PS-00695-2014

1/13 Procedimiento Nº PS/00695/2014 RESOLUCIÓN: R/02711/2016 En el procedimiento sancionador PS/00695/2014, instruido por la Agencia Española de Protección de Datos a D. A.A.A., D. B.B.B. y D. C.C.C., vista la denuncia presentada por D. D.D.D., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha 2 de enero de 2014 tiene entrada en la Agencia Española de Protección de Datos un escrito de la Dirección General de la Guardia Civil, junto al que se remite una copia del atestado presentado por D. D.D.D. (en lo sucesivo, el denunciante), en el que expone que tiene constancia, al menos desde el 11/11/2013, de la existencia de un perfil en la red social Facebook, creado sin su consentimiento, en el que figuran sus datos personales, incluyendo su imagen fotográfica. Asimismo expone las dificultades halladas para cancelar el perfil, al no ser su autor. Adjunto al atestado consta impresión de pantalla, de fecha 17/12/2013, del perfil de Facebook www.facebook.com........... en el que figuran fotografías del denunciante, nombre y primer apellido y Centro de Estudios. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a D. A.A.A., D. B.B.B., D. C.C.C. y al denunciante, así como a otras entidades, teniendo conocimiento de lo siguiente: 1. Con fechas 9 de enero de 2014 desde la Inspección de Datos se ha accedido a Facebook verificando la existencia del perfil www.facebook.com........... donde constan diversas fotografías, entre ellas la fotografía del denunciante, junto con su nombre y primer apellido. 2. Con fecha 22 de enero de 2014, desde la Inspección de Datos se realiza una consulta sobre el perfil www.facebook.com........... verificando que consta como fecha de creación del perfil el 15 de mayo de 2013. 3. Desde la Inspección de Datos se ha solicitado información a la red social Facebook, al respecto de las direcciones IP asociadas a las conexiones al perfil www.facebook.com............ En su contestación, la compañía que presta el servicio ha proporcionado a esta Agencia direcciones IP de conexión desde el 15 de mayo de 2013 al 11 de marzo de 2014. 4. De las direcciones IP aportadas por Facebook y por la información proporcionada por los operadores de telecomunicaciones consultados, se desprende que las conexiones al perfil se han realizado desde líneas telefónicas cuyos titulares C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/13 son: • • • B.B.B. con domicilio de instalación de la línea en (C/...1) Castellón. C.C.C. con domicilio de instalación de la línea en (C/...2) Tarragona. I.E.S. de XXXX, ámbito de Educación de la Generalitat de Catalunya. 5. Desde la Inspección de Datos se remite solicitud de información a D. C.C.C., el cual procede a responder, vía correo electrónico, en los siguientes términos: “....quiero pensar que se trata de un error. Puesto que no tengo ni idea de que me están hablando. Yo no tengo FACEBOOK, repito no tengo FACEBOOK ni nunca lo tenido ni me gusta. No conozco a nadie que se llame con el nombre mencionado en la carta…” 6. Desde la Inspección de Datos se remite solicitud de información a D. B.B.B., el cual procede a responder en los siguientes términos: “....Según mi escasa educación informática, las lP’s de los rutters son dinámicas, por lo tanto van cambiando con el paso del tiempo. El uso del ordenador es solo de los miembros de la familia. Podemos estar ante un ataque de hackers o una violación de nuestra red de wifi, con lo cual nos encontramos ante un hecho no realizado por ningún miembro de mi familia. Nos encontramos totalmente indefensos ante este hecho, porque creemos que se está violando nuestra presunción de inocencia. No podemos acreditar ningún tipo de consentimiento de D.D.D. porque no conocemos a dicha persona. De la misma manera desconocemos las iniciativas tomadas para la eliminación del mencionado perfil de Facebook.” 7. Con fecha 28 de mayo de 2014, desde la Inspección de Datos se intenta un acceso al perfil www.facebook.com........... no obteniendo constancia de que el perfil siga siendo accesible. 8. Desde la Inspección de Datos se remite escrito al denunciante incluyendo información sobre los domicilios desde donde se habían producido conexiones al perfil. El denunciante ha remitido escrito de contestación a esta Inspección en los siguientes términos: “En contestación a su escrito citado en la referencia […] le comunico que el responsable de la suplantación y objeto de mi denuncia, se llama A.A.A. quien en conversación telefónica me ha reconocido que efectivamente fue él quien suplantó mi identidad en Facebook. Esta persona es natural del municipio de ***MUNICIPIO.1, (Castellón) y su domicilio familiar en esta localidad es (C/...1). Por motivos de estudio reside durante la semana en ***MUNICIPIO.2 (Tarragona) y la (C/...2) podría ser su domicilio. Mi relación con esta persona es simplemente de conocido. Ambos cursamos estudios en el Instituto de XXXX (Castellón), pero ni siquiera éramos del mismo curso. Le conocía de vista, no somos, ni hemos sido amigos. Cuando le pregunté por qué lo hizo me dijo que para divertirse con sus compañeros de piso”. 9. En contestación a los requerimientos de la Inspección de Datos, D. A.A.A. ha declarado: “Que no ha creado el perfil el perfil de Facebook del Sr. D.D.D., por lo que no puede confirmar la información solicitada. Asimismo ha de manifestar que nunca ha reconocido ser el creador del perfil de Facebook indicado. Es más, desconocía la existencia del Sr. D.D.D. hasta mayo de este año, cuando su padre, Sr. B.B.B., recibió una primera solicitud de información, en este mismo procedimiento, que fue C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/13 puntualmente atendida mediante escrito de fecha 2 de junio remitido por correo certificado. […] Que desconoce si otra persona ajena a su familia puede haber accedido a Internet a través de la conexión de su domicilio. En cualquier caso, a fin de colaborar con esta Administración en el esclarecimiento de los hechos investigados, se informa a la misma que tiene contratado el acceso a Internet con el proveedor Jazztel, con quién tiene contratada una IP dinámica […]”. TERCERO: Con fecha 11 de diciembre de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a D. A.A.A., D. B.B.B. y D. C.C.C. por presunta infracción del artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. b)de la citada ley, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de la LOPD. CUARTO: Con fecha 7/01/2015 se recibe escrito de D. C.C.C. comunicando: <<…2.- Que el Sr. C.C.C. no ha cometido ninguna infracción, sino todo lo contrario, ha sido víctima de un delito, siendo el Sr. A.A.A. el que ha utilizado su red (Wifi) sin su permiso, accediendo a la misma de forma fraudulenta, siendo este mismo el responsable de la suplantación del perfil de Facebook, tal como le confesó él mismo en conversación telefónica al Sr. D.D.D. y que queda reflejado en el procedimiento sancionador enviado (...) Curiosamente el Sr. B.B.B. es el padre del Sr. A.A.A., siendo el domicilio familiar de los dos el de la (C/...1), Castellón; el Sr. C.C.C. es vecino del edificio donde reside el Sr. A.A.A. de lunes a viernes, ya que el lES de XXXX, es el instituto donde cursa sus estudios, igual que el Sr. D.D.D., que es la persona suplantada. 4.- Que la contraseña de la conexión a internet vía inalámbrica de cualquier individuo es un secreto en sí mismo, desde el momento en que se usa esta contraseña para que no accedan terceras personas. Por tanto, en lugar de sancionar a quien ha estado víctima de este uso fraudulento, como es el caso del Sr. C.C.C., lo que se tendría que sancionar es el robo de las contraseñas de acceso a internet, medida que podría afectar a muchos “piratas” que utilizan herramientas que se encuentran a disposición de todos los usuarios de internet para descifrar las contraseñas de otras conexiones cercanas sin pensar en las consecuencias que estos hechos pueden suponer. 5.- Que debido al surrealismo de esta situación, el Sr. C.C.C. con fecha 19 de diciembre ha presentado denuncia ante el Juzgado de 1ª Instancia e Instrucción n° 3 de ***MUNICIPIO.2 (se adjunta copia de la denuncia presentada, documento núm. 1), para poder ejercer las acciones legales y penales que le puedan corresponder ante la acusación tan grave a la que ha sido sometido…>> Así mismo con fechas 8 y 9 de enero de 2015 se reciben escritos de alegaciones de D. A.A.A. y D. B.B.B. comunicando: <<…Por otra parte a lo largo de la inspección que ha sido llevada a cabo por parte de esta Agencia debo señalar que no se ha demostrado de forma alguna que yo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/13 personalmente haya creado el perfil de Facebook de Don D.D.D., ni haber accedido de forma alguna al mismo, por lo tanto entiendo que no es posible que personalmente se me puedan imputar las infracciones contenidas en el presente procedimiento, más aun teniendo en cuenta que…>> <<…Por otra parte a lo largo de la inspección que ha sido llevado a cabo por parte de esta Agencia debo señalar que no se ha demostrado de forma alguna que yo personalmente haya creado a través de la red contratada en mi domicilio el perfil de Facebook de Don D.D.D., ni haber accedido de forma alguna al mismo, por lo tanto entiendo que no es posible que personalmente como titular de una IP determinada se me puedan imputar las infracciones contenidas en el presente procedimiento, más aun teniendo en cuenta que…>> QUINTO: Con fecha 12 de febrero de 2015, la Instructora del procedimiento solicita información al Juzgado de 1ª Instancia e Instrucción número 5 de ***MUNICIPIO.2 sobre la identidad de sujeto, hecho y fundamento entre la presunta infracción administrativa y la infracción penal que pudiera corresponder. El Director de la Agencia Española de Protección de Datos en fecha 19/02/2015 acuerda suspender el presente procedimiento sancionador, en cumplimiento del artículo 7 del Reglamento del procedimiento para el ejercicio de la Potestad Sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto, hasta tanto recaiga resolución judicial al respecto. Dicho Acuerdo fue notificado a las partes y al citado Juzgado de Instrucción. Con fechas 26/08/2015, 16/02/2016 y 7/09/2016, se solicitó al citado Juzgado de Instrucción información sobre las citadas Diligencias. Con fecha 1/12/2015 se recibe escrito del citado Juzgado solicitando los datos identificativos de D. D.D.D.. Mediante escrito de 3/12/2015 se trasladó los datos solicitados. Con fecha 5/09/2016 se recibe del citado Juzgado Auto Acordando Sobreseimiento de 22 de agosto de 2016, en el que se recoge en los Antecedentes de Hecho y Fundamentos de Derecho: <<…Las presentes diligencias Previas se incoaron en virtud de denuncia interpuesta ante el Juzgado de Guardia de esta localidad por parte de C.C.C., contra D. A.A.A., por la comisión de un presunto delito usurpación de estado civil…>> <<…La instrucción se ha visto completada al considerar la suficiencia de las diligencias de prueba acumuladas, consistente en declaración de denunciantes, declaración de denunciados y declaración testifical. De lo actuado se deduce, y habiéndose practicado todas las diligencias necesarias para el esclarecimiento de los hechos, que no resulta justificada ni acreditada la perpetración del delito de usurpación del estado civil por los investigados y que dio motivo a la formación de la presente causa. Así, el denunciante manifestaba que el SR. A.A.A. había estado utilizando sus líneas de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/13 wifi sin su consentimiento con la finalidad de suplantar el perfil de facebook de otra persona, de tal forma que al haberse utilizado sus línea de wifi la Agencia Española de Protección de Datos le había remitido una carta en la que le implicaban a él directamente en la comisión de un hecho ilícito, por lo que ante la falta de participación en ningún acto delictivo interponía la presente denuncia. Tras tomar declaración al investigado SR. A.A.A., este manifestó que cuando llegó como inquilino al piso de estudiantes sito en la (C/...2) en el año 2013, en dicho domicilio residían tres chicas que le facilitaron anotada en un trozo de papel una contraseña para acceder a una línea wifi, pero que en ningún caso había creado un perfil de facebook de ninguna persona. Manifestando que había dejado su ordenador al novio de una de las chicas que convivían con él en el mismo piso llamado E.E.E que tenía conocimientos de informática. En la declaración prestada por el SR. E.E.E, este manifestó que era cierto que había reparado en alguna ocasión el ordenador portátil del Sr. A.A.A. pero manifestó que no había utilizado dicho ordenador ni tan siquiera para conectarse a internet. Por tanto no solo no ha resultado acreditada la participación de ninguno de los investigados en la presente causa en los hechos que dieron lugar a las actuaciones, sino que conforme al procedimiento sancionador abierto por la Agencia Española de Protección de Datos, la presunta suplantación en el perfil de facebook podría haberse realizado desde tres líneas telefónicas, la del denunciante, quien como se ha dicho interpuso la presente denuncia al tener conocimiento de tales hechos, denuncia interpuesta ya que según el propio denunciante no había participado en la creación de ningún perfil de fecebook, y por tanto se consideraba perjudicado en los hechos, la de A.A.A. y del I.E.S de XXXX, siendo que esta línea telefónica puede ser utilizada por un amplio número de usuarios al tratarse de un centro de enseñanza (…) es procedente acordar el sobreseimiento provisional de las presentes diligencias por no aparecer suficientemente justificada la perpetración por los denunciados, de los hechos que se le imputaban…>> Solicitada información, mediante escrito de 12/09/2016, sobre la firmeza del citado Auto, con fecha 27/09/2016 se recibe providencia comunicando la firmeza del mismo. SEXTO: A la vista de la citada documentación, la Directora de la Agencia Española de Protección de Datos en fecha 06/10/2016 acordó levantar la suspensión del presente procedimiento sancionador. Dicha resolución fue notificada al denunciante y a D. A.A.A., D. B.B.B. y D. C.C.C.. HECHOS PROBADOS PRIMERO: Con fecha 2 de enero de 2014 tiene entrada en esta Agencia escrito de la Dirección General de la Guardia Civil, junto al que se remite una copia del atestado presentado por D. D.D.D., en el que expone que tiene constancia, al menos desde el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/13 11/11/2013, de la existencia de un perfil en la red social Facebook, creado sin su consentimiento, en el que figuran sus datos personales, incluyendo su imagen fotográfica. Asimismo expone las dificultades halladas para cancelar el perfil, al no ser su autor. Adjunto al atestado consta impresión de pantalla, de fecha 17/12/2013, del perfil de Facebook www.facebook.com........... en el que figuran fotografías del denunciante, nombre y primer apellido y Centro de Estudios (folios 1 a 11). SEGUNDO: Con fechas 9 de enero de 2014 desde la Inspección de Datos se ha accedido a Facebook verificando la existencia del perfil www.facebook.com........... donde constan diversas fotografías, entre ellas la fotografía del denunciante, junto con su nombre y primer apellido (folios 12 a 21). Con fecha 22 de enero de 2014, desde la Inspección de Datos se realiza una consulta sobre el perfil www.facebook.com........... verificando que consta como fecha de creación del perfil el 15 de mayo de 2013 (folios 22 a 23). TERCERO: Desde la Inspección de Datos se ha solicitado información a la red social Facebook, al respecto de las direcciones IP asociadas a las conexiones al perfil www.facebook.com............ En su contestación, la compañía que presta el servicio ha proporcionado a esta Agencia direcciones IP de conexión desde el 15 de mayo de 2013 al 11 de marzo de 2014 (folios 26 a 40) CUARTO: De las direcciones IP aportadas por Facebook y por la información proporcionada por los operadores de telecomunicaciones consultados, se desprende que las conexiones al perfil se han realizado desde líneas telefónicas cuyos titulares son: • B.B.B. con domicilio de instalación de la línea en (C/...1) Castellón. • C.C.C. con domicilio de instalación de la línea en (C/...2) Tarragona. • I.E.S. de XXXX, ámbito de Educación de la Generalitat de Catalunya (folios 81 a 83) QUINTO: Con fecha 28 de mayo de 2014, desde la Inspección de Datos se intenta un acceso al perfil www.facebook.com........... no obteniendo constancia de que el perfil siga siendo accesible (folios 93 y 94). SEXTO: Desde la Inspección de Datos se remite escrito al denunciante incluyendo información sobre los domicilios desde donde se habían producido conexiones al perfil. El denunciante ha remitido escrito de contestación a esta Inspección en los siguientes términos: “En contestación a su escrito citado en la referencia […] le comunico que el responsable de la suplantación y objeto de mi denuncia, se llama A.A.A. quien en conversación telefónica me ha reconocido que efectivamente fue él quien suplantó mi C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/13 identidad en Facebook. Esta persona es natural del municipio de ***MUNICIPIO.1, (Castellón) y su domicilio familiar en esta localidad es (C/...1). Por motivos de estudio reside durante la semana en ***MUNICIPIO.2 (Tarragona) y la (C/...2) podría ser su domicilio. Mi relación con esta persona es simplemente de conocido. Ambos cursamos estudios en el Instituto de XXXX (Castellón), pero ni siquiera éramos del mismo curso. Le conocía de vista, no somos, ni hemos sido amigos. Cuando le pregunté por qué lo hizo me dijo que para divertirse con sus compañeros de piso” (folios 111 a 117) SÉPTIMO: D. C.C.C. comunicó a esta Agencia: “…Que debido al surrealismo de esta situación, el Sr. C.C.C. con fecha 19 de diciembre ha presentado denuncia ante el Juzgado de 1ª Instancia e Instrucción n° 3 de ***MUNICIPIO.2 (se adjunta copia de la denuncia presentada, documento núm. 1), para poder ejercer las acciones legales y penales que le puedan corresponder ante la acusación tan grave a la que ha sido sometido…” (folio 160). OCTAVO: Con fecha 22/08/2016 el Juzgado de Instrucción nº 5 de ***MUNICIPIO.2 dictó Auto Acordando Sobreseimiento provisional firme, en el que se recoge en los Antecedentes de Hecho y Fundamentos de Derecho: <<…Las presentes diligencias Previas se incoaron en virtud de denuncia interpuesta ante el Juzgado de Guardia de esta localidad por parte de C.C.C., contra D. A.A.A., por la comisión de un presunto delito usurpación de estado civil…>> <<…La instrucción se ha visto completada al considerar la suficiencia de las diligencias de prueba acumuladas, consistente en declaración de denunciantes, declaración de denunciados y declaración testifical. De lo actuado se deduce, y habiéndose practicado todas las diligencias necesarias para el esclarecimiento de los hechos, que no resulta justificada ni acreditada la perpetración del delito de usurpación del estado civil por los investigados y que dio motivo a la formación de la presente causa. Así, el denunciante manifestaba que el SR. A.A.A. había estado utilizando sus líneas de wifi sin su consentimiento con la finalidad de suplantar el perfil de facebook de otra persona, de tal forma que al haberse utilizado sus línea de wifi la Agencia Española de Protección de Datos le había remitido una carta en la que le implicaban a él directamente en la comisión de un hecho ilícito, por lo que ante la falta de participación en ningún acto delictivo interponía la presente denuncia. Tras tomar declaración al investigado SR. A.A.A., este manifestó que cuando llegó como inquilino al piso de estudiantes sito en la (C/...2) en el año 2013, en dicho domicilio residían tres chicas que le facilitaron anotada en un trozo de papel una contraseña para acceder a una línea wifi, pero que en ningún caso había creado un perfil de facebook de ninguna persona. Manifestando que había dejado su ordenador al novio de una de las chicas que convivían con él en el mismo piso llamado E.E.E que tenía conocimientos de informática. En la declaración prestada por el SR. E.E.E, este manifestó que era cierto que había reparado en alguna ocasión el ordenador portátil del Sr. A.A.A. pero manifestó que no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/13 había utilizado dicho ordenador ni tan siquiera para conectarse a internet. Por tanto no solo no ha resultado acreditada la participación de ninguno de los investigados en la presente causa en los hechos que dieron lugar a las actuaciones, sino que conforme al procedimiento sancionador abierto por la Agencia Española de Protección de Datos, la presunta suplantación en el perfil de facebook podría haberse realizado desde tres líneas telefónicas, la del denunciante, quien como se ha dicho interpuso la presente denuncia al tener conocimiento de tales hechos, denuncia interpuesta ya que según el propio denunciante no había participado en la creación de ningún perfil de fecebook, y por tanto se consideraba perjudicado en los hechos, la de A.A.A. y del I.E.S de XXXX, siendo que esta línea telefónica puede ser utilizada por un amplio número de usuarios al tratarse de un centro de enseñanza (…) es procedente acordar el sobreseimiento provisional de las presentes diligencias por no aparecer suficientemente justificada la perpetración por los denunciados, de los hechos que se le imputaban…>> (folios 214 a 216, 223). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II Se imputa en el presente procedimiento, el tratamiento sin consentimiento de datos personales. Se hace necesario en primer lugar transcribir diversos conceptos que se acuñan en el artículo 3 de la LOPD. “
3. a)Datos de carácter personal: Cualquier información pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
4. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
5. c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
6. d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
7. e)Afectado o interesado: Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
8. c)del presente artículo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/13
9. f)Procedimiento de disociación: Todo tratamiento de datos personales de modo que la información que se obtenga no pueda asociarse a persona identificada o identificable.
10. h)Consentimiento del interesado: Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” III El artículo 6.1 de la LOPD señala: “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. El artículo 6.2, por su parte, establece que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia de 30 de noviembre de 2000, consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...) (F.J. 7 primer párrafo). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El Grupo de Autoridades Europeas de Protección de Datos (GT29), órgano consultivo europeo independiente establecido en virtud del artículo 29 de la Directiva 95/46/CE, adoptó el 12 de junio de 2009 el Dictamen 5/2009, sobre las redes sociales en línea. Este documento se centra en cómo el funcionamiento de los servicios de redes sociales (SRS) puede satisfacer los requisitos de la legislación sobre protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/13 datos de la Unión Europea. En particular, en el documento se destaca cómo muchos usuarios de las redes sociales se mueven dentro de una esfera puramente personal, poniéndose en contacto con gente como parte de la gestión de sus asuntos personales, familiares o domésticos. Según destaca el GT29, la citada Directiva no impone las obligaciones de un responsable de datos a un individuo que procesa datos personales "en el transcurso de actividades estrictamente personales o domésticas". Siguiendo este precepto, el GT29 estima que, con carácter general, en la mayor parte de las actividades realizadas por los usuarios de un SRS debe aplicarse lo que denomina "exención doméstica", en lugar de la normativa de protección de datos. Ahora bien, en el Dictamen se especifican así mismo tres supuestos en los que tales actividades no estarían cubiertas por la "exención doméstica". El primer supuesto se refiere a los casos en los que se utiliza el SRS como plataforma de colaboración para una asociación o una empresa. Si un usuario de SRS actúa en nombre de una sociedad o asociación, o utiliza el SRS principalmente como una plataforma para conseguir objetivos comerciales, políticos o benéficos, la exención no se aplica. En este caso, el usuario asume todas las obligaciones de un responsable de datos que está revelando datos personales a otro responsable de datos (el SRS) y a terceros (otros usuarios del SRS o, potencialmente, otros responsables de datos con acceso a los mismos). En estas circunstancias, el usuario necesita el consentimiento de las personas concernidas o algún otro fundamento legítimo dispuesto en la Directiva de Protección de Datos. El GT29 expone que los prestadores del SRS deben garantizar la instauración de configuraciones por defecto gratuitas y que respeten la privacidad, restringiendo el acceso a los contactos seleccionados. En estas condiciones, cuando el acceso a la información del perfil se amplía hasta más allá de los contactos seleccionados, como cuando se facilita el acceso al perfil a todos los miembros del SRS o cuando los datos son indexables por motores de búsqueda, el acceso se sale de la esfera personal o doméstica. De igual manera, si un usuario toma una decisión informada de ampliar el acceso más allá de los "amigos" seleccionados, las responsabilidades inherentes a un responsable de datos se activan. Efectivamente, se aplicará el mismo régimen legal que cuando cualquier persona utiliza otras plataformas tecnológicas para divulgar datos personales en Internet. En varios Estados Miembros, la falta de restricciones de acceso (y así el carácter público) significa que la Directiva de Protección de Datos se aplica en el sentido de que el usuario de Internet adquiere responsabilidades de un responsable de datos. No obstante, el GT29 hace constar que, aunque la exención doméstica no se aplique, el usuario de SRS puede beneficiarse de otras exenciones como la exención con fines periodísticos o de expresión literaria o artística. En dichos casos, se ha de llegar a un equilibrio entre la libertad de expresión y el derecho a la privacidad. Finalmente, el GT29 aborda un tercer escenario en que la “exención doméstica” no sería aplicable. Se trata de aquellos supuestos en los que es preciso garantizar los derechos de terceros, particularmente en relación con datos sensibles. No obstante, se hace constar que, aun cuando se aplique la “exención doméstica”, un usuario podría ser responsable de acuerdo con las disposiciones generales de la legislación civil o penal nacional en cuestión (por ejemplo, por difamación, responsabilidad civil extracontractual por suplantación de personalidad, responsabilidad penal). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/13 En el Dictamen se aclara el concepto de “datos sensibles”. Así, los datos que revelan el origen racial o étnico, opiniones políticas, creencias religiosas o filosóficas, la pertenencia a un sindicato o datos relativos a la salud o a la vida sexual se consideran sensibles. Los datos personales sensibles solo se pueden publicar en Internet con el consentimiento explícito del sujeto de datos o si el sujeto de datos ha hecho que los datos sean manifiestamente públicos él mismo. En consecuencia, de conformidad con el criterio interpretativo mantenido por el GT29, es preciso que concurra alguno de los escenarios expuestos, en los que la “exención doméstica” no resulta de aplicación, para que sean aplicables los requisitos previstos en la LOPD. En el presente caso no concurre ninguna de las excepciones expuestas, siendo por tanto plenamente aplicable la normativa de protección datos a la publicación de datos personales en Facebook sin restricciones de acceso para el resto de usuarios de la red social. En este sentido, ha quedado acreditado el tratamiento sin consentimiento de los datos personales del denunciante, por cuanto con fecha 9 de enero de 2014 desde esta Agencia Española de Protección de Datos se accedió a Facebook verificando la existencia del perfil www.facebook.com........... donde constaban diversas fotografías, entre ellas la fotografía del denunciante, junto con su nombre y primer apellido. IV El artículo 44.3.
11. b)de la LOPD, en su vigente redacción aprobada por Ley 2/2011, de 4 de marzo, de Economía Sostenible, tipifica como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. La Audiencia Nacional ha manifestado en su Sentencia de 22 de octubre de 2003 que <<la descripción de conductas que establece el artículo 44.3d) de la Ley Orgánica 15/1999 cumple las exigencias derivadas del principio de tipicidad, a juicio de esta Sala, toda vez que del expresado precepto se desprende con claridad cuál es la conducta prohibida. En efecto, el tipo aplicable considera infracción grave “tratar de forma automatizada los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la Ley”, por tanto, se está describiendo una conducta –el tratamiento automatizado de datos personales o su uso posterior- que precisa, para configurar el tipo, que dicha conducta haya vulnerado los principios que establece la Ley Orgánica. Ahora bien, estos principios no son de aquellos que deben inferirse de dicha regulación legal, sino que aparecen claramente determinados y relacionados en el título II de la Ley, concretamente, por lo que ahora interesa, en el artículo 6 se recoge un principio que resulta elemental en la materia, que es la necesidad de consentimiento del afectado para que puedan tratarse automatizadamente datos de carácter personal. Por tanto, la conducta ilícita por la que se sanciona a la parte recurrente como responsable del tratamiento consiste en usar datos sin consentimiento de los titulares de los mismos…>> En el caso analizado, debe considerarse incumplido el principio de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/13 consentimiento regulado en el artículo 6 de la LOPD, lo que, en consecuencia, supone la comisión de una infracción tipificada como grave en el trascrito artículo 44.3.
12. b)de la citada Ley Orgánica. V El citado Reglamento del procedimiento para el ejercicio de la Potestad Sancionadora, establece en su artículo 7 “Vinculaciones con el orden jurisdiccional penal. 1. En cualquier momento del procedimiento sancionador en que los órganos competentes estimen que los hechos también pudieran ser constitutivos de ilícito penal, lo comunicarán al Ministerio Fiscal, solicitándole testimonio sobre las actuaciones practicadas respecto de la comunicación. En estos supuestos, así como cuando los órganos competentes tengan conocimiento de que se está desarrollando un proceso penal sobre los mismos hechos, solicitarán del órgano judicial comunicación sobre las actuaciones adoptadas. 2. Recibida la comunicación, y si se estima que existe identidad de sujeto, hecho y fundamento entre la infracción administrativa y la infracción penal que pudiera corresponder, el órgano competente para la resolución del procedimiento acordará su suspensión hasta que recaiga resolución judicial. 3. En todo caso, los hechos declarados probados por resolución judicial penal firme vinculan a los órganos administrativos respecto de los procedimientos sancionadores que sustancien.” Por otro lado, los artículos 24.2 de la Constitución y 137 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, reconocen el derecho a la presunción de inocencia en el ámbito del procedimiento administrativo sancionador. Su contenido esencial implica no sólo la acreditación de los hechos ilícitos, sino también “...la prueba de la responsabilidad del sujeto en la comisión de los mismos” (STS 3º de 2 de julio de 1990). En el presente caso, en la citada sentencia del Juzgado de Instrucción nº 5 de ***MUNICIPIO.2 se recoge que: “…es procedente acordar el sobreseimiento provisional de las presentes diligencias por no aparecer suficientemente justificada la perpetración por los denunciados, de los hechos que se le imputaban…”, por lo que al no haber podido determinar el responsable de la infracción, procede el archivo del presente procedimiento. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO ARCHIVAR el presente procedimiento a D. A.A.A., D. B.B.B. y D. C.C.C.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/13 SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A., D. B.B.B., D.C.C.C. y a D. D.D.D.. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es