1/7 Procedimiento Nº: TD/00252/2017 RESOLUCIÓN Nº: R/01829/2017 Vista la reclamación formulada el 23 de enero de 2017, ante esta Agencia, por Dña. A.A.A. (en representación de D. C.C.C.), contra las entidades GOOGLE SPAIN, S.L. y GOOGLE INC., por no haber sido debidamente atendido su derecho de acceso. Realizadas las actuaciones procedimentales previstas en el artículo 117 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, se han constatado los siguientes, HECHOS PRIMERO: En fecha 26 de octubre de 2016, Dña. B.B.B. (en representación de D. C.C.C.) (en lo sucesivo, el reclamante) ejercitó el derecho de acceso a sus datos personales ante las entidades GOOGLE SPAIN, S.L. y GOOGLE INC. En concreto, solicitó el acceso al fichero que contiene los datos personales del afectado asociados con la cuenta D.D.D. en Google Payments, así como concretamente los movimientos realizados y considerados sospechosos que Google alega para su negativa al restablecimiento. Igualmente solicita, los datos personales que el responsable del fichero esté tratando del afectado, el origen de esos datos, en especial, las conexiones que se hayan podido producir entre su cuenta como desarrollador y su cuenta para realizar compras en las plataformas de Google, las comunicaciones de datos que se hayan producido entre Google y otras entidades, entre Google y sus filiales y entre los propios servicios de Google. Se solicitan igualmente, los criterios de valoración y el programa o programas utilizados que sirvieron para adoptar la decisión de cerrar la cuenta en Google Payments y otros servicios asociados a la cuenta de su representado. SEGUNDO: Con fecha 2 de noviembre de 2016, la entidad GOOGLE SPAIN, S.L. contestó a la solicitud de acceso, manifestando que Google Spain, S.L. no es responsable de la prestación de los servicios de Google, la mayoría de los cuales son prestados por Google Inc. Google Spain no está en condiciones de determinar si Google Inc. podría disponer de la información que solicita. Pueden dirigirle a los recursos en línea que Google Inc. pone a disposición de sus usuarios para acceder a los datos. Estas herramientas son accesibles a través de Mi Cuenta. Desde el Panel de Control puede consultar rápida y fácilmente un resumen de los datos asociados a su cuenta de usuario, como emails, contactos, historial de búsqueda e historial de ubicaciones. Google Takeout le permite descargar una copia de los datos almacenados en su cuenta de usuario. Si considera que la categoría de datos personales a los que se refiere su consulta no está disponible a través de ninguna de las herramientas indicadas anteriormente, puede dirigirse a Google Inc. a través del siguiente formulario en línea: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 https://support.google.com/policies/contact/sar?hl=es. Si considera que Google Spain podría disponer de datos personales suyos, para procesar su solicitud necesitan: copia del DNI, dirección de correo electrónico y dirección postal. TERCERO: En fecha 23 de enero de 2017, Dña. A.A.A. (en representación de D. C.C.C.) formuló reclamación de Tutela de Derechos, ante esta Agencia, contra las entidades GOOGLE SPAIN, S.L. y GOOGLE INC., por no haber sido debidamente atendido su derecho de acceso. CUARTO: Trasladadas sucesivamente la reclamación y los escritos de descargos que se produjeron en la tramitación de este expediente, y por lo que a efectos de la resolución de la presente reclamación interesa, se realizaron, en síntesis, las siguientes alegaciones: • Por parte de la entidad GOOGLE INC. se pone de manifiesto que han tenido noticia de la existencia de un procedimiento de Tutela de Derechos contra dicha entidad. El citado procedimiento se refiere al supuesto responsable del tratamiento con la confusa expresión Google Spain, S.L. (Google Inc.). A la vista de esa inusual forma de identificación de la parte frente a la que se dirige el procedimiento, teniendo en cuenta la consolidada jurisprudencia del Tribunal Supremo en la que se establece la falta de legitimación pasiva de Google Spain, S.L., comparece en el presente procedimiento Google, Inc. en el entendimiento de que es únicamente a quien la Agencia considera parte en el procedimiento. Que Google Inc. y Google Spain, S.L. han cumplido con la solicitud de derecho de acceso ejercitada por el reclamante. Como este derecho fue ejercitado ante Google Spain, S.L., fue esta sociedad quien remitió al reclamante una contestación en la que le indicaba que no era la sociedad responsable de ninguno de los servicios de Google y le facilitó información precisa sobre las distintas herramientas online que Google Inc. pone a disposición de sus usuarios para atender pretensiones de acceso. El reclamante no hizo uso de esa posibilidad, sino que se dirigió directamente a la AEPD. • La representante del reclamante alega que la solicitud de acceso se dirigió tanto a Google Spain, S.L. como a Google Inc., ya que el afectado ignora quién tiene la información sobre la que se solicita el acceso. Google Spain S.L. respondió con un documento genérico, dando una respuesta genérica e información que nada tenía que ver con lo que se solicitaba. Tampoco se atendió la información sobre la que se pide el acceso, ya que no es accesible por ningún mecanismo de los que Google Spain S.L. indica en su escrito. Respecto a Google Inc. nunca se llegó a recibir respuesta alguna. Que en el escrito de tutela de derechos ya se indicaron los datos sobre los que se pide el acceso, no siendo datos que puedan ser accedidos directamente por el afectado en ninguna herramienta online de las que dispone Google para sus usuarios, especialmente las indicadas por Google Spain S.L. en su genérica respuesta; esto es, Google Spain S.L. informó al afectado que podía encontrar la información sobre la que solicitaba el acceso en unos paneles o herramientas donde no consta esa información ni nada que se le parezca remotamente. La información además se ignora si está en poder de Google Inc. o de Google Spain S.L. o de ambas, de ahí que el derecho de acceso se dirigiera a ambas sociedades. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 FUNDAMENTOS DE DERECHO PRIMERO: La competencia para resolver la presente reclamación corresponde a la Directora de la Agencia Española de Protección de Datos, de acuerdo con el artículo 37.d), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en lo sucesivo, LOPD). SEGUNDO: El artículo 18.1 de la LOPD, señala que: “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 15 de la LOPD, dispone: “1. El interesado tendrá derecho a solicitar y obtener gratuitamente información de sus datos de carácter personal sometidos a tratamiento, el origen de dichos datos, así como las comunicaciones realizadas o que se prevén hacer de los mismos 2. La información podrá obtenerse mediante la mera consulta de los datos por medio de su visualización, o la indicación de los datos que son objeto de tratamiento mediante escrito, copia, telecopia o fotocopia, certificada o no, en forma legible e inteligible, sin utilizar claves o códigos que requieran el uso de dispositivos mecánicos específicos. 3. El derecho de acceso a que se refiere este artículo sólo podrá ser ejercitado a intervalos no inferiores a doce meses, salvo que el interesado acredite un interés legítimo al efecto, en cuyo caso podrán ejercitarlo antes. ” CUARTO: El artículo 27 del Reglamento de la LOPD, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, regula el derecho de acceso en los siguientes términos: "1. El derecho de acceso es el derecho del afectado a obtener información sobre si sus propios datos de carácter personal están siendo objeto de tratamiento, la finalidad del tratamiento que, en su caso, se está realizando, así como la información disponible sobre el origen de dichos datos y las comunicaciones realizadas o previstas de los mismos. 2. En virtud del derecho de acceso el afectado podrá obtener del responsable del tratamiento información relativa a datos concretos, a datos incluidos en un determinado fichero, o a la totalidad de sus datos sometidos a tratamiento. No obstante, cuando razones de especial complejidad lo justifiquen, el responsable del fichero podrá solicitar del afectado la especificación de los ficheros respecto de los cuales quiera ejercitar el derecho de acceso, a cuyo efecto deberá facilitarle una realización una relación de todos ellos. 3. El derecho de acceso es independiente del que otorgan a los afectados las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 leyes especiales y en particular la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común." QUINTO: El artículo 25 del Reglamento de la LOPD, establece: “1. Salvo en el supuesto referido en el párrafo 4 del artículo anterior, el ejercicio de los derechos deberá llevarse a cabo mediante comunicación dirigida al responsable del fichero, que contendrá:
- a)Nombre y apellidos del interesado; fotocopia de su documento nacional de identidad, o de su pasaporte u otro documento válido que lo identifique y, en su caso, de la persona que lo represente, o instrumentos electrónicos equivalentes; así como el documento o instrumento electrónico acreditativo de tal representación. La utilización de firma electrónica identificativa del afectado eximirá de la presentación de las fotocopias del DNI o documento equivalente. El párrafo anterior se entenderá sin perjuicio de la normativa específica aplicable a la comprobación de datos de identidad por las Administraciones Públicas en los procedimientos administrativos.
- b)Petición en que se concreta la solicitud.
- c)Dirección a efectos de notificaciones, fecha y firma del solicitante.
- d)Documentos acreditativos de la petición que formula, en su caso. 2. El responsable del tratamiento deberá contestar la solicitud que se le dirija en todo caso, con independencia de que figuren o no datos personales del afectado en sus ficheros. 3. En el caso de que la solicitud no reúna los requisitos especificados en el apartado primero, el responsable del fichero deberá solicitar la subsanación de los mismos. 4. La respuesta deberá ser conforme con los requisitos previstos para cada caso en el presente título. 5. Corresponderá al responsable del tratamiento la prueba del cumplimiento del deber de respuesta al que se refiere el apartado 2, debiendo conservar la acreditación del cumplimiento del mencionado deber…” SEXTO: En cuanto a la normativa aplicable, cabe señalar lo siguiente: El artículo 2 de la LOPD, señala en su apartado 1 su ámbito territorial de aplicación en los siguientes términos: “Se regirá por la presente Ley Orgánica todo tratamiento de datos de carácter personal:
- a)Cuando el tratamiento sea efectuado en territorio español en el marco de las actividades de un establecimiento del responsable del tratamiento.
- b)C/ Jorge Juan, 6 28001 – Madrid Cuando al responsable del tratamiento no establecido en territorio español, www.agpd.es sedeagpd.gob.es 5/7 le sea de aplicación la legislación española en aplicación de normas de Derecho Internacional público.
- c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito.” Este artículo traspone el artículo 4 de la Directiva 95/46/CE, que literalmente señala: “Derecho nacional aplicable 1. Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:
- a)el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable;
- b)el responsable del tratamiento no esté establecido en el territorio del Estado miembro, sino en un lugar en que se aplica su legislación nacional en virtud del Derecho internacional público;
- c)el responsable del tratamiento no esté establecido en el territorio de la Comunidad y recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea. 2. En el caso mencionado en la letra
- c)del apartado 1, el responsable del tratamiento deberá designar un representante establecido en el territorio de dicho Estado miembro, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento.” SÉPTIMO: En el supuesto aquí analizado, ha quedado acreditado que el reclamante ejercitó el derecho de acceso a sus datos personales ante Google Spain, S.L. y que dicha entidad contestó al reclamante, indicándole que no era la responsable de la prestación de los servicios de Google, dirigiéndole a los recursos en línea que Google pone a disposición de sus usuarios para acceder a sus datos. Añadiendo que si consideraba que la categoría de datos personales a los que se refería su consulta no estaba disponible a través de ninguna de las herramientas indicadas anteriormente, podía dirigirse a Google Inc. a través del siguiente formulario en línea: https://support.google.com/policies/contact/sar?hl=es. También acredita el reclamante haber remitido a GOOGLE INC. el ejercicio del derecho de acceso. Sin embargo, el Servicio de Correos únicamente acredita la “Salida de la Oficina Internacional de origen” C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 en fecha 28 de octubre de 2016. Una vez iniciado este procedimiento, la entidad Google Inc. manifiesta en sus alegaciones que el reclamante puede hacer uso de Mi Cuenta, el Panel de Control o Google Takeout. Y en el caso de que considere que la categoría de supuestos datos personales a los que se refiere su consulta no está disponible a través de ninguna de las herramientas indicadas anteriormente, puede dirigirse a Google Inc. a través del siguiente formulario en línea: https://support.google.com/policies/contact/sar. Sin embargo, el reclamante alega que la información sobre la que se pide el acceso, no es accesible por ningún mecanismo de los que tanto Google Spain S.L. como Google Inc. indican en sus escritos. Debe señalarse que las manifestaciones del reclamante son congruentes con el hecho de que, como ha comprobado esta Agencia, en las cuatro vías electrónicas de consulta ofrecidas por el prestador de servicio se requiere del usuario que, para poder ser identificado y autenticado, facilite su nombre de cuenta y contraseña, impidiéndose la conexión al tratarse precisamente de una cuenta suspendida. En este sentido, consta en la documentación aportada con la reclamación que, Google Play Support ha comunicado al reclamante que su cuenta como desarrollador quedaba cerrada, y Google Payments le ha informado de que la cuenta asociada quedaba suspendida de forma definitiva. El reclamante también manifiesta en sus alegaciones que, Google Inc., entidad que parece estar atendiendo la solicitud de acceso, al ser quien presenta las alegaciones a este procedimiento, nunca ha dado respuesta al ejercicio del derecho de acceso. A la vista de lo expuesto, procede estimar la presente reclamación de Tutela de Derechos respecto a GOOGLE INC. y desestimar dicha reclamación respecto a GOOGLE SPAIN, S.L. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR la reclamación formulada por Dña. A.A.A. (en representación de D. C.C.C.) e instar a la entidad GOOGLE INC. para que, en el plazo de los diez días hábiles siguientes a la notificación de la presente resolución, remita al reclamante certificación en la que se haga constar que ha atendido el derecho de acceso ejercido por éste, o deniegue motivada y fundadamente el acceso solicitado, pudiendo incurrir en su defecto en una de las infracciones previstas en el artículo 44 de la LOPD. Las actuaciones realizadas como consecuencia de la presente Resolución deberán ser comunicadas a esta Agencia en idéntico plazo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 SEGUNDO: DESESTIMAR la reclamación formulada por Dña. representación de D. C.C.C.) contra la entidad GOOGLE SPAIN, S.L. A.A.A. (en TERCERO: NOTIFICAR la presente resolución a Dña. A.A.A. (en representación de D. C.C.C.) y a la entidad GOOGLE SPAIN, S.L., como entidad objeto de esta reclamación, y como establecimiento del responsable en España, para que dé traslado de la misma a GOOGLE INC. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos, en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la Disposición Adicional Cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción ContenciosoAdministrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es