1/6 Expediente N.º: EXP202407355 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 16 de abril de 2024, se presentó reclamación ante la Agencia Española de Protección de Datos en la que se ponía de manifiesto que la parte reclamante había solicitado la retirada de unas fotografías con su imagen de la web de ***WEB.1: ***URL.1. Indica que un video que se había publicado en Instagram si fue retirado tras solicitarlo, pero las fotografías con su imagen de la página web indicada, no habrían sido retiradas. Junto a la notificación se aporta -Capturas de pantalla de página web donde constan 2 fotografías con un grupo de personas. -Capturas de pantalla de dispositivo móvil con una conversación de WhatsApp, con el grupo: “(…)” e imagen del grupo de WhatsApp “(…)” donde consta que:
- a)En fecha 02 de marzo de 2024, enviado a las 12:03 horas supuestamente la parte reclamante envía el siguiente mensaje: “Hola A.A.A., te agradeceré retires mi imagen de tus campañas publicitarias y redes sociales. El lunes informaré a la Agencia Española de Protección de Datos del uso no autorizado. Gracias.”
- b)En fecha 02 de marzo de2024, enviado a las 15:18 “B.B.B.” envía el siguiente mensaje: “¡Hola C.C.C. ya fue bajado el video con esa info avísame si está todo ok, saludos! A.A.A. está en el momento sin conexión por eso lo estoy viendo”
- c)En fecha 2 de marzo de 2024, enviado a las 17:37, A.A.A. envía el siguiente mensaje: “Hola, gracias B.B.B., y disculpas C.C.C. y D.D.D., yo estaba incomunicado en la selva. Parece que ya está solucionado. ¿Alguien más que no querría aparecer en los videítos que preparamos?” -Capturas de pantalla de dispositivo móvil con una conversación de WhatsApp, con “A.A.A.”, donde consta que:
- a)En fecha 2 de marzo de 2024, a las 12:03, supuestamente la parte reclamante envió el siguiente mensaje: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/6 “Hola A.A.A., te agradeceré retires mi imagen de tus campañas publicitarias y redes sociales. El lunes informaré a la Agencia Española de Protección de Datos del uso no autorizado. Gracias.”
- b)En fecha 2 de marzo de 2024, enviado a las 17:37, A.A.A. habría contestado: “Hola C.C.C., claro no hay problema, pero creo que no hay nada subido, no?”
- c)En fecha 2 de marzo de 2024, enviado a las 18:42, la parte reclamante habría contestado: “Gracias A.A.A.” SEGUNDO: Con fecha 17/05/2024 se solicita información a la Agencia Estatal de Administración Tributaria sobre el NIF de A.A.A. con dirección en ***DIRECCIÓN.1 obteniendo la respuesta de que no se han podido obtener los datos requeridos. TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a A.A.A., para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante correo postal certificado, fue devuelto por “desconocido”. CUARTO: Con fecha 16 de julio de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 11/06/2025 se comprueba respecto de la página web ***WEB.1 y a su respectivo dominio de internet que: 1. El registrar de este dominio es (…). 2. Consta como profesor A.A.A. 3. Constan publicadas las dos fotografías reclamadas. 4. En la política de privacidad consta: a. Como responsable del tratamiento exclusivamente la referencia a “(…)”. b. Para ejercer los derechos consta la dirección ***DIRECCIÓN.1 y la dirección de correo electrónico ***EMAIL.1. 5. Consta como información de contacto el teléfono ***TELÉFONO.1 y el correo electrónico mencionado y consta que el horario de atención es de 9 a 18h (GMT+1). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/6 Con fecha 12/06/2025 se solicita información a la Agencia Estatal de Administración Tributaria, en relación con la persona y NIF titulares de la dirección ***DIRECCIÓN.1, responde que no se han podido obtener los datos requeridos. Con fecha 30/06/2025, como consecuencia de un requerimiento de información, (…) ha manifestado que el dominio (…) fue contratado por un cliente, aportando nombre y primer apellido, un número de NIF, dirección en la provincia de Valencia, y número de teléfono. Con fecha 20/10/2025 se solicita información a la Agencia Estatal de Administración Tributaria, en relación al nombre y apellidos, NIF y domicilio fiscal del titular del dominio, y en la respuesta se ha comprobado que la información no coincide. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Derecho de supresión («el derecho al olvido») El artículo 17 del RGPD dispone lo siguiente: "1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
- a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
- b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/6
- c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
- d)los datos personales hayan sido tratados ilícitamente;
- e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
- f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
- a)para ejercer el derecho a la libertad de expresión e información;
- b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
- c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
- h)e i), y apartado 3;
- d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
- e)para la formulación, el ejercicio o la defensa de reclamaciones." III Conclusión Para poder identificar a la persona o personas responsables de la ***WEB.1 se han realizado actuaciones de investigación tendentes a determinar la titularidad de la página web donde se encuentran publicadas las imágenes por las que se presentó reclamación ante la AEPD. Y ello conforme establece el artículo 67 de la LOPDGDD que determina lo siguiente: “1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/6 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.” De este modo, se ha solicitado a la Agencia Estatal de Administración Tributaria información en relación con la persona y NIF titulares de la dirección ***DIRECCIÓN.1; dirección que figura en la web que se menciona en la reclamación. Se recibe respuesta en la que se indica que no se han podido obtener los datos requeridos. Con fecha 30/06/2025, como consecuencia de un requerimiento de información, (…) ha manifestado que el dominio (…) fue contratado por un cliente, aportando nombre y primer apellido, un número de NIF, dirección en la provincia de Valencia, y número de teléfono. Consultada la Agencia Estatal de Administración Tributaria en relación con el nombre y apellidos, NIF y domicilio fiscal, ha aportado el nombre y dos apellidos, así como dirección en la provincia de Valencia, NIF y número de teléfono diferente al que figura en la contestación al requerimiento de información enviado por la empresa (…). Una vez concluidas las actuaciones por parte de esta Agencia, y tal y como se indica en el apartado “Hechos” de la presente resolución, no se ha podido determinar la identidad del responsable o responsables del mismo. Para que esta Agencia pueda apreciar la existencia de una infracción del Reglamento General de Protección de Datos (RGPD), es imprescindible que concurran dos elementos esenciales: por un lado, que se haya producido un tratamiento de datos personales; y, por otro, que dicho tratamiento resulte ilícito por carecer de base jurídica, infringir principios del RGPD o vulnerar derechos del interesado, entre otras obligaciones del responsable del tratamiento. Además, la responsabilidad debe ser atribuible a una persona física o jurídica identificada que actúe como responsable o encargado del tratamiento. Por lo tanto, al no poder atribuir la responsabilidad por el tratamiento referido a la creación del perfil objeto de la reclamación, sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta; y de acuerdo con lo señalado por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a C.C.C.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/6 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es