AI-00377-2023

1/6  Expediente N.º: EXP202315939 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 9 de noviembre de 2023, se presentó reclamación con número de registro de entrada REGAGE23e00075895339 ante la Agencia Española de Protección de Datos contra RESPONSABLE NO IDENTIFICADO - ***URL.1, (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: El reclamante manifiesta estar siendo extorsionado vía iMessage con una foto suya de carácter sexual facilitada por él mismo en una conversación de chat y que ha sido publicada en ***URL.2, exigiéndosele el pago de (...) para evitar la difusión. Junto a la notificación se aporta capturas de pantalla de la conversación del chat que la parte reclamante habría mantenido con la reclamada. SEGUNDO: Con fecha 10 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 10/11/2023 se han obtenido por parte de esta Agencia las siguientes evidencias: 1. Captura de pantalla de la web ***URL.3 donde consta una opción para crear una cuenta. 2. Términos del servicio en ***URL.4 donde consta una dirección de correo electrónico de contacto siendo ésta ***EMAIL.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/6 3. Política de privacidad en ***URL.3 donde constan otras direcciones de páginas web a las cuales aplica la política de privacidad siendo éstas (…) y (…) y donde consta una dirección de correo electrónico de contacto siendo ésta ***EMAIL.1 4. Captura de pantalla del contenido de la url ***URL.2 donde consta una foto de carácter sexual apreciándose el rostro de una persona. RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Con fecha 13/11/2023 se envía correo electrónico a la dirección ***EMAIL.1 solicitando la retirada del contenido señalado en la URL ***URL.2. Con fecha 13/11/2023 se comprueba que el contenido localizable en la URL especificada anteriormente ya no se encuentra accesible. Se comprueba que: 1. Que ***EMPRESA.1 es el registrar del dominio ***DOMINIO.1 así como del dominio ***DOMINIO.2. 2. Que los datos de contacto del registrant del dominio ***DOMINIO.2 son: (…) Y respecto al registrant del dominio ***DOMINIO.1 solo consta: (…) 3. Según lo publicado en ***URL.5, ***EMPRESA.1 es el responsable del tratamiento de los datos y su representante del art. 27 RGPD es: (…) Como consecuencia del correo electrónico enviado por la Inspección a ***EMAIL.2 requiriendo información sobre la dirección IP correspondiente a operaciones de login en la cuenta de icloud investigada, se recibe correo electrónico de contestación desde la dirección de correo electrónico ***EMAIL.3 manifestando lo siguiente: “[…] En relación a su solicitud de fecha 13 de febrero con respecto a la cuenta ***URL.1, podemos informarle de que se trata de una cuenta registrada en los EEUU.” Como consecuencia de los requerimientos de información efectuados por la Inspección en fechas 12/02/2024, cuya notificación consta entregada, y 03/06/2024, cuya notificación consta a fecha actual “en curso”, ambos enviados a (…), ***EMPRESA.1 remite a esta agencia por correo electrónico la siguiente información y manifestaciones (traducción no oficial del inglés): “Muy señores míos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/6 Le agradezco la correspondencia adjunta en la que solicita a (…) y ***EMPRESA.1(…) y le facilita información sobre la cuenta de cliente relacionada con el registro del nombre de dominio, ***DOMINIO.1. no dispone de ninguna documentación pertinente, ya que no es el registrador del nombre de dominio, ***DOMINIO.1. Tras la revisión de la solicitud, se observó que el nombre de dominio, ***DOMINIO.1, está registrado en (…). (...)mantiene sus registros fuera de España y, por lo demás, no está sujeto a la legislación española. Por lo tanto, (...)no puede proporcionarle ninguna información sin una citación u orden judicial debidamente emitida. La citación u orden debe ser emitida por un tribunal estatal o federal ubicado en los Estados Unidos.” Proporciona asimismo registros whois correspondientes al dominio ***DOMINIO.1 donde consta los siguientes datos de contacto del registrant de dicho dominio, siendo estos los siguientes: Registrant Name: Registration Private Registrant Organization: (…) Registrant Street: (…) Registrant Street: (…) Registrant City: (…) Registrant State/Province: (…) Registrant Postal Code: (…) Registrant Country: US Registrant Phone: (…) Con fecha 24/09/2024 se envía nuevamente requerimiento de información a (…), en su calidad de representante de ***EMPRESA.1 en virtud del art. 27 RGPD, solicitando información de identificación y contacto en relación al titular del dominio ***DOMINIO.1. La notificación consta entregada en fecha 08/10/2024. No se ha recibido contestación. Con fecha 07/11/2024 se envía correo electrónico a la dirección ***EMAIL.1requiriendo información acerca de direcciones IP vinculadas a la publicación denunciada. No se ha recibido contestación. CONCLUSIONES DE LAS ACTUACIONES PREVIAS DE INVESTIGACIÓN : 1. El contenido denunciado ha sido retirado. 2. La cuenta de icloud vinculada con la publicación del contenido fue registrada en los Estados Unidos de América. No se aporta más información a pesar de haber sido requerida a través del canal establecido por la compañía responsable. 3. El registrar del dominio donde se publicó el contenido no aporta la información requerida acerca del titular de dicho dominio. Su representante del art. 27 RGPD tampoco aporta la información requerida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/6 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " III Conclusión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/6 Para que esta Agencia pueda declarar la existencia de una infracción en materia de protección de datos y adoptar, en su caso, una decisión sancionadora o resulta imprescindible poder atribuir la responsabilidad del tratamiento de datos personales a una persona física o jurídica identificada, conforme a lo previsto en RGPD. Sin dicha identificación, no puede imputarse actuación alguna ni exigirse el cumplimiento de las obligaciones derivadas del citado reglamento. En el presente caso, como resultado de las actuaciones previas de investigación, se ha constatado que el contenido objeto de denuncia ha sido retirado y, por tanto, no se encuentra actualmente accesible en el dominio señalado. Asimismo, se ha verificado que la cuenta de iCloud vinculada con la publicación del contenido fue registrada en los Estados Unidos de América. No obstante, a pesar de haberse dirigido requerimiento a través del canal habilitado para tal fin, no se ha obtenido información adicional que permita identificar al titular de la cuenta. Por su parte, el registrador del dominio en el que se difundió el contenido no ha aportado la información solicitada sobre el titular del mismo, y su representante designado conforme al artículo 27 del RGPD tampoco ha colaborado proporcionando los datos requeridos. En base a lo investigado por esta Agencia, conforme se detalla en los apartados anteriores de esta resolución, al no haber sido posible atribuir la responsabilidad por el tratamiento, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
10. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/6 940-301023 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es