahora ha incluido: - La identidad de MIRACLIA - Los datos de contacto del Delegado de Protección de datos - El plazo de conservación - La base de legitimación - El ejercicio de los derechos al completo que si bien se garantizaban los de oposición y supresión (y también el de acceso cuando se solicitaba) se especifican ahora formalmente. Se trata de una información por capas incluida al final de la conversación, en los Términos y Condiciones de la app, en la web de la entidad y en la sección preguntas frecuentes. Aporta el detalle correspondiente a la información insertada en el apartado “Preguntas frecuentes” de la web: “12.- No quiero recibir más bromas. ¿Qué debo hacer? Si no quieres que ningún conocido te vuelva a mandar bromas, basta con que entres en Bloquear mi número e incluyas el número de teléfono. El número de teléfono que introduzca quedará bloqueado en las plataformas de manera que nunca nadie le podrá enviar una broma desde esta aplicación (ni por supuesto, ningún otro tipo de acción). El nº se almacena encriptado en los sistemas, de manera que nadie podrá recuperar ese nº para utilizarlo en el futuro”. “16.- ¿Cómo puedo borrar una broma? Las bromas se borran manteniendo pulsado el dedo unos segundos sobre la broma en cuestión”. Aclara, seguidamente, que lo anterior no supone su conformidad con la infracción ni con la sanción, pero dado que no es este un aspecto que se haya descuidado con mala fe o con propósito de eludir ningún cumplimiento, se vuelve a incluir “ad cautelam” de forma inmediata para su subsanación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/61 Sobre la base jurídica del tratamiento de datos manifiesta lo siguiente: El consentimiento no puede ser la base jurídica para gastar una broma porque se desvirtuaría el hecho mismo de gastar una broma o del efecto sorpresa, como también ocurre en infinidad de casos, como el envío de flores o la subida de fotos de amigos a redes sociales. En este último caso, se garantizan los derechos de supresión y oposición, pero el responsable de la red social no solicita el consentimiento de las personas cuyos datos son subidos a la misma por otros usuarios. Por ello MIRACLIA defiende la procedencia del interés legítimo como base de legitimación ex artículo 6.1.
4. f)del RGPD. A estos efectos se ha realizado la correspondiente prueba de sopesamiento exigida, siguiendo las recomendaciones del extinto Grupo de Trabajo del artículo 29. Es más, se ha valorado que la base jurídica sea la ejecución del contrato entre usuario y MIRACLIA, pero el abromado no es parte en dicho contrato. Acompaña, a estos efectos, informe que justifica la procedencia del interés legítimo como base que legitima el tratamiento de datos y en el que concluye que, más allá de casos puntuales en los que el abromado se sienta molesto (que son casos testimoniales), no existe riesgo para las personas por haberse adoptado todas las medidas de seguridad para garantizar la seguridad del proceso, porque se garantiza el borrado de la broma si el abromado así lo solicita, el bloqueo de su teléfono y porque ahora además se ha incluido la información completa. Añade que la grabación de una conversación entre particulares, cuando quien graba es uno de los participantes en la conversación, no es ilícito, según declara el Tribunal Constitucional en su sentencia el 29 de noviembre de 1984, STC 11/1984, cuando establece, entre otras consideraciones que "Quien graba una conversación de otros atenta, independientemente de toda otra consideración, al derecho reconocido en el art. 18.3 CE; por el contrario, quien graba una conversación con otro no incurre, por este solo hecho, en conducta contraria al precepto constitucional citado". En el caso de ***APLICACIÓN.1, la parte que emite la llamada es consciente de la grabación de la misma. El usuario podría grabar la conversación con una grabadora, con el propio móvil o utilizando aplicaciones que graban las conversaciones. En lugar de ello utiliza un medio (***APLICACIÓN.1, que le presta el servicio). Esa llamada se produce en un entorno doméstico entre particulares a los que la legislación de protección de datos no afecta. Si MIRACLIA, tal y como venía haciendo hasta fechas recientes y ahora retoma dicha práctica informa de la grabación, está proporcionando mayores garantías (el abromado puede elegir borrar la grabación, borrarla a posteriori, bloquear su teléfono e impedir la difusión de la broma por el usuario) 5. Sobre las medidas adoptadas y la graduación de la sanción Destaca MIRACLIA que las reclamaciones presentadas ante la Agencia representan un porcentaje ínfimo (0,00002%), frente a los centenares de usuarios que ha atendido a través C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/61 de diferentes vías (web, locución final tras la llamada y servicio de atención al cliente); que ha subsanado la falta de información completando los términos dispuestos en el artículo 14 del RGPD, aunque considera fundamental que sí ofrecía la posibilidad de oponerse y la supresión de los datos; y que la sanción propuesta obligaría al cierre de la empresa, por cuanto representa el 25% de su facturación, que ascendió a 476.000 euros en el año 2018, en el que se produjeron pérdidas. Solicita una revisión a la baja de la sanción propuesta y, a tales efectos, considera que ha de tenerse en cuenta lo siguiente: . Que nos encontramos en un entorno de ocio que no produce perjuicio al abromado, ni se hace mal uso de sus datos personales. . El único dato en liza es el número de teléfono, que MIRACLIA no conserva y una grabación que solo el usuario puede generar y distribuir, los cuales la entidad no puede unir al no existir ningún fichero con el teléfono y la grabación. . Que la intención siempre ha sido cumplir la norma, garantizar la seguridad de los datos y minimizar al máximo la información. . Que nunca ha dejado de atender las peticiones de supresión. . Hasta el presente procedimiento, la infracción se ha centrado exclusivamente en la ausencia de consentimiento, sin la imputación por incumplimiento del artículo 14, que parece excesiva considerando que ha venido informando y ha procedido a su subsanación. . Se ha mostrado dispuesta a cooperar con la Agencia en todo momento y ha facilitado la información que le ha sido requerida. . En el proceso que se analiza, el abromado siempre es elegido por el usuario de la aplicación, a quien corresponde hacer un buen uso de la misma. . Que la cuestión sobre la base jurídica del tratamiento se está discutiendo en el Tribunal Supremo, quien decidirá si el tratamiento es anónimo para la entidad, si se han dispuesto las garantías de seguridad y si se trata de un medio que los particulares utilizan en su vida privada. MIRACLIA aporta copia de uno de los recursos de casación interpuestos ante el Tribunal Supremo en el año 2019, que fundamenta en los motivos siguientes: 1. Gastar una broma a través de una aplicación o de un medio en el que el usuario es soberano de la información que se facilita es un acto desarrollado en el ámbito doméstico o personal y por lo tanto queda excluido del ámbito de protección de la normativa de protección de datos. 2. La voz no es un dato personal si no permite identificar a su titular o si es necesario realizar esfuerzos desproporcionados para identificarlo. 3. La base jurídica del tratamiento de datos (si se estima que estamos ante datos personales) por parte de un a aplicación que facilita un medio de ocio en el ámbito personal o doméstico de las personas se basa es el interés legítimo. SÉPTIMO: Por otra parte, a través del “Sistema de Información del Mercado Interior” (en lo sucesivo IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se recibió en esta Agencia Española de Protección de Datos (AEPD) una reclamación de fecha 17/07/2019, formulada por un interesado ante la autoridad de protección de datos de Eslovenia (Information Commissioner). El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/61 RGPD, teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal. La citada reclamación se formula contra la entidad MIRACLIA, con sede social y establecimiento único en España, en relación con la aplicación móvil para Adroid denominada “***APLICACIÓN.1”, que permite a los usuarios la realización de bromas telefónicas a terceros. El usuario selecciona una broma y una “víctima”, que es contactada telefónicamente por MIRACLIA desde su propio sistema a través de un número oculto (llamada de broma), realizándose una grabación de la conversación que se pone a disposición del usuario de la aplicación. En la reclamación se pone de manifiesto una posible vulneración de la normativa de protección de datos personales, considerando que no se informa al interesado sobre la grabación de la llamada de broma y no existe posibilidad para que éste pueda ejercitar el derecho de supresión. Se advierte, asimismo, que la propia aplicación describe los elementos en conflicto. Los tratamientos de datos que se llevan a cabo afectan a interesados en varios Estados miembros. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, se han declarado interesadas en el presente procedimiento las autoridades de control de Bélgica, Grecia, Chipre, Dinamarca, Sajonia, Noruega, Suecia, Francia, Hungría, Polonia, Berlín, Baja Sajonia, Eslovaquia, Irlanda y Mecklemburgo-Pomerania Occidental. A la vista de los hechos expuestos, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del RGPD: . Con fecha 02/12/19 se verifica que por medio del enlace ***ENLACE.1, se puede cambiar el país en el que opera la aplicación. Entre estos países se encuentran tanto pertenecientes a la Unión Europea (Austria, Bélgica, Alemania, etc.) como fuera de ella (China, Estados Unidos, Argentina, Brasil, Corea del Sur, etc.). También se comprueba que los términos y condiciones de uso del servicio están redactados en español, italiano, francés inglés y alemán. . Con fecha 03/12/2019 se realiza una nueva instalación de la aplicación, verificándose que en el proceso no da opción a configurar otro país ni otro idioma, si bien los términos y condiciones de uso del servicio están redactados en español, italiano, francés inglés y alemán igual que los que se pueden acceder por Internet. Por la inspección actuante se incorporan a las actuaciones los documentos denominados “Términos y condiciones de uso del servicio” y “Política de Privacidad”. En este último se indica lo siguiente: “1. INTRODUCCIÓN Esta política de privacidad se aplica a la información que podemos obtener de o acerca de usted cuando usa la aplicación móvil ***APLICACIÓN.1 (la “APP Móvil” o el “Servicio”)”. “Miraclia no recoge datos de los destinatarios de las bromas. La actividad de Miraclia es la de facilitar un medio de telecomunicaciones para que el titular del teléfono que se descarga C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/61 la app, elija una broma y la grabe, quedando los datos relativos al destinatario de la llamada almacenados en el terminal del propio usuario sin que Miraclia conserve información del número de teléfono del destinatario. Miraclia presta un servicio de almacenamiento en la nube de los ficheros de audio del cliente y en ningún momento difunde ni comparte con nadie esa información, dado que es información privada del usuario de la aplicación”. Asimismo, los citados Servicios de Inspección realizaron una prueba consistente en descargar la aplicación en un terminal móvil. Se comprueba que durante el proceso de instalación el usuario recibe el mismo texto reproducido anteriormente sobre la no recogida de datos de los destinatarios de las bromas y, entre otros, el mensaje siguiente: “Lee en detalle estos Términos y Condiciones legales y pulsa aceptar si eres mayor de 18 años y aceptas la totalidad de lo estipulado. En caso contrario, abandona la aplicación y elimínala del terminal. Recuerda, en caso de grabar una broma y difundirla con tus amigos, es porque has solicitado permiso a la persona que ha recibido la broma u ésta te lo ha dado. Tu eres el responsable único de esta acción”. Inmediatamente después de este texto se incluye un botón con la indicación “Continuar”. Por otra parte, los Servicios de Inspección hicieron constar en su informe el resultado de las actuaciones de investigación que dieron lugar al procedimiento de referencia y a las señaladas con el número E/02003/2018, en las que se realizó una prueba de funcionamiento del sistema empleado por la reclamada. OCTAVO: Considerando el carácter transfronterizo de esta reclamación, con fecha 03/03/2020, se dictó proyecto de acuerdo de inicio de procedimiento sancionador, que fue posteriormente trasmitido (13/03/2020) a través del Sistema IMI a las autoridades de control interesadas (constan reseñadas en dicho proyecto de acuerdo de inicio, que fue debidamente notificado a esa entidad con fecha 12/03/2020), sin que ninguna de ellas haya formulado objeciones a dicho proyecto en el plazo de cuatro semanas desde la consulta, entendiéndose, por tanto, que existe acuerdo sobre el mismo. La reclamación trasladada por la autoridad de protección de datos eslovena es similar en su alcance y objeto a las que dieron lugar al presente procedimiento sancionador, todas ellas relacionadas con la aplicación móvil para Android denominada “***APLICACIÓN.1”. Por esta razón, el proyecto de acuerdo de inicio trasmitido a las autoridades interesadas a través de IMI, formalizado a los solos efectos de cumplir el trámite previsto en el RGPD y LOPDGDD (artículos 60 y 64, respectivamente), recogía las mismas presuntas infracciones y el mismo importe de sanción que se fijaron en el acuerdo de apertura de este procedimiento. Siendo así, y teniendo en cuenta que el presente procedimiento sancionador tiene como objeto el análisis del funcionamiento de la aplicación de bromas “***APLICACIÓN.1”, desde el punto de vista de la protección de datos personales, globalmente considerado, y no la actuación específica de MIRACLIA en relación con unos reclamantes concretos, se entiende que no cabe la apertura formal de un nuevo procedimiento sancionador a partir de la reclamación trasladada por la autoridad de protección de datos de Eslovenia que pudiera dar lugar a una doble sanción por las mismas infracciones, por lo que se acordó su incorporación al presente procedimiento sancionador, para resolver en un solo acto según C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/61 proceda en derecho. Asimismo, se dispuso que este procedimiento continúe su tramitación según el mecanismo de cooperación contemplado en el artículo 60 del RGPD. NOVENO: Con fecha 14/07/2020, por la Subdirección General de Inspección de Datos se accede a la información disponible sobre la entidad MIRACLIA en “Axesor”. En dicha web consta una cifra de negocios en el ejercicio 2018, último ejercicio presentado, de 475.823 euros y un resultado del ejercicio de -7.364 euros. Asimismo, se indica que es una microempresa, con 2 empleados. Según la información que consta en el Registro Mercantil Central, el “Capital suscrito” asciende a 6.000 euros DÉCIMO: Con fecha 24/07/2020, se emitió propuesta de resolución en el sentido siguiente: 1. Que por la Directora de la AEPD se sancione a la entidad MIRACLIA, por una infracción de los artículos 13 y 14 del RGPD, tipificada en el artículo 83.5.
5. b)y calificada como muy grave a efectos de prescripción en el artículo 72.
6. h)de la LOPDGDD, con una multa por importe de 20.000 euros (veinte mil euros). 2. Que por la Directora de la AEPD se sancione a la entidad MIRACLIA, por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.
7. a)y calificada como muy grave a efectos de prescripción en el artículo 72.1.
8. b)de la LOPDGDD, con una multa por importe de 20.000 euros (veinte mil euros). 3. Que por la Directora de la AEPD se requiera a la entidad MIRACLIA para que, en el plazo que se determine, adecúe a la normativa de protección de datos personales las operaciones de tratamiento que realiza, la información ofrecida a sus clientes y el procedimiento mediante el que los mismos deben prestar su consentimiento para la recogida y tratamiento de sus datos personales, con el alcance expresado en el Fundamento de Derecho XI de la propuesta de resolución. Tal adecuación deberá implantarse igualmente en todos los países del Espacio Económico Europeo en los que MIRACLIA opere a través de la aplicación “***APLICACIÓN.1”. Notificada a la entidad MIRACLIA la citada propuesta de resolución, con fecha 03/08/2020, se recibió en esta Agencia escrito de alegaciones en el que solicita el archivo de las actuaciones en base a las consideraciones siguientes: A. Lo que MIRACLIA denomina “Hechos técnicos”: MIRACLIA es una compañía de telecomunicaciones que opera un servicio llamado “***APLICACIÓN.1”, el cual está sujeto a la regulación de “servicio de comunicaciones electrónicas interpersonales basado en numeración”. A este respecto, advierte que el servicio “***APLICACIÓN.1” se encuentra en un escenario técnico y de tratamiento de datos distinto al que presentaba en anteriores actuaciones de la Agencia y de la Justicia Ordinaria. De hecho, el escenario del servicio vigente en las fechas de las denuncias se supedita a la versión del servicio que ha sido auditada por un ingeniero en telecomunicaciones colegiado (aporta copia del informe correspondiente) de la cual se extraen las siguientes conclusiones o “Dictamen final”: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/61 “1. El servicio de comunicaciones electrónicas interpersonales basado en numeración “***APLICACIÓN.1” reúne los atributos y características definidos en la Directiva (UE) 2018/1972 por la que se establece el Código Europeo de Comunicaciones Electrónicas (CECE), que permiten clasificarlo como un servicio de comunicaciones electrónicas interpersonales basado en numeración, como se define en el artículo 2 (apartados 5 y 6) de la misma. 2. El marco reglamentario aplicable a los servicios de comunicaciones electrónicas hace una clara distinción entre la producción de contenidos, que implica responsabilidad editorial, y la transmisión de contenidos, lo que no implica ninguna responsabilidad editorial (artículo 2 apartado 4 del CECE y sentencias del Tribunal de Justicia (Sala Cuarta) de 5 de junio de 2019 Y de 13 de junio de 2019) del Tribunal de Justicia de la UE (TJUE). 3. El usuario del servicio de comunicaciones electrónicas interpersonales basado en numeración “***APLICACIÓN.1” (persona que inicia la transmisión) determina de forma unilateral el destinatario de la misma, sobre el que no existe condicionante alguno que exija que sea un usuario del servicio de “***APLICACIÓN.1” sino que es un destinatario libremente elegido por el primero en base a los recursos de numeración pública y sobre cuyos datos, de acceso público y conocidos por el usuario, no realiza tratamiento alguno “***APLICACIÓN.1”. 4. A partir del momento del inicio del servicio de comunicaciones electrónicas interpersonales basado en numeración, “***APLICACIÓN.1” se limita a facilitar los medios físicos, propios o de terceros, para la transmisión de la señal entre quién inicia la transmisión y el destinatario de la misma elegido por éste, cumpliendo los requisitos de calidad, privacidad, seguridad y transparencia recogidos en la citada directiva. 5. “***APLICACIÓN.1” no realiza la grabación de la conversación. Las grabaciones son realizadas por el usuario que ha contratado el servicio de “***APLICACIÓN.1” (persona que inicia la transmisión) en un dominio privado asignado en exclusividad a dicho usuario (en la nube mediante la asignación de una URL privada) quién, como parte de su derecho por su participación en la edición de las mismas y al aceptar las condiciones de uso de “***APLICACIÓN.1”, decide unilateralmente grabarlas para su uso personal. 6. “***APLICACIÓN.1” tampoco retiene datos del destinatario final excepto aquellos que, con carácter de mínimos, le permite cumplir con lo dispuesto en la normativa sobre retención de datos y prestar el servicio al usuario del mismo. Esto es, la Directiva 2006/24/CE sobre la conservación de datos generados o tratados en relación con la prestación de servicios de comunicaciones electrónicas, traspuesta en España por la Ley 25/2007. 7. “***APLICACIÓN.1” ofrece la posibilidad de que las personas o entidades, que por hacer uso de redes acogidas a recursos públicos de numeración puedan ser elegidos como destinatarios de transmisiones por usuarios de “***APLICACIÓN.1”, puedan solicitar su inclusión en una “lista negra” para inhibir la recepción de comunicaciones electrónicas a través del servicio “***APLICACIÓN.1”. 8. De conformidad con lo establecido en el Considerando 173 y el Artículo 95 del RGPD, que establece que dicho Reglamento no impondrá obligaciones adicionales a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/61 las personas físicas o jurídicas en materia de tratamiento en el marco de la prestación de servicios públicos de comunicaciones electrónicas en redes públicas de comunicación en ámbitos en los que estén sujetas a obligaciones específicas con el mismo objetivo establecidas en la Directiva 2002/58/CE” (Directiva sobre la privacidad y las comunicaciones electrónicas). En este sentido, conviene tener presente lo establecido en el Considerando 34 de la Directiva 2002/58/CE: “Es necesario, por lo que respecta a la identificación de la línea de origen, proteger el derecho del interlocutor que efectúa la llamada a reservarse la identificación de la línea desde la que realiza dicha llamada y el derecho del interlocutor llamado a rechazar llamadas procedentes de líneas no identificadas.” Por lo tanto, se debe respetar el derecho del usuario que inicia la transmisión (bromista) de no presentar su número telefónico para comunicarlo al destinatario, ya que, primero, usuario y destinatario hacen uso de recursos públicos de numeración y la transmisión se realiza mediante redes públicas de comunicaciones electrónicas y, segundo, es necesario, por lo que respecta a la identificación de la línea de origen, proteger el derecho del interlocutor que efectúa la llamada a reservarse la identificación de la línea desde la que realiza dicha llamada y el derecho del interlocutor llamado a rechazar llamadas procedentes de líneas no identificadas (Considerando 34 de la Directiva 2002/58/CE)”. B. Lo que MIRALCIA denomina “Marco regulatorio”: 1) Al servicio de comunicaciones interpersonales basadas en numeración (“***APLICACIÓN.1”), se le deben aplicar las consideraciones descritas en el artículo 95 del RGPD (“El presente Reglamento no impondrá obligaciones adicionales a las personas físicas o jurídicas en materia de tratamiento. en el marco de la prestación de servicios públicos de comunicaciones electrónicas en redes públicas de comunicación de la Unión en ámbitos en los que estén sujetas a obligaciones específicas con el mismo objetivo establecidas en la Directiva 2002/58/CE”). 2) MIRACLIA no hace en ningún momento tratamiento de los datos por los motivos siguientes: a. Estos casos se encuentran fuera del ámbito de regulación del RGPD en base al Considerando 18 y artículo 2.2.
9. c)del RGPD, por referirse a tratamientos de datos efectuados por una persona física en el ejercicio de actividades exclusivamente personales o domésticas. b. El único responsable del tratamiento es el usuario de “***APLICACIÓN.1” y no MIRACLIA. El usuario realiza directamente el tratamiento por cuanto es la persona que, de forma libre, hace la edición necesaria para el acto de la broma (edita la broma a gastar; introduce el número de teléfono del abromado y presiona el botón de llamar; decide si generar el fichero con la grabación de la broma y, por tanto, la URL de la misma, que es personal y sólo conocida por el usuario). Además, siempre es el propio usuario el que hace difusión de la broma en su entorno particular. MIRACLIA solo interviene para prestar el servicio de comunicaciones electrónicas interpersonales basado en numeración, que ha contratado el usuario del servicio. En base a ello, propone que la Agencia acuda ante los bromistas con la misma acción sancionadora que contra MIRACLIA. c. Durante todo el proceso de la broma, el usuario de la aplicación y responsable del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/61 tratamiento no obtiene ningún beneficio económico, por lo que es de aplicación el Considerando 18 del RGPD y el artículo 2.2.
10. c)citados. 3) Cita “ejemplos” de otras compañías que prestan servicios de comunicaciones electrónicas interpersonales basados en numeración y sobre los cuales, según indica MIRACLIA, la Agencia Española de Protección de datos no ha celebrado ningún tipo de investigación o inspección por motivos similares, en los que el prestador del servicio de comunicaciones nunca es el responsable (usuario de una operadora de telefonía que llama a un conocido y en la comunicación se producen insultos; o que llama a un centro público o privado para avisar sobre la existencia de una bomba; un ataque informático en el que el virus usa las redes de comunicación y almacenaje de información digital para infectar a otras personas; utilización de una aplicación para celebrar una reunión por videoconferencia entre abonados con numeración pública, la cual permite al administrador realizar una grabación de la misma; el servicio de comunicaciones electrónicas interpersonales de “Burovoz” (***URL.1), que permite a sus usuarios grabar las conversaciones telefónicas entre un usuario del servicio y otra persona, la cual no es usuaria del servicio “Burovoz”, pero dispone de un número de teléfono del sistema de numeración pública. El funcionamiento de este servicio es exactamente igual a “***APLICACIÓN.1” y no solamente es 100% legal sino que sus grabaciones han sido y son totalmente válidas a la hora de presentarlas como prueba en un proceso judicial en España. 4) Sobre el tema de las grabaciones de las llamadas telefónicas realizadas por los usuarios de “***APLICACIÓN.1”, la Sentencia n.º 114/1984, de 29 de noviembre, dictada por la Sala Segunda del Tribunal Constitucional establece que «Quien graba una conversación de otros atenta, independientemente de toda otra consideración, al derecho reconocido en el art. 18.3 CE; por el contrario, quien graba una conversación con otro no incurre, por este solo hecho, en conducta contraria al precepto constitucional citado.» 5) El artículo 20 de la Constitución Española recoge y protege los derechos a: “A la producción y creación literaria, artística, científica y técnica.”, enmarcados todos ellos dentro del derecho a la libertad de expresión que ostentan todos los ciudadanos españoles en general y el usuario de “***APLICACIÓN.1”. 6) En sus consideraciones finales añade que el cumplimiento de la obligación de retención de datos que impone la Ley 25/2007 ha permitido a la entidad atender de manera eficaz y dentro de los tiempos marcados por el RGPD a los derechos de acceso, rectificación y cancelación que han solicitado múltiples destinatarios de las bromas, así como las Fuerzas y Cuerpos de Seguridad del Estado para investigaciones de posibles delitos. C. En relación con las denuncias reseñadas en los Antecedentes de esta resolución, señala lo siguiente: 1. La denuncia formulada por el reclamante 1 no debió admitirse a trámite por los siguientes motivos:
11. a)El reclamante se refiere a una usurpación de identidad por parte de un policía.
12. b)El reclamante no contactó con MIRACLIA para solicitar el ejercicio de los derechos ARCOPOL.
13. c)Es muy probable que el reclamante sufriera una broma de algún otro servicio de la competencia, por lo que solicita a la Agencia que requiera a los operadores de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/61 telecomunicaciones el extracto de llamadas recibidas en el número del abromado.
14. d)En fecha 30/10/2018, el reclamante recibió un escrito por parte de MIRACLIA en el que se le notificaba que “***APLICACIÓN.1” no tenía en su catálogo ninguna broma similar a la descrita por el mismo y se le solicitaba que facilitara la URL de esa grabación para su cancelación, si fuera del servicio “***APLICACIÓN.1”. El reclamante no aportó ese dato, por lo que se entiende que se prestó de manera suficiente el ejercicio de derechos.
15. e)Observamos en el dossier del expediente que el denunciante aporta una grabación de Whatsapp. Sin embargo, “***APLICACIÓN.1” nunca envía por Whatsapp el contenido de las bromas, dado que éstas solamente se pueden escuchar en la propia aplicación del usuario. Además, los ficheros de las grabaciones de las bromas que los usuarios se pueden descargar a su dispositivo tienen un nombre de fichero que en nada se parecen el que aporta como prueba. Con lo que se puede deducir que ha podido haber un acto de modificación y la prueba debería ser invalidada en ese momento.
16. f)Es pretensión de esta compañía estudiar la posibilidad de presentar una querella criminal contra este señor por denuncia falsa y daños al honor de la compañía.
17. g)Por todo ello, y dado que MIRACLIA siempre ha accedido a solventar los derechos de los usuarios, solicita a la Agencia que archive este asunto ya que respondió la solicitud de acceso a sus datos y considerando que, con la información disponible, la broma no partió desde un usuario de “***APLICACIÓN.1”. 2. Considera, igualmente, MIRACLIA que debió inadmitirse también la reclamación presentada por la reclamante 2 por las circunstancias siguientes:
18. a)La persona abromada conoce perfectamente a la persona o personas bromistas, por lo que debería haber interpuesto la demanda contra ellos y no contra MIRACLIA, que no hace tratamientos de datos del abromado.
19. b)Es falso que la persona abromada recibiera una llamada a las 3:30 de la madrugada, dado que ninguna de las bromas de “***APLICACIÓN.1” se puede celebrar a esas horas locales. Además, “***APLICACIÓN.1”, como servicio de comunicaciones electrónicas interpersonales basado en numeración, nunca hace llamadas a ningún destinatario una vez se ha producido la broma, dado que eso es algo que sólo puede hacer el usuario de la aplicación.
20. c)La reclamante no se puso en contacto con MIRACLIA para solicitar el ejercicio de los derechos ARCOPOL.
21. d)También es falso que una vez practicado el derecho de acceso “***APLICACIÓN.1” continúa enviando correos. “***APLICACIÓN.1” nunca ha cometido tales prácticas ni las comete. D. En cuanto a los hechos probados, MIRACLIA realiza las siguientes consideraciones: . Hecho Probado 1: MIRACLIA es propietaria de un servicio de comunicaciones electrónicas interpersonales basado en numeración al que se accede mediante una aplicación denominada “***APLICACIÓN.1”. Existe una web con el mismo nombre, “***APLICACIÓN.1”, como servicio de información comercial y de atención al usuario que no forma parte del servicio de comunicaciones electrónicas prestado por MIRACLIA ni ha sido objeto de denuncia. . Hecho Probado 2: En virtud de lo dispuesto en el artículo 95 del RGPD, no se exige a los servicios de comunicaciones electrónicas interpersonales basados en recursos públicos de numeración que identifique al gestor de la llamada ni a la propietaria de la plataforma o que indique dónde obtener información sobre la llamada o sobre el ejercicio de derechos. Como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/61 se ha dicho “***APLICACIÓN.1” es una aplicación de acceso a un servicio de comunicaciones electrónicas interpersonales, reservándose el usuario del mismo el derecho o no a identificarse y a grabar de forma personal dicha llamada. . Hecho Probado 4: La referencia al alojamiento de las bromas en un sitio público es errónea. El acceso al audio se realiza a través de una URL basada en un token como se utiliza en miles de webs de acceso privado (ej., la web de seguimiento de paquetes de un servicio de mensajería o multitud de servicios públicos para el pago de multas). La URL a la que hace mención el inspector se genera de manera automática en el servidor, con lo que al no ser una URL fija o estática sólo puede ser accesible por el usuario del servicio de comunicaciones electrónicas interpersonales basado en recursos públicos cuyo nombre es “***APLICACIÓN.1”. Sólo tienen acceso a dicha URL el emisor de la broma y el destinatario de la misma si el emisor de la broma quiere hacerlo (es su responsabilidad). . Hecho Probado 5: en este hecho probado se indica que por medio del enlace ***ENLACE.1, se puede cambiar el país en el que opera aplicación. Sin embargo, se desconoce cómo la Agencia ha accedido a esa plataforma de preproducción que es un prototipo de pruebas que nunca ha funcionado en producción y, por lo tanto, nunca ha podido ser utilizado por un usuario final como sistema de comunicaciones electrónicas. El propósito de dicho prototipo era el de ofrecer el servicio de comunicaciones electrónicas en modo multiplataforma como hace por ejemplo Skype, el cual puede utilizarse con una app o en un ordenador con independencia de su Sistema Operativo. . Hecho Probado 9: En ningún catálogo de bromas de MIRACLIA aparece ninguna broma suplantando a ningún organismo ni persona y mucho menos a la Policía. Existen multitud de otros servicios de bromas que además de copiar el catálogo de MIRACLIA, es probable que hayan introducido alguna que suplante a la Policía, pero MIRACLIA lo desconoce. E. En respuesta a las consideraciones recogidas en el Fundamento de Derecho IV, referido a la definición de tratamientos de datos de carácter personal o doméstico, MIRACLIA realiza las afirmaciones siguientes: . Es personal o doméstico la conversación que tiene lugar por la prestación de un servicio de comunicaciones electrónicas interpersonales basado en numeración. Los datos de numeración son recursos públicos sobre los que un operador no realiza tratamiento. El usuario de dicho servicio y sobre el que se hace tratamiento es quién se da de alta en el mismo y elige el destinatario de la llamada en base a dichos recursos públicos. Es dicho usuario quién graba la llamada haciendo uso de herramientas complementarias al servicio básico de comunicaciones electrónicas. Las referencias citadas del TJUE no se refieren al caso de este tipo de servicios. Además, es el usuario el que decide de forma libre y soberana a quien dirige la broma dentro de sus contactos conocidos o familiares o amigos. . No es válida para “***APLICACIÓN.1” la declaración del Tribunal de Justicia sobre el citado concepto, contenida en la Sentencia de 10/07/2018, según la cual “no procederá considerar que una actividad es exclusivamente personal o doméstica cuando tenga por objeto permitir a un número indeterminado de personas el acceso a datos personales o cuando la actividad se extienda, aunque sea en parte, al espacio público y esté por tanto dirigida hacia el exterior de la esfera privada de la persona que procede al tratamiento de los datos”. El objeto del servicio es establecer una comunicación electrónica iniciada por el bromista, quien decide grabarla y tener acceso a su grabación privada. El compartirlo en su círculo privado es decisión del bromista, a quién en los TyC se le avisa que puede infringir normas regulatorias según el tratamiento que haga de esos datos (los suyos privados). El objeto del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/61 servicio no es en ningún caso el compartir indiscriminadamente la grabación. . En la propuesta se indica que “La actuación de MIRACLIA es esencial dado que, sin su concurso no sería posible el tratamiento de datos dado que se realiza en el proceso. MIRACLIA facilita el medio para hacer la llamada, facilitar el medio para elegir una broma, y facilita el medio para grabar y almacenar una broma”. A este respecto, afirma MIRACLIA que es lógico que sea de esta manera, por cuanto ha definido ”***APLICACIÓN.1” como un servicio de comunicaciones electrónicas interpersonales basado en numeración con esa funcionalidad y ha de regirse en todo lo relativo a él según describen las normas de regulación vigente (Directiva (UE) 2018 / 1972 por la que se establece el Código Europeo de Comunicaciones Electrónicas (CECE), como se define en el artículo 2, apartados 5 y 6, de la misma. F. El principio constitucional por el propio hecho “Se ha denominado a este principio de «responsabilidad personal», lo que implica que sólo se puede Hacer responsable a una persona de sus propios hechos, es decir no a una cosa ni a un animal.” ***URL.2 Siguiendo este principio y ahondando en lo que nos ocupa nos sirve para demostrar que ***APLICACIÓN.1” como servicio de comunicaciones electrónicas interpersonales basado en numeración no puede ostentar ninguna responsabilidad sobre el hecho acometido por el usuario de “***APLICACIÓN.1”, de la misma forma que nunca se podrá pedir responsabilidades a un fabricante de pistolas por el acto cometido por una persona haciendo un mal uso de dicha pistola. G. Otras consideraciones finales . Que las URL que pueda recibir el abromado por parte de los bromistas, una vez hecha la grabación de la llamada, NO son URL públicas. Las URL que genera el software del servidor para el usuario de “***APLICACIÓN.1” son privadas y no pueden ser indexadas por los Spiders de los buscadores, como Google, Bing o Yahoo. . Que tenga en cuenta la Agencia el Expediente Nº: TD/00007/2017, en el cual se trata el caso de una persona abromada por la emisora Radio4G y la difusión en directo y a toda la audiencia de radio4G y que acaba en el archivo de las actuaciones. . Todo lo expuesto en este escrito está refrendado tanto en la auditoría técnica que ahora se encuentra en fase de visado por parte del COIT (Colegio Oficial de Ingenieros de Telecomunicaciones) como en las condiciones de uso que el usuario acepta antes de poder usar la plataforma. Finalmente, solicita un trámite de audiencia presencial para aclarar ante los instructores/inspectores de la Agencia los puntos expuestos y advierte que, en caso de no ver atendidos sus intereses, se reserva el derecho de acudir a otras instancias superiores y/o judiciales en España y en Europa. Con su escrito de alegaciones aporta copia del informe correspondiente a la auditoría técnica referida, realizada por un ingeniero en telecomunicaciones en fecha 29/07/2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/61 Este informe se estructura en cuatro apartados: . Objetivos y metodología del trabajo. . Descripción del servicio “***APLICACIÓN.1” . Resultados de la auditoría . Dictamen final. Según indica, se basa en entrevistas personales, pruebas prácticas de ejecución de “***APLICACIÓN.1” en dos dispositivos móviles y las pruebas de las herramientas de edición, grabación y metadatación del contenido de los mensajes, aunque no facilita detalles sobre el desarrollo de estas pruebas, limitándose a enumerar una serie de constataciones. En el apartado “Resultado de la Auditoría” se indica lo siguiente: “En lo que se refiere al análisis concreto del servicio “***APLICACIÓN.1” se han podido constatar los siguientes hechos:
22. a)Sólo puede iniciar la conversación un usuario dado de alta en el servicio “***APLICACIÓN.1”.
23. b)El usuario del servicio “***APLICACIÓN.1” es el único interviniente en el proceso que puede determinar libremente al destinatario de la conversación
24. c)Para determinar el destinatario de la conversación se hace uso de recursos de numeración pública.
25. d)No se requiere, ni se verifica o comprueba tal circunstancia por ningún medio, que el destinatario de la conversación sea un usuario del servicio “***APLICACIÓN.1”.
26. e)Una vez establecida la conexión entre el usuario de “***APLICACIÓN.1” y el destinatario de la conversación se permite el intercambio directo de información interpersonal a través de redes de comunicaciones electrónicas entre ambas personas.
27. f)“***APLICACIÓN.1” ofrece al usuario que contrata dicho servicio un conjunto de plantillas preconfiguradas para la edición de un mensaje vocal.
28. g)El usuario que contrata el servicio “***APLICACIÓN.1” es quién libremente elige entre las mismas para determinar el contenido del mensaje a transmitir.
29. h)La grabación se realiza en un dominio personal y privado asignado en exclusividad al usuario del servicio “***APLICACIÓN.1” (persona que inicia la transmisión), como servicio que presta “***APLICACIÓN.1” al usuario en la nube en sus propias premisas.
30. i)El dominio de grabación ofrecido por “***APLICACIÓN.1” al usuario de dicho servicio es un dominio privado y seguro.
31. j)La decisión final sobre si decide o no realizar la grabación del mensaje en su dominio privado recae en exclusividad en el usuario del servicio “***APLICACIÓN.1”.
32. k)“***APLICACIÓN.1” ofrece al usuario que contrata dicho servicio un conjunto de herramientas de metadatación interactivas para realizar sobre posibles acciones sobre el mensaje editado.
33. l)“***APLICACIÓN.1” ofrece a cualquier persona o entidad que forme parte de un plan de uso de recursos de numeración pública la posibilidad de integrarse en “listas negras”, para no recibir más llamadas de usuarios de “***APLICACIÓN.1”.
34. m)De hecho, determinados números del plan de numeración pública se incluyen por defecto en dicha “lista negra” (091, 061, 112, 092, etc.).
35. n)“***APLICACIÓN.1” facilita los medios físicos, propios o de terceros, para la transmisión de la señal entre quién inicia la transmisión y el destinatario de la misma que ha elegido.
36. o)“***APLICACIÓN.1” no retiene datos del destinatario final excepto aquellos que, con carácter de mínimos, le permite cumplir con lo dispuesto en la normativa sobre retención de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/61 datos”. En el apartado anterior al indicado, el rotulado como “Descripción del servicio ***APLICACIÓN.1”, se reseña la información facilitada por MIRACLIA al ingeniero auditor, que coincide literalmente con los “hechos” que se detallan como resultado de la auditoría. El citado informe incluye un Anexo II, relativo a las “Premisas de partida y normativa de referencia”. En esta Anexo se hace referencia a la definición de servicio de comunicación electrónica interpersonal introducido por el Código Europeo de Comunicaciones Electrónicas (CECE), que son aquellos que periten el intercambio de información interpersonal e interactiva a través de redes de comunicaciones electrónicas entre un número finito de personas, en el que las personas que inician o participan en la comunicación determinan sus destinatarios, y añade lo siguiente: “En las condiciones de uso de la aplicación ***APLICACIÓN.1 en el artículo 6 se indica que “como con cualquier servicio de telecomunicaciones, es ilegal el uso de los servicios de ***APLICACIÓN.1 con el propósito de acosar o dañar a nadie”. Existe por tanto una declaración contractual de que ***APLICACIÓN.1 es un servicio sujeto a la regulación de telecomunicaciones y, por ello, un reconocimiento implícito de que se trata de un servicio de comunicaciones electrónicas en tal caso”. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran los siguientes, HECHOS PROBADOS 1. La entidad MIRACLIA es propietaria de la aplicación móvil y servicio web denominada “***APLICACIÓN.1”. Esta aplicación permite a los usuarios la realización de bromas telefónicas a terceros. El usuario selecciona una broma y una “víctima”, que es contactada telefónicamente por MIRACLIA desde su propio sistema a través de un número oculto (llamada de broma), realizándose una grabación de la conversación que se pone a disposición del usuario de la aplicación. El uso de la aplicación móvil y servicios web citados se regula en el documento denominado “Términos y Condiciones de Uso del Servicio”, que se declara reproducido en este acto a efectos probatorios. Del contenido de este documento cabe destacar lo siguiente: <<Al utilizar el Servicio, usted quedará vinculado por los Términos de Uso y la Política de Privacidad, aceptando expresamente su cumplimiento y entrando en vigor un contrato legal vinculante con nosotros… si usted no está de acuerdo con estos Términos de Uso y/o Política de Privacidad le recomendamos que desinstale la aplicación de su terminal. 3. Definición del servicio ***APLICACIÓN.1 es una aplicación que permite al usuario enviar bromas consistentes en un archivo de audio pregrabado vía telefónica al destino seleccionado por el usuario. El usuario podrá seleccionar entre un listado de bromas e indicar tanto la línea de destino como el horario en el que desea que el destinatario reciba la broma. Una vez realizada la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/61 broma, la aplicación tiene la funcionalidad de compartir y grabar el archivo de audio (en adelante la “Grabación”), no obstante lo cual, será requisito indispensable que el usuario cuente con el consentimiento expreso de la persona que ha recibido la broma para poder obtenerla y posteriormente hacer uso de la misma. (…) NOTA: Dado que los datos personales del destinatario de la llamada quedan almacenados única y exclusivamente en el terminal del usuario de la aplicación (cliente), en caso de que éste elimine la aplicación en su terminal o borre los datos asociados a ella en su terminal, ésta podrá dejar de funcionar en el sentido de que esa información borrada desaparece del mismo. (…) 5. Servicios de pago El uso de la aplicación puede suponer un coste… Los importes comprados caducarán tras 6 meses sin usar la aplicación. En ese momento, los contenidos del usuario podrán ser eliminados. 6. Uso de los servicios ofrecidos A través de los presentes Términos y Condiciones de Uso del Servicio, el Usuario contrata con MIRACLIA un servicio de ocio y entretenimiento que permite al Usuario enviar bromas telefónicas a un destinatario y, posteriormente, reproducir, descargar o compartir la broma. Con la aceptación de los presentes Términos y Condiciones de Uso del Servicio, el Usuario de ***APLICACIÓN.1 asume las siguientes responsabilidades: (…)
37. b)Compartir y grabar bromas El Usuario, como propietario de la grabación, es plenamente responsable de obtener el consentimiento expreso e inequívoco de la persona que ha recibido la broma, para la grabación y difusión de la misma. Las leyes permiten la grabación de cualquier conversación telefónica siempre que se cuente con el consentimiento de, al menos, una de las dos las partes intervinientes en la misma. Un usuario no podrá descargar una Grabación sin obtener el consentimiento previo del destinatario de la misma. El funcionamiento del Servicio evita que se pueda generar una Grabación si el usuario de ***APLICACIÓN.1 no acepta expresamente tal condición previa. Con el fin de compartir bromas públicamente, el Servicio requiere que la persona que comparte la broma haya obtenido el permiso para ello de todos los participantes en la llamada. MIRACLIA no se responsabiliza de las consecuencias del incumplimiento de la obtención de los consentimientos necesarios para compartir la Grabación, recayendo sobre él la obligación de indemnizar a terceros o a MIRACLIA de cualquier reclamación derivada de sus acciones. (…) 8. Limitación de responsabilidades Responsabilidades de MIRACLIA: MIRACLIA actúa únicamente como intermediario entre el emisor y el receptor de la broma. MIRACLIA no decide en ningún momento sobre la finalidad, contenido y uso del tratamiento de la grabación y, por lo tanto, no puede considerársele responsable del mismo. (…) Si el receptor de la broma (como titular del dato y ejerciendo su derecho de oposición o cancelación) o el emisor de la broma (como propietario de la grabación) solicitan a MIRACLIA la cancelación de la grabación, automáticamente la grabación se elimina de los servidores que prestan servicio a MIRACLIA. No obstante, previamente al ejercicio del derecho de oposición o cancelación por parte del receptor, la broma ha podido ser descargada en el dispositivo del Usuario, quedando ya C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/61 dicha grabación fuera del alcance del MIRACLIA y, por lo tanto, la entidad no se responsabiliza del uso, divulgación, modificación que de la misma haga el Usuario. (…) 9. Protección de datos Hemos establecido una Política de Privacidad para explicar cómo recopilamos y utilizamos la información sobre usted (el usuario)…>>. 2. Los Servicios de Inspección de la Agencia, con fechas 6, 9 y 12 de septiembre de 2019, realizaron unas pruebas consistentes en descargar la aplicación en un terminal móvil y proceder a su uso disponiendo la realización de llamadas de broma. Como resultado de estas actuaciones se obtuvieron las constataciones siguientes: . Durante el proceso de instalación el usuario recibe, entre otros, los mensajes siguientes: “Lee en detalle estos Términos y Condiciones legales y pulsa aceptar si eres mayor de 18 años y aceptas la totalidad de lo estipulado. En caso contrario, abandona la aplicación y elimínala del terminal. Recuerda, en caso de grabar una broma y difundirla con tus amigos, es porque has solicitado permiso a la persona que ha recibido la broma y ésta te lo ha dado. Tu eres el responsable único de esta acción”. “Miraclia no recoge datos de los destinatarios de las bromas. La actividad de Miraclia es la de facilitar un medio de telecomunicaciones para que el titular del teléfono que se descarga la app, elija una broma y la grabe, quedando los datos relativos al destinatario de la llamada almacenados en el terminal del propio usuario sin que Miraclia conserve información del número de teléfono del destinatario. Miraclia presta un servicio de almacenamiento en la nube de los ficheros de audio del cliente y en ningún momento difunde ni comparte con nadie esa información, dado que es información privada del usuario de la aplicación” (este párrafo se incluye también en la política de privacidad). Inmediatamente después de estos textos se incluye un botón con la indicación “Continuar”. . La aplicación “***APLICACIÓN.1” consta de 3 pestañas: “Listado” (bromas disponibles), “Ejemplos” y “Mis bromas”. En esta última pestaña se guardarán las bromas realizadas por el bromista, si no son eliminadas. . El número de teléfono de la llamada entrante de broma aparece como “Número privado” en todos los casos. . En la versión instalada para las pruebas, la última disponible en la tienda de aplicaciones para sistemas operativos Android “Play Store”, el bromista, no tiene opción de elegir si la broma queda grabada o no. La broma queda grabada siempre, a no ser que el receptor decida borrarla siguiendo alguno de los procedimientos establecidos para ello. Si esto no ocurre, la grabación permanece en los sistemas de MIRACLIA hasta que el bromista decide eliminarla o, como norma general, por un periodo de tiempo de 6 meses posterior al uso de la aplicación, establecido por la propia entidad. . En ningún momento a lo largo de la conversación telefónica se identifica a la aplicación ***APLICACIÓN.1 como gestor de la llamada ni a la compañía desarrolladora MIRACLIA como propietaria de la plataforma. Por lo tanto, el receptor de la broma desconoce dónde debe dirigirse para obtener más información sobre la llamada o ejercitar sus derechos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/61 . En ningún momento se cita a la persona bromista. . Tampoco se informa en ningún momento, durante el desarrollo de la broma, que la conversación esté siendo o pueda ser grabada. . Se comprueba que al final de la broma se escucha la siguiente locución: "Un amigo suyo le ha gastado una broma. En caso de que no quiera que su amigo pueda escuchar, descargar o difundir la broma, o en caso de que no quiera recibir más bromas, pulse 5 con su teclado después de la señal. Beeep” Desde la finalización de la broma hasta que se produce la locución transcurre un espacio de tiempo en silencio de 10 segundos. . El “borrado” de la grabación de la broma y la inhabilitación para seguir recibiendo bromas pulsando la tecla 5 una vez oída la señal indicada en la locución final, ha resultado inestable en las pruebas realizadas. En una ocasión en la que se pulso la tecla 5 antes de la señal y otra después, el mecanismo falló; en otras dos ocasiones en las se pulsó una sola vez después de la señal, se eliminó satisfactoriamente. Se comprobó que no existe confirmación de borrado de la broma, simplemente, cuando transcurren 10 segundos aproximadamente desde la señal indicada para pulsar la tecla 5, se corta la comunicación. En los casos en que la eliminación funcionó correctamente, la broma desaparece del listado de bromas realizadas del bromista, no pudiendo por tanto ser compartida, descargada ni escuchada. También se ha constatado que el número de teléfono quedó bloqueado para la recepción de más bromas. . En el listado de bromas realizadas por el bromista, junto a cada una de las bromas no eliminadas por el receptor de la broma siguiendo el procedimiento indicado, aparecen tres iconos: uno para descargar el archivo de audio de la grabación de la conversación telefónica de la broma, otro para escucharla y un tercero para compartirla. En este último caso, se envía el enlace al archivo de audio de la grabación a través del medio que se haya elegido para compartirla. Este es el único momento en el que el bromista conoce el enlace al archivo de audio. . En el caso de que el bromista deje presionado el dedo en una determinada broma de la lista de las bromas realizadas, aparece una ventana emergente ofreciendo la posibilidad de eliminar el archivo de audio de los sistemas de MIRACLIA, pero esta acción no es tan intuitiva como las tres anteriores al carecer de icono específico. . En las bromas guardadas, figura el número de teléfono de destino, tipo de broma, fecha y hora de realización. . Desinstalada la aplicación y reinstalada de nuevo, se observa que los números de teléfono de destino de las bromas realizadas aparecen como “?????????”, lo que hace pensar que este dato está almacenado localmente, y no en los servidores de MIRACLIA. . Las llamadas de broma pueden ser instantáneas o programadas especificando fecha y hora de ejecución. En este caso, el teléfono del destinatario se almacena en los sistemas de la entidad MIRACLIA hasta el momento de realizar la llamada. A este respecto, MIRACLIA C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/61 ha declarado en sus alegaciones que el número de teléfono destinatario de la broma queda encolado con la llamada a realizar, el cual desaparece de sus sistemas cuando la llamada se realiza. El inspector actuante programó una broma en su terminal para su ejecución diferida y a continuación se apagó dicho terminal. La llamada se realizó en el momento programado, de lo que resulta que el teléfono quedó almacenado en los sistemas de MIRACLIA hasta el momento de ejecutar la broma (minutos, horas, días o meses) . Para la supresión de la grabación sólo existen dos opciones: que el bromista siga el procedimiento de borrado descrito desde la aplicación; o bien solicitarlo a MIRACLIA, cuestión difícil para el afectado considerando que no se pone de manifiesto en ningún momento quién gestiona la llamada, ni la empresa responsable de la misma. Además, para ello el afectado necesitará conocer el enlace al archivo de audio y tampoco dispone de esta información, a no ser que se la facilite el usuario (se puede eliminar la broma conociendo la url de la grabación y utilizando el mecanismo habilitado en la web junto a la solicitud de bloqueo del número de línea de telefonía). 3. MIRACLIA ofrece en su web “***APLICACIÓN.1.es” un sistema gratuito e inmediato para incluir un número de teléfono en la lista de teléfonos bloqueados. Por la inspección actuante se realizó una prueba dando de alta en dicho sistema el número de teléfono correspondiente a la segunda SIM del terminal del inspector actuante. Posteriormente, se intentó realizar una broma a ese número de teléfono y la aplicación no permitió su ejecución. 4. MIRACLIA no dispone de una plataforma en la que se publiquen las bromas realizadas para que pueda acceder cualquier tercero, pero las grabaciones de las bromas se encuentran alojadas en un sitio público, lo que posibilita el acceso a las mismas mediante el enlace al archivo de audio, que puede ser difundido indiscriminadamente por el usuario bromista. 5. Con fecha 02/12/19 se verifica que por medio del enlace ***ENLACE.1, se puede cambiar el país en el que opera la aplicación. Entre estos países se encuentran tanto pertenecientes a la Unión Europea (Austria, Bélgica, Alemania, etc.) como fuera de ella (China, Estados Unidos, Argentina, Brasil, Corea del Sur, etc.). También se comprueba que los términos y condiciones de uso del servicio están redactados en español, italiano, francés inglés y alemán. 6. Con fecha 03/12/2019 se realiza una instalación de la aplicación, verificándose que el proceso no da opción a configurar otro país ni otro idioma, si bien los términos y condiciones de uso del servicio están redactados en español, italiano, francés inglés y alemán, los mismos idiomas que están disponibles al acceder por Internet a la web. 7. El reclamante 1 ha manifestado que, con fecha ***FECHA.1, recibió en su línea de telefonía móvil ***TELÉFONO.1 una llamada de broma a través de la aplicación “***APLICACIÓN.1”, en la que una persona fingía ser un agente de policía. Denuncia que la llamada fue grabada y difundida a terceros sin su conocimiento ni consentimiento; y que la llamada se produce desde un número oculto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/61 8. La reclamante 2 ha manifestado que, con fecha ***FECHA.2 fue objeto de una llamada telefónica de broma llevada a cabo utilizando la aplicación “***APLICACIÓN.1”, la cual fue grabada y difundida por redes sociales con la mención de su nombre sin su permiso (aporta el enlace al audio objeto de la denuncia “***ENLACE.1”) Con fecha 26/08/2019, por los Servicios de Inspección se accede a la web “***APLICACIÓN.1.es”, a la URL correspondiente a la grabación de la broma realizada a la reclamante 2. Se comprueba que utilizando el botón derecho se muestran distintas opciones, entre ellas la de reproducir y descargar la grabación. 9. Los Servicios de Inspección de la Agencia han comprobado que las bromas denunciadas por los reclamantes 1 y 2 figuran en el catálogo de bromas de disponible en “***APLICACIÓN.1”. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada Autoridad de Control, y según lo establecido en los artículos 47, 48, 64.2 y 68.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II El artículo 56.1 del RGPD, relativo a la “Competencia de la autoridad de control principal”, establece lo siguiente: “1. Sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60”. Dicho artículo 60 regula la “Cooperación entre la autoridad de control principal y las demás autoridades de control interesadas”: “1. La autoridad de control principal cooperará con las demás autoridades de control interesadas de acuerdo con el presente artículo, esforzándose por llegar a un consenso. La autoridad de control principal y las autoridades de control interesadas se intercambiarán toda información pertinente. 2. La autoridad de control principal podrá solicitar en cualquier momento a otras autoridades de control interesadas que presten asistencia mutua con arreglo al artículo 61, y podrá llevar a cabo operaciones conjuntas con arreglo al artículo 62, en particular para realizar investigaciones o supervisar la aplicación de una medida relativa a un responsable o un encargado del tratamiento establecido en otro Estado miembro. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/61 3. La autoridad de control principal comunicará sin dilación a las demás autoridades de control interesadas la información pertinente a este respecto. Transmitirá sin dilación un proyecto de decisión a las demás autoridades de control interesadas para obtener su dictamen al respecto y tendrá debidamente en cuenta sus puntos de vista. 4. En caso de que cualquiera de las autoridades de control interesadas formule una objeción pertinente y motivada acerca del proyecto de decisión en un plazo de cuatro semanas a partir de la consulta con arreglo al apartado 3 del presente artículo, la autoridad de control principal someterá el asunto, en caso de que no siga lo indicado en la objeción pertinente y motivada o estime que dicha objeción no es pertinente o no está motivada, al mecanismo de coherencia contemplado en el artículo 63. 5. En caso de que la autoridad de control principal prevea seguir lo indicado en la objeción pertinente y motivada recibida, presentará a dictamen de las demás autoridades de control interesadas un proyecto de decisión revisado. Dicho proyecto de decisión revisado se someterá al procedimiento indicado en el apartado 4 en un plazo de dos semanas. 6. En caso de que ninguna otra autoridad de control interesada haya presentado objeciones al proyecto de decisión transmitido por la autoridad de control principal en el plazo indicado en los apartados 4 y 5, se considerará que la autoridad de control principal y las autoridades de control interesadas están de acuerdo con dicho proyecto de decisión y estarán vinculadas por este. 7. La autoridad de control principal adoptará y notificará la decisión al establecimiento principal o al establecimiento único del responsable o el encargado del tratamiento, según proceda, e informará de la decisión a las autoridades de control interesadas y al Comité, incluyendo un resumen de los hechos pertinentes y la motivación. La autoridad de control ante la que se haya presentado una reclamación informará de la decisión al reclamante. (…) 12. La autoridad de control principal y las demás autoridades de control interesadas se facilitarán recíprocamente la información requerida en el marco del presente artículo por medios electrónicos, utilizando un formulario normalizado”. Sobre las cuestiones reguladas en estos preceptos, se tiene en cuenta lo señalado en los Considerandos 124, 125, 126 y 130 del RGPD. De conformidad con lo establecido en las normas anteriores, en el presente supuesto, referido, entre otras, a una reclamación presentada ante la autoridad de control de un Estado miembro (Eslovenia), en relación con tratamientos en el contexto de las actividades de un único establecimiento de un responsable que afectan o es probable que afecten sustancialmente a interesados en más de un Estado miembro (tratamientos de datos transfronterizos), la autoridad de control principal, en este caso la Agencia Española de Protección de Datos, está obligada a cooperar con las demás autoridades interesadas. La Agencia Española de Protección de Datos, en aplicación de los poderes que le confiere el RGPD, es la competente para adoptar las decisiones concebidas para producir efectos jurídicos, ya sea la imposición de medidas que garanticen el cumplimiento de las normas o la imposición de multas administrativas. No obstante, viene obligada a implicar estrechamente y coordinar a las autoridades de control interesadas en el proceso de toma de decisiones y tener en cuenta su opinión en la mayor medida. Se establece, asimismo, que la decisión vinculante que deba adoptarse se acuerde conjuntamente. El artículo 60 del RGPD regula esta cooperación entre la autoridad de control principal y las demás autoridades de control interesadas. El apartado 3 de este artículo establece expresamente que la autoridad de control principal transmitirá a las demás autoridades de control interesadas, sin dilación, un proyecto de decisión para obtener su dictamen al respecto y tendrá debidamente en cuenta sus puntos de vista, siguiendo para ello el procedimiento previsto en los apartados 4 y siguientes. Las autoridades de control C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/61 interesadas disponen de un plazo de cuatro semanas para formular objeciones motivadas acerca del proyecto de decisión, entendiéndose que existe acuerdo sobre dicho proyecto si ninguna autoridad presenta objeciones en el plazo indicado, en cuyo caso todas ellas quedan vinculadas por el repetido proyecto. El citado artículo 60, apartado 12, dispone que la autoridad de control principal y las demás autoridades de control interesadas se facilitarán recíprocamente la información requerida en el marco del este artículo por medios electrónicos. Corresponde hacerlo a través del “Sistema de Información del Mercado Interior” (Sistema IMI). Por otra parte, el artículo 58.4 del RGPD establece que el ejercicio de los poderes conferidos a la autoridad de control debe respetar las garantías procesales establecidas en el Derecho de la Unión y de los Estados miembros. Las normas procesales españolas, en concreto, la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), establece que los procedimientos de naturaleza sancionadora se iniciarán siempre de oficio por acuerdo del órgano competente, el cual debe contener, entre otras indicaciones, la identificación de la persona o personas presuntamente responsables, los hechos que motivan la incoación del procedimiento, su posible calificación y las sanciones que pudieran corresponder De conformidad con las normas expresadas anteriormente, considerando el carácter transfronterizo de esta reclamación, con fecha 03/03/2020, se dictó proyecto de acuerdo de inicio de procedimiento sancionador, que fue posteriormente trasmitido a través del Sistema IMI a las autoridades de control interesadas, que constan reseñadas en los antecedentes, sin que ninguna de ellas formulase objeciones a dicho proyecto en el plazo de cuatro semanas desde la consulta, entendiéndose, por tanto, que existió acuerdo sobre el mismo. Por otra parte, en el apartado 4 del citado artículo 64 de la LOPDGDD establece que los plazos de tramitación establecidos en este artículo quedarán automáticamente suspendidos cuando deba recabarse información, consulta, solicitud de asistencia o pronunciamiento preceptivo de un órgano u organismo de la Unión Europea o de una o varias autoridades de control de los Estados miembros conforme con lo establecido en el RGPD, por el tiempo que medie entre la solicitud y la notificación del pronunciamiento a la Agencia Española de Protección de Datos. III El presente procedimiento se inicia por virtud de las reclamaciones recibidas en esta Agencia contra la entidad MIRACLIA, en la que los afectados (abromados) denuncian la utilización de sus datos personales para hacerle una broma sirviéndose para ello de la aplicación “***APLICACIÓN.1”, mediante llamada telefónica a sus líneas de telefonía móvil. Se denuncia la grabación realizada de la llamada sin el conocimiento de los afectados y la difusión de dicha grabación a terceros, también sin su consentimiento. El procedimiento, por tanto, tiene por objeto el análisis global de la aplicación “***APLICACIÓN.1” desde el punto de vista de la normativa de protección de datos personales y en relación con las personas que reciben las llamadas de broma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/61 Se omite cualquier análisis de la posición de los usuarios de la aplicación (bromistas), así como de la información que MIRACLIA ofrece a los mismos y del tratamiento de sus datos personales. De acuerdo con lo expuesto, las conclusiones que pudieran derivarse del presente procedimiento no supondrán ningún pronunciamiento respecto de los aspectos anteriores descartados. IV Con carácter previo, procede considerar la alegación formulada por MIRACLIA en relación con la posición que ocupa, a su juicio, en la relación personal entre bromista y abromado. Considera la citada entidad que su intervención se limita a facilitar un medio de ocio entre particulares, que actúa como un intermediario en una relación entre particulares. De acuerdo con este planteamiento, MIRACLIA entiende que la normativa de protección de datos personales no es aplicable al presente supuesto, por cuanto gastar una broma a través de una aplicación o de un medio en el que el usuario es soberano de la información que se facilita es un acto desarrollado en el ámbito doméstico o personal y, por tanto, excluido del ámbito de protección de dicha normativa según lo establecido en el artículo 2.2 del RGPD y artículo 2.2.
38. a)de la LOPDGDD. Dice al artículo 2.2 del RGPD: “2. El presente Reglamento no se aplica al tratamiento de datos personales:
39. c)efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas”. Esta Agencia, en cambio, considera que la actuación de la entidad reclamada no puede incluirse en esta excepción por tres razones: . MIRACLIA no es una persona física: el artículo 2.2.
40. c)del RGPD, al establecer la excepción indicada, se refiere expresamente al tratamiento de los datos personales efectuado por una persona física. . Su actividad se lleva a cabo en conexión con una actividad profesional o comercial. Se constituye como sociedad limitada, con ánimo de lucro y carácter mercantil. . El RGPD se aplica íntegramente a los responsables o encargados del tratamiento que proporcionen los medios para tratar datos personales relacionados con actividades personales o domésticas (en el caso de que efectivamente lo fuese). Sobre estas cuestiones, el considerando