AI-00317-2024

1/6  Expediente N.º: EXP202410925 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fechas 28 de julio, 16 de agosto, 8 de septiembre y 12 de noviembre de 2024, la parte reclamante se presenta reclamaciones ante la Agencia Española de Protección de Datos, con los siguientes números de registros 24e00056761472; 24e00061609052; 2400066935605 y 24e00085792638 contra responsable no identificado. Los motivos en que basa su primera reclamación son los siguientes: La parte reclamante pone de manifiesto la difusión en un grupo público de Telegram de un vídeo de contenido sexual, que, señala, fue grabado cuando era menor de edad (manifiesta que ahora tiene 19 años). Manifiesta que el video se publica poniendo su usuario de Instagram. Y, aporta la siguiente documentación: Enlace al canal de Telegram ***URL.1. Captura de pantalla del video al que se refiere. Video donde consta el contenido sexual donde se aprecia la voz de una mujer y parcialmente su rostro. Asimismo, consta en la parte superior del video “***VIDEO.1”. En su segunda reclamación, de fecha 16 de agosto de 2024, la parte reclamante manifiesta que recibe un mensaje a través de la plataforma Instagram de una cuenta anónima con el nombre “(…)”. Que el mensaje contiene amenazas en la que la persona afirma tener información comprometedora sobre ella. Que cree que este incidente y el mencionado en la anterior reclamación puedan estar conectados. Fecha en la que tuvieron lugar los hechos reclamados: 17 de diciembre de 20XX. Y, aporta la siguiente documentación: Capturas de pantalla de la mencionada conversación con el perfil mencionado. En su tercera reclamación, de 8 de septiembre de 2024, la parte reclamante solicita que el contenido eliminado no se vuelva a publicar en ninguna plataforma digital o medio así como proteger su derecho al olvido eliminando cualquier referencia o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/6 reproducción adicional del material. También solicita que se tomen las medidas preventivas necesarias para asegurar la no reaparición del contenido. Y, aporta la siguiente documentación: Capturas de pantalla de la mencionada conversación con el perfil mencionado. En su cuarta reclamación, de fecha 12/11/2024, la parte reclamante solicita la creación de un hash o eliminación del vídeo presente tras el acoso que recibió de solicitudes masivas de gente en su cuenta de Instagram (que aparece en el vídeo), que tuvo que borrar por bienestar mental y depresión. Difusión sin consentimiento, indica que no sabe quién pudo ser, y que un amigo descubrió este contenido en el canal de Telegram que también se borró. SEGUNDO: Con fecha 29 de julio de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la primera de las reclamaciones presentadas, incorporándose el resto de las reclamaciones ampliatorias al expediente durante la tramitación de las actuaciones de investigación. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 30/07/2024 se comprueba que el video denunciado consta publicado en la dirección ***URL.2. Consta como fecha de publicación el 27 de julio. Asimismo, consta en relación al perfil publicado que su nombre es “(…)” y que tiene (…). Con fecha 30/07/2024 se envía correo electrónico a las direcciones ***EMAIL.1, ***EMAIL.2, ***EMAIL.3, ***EMAIL.4, solicitando la retirada del video. Asimismo, se envía formulario solicitando la retirada a través de la dirección de internet URL.3. También se solicita retirada a través del “(…)” de (…). Con fecha 30/07/2024 se comprueba en la política de privacidad de Telegram que el representante del art. 27 RGPD en el Espacio Económico Europeo es European Data Protection Office (EDPO) donde constan también sus datos de contacto. Con fecha 09/08/2024 se recibe correo electrónico de ***EMAIL.4 confirmando la retirada del video. Con fecha 26/08/2024 se comprueba utilizando la aplicación de escritorio de Telegram, que el video ha sido retirado de Telegram. Con fecha 09/09/2024 se accede de nuevo a la url ***URL.2 la cual redirige a abrir la aplicación de escritorio de Telegram y se comprueba que el video sigue publicado. El perfil ***URL.1 consta ahora con (…). En esta misma fecha se envía correo electrónico C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/6 de nuevo solicitando la retirada. Con fecha 10/09/2024 se comprueba que al consultar la url ***URL.2 aparece el mensaje “(…)” y no se puede localizar el video. Con fecha 14/11/2024 la reclamante aporta la siguiente información y manifestaciones tras serle solicitado: 1. Que el perfil de Instagram (…) fue suyo pero que ha borrado dicha cuenta. 2. Que envío el video denunciado se refiere a una persona que cree que se llamaba A.A.A. y era de ***LOCALIDAD.1. 3. Que el envío del video fue enviado en un contexto privado de sexting pero que nunca dio su consentimiento para que el video se difundiera. 4. Que cree que la persona que difundió el video fue la misma de la cuenta “(…)”. Con fecha 14/11/2024 se realiza una búsqueda del perfil “(…)” en Instagram, no encontrándose dicho perfil, aunque sí otros similares en los cuales no constan publicaciones, como en “(…)”, bien son cuentas privadas o bien no constan en sus publicaciones el video denunciado. Con fecha 22/11/2024 se recibe correo electrónico de ***EMAIL.4 con información acerca del último login realizado en Telegram desde el propietario del canal (…). Dicho login se realizó desde la dirección IP (...) en fecha 25/09/2024 a las 14:47:22 UTC. Con fecha 12/12/2024 META PLATFORMA IRELAND LIMITED como respuesta a un requerimiento de información, envía a esta Agencia la siguiente información y manifestaciones: 1. En relación al perfil de Instagram “(…)” la dirección IP asociada con la creación de la cuenta es (...) en la fecha (…). 2. Que no constan nombre ni correo electrónico asociado a dicha cuenta. Con fecha 26/11/2024 se comprueba en registros whois que: 1. Que la dirección IP (...) está asociada a VODAFONE ESPAÑA S.A.U. Con fecha 20/12/2024 VODAFONE ESPAÑA, S.A.U. envía a esta Agencia la siguiente información y manifestaciones: 1. Que la dirección IP (...) en fecha 25/09/2024 a las 14:47:22 UTC corresponde a la empresa ***EMPRESA.1. ***DIRECCIÓN.1 Con fecha 26/12/2024 se comprueba en axesor.es la denominación social y datos de contacto correspondientes al CIF facilitado por VODAFONE ESPAÑA, S.A.U. Con fecha 13/01/2025 se comprueba en registros whois que: 1. Que la dirección IP (...) está asociada a “***EMPRESA.2” localizado en ***PAÍS.1. Con fecha 10/01/2025 ***EMPRESA.1, como contestación a un requerimiento de información, envía a esta Agencia la siguiente información y manifestaciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/6 1. Que la dirección IP (...) es una dirección pública estática. Que la usan para que todos sus alumnos dispongan de una salida a internet y poder estudiar y trabajar. 2. Que tienen unas (…) direcciones IP privadas para dispositivos conectados y no disponen de un registro de usuarios conectados ni de qué direcciones MAC están asignadas a una dirección IP. 3. Que la mayoría de los alumnos usan sus portátiles y móviles y se conectan a internet, aunque también disponen de equipos propios para el alumnado que no dispone de equipo propio. 4. Que no tienen control sobre los equipos personales de los alumnos. 5. Que cualquier alumno de los (…) ha podido usar su equipo o móvil personal para realizar la conexión a internet. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/6
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " III Conclusión Para que esta Agencia pueda apreciar la existencia de una infracción en materia de protección de datos resulta imprescindible que concurran determinados elementos, en particular, que se haya llevado a cabo un tratamiento de datos personales contrario a lo dispuesto en el RGPD, y que dicho tratamiento sea imputable a una persona física o jurídica identificada como responsable o encargado del tratamiento. En el presente expediente, se han llevado a cabo extensas actuaciones de investigación a raíz de la reclamación de la parte reclamante por la difusión en un grupo público de Telegram de un vídeo de contenido sexual, que, señala, fue grabado cuando era menor de edad (manifiesta que ahora tiene 19 años). Manifiesta que el video se publica poniendo su usuario de Instagram. En relación con el video denunciado, fue enviado por la misma reclamante a otra persona de la cual desconoce su identidad. Por otra parte, con relación a la cuenta de Instagram denunciada, se ha constatado que la dirección IP asociada a la creación de la cuenta está localizada en Bulgaria. Por otro lado, si bien la dirección IP asociada al último login del propietario del canal en el cual se publicó el video, pertenece a ***EMPRESA.1. ha quedado constatado que a través de la misma se conectan a internet simultáneamente a unos (…) dispositivos y no tienen un registro de los usuarios conectados. No obstante, tras realizar todas las diligencias oportunas, no se han podido obtener elementos objetivos, directos ni indirectos, que permitan establecer con certeza la autoría de los hechos denunciados y fundamentar una atribución de responsabilidad personal concreta en los términos exigidos por la normativa de protección de datos. Por tanto, ante la falta de prueba suficiente que permita sustentar la existencia de una infracción imputable a persona determinada, procede acordar el archivo de las actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/6 Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
10. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es