AI-00347-2022

1/14  Expediente N.º: EXP202210045 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento a través de una comunicación por el canal de atención prioritaria de colectivos vulnerables de esta agencia, del siguiente contenido: D.D.D. (en adelante, la parte reclamante) expone que han publicado en una página web fotos y videos personales de contenido sexual sin su consentimiento. La página web es la siguiente: ***URL.1 Afirma que no ha sido posible contactar con el administrador del sitio web porque el buzón está lleno y no permite la recepción de nuevos correos. El sitio web está en chino y no identifica a su responsable, tampoco ofrece más vías de contacto que la dirección de email ***EMAIL.1 que aparece en el enlace ***URL.2 El reclamado es ZZTT15.COM (en adelante, la parte reclamada) SEGUNDO: Como consecuencia de esta comunicación, la Directora de la Agencia Española de Protección de Datos inició, con fecha 27 de septiembre de 2022, procedimiento de oficio, ordenando la realización de actuaciones previas de investigación. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Tras una primera verificación de los contenidos en el sitio web, se constata que aparecen publicadas cuatro fotografías de una chica joven con rasgos asiáticos y un vídeo de contenido sexual donde aparece esta misma chica. Las imágenes fueron publicadas en el sitio web un día antes de esta comunicación. El sitio web está totalmente en chino y no identifica al responsable. El detalle de la información arrojada por el servicio WHOIS del dominio ***URL.3 es la siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 Registrar: GoDaddy.com, LLC (IANA ID: 146) URL: https://www.godaddy.com Whois Server: whois.godaddy.com DNS: adele.ns.cloudflare.com huxley.ns.cloudflare.com Tech Contact: Registration Private Domains By Proxy, LLC DomainsByProxy.com, Tempe, Arizona, 85284, us ASN: AS13335 CLOUDFLARENET, US En fecha 27 de septiembre de 2022 se realizan distintas actuaciones para intentar averiguar al responsable del dominio zztt15.com, utilizando para ello tanto la información obtenida del servicio WHOIS como otra información extraída de internet. De esta primera investigación del dominio se extraen los siguientes datos: - - - El registrador del dominio es GoDaddy.com, LLC, empresa registradora de dominios de internet que también ofrece alojamiento web, se detectan las siguientes opciones de contacto para intentar una primera comunicación de colaboración de retirada de contenido: abuse@godaddy.com , contentcomplaint@godaddy.com. Los DNS del dominio pertenecen a CLOUDFARE.COM. El ASN también pertenece a CLOUDFARENET, US, siendo este una primera posible opción de proveedor de alojamiento del sitio, aunque la empresa CLOUDFARENET habitualmente ofrece servicios de proxy y una red de entrega de contenidos que se sitúa entre el usuario que visita el portal y el proveedor de alojamiento. Los datos de contacto que aparecen en WHOIS son: Registration Private (Domains By Proxy, LLC). Esto suele ser utilizado por dominios que quieren ocultar su identidad al registrar nombres. En fecha 27 de septiembre de 2022 se envía email a la dirección de contacto que aparece en el sitio web zztt15.com ( ***EMAIL.1) informando de la reclamación recibida en relación con el contenido publicado en su página web y solicitando su colaboración para la retirada de este. Del envío anterior se recibe correo de confirmación de entrega con el siguiente contenido: “Se completó la entrega a estos destinatarios o grupos, pero el servidor de destino no envió información de notificación de entrega”, no obstante, no se ha recibido respuesta por parte del reclamado. En el portal web también se detecta un enlace a una cuenta Twitter donde se alojan contenidos de similares características a los publicados en el sitio. (…) En fecha 27 de septiembre de 2022 se envía email a las direcciones de contacto existente para el proveedor GoDaddy.com (abuse@godaddy.com y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 contentcomplaint@godaddy.com), informando de la reclamación recibida en esta agencia en relación con el contenido publicado en la web zztt15.com y solicitando su colaboración para que este sea retirado. En fecha 28 de septiembre de 2022 se recibe email de respuesta de la empresa registradora GoDaddy.com con el siguiente contenido que elude responsabilidad sobre el material reclamado: “Thank you for the message. Although GoDaddy is the domain registrar, we are not the hosting provider for this site. We have neither access to, nor jurisdiction over the content on this site. It is the domain name registrant’s or site administrator's responsibility to review and maintain their website so issues regarding the content of the website will need to be addressed directly to the hosting provider. Sincerely, Content Safety & Moderation GoDaddy” Traducción no oficial: “ Gracias por el mensaje. Aunque GoDaddy es el registrador de dominios, no somos el proveedor de alojamiento para este sitio. No tenemos acceso ni jurisdicción sobre el contenido de este sitio. Es responsabilidad del titular del nombre de dominio o del administrador del sitio revisar y mantener su sitio web, por lo que los problemas relacionados con el contenido del sitio web deberán dirigirse directamente al proveedor de alojamiento. Sinceramente, Seguridad y moderación de contenidos GoDaddy” Según la información ofrecida por el servicio WHOIS, el sitio web estaba vinculado a los servidores del proveedor CLOUDFARE, y tras una primera investigación por el espacio público de internet se obtienen las siguientes opciones de contacto con este proveedor: - La dirección de email privacyquestions@cloudflare.com. Formulario de denuncias de abuso de contenido publicado en la URL https://abuse.cloudfare.com. En fecha 28 de septiembre se utiliza la dirección de correo electrónico para enviar solicitud de colaboración. Se adjunta el contenido enviado como objeto asociado al expediente (“Req Soft Cloudfare.pdf”). En esta misma fecha se cumplimenta el formulario de la web https://abuse.cloudfare.com solicitando, de igual forma que en el correo anterior, colaboración a CLOUDFARE para la retirada del contenido del portal zztt15.com. En fecha 04 de octubre de 2022 se reciben dos correos de respuesta por parte de este proveedor: Correo 1: “Hi (...), C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 Your reports were processed and you should receive a email shortly. We have forwarded to the host for review and you can reach out to them with the info on the responses to followup. Given the type of service we provide, and the fact that we do not create or host content, there are limits to what we can do. Cloudflare does not have control over, or information about, specific materials that appear on a customer’s website. Since Cloudflare does not offer web hosting services, it is not capable of removing materials from a website. Materials will remain on the host server for a website regardless of whether that website uses Cloudflare services or not to improve delivery of that content. Termination of Cloudflare services for a website does not change the availability or appearance of that website, or any of the materials on it. Only the host can which is why you need to contact them. Regards, Cloudflare Trust and Safety” Traducción no oficial: “Hola (...)., Sus informes fueron procesados y usted debe recibir un correo electrónico en breve. Hemos enviado al anfitrión para su revisión y usted puede comunicarse con ellos con la información sobre las respuestas al seguimiento. Dado el tipo de servicio que ofrecemos, y el hecho de que no creamos o alojamos contenido, hay límites a lo que podemos hacer. Cloudflare no tiene control o información sobre materiales específicos que aparecen en el sitio web de un cliente. Dado que Cloudflare no ofrece servicios de alojamiento web, no es capaz de eliminar materiales de un sitio web. Los materiales permanecerán en el servidor host de un sitio web, independientemente de si ese sitio web utiliza los servicios de Cloudflare o no para mejorar la entrega de ese contenido. La terminación de los servicios de Cloudflare para un sitio web no cambia la disponibilidad o apariencia de ese sitio web, o cualquiera de los materiales en él. Solo el anfitrión puede, por lo que necesita ponerse en contacto con ellos. Saludos, Confianza y seguridad en Cloudflare” Correo 2: “In accordance with our Privacy Policy and Terms of Service, non-public information about Cloudflare customers is not released except as lawfully required by appropriate legal process, such as a subpoena, court order, or other valid legal process. It is our policy to notify users of any actions taken on their accounts in response to requests made by third parties -including requests to preserve or produce documents or information -- unless we are prohibited from doing so by statute or court order. Cloudflare is a U.S. company that stores customer data inside the United States, and we must comply with U.S. law restricting the provisioning of user data to third parties, including law enforcement entities from countries outside the United States. Before responding to direct requests from non-U.S law enforcement, Cloudflare will carefully assess such requests for consistency with relevant laws and internal policies, a process that may delay our response. Cloudflare will respond promptly to requests from non U.S. law enforcement agencies for user information that are issued via U.S. court either by way of a mutual legal assistance treaty or a letter rogatory, when properly served. Cloudflare is an Internet infrastructure company offering security and performance services through a network of more than 200 locations around the world that sit between website hosting providers and Internet users. From this position, Cloudflare offers network service solutions, including a reverse proxy, pass-through security service, and a content distribution network (CDN). In other words, Cloudflare provides security and performance enhancements for websites around the world by positioning its infrastructure in front of those websites and as a result Cloudflare’s nameservers may appear in the WHOIS and Cloudflare’s IP addresses may appear in the DNS records for websites using our services. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 Cloudflare is not a hosting provider, does not organize or alter content, and does not have the ability to remove content hosted by others Finally, by responding to your request, Cloudflare does not waive any objections, including the lack of jurisdiction or proper service. For more information on the kind of services we provide and to answer any further questions you may have, please contact ***EMAIL.2.” Traducción no oficial: “De acuerdo con nuestra Política de Privacidad y Términos de Servicio, la información no pública sobre los clientes de Cloudflare no se divulga excepto cuando sea legalmente requerido por un proceso legal apropiado, como una citación, una orden judicial u otro proceso legal válido. Es nuestra política notificar a los usuarios de cualquier acción tomada en sus cuentas en respuesta a solicitudes hechas por terceros, incluidas las solicitudes de preservar o producir documentos o información, a menos que se nos prohíba hacerlo por ley u orden judicial. Cloudflare es una empresa estadounidense que almacena datos de clientes dentro de los Estados Unidos, y debemos cumplir con la ley estadounidense que restringe el suministro de datos de usuario a terceros, incluidas las entidades encargadas de hacer cumplir la ley de países fuera de los Estados Unidos. Antes de responder a las solicitudes directas de las autoridades no estadounidenses, Cloudflare evaluará cuidadosamente dichas solicitudes de coherencia con las leyes y políticas internas pertinentes, un proceso que puede retrasar nuestra respuesta. Cloudflare responderá rápidamente a las solicitudes de las agencias de aplicación de la ley no estadounidenses para la información de los usuarios que se emiten a través de un tribunal de Estados Unidos, ya sea a través de un tratado de asistencia judicial mutua o una carta rogatoria, cuando se cumpla adecuadamente. Cloudflare es una empresa de infraestructura de Internet que ofrece servicios de seguridad y rendimiento a través de una red de más de 200 ubicaciones en todo el mundo que se encuentran entre proveedores de alojamiento web y usuarios de Internet. Desde esta posición, Cloudflare ofrece soluciones de servicio de red, incluyendo un proxy inverso, un servicio de seguridad de paso y una red de distribución de contenido (CDN). En otras palabras, Cloudflare proporciona mejoras de seguridad y rendimiento para sitios web de todo el mundo mediante el posicionamiento de su infraestructura frente a esos sitios web y, como resultado, los servidores de nombres de Cloudflare pueden aparecer en el WHOIS y las direcciones IP de Cloudflare pueden aparecer en los registros DNS de los sitios web que utilizan nuestros servicios. Cloudflare no es un proveedor de hosting, no organiza ni altera el contenido, y no tiene la capacidad de eliminar contenido alojado por otros. Finalmente, al responder a su solicitud, Cloudflare no renuncia a ninguna objeción, incluida la falta de jurisdicción o servicio adecuado. Para obtener más información sobre el tipo de servicios que ofrecemos y para responder a cualquier pregunta que pueda tener, póngase en contacto con ***EMAIL.2.” En fecha 4 de octubre de 2022 se vuelve a enviar correo a la dirección privacyquestions@cloudfare.com reiterando nuestra petición de colaboración para la retirada del contenido, también se vuelve a hacer uso del formulario habilitado por CLOUDFARE para las notificaciones de abuso de contenido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 En fecha 5 de octubre de 2022 se recibe nuevo correo del proveedor CLOUDFARE desde la dirección abuse@notify.cloudflare.com y con el siguiente contenido: “Cloudflare received your abuse report regarding: zztt15.com The majority of websites for which we receive reports of abuse utilize Cloudflare’s reverse proxy, pass-through security service, and Cloudflare cannot control or remove content from the Internet that it does not host. Accordingly, we have forwarded your abuse report to the hosting provider so that they may take action. We have also forwarded your abuse report to the website owner if you have directed us to do so. Accepted URL(

1. s)on zztt15.com: ***URL.1 Hosting Provider: ----------------AMAZON-02, US Abuse Contact: -------------abuse@amazonaws.com We have forwarded your report on to the responsible hosting provider. You may also direct your report to: 1. The provider where zztt15.com is hosted (provided above); 2. The owner listed in the WHOIS record for zztt15.com and/or; 3. The contact listed on the zztt15.com site. Note: A lookup of the IP for a Cloudflare customer website will show Cloudflare IPs because we are a pass-through network. The actual website is still hosted at the hosting provider indicated above. If the hosting provider has any questions, please have the hosting provider contact us directly regarding this site. Due to attempted abuse of our complaint reporting process, we will only provide the IP of zztt15.com to the responsible hosting provider if they contact us directly at abusereply@cloudflare.com. Regards, Cloudflare Trust & Safety“ Traducción no oficial: “Cloudflare recibió su informe de abuso con respecto a: zztt15.com La mayoría de los sitios web para los que recibimos informes de abuso utilizan el proxy inverso de Cloudflare, el servicio de seguridad de paso, y Cloudflare no puede controlar o eliminar el contenido de Internet que no aloja. En consecuencia, hemos enviado su informe de abuso al proveedor de alojamiento para que pueda tomar medidas. También hemos enviado su informe de abuso al propietario del sitio web si nos ha indicado que lo hagamos. URL(
2. s)aceptada(
3. s)en zztt15.com: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 ***URL.1 Proveedor de alojamiento: AMAZON-02, US Contacto de abuso: abuse@amazonaws.com Hemos enviado su informe al proveedor de alojamiento responsable. También puede dirigir su informe a: 1. El proveedor en el que se aloja zztt15.com (proporcionado anteriormente); 2. El propietario que figura en el registro WHOIS de zztt15.com o; 3. El contacto que aparece en el sitio zztt15.com. Nota: Una búsqueda de la IP para un sitio web del cliente de Cloudflare mostrará las IP de Cloudflare porque somos una red de paso. El sitio web real sigue alojado en el proveedor de alojamiento indicado anteriormente. Si el proveedor de alojamiento tiene alguna pregunta, por favor, póngase en contacto con nosotros directamente con respecto a este sitio. Debido a un intento de abuso de nuestro proceso de notificación de quejas, solo proporcionaremos la IP de zztt15.com al proveedor de alojamiento responsable si se comunican con nosotros directamente en abusereply@cloudflare.com. Saludos, Cloudflare Trust & Safety” Del análisis del anterior correo se extrae la siguiente información: - Confirman que han reenviado nuestra solicitud de retirada de contenido al proveedor del alojamiento y al propio responsable del dominio. Confirman que el proveedor del alojamiento es AMAZON, US y nos ofrecen una posible vía de contacto con ellos para notificar la denuncia de abuso de contenido, en concreto la dirección de email abuse@amazonaws.com. Confirman que no pueden facilitarnos la dirección IP del dominio. En fecha 6 de octubre de 2022 se envía correo a la dirección abuse@amazonws.com, perteneciente al proveedor del alojamiento “AMAZON, US” siguiendo la siguiente línea de actuación: - Informando de la denuncia recibida ante esta Agencia de Protección de Datos y solicitando colaboración para la retirada de contenido publicado sin su consentimiento en portal web zztt15.com. Solicitando colaboración para la identificación del responsable del sitio web. Paralelamente, en fecha 6 de octubre de 2022 se envía comunicación de información al representante español de AMAZON, US marcado por la siguiente línea de actuación: - Informar de la denuncia recibida ante esta Agencia. Solicitar colaboración para que nos confirme la información recibida en la que se nos confirmaba que AMAZON, US era el proveedor del alojamiento del portal web zztt15.com. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 - Solicitar ayuda para hacer llegar la información a AMAZON, US solicitando colaboración para la retirada del contenido. El requerimiento anterior es notificado el 6 de octubre de 2022 sin dar plazo de respuesta puesto que no se estaba requiriendo información, constando acuse de recibo 13 de octubre de 2022. Con objeto de obtener información de la parte reclamante y cualquier dato adicional que esta tuviera en relación con el portal web chino donde estaban publicados los contenidos, se decide contactar directamente con la parte reclamante utilizando las siguientes vías de contacto: En fecha 5 de octubre de 2022, se realiza un primer requerimiento de información vía electrónica, marcado por la siguiente línea de investigación: o o Que aporte cualquier información adicional sobre el sitio web donde fueron alojados los contenidos reclamados. Que acredite que la imagen publicada en los contenidos denunciados del portal zztt15.com pertenecen a la reclamante. Al ser expirada la notificación anterior sin que el destinatario hubiese accedido a su contenido, en fecha 25 de octubre se decide hacer nueva reiteración vía postal, no obstante, esta tampoco es recibida por su destinatario, constando como “Ausente en reparto”. En fechas 10 de octubre de 2022 y 15 de noviembre de 2022 se enviaron dos correos electrónicos a la dirección aportada en la reclamación ( G.G.G.) marcados por la misma línea de investigación de los requerimientos anteriores. No se obtiene respuesta a ninguno de los dos correos anteriores. Teniendo en cuenta la imposibilidad de contactar con la parte reclamante por las vías anteriores, se realiza llamada de teléfono al número facilitado por la propia parte reclamante. Se realizan múltiples intentos de llamadas durante varios días, comenzando el 19 de octubre de 2022 y persistiendo en los intentos de contacto hasta finales de noviembre, no obstante, todos ellos tienen el mismo resultado “teléfono apagado o fuera de cobertura”. Pese a todos los intentos de contacto anteriores, en fecha 10 de enero de 2023, se hace un último intento de contacto con la parte reclamante utilizando para ello nuevamente la dirección de correo electrónico facilitada en la reclamación, en el contenido de este correo se le vuelve a indicar los intentos reiterados de contacto que se han realizado y se le facilita un teléfono de contacto; el texto se envía en chino en lugar de español. En fecha 11 de enero de 2023 se recibe llamada en el número de teléfono que se había facilitado, la persona llamante corresponde con la persona que interpuso la denuncia en septiembre de 2022, nos indica (con muchas dificultades puesto que no hablaba bien en español) que el contenido que había denunciado no se correspondía con su persona sino que se trataba de su amiga y que ella puso la reclamación en representación de su amiga puesto que le estaba causando un gran daño, en la llamada se le indica que por favor nos envíe por vía oficial acreditación tanto de ella (como representante) como de su amiga (persona afectada), nos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 responde que no sabe y que no puede entrar en registro para enviarnos la documentación y nos solicita que por favor pueda ser remitida haciendo uso del correo electrónico, reiterándonos ayuda para la retirada del contenido y volviéndonos a afirmar que estaba causando importante daño a su amiga. Este mismo día (11 de enero de 2023), poco después de la llamada, se recibe correo electrónico con el siguiente contenido: (…) Se verifica que la fotografía que aparece en el DNI tiene rasgos muy similares a la persona que aparece en las cuatro fotografías y el vídeo denunciado. Se constata que la fecha de nacimiento es el 2 de febrero de 2003, confirmándose que no se trata de persona menor de edad. La persona que nos interpone la reclamación actuando en representación de la afectada es I.I.I. con ***NIF.1. En fecha 11 de enero de 2023 se contacta tanto al propio portal web chino, a través de la dirección de correo electrónico y del contacto Twitter que ofrece en su página web, como al proveedor de hosting AMAZON, US a través del correo abuse@amazonaws.com. En fecha 18 de enero de 2023 se recibe respuesta de AMAZON US vía email, desde la dirección ec2-abuse@amazonws.com con el siguiente contenido: “Hello, Thank you for contacting Amazon Web Services. We take reports of content depicting sexual exploitation hosted on our services very seriously; it is specifically prohibited in our Acceptable Use Policy ( https://aws.amazon.com/aup/(%%) ). We have forwarded your report to the CyberTipLine at the National Center for Missing and Exploited Children (NCMEC). NCMEC works closely with law enforcement and with internet services like AWS, and they will evaluate the content you've reported and take appropriate action, including contacting AWS. We ask that you also submit a report directly to NCMEC via https://report.cybertip.org/index.htm regarding this content. If you have additional information regarding this report, please let us know by responding to this notification. Best regards, AWS Trust & Safety” Traducción no oficial: “Hola, Gracias por contactar con Amazon Web Services. Nos tomamos muy en serio los informes de contenido que representa la explotación sexual alojada en nuestros servicios; está específicamente prohibido en nuestra Política de Uso Aceptable (https://aws.amazon.com/aup/ (%%)). Hemos enviado su informe al CyberTipline en el Centro Nacional para Niños Desaparecidos y Explotados (NCMEC). NCMEC trabaja en estrecha colaboración con la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 aplicación de la ley y con servicios de Internet como AWS, y evaluarán el contenido que ha informado y tomarán las medidas adecuadas, incluyendo ponerse en contacto con AWS. Le pedimos que también envíe un informe directamente a NCMEC a través de https://report.cybertip.org/index.htm sobre este contenido. Si tiene información adicional sobre este informe, por favor háganoslo saber respondiendo a esta notificación. Los mejores saludos, AWS Trust & Safety” Del análisis de la contestación anterior se concluye que desde AMAZON US afirman que han remitido nuestra petición al CyberTipLine, el sistema centralizado de EEUU perteneciente al National Center for Missing & Exploited Children (NCMEC), para denunciar la explotación infantil y el engaño en línea con fines sexuales de los niños. En fecha 30 de enero de 2023 se decide realizar un nuevo y último intento de contacto con AMAZON US, a través de abuse@amazonws.com y ec2abuse@amazon.com, solicitando nuevamente su colaboración en la retirada del contenido, en este nuevo contacto se les confirma que la persona afectada se trata de una ciudadana española mayor de edad. En fecha 5 de febrero de 2023 se recibe correo contestación por parte de AMAZON US desde la dirección ec2-abuse@amazon.com y con el siguiente contenido: Hello, Thank you for submitting your abuse report. We've determined that the content you reported is hosted on the Amazon Web Services platform. While the IP address of the material may indicate that the network is ours, the user is actually the one controlling the content in question. We'll investigate your complaint to determine what additional actions, if any, need to be taken in this case. If you wish to provide additional information to us or our customer regarding this case, please reply to this email. Thanks again for alerting us to this issue. Regards, AWS Trust & Safety Traducción no oficial: “Hola, Gracias por enviar su informe de abuso. Hemos determinado que el contenido que reportaste está alojado en la plataforma Amazon Web Services. Si bien la dirección IP del material puede indicar que la red es nuestra, el usuario es realmente el que controla el contenido en cuestión. Investigaremos su queja para determinar qué acciones adicionales, si las hay, deben tomarse en este caso. Si desea proporcionar información adicional a nosotros o a nuestro cliente sobre este caso, responda a este correo electrónico. Gracias de nuevo por alertarnos sobre este problema. Saludos, AWS Trust & Safety“ C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 En fecha 13 de febrero de 2023, tras verificar la URL donde se alojaban los contenidos, se verifica que el contenido ya no está accesible, apareciendo en su lugar un mensaje de error con el siguiente texto (se guarda diligencia en objetos asociados y se vincula al expediente): “Access denied Error code 1020 You do not have access to zztt15.com. The site owner may have set restrictions that prevent you from accessing the site I got an error when visiting ZZTT15.COM. Error code: 1020 Ray ID: 7994aa7a5f473849 Country: ES Data center: mad04 IP: ***IP.1 Timestamp: 2023-02-13 09:09:37 UTC“ Traducción no oficial: Acceso denegado Código de error 1020 Usted no tiene acceso a zztt15.com. El propietario del sitio puede haber establecido restricciones que le impiden acceder al sitio. Hubo un error al visitar ZZTT15.COM. Código de error: 1020 ID de Ray: 7994aa7a5f473849 País: ES Centro de datos: Mad04 IP: ***IP.1 Marca de tiempo: 2023-02-13 09:09:37 UTC. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
4. f)y
5. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Legitimación para el tratamiento La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El incluir imágenes, que identifican o hacen identificable a una persona, así como su nombre, en vídeos publicados supone un tratamiento de datos personales y, por tanto, la persona que lo hace tiene que ampararse en alguna de las causas legitimadoras señaladas en el artículo 6 del RGPD. En estos supuestos, como en el caso objeto de reclamación, la causa legitimadora habitual suele ser el consentimiento, en general. Y es la persona que sube los datos personales y las imágenes que pueden visualizarse sin limitación alguna la que debe demostrar que cuenta con ese consentimiento. Para que se pueda llevar a cabo lícitamente ese tratamiento tiene que cumplirse lo establecido en el artículo 6.1 del RGPD, que indica: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
6. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
7. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
8. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
9. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
10. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
11. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 Lo dispuesto en la letra
12. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” III Conclusión Para poder identificar a la persona que estaba publicando las imágenes, se realizaron las actuaciones de previas de investigación, conforme establece el artículo 67 de la LOPDGDD, y que determina lo siguiente: <<1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.>> Tras efectuar las investigaciones reseñadas en los Hechos, se ha concluido lo siguiente: 1. El portal web reclamado está exclusivamente en lengua china y no identifica ni al responsable del dominio ni al responsable del tratamiento de los datos. Ha quedado constatado que este dominio está escondido tras los servicios proxy de CLOUDFARE, no obstante, hay evidencias de que el proveedor de hosting final que almacena los datos del portal es AMAZON US. 2. En fecha 13 de febrero de 2023 se verifica que los contenidos han sido bloqueados y se impide su acceso, mostrándose en su lugar el mensaje <<Error 1020: Acceso denegado>> al visitar la URL. Queda también constatado que este mensaje de error aparece cuando se intenta acceder a una URL de un sitio web que ha sido restringido por Cloudflare a través de reglas activadas en su Firewall. 3. Se han realizado múltiples intentos de contacto con la parte reclamante para obtener información adicional a la aportada en la reclamación y con objeto de poder acreditar que los contenidos denunciados están vinculados a esta. Finalmente ha quedado constatado que la reclamación fue interpuesta por I.I.I. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 con ***NIF.1, de nacionalidad china, actuando en representación de la persona afectada D.D.D., con ***NIF.2, mayor de edad y nacionalidad española, persona a la que pertenecen las fotografías y videos denunciados. Se aporta copia del DNI de la persona afectada. 4. No se ha logrado identificar al responsable de la publicación del contenido. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento en la publicación de las imágenes, de conformidad con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
13. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es