1/6 Expediente N.º: EXP202318685 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 22 de diciembre de 2023 se presentó reclamación con número de registro de entrada REGAGE23e00086986309 ante la Agencia Española de Protección de Datos (en adelante, AEPD) contra PERFIL ***PERFIL.1 en ***APLICACIÓN.1 y PERFIL ***PERFIL.2 ***APLICACIÓN.2 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La reclamante manifiesta la existencia de un perfil en ***APLICACIÓN.1 (***PERFIL.1) desde abril de 2023 y otro en ***APLICACIÓN.2 (***PERFIL.2) en donde se están utilizando sus imágenes publicadas en sus perfiles de redes sociales (Instagram y TikTok) y las está retocando por medio de alguna aplicación de inteligencia artificial, quitándoles la ropa que lleva puesta en las imágenes originales y mostrándola desnuda para, así, ofrecer servicios de carácter sexual. La parte reclamante ha aportado las siguientes evidencias: - Captura de pantalla del perfil ***PERFIL.1 en ***APLICACIÓN.1 con las fotos de la parte reclamante desnuda y semidesnuda. - Captura de pantalla del perfil de ***APLICACIÓN.2 de ***PERFIL.2 donde aparece la foto de la parte reclamante vestida. TERCERO: Con fecha 22 de diciembre de 2023, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/6 El mismo día 22/12/2023 la AEPD protocoliza la captura de pantalla del perfil de ***APLICACIÓN.1 de la URL ***URL.1 y se constata que se trata de una cuenta privada, y también se protocolizan diversas imágenes de la parte reclamante semidesnuda publicadas bajo en este perfil. Con fecha 22/12/2023 la AEPD requiere a META IRELAND PLATFORMS LIMITED (en lo sucesivo META) la retirada del contenido existente en el perfil ***URL.1 y las comprobaciones realizadas por la AEPD entre el 08/01/2024 y el 10/01/2024 se constata que META ha deshabilitado el perfil de esta URL y retirado su contenido, y que solo aparece ya el mensaje “Esta página no está disponible”. En el marco de la cooperación de Autoridades de Protección de Datos, la AEPD solicita a la Autoridad de Luxemburgo la información a ***APLICACIÓN.2 sobre la titularidad de la cuenta de ***APLICACIÓN.2, que aparece en el perfil de ***PERFIL.2, contestando que no puede solicitar esta información a ***APLICACIÓN.2, porque “parece imposible establecer que la identidad del denunciante esté vinculada a los datos de identificación del usuario de dicha cuenta ***APLICACIÓN.2”. META, a solicitud de la AEPD, comunica que los datos identificativos del perfil de ***APLICACIÓN.1 en cuestión se limitan al nombre de pila “A.A.A.”. META informa también de que en el perfil ***URL.1 se realizó un login en el día 04/01/2024 y hora 12:29:09 UTC desde la dirección IP ***IP.1, así como desde la dirección IP ***IP.2 en el día 09/01/2024 y hora 12:29:09 UTC. Confirmada por la AEPD la asignación la dirección IP ***IP.1 al operador XFERA MÓVILES S.A.U (XFERA, en lo sucesivo), en respuesta al requerimiento de la AEPD, informó XFERA que en el día y hora indicados esta dirección IP estuvo asignada a 34 titulares. Confirmada que la dirección IP ***IP.2 está asignada al operador XTRA TELECOM S.A. (XTRA, en lo sucesivo), en respuesta al requerimiento de la AEPD, informó XTRA que ya no puede proporcionar información en el día y hora indicados sobre la dirección IP una vez trascurrido el plazo de 12 meses de obligación de conservación a contar desde la comunicación, de conformidad con el artículo 5 de la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del RGPD confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la LOPDGDD, es competente para resolver estas actuaciones de investigación la Presidencia de la AEPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/6 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el artículo 4 del RGPD se definen se describen los términos básicos en el ámbito de la protección de datos. A continuación, se seleccionan las definiciones y se subrayan las aspectos de las mismas más relevantes al caso: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; De conformidad con la reclamación, se llevan a cabo varios tratamientos de la imagen del interesado consistente en la extracción de fotografías publicadas en su perfil de redes sociales, que son modificadas y nuevamente difundidas en otros perfiles de redes sociales, para la creación de un perfil falso (suplantación de identidad), utilizando para ello también el nombre de pila de la parte reclamante. El responsable del tratamiento es la persona física o jurídica que determina los fines y medios del tratamiento, que, en este caso, sería el creador de los dos perfiles en ***APLICACIÓN.1 al efecto, PERFIL ***PERFIL.1 y PERFIL ***PERFIL.2 ***APLICACIÓN.2 y cuya identidad desconoce la parte reclamante. III Licitud del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/6 El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " De conformidad con la información aportada y las actuaciones previas de investigación de la AEPD, se han llevado a cabo varios tratamientos de la imagen del interesado consistente en la extracción de fotografías publicadas en su perfil de redes sociales, que son modificadas y nuevamente difundidas en los 2 perfiles de redes sociales PERFIL ***PERFIL.1 en ***APLICACIÓN.1 y PERFIL ***PERFIL.2 ***APLICACIÓN.2, para la creación de un perfil falso (suplantación de identidad), utilizando para ello también el nombre de pila de la parte reclamante. Estos tratamientos de datos se habrían llevado a cabo sin el consentimiento de la parte reclamante, ni ninguna otra base de licitud de las enumeradas en el artículo 6.1 del RGPD y sería el responsable del tratamiento el creador de dos perfiles al efecto, PERFIL ***PERFIL.1 en ***APLICACIÓN.1 y PERFIL ***PERFIL.2 ***APLICACIÓN.2, dado que decide sobre los fines y medios. No se ha podido determinar la identidad del responsable del tratamiento, a través de las direcciones IP obtenidas en la investigación porque, tal y como se desprende de las actuaciones de investigación realizadas, el acceso a la primer IP está asociada a decenas de titulares, mientras que el otro acceso a la otra IP tuvo lugar hace más de 12 meses, fuera del periodo de conservación legalmente establecido. Tampoco se ha podido determinar la identidad al titular del perfil de ***APLICACIÓN.2, como presunto y posible responsable. Para que esta Agencia pueda declarar la existencia de una infracción en materia de protección de datos, resulta imprescindible constatar que el tratamiento de datos personales se ha realizado sin base jurídica válida o en vulneración de los principios y derechos establecidos en el RGPD. Asimismo, dicho tratamiento debe ser imputable a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/6 una persona física o jurídica identificada, en su condición de responsable o encargado del tratamiento. En consecuencia, al no haberse podido identificar al responsable del tratamiento ni constatar la existencia de un tratamiento ilícito de datos personales imputable a persona física o jurídica determinada, no concurren los elementos necesarios que permitan continuar con el procedimiento. No obstante, sí se ha podido consumar la retirada completa de los contenidos denunciados, previa solicitud de la AEPD y constatar ya su retirada total en un plazo muy breve desde la presentación de la reclamación. IV Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, y dado que no se han podido encontrar evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos imputable a persona física o jurídica determinada, procede el archivo de las presentes actuaciones. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Presidencia de la AEPD, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la AEPD en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/6 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es