AI-00145-2025

1/7  Expediente N.º: EXP202501020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 16 de enero de 2025, se presentó reclamación ante la Agencia Española de Protección de Datos mediante la que, la parte reclamante manifestaba que alguien había publicado en el sitio web ***URL.1 un anuncio de contactos utilizando una fotografía suya y su número de teléfono. La parte reclamante indica que con fecha 21 de diciembre de 2024 se dirigió al responsable del sitio web mediante mensaje de correo electrónico remitido a la dirección ***EMAIL.1, que aparece informada en la política de privacidad, mediante el que solicitaba que eliminaran su foto, pero aún no había obtenido respuesta. Junto a su reclamación aporta los siguientes documentos: -impresión de pantalla con el anuncio publicado en la página web ***URL.1, con el número de teléfono y fotografía de la parte reclamante. -impresión de pantalla con el mensaje de correo electrónico enviado por la parte reclamante a la dirección ***EMAIL.1 con el siguiente contenido: “Necesito dar de baja un anuncio que ha sido publicado indebidamente. Como puede hacerlo me urgen prisa”. En fecha 1 de abril de 2025 la parte reclamante presenta un nuevo escrito en el que manifiesta que en fecha 16 de enero interpuso una reclamación por la vía normal, pero que, viendo la situación de urgencia por el contenido, vuelve a presentar reclamación por el canal prioritario. Indica que alguien ha creado un anuncio con su nombre y número de teléfono y dos fotografías. Añade que se ha escrito al correo electrónico que figura en la política de privacidad y que ha llamado por teléfono, pero no contestan. Junto a su escrito, adjunta nuevamente el anuncio con las fotografías con su imagen. En fecha 26 de abril de 2025 tiene entrada otro escrito de la parte reclamante, en el que pone de manifiesto que han vuelto a abrir otro anuncio con sus fotografías. SEGUNDO: En fecha 22 de enero de 2025 se comprueba que el anuncio motivo de la reclamación sigue publicado, y se comprueba en la política de privacidad que el responsable de la página web es la entidad “***EMPRESA.1”, NIF: ***NIF.1. Asimismo, se comprueba que el NIF ***NIF.1 se corresponde con la entidad ***EMPRESA.2, que figura inscrita en el Registro Mercantil como activa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ***EMPRESA.2, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 17 de febrero de 2025, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal certificado. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. Dicha notificación fue devuelta por el servicio de correos por “dirección incorrecta” el día 11 de abril de 2025. No se ha recibido respuesta a este escrito de traslado. CUARTO: En fecha 2 de abril de 2025 se comprueba que el anuncio motivo de la reclamación sigue publicado. QUINTO: Con fecha 3 de abril de 2025, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. SEXTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Retirada del contenido Con fechas 03/04/2025, 04/04/2025 y 04/06/2025 se ordena a ***EMPRESA.2 la retirada del contenido publicado en la ***URL.2. Resultando el primer requerimiento expirado por caducidad, el segundo Ausente en reparto y el tercero Devuelto por desconocido. Paralelamente, en fechas 3 y 4 de abril de 2025 se envían correos electrónicos solicitando la retirada del contenido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 Con fecha 7 de abril de 2025 se comprueba, mediante diligencia incorporada al expediente, que el anuncio ha sido eliminado. En fecha 7 de mayo de 2025 se envía un nuevo correo electrónico solicitando la retirada del anuncio. Con fecha 5 de junio de 2025 se recibe correo electrónico enviado por ***EMAIL.1 confirmando la retirada del contenido. Investigación relativa al responsable de tratamiento de la web ***URL.1 En fecha 3 de abril de 2025 se remite requerimiento de información a ***EMPRESA.3., como entidad registradora del dominio ***URL.1. En fecha 4 de abril de 2025 se recibe respuesta indicando que el titular del dominio es ***EMPRESA.1. En fecha 09 de julio de 2025 se remite requerimiento de información a ***EMPRESA.4, en el que se solicitan los datos del titular del dominio ***URL.1 en el que se solicitan los datos del titular del dominio ***URL.1. En fecha 22 de julio de 2025 confirma la información aportada previamente por ***EMPRESA.3, indicando que el titular del dominio es ***EMPRESA.1, con NIF ***NIF.1. En fecha 27 de agosto de 2025 se remite nuevo requerimiento de información a la entidad ***EMPRESA.4 del que se recibe respuesta el 17 de septiembre de 2025 con información relativa al pago del dominio. Mediante diligencia de fecha 29 de septiembre de 2025 y en relación con el número de teléfono aportado por ***EMPRESA.3 se comprueba que no resulta válido, dado que el número de dígitos no se corresponde con una numeración real en España. Asimismo, se comprueba que el domicilio aportado por ***EMPRESA.3 no coincide con el aportado por la AEAT ni con el recogido en la política de privacidad del dominio ***URL.1. Al realizar una consulta en Google Maps sobre la dirección indicada, el resultado aparece como un establecimiento de hostelería. Se incorporan ambas consultas al expediente en el documento “Diligencia consultas”. En relación con la cuenta de correo electrónico aportada por ***EMPRESA.3, ***EMAIL.2, en fecha 22 de julio de 2025 se remite requerimiento de información mediante notificación electrónica, a fin de que facilitara los datos identificativos asociados a la misma. La notificación resulta expirada por caducidad. Se reitera dicho requerimiento mediante notificación postal, resultando entregado con fecha 25 de agosto de 2025. Con fecha 05 de septiembre de 2025 se recibe escrito de respuesta al requerimiento efectuado, en el que manifiestan que el titular de la cuenta de correo es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7 ***EMPRESA.1 NIF ***NIF.1. Que dicha cuenta fue creada como una cuenta instrumental por ser requerida en el trámite de solicitud del dominio ***URL.1 para la citada entidad ***EMPRESA.1, y que, tras la creación del dominio, el buzón de dicha cuenta fue redirigido al siguiente correo: ***EMAIL.1” Con fecha 1 de septiembre de 2025 se ha comprobado, mediante diligencia incorporada al expediente que el sitio web ***URL.1 no está disponible y se averigua que dicha web está señalada como “estafa”. Se consulta en la CNMC el teléfono de contacto aportado por ***EMPRESA.5 y publicado en el apartado “Aviso legal” del sitio web ***URL.1. Con fecha 1 de septiembre de 2025 se remite requerimiento de información a ***EMPRESA.6 solicitando los datos identificativos asociados a la numeración aportada por ***EMPRESA.5. Con fecha 8 de septiembre de 2025 tiene entrada escrito de respuesta identificando al titular de la línea, que no coincide con ***URL.1. En relación con la entidad ***EMPRESA.2 se halla la “Resolución de ***FECHA.1, del Departamento de Gestión Tributaria de la Agencia Estatal de Administración Tributaria, por la que se publica la revocación de números de identificación fiscal” por la cual se revocaría el NIF a dicha entidad. Se constata que dicha fecha de publicación de la resolución es previa a la creación del dominio ***URL.1 (13/03/2023). Ante la imposibilidad de contacto por vía electrónica o postal se envía correo electrónico a las direcciones ***EMAIL.1 y ***EMAIL.2 con la finalidad de intentar obtener información adicional. No se ha recibido respuesta. Con fecha 18/09/2025 se remite requerimiento de información mediante notificación electrónica a ***EMPRESA.7 solicitando los datos identificativos (nombre, NIF, domicilio…) del titular del método de pago del dominio a fecha 13/03/2023. En su escrito de respuesta ha informado que dicha tarjeta está vinculada a la mercantil ***EMPRESA.5. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7 en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Derecho de supresión («el derecho al olvido») El artículo 17 del RGPD dispone lo siguiente: "1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
3. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
4. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
5. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
6. d)los datos personales hayan sido tratados ilícitamente;
7. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
8. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
9. a)para ejercer el derecho a la libertad de expresión e información;
10. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
11. c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
12. h)e i), y apartado 3;
13. d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
14. e)para la formulación, el ejercicio o la defensa de reclamaciones." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7 III Conclusión Para poder identificar a la persona o personas responsables del dominio ***URL.1 se han realizado actuaciones de investigación tendentes a determinar la titularidad de la página web donde se encontraba publicado el anuncio al que hacía referencia la parte reclamante. Todo ello, conforme al artículo 67 de la LOPDGDD que determina lo siguiente: “1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.” De este modo, en la página web ***URL.1 se identificaba a la entidad ***EMPRESA.1 con NIF ***NIF.1 como responsable del tratamiento. Se ha comprobado que este NIF correspondía a la entidad ***EMPRESA.2 y a esta entidad le fue revocado el NIF según la publicación en BOE de la “Resolución de ***FECHA.1, del Departamento de Gestión Tributaria de la Agencia Estatal de Administración Tributaria, por la que se publica la revocación de números de identificación fiscal”. Se ha constatado que el dominio ***URL.1 fue registrado de forma telemática en fecha posterior a la revocación del NIF de la entidad, el 13 de marzo de 2023. Del análisis de la información se advierte que varios de los datos de identificación son incorrectos y no coinciden, circunstancia que imposibilita tanto la identificación y contacto del responsable de tratamiento de la web como el contacto efectivo con el mismo. Se ha comprobado mediante diligencia incorporada al expediente de fecha 9 de septiembre de 2025, que la web ***URL.1 fue señalada como “estafa” por la página ***URL.3. Todos los intentos de contacto, tanto por vía electrónica como postal, y por correo electrónico, han resultado infructuosos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 Una vez concluidas las actuaciones por parte de esta Agencia, y tal y como se indica en el apartado “Hechos” de la presente resolución, no se ha podido determinar la identidad del responsable o responsables del mismo. Para que esta Agencia pueda apreciar la existencia de una infracción del Reglamento General de Protección de Datos (RGPD), es imprescindible que concurran dos elementos esenciales: por un lado, que se haya producido un tratamiento de datos personales; y, por otro, que dicho tratamiento resulte ilícito por carecer de base jurídica, infringir principios del RGPD o vulnerar derechos del interesado, entre otras obligaciones del responsable del tratamiento. Además, la responsabilidad debe ser atribuible a una persona física o jurídica identificada que actúe como responsable o encargado del tratamiento. Por lo tanto, al no poder atribuir la responsabilidad por el tratamiento referido a la creación del perfil objeto de la reclamación, sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta; y de acuerdo con lo señalado por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
15. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es