AI-00184-2024

1/7 • Expediente N.º: EXP202406403 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento de ciertos hechos que podrían vulnerar la legislación en materia de protección de datos. Como consecuencia de una denuncia efectuada con fecha 23 de febrero de 2024, se pone en conocimiento de esta Agencia: Varios alumnos de un centro educativo han recibido un enlace que conduce a una imagen explícita producida por una I.A. de una compañera de curso. Asimismo, se indica que los progenitores de la persona afectada habrían adoptado determinadas medidas legales. Junto a la denuncia se aporta: • El enlace de publicación de la fotografía ***URL.1 comprobándose por esta Agencia el 6 de marzo de 2024 que no conduce a ninguna imagen públicamente disponible. Con fecha 7 de marzo de 2024, la Agencia Española de Protección de Datos acordó inadmitir a trámite la reclamación debido a que no se habían aportado documentos con el suficiente valor probatorio que permitieran acreditar una vulneración de la normativa de protección de datos. La URL aportada conducía a una página no disponible. Con fecha 17 de abril de 2024 tiene entrada nueva denuncia, en la que se manifiesta que varios alumnos de un Centro Educativo, los cuales tienen una cuenta de correo que pertenece al citado Centro (con dominio ***DOMINIO.1), reciben un correo desde el dominio (...) de la cuenta ***CUENTA.1, con una fotografía de un desnudo integral en formato jpg de una alumna (A.A.A.). Dicha imagen se certifica que está creada con una IA. SEGUNDO: Con fecha 24 de abril de 2024 la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la LOPDGDD para investigar los hechos denunciados. TERCERO: La SGID procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 22 de mayo de 2024 se envía requerimiento de información al denunciante solicitando la siguiente información: • • Aporte copia del correo electrónico citado en la reclamación. Si no dispone de él, proporcione la fecha y hora en las cuales dicho correo electrónico fue recibido. Con fecha 28 de mayo de 2024 se recibe escrito de respuesta con número de entrada ***REFERENCIA.1. Aportan fotografía de un dispositivo móvil que muestra un correo electrónico con el asunto “***ASUNTO.1” enviado el 16 de abril de 2024 a las 12.55 a varios destinatarios. No se aporta la imagen indicada en la reclamación. Con fecha 20 de agosto de 2024 se envía requerimiento de información al denunciante reiterando la aportación de la copia completa del correo electrónico de la denuncia y solicitando el nº de referencia y el órgano en el que se presentó la denuncia que, según manifiestan en la reclamación, interpusieron los padres de la afectada. Dicha notificación resulta expirada por caducidad. Con fecha 3 de septiembre de 2024 se reitera por correo postal resultando entregada con fecha 20 de septiembre de 2024. Con fecha 26 de septiembre de 2024 tiene entrada escrito de respuesta con número de entrada ***REFERENCIA.2. Informan de que no tienen conocimiento de la información solicitada y no aportan copia del correo electrónico ni de la imagen denunciada. Con fecha 21 de junio de 2024 se envía requerimiento de información a ***EMPRESA.1 solicitando los datos identificativos de la cuenta de correo electrónico ***CUENTA.1 y la dirección IP desde la que fue llevada a cabo la infracción. Con fecha 28 de junio de 2024 resulta entregada. Se reitera con fecha 7 de agosto de 2024 resultando entregada con fecha 13 de agosto de 2024. Con fecha 8 de agosto de 2024 se envía correo electrónico a la dirección ***EMAIL.1 reiterando el requerimiento de información. Con fecha 12 de agosto de 2024 se recibe correo electrónico de respuesta manifestando lo siguiente: “Hello, Thank you for reaching out. We acknowledge reception of your request and would gladly assist. However, under Swiss law, we can only comply with requests duly instructed by law enforcement. We advise you to contact your local law enforcement authority. It will be required from them to act through international police cooperation to request the relevant data. We can also preserve data of an account in anticipation of proceedings, but we require to be contacted by law enforcement (***URL.2). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 If you would like us to investigate the account for a breach of our Terms & Conditions, please forward the evidence of abuse to our anti-abuse team (***EMAIL.2) so appropriate action can be taken. We stay at your disposal for any information. Best regards” Traducción no oficial al castellano: “Hola, Gracias por ponerse en contacto con nosotros. Acusamos recibo de su solicitud y estaríamos encantados de ayudarle. Sin embargo, en virtud de la legislación suiza, sólo podemos atender solicitudes debidamente instruidas por las fuerzas del orden. Le aconsejamos que se ponga en contacto con las autoridades policiales locales. Será necesario que actúen a través de la cooperación policial internacional para solicitar los datos pertinentes. También podemos conservar los datos de una cuenta en previsión de un procedimiento, pero para ello necesitamos que se pongan en contacto con nosotros las fuerzas de seguridad (***URL.2). Si desea que investiguemos la cuenta por incumplimiento de nuestros Términos y Condiciones, envíe las pruebas del abuso a nuestro equipo antiabuso (***EMAIL.2) para que se tomen las medidas oportunas. Quedamos a tu disposición para cualquier información. Saludos cordiales» Se incorporan dichos correos electrónicos al expediente. Con fecha 30 de septiembre de 2024 se envía requerimiento de información a ***EMPRESA.2 solicitando la dirección IP utilizada para publicar el contenido o, en su caso, la dirección IP de última conexión previa a la difusión, así como la información identificativa del usuario de ***EMPRESA.2 responsable. Dicha notificación resulta entregada con fecha 9 de octubre de 2024. Con fecha 6 de noviembre de 2024 se envía correo electrónico a la dirección ***EMAIL.3 reiterando el requerimiento de información. En la misma fecha se recibe correo electrónico de respuesta del departamento legal de ***EMPRESA.2 (***EMAIL.4) manifestando lo siguiente: “Good morning, ***EMPRESA.2 has preserved the relevant account information. For production of user data, as noted in ***EMPRESA.2's Guidelines for Legal Requests C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7 of User Data (***URL.3), ***EMPRESA.2 will promptly review legal requests that comply with applicable laws when seeking data from companies located outside of Spain. The established way to do this would be to submit a request through the United States Department of Justice Criminal Division's Office of International Affairs (***URL.4), in compliance with the MLAT protocol currently in effect between Spain and the United States. Thank you for understanding, ***EMPRESA.2 Staff” Traducción no oficial al castellano: “Buenos días, ***EMPRESA.2 ha conservado la información relevante de la cuenta. Para la producción de datos de usuario, como se indica en las Directrices de ***EMPRESA.2 para las solicitudes legales de datos de usuario (***URL.3), ***EMPRESA.2 revisará con urgencia las solicitudes legales que cumplan con las leyes aplicables cuando se soliciten datos de empresas ubicadas fuera de España. La forma establecida para ello sería presentar una solicitud a través de la Oficina de Asuntos Internacionales de la División Penal del Departamento de Justicia de los Estados Unidos (***URL.4), en cumplimiento del protocolo MLAT actualmente en vigor entre España y los Estados Unidos. Gracias por su comprensión, Personal de ***EMPRESA.2” Se incorporan dichos correos electrónicos al expediente. No se recibe respuesta por los canales oficiales. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7 en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El enviar o difundir imágenes, que identifican o hacen identificable a una persona, supone un tratamiento de datos personales y, por tanto, la persona que lo hace tiene que ampararse en alguna de las causas legitimadoras señaladas en el artículo 6 del RGPD. En estos supuestos, como en el caso objeto de reclamación, la única causa legitimadora suele ser el consentimiento, en general. Y es la persona que graba y/o sube las imágenes a un sitio web la que debe demostrar que cuenta con ese consentimiento. Para que se pueda llevar a cabo lícitamente ese tratamiento tiene que cumplirse lo establecido en el artículo 6.1 del RGPD, que indica: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7 III Conclusión En la primera denuncia presentada, el 23 de febrero de 2024, se ponía de manifiesto que varios alumnos habrían recibido un enlace que conducía a una imagen de carácter explícito, generada mediante inteligencia artificial, en la que aparecía una compañera de curso. Asimismo, se hace constar que los padres de la afectada habrían manifestado su intención de “tomar medidas legales”, sin que conste ante este organismo que se haya presentado reclamación formal o denuncia complementaria relacionada con los hechos descritos. De la documentación obrante en el expediente se evidencia que el enlace facilitado por el denunciante no conducía a ninguna imagen o contenido públicamente disponible. En la segunda denuncia presentada, el 17 de abril de 2024, se ponía de manifiesto que varios alumnos habrían recibido un correo electrónico remitido desde el dominio (...) de la cuenta ***CUENTA.1, que contenía una fotografía de un desnudo integral en formato jpg de una alumna (A.A.A.) creada con inteligencia artificial. Con el fin de determinar la dirección desde la cual se remitieron las imágenes objeto de denuncia y, en su caso, identificar a la persona responsable de su envío, se llevaron a cabo actuaciones previas de investigación, conforme establece el artículo 67 de la LOPDGDD. En el marco de las cuales se contactó con las siguientes entidades: • Con fecha 22 de mayo de 2024 se envía requerimiento de información al denunciante solicitando la aportación de la copia completa del correo electrónico objeto de denuncia, así como el número de referencia y órgano de presentación de la misma, supuestamente interpuesta por los progenitores de la persona afectada. Dicha entidad manifestó no tener conocimiento de la información solicitada, no aportando ni la copia del correo electrónico ni la imagen denunciada. • Con fecha 21 de junio de 2024 se envía requerimiento de información a ***EMPRESA.1, titular del servicio de correo electrónico cifrado desde el que se efectuó el envío de la imagen, solicitando la información relativa a los datos de la cuenta y la dirección IP desde la que se habría producido la infracción. No obstante, ***EMPRESA.1, con sede en Suiza, no aportó la información solicitada e indicó que, de conformidad con su legislación nacional, únicamente atienden solicitudes de esta naturaleza si proceden de las fuerzas y cuerpos de seguridad. • Con fecha 30 de septiembre de 2024 se envía requerimiento de información a ***EMPRESA.2, plataforma en línea utilizada para la colaboración en proyectos de programación, solicitando la dirección IP asociada a la publicación del contenido o, en su caso, la última conexión previa a la publicación. La entidad no aportó la información solicitada, invocando el protocolo MLAT, según el cual tales requerimientos deben ser canalizados a través de la Oficina de Asuntos Internacionales de la División Penal del Departamento de Justicia de los Estados Unidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 Por lo tanto, en base a lo indicado en los párrafos anteriores y teniendo en cuenta la información de la que se dispone en este momento, tras efectuar las investigaciones reseñadas, no ha sido posible identificar al usuario o persona responsable del envío de la imagen objeto de la denuncia. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP , los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es