AI-00309-2022

1/7  Expediente N.º: EXP202208714 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 16 de agosto de 2022, se presentó reclamación ante la Agencia Española de Protección de Datos contra ***USUARIO.1. Los motivos en que basa la reclamación son los siguientes: El reclamante, que dice no ser usuario de Twitter, expone la dificultad de denunciar en esa red un contenido publicado, en fecha ***FECHA.1, por el usuario ***USUARIO.1 (…), que reproduce una conversación privada, de carácter sexual sadomasoquista, mantenida por el reclamante en la app de contactos gays Grindr, divulgando públicamente de esta forma el contenido de la conversación, su nombre y la imagen de su perfil en esta app. Junto a la notificación se aporta Fotografía con captura de pantalla del perfil denunciado de Twitter (***USUARIO.1) Captura de pantalla del Tweet publicado el ***FECHA.1 por el reclamado (***USUARIO.1) donde se difunde una captura realizada con un móvil y en la que se aprecia el texto de una conversación junto a la fotografía de una de las personas intervinientes (supuestamente el reclamante) y el supuesto nombre de este: “A.A.A.”. SEGUNDO: Con fecha 17 de agosto de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. TERCERO: Con fecha 17 de agosto de 2022, se recibe en esta Agencia escrito de alegaciones por parte del reclamante, en el que indica que en el acuerdo de admisión a trámite de su reclamación ante la agencia y que en la literalidad de dicho acuerdo se indica que "el reclamante, que dice no ser usuario de Twitter, expone la dificultad de denunciar en esa red un contenido publicado, en fecha ***FECHA.1, por el usuario ***USUARIO.1 (...), que reproduce una conversación privada, de carácter sexual sadomasoquista, mantenida por el reclamante en la app de contactos gays grindr, divulgando públicamente de esta forma el contenido de la conversación, su nombre y la imagen de su perfil en esta app". “Que como consta en la propia solicitud inicial que esta parte expuso en la denuncia presentada, que no se reconocía como partícipe de la conversación pero que se estaba usando su fotografía y que esta parte lo que señala es que el citado perfil está usando su fotografía en relación con dicha conversación basada en prácticas sexuales. Ruega por lo tanto se corrija.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En fecha 17 de agosto de 2022, se firma y notifica una orden de retirada urgente del contenido dirigida al prestador de servicios de intermediación, TWITTER INTERNATIONAL COMPANY (a través de TWITTER SPAIN S.L), para que en el plazo de 5 días naturales procediese a retirar los contenidos denunciados, y para que procediese a informar a esta Agencia acerca de la ejecución de esta medida. En fecha de 5 de septiembre de 2022, tras no ser accedida la notificación electrónica anterior, se decide reiterar la orden de retirada urgente utilizándose en esta ocasión la vía postal. Esta reiteración también fue rehusada por el prestador de servicios sin acceder a su contenido. Tras los dos intentos fallidos de notificación de la orden de retirada urgente firmada por la directora de esta Agencia, habiéndose realizado el primero de ellos por vía electrónica en fecha 17 de agosto de 2022 sin haberse accedido a su contenido (notificación expirada), y un segundo intento de notificación por vía postal en fecha 5 de septiembre de 2022 que tampoco fue entregado (notificación rehusada), se procede a utilizar otras vías de contacto para obtener la retirada del contenido pretendido: En fecha 1 de septiembre de 2022 se utiliza el formulario activo en el portal de TWITTER para la solicitud de retirada de contenido. https://help.twitter.com/es/forms/safety-and-sensitive-content/privateinformation En la misma fecha, 1 de septiembre de 2022, se utiliza el formulario de contacto publicado en el mismo portal de TWITTER para contactar con el Data Protection Officer. https://twitter.ethicspointvp.com/custom/twitter/forms/data/form_data.asp En fecha 19 de septiembre de 2022 se recibe respuesta por parte de TWITTER al segundo de los formularios cumplimentados, en la respuesta se recoge el siguiente texto: “Hola, Gracias por contactarnos. Recomendamos a la AEPD que utilice nuestro dpo@Twitter.com como medio de comunicación con nosotros. Sinceramente, Twitter Office Of Data Protection” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 El 21 de septiembre de 2022 se envió email a la dirección dpo@twitter.com con el siguiente contenido: (…) En fecha 22 de septiembre de 2022, y de forma paralela a los intentos de contacto anteriores con el prestador de servicios, se decide enviar requerimiento de información a la parte reclamante solicitando lo siguiente: Acreditación de que la foto difundida en el contenido publicado en el perfil de Twitter ***USUARIO.1 y denunciado en su reclamación, corresponde con su imagen. En fecha 24 de septiembre de 2022, se recibe respuesta del reclamante a nuestro requerimiento de información, aportando: - Copia de DNI con la fotografía que lo identifica. La fotografía en original que fue publicada en la captura de pantalla del contenido denunciado y publicado en el perfil de Twitter ***USUARIO.1. Afirma que el contenido publicado le sigue provocando graves perjuicios reputacionales y humanos. En fecha 28 de septiembre de 2022 se comprueba que el contenido ya ha sido retirado del perfil denunciado, mostrándose en su lugar el siguiente mensaje: (…). Adicionalmente, en fecha 12 de octubre de 2022, se recibe email por parte del DPO de TWITTER INTERNATIONAL COMPANY con el siguiente contenido: “Estimado señor (…): Le escribimos en respuesta a su correspondencia del 21 de septiembre de 2022. Después de una revisión adicional del Tweet en cuestión ***URL.1, hemos eliminado el contenido de la plataforma. También reiteramos que la integridad del Tweet que fue objeto del aviso se preservará para cualquier procedimiento legal. Quedamos a su disposición si tiene más preguntas. Sinceramente, Office of Data Protection Twitter International Unlimited Company” En fecha 2 de octubre de 2022 se realiza nuevo requerimiento de información vía certificado internacional a TWITTER INTERNATIONAL COMPANY, marcado por la siguiente línea de investigación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 - Conocer los datos de identificación de la persona titular del perfil de ***USUARIO.1. La dirección IP de conexión del usuario en la fecha y hora en la que se subió el contenido denunciado. En fecha 21 de octubre de 2022 se recibe respuesta por parte del prestador TWITTER INC al requerimiento anterior con el siguiente contenido: (…) Se solicitó colaboración a la Autoridad Irlandesa a través de una notificación de asistencia voluntaria (A61); esta solicitud se envía en fecha 27 de octubre de 2022. Tras pasar el tiempo voluntario sin obtener respuesta al envío anterior por parte de la autoridad irlandesa, en fecha 3 de febrero de 2023 se realiza reiteración de la información requerida, obteniéndose respuesta en esta misma fecha 3 de febrero de 2023 con el siguiente contenido: “Le rogamos que se ponga en contacto directamente con el DPO de Twitter para esta solicitud de información, la dirección de correo electrónico es dpo@twitter.com” En fecha 16 de febrero de 2023 se envia un segundo requerimiento de información vía certificado internacional al prestador de servicios TWITTER INTERNATIONAL COMPANY, enviándose de forma paralela email al DPO de Twitter (dpo@twitter.com) solicitando colaboración para intentar obtener la información pretendida. Según consta en la oficina de Correos este envío postal fue entregado en fecha 28 de febrero de 2023. En fecha 2 de marzo de 2023 se recibe correo electrónico por el remitente support@twitter.com con el siguiente contenido: (…) FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud en el tratamiento de datos El incluir el contenido de una conversación, el nombre y la imagen del reclamante en twitter, reproduciendo una conversación privada, de carácter sexual sadomasoquista, mantenida por el reclamante en la app de contactos gays Grindr, que identifica a esta persona supone un tratamiento de datos personales y, por tanto, la persona que lo hace tiene que ampararse en alguna de las causas legitimadoras señaladas en el artículo 6 del RGPD. En estos supuestos, como en el caso objeto de reclamación, la causa legitimadora habitual suele ser el consentimiento, en general. Y es la persona que sube los datos personales sin limitación alguna la que debe demostrar que cuenta con ese consentimiento. Para que se pueda llevar a cabo lícitamente ese tratamiento tiene que cumplirse lo establecido en el artículo 6.1 del RGPD, que indica: <<1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.>>. III Conclusión La reclamación exponía la dificultad de denunciar en Twitter, al no ser usuario C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 de esa red, un contenido publicado, en fecha ***FECHA.1, por el usuario ***USUARIO.1, que reproducía una conversación privada, de carácter sexual sadomasoquista, mantenida por el reclamante en la app de contactos gays Grindr, divulgando públicamente de esta forma el contenido de la conversación, su nombre y la imagen de su perfil en esta app. Tras las actuaciones realizadas la conversación e imágenes han desaparecido. Para poder identificar a la persona que difundió las imágenes y la conversación objeto de reclamación, se realizaron las actuaciones de previas de investigación, conforme establece el artículo 67 de la LOPDGDD, y que determina lo siguiente: <<1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.>> Como se ha indicado en los Hechos de esta resolución, se comprueba en el contenido reclamado, que ya ha sido retirado del perfil denunciado, mostrándose en su lugar el siguiente mensaje: “Este Tweet viola las reglas de Twitter”; si bien no ha sido posible determinar la autoría de dicha publicación. De conformidad con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
10. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 guiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es