1/15 Expediente Nº: TD/00670/2013 RESOLUCIÓN Nº: R/01939/2013 Vista la reclamación formulada por don B.B.B. contra FACEBOOK SPAIN, S.L. (FACEBOOK IRELAND, Ltd.) y contra GOOGLE SPAIN, S.L. (Google Inc.), y en base a los siguientes, HECHOS PRIMERO: Don B.B.B. ejercitó el derecho de cancelación de sus datos personales ante Facebook Spain, S.L. Concretamente, solicita la eliminación de una cuenta falsa con sus datos personales y fotos. Asimismo se incluyen datos que pueden corresponder con su perfil profesional y áreas de contenido vejatorio. El enlace concreto en el que aparecen sus datos personales es el siguiente: A.A.A. SEGUNDO: Con fecha 13 de marzo de 2013, tuvo entrada en esta Agencia reclamación de don B.B.B. contra Facebook Spain, S.L. y contra Google, por no haber sido atendido debidamente su derecho de cancelación. TERCERO: Se dio traslado de la citada reclamación a Facebook Spain para que alegara cuanto estimara conveniente a su derecho, manifestando, en síntesis, lo siguiente: Alega Facebook que la entidad frente a quien se tramita la tutela de derechos, Facebook Spain, no tiene control sobre los servicios de Facebook por lo que se dio traslado a Facebook Ireland Limited, el proeevedor del servicio de los usuarios de Facebook España y de la Unión Europea. Facebook Ireland una vez examinada la reclamación ha procedido a eliminar el contenido. CUARTO: Examinadas las alegaciones formuladas por el responsable del fichero, se da traslado de las mismas al reclamante en fecha 6 de junio de 2013, sin que se haya atendido el trámite de alegaciones solicitado. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 PRIMERO: La competencia para resolver la presente reclamación corresponde al Director de la Agencia Española de Protección de Datos, de acuerdo con el artículo 37.d), en relación con el artículo 36, ambos de la LOPD. SEGUNDO: El artículo 18.1 de la LOPD señala que “Las actuaciones contrarias a lo dispuesto en la presente Ley pueden ser objeto de reclamación por los afectados ante la Agencia Española de Protección de Datos, en la forma que reglamentariamente se determine”. TERCERO: El artículo 16 de la LOPD dispone que: “1. El responsable del tratamiento tendrá la obligación de hacer efectivo el derecho de rectificación o cancelación del interesado en el plazo de diez días. 2. Serán rectificados o cancelados, en su caso, los datos de carácter personal cuyo tratamiento no se ajuste a lo dispuesto en la presente Ley y, en particular, cuando tales datos resulten inexactos o incompletos. 3. La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión. 4. Si los datos rectificados o cancelados hubieran sido comunicados previamente, el responsable del tratamiento deberá notificar la rectificación o cancelación efectuada a quien se hayan comunicado, en el caso de que se mantenga el tratamiento por este último, que deberá también proceder a la cancelación. 5. Los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado.” CUARTO: Aplicación de la normativa española de trasposición de la comunitaria sobre protección de datos: Se alega por la entidad sujeto de la reclamación que FACEBOOK SPAIN no es ni responsable, ni encargada de los contenidos alojados en la web. Continúa alegando que FACEBOOK IRELAND LIMITED es el proveedor del servicio a los usuarios de Facebook España y de la Unión Europea. Dicha compañía está constituida de conformidad con las leyes de Irlanda. A TODO ELLO CABE ARGUMENTAR LO SIGUIENTE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 I. El artículo 3 del Reglamento aprobado por Real Decreto 1720/2007, señala su ámbito territorial de aplicación en los siguientes términos: “1.- Se regirá por el presente Reglamento todo tratamiento de datos de carácter personal:
- a)Cuando el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento, siempre que dicho establecimiento se encuentre ubicado en territorio español. Cuando no resulte de aplicación lo dispuesto en el párrafo anterior, pero exista un encargado del tratamiento ubicado en España, serán de aplicación al mismo las normas contenidas en el título VIII del presente Reglamento.
- b)Cuando al responsable del tratamiento no establecido en territorio español, le sea de aplicación la legislación española, según las normas de Derecho internacional público.
- c)Cuando el responsable del tratamiento no esté establecido en territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, salvo que tales medios se utilicen únicamente con fines de tránsito. En este supuesto, el responsable del tratamiento deberá designar un representante establecido en territorio español. 2. A los efectos previstos en los apartados anteriores, se entenderá por establecimiento, con independencia de su forma jurídica, cualquier instalación estable que permita el ejercicio efectivo y real de una actividad” II. Este artículo traspone el artículo 4 de la Directiva 95/46/CE, que literalmente señala: “Derecho nacional aplicable 1. Los Estados miembros aplicarán las disposiciones nacionales que haya aprobado para la aplicación de la presente Directiva a todo tratamiento de datos personales cuando:
- a)el tratamiento sea efectuado en el marco de las actividades de un establecimiento del responsable del tratamiento en el territorio del Estado miembro. Cuando el mismo responsable del tratamiento esté establecido en el territorio de varios Estados miembros deberá adoptar las medidas necesarias para garantizar que cada uno de dichos establecimientos cumple las obligaciones previstas por el Derecho nacional aplicable;
- b)el responsable del tratamiento no esté establecido en el territorio del Estado miembro, sino en un lugar en que se aplica su legislación nacional en virtud del Derecho internacional público; C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15
- c)el responsable del tratamiento no esté establecido en el territorio de la Comunidad y recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea. 2. En el caso mencionado en la letra
- c)del apartado 1, el responsable del tratamiento deberá designar un representante establecido en el territorio de dicho Estado miembro, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento.” III. Este artículo responde a las consideraciones que se plasman en la exposición de motivos de la misma directiva; en concreto los considerandos 18 y siguientes presentan la siguiente justificación del artículo 4 en cuestión: “
(18)Considerando que, para evitar que una persona sea excluida de la protección garantizada por la presente Directiva, es necesario que todo tratamiento de datos personales efectuado en la Comunidad respete la legislación de uno de sus Estados miembros; que, a este respecto, resulta conveniente someter el tratamiento de datos efectuados por cualquier persona que actúe bajo la autoridad del responsable del tratamiento establecido en un Estado miembro a la aplicación de la legislación de tal Estado;
(19)Considerando que el establecimiento en el territorio de un Estado miembro implica el ejercicio efectivo y real de una actividad mediante una instalación estable; que la forma jurídica de dicho establecimiento, sea una simple sucursal o una empresa filial con personalidad jurídica, no es un factor determinante al respecto; que cuando un mismo responsable esté establecido en el territorio de varios Estados miembros, en particular por medio de una empresa filial, debe garantizar, en particular para evitar que se eluda la normativa aplicable, que cada uno de los establecimientos cumpla las obligaciones impuestas por el Derecho nacional aplicable a estas actividades;
(20)Considerando que el hecho de que el responsable del tratamiento de datos esté establecido en un país tercero no debe obstaculizar la protección de las personas contemplada en la presente Directiva; que en estos casos el tratamiento de datos debe regirse por la legislación del Estado miembro en el que se ubiquen los medios utilizados y deben adaptarse garantías para que se respeten en la práctica los derechos y obligaciones contempladas en la presente Directiva;” IV. El dictamen 5/2009 de 12 de junio de 2009, del Grupo de Trabajo “GT29”, relativo a redes sociales en línea, es un documento que se centra en cómo el funcionamiento de los servicios de redes sociales (SRS) debe satisfacer los requisitos de la legislación sobre protección de datos de la Unión Europea. Dicho documento, en su apartado 3.1, dispone lo siguiente respecto del responsable del tratamiento: Los proveedores de SRS son responsables del tratamiento de datos en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 virtud de la Directiva relativa a la protección de datos. (…) Al determinar la responsabilidad de los usuarios, el dictamen viene a señalar que “la Directiva no impone las obligaciones de un responsable del tratamiento de datos a una persona que trata datos personales “en el ejercicio de actividades exclusivamente personales o domésticas”. Por tanto, ateniéndonos al supuesto concreto se han realizado unas anotaciones en referencia a un curso que ha motivado la solicitud de cancelación. Por lo contemplado en el apartado 3.1.3 del citado dictamen, se debe considerar que se produce una exención al carácter doméstico del tratamiento de los datos de un tercero y por tanto resulta de aplicación la normativa de protección de datos, y en consecuencia, son aplicables los requisitos previstos en la LOPD. En conclusión: lo expuesto al inicio de este apartado IV relativo al responsable, esto es, la consideración por el GT29 en su dictamen de que “los proveedores de SRS son responsables del tratamiento de datos en virtud de la Directiva relativa a la protección de datos “, unido a la no aplicación de la exención del carácter doméstico de la situación objeto de la reclamación, determinan que FACEBOOK es responsable del tratamiento acaecido en el presente caso de conformidad con la LOPD. No obstante, en el apartado 3.9 del Dictamen el GT”) aborda los derechos de los individuos afectados que, de acuerdo con las disposiciones expuestas en los artículos 12 y 14 de la Directiva 95/46/CE, deben respetar los SRS. Así, el GT29 concluye que los derechos de acceso, rectificación y cancelación no se limitan a los usuarios del servicio, sino a cualquier persona física cuyos datos se procesen. Los miembros y no miembros de los SRS deberán tener un medio de ejercitar tales derechos. V. Asimismo, el citado dictamen 5/2009, del GT 29, en el primer párrafo del apartado 3, no analiza la cuestión de la Ley nacional aplicable, sino que, directamente, reenvía al análisis que de ello se efectúan en el dictamen 1/2008, de 4 de abril, relativo a los motores de búsqueda. Dicho dictamen, por lo que aquí interesa, al analizar la aplicabilidad de la Directiva 95/46/CE, presenta la siguiente argumentación: Artículo 4 de la Directiva de protección de datos/ derecho aplicable El artículo 4 de la Directiva de protección de datos trata la cuestión del derecho nacional aplicable. El Grupo de Trabajo ha proporcionado directrices ulteriores en relación con lo dispuesto en el artículo 4 en su “Documento de trabajo sobre la determinación de la aplicación internacional de la legislación europea en materia de protección de datos a los tratamientos de datos personales en Internet por parte de páginas web situadas fuera de la UE”. Existen dos razones detrás de esta disposición. La primera es evitar vacíos en el sistema establecido para la protección de datos en la Comunidad Europea, así como que se sortee éste. La segunda es evitar la posibilidad de que la misma operación de tratamiento se rija por leyes de más de un Estado miembro de la UE. A causa de la naturaleza C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 transnacional de los flujos de datos inducidos por los buscadores, el Grupo de Trabajo trata específicamente ambas complicaciones. En el caso de un proveedor de servicios de búsqueda que se establezca y preste todos sus servicios desde uno o más Estados miembros, no existe ninguna duda de que su tratamiento de datos personales se encuentra dentro del ámbito de la Directiva de protección de datos. Es importante hacer constar que en este caso, las normas de protección de datos no se limitan a los interesados situados en el territorio de un Estado miembro o que posean su nacionalidad. Cuando el proveedor de servicios de búsqueda es un responsable de tratamiento situado fuera del EEE, existen dos casos en los que se aplica la legislación comunitaria en materia de protección de datos. En primer lugar, cuando el proveedor de servicios de búsqueda cuenta con un establecimiento en un Estado miembro, de acuerdo con el artículo 4
(1)(a). En segundo lugar, cuando el buscador recurre a medios situados en el territorio de un Estado miembro, de acuerdo con el artículo 4
(1)(c). En este último caso, el buscador, de acuerdo con el artículo 4
(2), debe designar un representante en el territorio de dicho Estado miembro concreto. Establecimiento en el territorio de un Estado miembro (EEE) El artículo 4
(1)(a) prevé que el derecho nacional en materia de protección de datos de un Estado miembro debe aplicarse cuando ciertas operaciones de tratamiento de datos personales por parte del responsable de tratamiento se realicen “en el marco de las actividades de un establecimiento” de dicho responsable de tratamiento en el territorio de un Estado miembro. Una operación concreta de tratamiento de datos personales debe considerarse desde el punto de partida. Cuando se aplica a un buscador concreto cuyas oficinas principales se encuentran situadas fuera del EEE, la pregunta que debe responderse es si el tratamiento de los datos del usuario implica a establecimientos en el territorio de un Estado miembro. Como ya ha señalado el Grupo de Trabajo en su documento de trabajo anterior, la existencia de un “establecimiento” implica el ejercicio real y efectivo de actividades a través de gestiones estables y debe determinarse de conformidad con la jurisprudencia del Tribunal de Justicia de las Comunidades Europeas. La forma jurídica del establecimiento (una oficina local, una filial con personalidad jurídica o una representación mediante terceros) no resulta determinante. Sin embargo, otro requisito consiste en que la operación de tratamiento se realice “en el marco de las actividades” del establecimiento. Esto significa que el establecimiento también debe desempeñar un papel importante en la operación de tratamiento concreta. Éste es claramente el caso cuando: - un establecimiento es responsable de las relaciones con los usuarios del buscador en una jurisdicción concreta; - un proveedor de buscadores establece una oficina en un Estado miembro (EEE) implicada en la venta de anuncios dirigidos a los habitantes de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 dicho estado; el establecimiento de un proveedor de buscadores cumple los autos judiciales y/o solicitudes de cumplimiento de la ley por parte de las autoridades competentes de un Estado miembro en relación con los datos de los usuarios. El proveedor de buscadores es responsable de aclarar el grado de implicación de los establecimientos en el territorio de los Estados miembro en el tratamiento de datos personales. Si un establecimiento nacional se ve implicado en el tratamiento de datos de los usuarios, se aplica el artículo 4
(1)(a) de la Directiva de protección de datos. Los proveedores de servicios de búsqueda situados fuera de la UE deben informar a sus usuarios sobre las condiciones en las que deben cumplir la Directiva de protección de datos, ya sea por el establecimiento o por el recurso a medios. Recurso a medios Los buscadores que recurren a medios en el territorio de un Estado miembro (EEE) para el tratamiento de datos personales también se encuentran dentro del ámbito de la legislación en materia de protección de datos del Estado miembro. La legislación en materia de protección de datos de un Estado miembro también se aplica cuando el responsable de tratamiento […] recurra, para el tratamiento de datos personales, a medios, automatizados o no, situados en el territorio de dicho Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea. • C/ Jorge Juan, 6 28001 – Madrid En lo que respecta a la prestación de servicios de buscadores desde fuera de la UE, los centros de datos situados en el territorio de un Estado miembro pueden utilizarse para el almacenamiento y el tratamiento a distancia de datos personales. Otros tipos de medios podrían ser la utilización de ordenadores personales, terminales y servidores. La utilización de cookies y dispositivos de software similares por parte de un proveedor de servicios online también puede considerarse como recurso a medios en el territorio del Estado miembro, invocando, de este modo, la legislación en materia de protección de datos de dicho Estado miembro. Esta cuestión se debatió en el documento de trabajo citado con anterioridad (WP56). Se indica que “el ordenador del usuario puede considerarse un medio en el sentido del artículo 4
(1)de la Directiva 95/46/CE. Se encuentra situado en el territorio de un Estado miembro. El responsable decide recurrir a este medio con el fin de tratar datos personales y, según se ha explicado en apartados anteriores, se producen diversas operaciones técnicas sin el www.agpd.es sedeagpd.gob.es 8/15 control del interesado. El responsable de tratamiento controla el equipo del usuario y este equipo no se utiliza exclusivamente con fines de tránsito por el territorio de la Comunidad Europea.” “Conclusión El efecto combinado de los artículos 4
(1)(a) y 4
(1)(c) de la Directiva de protección de datos es que sus disposiciones se aplican al tratamiento de datos personales por parte de los proveedores de servicios de búsqueda en muchos casos, incluso cuando sus oficinas centrales se encuentran situadas fuera del EEE. (…) En el caso de proveedores de servicios de búsqueda multinacionales: - un Estado miembro en el que el proveedor de buscadores está establecido aplicará su legislación nacional en materia de protección de datos al tratamiento, de acuerdo con el artículo 4
(1)(a); - si el proveedor de buscadores no se encuentra establecido en ningún Estado miembro, un Estado miembro aplicará su legislación nacional en materia de protección de datos al tratamiento, de acuerdo con el artículo 4
(1)(c), si la empresa recurre a medios, automatizados o no, en el territorio de dicho Estado miembro, con fines de tratamiento de datos personales (por ejemplo, la utilización de una cookie). En algunos casos, un proveedor multinacional de buscadores deberá cumplir múltiples legislaciones en materia de protección de datos como resultado de las normas en relación con el derecho aplicable y la naturaleza transnacional de su tratamiento de datos personales: - un Estado miembro aplicará su derecho nacional a un buscador establecido fuera del EEE si recurre a medios; - un Estado miembro no puede aplicar su derecho nacional a un buscador establecido en el EEE en otra jurisdicción, aunque el buscador recurra a medios. En dichos casos, se aplicará el derecho nacional del Estado miembro en el que se encuentre establecido el buscador. VI. El caso concreto queda incluido en el supuesto analizado con los argumentos anteriores, específicamente cuando: Examinada la situación relativa a un proveedor de SRS concreto cuyas oficinas principales se encuentran situadas fuera del EEE, y se plantea la pregunta de si el tratamiento de los datos del usuario implica a establecimientos en el territorio de un Estado miembro. Como ya se ha señalado anteriormente, C/ Jorge Juan, 6 28001 – Madrid la existencia de un www.agpd.es sedeagpd.gob.es 9/15 “establecimiento” implica el ejercicio real y efectivo de actividades a través de gestiones estables, y la forma jurídica del establecimiento (una oficina local, una filial con personalidad jurídica o una representación mediante terceros) no resulta determinante. También es requisito, en estos supuestos que la operación de tratamiento se realice “en el marco de las actividades” del establecimiento. Esto significa que el establecimiento también debe desempeñar un papel importante en la operación de tratamiento concreta. Éste es claramente el caso cuando: - un proveedor de SRS establece una oficina en un Estado miembro (EEE) implicada en la venta de publicidad dirigida a los habitantes de dicho estado; Facebook Inc. presta un servicio remunerado de publicidad, mediante la venta del espacio publicitario. Para esta actividad se sirve de promotores locales (entre los que se encuentra Facebook Spain) que incentivan la compra de espacio en el área que tienen atribuida. El proveedor de SRS es responsable de aclarar el grado de implicación de los establecimientos en el territorio de los Estados miembros en el tratamiento de datos personales. Si un establecimiento nacional se ve implicado en el tratamiento de datos de los usuarios, se aplica el artículo 4
(1)(a) de la Directiva de protección de datos. Pero es más, según el criterio ya descrito anteriormente, los SRS que recurren a medios en el territorio de un Estado miembro (EEE) para el tratamiento de datos personales también se encuentran dentro del ámbito de la legislación en materia de protección de datos del Estado miembro, salvo en caso de que dichos medios se utilicen solamente con fines de tránsito por el territorio de la Comunidad Europea. En lo que respecta a la prestación de servicios de SRS desde fuera de la UE, los centros de datos situados en el territorio de un Estado miembro pueden utilizarse para el almacenamiento y el tratamiento a distancia de datos personales. Otros tipos de medios podrían ser la utilización de ordenadores personales, terminales y servidores. La utilización de cookies y dispositivos de software similares por parte de un proveedor de servicios online también puede considerarse como recurso a medios en el territorio del Estado miembro, de este modo la legislación en materia de protección de datos de dicho Estado miembro le resulta aplicable. Se indica que “el ordenador del usuario puede considerarse un medio en el sentido del artículo 4
(1)de la Directiva 95/46/CE. Se encuentra situado en el territorio de un Estado miembro. El responsable decide recurrir a este medio con el fin de tratar datos personales y, según se ha explicado en apartados anteriores, se producen diversas operaciones técnicas sin el control del interesado. El responsable de tratamiento controla el equipo del usuario y este equipo no se utiliza exclusivamente con fines de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 tránsito por el territorio de la Comunidad Europea. También como antes quedó señalado, en algunos casos, un proveedor multinacional de buscadores deberá cumplir múltiples legislaciones en materia de protección de datos como resultado de las normas en relación con el derecho aplicable y la naturaleza transnacional de su tratamiento de datos personales. VII. A tenor de lo dispuesto en el dictamen 5/2009, en su apartado 2, los SRS se definen como plataformas de comunicación en línea que permiten a los individuos crear redes de usuarios que comparten intereses comunes. Son servicios de la sociedad de la información, según se define en el artículo 1.2 de la Directiva 98/34/CE, modificada por la Directiva 98/48/CE. Por tanto, no sólo es la normativa específica de protección de datos la que, con arreglo a los argumentos anteriores, determina la Ley nacional aplicable a este supuesto, sino que dicha normativa resultaría en todo caso aplicable por determinación del tenor literal de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (LSSI), que en su artículo 4 establece: “A los prestadores establecidos en países que no sean miembros de la Unión Europea o del Espacio Económico Europeo, les será de aplicación lo dispuesto en los artículos 7.2 y 11.2. Los prestadores que dirijan sus servicios específicamente al territorio español quedarán sujetos, además, a las obligaciones previstas en esta Ley, siempre que ello no contravenga lo establecido en tratados o convenios internacionales que sean aplicables.” SEXTO: Sentados los argumentos respecto a la aplicabilidad de la normativa de protección de datos y de la LSSI, cabe señalar que esta última, la LSSI, determina que, por reenvío del art. 4 citado en el apartado anterior, resulta aplicable lo siguiente: El artículo 17 de la LSSI “Responsabilidad de los prestadores de servicios que faciliten enlaces a contenidos o instrumentos de búsqueda” dispone lo siguiente: “1. Los prestadores de servicios de la sociedad de la información que faciliten enlaces a otros contenidos o incluyan en los suyos directorios o instrumentos de búsqueda de contenidos no serán responsables por la información a la que dirijan a los destinatarios de sus servicios, siempre que:
- a)No tengan conocimiento efectivo de que la actividad o la información a la que remiten o recomiendan es ilícita o de que lesiona bienes o derechos de un tercero susceptibles de indemnización, o
- b)Si lo tienen, actúen con diligencia para suprimir o inutilizar el enlace correspondiente. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 Se entenderá que el prestador de servicios tiene el conocimiento efectivo a que se refiere el párrafo
- a)cuando un órgano competente haya declarado la ilicitud de los datos, ordenado su retirada o que se imposibilite el acceso a los mismos, o se hubiera declarado la existencia de la lesión, y el prestador conociera la correspondiente resolución, sin perjuicio de los procedimientos de detección y retirada de contenidos de los prestadores apliquen en virtud de los acuerdos voluntarios y de otros medios de conocimiento efectivo que pudieran establecerse. 2. La exención de responsabilidad establecida en el apartado 1 no operará en el supuesto de que el destinatario del servicio actúe bajo la dirección, autoridad o control del prestador que facilite la localización de estos contenidos”. (El subrayado es de la Agencia Española de Protección de Datos). En el caso que nos ocupa, el Director de la Agencia Española de Protección de Datos como órgano competente para velar por el cumplimiento de la legislación sobre protección de datos y controlar su aplicación, atendiendo a la reclamación formulada por la reclamante, puede requerir al responsable la adopción de medidas necesarias para la adecuación a las disposiciones de la Ley Orgánica 15/1999, ejerciendo las funciones que le atribuye su artículo 37, así como a los efectos establecidos en los artículos 8 y 17 de la LSSI. Es necesario insistir en los efectos divulgativos multiplicadores que se producen a través de Internet y su repercusión en la protección de datos de las personas, especialmente sin trascendencia pública como el caso que nos ocupa, según se ha resuelto recientemente en la TD/266/2007: “Por todo ello, cabe proclamar que ningún ciudadano que ni goce de la condición de personaje público ni sea objeto de hecho noticiable de relevancia pública tiene que resignarse a soportar que sus datos de carácter personal circulen por la RED sin poder reaccionar ni corregir la inclusión ilegítima de los mismos en un sistema de comunicación universal como Internet. Si requerir el consentimiento individualizado de los ciudadanos para incluir sus datos personales en Internet o exigir mecanismos técnicos que impidieran o filtraran la incorporación inconsentida de datos personales podría suponer una insoportable barrera al libre ejercicio de las libertades de expresión e información a modo de censura previa (lo que resulta constitucionalmente proscrito), no es menos cierto que resulta palmariamente legítimo que el ciudadano que no esté obligado a someterse a la disciplina del ejercicio de las referidas libertades (por no resultar sus datos personales de interés público ni contribuir, en consecuencia, su conocimiento a forjar una opinión pública libre como pilar basilar del Estado democrático) debe gozar de mecanismos reactivos amparados en Derecho (como el derecho de cancelación de datos de carácter personal) que impidan el mantenimiento secular y universal en la Red de su información de carácter personal”. Por ello debe estimarse la procedencia de evitar -mediante la estimación de la cancelación de los datos en el caso que así lo solicite el afectado, como en el presente-, que tenga efectos no deseados con carácter permanente en contra de la voluntad del afectado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 Reiterando y ampliando la cita a la doctrina del Tribunal Constitucional, la STC 292/2000 señala que “con la inclusión del vigente artículo 18.4 de la CE el constituyente puso de relieve que era consciente de los riesgos que podría entrañar el uso de la informática y encomendó al legislador la garantía tanto de ciertos derechos fundamentales como del pleno ejercicio de los derechos de la persona. Esto es, incorporando un instituto de garantía “como forma de respuesta a una nueva forma de amenaza concreta a la dignidad y a los derechos de la persona”, pero que es también, “en sí mismo, un derecho o libertad fundamental” STC 254/1992. Preocupación y finalidad del constituyente que se evidencia, de un lado, si se tiene en cuenta que desde el Anteproyecto del texto constitucional ya se incluía un apartado similar al vigente art. 18.4 CE y que este fue luego ampliado al aceptarse una enmienda para que se incluyera su inciso final. Y más claramente, de otro lado, porque si en el debate en el Senado se suscitaron algunas dudas sobre la necesidad de este apartado del precepto dado el reconocimiento de los derechos a la intimidad y al honor en el apartado inicial, sin embargo fueron disipadas al ponerse de relieve que estos derechos, en atención a su contenido, no ofrecían garantías suficientes frente a las amenazas que el uso de la informática podía entrañar para la protección de la vida privada. De manera que el constituyente quiso garantizar mediante el actual artículo 18.4 CE no solo un ámbito de protección específico sino también más idóneo que el que podían ofrecer, por sí mismos, los derechos fundamentales mencionados en el apartado 1 del precepto. Resulta también relevante la referencia que en la misma sentencia se hace del derecho de protección de datos y la capacidad reactiva del titular de los derechos: “Este derecho fundamental a la protección de datos, a diferencia del derecho a la intimidad del art. 18.1 CE, con quien comparte el objetivo de ofrecer una eficaz protección constitucional de la vida privada personal y familiar, atribuye a su titular un haz de facultades que consiste en su mayor parte en el poder jurídico de imponer a terceros la realización u omisión de determinados comportamientos cuya concreta regulación debe establecer la Ley, aquella que conforme al art. 18.4 CE debe limitar el uso de la informática, bien desarrollando el derecho fundamental a la protección de datos (art. 18.1 CE), bien regulando su ejercicio (art.53.1 CE). La peculiaridad de este derecho fundamental tan afín como es el de la intimidad radica, pues, en su distinta función, lo que apareja, por consiguiente, que también su objeto y contenido difieran”. SÉPTIMO: En el supuesto examinado, ha quedado acreditado que el reclamante solicitó a Facebook Spain, S.L. la cancelación de sus datos personales contenidos en una falsa cuenta de la citada red social. Para determinar si en este caso procede la cancelación de los datos personales relativos al reclamante, es preciso destacar, con carácter previo, que el ejercicio del derecho de cancelación debe ejercitarse ante el responsable del fichero. La Directiva 95/46/CE, del Parlamento Europeo y del Consejo, de 24 de octubre, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, define “fichero de datos personales” en su artículo 2.
- c)como “todo conjunto estructurado de datos personales, accesibles con C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica”. El artículo 3.
- b)de la LOPD define “fichero” como “todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso”. Así, como señala la Sentencia de 18/12/2006, “todo fichero de datos exige para tener esta consideración una estructura u organización con arreglo a criterios determinados. El mero cúmulo de datos sin criterio alguno no podrá tener la consideración de fichero a los efectos de la Ley”. Según declaró la Audiencia Nacional en sentencia de 17/03/2006, un sitio web requiere siempre “cualquiera que sea su finalidad una organización o estructura que permita el acceso a la información en él contenida”, El propio Tribunal de Justicia de la Unión Europea, en la sentencia de 06/11/2003 /caso Lindqvist) abordó la cuestión y determinó que “la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un tratamiento total o parcialmente de datos personales” . En definitiva, el sitio web donde se aloja los datos ofrecidos por los usuarios de una SRS es un fichero automatizado de datos de carácter personal al contener informaciones relativas a personas físicas, del cual es responsable Facebook. En segundo lugar, hay que hacer referencia al artículo 6 de la Ley LSSI, que determina en su apartado 1 lo siguiente: “1. Los prestadores de un servicio de intermediación consistente en albergar datos proporcionados por el destinatario de este servicio no serán responsables por la información almacenada a petición del destinatario, siempre que:
- a)No tengan conocimiento efectivo de que la actividad o la información almacenada es ilícita o de que se lesiona bienes o derechos de un tercero susceptibles de indemnización, o
- b)Si lo tienen, actúen con diligencia para retirar los datos o hacer imposible el acceso a ellos. Se entenderá que el prestador de servicios tiene el conocimiento efectivo a que se refiere el párrafo
- a)cuando un órgano competente haya declarado la ilicitud de los datos, ordenando su retirada o que se imposibilite el acceso a los mismos, o se hubiera declarado la existencia de la lesión, y el prestador conociera la correspondiente resolución, sin perjuicio de los procedimientos de detección y retirada de contenidos que los prestadores apliquen en virtud de acuerdos voluntarios y de otros medios de conocimiento efectivo que pudieran establecerse”. Del precepto transcrito se colige, que, si bien Facebook Spain, S.L. no es C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 responsable de los contenidos ofrecidos por de los usuarios, debe realizar las gestiones necesarias en orden a su retirada o imposibilidad de acceso a los mismos cuando la Agencia Española de Protección de Datos, como órgano competente, así lo determine. Facebook ha manifestado durante la tramitación del presente procedimiento haber procedido a la eliminación de los datos personales del reclamante, por ello, procede estimar por motivos formales el presente procedimiento de tutela de derechos. OCTAVO: En el presente caso no ha quedado acreditado que el reclamante haya ejercitado el derecho de cancelación ante Google. Por tanto, el escrito de solicitud del ejercicio del derecho que se pretende realizar no debe dirigirse a esta Agencia Española de Protección de Datos, ya que ésta no tiene los datos personales que se contienen en el escrito recibido y citado anteriormente. En consecuencia con lo anterior, se observa que al no aportase los documentos que acrediten haber solicitado la cancelación no puede interpretarse el escrito de solicitud recibido como una reclamación de tutela de derechos, procediendo su inadmisión. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR, por motivos formales, la reclamación formulada por don B.B.B. contra la entidad FACEBOOK SPAIN, S.L. (FACEBOOK IRELAND, Ltd.) al haber quedado acreditado que ha atendido el derecho de cancelación durante la tramitación del presente procedimiento. SEGUNDO: INADMITIR la reclamación formulada por don B.B.B. contra la entidad GOOGLE SPAIN, S.L. (Google Inc.) TERCERO: NOTIFICAR la presente resolución a FACEBOOK SPAIN, S.L. (FACEBOOK IRELAND, Ltd.) y a don B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 18.4 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es