← España

AI-00381-2024

1/7  Expediente N.º: EXP202412490 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 12 de septiembre de 2024, la Agencia Española de Protección de Datos ha tenido conocimiento a través de una reclamación de la difusión no consentida de imágenes de carácter sexual (fotos y vídeos) en un hilo publicado en el foro HISPASEXY.ORG, en el que se incluyen, también, enlaces a sitios terceros (EROME.COM, GOFILE.COM) en los que aparecen disponibles contenidos relacionados. Estos hechos que podrían vulnerar la legislación en materia de protección de datos. Junto a la reclamación se aportan las capturas de pantalla de un hilo en hispasexy.org donde constan fotos y enlaces a otras plataformas. SEGUNDO: Con fecha 13 de septiembre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: En fecha 13/09/2024 se comprueba que: 1. En las urls siguientes constan evidencias de contenido sexual: ***URL.1 ***URL.2 ***URL.3 ***URL.4 ***URL.5 ***URL.6 ***URL.7 ***URL.8 Hilo de conversación con publicación de alguna foto y enlaces a otras plataformas. Con fecha 16/09/2024 se comprueba que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 1. Consta contenido sexual publicado en: ***URL.9 ***URL.10 ***URL.11 ***URL.12 2. Consta que la entidad responsable del gofile.io es WOJTEK SAS localizada en Francia, según consta publicado en su política de privacidad. 3. Consta un correo electrónico de contacto en la web de HISPASEXY.ORG. 4. Consta un correo electrónico de contacto en la web de EROME.COM. 5. En información de WHOIS consta que el registrar del dominio GOFILE.IO es OVH SAS. Y consta un correo electrónico de contacto. 6. En información de WHOIS consta que el registrar del dominio HISPASEXY.ORG es NAMECHEAP INC. Y consta correo electrónico de contacto. 7. En información de WHOIS consta que el registrar del dominio EROME.COM es INTENET DOMAIN SERVICE BS CORP. Y consta correo electrónico de contacto. Con fecha 17/09/2024 se realizan las siguientes acciones: 1. Se envía solicitud de retirada de contenido al correo electrónico de OVH SAS. 2. Se envía solicitud de retirada de contenido a correos electrónicos de EROME.com y de su registrar. 3. Se envía solicitud de retirada de contenido a correos electrónicos de HISPASEXY.ORG y de su registrar. Con fecha 20/09/2024 se comprueba que: 1. No consta contenido publicado en: ***URL.9 ***URL.10 ***URL.11 ***URL.12 ***URL.8 ***URL.1 ***URL.2 ***URL.3 ***URL.4 ***URL.5 Con fecha 07/11/2025 se comprueba que: 1. El registrar de EROME.COM es EURODNS S.A. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 Con fecha 07/11/2025 se envía requerimiento a EURODNS S.A. en Luxemburgo. La notificación consta entregada con fecha 18/11/2025. No se ha recibido contestación. Con fecha 28/11/2025 EDPO (NAMECHEAP INC.) envía a esta Agencia contestación a un requerimiento de información, con la siguiente información y manifestaciones: 1. Que el titular del dominio HISPASEXY.ORG es A.A.A. cuyos datos de contacto se ha incorporado a SIGRID. Con fecha 05/12/2025 se envía requerimiento de información al titular de HISPASEXY.ORG, constando el envío a fecha actual en estado “Dirección incorrecta” en el sistema SIGRID. No se ha recibido contestación. Con fecha 12/12/2025 se comprueba que no consta contenido publicado en ***URL.6 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

  1. f)y
  2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Seguridad del tratamiento El Artículo 32 “Seguridad del tratamiento” del RGPD establece: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  3. a)la seudonimización y el cifrado de datos personales;
  4. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7
  5. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  6. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. III Licitud en el tratamiento de datos personales El tratamiento de datos personales para que sea lícito ha de encontrarse en alguno de los supuestos del artículo 6.1 del RGPD, precepto que indica lo siguiente: 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  7. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  8. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  9. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  10. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  11. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  12. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7 Lo dispuesto en la letra
  13. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. IV Conclusión Entre los elementos esenciales de todo procedimiento sancionador se encuentra el responsable, esto es, aquel a quien se le atribuyen los hechos tipificados como infracción administrativa tras el desarrollo de un procedimiento sancionador. Así, entre los principios del procedimiento administrativo sancionador previstos por la Ley 40/2015, de Régimen Jurídico del Sector Público, destaca en su artículo 28.1 el principio de responsabilidad, que señala que “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. En línea con lo anterior, en relación con la responsabilidad, el Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección 5ª) en Sentencia num. 179/2023, de 15 de febrero 2023 establece: Sentencia (STS 354/2023) ha señalado que: (…) debemos comenzar por recordar que la culpabilidad constituye, en efecto, una exigencia de las infracciones administrativas, ínsito en el artículo 25 de la Constitución, que ha tenido una elaborada construcción doctrinal en el ámbito del Derecho Penal del que el Administrativo Sancionador es tributario. Dicha exigencia comporta, en apretada síntesis a los efectos del debate suscitado, que el hecho que se tipifica en el tipo de la infracción pueda y debe serle imputable al sujeto que se sanciona, al que se considera culpable del mismo, es decir, responsable, conforme a la terminología de la Ley de Procedimiento Administrativo Común de las Administraciones Públicas. Lo anterior supone, en síntesis, que el despliegue de la potestad sancionadora de la administración requiere como condición previa la identificación del sujeto al que presuntamente resulta imputable una acción u omisión tipificada como infracción en el ordenamiento jurídico. Por ello, el artículo 64.2 de la LPACAP establece como primer elemento que ha de contener todo acuerdo de inicio de un procedimiento sancionador la: “
  14. a)Identificación de la persona o personas presuntamente responsables”. En línea con lo anterior, el artículo 89 de la LPACAP consagra entre los supuestos en los que el órgano instructor puede resolver la finalización del procedimiento sin necesidad de formular propuesta la ausencia de responsable identificado en los siguientes términos: “
  15. d)Cuando no exista o no se haya podido identificar a la persona o personas responsables o bien aparezcan exentos de responsabilidad”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7 En definitiva, no cabe ni el inicio ni la sustentación de un procedimiento sancionador sin la adecuada identificación del presunto responsable de los hechos. Por otra parte, las actuaciones previas de investigación, reguladas en el artículo 67 de la LOPDGG, tienen por objetivo lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación de un procedimiento. En línea con lo anterior, la LPACAP, de aplicación supletoria, señala en su artículo 55 que: “2. En el caso de procedimientos de naturaleza sancionadora las actuaciones previas se orientarán a determinar, con la mayor precisión posible, los hechos susceptibles de motivar la incoación del procedimiento, la identificación de la persona o personas que pudieran resultar responsables y las circunstancias relevantes que concurran en unos y otros”. En el presente caso, los hechos alegados por la parte reclamante, la difusión no consentida de imágenes de carácter sexual (fotos y vídeos) en un hilo publicado en el foro HISPASEXY.ORG, en el que se incluyen, también, enlaces a sitios terceros (EROME.COM, GOFILE.COM) en los que aparecen disponibles contenidos relacionados se apoyan en diversa documentación que acompañó la parte reclamante a su reclamación. Sin embargo, pese a las actuaciones realizadas por la Agencia Española de Protección de Datos, no se ha podido identificar al presunto responsable. No obstante, se informa de que con fecha 12/12/2025 se comprueba que no consta contenido publicado en ***URL.6 Por ello la Agencia Española de Protección de Datos, como autoridad de control en materia de protección de datos personales, en virtud de los preceptos anteriormente indicados, ha de proceder al archivo del presente expediente al no poder identificarse adecuadamente al presunto responsable. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la realización de la llamada de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  16. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1245-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.