AI-00112-2024

1/7  Expediente N.º: EXP202403570 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 5 de marzo de 2024, se presentó reclamación ante la Agencia Española de Protección de Datos contra los responsables de PERFIL ANONTUBE A.A.A. y de PERFIL ANONVIDEOS B.B.B.. Los motivos en que basa la reclamación son los siguientes: La reclamante manifiesta su deseo de que se elimine un vídeo de contenido sexual publicado por un usuario en el sitio web anontube.com. Manifiesta que actualmente es parte en un proceso judicial relacionado con esas imágenes que, al parecer, se publicaron originalmente en otro sitio. Señala que "Desde el principio, la recomendación de la policía y de los organismos jurídicos fue no quitar el contenido hasta la celebración del juicio de instrucción. Sin embargo, el contenido ha saltado a una nueva página y necesito eliminarlo de ahí, porque contiene mi foto profesional, mi nombre y mi profesión". SEGUNDO: Con fecha 5 de marzo de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: URL ANONTUBE.COM Con fecha 7 de marzo de 2024 se obtiene evidencia del vídeo indicado en la reclamación. Dicho vídeo aparece publicado, pero sólo se puede visualizar el contenido previo acceso a la web con una cuenta premium de pago. Se creó un usuario y se inició sesión, pero no se consiguió visualizar el contenido sin previo pago. La publicación contiene cinco screenshots situados debajo del vídeo con capturas de partes del vídeo. Con fecha 7 de marzo de 2024 se solicita la retirada del contenido a través del formulario publicado en ***URL.1 al que se accede mediante la web de Anontube. (DCMA -> DCMA/Contact -> Legal Department / Law enforcement Contact Portal). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 Con fecha 15 de marzo de 2024 se realiza consulta en https://whois.domaintools.com/ acerca de la página web https://www.anontube.com. Se localiza la siguiente información: - Registrar: NAMECHEAP INC. Namecheap, Inc. URL: https://www.namecheap.com/ Registrar Abuse Contact Email: abuse@namecheap.com Registrant/Admin Email: ***EMAIL.1 En dicha fecha, se envía correo electrónico reiterando la solicitud de retirada del contenido a las anteriores direcciones de correo. Con fecha 18 de marzo de 2024 se comprueba que se ha retirado el contenido de la web. URL ANONVIDEOS.COM Se comprueba que al realizar una consulta en el buscador Google del nombre de la reclamante, aparece una nueva página web: ***URL.2 que exhibe el mismo vídeo, junto con los cinco screenshots, subido el 11 de marzo de 2024. Con fecha 18 de marzo de 2024 se realiza consulta en https://whois.domaintools.com/ acerca de la página web https://www.anonvideos.com. Se localiza la siguiente información: - Registrar: NAMECHEAP INC. Namecheap, Inc. URL: https://www.namecheap.com/ Registrar Abuse Contact Email: abuse@namecheap.com Registrant/Admin Email: ***EMAIL.2 En dicha fecha, se envía correo electrónico a dichas direcciones solicitando la retirada del contenido. Con fecha Con fecha 21 de marzo de 2024 se reitera la solicitud de retirada de contenido a través del formulario publicado en ***URL.1. Con fecha 25 de marzo de 2024 se comprueba que se ha retirado el contenido de la página web. INVESTIGACIÓN DE LA AUTORÍA DE LOS HECHOS Realizada consulta en la web de NameCheap Inc. https://www.namecheap.com/, (Diligencia NAMECHEAP), se observa que su representante en la Unión Europea para la aplicación del RGPD es la European Data Protection Office (EDPO). Con fecha 4 de abril de 2024 se envía requerimiento de información la EDPO solicitando la identificación e información de contacto del titular de los dominios anontube.com y anonvideos.com. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 Con fechas 11 de abril de 2024 (correo electrónico al buzón de Atención al ciudadano) y 26 de abril de 2024 se recibe escrito de respuesta de la EDPO solicitando el nombre del cliente para redirigir el requerimiento de información. Se proporciona la información mediante correo electrónico enviado el 23 de abril de 2024 con acuse de recibo en fecha 24 de abril de 2024 y reiterado mediante requerimiento enviado por certificado internacional el 21 de mayo de 2024. Con fecha 31 de mayo de 2024 se recibe correo electrónico de EDPO de respuesta al requerimiento, en el que señala lo siguiente: “…Namecheap’s privacy team has asked us to inform you that Namecheap does not host the websites (anontube.com and anonvideos.com) and, therefore, is not involved in processing any of the data contained in the sites.” Traducción no oficial: “El equipo de privacidad de Namecheap nos ha pedido que le informemos de que Namecheap no aloja los sitios web (anontube.com y anonvideos.com) y, por lo tanto, no participa en el tratamiento de ninguno de los datos contenidos en los sitios.” Con fecha 21 de mayo de 2024 se envía requerimiento de información, por certificado internacional, a la empresa WITHHELD FOR PRIVACY EHF, registrada en Whois (Diligencia whois) como la empresa encargada de la privacidad de los dominios. En dicho requerimiento se solicitaba la siguiente información: o o Dirección IP utilizada para publica el contenido. Información identificativa asociada a los usuarios “A.A.A.” (Anontube) y “B.B.B.” (Anonvideos) responsables de la subida del vídeo. Los envíos no constan que hayan sido recibidos. Con fecha 26 de junio de 2024 se envía requerimiento de información por correo electrónico a la dirección abuse@namecheap.com y se rellena formulario para solicitar información a través de https://abusereports.com/?page_id=5763 Con fecha 10 de julio de 2024 se recibe correo de respuesta de noreply@abusereports.com indicando lo siguiente: “Our client comments as follows: This content does not exist on our servers or network and no logging is present we are totally B.B.B. adult posting network. Please update your automated systems to remove this incorrect flagging Abuse Department. Anon Networks” Traducción no oficial: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 “Nuestro cliente comenta lo siguiente: Este contenido no existe en nuestros servidores o red y no hay registros de logs, somos una red de publicación de adultos totalmente anónima. Actualice sus sistemas automatizados para eliminar este marcado incorrecto Departamento de Abuso. Anon Networks” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El tratamiento de imágenes, que identifican o hacen identificable a una persona supone un tratamiento de datos personales y, por tanto, la persona que lo hace tiene que ampararse en alguna de las causas legitimadoras señaladas en el artículo 6 del RGPD. En estos supuestos, como en el caso objeto de reclamación, la causa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 legitimadora habitual suele ser el consentimiento, en general. Y es la persona que sube los datos personales y las imágenes que pueden visualizarse sin limitación alguna la que debe demostrar que cuenta con ese consentimiento. Para que se pueda llevar a cabo lícitamente ese tratamiento tiene que cumplirse lo establecido en el artículo 6.1 del RGPD, que indica: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” III Condiciones para el consentimiento En relación con las condiciones para el consentimiento, el artículo 7 del RGPD dispone: "1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato." IV Conclusión Para poder identificar a la persona o personas que estaban tratando los datos de la parte reclamante incluidos en un vídeo, se realizaron las actuaciones de previas de investigación, conforme establece el artículo 67 de la LOPDGDD, y que determina lo siguiente: “1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.” Tras efectuar las investigaciones reseñadas en los Hechos, se ha concluido lo siguiente: Se ha conseguido la retirada del contenido denunciado. No se ha podido identificar al responsable de la publicación. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento en la publicación de las imágenes contenidas en el vídeo, de conformidad con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
10. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es