1/6 Procedimiento nº.: E/01829/2012 ASUNTO: Recurso de Reposición Nº RR/00312/2013 Examinado el recurso de reposición interpuesto por PRIVACIDAD EN INTERNET, S.L. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/01829/2012, y en base a los siguientes HECHOS PRIMERO: Con fecha 14/03/2013, se dictó Resolución por el Director de la Agencia Española de Protección de Datos en el expediente E/01829/2012, en la que se acordó archivar el expediente de actuaciones previas de investigación seguidas contra las entidades GOOGLE, INC y GOOGLE SPAIN, S.L., de oficio y en virtud de denuncia presentada por la entidad PRIVACIDAD EN INTERNET S.L, cuyo objeto era analizar la adecuación a la normativa de protección de datos de carácter personal de los procedimientos de recogida y tratamiento de datos por parte llevada a cabo por aquellas entidades durante el año 2012 en el marco del proyecto denominado “Google Street View”, que permite observar imágenes de las calles y carreteras de numerosos países del mundo, entre los que se encuentra España, captadas por una flota de vehículos que recorren las carreteras y calles del territorio de que se trate. En concreto, en la denuncia formulada por la entidad PRIVACIDAD EN INTERNET, S.L. se realizaron las siguientes manifestaciones: 1. Entiende que esta Agencia está autorizando la captación, mediante la utilización de sistemas informáticos y ópticos, y medios para su tratamiento situados en territorio español, de imágenes de personas, matrículas de vehículos y cualesquiera otros datos personales que pudieran figurar en la vía pública, con destino a ser publicadas en Internet. 2. Dado que las imágenes captadas contienen datos de carácter personal y que la normativa española de protección de datos es aplicable a la GOOGLE Inc. en calidad de responsable del tratamiento, dicha entidad está infringiendo lo dispuesto en el artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), en tanto carece del consentimiento de las personas que aparecen en las imágenes captadas por sus vehículos. 3. El hecho de que las imágenes publicadas en Internet aparezcan con la información personal difuminada no exime a GOOGLE Inc. de la necesidad de recabar el consentimiento previo de quienes aparecen en ellas, ya que para poder realizar la tarea de difuminación previamente es necesario tener una imagen original. 4. Algunas de las imágenes han sido publicadas sin que el proceso de difuminado se haya aplicado y dicha publicación infringe lo dispuesto en el artículo 10 de la LOPD, al vulnerar el deber de secreto del responsable del tratamiento. 5. En la nota de prensa se indica que la Agencia ha solicitado a GOOGLE Inc. la inscripción de un fichero en el Registro General de Protección de Datos, por lo que entiende que ésta ha vulnerado lo previsto en el artículo 26.1 de la LOPD al no haberlo hecho con anterioridad al inicio del servicio en el año 2008. SEGUNDO: Teniendo en cuenta los hechos que motivaron las actuaciones y las comprobaciones realizadas por los Servicios de Inspección de la Agencia Española de Protección de Datos, se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 dictó la Resolución impugnada, de fecha 14/03/2013, en la que se valoró, por un lado, que la única información concerniente a personas físicas identificadas o identificables captada durante la campaña de recogida de datos desarrollada durante 2012 consistió en imágenes fotográficas de personas y números de matrícula de vehículos, y, por otro lado, que la finalidad última del mencionado servicio no es la recogida de información relativa a las personas y su posterior tratamiento, sino la prestación de un servicio de cartografía. Así mismo, se tuvieron en cuenta otros elementos verificados en las actuaciones por los Servicios de Inspección de la Agencia, establecidos para evitar o minimizar el riesgo para la intimidad de las personas, y se concluyó que, en este caso, la recogida de imágenes de personas y de matrículas de vehículos y su posterior tratamiento en el marco de las actividades de prestación del servicio “Google Street View”, analizadas en este procedimiento, no constituyen una infracción de la normativa de protección de datos de carácter personal. TERCERO: Dentro del plazo establecido, se recibió en esta Agencia recurso de reposición interpuesto por la entidad PRIVACIDAD EN INTERNET, S.L., en los que solicita la apertura de procedimiento sancionador por infracción de lo dispuesto en los artículos 26, 10, 5.1 y 6.1 de la LOPD. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En primer término, conviene delimitar si PRIVACIDAD EN INTERNET, S.L., en su condición de denunciante, está legitimada para interponer recurso de reposición con el propósito de que la resolución impugnada se revise “in peius” para el denunciado, si existe interés suficiente y legítimo para la impugnación de la resolución por parte del recurrente, al objeto de que se imponga sanción. El artículo 107.1 de la LRJPAC, referido a los recursos administrativos, a su “Objeto y clases”, establece lo siguiente: “1. Contra las resoluciones y los actos de trámite, si estos últimos deciden directa o indirectamente el fondo del asunto, determinan la imposibilidad de continuar el procedimiento, producen indefensión o perjuicio irreparable a derechos e intereses legítimos, podrán interponerse por los interesados los recursos de alzada y potestativo de reposición…”. Por otra parte, el artículo 31.1 de la misma norma define el “Concepto de interesado” en los siguientes términos: “1. Se consideran interesados en el procedimiento administrativo:
- a)Quienes lo promuevan como titulares de derechos o intereses legítimos individuales o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 colectivos.
- b)Los que, sin haber iniciado el procedimiento, tengan derechos que puedan resultar afectados por la decisión que en el mismo se adopte.
- c)Aquellos cuyos intereses legítimos, individuales o colectivos, puedan resultar afectados por la resolución y se personen en el procedimiento en tanto no haya recaído resolución definitiva”. La cuestión suscita exige considerar el objeto y ámbito subjetivo de la LOPD. El artículo 18.4 de la Constitución Española establece en que: “la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, consagrándose así el derecho a la protección de datos como un derecho autónomo, incluso del propio derecho a la intimidad, tal y como ha indicado la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre. El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala que “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el artículo 3.
- a)de la citada LOPD como “Cualquier información concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
- a)de la Directiva 95/46/CE, del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo la Directiva), según el cual se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. De los artículos 1 y 2.1 de la LOPD citados se deduce claramente que el ámbito subjetivo de aplicación de la LOPD no ampara a las personas jurídicas, que no gozarán de ninguna de las garantías establecidas en la Ley, y que tan sólo resulta aplicable al tratamiento de datos de carácter personal relacionados con personas físicas. El fundamento de la delimitación de este ámbito de aplicación reside en que si la protección de los datos personales se refiere a la intimidad personal y familiar, no puede entenderse que las empresas gocen de la citada intimidad y, por tanto, no puede ser aplicable a éstas, aún cuando la actividad de la empresa en el tráfico jurídico se deba realizar necesariamente a través de un apoderamiento a favor de una persona física. De este modo, quedarán excluidos de las garantías de la LOPD los datos que se refieran a personas jurídicas, en todos los casos, así como los relativos a los profesionales (en aquellos casos en los que organicen su actividad bajo la forma de empresa, ostentando, en consecuencia, la condición de comerciante a la que se refieren los artículos primero y siguientes del Código de Comercio) y a los empresarios individuales siempre que su actividad comercial o profesional pueda diferenciarse en cada caso, de manera clara y determinante, de su propio entorno de privacidad como persona física. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 En definitiva, tanto las personas jurídicas, en todo caso, como los profesionales y los comerciantes individuales, cuando realizan una actividad que pueda distinguirse sin duda de su actividad privada, quedarán fuera del ámbito de aplicación subjetivo de la LOPD. Estos dos últimos sólo en los estrictos términos anteriormente señalados, esto es, cuando sus datos hayan sido tratados tan sólo en su consideración de empresarios o profesionales individuales. A este respecto, el artículo 2, apartados 2 y 3, del Real decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, establece lo siguiente: “2. Este reglamento no será aplicable a los tratamientos de datos referidos a personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales. 3. Asimismo, los datos relativos a empresarios individuales, cuando hagan referencia a ellos en su calidad de comerciantes, industriales o navieros, también se entenderán excluidos del régimen de aplicación de la protección de datos de carácter personal”. De acuerdo con lo expuesto, en este caso, PRIVACIDAD EN INTERNET, S.L. no es titular de un derecho o interés legítimo que haya resultado afectado por la decisión adoptada en la resolución de fecha 14/03/2013, que permita atribuirle la condición de interesado en las presentes actuaciones y que, por consiguiente, le facultase para recurrir dicho acto. Tampoco la condición de denunciante otorga por sí la de interesado. Cabe señalar, además, que la LOPD y el Reglamento de desarrollo no se refieren a interesado sino al afectado, condición esta que no concurre en la entidad PRIVACIDAD EN INTERNET, S.L. Por otra parte, la línea jurisprudencial del Tribunal Supremo, Sala de lo Contencioso, sección: 6, recurso: 4712/2005, de 06/10/2009 determina que “El argumento crucial en esta materia es que el denunciante, incluso cuando se considere a sí mismo "víctima" de la infracción denunciada, no tiene un derecho subjetivo ni un interés legítimo a que el denunciado sea sancionado. El poder punitivo pertenece únicamente a la Administración que tiene encomendada la correspondiente potestad sancionadora -en este caso, la Agencia Española de Protección de Datos - y, por consiguiente, sólo la Administración tiene un interés tutelado por el ordenamiento jurídico en que el infractor sea sancionado”. En el mismo sentido se ha manifestado la SAN 27/5/2010: "quien denuncia hechos que considera constitutivos de infracción de la legislación de protección de datos carece de legitimación activa para impugnar en vía jurisdiccional lo que resuelva la Agencia.(...) La razón es, en sustancia, que el denunciante carece de la condición de interesado en el procedimiento sancionador que se puede incoar a resultas de su denuncia. Ni la Ley Orgánica de Protección de Datos ni su Reglamento de desarrollo le reconocen esa condición (...) El argumento crucial en esta materia es que el denunciante, incluso cuando se considere a sí mismo "víctima" de la infracción denunciada, no tiene un derecho subjetivo ni un interés legítimo a que el denunciado sea sancionado". Aplicando la doctrina pacífica del Tribunal Supremo, conforme a la cual “la denuncia no convierte al denunciante en titular de un derecho subjetivo ni de un interés personal o legítimo que hubiera de traducirse en un beneficio o utilidad” (STSS. de 23/06/1997, 22/12/1997, y 06/03/2003); la circunstancia de haber presentando la actual reclamante la denuncia no le otorga C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 por sí mismo la condición de persona interesada. Aceptar la legitimación activa del denunciante no sólo conduciría a sostener que ostenta un interés que el ordenamiento jurídico no le reconoce ni protege, sino que llevaría también a transformar a los tribunales contencioso-administrativos en una especie de órganos de apelación en materia sancionadora. Esto último supondría dar por bueno que pueden imponer las sanciones administrativas que no impuso la Administración, lo que chocaría con el llamado "carácter revisor" de la jurisdicción contencioso-administrativo. Por otro lado, la sentencia del Tribunal Supremo, Sala de lo Contencioso, sección: 7, nº de Recurso: 234 / 1995, de 12/09/1997 refiere que el concepto de legitimación y su atribución a un sujeto determinado responden a una misma idea en la vía administrativa y en la contenciosoadministrativa: la titularidad por parte del legitimado de un derecho o de un interés legítimo en que prospere su pretensión, como se desprende fundamentalmente del artículo 24.1 de la Constitución y se recoge en el artículo 31 de la LRJPAC. El interés legítimo equivale a una titularidad potencial de una posición de ventaja o de una utilidad jurídica por parte de quien ejercita la pretensión y que se materializaría de prosperar ésta. Es decir, la relación entre el sujeto y el objeto de la pretensión, con la que se define la legitimación activa, comporta el que la anulación del acto que se recurre, para que se imponga una sanción, sea en vía administrativa o jurisdiccional, produzca de modo inmediato un efecto positivo (beneficio) o negativo (perjuicio) actual o futuro para el legitimado, pero cierto. Por decirlo con palabras del Tribunal Constitucional (S.T.C. 143/1987, F.D. 3º) el interés legítimo, al que se refiere el art. 24.1 (en el que debe disolverse el concepto más restrictivo del art. 28.1.a L.J.C.A.), "equivale a titularidad potencial de una posición de ventaja o de una utilidad jurídica por parte de quien ejercita la pretensión y que se materializaría de prosperar ésta" (SS.T.C. 60/1982, 62/1983, 257/1988 y 97/1991, entre otras)". No existiendo en el supuesto examinado la titularidad de un derecho subjetivo, que en ningún caso puede atribuirse al denunciante de una infracción de protección de datos en relación con la sanción de la misma, no se advierte que la recurrente tenga un interés legítimo en la impugnación ante esta Agencia de la resolución dictada, porque la situación jurídica del denunciante-recurrente no experimenta ventaja alguna por el hecho de que se sancione al denunciado. Por lo tanto, en el presente recurso de reposición, el recurrente no se halla legitimado para que la resolución dictada sea modificada. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por PRIVACIDAD EN INTERNET, S.L. contra la resolución de esta Agencia dictada con fecha 14 de marzo de 2013, en el expediente de actuaciones previas de inspección E/01829/2012. SEGUNDO: NOTIFICAR la presente resolución a PRIVACIDAD EN INTERNET, S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es