AI-00314-2022

1/6 - Expediente N.º: AI/00314/2022 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 14 de junio de 2021, la Agencia Española de Protección de Datos recibió una reclamación, firmada por veintiuna mujeres. Los motivos en que basan la reclamación son los siguientes: Fueron grabadas con una cámara oculta mientras orinaban en la calle durante el transcurso de una romería popular celebrada en Galicia, celebrada en el mes de julio de 2019. Las imágenes fueron publicadas en diversos sitios web de contenido pornográfico y de descarga de archivos. Los hechos fueron denunciados ante la Guardia Civil, acompañándose copia de las diligencias fruto de la labor investigadora realizada por la compañía de Burela (Lugo). En las diligencias se hace referencia a ocho sitios web distintos donde las imágenes habrían sido publicadas. Documentación relevante aportada por las reclamantes: - Denuncia interpuesta ante la Guardia Civil de la Compañía de Burela por una de las reclamadas. - Diligencias realizadas por la Guardia Civil para la eliminación de los vídeos reclamados en los sitios web: 1.- xhamster.com, 2.- vouyeurpapa.com, 3.- fap18.net, 4.rapidgator.net, 5.- xvideos.com, 6.- videospublicsex.com, 7.- pissrip.com y 8.- fboom.me Se comprobó que, en el momento de recibir la reclamación, permanecían disponibles en un enlace de rapidgator, para descarga directa, y en el sitio web ***PÁGINA WEB.1, para usuarios registrados. Asimismo, se verifico que la entidad responsable de RAPIDATOR es una sociedad británica (Y-FLEX LLP) con domicilio en Belfast. Consta un formulario online (https://rapidgator.net/feedback/contact/q/6) y una dirección de email (support@rapidgator.net) adónde podría dirigirse una solicitud de retirada "soft". Se desconoce quién es el responsable del sitio web ***PÁGINA WEB.1, no existiendo ninguna clase de texto legal identificativo. La única vía de contacto posible parece el formulario sito en (…). La consulta al registro de WHOIS revela que el dominio se registró utilizando los servicios de la panameña URL SOLUTIONS INC., que tiene designado representante en la UE (en Chipre). SEGUNDO: Con fecha 15 de junio de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Durante estas actuaciones, se comprobó que los enlaces con contenido activo eran: ***URL.1 ***URL.2 ***URL.3 ***URL.4 Puesta en conocimiento, vía email, de la reclamación recibida en esta agencia en la que se solicita ayuda para la eliminación del video del sitio web https://rapidator.net a la entidad británica Y-FLEX LLP con domicilio en Belfast responsable de este sitio web, con fecha de 2 de julio de 2021, se recibe en esta Agencia correo electrónico de contestación informando de que el fichero de video había sido eliminado. Respecto al contenido alojado en el sitio web ***PÁGINA WEB.1 se desconoce quién es el responsable de este sitio web de contenido para adultos, no existiendo ninguna clase de texto legal. No obstante, con fecha de 5 de julio de 2021, se solicita la retirada de los vídeos reclamados e información de la IP de conexión de las últimas sesiones de los usuarios responsables de su publicación mediante cumplimentación del formulario disponible en el sitio web para denuncias por derechos de autor (DMCA), único medio informado en el sitio web sin que se obtuviera respuesta alguna ni se retirasen los vídeos. Con fecha de 23 de julio de 2021, se solicita de nuevo la retirada y la misma información que en el caso anterior mediante la remisión de correo electrónico a la dirección anonimizada proporcionada por el registrador del dominio “***PÁGINA WEB.1”. Al igual que el caso anterior, no se obtuvo respuesta alguna ni los vídeos fueron retirados. Con fecha de 25 de noviembre de 2021 se solicita al JUZGADO DE 1ª INSTANCIA E INSTRUCCIÓN DE VIVERO información sobre si se abrieron diligencias en ese Juzgado a partir de la solicitud de auxilio judicial emitida por los Agentes lnstructores, pertenecientes al EFICO de la 4ª Compañía de Burela según Diligencias policiales ***DILIGENCIAS .1, y sobre si se había conseguido identificar la autoría de las publicaciones. Con fecha de 18 de febrero de 2022 se recibe escrito de contestación informando que, a partir de este atestado, se instruyeron las DILIGENCIAS PREVIAS PROC. ABREVIADO ***PROCEDIMIENTO.1, la cuales se encontraban en trámite de instrucción a efectos de determinar la posible autoría de los hechos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 Solicitada nuevamente a ese Juzgado, con fecha de 13 de mayo de 2022, información sobre si se ha podido determinar el autor de las publicaciones, y en su caso, datos identificativos y domicilio de éste, no se recibió escrito de contestación en el transcurso de estas actuaciones. Con fecha de 8 de septiembre de 2022 la directora de la Agencia Española de Protección de Datos acordó declarar la caducidad de las actuaciones previas de investigación señaladas con el número E/06941/2021 y abrir nuevas actuaciones de investigación e incorporar a éstas la documentación que integra las actuaciones previas que se declararon caducadas. Con fecha de 8 de septiembre de 2022, se recibe escrito remitido por el JUZGADO DE 1ª INSTANCIA E INSTRUCCIÓN DE VIVERO manifestando literalmente: “Visto lo solicitado por la AEPD en la precedente comunicación, no ha lugar a facilitar la información solicitada, debido al carácter reservado de las diligencias instructoras (art. 301 LECrim). Notifíquese.” Con fecha de 19 de septiembre de 2022, se comprueba que el contenido sigue publicado en el sitio web ***PÁGINA WEB.1, pero con acceso únicamente para miembros “premium”. Por este motivo, no se puede comprobar en esta fecha que el contenido fuese exactamente el reclamado. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El incluir imágenes, que identifican o hacen identificable a una persona, así como su nombre, en vídeos publicados supone un tratamiento de datos personales y, por tanto, la persona que lo hace tiene que ampararse en alguna de las causas legitimadoras señaladas en el artículo 6 del RGPD. En estos supuestos, como en el caso objeto de reclamación, la causa legitimadora habitual suele ser el consentimiento, en general. Y es la persona que sube los datos personales y las imágenes a una red social que puede visualizarse sin limitación alguna la que debe demostrar que cuenta con ese consentimiento. Para que se pueda llevar a cabo lícitamente ese tratamiento tiene que cumplirse lo establecido en el artículo 6.1 del RGPD, que indica: <<1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.>>. Se ha constatado durante las actuaciones de investigación que las imágenes fueron retiradas en el sitio rapidgator. Asimismo, se verificó que el contenido sigue publicado en el sitio web ***PÁGINA WEB.1, pero con acceso únicamente para miembros “premium”, sin poder comprobar que se trata de las mismas imágenes objeto de reclamación. . III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 Para poder identificar a la persona que chantajeó a la parte reclamante con hacer público el vídeo, se realizaron las actuaciones de previas de investigación, conforme establece el artículo 67 de la LOPDGDD, y que determina lo siguiente: <<1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.>> III Conclusión Respecto a los contenidos que continuaban publicados al presentarse la reclamación, se ha conseguido eliminar el contenido publicado en el sitio web https://rapidgator.net. Sin embargo, no se ha podido eliminar el contenido del sitio web ***PÁGINA WEB.1. Respecto a la identificación del responsable de las publicaciones en el sitio web ***PÁGINA WEB.1 que continúan publicadas, solicitada información al respecto al JUZGADO DE 1ª INSTANCIA E INSTRUCCIÓN DE VIVERO, en el que se habían abierto diligencias a partir de la denuncia presentada por las reclamantes ante la Guardia Civil, puesto de Vivero, este Juzgado ha considerado que no había lugar a facilitar la información sobre el autor de las publicaciones debido al carácter reservado de las diligencias instructoras. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se ha encontrado al responsable de la grabación y difusión de las imágenes objeto de reclamación, por lo que se finalizan las actuaciones de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a las reclamantes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
10. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es