PS-00541-2010

1/80 Procedimiento Nº PS/00541/2010 RESOLUCIÓN: R/02829/2017 En el procedimiento sancionador PS/00541/2010, instruido por la Agencia Española de Protección de Datos a las entidades GOOGLE Inc. (actualmente GOOGLE LLC) y GOOGLE SPAIN, S.L., y en base a los siguientes, ANTECEDENTES PRIMERO: Entre los servicios ofrecidos por la entidad GOOGLE LLC (en lo sucesivo GOOGLE LLC) figura el denominado “Google Street View” que, como complemento del servicio “Google Maps”, permite observar imágenes de las calles y carreteras de numerosos países del mundo, entre los que se encuentra España. Las imágenes que utiliza el servicio son captadas por una flota de vehículos que recorren las carreteras y calles dentro del denominado “Proyecto Google Street View”, del que es responsable igualmente la entidad GOOGLE LLC, que ha diseñado el software empleado en la captación de información, dispuesto los equipos para esa captación y creado los ficheros en lo que se registra la misma para su posterior utilización a través de la red. Con fecha 21/04/2008, a petición de los representantes de GOOGLE LLC y GOOGLE SPAIN, S.L. (en lo sucesivo GOOGLE SPAIN), se celebró una reunión con representantes de la Agencia Española de Protección de Datos, previa a la puesta en marcha de la campaña de recogida de datos para el servicio Street View. Con fecha 27/04/2010, mediante una comunicación accesible en la dirección web ***URL.1 admitió la recogida de datos de redes inalámbricas por parte de los vehículos del proyecto Street View. En concreto, en dicho comunicado se declaró lo siguiente: . GOOGLE LLC recaba datos de las redes inalámbricas para la prestación de sus servicios de localización, sin que los clientes de dichos servicios tengan acceso a los datos usados para su prestación. . Los datos recabados son captados de forma pasiva (no tratan de conectarse a las redes captadas), tal y como cualquier otra persona o entidad podrían hacerlo con un dispositivo que permita la comunicación inalámbrica. . Los datos recabados no están asociados a ningún usuario en particular. . Otras entidades están desarrollando proyectos similares. . Toda la carga útil (payload) de las tramas captadas es descartada, por lo que no recaban el contenido de las comunicaciones. Posteriormente, con fecha 14/05/2010, en el blog corporativo de GOOGLE LLC, disponible en la dirección web ***URL.2, aparece una entrada en la que dicha entidad realiza las siguientes manifestaciones: . En respuesta a la solicitud de la autoridad alemana de protección de datos, se auditó la información recabada de redes inalámbricas y hallaron que, por error, habían captado y almacenado la carga útil de tramas de datos de redes abiertas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/80 . Ello se debió a un error consistente en incluir en el software del proyecto Google Street View un componente desarrollado para otro proyecto experimental, que sí captaba todos los datos emitidos por redes inalámbricas. . Tan pronto como detectaron el problema procedieron a paralizar todos los vehículos del proyecto, segregar la información de su red para hacerla inaccesible y a revisar los procedimientos utilizados por la compañía, además de solicitar a una entidad externa una auditoría del software utilizado en la recogida de datos. Por otra parte, diversas informaciones de los medios de comunicación han señalado que los vehículos Street View vienen recabando en territorio español datos asociados a redes WiFi. En consecuencia, con fecha de 18/05/2010, el Director de la Agencia Española de Protección de Datos ordenó la realización, de oficio, de las oportunas actuaciones previas de investigación con objeto de determinar la adecuación de los hechos a la normativa vigente en materia de protección de datos personales, en relación con la recogida de datos de redes inalámbricas realizadas por los vehículos utilizados en el marco del proyecto Street View. SEGUNDO: Asimismo, mediante escrito de 19/05/2010, el Director de la Agencia de Protección de Datos instó a la entidad GOOGLE LLC para que, de conformidad con lo previsto en el apartado 3 del artículo 16 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), procediera a bloquear (es decir, conservar sin destruir) los datos de tráfico asociados a las redes WiFi (payload) recabados en territorio español por equipos técnicos instalados en los vehículos Street View y que actualmente se almacenan en los ficheros de esa compañía. Para posibilitar la actuación inspectora, el Director de la Agencia de Protección de Datos instó a GOOGLE LLC para que habilitase los medios precisos que permitieran a la Inspección de Datos la realización de las actuaciones a las que se refiere el artículo 40 de la LOPD y la sección 2ª del Capítulo III del Título IX del Reglamento de desarrollo de la LOPD, aprobado mediante Real Decreto 1720/2007, de 21 de diciembre, en particular, el acceso a los ficheros en los que se almacena la información relativa a redes WiFi recopilada en España, incluyendo los datos identificativos de las redes y los datos de payload recabados de éstas, así como el examen de los equipos físicos y lógicos utilizados para llevar a cabo esta recopilación En concreto, la actuación inspectora desarrollada incluye diversos requerimientos de información efectuados por el Director de la Agencia Española de Protección de datos a las entidades GOOGLE LLC y GOOGLE SPAIN sobre el equipamiento técnico, procedimiento implementado para la recopilación de datos de redes WiFi e información registrada; tres inspecciones sobre los vehículos empleados en el proyecto Street View y dos inspecciones llevadas a cabo en el establecimiento de la entidad GOOGLE SPAIN para acceder a la información relativa a las redes WiFi recabada en España (payload y no payload), todas ellas efectuadas por los Servicios de Inspección de esta Agencia, que además examinaron la información aportada con posterioridad a dichas inspecciones. Para la verificación de la información relativa a las redes inalámbricas, GOOGLE LLC dispuso una conexión remota cifrada al servidor de la entidad desde las oficinas de GOOGLE SPAIN y un técnico de sistemas empleado de GOOGLE LLC. A las inspecciones mencionadas en el párrafo anterior asistieron los representantes de las entidades GOOGLE LLC y GOOGLE SPAIN designados por las mismas. En concreto, a dichas inspecciones asistieron, según el detalle que consta en el acta de inspección elaborada en cada C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/80 caso, una asesora legal de GOOGLE SPAIN, tres personas que intervenían en la condición de mandatarios verbales de GOOGLE LLC, el Director de Operaciones del proyecto Google Street View para EMEA, perteneciente a Google Switzerland GMBH, el Director de Operaciones del proyecto Google Street View para España, perteneciente a Google Switzerland GMBH, el técnico asignado al proyecto Google Street View, perteneciente a Google Switzerland GMBH, que intervino en calidad de ingeniero técnico o técnico de sistemas desplazado desde Suiza por GOOGLE LLC, un técnico de sistemas desplazado desde Suiza por GOOGLE LLC y un Ingeniero de Seguridad de GOOGLE LLC. Por otra parte, en relación con el servicio de conducción de los coches Street View, el Director de la Agencia Española de Protección de Datos requirió a las entidades GOOGLE SPAIN, GOOGLE LLC y Eurovendex, S.A. (en lo sucesivo EUROVENDEX), prestataria del servicio, para que aportasen copia de la documentación formalizada para la prestación de dicho servicio, que incluyera los contratos firmados, acuerdos de confidencialidad y detalle de los procedimientos seguidos para la prestación de dicho servicio, e identificación de la entidad responsable de los procedimientos de control, así como la documentación entregada a la entidad prestataria sobre la planificación y desarrollo de las tareas. Asimismo, con fecha 30/06/2010, el Director de la Agencia Española de Protección de Datos requirió a la entidad EUROVENDEX para que informara sobre las personas designadas por GOOGLE SPAIN como contactos de la entidad en lo relativo al servicio, si existía alguna cláusula específica sobre la recogida y almacenamiento de las señales emitidas por las redes inalámbricas, soporte técnico prestado a los conductores y procedimiento para el envío de los discos duros con los datos captados, y aportara, además, copia del Manual Google entregado a los conductores y última factura emitida por el servicio. Por otra parte, con fecha 21/07/2010, los Servicios de Inspección de la Agencia Española de Protección de Datos efectuaron una inspección en el establecimiento de la entidad EUROVENDEX, en relación con los servicios prestados por dicha entidad a GOOGLE SPAIN en el contexto del proyecto Google Street View. Finalmente, se verificaron los ficheros inscritos por GOOGLE LLC y GOOGLE SPAIN en el Registro General de Protección de Datos. TERCERO: Durante la fase previa de investigación desarrollada para el esclarecimiento de los hechos, se realizaron las siguientes constataciones: A. GOOGLE LLC es una sociedad con sede en el estado de California, Estados Unidos. Entre otros, dicha entidad presta los siguientes servicios: . “Google Maps”: servicio que permite ubicar puntos y crear rutas entre puntos de un mapa. Este servicio cubre buena parte del mundo en base a diferentes criterios (dirección postal, nombre de la entidad, etc.). . “Google Street View”: servicio que complementa al anterior y que, dentro del área cubierta (inferior a la de Google Maps), permite observar imágenes tomadas desde un punto cualquiera, así como moverse por el “mapa de imágenes” creado. En relación con esta entidad, interesa destacar que figuraba adherida al acuerdo Safe Harbour, vigente en el momento en que tuvieron lugar los hechos. Este acuerdo permitía a las empresas adheridas que tienen sede en los Estados Unidos de América, bajo ciertas condiciones, importar datos de carácter personal desde los estados miembros de la Unión C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/80 Europea. La descripción de los datos de carácter personal recogidos en la Unión Europea que se encuentra en la URL http://www.export.gov/safehrbr/companyinfo.aspx?id=8321 es la que sigue (traducción no oficial): GOOGLE LLC, y otras compañías dentro del grupo corporativo de GOOGLE LLC, recaban datos de carácter personal relacionados con personas físicas de los estados miembros de la Unión Europea (en adelante, titulares de los datos) como resultado de: . El uso y operación por parte de GOOGLE LLC y los miembros de su grupo de empresas de los dominios de Internet registrados en los países miembros de la Unión Europea sobre los que GOOGLE LLC y los miembros de su grupo de empresas proveen sus servicios realizan sus actividades de negocio a los titulares de los datos de la UE. . La distribución, dentro de los estados miembros de la Unión Europea por GOOGLE LLC y los miembros de su grupo de empresas (y por terceras partes autorizadas por GOOGLE LLC y los miembros de su grupo de empresas) de aplicaciones y productos a los titulares de los datos de la UE. . La prestación de servicios y la provisión de bienes de GOOGLE LLC y los miembros de su grupo empresarial por parte de sociedades y negocios ubicados en los estados miembros de la Unión Europea (lo que puede implicar en algunos casos la entrega o intercambio de datos de carácter personal relacionada con titulares de datos). B. GOOGLE SPAIN es una empresa filial de GOOGLE LLC que tiene como objeto social, según consta en el Registro Mercantil, “Promocionar, facilitar y/o procurar la venta de productos y/o servicios de publicidad online a través de Internet para terceros, actuando como agente comercial, así como el marketing de publicidad online etc.”. C. Requerimientos de información efectuados a GOOGLE LLC y GOOGLE SPAIN. 1. Con fecha 19/05/2010, por el Director de la Agencia Española de Protección de Datos, mediante escrito dirigido conjuntamente a las entidades GOOGLE LLC y GOOGLE SPAIN, se acordó requerir a GOOGLE LLC para que aportase información sobre el equipamiento técnico instalado en los vehículos Street View y el procedimiento implementado para la recopilación de datos de redes WiFi que se almacenan en sus equipos asociados a las coordenadas de localización geográfica; procedimiento implementado para muestrear la señal transportada a través de dichas redes, indicando el período de tiempo de muestreo establecido para cada red WiFi detectada y cualquier otro parámetro definido que permita evaluar el volumen de información recopilada del tráfico (payload) de cada red; localidades españolas rastreadas, indicando cuándo comenzó en España el proceso de recopilación de datos asociados a redes WiFi y detallando el número de redes españolas registradas actualmente en sus ficheros; procedimiento habilitado para transferir la información recopilada en territorio español por los vehículos StreetView a los ficheros en los que está actualmente almacenada, indicando la periodicidad con que se realiza la transferencia y la localización geográfica concreta de los servidores que alojan esos ficheros; especificación de los procesos de análisis que, en su caso, hubieran sido realizados en relación con la información mencionada, en particular, los datos identificativos de los abonados que pudieran constar, direcciones de correo electrónico, identificadores, nombres y apellidos de usuarios y otros datos de carácter personal que pudieran constar entre la información especificada; y la finalidad con la que se decidió la recopilación de dicha información. En respuesta a este requerimiento se recibió escrito de GOOGLE LLC, fechado el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/80 31/05/2010, en el que manifiesta que los coches Street View utilizaron antenas WiFi y software comercialmente disponibles para detectar SSID, direcciones MAC y datos afines de las redes, que ayudan a mejorar los servicios de geolocalización. Añade que esta información no se utiliza para identificar personas o casas concretas, que han recabado por error datos de payload (información enviada por la red) de redes WiFi abiertas, no de transmisiones codificadas, y que no han usado datos de payload en productos o servicios de la entidad. Asimismo, advierten que una vez tuvieron conocimiento del problema procedieron a paralizar los coches Street View y a segregar los datos de payload de su red, suprimieron los datos de la red de Google para que no fueran accesibles, salvo por los responsables de la protección de los datos, y adoptaron medidas para proteger los datos de payload, con el objetivo último de suprimir los datos en la forma legalmente prevista y mediante consulta con las autoridades competentes. Además, según indica GOOGLE LLC, encargó a un tercero independiente la revisión del software, analizó los procedimientos para asegurar que sus controles son lo suficientemente sólidos para hacer frente a problemas de este tipo en el futuro y decidieron paralizar por completo la recogida de datos de redes WiFi por los coches del proyecto Street View, que en ese momento no circulan por España (circularon hasta hace dos semanas). En el escrito referenciado, GOOGLE LLC declaró que “mantener la confianza de la gente es de importancia crucial para todo cuanto hacemos y al recabar por error datos de payload no lo hemos conseguido”. En relación con las cuestiones planteadas en el requerimiento de información efectuado por el Director de la Agencia Española de Protección de Datos, antes reseñado, GOOGLE LLC indicó lo siguiente: a. Los coches Street View de Google son Opel Astra equipados con antenas de radio omnidireccional modelo ***MODELO.1, disponibles comercialmente. Esta antena WiFi recibe de forma pasiva, mediante uso del software de fuente abierta ***SOFTWARE.1, las señales de radio de transmisión pública que estén dentro del alcance del vehículo. Seguidamente, estos datos se transmiten al software desarrollado por GOOGLE LLC, que los procesa para su posterior almacenamiento. Asimismo, GOOGLE LLC añade que es responsable del proyecto Street View y que el equipamiento fue instalado por representantes de la entidad, sin que esta tarea haya sido encomendada a ningún tercero. b. Las antenas reciben de las redes WiFi información transmitida públicamente (mediante uso del estándar 802.11), dicha información incluye: •SSID, o "service set identifier" •Dirección MAC •Potencia de señal •Tipo de método de codificación •Protocolo y canal de radio (por ejemplo., 802.11 b/g/

1. n)•Ubicación GPS del coche y timestamp cuando se recibe la señal WiFi A este respecto, GOOGLE LLC manifiesta que dicha información no identifica a ninguna persona especifica. Asimismo, añade nuevamente que el software de la entidad capta la información de las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/80 redes WiFi, reconoce las transmisiones que están codificadas y las descarta, almacenando el resto de los datos en agregado. c. Como quiera los coches de Google Street View están en permanente movimiento y el equipo WiFi cambiaba automáticamente de canales (...), la citada entidad considera que los datos de payload recogidos se encontrarían fragmentados, aunque admite como posible que los datos de payload pudieran incluir datos de carácter personal, en el supuesto de que el usuario estuviera transmitiendo información personal en el momento de la recogida. En ningún producto o servicio de Google se han usado datos de payload. d. Google comenzó a recabar información WiFi mediante uso de coches Street View en España en el mes de mayo de 2008, habiendo recorrido los lugares que indican en su sitio web: ***URL.3, que corresponden aproximadamente al 80% de las vías públicas en el territorio peninsular de España, lo que implica una cobertura casi completa de todas las ciudades con una población igual o superior a 100.000 habitantes. No obstante, indica que en ese momento no dispone de información fidedigna sobre el número de redes detectadas en España, aunque se está analizando este extremo. e. La información WiFi se almacenaba, en primer lugar, en los discos duros que se encontraban en los coches Street View y después se enviaban por mensajero a un centro de datos de GOOGLE LLC, donde se subían a servidores seguros de la entidad, normalmente con una periodicidad semanal. Los datos se almacenan en formato binario exclusivamente electrónico. La información WiFi está actualmente almacenada en servidores ubicados en los Estados Unidos de América. Una cantidad limitada de datos permanece en discos duros (no conectados a la red Google) desde el momento en que los coches Street View se paralizaron. f. Tal y como se ha mencionado anteriormente, el software de Google reconoce las transmisiones codificadas y las desecha antes de almacenar la información de las redes WiFi y el resto de datos, que se utiliza para mejorar sus servicios de geolocalización, como mapas e indicaciones sobre rutas en coche. Esta información de redes WiFi no se ha utilizado para identificar a ninguna persona o casa específica. La información de los payload recabada por error se almacena como datos brutos, agregados y no procesados, exclusivamente en formato electrónico, y, conforme a lo indicado anteriormente, entiende que estos datos de payload recogidos se encontrarán fragmentados, aunque sería posible que los datos de payload pudieran incluir datos de carácter personal en el supuesto de que el usuario estuviera transmitiendo información personal en el momento de la recogida. g. En relación con la finalidad de la recogida de los datos, manifiesta que la información recabada de las redes WiFi, incluidas las SSID, direcciones MAC y el resto de información mencionada, se utiliza para mejorar los servicios de geolocalización de la entidad, como los mapas y las indicaciones sobre rutas en coche de Google. Por ejemplo, los usuarios de Google Maps para teléfonos móviles pueden utilizar la herramienta "My location" para identificar su ubicación aproximada mediante señales de GPS (cuando están disponibles) y mediante las señales de las torres de telefonía móvil y redes WiFi detectables por el terminal. Normalmente esta herramienta funciona en la siguiente forma: . El teléfono del usuario envía una solicitud a “Google” con una lista de direcciones MAC detectables en ese momento por el dispositivo. . El servidor de localización de “Google” compara las direcciones MAC del teléfono con una lista de direcciones MAC conocidas, asociadas a una geolocalización. . El servidor de localización utiliza la geolocalización para informar de la ubicación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/80 aproximada del usuario y la envía a su dispositivo. Los servicios de geolocalización de “Google” no desvelan a los usuarios las direcciones MAC o SSID ni otra información de redes que sea específica de un punto de acceso WíFi (aunque el teléfono de un usuario puede detectar esta información por su cuenta), y no se usan datos de payload en ninguno de los productos de Google. Además, Google no usa la información de las redes WíFi recabada por los coches Street View para muestrear las preferencias de los usuarios ni para crear perfiles de conductas. Considera que estos usos no son posibles porque la información de las redes WíFi no permite identificar personas en ningún caso. 2. Con fecha 02/06/2010, por el Director de la Agencia Española de Protección de Datos, se acordó requerir a GOOGLE LLC para que aportase información sobre las modificaciones realizadas al software ***SOFTWARE.1, a las que hicieron referencia durante una inspección realizada el pasado 28 de mayo; formato y estructura del fichero alojado en los servidores de GOOGLE LLC en Estados Unidos, en el que se almacena la información recabada en España de las redes WiFi a través de los vehículos Street View, detallando el método practicado para segregar la parte correspondiente a los datos de “payload”; número de redes captadas en territorio español que actualmente figuran registradas en sus ficheros; tamaño actual del fichero indicando el porcentaje referido a los datos de “payload”; tipología de la información íntegra captada por las antenas instaladas en los vehículos indicando qué parte es la mínima imprescindible para desarrollar satisfactoriamente los servicios de geolocalización de GOOGLE y adjuntando, a modo de ejemplo, copia impresa del contenido de cada uno de los tipos de información; identificación del “tercero independiente” al que se encargó la revisión del software utilizado por los vehículos Google Street View y copia del informe correspondiente. Con fecha 04/06/2010, GOOGLE LLC remitió a esta Agencia copia de un informe de auditoría del software utilizado en la recogida de señales inalámbricas, realizado por la firma STROZ FIEDBERG, en el que constan, entre otras, las siguientes indicaciones: . El ordenador instalado en los vehículos contiene un programa denominado ***SOFTWARE.1 que, mediante la antena dispuesta al efecto, capta e interpreta las señales de redes inalámbricas. Interpretar las señales inalámbricas consiste, en este caso, en traducir los impulsos radioeléctricos percibidos por la antena a un conjunto de datos inteligibles y útiles como, por ejemplo, las direcciones IP de origen y destino, el SSID de la red mediante la que se ha transmitido la trama, la fuerza de la señal recibida, etc. El programa ***SOFTWARE.1 está configurado de forma que, en lugar de guardar un registro de las tramas recogidas e interpretadas, pasa la información a un segundo programa para que lo haga éste. . La información captada por la antena GPS y el programa ***SOFTWARE.1 es comunicada a un programa desarrollado por GOOGLE LLC, denominado “***SOFTWARE.2”, que procesa la información recogida y la guarda en una serie de ficheros en el disco duro. . El programa ***SOFTWARE.2, diseñado por GOOGLE LLC, dispone de opciones que permiten configurar, al ejecutarlo, qué tipo de tramas serán almacenadas, pudiendo incluir o excluir por separado los distintos tipos de tramas, así como los cuerpos de las tramas cifradas. A este respecto, en el Informe de Actuaciones elaborado por la Inspección actuante se destaca que, durante las inspecciones efectuadas “in situ” sobre uno de los vehículos, pudo constatarse que, de haber seleccionado las opciones de funcionamiento adecuadas, los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/80 vehículos no habrían recogido ninguna trama de tipo DATA. . El programa trata de forma distinta las tramas en función de su tipo. En el caso de las tramas de datos el sistema comprueba si los datos están cifrados. Si lo están los ignora y si no lo están los guarda sin interpretarlos (como un conjunto de datos binarios). El citado informe de auditoría recoge un ejemplo de la estructura de datos que el sistema guarda al recoger una trama de datos de una red no cifrada, que incluye la cabecera y cuerpo de la trama (el payload o carga de pago de la trama), la información proporcionada por el GPS, la medida del tiempo de envío y recepción de la trama y la información proporcionada por el programa ***SOFTWARE.1. En relación con las cuestiones planteadas en el requerimiento de información efectuado por el Director de la Agencia Española de Protección de Datos en fecha 02/06/2010, después de señalar que ha procedido a segregar y proteger los datos identificados como datos de payload de las redes WiFi recogidos desde los coches Street View en España, GOOGLE LLC Indicó lo siguiente: a. El software ***SOFTWARE.1 no fue objeto de modificación o adaptación para su uso en los vehículos de Street View. Tal y como se describe en el análisis independiente sobre código fuente elaborado por Stroz Friedberg LLC, la aplicación ***SOFTWARE.1 se utilizó en una configuración denominada "drone", que no registra ni analiza el tráfico de redes, sino que remite el tráfico capturado a un servidor en el cual se somete a nuevo tratamiento, configurado con una plantilla predefinida que ordenaba al drone cambiar canales inalámbricos a un ritmo de (...). b. Los datos de las redes WiFi capturados con los vehículos Street View se almacenan en ficheros formateados en un formato de propiedad exclusiva de Google denominado ***FORMATO.1. Cada fichero contiene (...). En el informe Stroz Friedberg se incluye una descripción detallada de la forma en que el software ***SOFTWARE.2 analiza y almacena datos. Hay tres tipos de tramas 802.11: tramas de Control, Gestión y Datos. Dado que solo los tramas de Datos contienen user payload data, se segregan los tramas de Datos de los tramas de Control y Gestión y después se separan los frames de Datos en función de las coordenadas asociadas de GPS. Acto seguido se extrajeron los payload data (ahora generalmente se extraen por país) de la red de Google y los incorporamos a discos duros codificados, donde fueron almacenados de forma segura. Concretamente, Google realizó las siguientes actuaciones para segregar los payload data en nuestra red: 1)Copia de las tramas de datos de Control y Gestión, así como los metadatos y cabeceras asociados a los trames de datos (pero no los payload data, que se encuentran en el cuerpo de la trama) del grupo original de ficheros para incorporarlos a un nuevo grupo de ficheros. 2)Copia de los trames de Datos en un nuevo grupo de ficheros que contenían payload data. 3)Separación de los datos en estos ficheros de payload data por país, según las coordenadas GPS que identifican cada registro. Hay que señalar que hay un número reducido de registros que no tienen coordenadas GPS asociadas porque la antena de GPS no se encontraba dentro del alcance de una señal. No ha sido preservado ningún registro sin coordenadas GPS asociadas. 4)Se copiaron los ficheros con payload data en discos duros y acto seguido se retiraron de la red los discos duros con los ficheros de payload data, segregándolos. 5)Se retiraron de los servidores de GOOGLE LLC todas las copias de los ficheros originales y los ficheros de payload data. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/80 c. Sobre el tamaño actual del fichero que contiene la información recabada en España de las redes WIFI y porcentaje referido a los datos de "payload", advierte GOOGLE LLC que han iniciado un proceso para extraer una copia de los datos de las redes WiFi capturados en España y procesados con el software de Google, "***SOFTWARE.2". Estos datos incluyen (...) d. En términos generales, la información de las redes WiFi recabadas, incluidas direcciones MAC y SSID y otra información de las redes antes identificada, se usa para el desarrollo de un servidor de geolocalización ("Google Location Server" o "GLS") que, a su vez, es necesario para prestar servicios precisos de localización como Google Maps o indicaciones sobre rutas en coche. La información de las redes WiFi se usa para mejorar la cobertura y exactitud de las coordenadas de longitud y latitud asignadas a las direcciones MAC contenidas en el GLS. GOOGLE LLC señala que ni GLS ni los servicios de localización de Google desvelan direcciones SSID o MAC u otra información de redes referida específicamente a un punto de acceso a WiFi (aunque el aparato de un usuario puede detectar esa información por su cuenta) y no se usan payload data en ninguno de los productos o servicios de Google. Los tipos de información de redes WiFi que se recaban, a los efectos indicados, son los siguientes: •SSID: Para su potencial uso con el fin de encontrar puntos de acceso inalámbrico públicos o abiertos •Dirección MAC: Para identificar puntos de acceso inalámbrico para su inclusión en el GLS, mejorando así la cobertura y precisión de nuestros servicios de localización. •Potencia de señal: para obtener la distancia relativa entre el punto de observación (vehículos de Street View) y los puntos de acceso inalámbrico físicos. Cuanto más fuerte es la señal, mayor es la probabilidad de que el punto de acceso se encuentre cerca. Esta información se utiliza para mejorar la precisión de los servicios de localización de la entidad. •Velocidad de datos: Normalmente una mayor velocidad de datos significa una mejor señal, por lo que puede utilizarse como alternativa a la potencia de señal de un punto de acceso. •Método de codificación: Para determinar si un punto de acceso está codificado o si puede ser público. •Protocolo y canal de radio (por ejemplo., 802.11 b/g/n): Para distinguir entre 802.11 b/g/n y 802.11a (5 GHz vs. 2.4 Ghz), y de esa forma simplificar los servicios de localización. En la práctica, 802.11a no se usa apenas para redes WiFi o teléfonos móviles. 3. Con fecha 09/06/2010, se recibe escrito de GOOGLE SPAIN, que responde al requerimiento de 19/05/2010 efectuado por el Director de la Agencia Española de Protección de Datos sobre el proyecto Street View, en el que manifiesta que “dentro de nuestro grupo empresarial es GOOGLE LLC la compañía responsable del proyecto y de los procesos y servicios relacionados con los vehículos Street View. D. Servicio de conducción de los vehículos empleados en el proyecto “Google Street View”. 1. Con fecha 14/06/2010, el Director de la Agencia Española de Protección de Datos requirió a las entidades GOOGLE SPAIN y GOOGLE LLC para que aportasen copia de la documentación formalizada para la prestación del servicio de conducción de los coches Street View, que incluya los contratos firmados, acuerdos de confidencialidad y detalle de los procedimientos seguidos para la prestación de dicho servicio, o identificación, en su caso, de la entidad responsable de los procedimientos de control, así como la documentación entregada a la entidad prestataria sobre la planificación y desarrollo de las tareas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/80 a. En respuesta a este requerimiento, mediante escrito de fecha 29/06/2010, GOOGLE SPAIN aporta copia del contrato suscrito en fecha 13/05/2008 con la entidad EUROVENDEX, empresa perteneciente al grupo Adecco, con el objeto reseñado, e informa que dicho contrato se firma en el contexto del Street View Projext, creado, concebido y diseñado, a nivel mundial, íntegramente por GOOGLE LLC, que ha sido, asimismo, la entidad responsable del desarrollo e implementación del proyecto. En este sentido, añade GOOGLE SPAIN que asumió una labor de mera entidad canalizadora a fin de facilitar el desarrollo del proyecto en España. Asimismo, GOOGLE SPAIN informa que el contrato antes reseñado se firmó en el contexto del contrato marco de prestación de servicios a nivel mundial que suscribieron las entidades GOOGLE LLC y ADECCO USA INC, que regula la relación jurídica entre ambas. GOOGLE SPAIN aportó copia de los dos contratos citados y del acuerdo de confidencialidad suscrito con los conductores empleados de EUROVENDEX, así como del modelo de “Declaración oficial del proyecto Street View” y la adaptación de dicho modelo para España, en el que se hacía constar las personas que podían facilitar al conductor de los vehículos el contacto con GOOGLE LLC para información o asistencia inmediata. Sin embargo, en relación con el resto de documentación requerida, advierte que la misma ha de facilitarse por GOOGLE LLC. Según consta en la documentación aportada, el contrato suscrito por las entidades GOOGLE LLC y ADECCO USA Inc. tiene fecha de 03/04/2008 y se firmó como contrato marco de prestación de servicios con el fin de que ADDECO USA Inc., o alguna de sus filiales, proporcionase trabajadores temporales a GOOGLE LLC, o a alguna de sus filiales. Por otra parte, en el contrato de fecha 03/05/2008 suscrito por GOOGLE SPAIN y EUROVENDEX, consta lo siguiente: . En el preámbulo del contrato se especifican los siguientes puntos: . El proyecto Street View es el proyecto de GOOGLE SPAIN que tiene por objeto permitir a los usuarios de Google Maps observar imágenes panorámicas de las ubicaciones seleccionadas. . EUROVENDEX es una compañía relevante en el ámbito de los servicios de gestión de proyectos y la subcontratación (outsourcing) de eventos, que dispone para ello de su propia infraestructura y organización independiente. . En el contexto del proyecto Street View, GOOGLE SPAIN ha seleccionado a EUROVENDEX porque considera que dispone del “saber hacer” (know-how) y es capaz de concebir e implementar un servicio de calidad de extremo a extremo. . El servicio contratado consistente en la recogida y almacenamiento de imágenes de las provincias españolas para el proyecto “Google Street View” mediante dispositivos electrónicos instalados en un conjunto de vehículos. GOOGLE SPAIN será la responsable de proporcionar vehículos equipados con la tecnología y los componentes electrónicos, incluyendo cámaras, ordenadores, tarjetas de servicio (lo que incluye los costes de gasolina, mantenimiento del vehículo y limpieza) y teléfonos adecuados para el servicio a prestar. Cualquier retraso en el servicio motivado exclusivamente por los vehículos y los equipos electrónicos será achacable a GOOGLE SPAIN, excepto en el caso de que el personal de EUROVENDEX haya contribuido a dicho retraso. GOOGLE SPAIN proporcionará a EUROVENDEX, libre de gastos, al menos tres sesiones de mañana y tarde para que el personal de EUROVENDEX adquiera la formación necesaria para el uso y gestión del equipo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/80 electrónico de GOOGLE SPAIN. Dichas sesiones serán teóricas y prácticas e incluirán demostraciones de uso del equipo. La formación comenzará no antes de cuatro días previo al comienzo de la prestación del servicio. . Algunas de las tareas y responsabilidades de las partes, descritas en el anexo 2 del contrato, son: Por parte de GOOGLE SPAIN, S.L.: . Provisión de los vehículos y aseguramiento de estos y su tecnología. . Entrega de notificación escrita, con antelación suficiente, indicando las áreas a cubrir. . Mantenimiento de un registro de incidencias de los vehículos. . Proporcionar soporte técnico en español. . Formación inicial al personal de gestión de EUROVENDEX sobre el equipo electrónico. .Obtención de los permisos para el funcionamiento de los vehículos y la recogida de imágenes en la vía pública. . Tratar y modificar las imágenes recogidas con el objeto de cumplir lo previsto en la normativa española de protección de datos de carácter personal. Por parte de EUROVENDEX: . Búsqueda, selección, contratación y gestión de conductores cualificados. . Generación de informes mensuales de estado del servicio. . Gestión de los gastos. . Coordinación de los recorridos. . Las comunicaciones entre las partes están reguladas en el contrato: En la cláusula 2.3 se indica que EUROVENDEX entregará a GOOGLE SPAIN informes diarios del estado operativo de los vehículos y actualizaciones semanales. En la cláusula 2.5 del contrato se indica que EUROVENDEX nombrará un Director del programa como punto de contacto que deberá reunirse una vez al mes con GOOGLE SPAIN en Madrid o con los representantes de ésta en Zúrich. . Según consta en la cláusula 5.1 del contrato, los conductores son empleados de EUROVENDEX. . La cláusula 8 del contrato establece que, todo el software (incluidas las modificaciones y documentación), productos, invenciones, documentos, escritos y otros materiales concebidos, preparados, hechos, descubiertos o producidos en relación con la prestación del servicio por EUROVENDEX (incluyendo cualquier empleado a agente del mismo) durante el periodo de duración del contrato, incluyendo, entre otros, los entregables especificados en una orden de compra, relacionados de cualquier modo con el negocio de GOOGLE SPAIN serán de propiedad exclusiva de ésta última. . El apéndice 5 del contrato establece que si durante la prestación de servicios contratada entre EUROVENDEX y GOOGLE SPAIN se hace necesaria la revelación de datos de carácter personal, tal revelación será entendida como parte de la relación comercial entre las dos compañías y no como una cesión de datos, de acuerdo con el artículo 12 de la LOPD. GOOGLE SPAIN reconoce ser la titular de la base de datos que contiene datos de carácter personal y que ha sido adaptada para cumplir con los requisitos legales establecidos en la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/80 LOPD. Ambas partes garantizan que la revelación de datos sólo se realizará siguiendo instrucciones de GOOGLE SPAIN con el propósito de cumplir con los servicios objeto del contrato de acuerdo con las indicaciones y limitaciones establecidas por el titular de la base de datos. EUROVENDEX se compromete a no revelar dichos datos a terceras entidades, incluso en los casos relacionados con el almacenamiento de datos. Con este propósito, EUROVENDEX implementará aquellas medidas organizativas y técnicas necesarias para asegurar la seguridad de los datos de carácter personal y evitar su alteración, pérdida, manipulación a acceso no autorizado teniendo en cuenta tanto la normativa vigente como los avances tecnológicos, la naturaleza de los datos y el riesgo asociado. Las medidas de seguridad adoptadas serán las previstas para el nivel medio descrito en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. En relación con este contrato de prestación de servicios, en el Informe de Actuaciones elaborado por la Inspección actuante se destaca lo siguiente: . Entre los servicios descritos no se ha hallado referencia específica alguna a la recogida de datos de redes inalámbricas. A este respecto, los representantes de EUROVENDEX manifestaron, en su escrito de 06/07/2010, que “No existe en el contrato, ni forma parte ni formó nunca parte de la relación comercial que EUROVENDEX, S.A. mantiene con GOOGLE SPAIN, S.L., ninguna prestación de servicio o similar para la recogida y almacenamiento de las señales emitidas por redes inalámbricas”. . Según la información facilitada por EUROVENDEX en su escrito de 06/07/2010, las personas designadas por GOOGLE SPAIN como contacto con aquella entidad para todo lo relacionado con el servicio contratado son el Director de Operaciones del Proyecto Google Street View para España y el Director de Operaciones del Proyecto Google Street View para Europa, Oriente Medio y Asia. Los datos de contacto proporcionados a EUROVENDEX indican que ambos pertenecen a la filial en Suiza de GOOGLE LLC. . Según la información facilitada por EUROVENDEX en el Anexo a su escrito de 06/07/2010, GOOGLE SPAIN se comprometía al pago de las facturas generadas por el servicio, de la última de las cuales, de fecha 31 de mayo de 2010, se ha obtenido copia. . En el manual de usuario entregado a los conductores, dentro de epígrafe “Envío de unidades de disco duro” consta el siguiente texto “Deberá enviar cada CUATRO o CINCO discos en la caja que se le entrega […] Envíe la caja llena utilizando Fedex y el recibo de envío proporcionado.” b. GOOGLE LLC, por su parte, en respuesta al requerimiento de fecha 14/06/2010 y mediante escrito de fecha 07/07/2010, informó que, como responsable del proyecto Street View y para su desarrollo e implementación, firmó un contrato marco de prestación de servicios a nivel internacional con ADECCO USA INC, que ha permitido a GOOGLE LLC recurrir a sociedades locales en determinados países a fin de que actúen como entidades canalizadoras para facilitar el desarrollo del proyecto, entre las que se encuentra GOOGLE SPAIN. A este respecto añade que GOOGLE LLC ha elaborado la documentación relativa al mismo para todos los países involucrados, sin perjuicio de las adaptaciones necesarias. Así, GOOGLE LLC remitió a GOOGLE SPAIN el modelo contractual que debía firmar con la entidad EUROVENDEX y modelo de acuerdo de confidencialidad que debía suscribir con los conductores. GOOGLE LLC aporta copia del “Manual de funcionamiento e instrucciones para el conductor” y otra documentación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/80 puesta a disposición de EUROVENDEX y los conductores (formularios, etc.). 2. Por otra parte, con fecha 14/06/2010, el Director de la Agencia Española de Protección de Datos requirió a la entidad EUROVENDEX para que aportasen copia de la documentación formalizada para la prestación del servicio de conducción de los coches Street View, que incluya los contratos firmados, acuerdos de confidencialidad y detalle de los procedimientos seguidos para la prestación de dicho servicio, o identificación, en su caso, de la entidad responsable de los procedimientos de control, así como la documentación entregada a dicha entidad prestataria sobre la planificación y desarrollo de las tareas. EUROVENDEX aportó copia el contrato suscrito con GOOGLE SPAIN y el acuerdo de confidencialidad que se formalizaba con los conductores. 3. Asimismo, con fecha 30/06/2010, el Director de la Agencia Española de Protección de Datos requirió a la entidad EUROVENDEX para que informaran sobre las personas designadas por GOOGLE LLC como contactos de la entidad en lo relativo al servicio, si existía alguna cláusula específica sobre la recogida y almacenamiento de las señales emitidas por las redes inalámbricas, soporte técnico prestado a los conductores y procedimiento para el envío de los discos duros con los datos captados, y aportara, además, copia del Manual Google entregado a los conductores y última factura emitida por el servicio. Entre otras indicaciones, señalaron lo siguiente: . El envío de los discos duros con los datos captados se realiza cuando dichos discos han agotado su capacidad o bien cuando GOOGLE SPAIN así lo requiera. El procedimiento de envío a GOOGLE SPAIN se realiza conforme a las instrucciones recibidas de esta entidad y consiste en extraer el disco y ponerlo en un sobre cerrado y sellado, que se entrega a FEDEX para que lo remita a la dirección indicada por GOOGLE SPAIN en Bélgica, perteneciente a MENLO WORLDWIDE LOGISTICS. Al principio, el sobre se depositaba por los conductores en una de las agencias de ADECCO o EUROVENDEX, para facilitar la recogida por FEDEX, y a partir del año 2009, FEDEX recogía el sobre directamente en el domicilio particular del conductor. Y Finalmente, para verificar las informaciones recabadas, con fecha 21/07/2010, los Servicios de Inspección de la Agencia Española de Protección de Datos efectuaron una inspección en el establecimiento de la entidad EUROVENDEX, levantando el Acta correspondiente, en la que se recogen, entre otras, las siguientes manifestaciones de los representantes de la entidad en relación con los servicios prestados por la entidad a GOOGLE SPAIN en el contexto del proyecto Google Street View: a. Adecco USA Inc. firmó un contrato marco con GOOGLE LLC para la gestión de la contratación de personal destinado a distintas tareas. Cuando comenzaron las negociaciones para la contratación del personal destinado a conducir los vehículos del proyecto Street View se decidió, debido a las diferencias existentes entre la legislación laboral de Estados Unidos y la Europea, que el servicio contratado debía serlo con entidades con una sede social en el país en el que prestasen sus servicios las personas contratadas por EUROVENDEX. b. EUROVENDEX, dentro del citado contrato, se hace responsable de la contratación de los conductores de los vehículos y de determinados aspectos relacionados con el personal (alojamientos, garajes o control de presencia). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/80 c. EUROVENDEX desconocía el hecho de que los vehículos proporcionado por GOOGLE estuviesen recogiendo datos de redes inalámbricas. El Responsable de Operaciones de la entidad fue informado por la Responsable del proyecto en Adecco USA Inc., en fecha 07/05/2010 de que los medios de comunicación iban a difundir la noticia de que GOOGLE LLC estaba recogiendo datos de redes inalámbricas utilizando los vehículos del proyecto Street View. Al día siguiente EUROVENDEX remitió un comunicado a todos los conductores en el que se les informaba de la noticia que se iba a difundir en los medios de comunicación e informando de cómo debían actuar al respecto. El lunes 10, el Director de Operaciones del proyecto Google Street View para España, perteneciente a Google Switzerland GMBH, remitió mensajes SMS a los conductores ordenándoles la inmovilización de todos los vehículos del proyecto de forma indefinida. d. Respecto a la gestión de los discos con los datos captados se emplearon dos procedimientos que ya constan detallados en la respuesta efectuada por esta entidad al requerimiento anterior. e. Respecto a la gestión de las incidencias relacionadas con el equipo electrónico de los vehículos: En un primer momento los conductores acostumbran a llamar al personal de EUROVENDEX pero estos siempre derivan las incidencias de esta naturaleza al personal de GOOGLE (habitualmente, al Director de Operaciones del proyecto para España o al técnico asignado al proyecto). En el caso de que una avería en el equipo requiera el desplazamiento de un técnico para su resolución. EUROVENDEX gestiona el aparcamiento donde puede estacionar el vehículo el conductor, en caso de que sea necesario, y es GOOGLE quien desplaza el técnico. No se ha producido ninguna incidencia que implique la pérdida o robo de los discos con los datos recogidos. f. El 20/07/2010 GOOGLE comunicó a EUROVENDEX su intención de resolver el contrato de prestación de servicios del proyecto Street View, que finalizará el 20/08/2010. E. En relación con los vehículos empleados en el proyecto “Google Street View”. 1. en el Informe de Actuaciones elaborado por la Inspección actuante se destaca lo siguiente: a. Los vehículos utilizados por el proyecto Google Street View disponen del siguiente equipo electrónico:  (...)  Un ordenador ubicado en el maletero.  Un switch o conmutador (dispositivo que permite conectar las cámaras al ordenador).  Un dispositivo GPS (siglas en inglés de Sistema de Posicionamiento Global) que permite determinar la posición del vehículo.  Un dispositivo de comunicación inalámbrico conectado a una antena externa que permite la recogida de las señales emitidas por las redes inalámbricas próximas al vehículo.  Un modem (dispositivo que permite la conexión a Internet). Se utiliza únicamente para descargar y actualizar las versiones del software utilizados por el ordenador del vehículo (el programa ***SOFTWARE.2). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/80  Un conjunto de discos duros extraíbles en los que se guarda la información captada. El ordenador tiene instalado un software utilizado para captar tres tipos de información: Imágenes, información de posicionamiento e información trasmitida por redes inalámbricas. b. Una vez arrancado el vehículo y el ordenador el conductor debe introducir su clave para iniciar el sistema que permite la recogida de los datos. El sistema informático del vehículo indica al conductor aquellas áreas por las que no ha transitado con el fin de aumentar la eficiencia de los recorridos. Cuando el disco duro en uso sobrepasaba el 95% de su capacidad debía ser sustituido por otro y tras acumular cuatro o cinco discos llenos, estos eran enviados a las instalaciones de MENLO WORLDWIDE LOGISTICS en Ghlin, Bélgica. Los representantes de EUROVENDEX manifiestan respecto al envío de los discos que una de las funciones de su entidad en el proyecto era la “Recepción y envío de discos duros (a la dirección indicada por Google a través de su empresa de mensajería)”, así como que “Al inicio del proyecto, los conductores depositaban el sobre en una de las agencias Adecco o EUROVENDEX, S.A. para facilitar la recogida del sobre por parte de FEDEX.” Y que “a partir del año 2009, FEDEX recoge el sobre directamente en el domicilio particular del conductor.”. Los representantes de GOOGLE LLC manifiestan que “…los discos se enviaban por mensajero desde las ciudades españolas por las que habían circulado los vehículos Street View hasta un almacén belga, desde el cual se remitían a un centro de datos de Google, normalmente con frecuencia semanal. Estos discos duros se descargaban en el centro de datos belga de Google, en el que los datos se cargaban en servidores de Google y acto seguido se borraban de los discos.” 2. Por los Servicios de Inspección se realizaron tres inspecciones in situ sobre vehículos del proyecto Street View, en fechas 28/05, 14 y 29/07/2010, a las que asistieron representantes de las entidades GOOGLE LLC y GOOGLE SPAIN. Dichas inspecciones tuvieron por objeto verificar el procedimiento seguido por un vehículo Street View de Google para la captación de información de las calles del territorio español. a. Durante la inspección realizada en fecha 28/05/2010, un ingeniero de GOOGLE LLC manifestó que el cable que unía la antena conectada al dispositivo de comunicación inalámbrico había sido seccionado de todos los coches, incluido ese, dos semanas antes como medida de precaución. Dicho ingeniero manifestó igualmente que el sistema informático almacenaba la información captada en tres ficheros: uno para las imágenes captadas por las cámaras, otro para datos del sistema GPS y un tercero, generado por el programa ***SOFTWARE.2, para los datos de redes inalámbricas. El sistema informático instalado en el ordenador del coche cierra los tres ficheros en uso al apagar el coche y crea tres ficheros nuevos ficheros cada vez que se arranca el coche. En las condiciones en las que se presentó el vehículo resultaba difícil captar señales de redes inalámbricas por lo que se realizó una segunda inspección in situ el 14 de julio de 2010. b. Durante la inspección de fecha 14/07/2010, realizada en una ubicación en la que no se captaba ninguna señal inalámbrica, se efectuaron varias pruebas de transmisión de datos entre dos ordenadores conectados en una red “Ad Hoc” (de conexión directa uno a uno). En las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/80 pruebas se transmitieron entre las dos máquina ficheros de distintos tamaños en tres tipos de red: una red abierta, en una red cifrada con el estándar WEP de 64 bits y en una red cifrada con el estándar WEP de 128 bits. Se solicitó a los responsables de Google que ejecutasen el programa ***SOFTWARE.3 sobre el fichero obtenido a fin de obtener la información recogida en un formato legible y poder analizar los resultados. Los representantes de GOOGLE LLC dispusieron que dicho proceso se realizara desde Zurich, mediante una conexión remota. El proceso se demoró (debido a problemas técnicos aducidos por los representantes de GOOGLE LLC) unas tres horas y media. En inspecciones anteriores, la ejecución del programa ***SOFTWARE.3 sobre un único fichero duraba unos segundos. Al analizar los ficheros entregados (original y traducción) no se halló ninguna trama de tipo DATA, a pesar de que se hallaron 74.898 tramas remitidas por los ordenadores destinatarios de las transmisiones indicando a los remitentes que las tramas de datos habían sido recibidas correctamente. El comportamiento del sistema durante las comprobaciones realizadas el 14 de julio de 2010 difería de la declarada por los propios representantes de GOOGLE LLC y del escrito en el informe de auditoría reseñado. La causa más probable era una manipulación de la configuración del vehículo de forma que no recogiese información de las tramas de tipo DATA. Dicha opción se describe en los puntos 22, 56 y 58 del informe de auditoría de STROZ FRIEDBERG. Se solicitó una explicación a GOOGLE LLC y la repetición de las comprobaciones en un vehículo con la misma configuración utilizada durante el desarrollo del proyecto Google Street View. El 23 de julio de 2010 se remitió un escrito en el que se describían a GOOGLE LLC las diferencias halladas entre los resultados obtenidos y los esperables en base a lo manifestado en sus escritos y el informe de auditoría. Debido a dichas diferencias se requirió a la entidad una explicación sobre las mismas y la repetición de la inspección a realizar sobre una configuración igual a la utilizada durante el desarrollo del proyecto Street View. c. Durante la inspección realizada en fecha 29/07/2010, en la misma ubicación que en la ocasión anterior, se realizaron las mismas pruebas de transmisión de datos entre los mismos ordenadores en el mismo lugar y en condiciones (distancia entre los vehículos y ausencia de obstáculos) similares. Dado que ni el técnico ni los representantes de Google pudieron aportar explicación alguna sobre los resultados anteriores tuvo que ser uno de los inspectores quien señalará como posible fuente de la diferencia el fichero de configuración del software ***SOFTWARE.2. Los inspectores actuantes verificaron los ficheros utilizados para configurar el funcionamiento del sistema ***SOFTWARE.2 contenían una opción “—discard_data_frame”. Dicha opción hace que el sistema descarte las tramas de tipo DATA. En base a las fechas de actualización de los citados ficheros indicaban que el funcionamiento del sistema había sido cambiado el 07/05/2010. El cambio consistía, tal y como se ha comentado en el párrafo anterior, en que la nueva configuración descartaba todas las tramas de tipo DATA. El técnico de Google, enviado desde Suiza para asistir a la inspección, manifestó desconocer el cambio en la configuración y así como la identidad de la persona que pudiese dar razón del historial de cambios en la configuración y de los motivos de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/80 Todo ello teniendo en cuenta que los directores del proyecto para España y Europa están ubicados en la misma filial de Google en Suiza de la que provenía el técnico. Se comenzó con la repetición de las pruebas con dicha configuración pero se observó que los resultados obtenidos eran similares a los de las pruebas realizadas el 14 de julio. El técnico de GOOGLE LLC realizó una consulta telefónica y procedió la actualización del sistema informático a una versión anterior que según el mensaje del propio sistema informático, pasó de la versión 1.9 del programa a la 1.7. El técnico y los representantes de GOOGLE LLC manifestaron que, en base a la configuración del sistema observada, la actualización software del 07/05/2010 pudiera haber sido adoptada en el contexto de las actuaciones destinadas a impedir la continuidad del desarrollo del proyecto Google Street View en los términos en los que se estaba realizando (retirada de los coches, corte de los cables de las antenas, etc.), pudiendo ser esta la causa de los resultados obtenidos hasta ese momento. Manifestaron igualmente que hasta ese momento no habían advertido la problemática de la configuración del equipo que dio lugar a los resultados obtenidos en la anterior inspección Una vez finalizadas las comprobaciones, a requerimiento de los inspectores actuantes, los representantes de GOOGLE LLC realizaron una copia de los ficheros que han recogido las tramas capturadas en un disco extraíble que a tal fin les proporcionan dichos inspectores. Los representantes de GOOGLE LLC manifestaron que dicha información no podría haber sido extraída en ningún caso sin la clave correspondiente al Administrador del sistema, por lo que en caso de sustracción del vehículo o los discos, los datos contenidos no podrían ser accesibles. El disco con los datos captados por el sistema instalado en el vehículo fue entregado a los inspectores actuantes, a requerimiento de éstos, quienes lo custodian hasta la llegada a la sede de GOOGLE SPAIN, donde se procedió al procesado de los datos del disco para que éstos fueran entregados en un formato legible. El proceso fue realizado ante los inspectores actuantes. La ejecución del programa ***SOFTWARE.3 dura menos de un minuto y el proceso completo menos de una hora. El técnico de GOOGLE LLC manifestó que sin el uso de una herramienta denominada “***HERRAMIENTA.1”, que requiere una clave, la información del disco no es accesible. Para el análisis de los resultados de la prueba sólo se ha tenido en cuenta el fichero traducción del generado con la última prueba de la inspección, denominado “***FICHERO.1”, dado que se realizó con la configuración que los representantes de GOOGLE LLC manifestaron era la que los vehículos llevaron durante su funcionamiento habitual. En un periodo de 16 minutos, entre las 12:47 y las 13:03 horas, fueron transmitidos por la red inalámbrica distintos ficheros. La siguiente tabla muestra el análisis cuantitativo del contenido del fichero: Número de Tipo de trama tramas % MANAGEMENT 2.706 3,4% CONTROL 71.698 89,2% DATA 4.543 5,7% Mal formada 1.390 1,7% TOTAL 80.337 100% C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/80 Se constató que las tramas tipo DATA fueron recogidas únicamente durante las transmisiones realizadas en la red abierta. Por dicha red se transmitieron un total de 628,22 MB de los que las tramas de datos contenían, aproximadamente, 2,05 MB. En cuanto a la legibilidad de los datos puede mostrarse, a modo de ejemplo, el contenido de una de las tramas de datos capturadas, que es el que sigue: (…………)Si cortes?as engendran cortes?as, la vuestra, se?or caballero, es hija o parienta muy cercana de las del gran Roque. Llevadme do quisi?redes, que yo no tendr? otra voluntad que la vuestra, y m?s si la quer?is ocupar en vuestro servicio.\r\n Con palabras no menos comedidas que ?stas le respondi\273 el caballero, y, encerr?ndole todos en medio, al son de las chirim?as y de los atabales, se encaminaron con ?l a la ciudad, al entrar de la cual, el malo, que todo lo malo ordena, y los muchachos, que son m?s malos que el malo, dos dellos traviesos y atrevidos se entraron por toda la gente, y, alzando el uno de la cola del rucio y el otro la de Rocinante, les pusieron y encajaron sendos manojos de aliagas. Sintieron los pobres animales las nuevas espuelas, y, apretando las colas, aumentaron su disgusto, de manera que, dando mil corcovos, dieron con sus due?os en tierra. Don Quijote, corrido y afrentado, acudi\273 a quitar el plumaje de la cola de su matalote, y Sancho, el de su rucio. Quisieran los que guiaban a don Quijote castigar el atrevimiento de los muchachos, y no fue posible, porque se encerraron entre m?s de otros mil que " Durante esta inspección realizada el 29/07/2010, se verificó que el vehículo sobre el que se realizaron las pruebas estaba matriculado a nombre de GOOGLE SPAIN. F. Acceso a la información relativa a las redes WiFi recabada en España en el marco del proyecto “Google Street View”. 1. Con fecha 10/06/2010, se llevó a cabo una inspección en el establecimiento de la entidad GOOGLE SPAIN, en presencia de representantes de dicha entidad y de GOOGLE LLC, para acceder a los datos de payload, segregados del resto de los recabados en España. Para ello, GOOGLE LLC ha dispuesto una conexión remota cifrada al servidor de Google que se realizó desde las oficinas de GOOGLE SPAIN y un técnico de sistemas empleado de GOOGLE LLC En relación con esta Inspección de 10/06/2010, la Inspección actuante, en su informe de actuaciones, señaló que durante la misma se pusieron de manifiesto los siguientes hechos: 1.1. Los representantes de Google manifiestan que los datos se hallaban cifrados en el disco al que se va a acceder y que han sido descifrados para proporcionar el acceso a los inspectores actuantes. Informan asimismo de que el técnico de GOOGLE LLC que les asiste es una de las dos únicas personas de la entidad con acceso a los mismos. 1.2. La información recabada se encuentra distribuida en 1.444 carpetas que contienen 13.102 ficheros con 32.431.631 registros, que ocupan un espacio aproximado de 13 GB. GB son las siglas de Gigabyte, una unidad de medida de información igual a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/80 8.589.934.592 bits, siendo un bit la unidad mínima de información que puede tomar dos valores, 0 o 1. Uno de los ficheros utilizados en las pruebas descritas en el punto 13.3 contenía en formato de texto plano (sin información alguna sobre formato) una copia de “El ingenioso hidalgo don Quijote de la Mancha” cuyo tamaño era de 2,02 MB. El conjunto de información disponible para su inspección en esta inspección era por tanto de, aproximadamente, 6590 copia íntegras del citado libro. Los nombres de los ficheros están formados por el texto “(...)”. Cada fichero estaba formado por un conjunto de registros (uno por trama) en los que cada uno contenía, en formato binario, la información relevante de acuerdo con las estructuras de datos definidas por GOOGLE LLC y descritas en el apéndice C del informe de auditoría de STROZ FRIEDBERG. La información de los registros accedidos, según manifestaron los representantes de Google, era el resultado de segregar las partes que denominan: “Cuerpo de la trama 802.11”, “Información proporcionada por el GPS” y “Medidas de tiempo de envío y recepción de la trama”. Es por ello que durante la inspección no se pudo obtener el SSID de las redes en las que fueron recabadas las tramas inspeccionadas. La estructura de datos contenía, tal y como indicaba el informe de auditoría de STROZ FRIEDBERG, una campo denominado “Raw” con los datos de la carga útil en formato binario que al ser mostrados por pantalla se mostraban como una serie de caracteres ininteligibles. Asimismo, los Servicios de Inspección destacaron las dificultades apreciadas en las capacidades de búsqueda de información por los factores que se describen a continuación:  Cantidad de información: El espacio de búsqueda de 13 GB hace que los tiempos de respuesta, especialmente en el caso de criterios complejos, sean largos.  Formato de la información: La información contenida en los ficheros se hallaba en un formato propietario de Google que no es legible y hay que traducirlos mediante un programa denominado “***SOFTWARE.3”.  Prohibición de ficheros temporales: Las medidas de seguridad implantadas por Google impedían la creación de ficheros temporales por lo que no se podía realizar la conversión de todos los ficheros en otros temporales sobre los que realizar las búsquedas.  Herramientas de búsqueda: El sistema no disponía de ningún programa específico de búsqueda. Las únicas herramientas disponibles eran los comandos del sistema operativo Unix en el que residían los ficheros. Dadas las dificultades descritas en el punto anterior cada una de las búsquedas implicaba la ejecución secuencial de una serie de programas sobre el o los ficheros de datos. Debido a ello algunas de las búsquedas fueron interrumpidas ya que se desconocía por anticipado el número de minutos u horas que se necesitarían para completar C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/80 dichas búsquedas. En el caso de las búsquedas que arrojaban resultados se accedió sólo a los primeros resultados ofrecidos dado que con los medios disponibles no era posible estimar el número de resultados previstos, el tiempo que tardaría en finalizar la búsqueda completa o el análisis de la totalidad de la información hallada. Se realizaron diversas búsqueda utilizando como criterios los principales servicios de correo electrónico gratuito como “hotmail”, “yahoo” o “google” además de otras textos como “paciente” o “corriente” En la inspección se emplearon, aproximadamente, 8 horas y media en las diferentes búsquedas de las que se obtuvieron 15 documentos impresos con datos. Durante el curso de la citada Inspección de fecha 10/06/2010, se requirió a los representantes de GOOGLE LLC para que en el plazo de diez días hábiles aporten la siguiente información: . Formato y significado de las cabeceras alfanuméricas con la que se inician todos los campos denominados “Raw” y que precede a cualquier texto legible. . Información sobre la ruta seguida por los discos con los datos de los vehículos “StreetView” indicando en cada caso las ciudades y estados en los que se almacenaron o trataron los datos hasta su destino actual en California, Estados Unidos. En respuesta a este requerimiento, se recibió escrito de GOOGLE LLC en el que manifestó que, dado que no ha accedido ni analizado los datos contenidos en los campos denominados "Raw" de frames de Datos, no tienen certeza sobre a qué formato o epígrafes se refiere la pregunta realizada. En cuanto a la ruta seguida por los discos hasta su destino en California, GOOGLE LLC informó que los datos de las redes WiFi se almacenaban en discos duros localizados en vehículos Street View que circulaban por España. Posteriormente, los discos duros se enviaban por mensajero desde las ciudades españolas por las que habían circulado los vehículos Street View hasta un almacén belga, desde el cual se remitían a un centro de datos de Google en Bélgica donde se cargaban en servidores seguros de Google, normalmente con frecuencia semanal' Estos discos duros se descargaban en el centro de datos belga de Google, en el que los datos se cargaban en servidores de Google y acto seguido se borraban de los discos. Añade que, como quiera que Google dejó de descargar discos recibidos de los vehículos de Street View poco después del 7 de mayo de 2010, algunos datos de las redes WiFi (incluidos datos payload) siguen en discos, parte de los cuales no están identificados ni asociados a ningún país. En cuanto a los datos recogidos en Europa, actualmente estos datos se encuentran almacenados en nuestro centro de datos seguro de Bélgica o en una caja de seguridad en el almacén desde el que se efectúan los envíos a nuestro centro de datos belga. Además es posible que haya un número reducido de discos que aún no se han enviado al almacén para su traslado a nuestro centro de datos belga. Del análisis posterior de los datos recabados en la inspección del 10/06/2010, la inspección actuante destaca los siguientes aspectos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/80 . Los documentos contienen un total de 41 tramas. . Los datos hallados en el payload de las tramas pueden clasificarse de la siguiente forma: . Direcciones de correo del servicio Gmail, prestado por GOOGLE LLC. Se hallaron 11 distintas. Como ejemplos pueden destacarse ***EMAIL.1, ***EMAIL.2, ***EMAIL.3, ***EMAIL.4. Para darse de alta en el citado servicio de correo electrónico es necesario proporcionar un nombre, un apellido y el país en el que se encuentra el usuario. . Direcciones de correo de otros proveedores Se hallaron más de dos docenas de dichas direcciones de correo. Como ejemplos pueden destacarse: ***EMAIL.5, ***EMAIL.6, ***EMAIL.7, ***EMAIL.8 o ***EMAIL.9. . Rastros del acceso por parte de la usuaria de la red social Facebook ***EMAIL.10 a las fotografías de otra usuaria de la red social cuya información se encuentra en la carpeta denominada “ A.A.1.”. Mediante el acceso a la citada red social por parte del inspector actuante con una cuenta de usuario propia se ha podido identificar a ambas usuarias y obtener la información básica de su perfil que incluye, en el caso de la titular de la cuenta ***EMAIL.10 , nombre y apellidos, fotografía, sexo, localidad, empresa en la que trabaja e instituto en el que cursó estudios y en el caso de la usuaria A.A.1., nombre y primer apellido, localidad de residencia y acceso al “muro” virtual (página en la que la usuaria y sus amigos dejan mensajes que comparten entre ellos). . Mensajes remitidos entre los clientes y los servidores del servicio de mensajería instantánea Microsoft Messenger. En dos de los casos se han hallado los contenidos del mensaje remitido. Tal es el caso del mensaje “ayer cuando me llamaste me pillaste en clase, te mandé un sms pero no contestaste” remitido por el titular de la cuenta ***EMAIL.11 al titular de la cuenta ***EMAIL.12 o el del mensaje “Kieres polla?” remitido por ***EMAIL.13 a un usuario desconocido. También se localizó parte de un fichero remitido por un usuario desconocido a la usuaria ***EMAIL.14. El contenido, al ser fragmentado, no ha podido ser identificado. En varios de los casos se ha podido acceder al lema (texto introducido por el usuario a modo de presentación y que suele utilizarse para manifestar sus opiniones, estado de ánimo o sentido del humor) de los usuarios del sistema. Tal es el caso de los textos “Quod me nutrit, me destruit. Tu meis manibus necabo”, “M gUsTaRiA sEr VaKeRo Pa PoDeR tOkAr Tu EnOrM tRaSeRo…”, “Cada dia que paso a tu lado te quiero mas TE QUIERO” o “Y K mas puedo pedir si encontrado mii manera de vivir poco a poco me siento parte de tii..dime K esta moxe seras mio otra vez”. . Entre las tramas recabadas constan 5 que forman el acceso a la página web www.dmedicina.com en la que se proporciona información sobre el cáncer de páncreas. Si bien es cierto que en las tramas no consta ningún dato que pueda identificar a la persona que consultó dichas páginas, la identificación podría ser posible mediante el cruce de los datos de posicionamiento GPS junto con el SSID de la red (dato segregado y por tanto ausente en el fichero accedido) podría contener información suficiente para su identificación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/80 . Información referente a la descarga, por parte de un usuario no identificado de Terra Networks, de dos mensajes de correo remitidos al grupo de Yahoo ***EMAIL.15 El primero remitido por un usuario desconocido dice lo siguiente: “…después de trece años sola. Porque ya sé que no estoy loca. Este foro lo encontré hace poco, en la propia página web del ***URL.4, que volví a entrar para buscar más cosas, y de repente es como si tuviera una nueva familia, que me entiende y a quien yo también puedo aportar cosas en base a mi experiencia. Este foro es muy especial, y máxime si tenemos en cuenta que contamos con el apoyo de los doctores, que eso sí es único. Un beso para todas. Y si alguien quiere juzgar a alguien es él el que tiene un problema.” El segundo remitido el 7 de agosto de 2009 por el titular de la cuenta de correo era ***EMAIL.16. con el texto “Hola A.A.2 y a todos!! No me han hecho pam-pam al culete pero he considerado cortar el tema. Hay muchos temas más importantes o interesantes de que hablar. El problema que este foro esta muy apagado y nadie nos sigue la corriente. Aquí nosotras “provocando” para que la gente se anime a decir su opinión y criticarnos pero veo que no. Supongo que hay gente con grandes bajones, el tiempo no acompaña, otros que no se atreven a decir nada, quiero recordar q”. Un grupo de yahoo es un conjunto de usuarios de Yahoo que se suscriben a un grupo que suele ser identificado por alguna temática en particular y en el que los correos remitidos son retransmitidos a todos los integrantes del grupo. 2. Con fecha 24/06/2010, se llevó a cabo una inspección en el establecimiento de la entidad GOOGLE SPAIN, en presencia de representantes de dicha entidad y de GOOGLE LLC, para acceder a los datos recabados en España que no constituían payload, mediante una conexión remota cifrada al servidor de Google que se realizó desde las oficinas de GOOGLE SPAIN. Según consta en el Acta formalizada, los representantes de GOOGLE LLC advirtieron que el contenido de los ficheros a los que se va a acceder, de los que es titular GOOGLE LLC, está en un formato propietario de Google que requiere del uso de un programa específico, denominado ***SOFTWARE.3, para su visionado en formato legible, y que el uso que se va a hacer del mismo es exclusivamente para llevar a cabo la inspección en los términos requeridos. Durante dicha inspección se ponen de manifiesto los siguientes hechos: . La información recabada se encuentra distribuida en 1.444 carpetas que contienen 13.102 ficheros con 32.431.631 registros, que ocupan un espacio aproximado de 161 GB. . Las dificultades descritas en el punto 15.3 seguían vigentes, aumentadas en este caso el mayor tamaño del conjunto de datos, 161 GB frente a los 13 del conjunto anterior. por . La información de los registros accedidos, según manifestaron los representantes de Google, era el resultado de la segregación la información consultado en la inspección anterior y descrita en el punto 14.2. En este caso, cada registro correspondiente a una trama de Control o de Gestión estaba compuesto por todas las partes descritas en el ejemplo del punto 12.5. Las tramas de Datos, en cambio, contenían toda la información excepto el campo denominado “Raw” de la sección “Cuerpo de la trama 802.11”, que era el utilizado para guardar la carga útil de las redes no cifradas. . En base a las fechas de recogida reflejadas en los nombres de los ficheros se constató que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/80 el fichero más antiguo del conjunto de ficheros accesibles tiene como fecha de creación 02/09/2008, y el fichero más nuevo del conjunto de ficheros accesibles tiene como fecha de creación 27/01/2010. . Se realizaron búsquedas de los diferentes SSID (nombres de red) sobre tres ficheros cuyos tamaños (100 KB, 2,7 MB y 64 MB) conjuntos representan un 0,04% del conjunto total de datos recabados. Se realizó una búsqueda sobre los SSID diferentes porque eran numerosos los casos en los que se habían recogido más de una trama de la misma red. En dicha búsquedas se hallaron cuatro casos de redes identificadas con el nombre y apellidos o apellidos de sus usuarios. Se constató que el SSID de una red ubicada en Madrid (la ubicación de las redes es fácilmente distinguible buscando la de las empresas identificadas en el mismo fichero mediante el SSID de su red) es “Red de A.A.9” Se constató que el SSID de otra red ubicada en Álava es “ A.A.4”. Una búsqueda en el directorio telefónica páginas blancas utilizando ese nombre y apellido en la provincia indicada arroja un único resultado correspondiente a Dña. A.A.4.. Se constató que el SSID de otra red ubicada en Álava es “ A.A.3.”. Una búsqueda en el directorio telefónica páginas blancas utilizando ese nombre y apellido en la provincia indicada arroja un único resultado correspondiente a D. A.A.3 Se constató que el SSID de otra red ubicada en Álava es “ A.A.5.”. Una búsqueda en el buscador Google con esos datos (indicando que “ A.A.5.” debe constar exactamente) muestra un enlace a un documento del Ministerio de Industria en el que se publican los resultados del examen para obtener el (...). . Alguno de los SSID consultados durante la inspección mostraban un apellido, un una inicial y un apellido o u nombre y una inicial del apellido. Cruzando los datos presentes en esos SSID junto con la ubicación GPS presente en los ficheros y en función de la densidad de población no puede descartarse la posibilidad de identificar a los titulares de la red. 3. Mediante escrito remitido el 23 de junio de 2010 se requirió a GOOGLE LLC copia de todos los datos recabados de redes inalámbricas en el territorio español. Tras la remisión de unas consideraciones por parte de los representantes de GOOGLE LLC y la correspondiente respuesta reiterativa a sus representados, los datos de payload fueron entregados 3 de agosto de 2010 y el resto de los datos fueron entregados el 5 de agosto de 2010. Del análisis de las tramas de payload recogidas, los Servicios de Inspección obtuvieron los siguientes datos: a. Número total de tramas recogidas: 32.431.664. Para el análisis del contenido de las tramas se convirtieron las tramas entregadas por Google al formato “pcap”, proceso en el cual se descartaron el 0,5% de las tramas al no reconocerse como correctamente formadas. El tamaño medio de las 32.265.525 tramas analizadas es de 284,77 bytes. b. Dentro del fichero ***FICHERO.2 se han localizado un total de 12.159 tramas de datos pertenecientes a un único origen, el identificado con la dirección IP ***IP.1. Los puntos donde fueron captadas la primera y la última de las 12.159 tramas se encuentran separados por un trayecto de 2,7 Km. que puede ser recorrido en 3 minutos (información C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 24/80 obtenida utilizando las posiciones tomadas del fichero en el servicio Google Maps). c. Dentro de las tramas de datos recabadas se han hallado comunicaciones en muy diversos protocolos de comunicaciones entre los que se pueden citar a modo de ejemplo: SMTP (protocolo de gestión de correo electrónico), http (protocolo de acceso a páginas web), IRC (protocolo de gestión de chat) y otros. d. Correos electrónicos hallados en las tramas Servicio de correo Hotmail Yahoo Gmail Terra Telefónica Wanadoo Ono Orange Euskaltel Vodafone Otros TOTAL Cuentas de correo diferentes 5.146 677 481 65 17 11 51 7 1 2 3.887 10.345 Identificables 169 10 481 5 5 1 2 1 0 0 344 1.018 Las cifras mostradas han sido calculadas tras la eliminación del listado de aquellas direcciones de correo que se correspondían claramente con cuentas utilizadas por sistemas automatizados de envío de mensajes con formatos como: (...). Como ejemplos de las direcciones consideradas como asociadas a una persona identificable pueden tomarse las siguientes: ***EMAIL.17, ***EMAIL.18, ***EMAIL.19, ***EMAIL.20, ***EMAIL.21. Se adjunta como Anexo 1, en formato electrónico, el listado de las cuentas de correo halladas. e. Contenido de conversaciones de usuarios de servicios de mensajería instantánea . Microsoft MSN Messenger El servicio de mensajería instantánea Microsoft MSN Messenger se basa en el envío de mensajes entre los clientes del servicio utilizando como puente de comunicación los servidores de mensajería dispuestos al efecto por Microsoft. Las tramas recabadas se corresponden con mensajes reenviados por un servidor al cliente destinatario y con mensajes enviados por el cliente remitente al servidor que después los reenviará a sus destinatarios. Se han hallado 755 mensajes entrantes y 540 mensajes salientes. El protocolo utilizado en este sistema utiliza el comando MSG tanto para notificar el envío como la recepción de mensajes. Mensajes entrantes: El comando MSG identifica el remitente de un mensaje entrante mediante su correo electrónico y su alias (nick) pero no lo hace en los mensajes salientes. La identidad del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 25/80 remitente aparece en otros comandos que se ejecutan antes de remitir el contenido del mensajes entrante por lo que para identificar a estos se deben localizar, caso de haber sido recabadas, las tramas anteriores al mensaje remitido. Ejemplo de mensaje entrante recabado el 1 de diciembre de 2009 en el fichero ***FICHERO.3: MSG 60 A 169 MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 User-Agent: pidgin/2.3.0 X-MMS-IM-Format: FN=MS Sans Serif; EF=; CO=008000; PF=0; RL=0 "luego hablamos" Mensajes salientes: El comando MSG no identifica ni el remitente ni el destinatario de los mensajes salientes. La identidad de ambos aparece en otros comandos que se ejecutan antes de remitir el contenido del mensajes saliente por lo que para identificar a estos se deben localizar, caso de haber sido recabadas, las tramas anteriores al mensaje remitido. Ejemplo de mensaje entrante recabado el 9 de abril de 2009 en el fichero ***FICHERO.4: MSG ***EMAIL.22 MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 X-MMS-IM-Format: FN=Segoe%20UI; EF=; CO=0; CS=1; PF=0 "y hay que comer""" . Otros sistemas de mensajería instantánea Los sistemas que utilizan el protocolo IRC (Internet Relay Chat) únicamente exigen un alias (nick), no una dirección de correo o un nombre y/o apellidos. El protocolo IRC dispone del comando PRIVMSG para enviar mensajes. Se han hallado 889 mensajes remitidos mediante el comando PRIVMSG del protocolo IRC. f. En el fichero ***FICHERO.5, que contiene información recogida el 28 de enero de 2010, una de las tramas muestra el código de usuario y la clave de acceso de un usuario del sitio web ***URL.5 El sitio web está dedicado a las traducciones y los usuarios pueden registrarse para participar en el foro ubicado en dicho sitio. El código de usuario es “ B.B.B.” y la clave “ C.C.C.” y permite acceder al perfil de D. D.D.D., con detalle de sus datos personales relativos a nombre, apellido y dirección de correo, que puede completarse con otra información como la dirección, el número de idiomas conocidos y el nivel de conocimiento de cada uno de ellos. En el perfil de D. D.D.D. no se ha proporcionado esa información. g. En el fichero ***FICHERO.6, que contiene información recogida el 4 de febrero de 2010, una de las tramas muestra el código de usuario y la clave de acceso de un usuario del sitio web ***URL.6 El sitio web es utilizado por la cadena de distribución de alimentación Carrefour para la gestión de su oferta de empleo en España. Los usuarios pueden registrarse para proporcionar a las empresas del grupo su currículum vitae y recibir ofertas de empleo. El código de usuario es “ E.E.E.” y la clave “ F.F.F.” y permiten acceder al perfil de Dña. G.G.G., con detalle de sus datos identificativos y de contacto, información sobre su C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 26/80 experiencia profesional y formación un currículum vitae completo con una fotografía. h. En el fichero ***FICHERO.7, que contiene información recogida el 11 de marzo de 2010, una de las tramas muestra el código de usuario y la clave de acceso de un usuario del sitio web ***URL.7 El sitio web está dedicado a los contactos sexuales pensada para gays fetichistas (así se indica en la página principal de la web). Los usuarios pueden registrarse para proporcionar sobre sus características físicas y preferencias sexuales con el fin de contactar con otros usuarios. El código de usuario es “ H.H.H.” y la clave “ I.I.I.” y permiten acceder al perfil de una pareja de gays. El perfil de usuario contiene, además de una descripción física, su ciudad de residencia y sus preferencias sexuales, un conjunto de fotografías de la pareja, algunas de la cuales muestran a los usuarios manteniendo sexo. i. En el fichero ***FICHERO.8, que contiene información recogida el 27 de abril de 2009, una de las tramas muestra el código de usuario y la clave de acceso de un usuario del sitio web ***URL.8 El sitio web es una red social. Los usuarios pueden registrarse para crear un perfil e interaccionar con otras personas pertenecientes a la red. El código de usuario es “ J.J.J.” y la clave K.K.K.” y permiten acceder al perfil de un usuario llamado L.L.L.. El perfil de usuario contiene, además de los datos de su nombre, descripción física y localidad de residencia, un conjunto de información que incluye su situación laboral, orientación sexual y sus deseos. El perfil incluye tres fotografías del usuario. El acceso al perfil de la red social permite consultar los contactos del usuario así como los mensajes remitidos y recibidos por éste. j. Se han hallado dos tramas que contienen usuario y clave de acceso de aplicaciones informáticas ubicadas en redes internas de entidades (Intranets). Ello se distingue debido a que tanto la dirección IP de origen como la de destino son direcciones IP privadas. En una de las tramas el usuario es “ M.M.M.” Y la clave “ N.N.N.” por lo que es probable que sean el par usuario-clave necesario para la MM1istración de un terminal de telefonía móvil. En otra de las tramas el usuario es “ Ñ.Ñ.Ñ.” y la clave “ L.L.L.”. La trama parece pertenecer al acceso por parte del usuario citado a un formulario de conexión a una aplicación de un ayuntamiento ya que uno de los parámetros identifica el enlace entre las redes origen y destino ( O.O.O.) a conectar como “ P.P.P.”. La posición GPS indica que la trama fue captada en el municipio de ***MUNICIPIO.1, provincia de Cáceres, de unos (….) habitantes. k. Se han hallado 30 cuentas de correo electrónico junto con su clave de acceso lo que ha posibilitado que el acceso al contenido de 14 de esas cuentas (buzón de correo, libreta de direcciones y datos que consten en la configuración sobre el titular de la cuenta). l. Se han hallado 173 tramas de transmisiones realizadas con el protocolo SIP utilizado para la gestión de telefonía sobre protocolo IP (Voice over IP) de las que 41 tramas pertenecen a una única conversación. Mediante las herramientas disponibles no ha sido posible reconstruir el contenido de la conversación. m. Mediante el uso de la programa de auditoría forense denominado “***SOFTWARE.4”, que permite la recuperación de ficheros en base a sus cabeceras y estructuras de datos, se han recuperado un conjunto de ficheros cuyo tipo y número se describen en la siguiente tabla. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 27/80 Tipo de archivo Imágenes Video Audio Programas Archivos comprimidos Páginas web Extensión jpg gif bmp wmv avi mpg mp4 wav exe dll zip rar jar htm Núm. archivos Tamaño min. (KB) Tamaño máx. (KB) 7117 1.903 1 12704 310 1 26 1 1.550 3 1.556 110 1 18 18 5 159 3 3 77 6 5 123 2 10 1.138 1 18 2.881 7 94 93.257 1 37 579 1 2 52.791 22.659 5260 1.022 1 La información que constituye los ficheros no ha sido recuperada de forma completa en la mayor parte de los archivos. En algunos de los archivos comprimidos es posible ver el listado de ficheros incluidos e incluso descomprimir parte de los ficheros. En uno de los ficheros recuperados a partir del fichero comprimido se ha obtenido un fichero en formato KML que muestra un itinerario turístico. En el caso de las imágenes la información es igualmente fragmentaria en la mayor parte de los casos. En cualquier caso, el tamaño de algunos de los ficheros recuperados desmiente las manifestaciones de GOOGLE LLC en las que indica que únicamente unas pocas tramas de cada red son captadas ya que para reconstituir un fichero de 93.257 KB se necesitan un mínimo de 41.305 tramas (la carga útil máxima para una trama es de 2.312 Bytes = 2,26 KB). n. Del análisis de los datos segregados que no son carga útil, que incluyen las tramas tipo CONTROL y MANAGEMENT completas y las cabeceras de las tramas tipo DATA, se ha podido comprobar que: . El número de total de tramas recogidas es de 590.559.022. . Dentro del campo denominado “CurrentBSSID” que identifica el punto de acceso al que se encontraban conectados los dispositivos aparecen 97.726 direcciones MAC distintas. El análisis de las direcciones MAC de los puntos de acceso se ha limitado a la información disponible en el campo denominado “CurrentBSSID” pero las direcciones MAC de los puntos de acceso también pueden obtenerse de la información obtenida en las cabeceras de las tramas donde constan las direcciones MAC de origen y destino de cada trama. Dado que todas las tramas captadas lo han sido en el ámbito de la comunicación entre un dispositivo con capacidad de conexión a un punto de acceso inalámbrico y el punto de acceso, todas las tramas contienen la dirección, bien en el campo de dirección MAC origen, bien en el campo de dirección de MAC destino, de los puntos de acceso inalámbricos implicados en la transmisión de la trama. Es por ello que puede afirmarse que el número total de redes inalámbricas identificadas en el territorio español es mucho mayor que las 97.726 que constan en los campos “CurrentBSSID”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 28/80 . Dentro del campo denominado “SSID” que contiene el nombre de la red se han encontrado 1.163.849 valores distintos. Entre dichos valores se han hallado valores como "Red de Q.Q.Q..", "Red de R.R.R.", "Red de S.S.S.", "Red de T.T.T.". Tal y como se constató en los casos descritos en el punto 16.4 del informe dichos nombres de red, unidos a su localización, convierten a los titulares en identificables. Entre los valores de los SSID se han hallado varios miles de casos en los que éste era un número de teléfono. Entre los valores de los SSID se han hallado varios miles de casos en los que éste tenía la longitud y formato de una dirección MAC, por lo que probablemente sea la dirección MAC del router. G. Finalidad y My Location La finalidad manifestada por los representantes de Google para la recogida de los datos de las redes inalámbricas es la mejora de sus servicios de geolocalización prestados por GOOGLE LLC entre los que se encuentran Google Maps y su versión para teléfonos móviles. Los usuarios de Google Maps para teléfonos móviles disponen de una herramienta llamada “My location” para identificar su ubicación aproximada mediante señales de GPS (cuando están disponibles) y señales de las torres de telefonía móvil y de redes inalámbricas detectables por el terminal. El servicio “My location” utiliza las direcciones MAC de las redes inalámbricas detectables por el dispositivo que solicita el servicio de geolocalización y, en base a dichos datos, el sistema de Google remite la ubicación aproximada al cliente. A requerimiento de la Agencia Española de Protección de Datos GOOGLE LLC manifestó que no disponía de valores de referencia para ubicaciones urbanas o de alta densidad y rurales o de baja densidad. Según sus manifestaciones las pruebas realizadas con tres ubicaciones arrojaron los siguientes resultados: . Centro de Madrid: 90 metros aproximadamente. . Localidad de Calipo: 110 metros aproximadamente . Ubicación rural cerca de La Nava: 447 metros aproximadamente. GOOGLE LLC publicó en Internet la especificación de la interfaz para poder acceder a sus servicios de geolocalización. Dicha interfaz puede consultarse en la URL ***URL.9. Mediante la interfaz de acceso a dichos servicios de geolocalización es posible consultar la ubicación de un router o punto de acceso al proporcionar al servicio la dirección MAC del mismo. En la URL http://samy.pl/mapxss se encuentra una página web en la que su desarrollador demuestra cómo puede accederse a los datos recabados por GOOGLE LLC para localizar, mediante su dirección MAC, la ubicación de un router o punto de acceso. Se han realizado pruebas utilizando dicha página sobre un subconjunto de 100 direcciones MAC escogidas al azar del conjunto total de las direcciones MAC recogidas por GOOGLE LLC Las estimaciones de ubicación obtenidas proporcionan los siguientes datos: latitud, longitud país, código del país, comunidad, provincia, localidad, calle, número, código C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 29/80 postal y precisión. La precisión proporcionada a través de dicha interfaz indica el radio de error de la aproximación a partir del punto de latitud y longitud estimado. De las 100 direcciones probadas 52 de ellas fueron localizadas con una precisión media de 26,77 metros. Si bien en la mayor parte de los resultados obtenidos los puntos de acceso se localizaban en puntos urbanos con una alta densidad de viviendas (bloques de pisos de varias alturas) en algunos casos el punto de acceso se encuentra en zonas urbanas de baja densidad poblacional y la precisión del resultado limita las posibilidades a unas pocas viviendas de una planta. Los Servicios de Inspección muestran dos ejemplos que corresponden a esta última situación. Dirección MAC: (...) latitude: XXX longitude: ZZZ country: SPAIN country_code: ES region: CATALONIA county: BARCELONA city: ***LOCALIDAD.1 street: (…) street_number: XX postal_code: (…) accuracy: 24.0 Dirección MAC: (…) latitude: (…) longitude: (…) country: SPAIN country_code: ES region: Valencia county: Alicante city: ***LOCALIDAD.2 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 30/80 street: (…) street_number: XX postal_code: (…) accuracy: 36.0 La descripción de la finalidad de la recogida y del funcionamiento de los servicios puede encontrarse en el punto 7 del escrito de GOOGLE LLC de 31 de mayo de 2010. La estimación de la precisión en la ubicación de los puntos de acceso fue proporcionada por GOOGLE LLC en su escrito de 10 de agosto de 2010. H. Resultado del acceso efectuado al Registro General de Protección de Datos para la comprobación de los ficheros inscritos cuya titularidad corresponda a las entidades GOOGLE LLC y GOOGLE SPAIN. . Se han hallado dos ficheros inscritos en el Registro General de Protección de Datos en los que el titular es GOOGLE LLC La finalidad descrita en ambos es la de la gestión de las incidencias relacionadas con los contratos de la entidad. . Se han hallado siete ficheros inscritos en el Registro General de Protección de Datos en los que el titular es GOOGLE SPAIN. Las finalidades descritas en ellos son las que siguen: . “Gestión integral de las relaciones con los clientes y contactos comerciales de la entidad.”. . “Gestión integral de las relaciones con los medios de comunicación.”. . “Gestión integral de las relaciones con los trabajadores y demandantes de empleo de la entidad”. . “Gestión integral de las relaciones con los proveedores de la entidad”. . “Registro y control de las personas que acceden a las instalaciones de la sociedad”. . “Seguridad y control en el acceso y permanencia en las instalaciones de la sociedad”. . “Realización de un sorteo para incentivar la participación en un concurso con finalidad con comercial”. I. Reuniones mantenidas por representantes de GOOGLE LLC y GOOGLE SPAIN con la Agencia Española de Protección de Datos. Según se indica en el Antecedente Primero, mediante escrito de 21/04/2008, las entidades GOOGLE LLC y GOOGLE SPAIN solicitaron a la Agencia Española de Protección de Datos la celebración de una reunión “…para tratar aspectos que quedaron pendientes en la anterior reunión (como novedades respecto a Street View)…”. En las reuniones mantenidas a solicitud de los representantes de GOOGLE SPAIN con los representantes de la AEPD, previas a la puesta en marcha de la campaña de recogida de datos para el servicio Street View, no se mencionó en ningún momento que dicha campaña incluyese la recogida de datos de redes inalámbricas. A este respecto, se incorpora a las actuaciones una Diligencia elaborada por la Inspección actuante, que deja constancia de la declaración efectuada por uno de los asistentes a dicha reunión, perteneciente a la Agencia Española de Protección de Datos, según la cual durante la citada reunión en ningún momento se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 31/80 hizo mención alguna a la captación por parte de los vehículos del proyecto de datos provenientes de las redes inalámbricas. CUARTO: Con fecha 18/10/2010, el Director de la Agencia Española de Protección de Datos, con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, acordó lo siguiente: . Iniciar procedimiento sancionador a la entidad GOOGLE SPAIN, S.L., por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
2. d)de la citada Ley Orgánica. . Iniciar procedimiento sancionador a la entidad GOOGLE SPAIN, S.L., por la presunta infracción del artículo 7 de la LOPD, tipificada como muy grave en el artículo 44.4.
3. c)de la citada Ley Orgánica. . Iniciar procedimiento sancionador a la entidad GOOGLE SPAIN, S.L., por la presunta infracción del artículo 33 de la LOPD, tipificada como muy grave en el artículo 44.4.
4. e)de la citada Ley Orgánica. . Iniciar procedimiento sancionador a la entidad GOOGLE LLC, por la presunta infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.
5. d)de la citada Ley Orgánica. . Iniciar procedimiento sancionador a la entidad GOOGLE LLC, por la presunta infracción del artículo 7 de la LOPD, tipificada como muy grave en el artículo 44.4.
6. c)de la citada Ley Orgánica. QUINTO: Durante las actuaciones previas de investigación desarrolladas por los Servicios de Inspección de la Agencia Española de Protección de Datos, se tuvo conocimiento de las Diligencias Previas Procedimiento Abreviado que se siguen en el Juzgado de Instrucción núm. 45 de Madrid, señaladas con el número ***AUTO.1, por presunto delito informático, tipificado en el Código Penal, Título X “Delitos contra la intimidad, el derecho a la propia imagen y la inviolabilidad del domicilio”, Capítulo I “Del descubrimiento y revelación de secretos, artículo 197, en virtud de denuncia formulada en relación con la recogida de datos efectuada en el marco del proyecto “Google Street View”. Considerando la vinculación con estas actuaciones que por los mismos hechos se están desarrollando en el orden jurisdiccional penal, el procedimiento sancionador de referencia, PS/00541/2010, fue suspendido con fecha 18/10/2010, al haberse apreciado la existencia de indicios suficientes de que pudiera existir identidad de sujetos, hechos y fundamentos entre las presuntas infracciones Administrativas de dicho procedimiento y los sujetos, hechos y fundamentos de las Diligencias Previas mencionadas, a la espera de la información sobre las actuaciones practicadas por el Juzgado de Instrucción núm. 45 de Madrid y las resoluciones que por el mismo se adoptasen. SÉXTO: Con fecha de 24/08/2012, tuvo entrada en esta Agencia un correo electrónico de GOOGLE LLC, mediante el cual dicha entidad notificó lo siguiente: 1. Con el fin de informar a las autoridades en materia de protección de datos sobre en inventario de discos utilizados por el servicio Street View, se procedió recientemente a una revisión de dicho inventario que incluyó una inspección física y re-escaneo de miles de discos. 2. Tras la finalización del proceso de revisión han detectado que está en posesión de discos que no se hallaban incluidos en el inventario y podrían contener datos de carga (payload). Debido a ello el contenido de dichos discos no fue proporcionado a la Agencia durante la anterior C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 32/80 investigación, por lo que se disculpan e informan de que dichos discos se encuentran inventariados y seguros. 3. Conservarán los datos de carga hasta que reciban instrucciones para su destrucción. Conocida esa información, con fecha 19/09/2012, se acordó el inicio de actuaciones previas de investigación para esclarecer los hechos descritos y su adecuación a la normativa vigente en materia de protección de Datos, señaladas con el número E/06190/2012. Como resultado de dichas investigaciones, por los Servicios de Inspección de esta Agencia se informó lo siguiente: 1. Entre el 15 de mayo de 2008 y el 10 de mayo de 2010 los vehículos del servicio Street View recogieron datos de las redes inalámbricas ubicadas en España. Conforme a lo manifestado por Google durante las actuaciones previas realizadas en el ámbito del expediente E/01482/2010 “…los discos se enviaban por mensajero desde las ciudades españolas por las que habían circulado los vehículos Street View hasta un almacén belga, desde el cual se remitían a un centro de datos de Google, normalmente con frecuencia semanal. Estos discos duros se descargaban en el centro de datos belga de Google, en el que los datos se cargaban en servidores de Google y acto seguido se borraban de los discos.” A partir de mayo de 2010, los discos utilizados para recabar datos en Europa fueron remitidos, para ser almacenados en cuarentena, al centro de datos de Google en Ghlin, Bélgica. A finales de 2010, una vez finalizado el proceso de recogida de discos, se elaboró un inventario definitivo con los discos en cuarentena y una lista maestra con aquellos discos que contenían datos de carga (payload). 2. En febrero de 2012 Google descubrió una irregularidad en el inventario de discos en cuarentena. Según manifiestan los representantes de la entidad “…la irregularidad que Google descubrió en el inventario de discos en cuarentena, era que un número de discos que, potencialmente, podían contener payload de países con investigaciones ya concluidas, parecían estar aún alojados en las cajas de cuarentena utilizadas para almacenar estos discos”. Google inicio una revisión del procedimiento de recogida de discos para asegurarse de que éstos habían sido almacenados en el centro de proceso de datos adecuado que finalizó alrededor del 5 de octubre de 2012. 3. El proceso de revisión confirmo que 7 discos que podían contener datos de carga (payload) recogidos en España se habían almacenado en el centro de datos de Ghlin pero no fueron correctamente incluidos en el inventario. Dos de los discos fueron utilizados exclusivamente en España, mientras que los otros cinco discos fueron utilizados tanto en España como en Portugal. Google ha proporcionado una copia de los dos discos que fueron utilizados exclusivamente en España, pero no de los utilizados en ambos países. 4. Cinco de los siete discos se encontraban en un subconjunto de discos del inventario que no pudieron ser adecuadamente clasificados, por lo que Google contrató a un tercero experto para que este, a través de los propios discos, obtuviese información sobre su localización sin acceder a los datos contenidos en ellos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 33/80 5. Dos de los discos no fueron incluidos en el inventario inicial debido a un error humano. Respecto a los datos hallados en la copia de los dos discos proporcionada por Google: 6. La cantidad total de datos existentes es de 277 MB, lo que representa aproximadamente un 0,15 % de la información recabada, distribuidos en 58 ficheros. La mitad de los ficheros mantienen la nomenclatura descrita en las actuaciones de investigación anteriores, cuyos nombres de fichero están formados por el texto (...). La otra mitad tiene nombres idénticos pero con el texto inicial “(...)”. Estos archivos, con un tamaño idéntico de 161 bytes, no contienen tramas capturadas sino una estructura de datos en la que la mayor parte de los campos está vacía. 7. 7 de los 29 ficheros de nomenclatura estándar están vacíos, por lo que los datos que a continuación se describen han sido obtenidos de los restantes 22. 8. En base a los datos proporcionados por los nombres de los ficheros se puede afirmar que los datos fueron recogidos por un vehículo con identificador “***ID.1” entre el 8 y el 15 de enero de 2009 (28 ficheros) y por un segundo vehículo con identificador ***ID.2” el 2 de marzo de 2010. Revisados los ficheros proporcionados durante la actuaciones del expediente E/01482/2010 constan ficheros con datos recogidos por el vehículo con identificador “***ID.1” entre el 14 de mayo de 2008 y el 25 de febrero de 2009 (existe un hueco en ese periodo en el que encajan los ficheros aportados en estas actuaciones). Constan asimismo ficheros con datos recogidos por el vehículo con identificador ***ID.2” entre el 8 de junio y el 20 de diciembre de 2009. 9. La siguiente tabla muestra el análisis cuantitativo del contenido del fichero: Tipo de trama MANAGEMENT CONTROL DATA RESERVED TOTAL Número de tramas % 219.915 95,66% 6.340 2,76% 3.642 1,58% 2 0,001% 229.899 100% Únicamente los tipos de tramas “DATA” contienen datos de carga (payload) y la cantidad de datos que contienen, respecto del total de tramas con datos de carga analizados en la campaña de recogida de datos, es menor que el 0.01%. 10. Se han analizado los distintos 942 SSID (nombres de red) recabados en los discos proporcionados por Google. Se han hallado SSID con nombres de pila como " U.U.U." o " V.V.V." y con nombres junto con una inicial como "wifi_ W.W.W..", pero el único SSID que podría contener un nombre y apellido que unidos al resto de los datos disponibles (p.e. localización aproximada) podrían permitir identificar a su titular es " X.X.X.". Sí que se han hallado SSID que describen empresas perfectamente identificables como " Y.Y.Y.", " A.A.10.", " A.A.6." o " A.A.7". 11. Las únicas direcciones de correo electrónico halladas, ***EMAIL.23 y ***EMAIL.24, lo son en relación con una serie de mensajes recibidos por sus titulares a través del servicio de mensajería instantánea Microsoft Messenger. Los mensajes recibidos son textos los cortos “2 años”, “m levo de puta madre” y “vale C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 34/80 avisame”. Los remitentes de los mensajes recibidos son desconocidos ya que las tramas recogidas no contenían dicha información. 12. No se han hallado pares de nombres de usuario y claves que permitan el acceso a perfiles de usuario, pero algunos de los datos de carga contenían los valores de las cookies descargadas en los terminales de los usuarios que en ese momento navegaban. Dentro del conjunto de cookies recogidas, se encuentra una cookie denominada “sid”, asociada a un dominio de la red social Tuenti que podría ser utilizada para suplantar al usuario que estaba navegando en ese momento. Entre los datos recabados mediante las cookies también se encuentra el nombre de usuario ( A.A.8 y un identificador único (uniq Id) de un perfil de una red social de Eslovaquia ***URL.10 Por lo tanto, de acuerdo con lo señalado, y teniendo en cuenta, por un lado, que con fecha 18/10/2010 el Director de la Agencia Española de Protección de Datos acordó iniciar el procedimiento sancionador señalado con el número PS/00541/2010, seguido contra las entidades GOOGLE LLC y GOOGLE SPAIN, por presuntos incumplimientos de la LOPD que resultan de la captación de señales de redes inalámbricas llevada a cabo en el marco del Proyecto denominado “Google Street View”; y por otro, que las actuaciones del expediente de investigación número E/06190/2012 se siguen ante las mismas entidades GOOGLE LLC y GOOGLE SPAIN por hechos de naturaleza similar, relacionados con la campaña de recogida de datos que dio lugar al procedimiento PS/00541/2010, desarrollada en España en el marco del proyecto citado, con fecha 30/07/2013 se acordó incorporar dichas actuaciones al presente procedimiento sancionador, para que surtan los efectos pertinentes en la Resolución que se adopte. SEPTIMO: Con fecha 05/05/2017, se recibió escrito del Juzgado de Instrucción núm. 45 de Madrid en el que pone en conocimiento de la Agencia Española de Protección de Datos que, con fecha dd/mm/aaaa, se dictó Auto de sobreseimiento provisional y archivo de las Diligencias Previas Procedimiento Abreviado seguidas en el mismo con el número ***AUTO.1, señalando que dicha resolución es firme. Este escrito acompaña copia del Auto dictado por el mismo Juzgado, de fecha dd/mm/aaaa, por el que se decreta el sobreseimiento provisional y archivo de las actuaciones reseñadas, relacionadas con la captación de información de redes Wifi abiertas en el marco del “proyecto Street View”. En dicho Auto se indica lo siguiente: “… entiendo que cabe descartar la concurrencia de una expresa intención de apoderarse de datos personales, y de intrusión ilícita en la intimidad de los residentes en las zonas por las cuales transitaban los vehículos recabando datos. Las diligencias practicadas denotan que la captación de datos afectó, únicamente a redes wifi abiertas, -no protegidas por contraseña-, que en algunos casos la información fue fragmentaria y parcial; y no hay indicación alguna de que tal información haya podido ser conocida por terceros, es más el acceso a la misma es sumamente complejo, no ha habido cesión, ni uso por parte de Google, y las cuestiones atinente a la falta de consentimiento de los usuarios, han de ser resueltas fuera de la jurisdicción penal”. Por tanto, de acuerdo con lo estipulado en el artículo 7.2 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, interpretado contrario sensu, que determina: (...) y si se estima que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 35/80 existe identidad de sujeto, hecho y fundamento entre la infracción Administrativa y la infracción penal que pudiera corresponder, el órgano competente para la resolución del procedimiento acordará su suspensión hasta que recaiga resolución judicial, se estimó procedente reanudar la tramitación del procedimiento sancionador PS/00541/2010, al que fueron incorporadas las actuaciones previas de investigación señaladas con el número E/06190/2012, dictándose acuerdo de 23/05/2017 por el que se levanta la suspensión del citado procedimiento sancionador. Con este motivo, se concedió a GOOGLE LLC y GOOGLE SPAIN un plazo de quince días hábiles para que formulasen las alegaciones y propuesta de prueba que considerasen convenientes, así como para ejercitar el derecho a la audiencia OCTAVO: Notificado el citado acuerdo de levantamiento de la suspensión, y tras haber tomado vista de las actuaciones y dispuesto de una ampliación del plazo concedido inicialmente, se recibe escrito de alegaciones de la entidad GOOGLE LLC en el que solicita el archivo de las actuaciones o, subsidiariamente, que se declare la existencia de un concurso medial de infracciones y la imposición de sanciones por el importe mínimo previsto para las infracciones leves conforme a lo establecido en los artículos 45.4 y 5 de la LOPD. Todo ello en base a las siguientes consideraciones: 1. Entiende GOOGLE LLC que el tratamiento de las direcciones MAC y de los SSIDs incluidos en los datos WiFi no requería del consentimiento de los interesados al estar amparado por el interés legítimo, conforme a lo establecido en el artículo 7 de la Directiva 95/46/CE, sopesado en relación con los intereses o los derechos y libertades fundamentales del afectado. Esa información, según aquella entidad, es necesaria para la prestación de sus servicios de “geolocalización” y de “localización de puntos de acceso inalámbricos públicos”, para la mejora de su cobertura y precisión, o por el interés de las personas en conocer los puntos de acceso libre a Internet. El interés legítimo de los proveedores de este tipo de servicios, en el caso de las direcciones MAC, ha sido reconocido por el GT 29 en su Dictamen 13/2011, sobre los servicios de geolocalización de dispositivos móviles inteligentes. Por otra parte, señala que la recogida de direcciones MAC y los SSIDs tiene un impacto limitado en la privacidad de los interesados, se trata de información que cualquier usuario puede detectarse a través de sus dispositivos, y que el modo en fue tratada no tuvo por objeto obtener información relativa a los mismos ni su identificación. Además, se establecieron medidas adecuadas en la recogida y conservación de los datos WiFi, que fueron almacenados de manera cifrada, de manera que no podían ser accedidos por ningún tercero. En relación con esta cuestión, destaca lo indicado por el GT 29 en el Dictamen citado anteriormente cuando señala que “dada la naturaleza semiestática de los puntos de acceso WiFi, la cartografía de dichos puntos constituye, en principio, una menor amenaza para la intimidad de los propietarios de estos puntos que el seguimiento instantáneo de la ubicación de los dispositivos móviles inteligentes”. Considerando los factores expuestos, el test de ponderación ampara el tratamiento de los datos en cuestión, tal y como apreció la AEPD en la Resolución de archivo dictada en el expediente E/01829/2012 en relación con la existencia de interés legítimo en la recogida de imágenes por los vehículos del servicio Street View, que atiende a un conjunto de factores aplicables, incluso con mayor razón, a las direcciones MAC y los SSIDs, donde la injerencia en el derecho de los interesados es menor. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 36/80 En el caso de los SSIDs, su recogida no tiene la finalidad de prestar servicios de geolocalización sino un servicio consistente en localizar redes públicas para que los usuarios puedan identificarlas y acceder a las mismas, tal y como ofrecen actualmente diversos proveedores, como JiWire y QueWifi. Respecto de la recogida de datos de payload, advierte que nunca quiso recabar y utilizar dichos datos y su intención siempre ha sido deshacerse de ellos y eliminarlos por completo. 2. La Agencia no ha probado que GOOGLE LLC haya tratado datos especialmente protegidos, ni tampoco la presencia de los mismos en los datos WiFi. Se refiere la Agencia a la existencia de tramas dentro de los datos de payload que muestran el código de usuario y la clave de acceso que al parecer permiten acceder a un sitio web y una red social con contenido alusivo al comportamiento sexual de sus usuarios, concluyendo, sin base legal, que esta posibilidad de acceso (que no fue llevada a cabo por GOOGLE LLC) dota a dicha información de la condición de datos especialmente protegidos. Sin embargo, estos códigos y claves no tienen tal consideración. La propia Agencia en diversas ocasiones ha mantenido que el legislador ha delimitado de un modo objetivo los supuestos en los que un dato tiene la consideración de especialmente protegido (Informe Jurídico 44/2004), no admitiéndose una interpretación amplia del concepto. GOOGLE LLC no llevó a cabo aquel acceso. Fue la Agencia quien obtuvo, recopiló y trató dicha información sobre comportamientos o preferencias sexuales. Y el artículo 44.4.
7. b)de la LOPD exige “tratar o ceder” los datos especialmente protegidos. 3. Existe un concurso medial por las infracciones de los artículos 6 y 7 de la LOPD, en aplicación de lo dispuesto en el artículo 4.4 del Reglamento del procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, en vigor en el momento en que se inició el presente procedimiento. La LOPD no prevé infracciones “dato por dato”, sino infracciones que resultan de operaciones de tratamiento consideradas en su conjunto. Así, dado un fichero o tratamiento, no es posible centrarse en una única parte de los datos del fichero para declarar la existencia de un tipo de infracción, y en otra parte del mismo para declarar otra diferente. Lo cierto es que, según la definición del tipo infractor, la infracción del artículo 7 de la LOPD conlleva siempre una infracción del artículo 6 de la misma norma, en la medida en que el tratamiento de datos especialmente protegidos implica necesariamente el tratamiento de otros datos que no lo son. A la hora de identificar las infracciones cometidas, la única operación de tratamiento que tuvo lugar debe ser considerada en su conjunto, sin segregar los datos WiFi. Desde esta perspectiva, la existencia de infracción del artículo 7 citado no permite reconocer al mismo tiempo una infracción del artículo 6. Tales infracciones deberían subsumirse en la más grave. 4. Finalmente, considera aplicable lo dispuesto en los artículos 45.4 de la LOPD, para imponer la sanción en su grado mínimo, y 45.5.a),
8. b)y
9. c)de la citada Ley Orgánica para aplicar la escala relativa a las infracciones que preceden inmediatamente en gravedad. En lo que respecta al artículo 45.4 citado, considera que concurren los supuestos siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 37/80 . La infracción no se produce de manera continuada ya que, tan pronto se tuvo conocimiento de la recogida de los datos de payload, se paralizaron los vehículos. . Las recogidas de datos personales, si es que se produjeron, tuvieron carácter meramente puntual, tomando en consideración el volumen total de datos WiFi recopilados. En relación con los SSIDs, según la información analizada por la Agencia, únicamente en el 0,15% de los casos se identificaron redes cuya denominación permitiera la identificación de los interesados. En cuanto a las direcciones MAC, cabe considerar que el GT29 las considera dato personal, en caso de ser combinadas con datos de geolocalización, dependiendo de las circunstancias del entorno en que se produce su recogida. En este caso, los márgenes de error de los sistemas de geolocalización empleados, las zonas densamente pobladas en las que se recogieron los datos WiFi y los factores a los que estuvo sujeta esta captación de datos impiden concluir que los interesados pudiesen ser identificados mediante las combinaciones de las direcciones MAC y su localización calculada. La propia Agencia únicamente cita en el acuerdo de apertura dos ejemplos de direcciones MAC que, en su opinión, permitirían identificar a personas. En relación con los datos payload, del total que enumera la Agencia, aquellos que teóricamente podrían tener el carácter de datos personales serían residuales en la práctica. Ha de tenerse en cuenta el volumen total de información recogida, que dichos datos podrían pertenecer a categorías excluidas del ámbito de aplicación de la LOPD y que se trata de información con la que la Agencia no llega a identificar de manera efectiva a ninguna persona. . Ausencia de beneficios obtenidos como consecuencia de la comisión de la infracción. . Ausencia de intencionalidad. Google nunca quiso obtener y tampoco utilizó los datos de payload. Los mismos Servicios de Inspección destacaron las dificultades apreciadas en las capacidades de búsqueda de información, por el formato de la información, las medidas implantadas por Google para impedir la creación de ficheros temporales y por no disponer de programas específicos de búsqueda. Además, esta circunstancia fue constatada y aceptada por el Auto de archivo de actuaciones de las Diligencias Previas ***AUTO.1 dictado por el Juzgado de Instrucción núm. 45 de Madrid el dd/mm/aaaa, confirmado por el Auto ***AUTO.2 dictado por la Sección 7 de la Audiencia Provincial de Madrid el dd/mm/aaa2. El Juzgado reconoce que “cabe descartar la concurrencia de una expresa intención de apoderarse de datos personales, y de intrusión ilícita en la intimidad de los residentes en las zonas por las cuales transitaban los vehículos recabando datos”, y declara como hecho probado que “no ha habido cesión, ni uso por parte de Google” de los datos de payload. Así, el hecho de que Google no quisiese y no utilizase estos datos hace que cualquier imputación de carga infractora deba realizarse con cautela. . Ausencia de perjuicios causados a las personas interesadas o a terceros. Las direcciones MAC y los SSIDs no se facilitaron a terceros, sino que únicamente se utilizaron como un medio para mejorar los servicios geolocalización y servicios conexos de Google, generalmente gratuitos, de los que se benefician millones de usuarios. Además, son datos accesibles por cualquier persona con un dispositivo que permita/permitiese la conexión a redes wireless, tales como smartphones, tabletas, ordenadores personales, etc. Asimismo, la sustitución de la denominación de serie de un SSID por datos que permitan la identificación de u