AI-00128-2023

1/5 Expediente N.º: EXP202304798 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 12 de abril de 2023, se presentó reclamación con número de registro de entrada REGAGE23e00023588580 y REGAGE23e00024509028 ante la Agencia Española de Protección de Datos inicialmente contra A.A.A. (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: El reclamante manifiesta que el usuario del perfil "A.A.A." en Facebook le ha engañado, haciéndose pasar por otra persona, en otra red social (Instagram), y como resultado el reclamante le ha mandado una foto íntima de la que ha hecho una captura y, con posterioridad, la ha difundido a los contactos del reclamante de Facebook. Aporta capturas de pantalla de conversación mantenida en Instagram, en el que desde el perfil "A.A.A." le amenaza con la publicación de la foto íntima (sextorsión) mediante la creación del blog ***BLOG.1 con este fin. En fecha 17/04/23, el reclamante acude además a la Agencia, a través del Canal prioritario, manifestando que, al margen de la sextorsión sufrida, el usuario del perfil de Facebook referido ha creado un blog con el nombre y primer apellido del reclamante, ***BLOG.1 bajo el título: "***TÍTULO.1." Manifiesta la parte reclamante que ha denunciado a Google este contenido, sin éxito. Junto con la reclamación, aporta captura de pantalla publicada en el blog, con una imagen de la parte reclamante mostrando parcialmente su cara y sus genitales lateralmente. SEGUNDO: Con fecha 17 de abril de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: El 11/04/2023 es la fecha en la que tuvieron lugar los hechos reclamados y a fecha 17/04/2023 se han obtenido y protocolizado en el expediente las siguientes evidencias: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 1. Captura de pantalla del blog ***BLOG.1 almacenado en caché de Google.com referido a la fecha de 12/04/2023, donde consta el contenido sexual referenciado anteriormente. 2. Captura de pantalla del perfil de Facebook de A.A.A., en la que no se recogen publicaciones relativas al reclamante. El 18/04/2023 la Inspección requiere la Inspección a GOOGLE IRELAND LIMITED como medida provisional la retirada del blog localizado en ***BLOG.1 En la misma fecha, en la búsqueda se constata que Google ha retirado el contenido, aunque sigue apareciendo como resultado ***BLOG.1, cuando se busca por el término “***TÍTULO.1 blogspot”. El 09/05/2023 Google Ireland Limited confirma, mediante escrito a la AEPD, la retirada completa del blogspot en cuestión, al eliminar también la entrada del blogger, ***BLOG.1. El 18/04/2023 la Inspección comprueba los siguientes extremos: 1. En el contenido del perfil de “A.A.A.” ***URL.1 no aparecen fotos de la parte reclamante. 2. En la búsqueda en google.com por el término “***TÍTULO.1” no aparecen ni las imágenes, ni otros vídeos con el contenido sexual denunciado. 3. En la búsqueda en youtube.com por el término “***TÍTULO.1” tampoco aparecen videos con el contenido sexual denunciado. El 14/02/2024 recibe la AEPD contestación al requerimiento de información efectuado por la inspección a META PLATFORMS IRELAND LIMITED. Su contestación contiene la siguiente información: Que el perfil de Instagram denunciado localizable en la URL ***URL.1 está localizada fuera de de Europa, y que la responsable de esta url es META PLATFORMS INC, empresa ubicada en California, y, consecuentemente, bajo la jurisdicción de los Estados Unidos de América. El 03/04/2024 comprueba nuevamente la Inspección que no aparece ningún resultado en Google con búsqueda por los términos “***TÍTULO.1 blogspot”, (***BLOG.1). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " III Condiciones para el consentimiento En relación con las condiciones para el consentimiento, el artículo 7 del RGPD dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 "1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato." IV Conclusión Las medidas cautelares han tenido como resultado la retirada del contenido sensible; META PLATFORMS IRELAND LIMITED no ha facilitado en relación con la URL ***URL.1 la identidad del del responsable de tratamiento reclamado, por encontrarse el administrador de la URL indicada en Estados Unidos. Por lo tanto, en base a lo indicado en los párrafos anteriores, no ha sido posible determinar la identidad del responsable del tratamiento. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
10. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-301023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es