AI-00071-2025

1/5  Expediente N.º: EXP202503188 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: El 19 de noviembre de 2024 la Agencia Española de Protección de Datos tuvo conocimiento de ciertos hechos que podrían dar lugar a una infracción en materia de protección de datos. Con fecha 26 de febrero de 2025, la Presidencia de la Agencia Española de Protección de Datos (AEPD) instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), para investigar los siguientes hechos: Denuncia contra (…) que ha compartido en múltiples ocasiones material íntimo de la persona afectada, (…) usando tecnología deepfake. Afirma que estos hechos han sido puestos en conocimiento de la policía, y que existe un procedimiento en curso que se encuentra en fase de instrucción, seguido ante el ***JUZGADO.1. Solicita la supresión del perfil de TikTok ***USUARIO.1, que ha suplantado la identidad de la afectada, compartiendo imágenes de carácter íntimo en las que aparece en ropa interior, tratándose de material que ya ha usado en ocasiones anteriores, en plataformas como Facebook y páginas de contactos. Consta la siguiente información: 1.- Escrito dirigido al ***JUZGADO.1, aportando documentación al procedimiento (…). Entre esa documentación, como Documento Núm. 2, se hace referencia a las capturas de pantalla de la cuenta de TikTok denunciada. 2.- Denuncia policial, presentada en fecha ***FECHA.1. 3.- Capturas de pantalla de la cuenta de TikTok denunciada, donde se publican las imágenes de la afectada en ropa interior. Estas evidencias fueron capturadas el ***FECHA.2. SEGUNDO: Con fecha 27 de mayo de 2025, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/5 TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: - - - Con fecha 27/02/2025 se recoge la siguiente evidencia: captura en video del perfil de TikTok del usuario ***USUARIO.1 (...). En dicha fecha se ordena la retirada del contenido a TIKTOK TECHNOLOGY LIMITED y se comprueba la efectiva retirada el 28/02/2025. Con fecha 31/03/2025 se remite requerimiento de información a TIKTOK TECHNOLOGY LIMITED relativa a los datos vinculados al perfil desde el que se compartieron los vídeos, sin que se haya recibido respuesta sobre estos aspectos. Con fecha 29/07/2025 se remite solicitud de colaboración al ***JUZGADO.1. Con fecha 21/08/2025 se recibe escrito de respuesta manifestando dicho órgano que se encuentran en fase de investigación, a la espera de la recepción del informe requerido al ***EQUIPO.1. Como consecuencia de lo anterior, no ha sido posible identificar al responsable de la publicación. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El artículo 6.1 del RGPD señala: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/5
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. III Conclusión Entre los elementos esenciales de todo procedimiento sancionador se encuentra el responsable, esto es, aquel a quien se le atribuyen los hechos tipificados como infracción administrativa tras el desarrollo de un procedimiento sancionador. Así, entre los principios del procedimiento administrativo sancionador previstos por la Ley 40/2015, de Régimen Jurídico del Sector Público, destaca en su artículo 28.1 el principio de responsabilidad, que señala que “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. En línea con lo anterior, en relación con la responsabilidad, el Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección 5ª) en Sentencia num. 179/2023, de 15 de febrero 2023 establece: Sentencia (STS 354/2023) ha señalado que: (…) debemos comenzar por recordar que la culpabilidad constituye, en efecto, una exigencia de las infracciones administrativas, ínsito en el artículo 25 de la Constitución, que ha tenido una elaborada construcción doctrinal en el ámbito del Derecho Penal del que el Administrativo Sancionador es tributario. Dicha exigencia comporta, en apretada síntesis a los efectos del debate suscitado, que el hecho que se tipifica en el tipo de la infracción pueda y debe serle imputable al sujeto que se sanciona, al que se considera culpable del mismo, es decir, responsable, conforme a la terminología de la Ley de Procedimiento Administrativo Común de las Administraciones Públicas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/5 Lo anterior supone, en síntesis, que el despliegue de la potestad sancionadora de la administración requiere como condición previa la identificación del sujeto al que presuntamente resulta imputable una acción u omisión tipificada como infracción en el ordenamiento jurídico. Por ello, el artículo 64.2 de la LPACAP establece como primer elemento que ha de contener todo acuerdo de inicio de un procedimiento sancionador la: “
10. a)Identificación de la persona o personas presuntamente responsables”. En línea con lo anterior, el artículo 89 de la LPACAP consagra entre los supuestos en los que el órgano instructor puede resolver la finalización del procedimiento sin necesidad de formular propuesta la ausencia de responsable identificado en los siguientes términos: “
11. d)Cuando no exista o no se haya podido identificar a la persona o personas responsables o bien aparezcan exentos de responsabilidad”. En definitiva, no cabe ni el inicio ni la sustentación de un procedimiento sancionador sin la adecuada identificación del presunto responsable de los hechos. Por otra parte, las actuaciones previas de investigación, reguladas en el artículo 67 de la LOPDGG, tienen por objetivo lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación de un procedimiento. En línea con lo anterior, la LPACAP, de aplicación supletoria, señala en su artículo 55 que: “2. En el caso de procedimientos de naturaleza sancionadora las actuaciones previas se orientarán a determinar, con la mayor precisión posible, los hechos susceptibles de motivar la incoación del procedimiento, la identificación de la persona o personas que pudieran resultar responsables y las circunstancias relevantes que concurran en unos y otros”. En el presente caso, a través de las actuaciones de investigación, se ha verificado que el contenido de la reclamación fue difundido a través de la red TikTok, se ha conseguido la retirada de dicho contenido y se han remitido dos requerimientos de información a TIKTOK TECHNOLOGY LIMITED solicitando información identificativa relativa al responsable de las publicaciones, sin éxito. Asimismo, en respuesta a la solicitud de colaboración efectuada al Juzgado ***JUZGADO.1 para la identificación del responsable, dicho órgano jurisdiccional ha señalado encontrarse en fase de investigación y a la espera de un informe. Como consecuencia de lo anterior, no ha sido posible identificar al responsable de la publicación. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de datos objeto del presente expediente, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/5 PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
12. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1245-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es