← España

AI-00012-2025

1/5  Expediente N.º: EXP202417191 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: En fecha 20 de octubre de 2024, se presentó reclamación ante la Agencia Española de Protección de Datos contra “responsable desconocido” en los siguientes términos: La parte reclamante manifiesta que fue titular del dominio web ***DOMINIO.1. Indica que el actual titular del citado dominio está publicando en la página web ***URL.1 datos personales del reclamante, concretamente, su nombre, dirección de correo electrónico y fotografía, sin su consentimiento. Señala que en fecha 13 de abril de 2024, presentó reclamación ante la AEPD habiendo recibido resolución el 21 de mayo de 2024. En la citada resolución se indicaba que no constaba que hubiera ejercitado previamente su derecho de supresión ante el responsable del tratamiento. Manifiesta haber intentado ejercer dicho derecho mediante el único canal de contacto disponible, correspondiente al correo electrónico asociado al registro WHOIS, en fechas 23 de abril de 2024 y 9 de junio de 2024, sin haber obtenido respuesta en un plazo superior a dos meses. Asimismo, señala que en la página web referida no consta información relativa al responsable del tratamiento, delegado de protección de datos ni ningún otro medio de contacto alternativo. La parte reclamante indica que sus datos personales están siendo utilizados en el sitio web con fines lucrativos, mediante la inserción de publicidad, lo que le está ocasionando perjuicios, entre ellos la recepción de comunicaciones comerciales no solicitadas. En consecuencia, solicita la intervención de la Agencia Española de Protección de Datos al considerar que los hechos descritos podrían constituir una vulneración de la normativa vigente en materia de protección de datos personales. Aporta como documentación las comunicaciones remitidas solicitando la supresión de sus datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/5 SEGUNDO: En fecha 9 de diciembre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En fecha 21/01/2025, se comprueba en la política de privacidad de que el representante del art. 27 RGPD de NAMECHEAP INC. es EDPO. Con fecha 22/01/2025 se envía formulario de abuso solicitando datos a CLOUDFLARE sobre el sitio web reclamado. Asimismo, se realiza requerimiento de información a esta entidad de la que consta el 24/01/2025 la siguiente respuesta (traducción no oficial, en inglés en el original): “[…] De acuerdo con nuestra Política de Privacidad y Términos del Servicio, la información no pública sobre los clientes de Cloudflare no se divulga, excepto cuando sea exigido legalmente mediante un proceso legal adecuado, como una citación judicial, una orden judicial u otro proceso legal válido. […] Cloudflare es una empresa estadounidense que almacena los datos de los clientes dentro de los Estados Unidos, y debemos cumplir con las leyes estadounidenses que restringen la provisión de datos de usuarios a terceros, incluyendo entidades de aplicación de la ley de países fuera de los Estados Unidos. Antes de responder a solicitudes directas de autoridades no estadounidenses, Cloudflare evaluará cuidadosamente dichas solicitudes para garantizar su coherencia con las leyes pertinentes y las políticas internas, un proceso que podría retrasar nuestra respuesta. Cloudflare responderá de manera oportuna a las solicitudes de información de usuarios realizadas por agencias de aplicación de la ley no estadounidenses que se emitan a través de tribunales de EE. UU., ya sea mediante un tratado de asistencia legal mutua o una carta rogatoria, cuando sean debidamente notificadas. […] En otras palabras, Cloudflare proporciona mejoras de seguridad y rendimiento para sitios web de todo el mundo al posicionar su infraestructura frente a esos sitios web. Como resultado, los servidores de nombres de Cloudflare pueden aparecer en el WHOIS y las direcciones IP de Cloudflare pueden aparecer en los registros DNS de los sitios web que utilizan nuestros servicios. Para la mayoría de nuestros clientes, Cloudflare no es un proveedor de alojamiento web, no organiza ni altera el contenido y no tiene la capacidad de eliminar contenido alojado por otros. […]” Con fecha 12/02/2025 EDPO envía a esta Agencia contestación a un requerimiento de información, con la siguiente información y manifestaciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/5 1. Aporta datos de contacto del registrant del dominio ***DOMINIO.1, siendo estos JOLIE PARK. Con fecha 10/02/2026 se comprueba que: 1. Siguen publicados los datos personales del reclamante en la url ***URL.1 2. El sitio web reclamado contiene información en español sobre los pueblos de España. 3. La dirección de correo electrónico del registrant publicado en el registro whois coincide con el correo electrónico al cual el reclamante envía su solicitud de eliminación de sus datos personales. 4. No se ha podido obtener más información sobre la identidad del presunto responsable JOLIE PARK. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

  1. f)y
  2. h)del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación, la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Derecho de supresión («el derecho al olvido») El artículo 17 del RGPD dispone lo siguiente: "1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
  3. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
  4. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/5
  5. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
  6. d)los datos personales hayan sido tratados ilícitamente;
  7. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
  8. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
  9. a)para ejercer el derecho a la libertad de expresión e información;
  10. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
  11. c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
  12. h)e i), y apartado 3;
  13. d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
  14. e)para la formulación, el ejercicio o la defensa de reclamaciones." III Conclusión En el presente caso, la parte reclamante denunció la publicación de sus datos personales (nombre, dirección de correo electrónico y fotografía) en el sitio web ***URL.1, sin su consentimiento. Para que esta Agencia pueda apreciar la existencia de una infracción del RGPD, es imprescindible que concurran dos elementos esenciales: por un lado, que se haya producido un tratamiento de datos personales y, por otro, que dicho tratamiento resulte ilícito por carecer de base jurídica, infringir principios del RGPD o vulnerar derechos del interesado, entre otras obligaciones que se imponen al responsable del tratamiento. La responsabilidad por la comisión de la posible infracción debe ser atribuible a una persona física o jurídica identificada que actúe como responsable o encargado del tratamiento, conforme dispone el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/5 En el presente expediente, se han llevado a cabo actuaciones de investigación para determinar las circunstancias en que se han producido los hechos objeto de reclamación. En el marco de dichas actuaciones previas de investigación, se realizaron diversas diligencias con el fin de identificar al responsable del tratamiento. No obstante, pese a las gestiones realizadas ante los intermediarios consultados y a la información facilitada, no ha sido posible obtener datos suficientes que permitan identificar de manera fehaciente a la persona física o jurídica responsable del tratamiento de datos personales efectuado a través del sitio web reclamado, ni su localización efectiva, de forma que permitan la imputación de una infracción a una persona o entidad determinada. Por lo tanto, procede acordar el archivo de las actuaciones. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  15. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.