← España

AI-00084-2024

1/10  Expediente N.º: EXP202402475 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 28 de febrero de 2024 la Presidencia de la Agencia Española de Protección de Datos acuerda iniciar actuaciones de investigación en relación con la aplicación CLOTHOFF por los hechos que se describen a continuación. CLOTHOFF es un programa basado en inteligencia artificial que utiliza técnicas de procesamiento de imágenes y aprendizaje profundo para eliminar digitalmente la ropa de una persona en una fotografía. Esto significa que la herramienta puede tomar una imagen real cargada por los usuarios y posteriormente editarla mediante inteligencia artificial para generar una versión falsa de esa imagen en la que la persona parece estar desnuda. A pesar de que en la política de privacidad indica que los únicos datos que recogen son la dirección electrónica del usuario y cómo se va a utilizar y que, antes de empezar el proceso, se advierte al usuario de que no puede usar fotografías de otras personas sin su consentimiento y que el usuario es el único responsable de las imágenes que se generan, lo cierto es que CLOTHOFF se reserva el derecho de eliminar o borrar cualquier contenido, por lo que parece que podría tener acceso a las fotografía antes y después de su procesamiento, además de la dirección electrónica del usuario, con el consiguiente tratamiento de datos personales. Asimismo, y en relación con el acceso y utilización por menores de edad de los servicios que ofrece la aplicación, no se dispone de certezas sobre la utilización de sistemas de verificación de edad que protejan a dichos menores evitando su acceso y utilización de contenido inadecuado para ellos, así como el tratamiento de sus datos personales. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), teniendo conocimiento de los siguientes extremos: Con fecha 08/03/2024 se comprueba respecto de la página web https://clothoff.io/es :

  1. Nada más entrar en dicha url consta un mensaje que ocupa toda la pantalla con el siguiente texto: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/10 “
  2. Debe ser mayor de 18 años para utilizar este sitio web
  3. No puedes utilizar fotos de otros sin su permiso ni de personas menores de 18 años.
  4. Usted es el único responsable de las imágenes que genere. Al hacer clic en aceptar acepta automáticamente las condiciones anteriores.” Y consta un botón de aceptar.
  5. Sin interactuar con dicha página web consta instaladas las siguientes cookies persistentes, entre otras: a.
  6. Al hacer clic en el botón aceptar anterior se activa la funcionalidad de la página web y se procede a realizar login usando una cuenta de usuario de Google. Durante el proceso de login, en una página web del dominio de Google.com consta el texto: “Iniciar sesión en clothoff.io Si continúas, Google compartirá tu nombre, tu dirección de correo electrónico, tu preferencia de idioma y tu imagen de perfil con clothoff.io. Consulta la política de privacidad y los términos del servicio de clothoff.io. Puedes gestionar iniciar sesión con Google en tu cuenta de Google” Y consta un botón de “Cancelar” y otro de “Continuar”.
  7. Tras realizar login, se puede subir una foto de una persona a la plataforma y haciendo clic en “Desvístete” la imagen cambia a la de esa misma persona, pero desnuda.
  8. Al hacer clic en el botón “Compartir” lo único que se ha comprobado que suceda es que se descarga la imagen generada al ordenador del usuario.
  9. Consta como datos de contacto, las direcciones de correo electrónico support@clothoff.io así como cooperation@clothoff.io. También consta la dirección postal: “***DIRECCIÓN.1”
  10. También consta el texto: “No guardamos ningún dato. No asumimos ninguna responsabilidad por las imágenes creadas utilizando el sitio web. El procesamiento de menores es imposible. Incluso los intentos de este tipo de procesamientos darán lugar a la prohibición de la cuenta.”
  11. Constan transmisiones, hacia un servidor en el dominio clothoff.io, de las
  12. Se comprueba que, con fecha 09/03/2024, usando el mismo navegador, borrando la caché, pero no las cookies, aún puede accederse a la imagen de la persona desnuda a través de una url concreta del domino clothoff.io.
  13. Se comprueba que, con fecha 11/03/2024, ya no puede accederse a la imagen desnuda usando el mismo navegador, borrando las cookies y caché y forzando a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/10 utilizar los mismos valores, en algunas de las cookies, que tenían estas cookies cuando se produjo la operación de desvestido.
  14. Se comprueba que, con fecha 08/03/2024, pero cambiando el navegador, no puede accederse a dicha url concreta mencionada desde donde se puede acceder a la imagen de la persona desnuda.
  15. Se comprueba que con fecha 09/03/2024, usando un navegador distinto al utilizado para desnudar la imagen, se puede recuperar la imagen de la persona desnuda accediendo a la misma url y utilizando el mismo valor de cookies “__Hostnext-auth.csrf-token” y “_ga” que el que tenían esas cookies cuando se produjo la operación de desnudar la imagen con el otro navegador.
  16. Con fecha 11/03/2024 se repite el proceso con otra fotografía diferente y se comprueba que solo con cambiar el valor de la cookie “__Secure-next-auth.sessiontoken” al valor que tenía la cookie cuando se desnudó la imagen, ya sea utilizando el mismo navegador o un navegador distinto al utilizado para desnudar la imagen, y borrando las cookies y caché previamente, la imagen desnuda se puede recuperar.
  17. Con fecha 11/03/2024 no consta información completa de identificación del registrant del dominio clothoff.io en registros de whois. Sí consta información sobre el registrar siendo este ***EMPRESA.
  19. En la política de privacidad de clothoff.io consta: a. La dirección de contacto support@clothoff.io b. No consta la identidad del responsable del tratamiento. c. Como datos tratados consta exclusivamente: “
  20. Information We Collect We may collect your email address when you sign up for an account on our website. We Will only use your email address to communicate with you about your account and to send you occasional updates about our service. We will never sell or share your email address with third parties.” Siendo su traducción no oficial al castellano: “
  21. Información que recopilamos Podemos recopilar su dirección de correo electrónico cuando se registra para obtener una cuenta en nuestro sitio web. Solo usaremos su dirección de correo electrónico para comunicarnos con usted sobre su cuenta y para enviarle actualizaciones ocasionales sobre nuestro servicio. Nunca venderemos ni compartiremos su dirección de correo electrónico con terceros”. d. Sobre cómo usan los datos consta exclusivamente: “
  22. How We Use Your Information We use your information to operate and improve our website, to provide you with customer service, and to communicate with you about our services. We don’t share your images, only the person who uploads them can see them.” Siendo su traducción no oficial al castellano: “
  23. Cómo utilizamos su información Utilizamos su información para operar y mejorar nuestro sitio web, para brindarle servicio al cliente y para comunicarnos con usted sobre nuestros servicios. No compartimos tus imágenes, solo la persona que las sube puede verlas”. e. Sobre las cookies consta exclusivamente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/10 “
  24. Cookies We may use cookies to collect information about your use of our website, including your preferences and browsing history. This information helps us to improve our services and to provide you with a better user experience.” Siendo su traducción no oficial al castellano: “
  25. Cookies Podemos utilizar cookies para recopilar información sobre su uso de nuestro sitio web, incluidas sus preferencias e historial de navegación. Esta información nos ayuda a mejorar nuestros servicios y a ofrecerle una mejor experiencia de usuario”.
  26. En los términos del servicio de clothoff.io consta: “Terms Of Service Our website offers a service that provides users with the ability to create and modify images using our tools. We do not claim ownership of the resulting content. Our website is intended for personal, non-commercial use.
  27. Eligibility To use our website, you must be at least 18 years of age. If you are under 18 years of age, then you are not permitted to use our website.
  28. User Responsibility You are solely responsible for the images you create or modify using our website. While using our service, you may not use images with other people without their permission. Otherwise, you agree to bear full responsibility for the creation of such materials. You agree that your images do not infringe upon the copyrights, trademarks, or other intellectual property rights of any third-party. You must provide accurate and up-to-date information when using our website.
  29. Prohibited Uses You agree that you will not use our website for any illegal or unauthorized purposes. This includes but is not limited to the creation or sharing of objectionable content, harassment of others, and infringement of intellectual property rights. […]” Siendo su traducción no oficial al castellano: “Términos de servicio Nuestro sitio web ofrece un servicio que proporciona a los usuarios la capacidad de crear y modificar imágenes utilizando nuestras herramientas. No reclamamos la propiedad del contenido resultante. Nuestro sitio web está destinado para uso personal, no comercial.
  30. Admisibilidad Para utilizar nuestro sitio web, debe tener al menos 18 años de edad. Si usted es menor de 18 años de edad, entonces no se le permite utilizar nuestro sitio web.
  31. Responsabilidad del usuario Usted es el único responsable de las imágenes que cree o modifique utilizando nuestro sitio web. Durante el uso de nuestro servicio, no puede usar imágenes con otras personas sin su permiso. De lo contrario, usted acepta asumir toda la responsabilidad de la creación de dichos materiales. Usted acepta que sus imágenes no infringen los derechos de autor, marcas comerciales u otros C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/10 derechos de propiedad intelectual de terceros. Debe proporcionar información precisa y actualizada al usar nuestro sitio web.
  32. Usos prohibidos Usted acepta que no utilizará nuestro sitio web para ningún propósito ilegal o no autorizado. Esto incluye, entre otros, la creación o el intercambio de contenido objetable, el acoso a terceros y la infracción de los derechos de propiedad intelectual. [...]” Con fecha 12/03/2024 se comprueba respecto de la página web https://clothoff.io/en :
  33. Con fecha 02/02/2024, según el servicio web.archive.org constaba publicado en internet una versión de la página web clothoff.io/en similar a la señalada anteriormente pero constaba como dirección postal de contacto: “***DIRECCIÓN.2” Con fecha 12/03/2024 se comprueba:
  34. Respecto de la app móvil de CLOTHOFF que aparentemente tiene la misma funcionalidad que su variante. No se ha llegado a comprobar el funcionamiento de desnudar una fotografía.
  35. Consta un bot de Telegram que ofrece similar funcionalidad de desnudar una imagen. Una vez se usa la funcionalidad de desvestido usando Telegram, desde la propia red social Telegram, existe la opción de compartir la imagen desnuda.
  36. Respecto a la realización de login a través de la red social X en la página web clothoff.io, se muestra el siguiente mensaje: “This app was created to use the Twitter API. Things this App can view… • All the posts you can vlew, including posts from protected accounts. • Any account you can view, including protected accounts, Things this App can do… • Stay connected to your account until you revoke access.” Siendo su traducción no oficial al castellano: “Esta aplicación se creó para utilizar la API de Twitter. Cosas que esta aplicación puede ver... • Todas las publicaciones que puede ver, incluidas las publicaciones de cuentas protegidas. • Cualquier cuenta que pueda ver, incluyendo cuentas protegidas, Cosas que esta aplicación puede hacer... • Mantenerse conectada a su cuenta hasta que revoque el acceso.” Con fecha 10/04/2024 se solicita ayuda mediante el Sistema de Información del Mercado Interior (en adelante IMI) IMI A62 VMN a la autoridad de protección de datos de Estonia preguntando por la relación de la entidad BS EUROPE OU con CLOTHOFF.IO, recibiendo en fecha 16/05/2024 la respuesta de que no han podido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/10 establecer ninguna conexión entre ambas entidades basándose en información pública. Que le han enviado un requerimiento de información a BS EUROPE OU y que aportarán más información en un nuevo IMI. No se ha recibido más información desde Estonia. Con fecha 11/09/2024 se comprueba que:
  37. La dirección de contacto de ***EMPRESA.1 es ***EMPRESA.
  38. Con fecha 07/11/2024 se comprueba que:
  39. El registrar del dominio clothoff.io es ***EMPRESA.
  41. En la política de privacidad de ***EMPRESA.
  42. consta European Data Protection Office (EDPO) como representante del art. 27 en la UE. Con fecha 25/11/2024 se recibe un correo electrónico desde la dirección privacy@edpo.com como consecuencia del requerimiento de información enviado a EDPO y donde consta que se aporta información sobre el registrant del dominio CLOTHOFF.io. En dicha información no consta información identificativa del titular del dominio. Consta como organización titular del dominio ***EMPRESA.
  43. Consta información de su dirección postal la cual se encuentra en (…). Con fecha 05/12/2024 se recibe la siguiente información desde ***EMPRESA.2:
  44. Que la entidad correcta a la que enviar requerimientos de información es ***EMPRESA.2 con dirección de contacto: ***EMPRESA.2, (…)
  45. Que el titular del dominio CLOTHOFF.io es A.A.A., con domicilio en ***DIRECCIÓN.
  46. Con fecha 23/04/2025 se comprueba que:
  47. La página web ubicada en el domino clothoff.io así como la ubicada en clothoff.io/es no están accesibles y no devuelven contenido alguno.
  48. Sí devuelve contenido la página web ubicada en https://clothoff.info/es y consta en dicha página: “[…] ¿Es seguro usar Clothoff? Sí, ClothOff.io prioriza la privacidad y la seguridad. Tus fotos se procesan de forma segura, sin almacenamiento ni compartición, lo que lo convierte en una de las plataformas más seguras para el desnudo de fotos en línea. […]” Asimismo, consta un botón con el texto “PRUEBA GRATIS”. Al pulsar dicho botón se abre la página web en la dirección https://app.clothoff.info . Los siguientes pasos se realizan en la página web https://app.clothoff.info. En esta página web consta el mensaje siguiente: “Reglas • Este sitio web contiene material restringido a la edad, incluidos desnudos y representaciones explícitas de actividad sexual. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/10 • Está terminantemente prohibido utilizar fotos de personas menores de edad o sin su consentimiento. • Eres muy responsable de las imágenes que generas. • Al hacer dic en "Aceptar”, usted acepta las condiciones anteriores, así como que es mayor de edad en la jurisdicción desde la que accede al sitio web y que consiente en ver contenidos sexualmente explícitos.” Y consta un botón para aceptar el mensaje.
  49. Al hacer clic en dicho mensaje se accede a la funcionalidad de la página web. Se sube una fotografía a la web y se hace clic en “Inicio Generar”. Esta acción redirige a realizar un login de usuario. A continuación, se realiza login con una cuenta de Google y antes de terminar el proceso de login consta el siguiente texto dentro del dominio de google.com: “Si continúas, Google compartirá tu nombre, dirección de correo electrónico de perfil con clothoff.info. Consulta la Política de Privacidad y los Términos del Servicio de clothoff.info. Puedes gestionar iniciar sesión con Google en tu cuenta de Google.” Y consta un botón “Cancelar” y otro “Continuar”.
  50. No se consigue terminar el proceso de login por un error pero sí se consigue realizar el proceso de login desde un navegador Firefox. A continuación, se sube una fotografía y se desviste haciendo clic en “Inicio Generar”. Consta un botón “Guardar”, en el cual se hace clic y se descarga la fotografía en el ordenador local.
  51. A continuación se accede a la web clothoff.info y app.clothoff.info desde un dispositivo móvil Android y devuelven páginas web similares a las accedidas anteriormente. No se ha llegado a comprobar cómo es el proceso de desvestido desde el dispositivo móvil.
  52. Consta como correos electrónicos de contacto en la página web https://app.clothoff.info/es/contact_us , los siguientes; support@app.clothoff.info y cooperation@app.clothoff.info.
  53. Consta en la web https://app.clothoff.info/es/processing_policy, referencia a la entidad ***EMPRESA.3 (…).
  54. Se comprueba que, sin interaccionar con la página web https://clothoff.info/es se instalan cookies persistentes como la cookie “_ga”. Con fecha 23/04/2025 se envían sendos correos electrónicos a support@app.clothoff.info y a ***EMAIL.1 con un requerimiento de información como adjunto. Consta que al menos el correo electrónico a support@app.clothoff.info no pudo ser entregado por el servicio de correo electrónico por no encontrarse dicha dirección o no estar disponible. No se ha recibido respuesta a fecha del presente informe. Con fecha 23/04/2025 se envían sendos requerimientos de información a ***EMPRESA.3 y a A.A.A.. Las notificaciones se han enviado por correo postal internacional y constan en la actualidad, en el sistema SIGRID, con el estado “En C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/10 curso” y “Devueltos correos” por dirección incompleta, respectivamente. No se ha recibido contestación a fecha del presente informe. Con fecha 27, 28 y 29/05/2025 se comprueba: Respecto de la web clothoff.info y app.clothoff.info:
  55. La funcionalidad de procesamiento de la imagen se ofrece desde el dominio app.clothoff.info.
  56. Antes de poder procesar una imagen el sistema requiere realizar un login.
  57. Dependiendo del usuario utilizado para realizar login, se exige un pago o bien se ofrece gratuitamente un desnudo tipo “mini bikini”. Tras procesar la imagen, la única opción disponible que se haya constatado es la de guardar la foto en el ordenador del usuario. Respecto de la app móvil instalada:
  58. El funcionamiento con la app móvil es similar, aunque no se ha llegado a constatar que también se pueda realizar el desnudo tipo “mini bikini” anterior de forma gratuita.
  59. No se ha constatado, con las pruebas realizadas, la existencia de procesamiento de la imagen para obtener un desnudo completo de forma gratuita, aunque sí consta la opción de “Desnudo”, entre otras. Respecto del bot de Telegram:
  60. El bot de Telegram no ofrece desnudos inmediatos de forma gratuita. A fecha 28/05/2025 según las pruebas realizadas, y manifiesta el propio bot, hay que esperar 24 horas para poder acceder al procesamiento de la imagen tras subirla a la plataforma. Además, a fecha 28/05/2025, de forma gratuita, dicho “desnudo” no es completo. Asimismo, existe la opción a través de Telegram, de compartir con otros usuarios, tanto la imagen subida sin desvestir como la ya procesada. Con fecha 20/06/2025 se comprueba que la cookie _ga tiene una finalidad relacionada con Google Analytics y la cookie _fbp tiene finalidad de publicidad. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del RGPD confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/10 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Conclusión En la página web del servicio CLOTHOFF se ha cambiado en varias ocasiones la referencia a la entidad detrás de dicho servicio, así como su ubicación geográfica. El servicio vinculado a CLOTHOFF (desvestido de imágenes utilizando Inteligencia artificial) se prestaba inicialmente a través del dominio clothoff.io. Posteriormente ese dominio ya no responde y el servicio se encuentra en clothoff.info y app.clothoff.info. En la política de privacidad no se identifica a ningún responsable del tratamiento. Se hace mención, tanto en clothoff.io como en clothoff.info, a que no guardan las fotos. Se hace referencia en clothoff.io a que es necesario tener al menos 18 años para usarla a través de un aviso al acceder a la web. Similarmente en clothoff.info se hace referencia a que es una web restringida a la edad con representaciones sexuales explícitas. También se hace referencia en ambas a que la única responsabilidad en el uso de las imágenes es del usuario. Tras procesar la imagen la única opción de la que se haya constatado su existencia es la de descargar la fotografía al ordenador del usuario. Si se accede a la funcionalidad usando el bot de Telegram, sí consta la opción de reenviar la fotografía a otros usuarios de Telegram. Las páginas web https://clothoff.io/es y https://clothoff.info/es instalan cookies persistentes sin consentimiento, que podrían no estar exceptuadas, según sus finalidades expuestas en cookiepedia.co.uk. Es necesario realizar login tanto en clothoff.io, en su momento, como en app.clothoff.info, como en la app asociada, para acceder a su funcionalidad y, en concreto, al realizar login a través de Google, según se manifiesta, se comparten con CLOTHOFF los datos de nombre, correo electrónico, idioma e imagen de perfil, tras pulsar el botón aceptar. Si se realiza login a través de la red social X, según se manifiesta, se le está dando permiso a CLOTHOFF para ver todas las publicaciones y cuentas que pueda ver el usuario, incluyendo las publicaciones de las cuentas protegidas. Se ha identificado a la persona titular del dominio clothoff.io. Se le ha enviado requerimiento de información, así como un correo electrónico, pero no se ha obtenido respuesta y el envío postal ha sido devuelto por correos por dirección incompleta. Asimismo, se ha enviado requerimiento de información a la entidad que consta publicada en la página web de CLOTHOFF pero el envío sigue “En curso” desde el 23/04/
  61. Asimismo, se ha enviado correo electrónico a una dirección de contacto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/10 publicada en clothoff.info pero el envío no se ha producido al no haberse encontrado la dirección de correo del destinatario o bien no está disponible. Así pues, al no haber sido posible identificar al presunto responsable, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y ***EMPRESA.
  62. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.