REPOSICION-PS-00450-2016

1/19 Procedimiento nº.: PS/00450/2016 ASUNTO: Recurso de Reposición Nº RR/00877/2017 Examinado el recurso de reposición interpuesto por la entidad FACEBOOK, INC, contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00450/2016, y en base a los siguientes HECHOS PRIMERO: Con fecha 4 de octubre de 2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00450/2016, en virtud de la cual se imponía a FACEBOOK, INC,, una sanción consistente en multa de ciento cincuenta mil euros (150.000 €), por la infracción del artículo 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD); infracción tipificada como grave en el artículo 44.3.

1. d)de la LOPD y de acuerdo con lo establecido en el artículo 45 de la LOPD. Dicha resolución, que fue notificada al recurrente en fecha 5 de octubre de 2017, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 de diciembre. SEGUNDO: Como hechos probados del citado PS/00450/2016, quedó constancia de los siguientes: procedimiento sancionador, <<PRIMERO: Que Con fecha 11 de mayo de 2016 Dª. A.A.A. manifestó a esta Agencia Española de Protección de Datos que, como usuaria de la red social FACEBOOK, había comprobado que existe un chat en la versión web, pudiéndose activar o desactivar a voluntad por el usuario; denominado Messenger en la versión para teléfono móvil. Añadía que este servicio permite a un usuario de FACEBOOK conocer cuándo otros usuarios están activos y cuándo ha sido su última conexión. Manifestaba en su denuncia que no hay una opción para impedir que un usuario pueda monitorizar la actividad de otros usuarios, incluso cuando ese servicio de chat se encuentra desactivado y oculto, con una actualización instantánea de última conexión cada vez que el usuario entra en su cuenta (conocida como Timestamp), siendo visible para todos los contactos. Como no hay opción de inhabilitación, ello permite que terceras personas puedan ver permanentemente el ritmo y acciones de conexión (folio 1). SEGUNDO: Que la Inspección de Datos de esta Agencia ha constatado que el servicio de chat de FACEBOOK es un servicio de mensajería instantánea que está disponible de forma exclusiva para los usuarios registrados en FACEBOOK y que permite el intercambio de contenidos entre los mismos, tanto aquellos calificados como “amigos” como los que tienen dicha relación en la red social (folio 25). TERCERO: Que igualmente ha constado, a fecha de 3 de junio de 2016, que C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/19 ligado a este chat aparece un listado de los “amigos” del usuario en la misma red social; siendo necesario para aparecer en ese listado el realizar una acción explícita por parte del usuario y seleccionar al tercero como “amigo” dentro de la red (folios 25 y 31 a 36). CUARTO: Que si un “amigo” del usuario tiene una sesión iniciada en FACEBOOK y el servicio de chat activado, en la cuenta del usuario y asociado al nombre del “amigo” aparece una señal, consistente en un indicador verde, que revela que el “amigo” tiene una sesión abierta en FACEBOOK en ese momento. Si no aparece un indicador verde, aparecerá un valor numérico que revela en minutos cuándo tiempo hace que tuvo ese “amigo” su sesión abierta en Facebook por última vez (folios 25 y 31 a 36). QUINTO: Que si un “amigo” del usuario tiene el servicio de chat desactivado, asociado al nombre del “amigo” aparece una indicación de “1 min” si el “amigo” ha cerrado la sesión aproximadamente un minuto antes o está todavía con la sesión abierta en FACEBOOK (en vez de un indicador verde). Si el “amigo” ha cerrado la sesión en la cuenta del usuario aparece la misma información que en el caso de que el “amigo” tenga el servicio de chat activado, es decir, el valor en minutos que indica cuánto tiempo hace que tuvo el “amigo” su sesión abierta en FACEBOOK por última vez. La revelación de la información es recíproca, el usuario está revelando la información de conexión a sus “amigos”, y estos a su vez la revelan al usuario (folios 25 y 31 a 36). SEXTO: Que si el usuario con el que pretende chatear, o se ha chateado en el pasado, ya no está en la lista de sus “amigos”, porque dicha condición se ha deshabilitado, bien por el propio usuario o por el “amigo”, la referencia a dicho “amigo” desaparece de la lista de personas con las que el usuario puede establecer una conversación y también desparece la revelación de los tiempos de conexión en ambos sentidos (folios 25 y 31 a 36). SÉPTIMO: Que la Inspección de Datos constató, a fecha 6 de junio de 2016, que en la página principal de la política de privacidad de FACEBOOK no se encuentra una información explícita sobre la recopilación de información en el Chat/Messenger y su posterior utilización o revelación a terceros y que no hay una referencia de cómo administrar el registro de tiempos de conexión, según se constata en la información obtenida a través de Internet en el sitio https://www.facebook.com/privacy/explanation al que se accede pulsando el enlace Privacidad en el sitio www.facebook.com, y de la página https://www.facebook.com/help/437430672945092 el apartado “¿Qué incluye mi registro de actividad?” (folios 26 y 40 a 50). OCTAVO: Que la Inspección de Datos ha constatado, también a fecha 6 de julio de 2016, que en el apartado de Privacidad de las opciones de Configuración de la cuenta de un usuario registrado en FACEBOOK no consta información o enlaces para la gestión de la revelación de tiempos de conexión del usuario a terceros dentro de la red social a través de este servicio de chat (folios 26 y 40 a 50). NOVENO: Que, a fecha de 3 de junio de 2016, y siguiendo el enlace “Más Información”, en la ventana emergente que aparece cuando se desea desactivar el servicio de chat no aparece un enlace, al menos directo, sobre la forma en cómo se revela a terceros la información de conexión o la forma de deshabilitarla (folios 27, 28 y 37 a 39). DÉCIMO: Que FACEBOOK manifestó a esta Agencia, en fase de actuaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/19 previas de investigación, en relación con el Apéndice “Respuesta a las Preguntas de la Solicitud de Información”, que el procedimiento para evitar que otros usuarios calificados como amigos obtengan información del tiempo de desconexión de dicho primer usuario a su cuenta de FACEBOOK está descrito en el enlace: https://www.facebook.com/help/389645087895231” y que este proceso consistiría en bloquear a dicha persona en el chat (folios 11 a 23). ÚNDECIMO: Que la Inspección de Datos ha constatado que, a fecha 5 de julio de 2016, la información que aparece en dicho enlace es la siguiente: “Si bloqueas los mensajes de alguien: Ya no podrá ponerse en contacto contigo (por ejemplo, enviarte mensajes o llamarte) en Messenger ni en el chat de Facebook. Tampoco podrás ponerte en contacto con esa persona en Messenger ni en el chat de Facebook. Si tú y la persona bloqueada estáis juntas en una conversación en grupo, se te notificará antes de que entres a la conversación. Si eliges entrar a una conversación en grupo en la que está la persona bloqueada, podrás ver sus mensajes y ella podrá ver los tuyos. Obtén más información sobre cómo bloquear los mensajes de alguien. Bloquear a alguien en Messenger no lo bloquea automáticamente en Facebook. Obtén más información sobre cómo bloquear personas en Facebook. En el enlace “Obtén más información sobre cómo bloquear los mensajes de alguien”, se muestra la siguiente información: Para bloquear los mensajes de alguien en Facebook: Abre una conversación con la persona a la que te gustaría bloquear. Haz clic en . Haz clic en Bloquear mensajes > Bloquear mensajes. Obtén más información sobre qué ocurre cuando bloqueas los mensajes de alguien y cómo desbloquear los mensajes de alguien. Nota: Bloquear los mensajes de alguien no es lo mismo que bloquearlos en Facebook. Si bloqueas los mensajes de alguien pero no lo bloqueas en Facebook, seguirás pudiendo ver su perfil de Facebook. Dependiendo de su configuración de privacidad, también podrás ver sus actualizaciones de estado, comentarios, Me gusta y etiquetas en Facebook. Obtén más información sobre cómo bloquear personas en Facebook” (folios 28 y 51 a 53). DECIMOSEGUNDO: Que además se constató que, a fecha 5 de julio de 2016, el método señalado por FACEBOOK oculta la información de cuándo se ha conectado el usuario siempre y cuando se bloquee la capacidad de intercambiar mensajes con el “amigo” (permaneciendo en su status de “amigo”). Si el “amigo” pretende enviar un mensaje al usuario recibirá un mensaje como sigue: Esta persona no está recibiendo mensajes tuyos en este momento Es decir, es un método que se utiliza para cortar cualquier tipo de comunicación entre usuarios en el servicio de Chat, no sólo evitar la revelación de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/19 tiempos de conexión. El no querer revelar la información de conexión implica la imposibilidad de establecer un intercambio de mensajes de forma simultánea (folios 28, 29, 56 y 57). DECIMOTERCERO: Que la Inspección de Datos de esta Agencia, en fecha 6 de julio de 2016 ha realizado la siguiente comprobación: a. El usuario al desactivar el servicio de Chat recibe el siguiente mensaje: b. Se intenta medir la accesibilidad a la página “cómo bloquear los mensajes de alguien” en el que se describe el procedimiento para evitar que la información de conexión se revele a terceros en la lista de “amigos” del usuario mediante bloqueo en el Chat y que se encuentra en el enlace https://www.facebook.com/help/1682395428676916, a partir del enlace “Más Información” de la ventana anterior. c. Para ello se ha utilizado la herramienta HTTPrack, que con origen en el enlace “Más Información” https://www.facebook.com/help/465971196760390 ha procedido a realizar una descarga sistemática de las páginas a las que se puede desde el mismo, recorriendo los enlaces conectados a la página “Más Información”. d. Se ha comprobado que la página “cómo bloquear los mensajes de alguien” es accesible desde el enlace más información después de descargar previamente 152 páginas web en el dominio facebook.com (folios 29, 37 a 39 y 63 a 68). DECIMOCUARTO: Que FACEBOOK manifestó a esta Agencia, en relación con el Apéndice “Respuesta a las Preguntas de la Solicitud de Información”, que el sitio donde se informa a los usuarios sobre cómo se desvela a terceros la información sobre nuestros tiempos de conexión y sobre el comportamiento de los valores de los tiempos de desconexión es un enlace del Centro de Ayuda https://www.facebook.com/help/448141485230424 (folios 11 a 23). DECIMOQUINTO: Que la Inspección de Datos ha constatado, a fecha 5 de julio de 2016, que la información que aparece en dicho enlace es la siguiente: ¿Qué significa "activo" en los mensajes? Cuando mires tus conversaciones en tu teléfono o tableta, verás cuándo interactuaron tus amigos con Facebook por última vez. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/19 Se constata que en dicha página no aparece un enlace que permita acceder a la página, señalada en el punto anterior, que permite desactivar la revelación de dicha información (folios 28, 54 y 55). DECIMOSEXTO: Que FACEBOOK manifestó a esta Agencia en fecha 29 de junio de 2016 que sólo se almacena información sobre la última conexión, y que no se almacena un histórico de tiempos o momentos de conexión. La finalidad de la recogida de dicha información “solo es utilizada dentro del servicio de FACEBOOK para ofrecer el indicador verde que significa que el usuario está activo o la “última conexión” de dicho usuario”. También manifiesta que esa información no puede ser administrada por el propio usuario (folios 11 a 23). DECIMOSEPTIMO: Que la Inspección de Datos ha constatado en fecha 8 de julio de 2016 que en Internet se han encontrado páginas que describen cómo se puede acceder al historial de conexiones, pero referidos a versiones antiguas de las opciones de configuración de FACEBOOK que ya no se encuentran activas (folio 30). DECIMOCTAVO: Que FACEBOOK, INC. ha manifestado a esta Agencia en fecha 29 de junio de 2016 que FACEBOOK SPAIN no es un corresponsable, ni un establecimiento ni un representante de FACEBOOK, INC., siendo FACEBOOK IRELAND la empresa que proporciona el servicio de chat disponible para los usuarios registrados de FACEBOOK, INC. en España (folios 11 a 23). DECIMONOVENO: Que la Inspección de Datos de esta Agencia, según informe de fecha 1 de marzo de 2017, ha constatado que la página web para usuarios españoles utilizando dispositivos ubicados en territorio español que, consultados los servicios de registro de dominios de direcciones en Internet, el dominio “Facebook.com” está registrado a nombre de FACEBOOK, INC. en Menlo Park Estados Unidos y el dominio “Facebook.es” está registrado a nombre de FACEBOOK IRELAND; pero, al intentar acceder a la página www.facebook.es se comprueba que dicha página no existe, sino que existe una redirección a la página: eses.facebook.com (folio 232). VIGÉSIMO: Que se ha constatado igualmente, según ese mismo informe citado en el punto anterior, que los centros de datos de FACEBOOK se encuentran en Estados Unidos: en Altoona (que no se cita pero que se encuentra en el Condado de Blair, Estado de Pensilvania), Ashburn (Loudoun, Virginia), Forest City (Rutherford, Carolina del Norte), Lulea (Suecia, designada oficialmente en su día como sede del primer datacenter propio de la red social fuera de Estados Unidos, aunque tampoco allí se cita), Prineville (Crook, Oregón) y Sunnyvale (Silicon Valley, California) (folio 224)>>. TERCERO: FACEBOOK, INC, (en lo sucesivo la entidad recurrente) ha presentado en fecha 6 de noviembre de 2017 por correo certificado, con fecha de entrada en esta Agencia Española de Protección de Datos el 10 de noviembre de 2017, recurso de reposición fundamentándolo en síntesis que, como cuestiones preliminares, la ley aplicable al caso sería la ley irlandesa y la jurisdicción la autoridad de control de dicho país, no siendo la AEPD en consecuencia la competente para imponer la sanción que se recurre y que se ha vulnerado el derecho de defensa en el procedimiento tramitado, por la falta de debida notificación a una entidad no parte de ese procedimiento y ausencia de motivación debida. En las cuestiones de fondo, la resolución recurrida contiene varios errores fácticos en relación con el funcionamiento del chat de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/19 FACEBOOK, en concreto, se ha explicado con detalle la funcionalidad del LAT, proporcionando a los usuarios amplia información sobre el tratamiento de datos realizado, para los que se les dota de un grado de control considerable. Ello hace concluir que no se produce la infracción al artículo 10 de la LOPD. Por último, se realiza una indebida aplicación de los criterios de graduación de la sanción, dado que FACEBOOK, INC. no presta servicios en España. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II En relación con las manifestaciones efectuadas por el recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II a VII, ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<II Dadas las alegaciones realizadas por FACEBOOK, INC. sobre su falta de responsabilidad en el tratamiento de los datos personales de los usuarios de Facebook en la Unión Europea, hay que señalar, como cuestión preliminar, que la red social FACEBOOK se configura en torno a la entidad matriz FACEBOOK, INC., responsable última de toda la actividad en Internet de dicha plataforma de comunicación entre sus usuarios. De este modo, y tal como se desprende de la información que la propia plataforma FACEBOOK facilita en su web, tiene su sede principal en Estados Unidos, concretamente en California y está constatado que el dominio “Facebook.com” está registrado a nombre de FACEBOOK, INC. en Menlo Park Estados Unidos y el dominio “Facebook.es” está registrado a nombre de FACEBOOK IRELAND; página que como tal no existe, sino es una redirección a la página “es-es.facebook.com”. Además, a la vista de las alegaciones de FACEBOOK INC. en el sentido de que el responsable del tratamiento de los usuarios españoles en España es FACEBOOK IRELAND, hay que recordar la doctrina que el Tribunal Supremo marca en este tema, para distinguir al responsable del tratamiento de otros agentes. Así, su sentencia 1384/2016, Sala de lo Contencioso-Administrativo, Sección Sexta, de fecha 13 de junio de 2016, dice que: “El Dictamen 1/2010, sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» adoptado el 16 de febrero de 2010 por el (Grupo de Trabajo del artículo 29 de la Directiva 95/46/ CE (GT29), dice en relación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/19 con el concepto de responsable del tratamiento lo siguiente: <<El concepto de responsable del tratamiento es autónomo, en el sentido de que debe interpretarse fundamentalmente con arreglo a la legislación comunitaria de protección de datos, y funcional, en el sentido de que su objetivo es asignar responsabilidades en función de la capacidad de influencia de hecho, y, por consiguiente, se basa en un análisis de los hechos más que en un análisis formal>>. La definición de la Directiva consta de tres componentes fundamentales: el aspecto personal («la persona física o jurídica, autoridad pública, servicio o cualquier otro organismo»); la posibilidad de un control plural («que solo o conjuntamente con otros»); los elementos esenciales para distinguir al responsable del tratamiento de otros agentes («determine los fines y los medios del tratamiento de datos personales»). En relación con la determinación de los fines y los medios se señala que "el hecho de determinar los «fines» del tratamiento trae consigo la consideración de responsable del tratamiento (de facto). En cambio, la determinación de los «medios» del procesamiento puede ser delegada por el responsable del tratamiento en la medida en que se trate de cuestiones técnicas u organizativas. Sin embargo, las cuestiones de fondo que sean esenciales a efectos de la legitimidad del tratamiento -como los datos que deban tratarse, la duración de su conservación, el acceso, etc.- deben ser determinadas por el responsable del tratamiento". No cabe duda alguna de que Google Inc., que gestiona el motor de búsqueda Google Search, es responsable del tratamiento de datos, al determinar los fines, las condiciones y los medios del tratamiento de datos personales. No obstante, ello no implica que Google Inc. sea responsable del tratamiento en solitario, ya que no podemos olvidar que el citado artículo 2.
2. d)de la Directiva 95/46/CE, alude a que la determinación de los fines y los medios del tratamiento de datos personales se puede hacer "sólo o conjuntamente con otros", máxime si tenemos en cuenta, que "las actividades del gestor del motor de búsqueda y las de su establecimiento situado en el Estado miembro de que se trate están indisociablemente ligadas, dado que las actividades relativas a los espacios publicitarios constituyen el medio para que el motor de búsqueda en cuestión sea económicamente rentable y dado que este motor es, al mismo tiempo, el medio que permite realizar las mencionadas actividades" (apartado 56 de la Sentencia del TJUE de 13 de mayo de 2014 ). A este respecto, en el Dictamen 1/2010 del GT29 se dice: "En el dictamen de la Comisión sobre la enmienda del PE, la Comisión menciona la posibilidad de que «varias partes determinen conjuntamente, para una única operación de tratamiento, los fines y los medios del tratamiento que se vaya a llevar a cabo» y, por lo tanto, en tal caso, «cada uno de estos corresponsables del tratamiento debe considerarse vinculado por las obligaciones impuestas por la Directiva de proteger a las personas físicas cuyos datos se estén tratando»" . Se añade que "la definición de tratamiento contenida en el artículo 2.
3. b)de la Directiva no excluye la posibilidad de que distintos agentes estén implicados en diferentes operaciones o conjuntos de operaciones en materia de datos personales. Estas operaciones pueden producirse simultáneamente o en distintas fases". Y se concluye que "la participación de las partes en la determinación de los fines y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/19 los medios del tratamiento en el contexto del control conjunto puede revestir distintas formas y el reparto no tiene que ser necesariamente a partes iguales... Los distintos grados de control pueden dar lugar a distintos grados de responsabilidad, y desde luego no cabe presumir que haya una responsabilidad solidaria en todos los casos. Por lo demás, es muy posible que en sistemas complejos con varios agentes el acceso a datos personales y el ejercicio de otros derechos de los interesados también los puedan garantizar distintos agentes a diferentes niveles" (el subrayado es de esta Agencia). A su vez la sentencia del Tribunal Supremo 210/2016, Sala de lo Civil, de fecha 5 de abril de 2016, que viene a decir que: “Los sujetos protegidos por la normativa sobre protección de datos son las personas físicas (art. 1 y 2.a de la Directiva). El efecto útil de la normativa comunitaria se debilitaría enormemente si los afectados hubieran de averiguar, dentro del grupo empresarial titular de un motor de búsqueda, cuál es la función concreta de cada una de las sociedades que lo componen, lo que, en ocasiones, constituye incluso un secreto empresarial y, en todo caso, no es un dato accesible al público en general. También se debilitaría el efecto útil de la Directiva si se diera trascendencia, en el sentido que pretende la recurrente Google Spain, a la personificación jurídica que el responsable del tratamiento de datos diera a sus establecimientos en los distintos Estados miembros, obligando de este modo a los afectados a litigar contra sociedades situadas en un país extranjero”. El funcionamiento de FACEBOOK en la Unión Europea es similar al funcionamiento de la red social en EEUU y el medio para que Facebook sea rentable consiste en mostrar anuncios publicitarios a todos los usuarios de la red, con independencia del país en el que se encuentren. En la página denominada “Declaración de Derechos y Responsabilidades” (punto 1.1.1 del Informe de la Inspección E/01235/2016), FACEBOOK manifiesta explícitamente en el apartado 9 que el objeto del servicio que está prestando es el de ofrecer publicidad. La finalidad publicitaria de la red social FACEBOOK la fija FACEBOOK, INC. como resulta notoriamente conocido, sin que FACEBOOK IRELAND haya establecido una finalidad diferente para los usuarios europeos. También resulta notorio que FACEBOOK, INC. es la entidad que ha diseñado el funcionamiento de la red social y la que determina qué datos de los usuarios recaba para satisfacer la finalidad publicitaria. Así las cosas no cabe ninguna duda de que FACEBOOK, INC. determina los fines, las condiciones y los medios del tratamiento de los datos de los usuarios europeos, lo que le convierte en responsable del tratamiento de estos datos. En consecuencia, hay que desestimar las alegaciones realizadas a este respecto por parte de FACEBOOK, INC., y por consiguiente debe considerarse que dicha entidad es responsable del tratamiento de datos personales de los usuarios de la plataforma FACEBOOK en la Unión Europea pues su participación en la determinación de los fines y los medios del tratamiento es clara como queda constatado en el presente expediente. La responsabilidad puede estar compartida con FACEBOOK IRELAND, al menos en la responsabilidad concerniente a la atención y la gestión de los derechos ARCO y en la gestión de datos de los usuarios de España y del resto de la Unión Europea, pero sin que se pueda negar la responsabilidad de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/19 matriz FACEBOOK, INC. en la determinación de los fines y los medios últimos de dicho tratamiento, dentro de la organización del grupo internacional empresarial. III En segundo lugar, en cuanto al ámbito de aplicación de la LOPD respecto de los hechos que se examinan en el presente procedimiento sancionador, se ha de declarar que las conductas analizadas han sido llevadas a cabo por FACEBOOK INC. en el marco de las actividades de un establecimiento del responsable del tratamiento en territorio español, además se han empleado medios situados en España por parte de FACEBOOK INC. La LOPD, en el párrafo segundo de su artículo 2.1, al referirse al “Ámbito de aplicación” de la norma, establece lo siguiente: “Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
4. a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.
5. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.
6. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito”. El último párrafo del artículo 5.1 de la misma norma establece lo siguiente: “Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento”. Por su parte, el artículo 3 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2008 (RLOPD), señala su ámbito territorial de aplicación en los siguientes términos: “1. Se regirá por el presente Reglamento todo tratamiento de datos de carácter personal:
7. a)Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español. Cuando no resulte de aplicación lo dispuesto en el párrafo anterior, pero exista un encargado del tratamiento ubicado en España, serán de aplicación al mismo las normas contenidas en el título VIII del presente Reglamento.
8. b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española, según las normas de Derecho internacional público. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/19
9. c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito. En este supuesto, el responsable del tratamiento deberá designar un representante establecido en territorio español. 2. A los efectos previstos en los apartados anteriores, se entenderá por establecimiento, con independencia de su forma jurídica, cualquier instalación estable que permita el ejercicio efectivo y real de una actividad” La normativa citada, que deriva de la legislación europea, debe ponerse en relación con lo establecido en el artículo 4, “Derecho nacional aplicable”, de la Directiva 95/46/CE (aplicable hasta el 25 de mayo de 2018, de acuerdo con lo establecido en el artículo 99 del Reglamento general de protección de datos, Reglamento UE 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la citada Directiva 94/46/CE), que establece lo siguiente: “Derecho nacional aplicable 1. Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:
10. a)el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable;
11. b)el responsable del tratamiento no esté establecido en el territorio del Estado miembro, sino en un lugar en que se aplica su legislación nacional en virtud del Derecho internacional público;
12. c)el responsable del tratamiento no esté establecido en el territorio de la Comunidad y recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea. 2. En el caso mencionado en la letra
13. c)del apartado 1, el responsable del tratamiento deberá designar un representante establecido en el territorio de dicho Estado miembro, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento”. Este artículo responde a las consideraciones que se plasman en los considerandos de la citada Directiva, en concreto los considerandos 18 y siguientes presentan la siguiente justificación del artículo 4 en cuestión: “