1/5 Procedimiento nº.: A/00291/2017 ASUNTO: Recurso de Reposición Nº RR/00881/2017 Examinado el recurso de reposición interpuesto por A.A.A. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento de apercibimiento, A/00291/2017, y en base a los siguientes, HECHOS PRIMERO: Con fecha 3/11/2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento A/00291/2017, en virtud de la cual se acordaba Apercibir a A.A.A., por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.b), de la citada Ley Orgánica. Dicha resolución, que fue notificada al recurrente en fecha 17/11/2017, fue dictada previa la tramitación del correspondiente procedimiento, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. SEGUNDO: Como hechos probados del citado procedimiento A/00291/2017, se declararon: 1) B.B.B. denuncia a A.A.A. por haber expuesto en un grupo de FACEBOOK público y abierto llamado ***GRUPO.1 su currículum profesional. Aportó impresión de pantalla de dicha página en la que en las referencias A.A.A. figuran comentarios del denunciante y “Ahí está el currículo”, aportando copia del mismo insertada en la página, pudiendo ver la foto del denunciante y la fecha 16/05. El currículum contiene estudios, cursos y desarrollo laboral desde 2003, dirección, correo electrónico y número de teléfono. El servicio de Inspección comprobó accediendo a FACEBOOK que en un foro en el que participaban varis personas se comenta la declaración del denunciante en un juicio y aparece el denunciado A.A.A. insertando el currículum del denunciante. También figura que el denunciado expone en dicha página parte de una sentencia en la que se puede leer que el denunciante denunció al denunciado por amenazas y la parte del fallo en la que se puede leer que queda absuelto del delito de amenazas. En impresión de noticia de la web ***URL.1 se imprime el 23/05/2017 la noticia en la que consta una entre vista al denunciado que ostenta el cargo de Secretario General de ***PARTIDO.1 2) El denunciante amplía su denuncia el 4/09/2017, al verificar que con fecha 2/09/2017 aparece de nuevo expuesto por la misma persona el currículum en FACEBOOK, grupo ***GRUPO.2aportando copia impresa de la misma. De nuevo el denunciante en escrito de 14/09/2017 manifiesta que se ha vuelto a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/5 publicar. Aporta copia de impresiones de pantallas de ***GRUPO.1 imprimidas el 8/09/2017 en la que al hilo de A.A.A. figuran de nuevo hasta cinco inserciones del currículum, y en el grupo ***GRUPO.2 el 7 y 9/09/2017, hasta 6 veces. 3) Antes de iniciarse este procedimiento, el 2/09/2017, el Administrador del grupo ***GRUPO.2 advirtió al denunciado que retirara dicho documento que contiene datos personales expuestos sin autorización del afectado, constando la negativa de este, que los expuso varias veces con posterioridad a dicha fecha. 4) No consta que el denunciante participara en ninguna de las conversaciones de los foros de FACEBOOK indicados.” TERCERO: A.A.A. (en los sucesivo el recurrente) ha presentado en Correos el 21/11/2017 recurso de reposición. El mismo figura registrado de entrada en esta Agencia Española de Protección de Datos (AEPD) el 24/11/2017, y se fundamenta en: 1) No siendo responsable de la guarda de los datos expuestos, ni responsable del fichero no se le puede sancionar. También como consecuencia de no ostentar ninguna posición específica sobre los datos, no existe competencia que se cita en los artículos 37.
- g)y 36 de la LOPD en la resolución. El artículo 37
- f)señala:” Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, pero insiste que él no se encuentra en ninguna de esas categorías 2) La aseveración de que exponer el documento del denunciante es un tratamiento automatizado es una interpretación de la Directiva 95/46. 3) No se aplica la LOPD teniendo en cuenta que no será de a aplicación a los ficheros mantenidos por personas físicas en el ejercicio de actividades exclusivamente personales o domésticas, artículo 2.2. de la LOPD. 4) La publicación del documento la realizó en la cuenta de un grupo no en una cuenta de su titularidad. El Administrador no era él. El Administrador podría haber eliminado los documentos subidos por él y no lo hizo o podría haberle bloqueado, cosas que no hizo. 5) Obtuvo el currículo por “una circulación publica” provocada por el propio denunciante. La exposición se debe enfocar en el seno de un enfrentamiento personal por temas políticos que él tuvo que utilizar para defender su propio honor. 6) Solicita la revisión del apercibimiento para que quede “anulado”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/5 7) Cuando una persona se da de alta en FACEBOOK se le informa que sus datos se van a tatar en la sede de la entidad, en EEUU y se informa en dicha página que los conflictos se dirimirán en dicho país. Añade que el 16/05 en la primera publicación denunciada, “yo me encontraba en Brasil” y como se informa en la página, los datos serán tratados según las propias normas de FACEBOOK, estimando que esta fuera del ámbito de aplicación de la LOPD. Existe una clausula en la página de FACEBOOK que informa de las condiciones generales de la red y del uso de los datos del usuario. 8) En cuanto al cumplimiento del apercibimiento, aporta copia del enlace de la página canal Galicia on-line no figurando ahora ningún currículo del denunciante En la página de FACEBOOK de ***GRUPO.2, incluye el enlace que da acceso a la página y donde “no figura ya ninguna publicación” FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II Los Servicios de redes sociales SRS pueden definirse generalmente como plataformas de comunicación en línea que permiten a los individuos crear redes de usuarios que comparten intereses comunes. Los SRS comparten determinadas características: - Los usuarios deben proporcionar datos personales para generar su descripción o «perfil»; - Los SRS proporcionan también herramientas que permiten a los usuarios poner su propio contenido en línea (contenido generado por el usuario como fotografías, crónicas o comentarios, música, vídeos o enlaces hacia otros sitios); - Las «redes sociales» funcionan gracias a la utilización de herramientas que proporcionan una lista de contactos para cada usuario, con las que los usuarios pueden interactuar. Los proveedores de SRS, en este caso FACEBOOK, proporciona los medios que permiten tratar los datos de los usuarios, así como todos los servicios «básicos» vinculados a la gestión de los usuarios (por ejemplo, el registro y la supresión de cuentas). Los proveedores de SRS determinan también la manera en que los datos de los usuarios pueden utilizarse con fines publicitarios o comerciales, incluida la publicidad proporcionada por terceros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/5 Para el usuario el proceso comienza con registrarse, ingresando sus datos personales, lo que se denomina perfil de usuarios. Una vez que se ingresa en la comunidad, sólo resta buscar entre los otros usuarios a aquellos que tengan alguna relación o afinidad, invitarlos a formar parte de su lista de amistades y listo: se puede compartir todo. Desde el punto de vista de la red social, ésta sólo ofrece el marco tecnológico. Los contenidos son creados por personas que poseen un perfil en la red social. En este caso, el recurrente trata reiteradamente los mismos datos del denunciante no consentidos. El recurrente como ya se indicaba en la resolución recurrida es responsable del tratamiento de los datos del denunciante. Responsables de las infracciones pueden ser no solo el responsable del fichero, sino del tratamiento, como en este caso lo es el recurrente. Los tratamientos lo son las operaciones técnicas consistentes en que el denunciado una tras otra vez y reiteradamente como consta en hechos probados ha expuesto repetidamente el mismo documento sin contar con el consentimiento del afectado. Sobre que no es competente la AEPD, se debe indicar que los datos de usuarios para acceder a la plataforma y el uso de los mismos son responsabilidad de FACEBOOK, no así de la vulneración de los derechos que por acción u omisión causan los usuarios que vierten o exponen datos, documentos fotos etc. de personas sin su consentimiento. Sobre dichos usuarios, le es plenamente exigible la responsabilidad por tratar esos datos sin consentimiento de los afectados que delimita la LOPD tratándose de un derecho fundamental del afectado. Por lo tanto, en el presente recurso de reposición, A.A.A. no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 3/11/2017, en el procedimiento A/00291/2017. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/5 Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es