← España

AI-00434-2024

1/7  Expediente N.º: EXP202414192 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 15 de octubre de 2024, se presentó reclamación ante la Agencia Española de Protección de Datos en relación con los siguientes hechos: La parte reclamante manifiesta estar siendo víctima de sextorsión. Afirma que la persona titular de la cuenta de Instagram ***PERFIL.1 contactó con ella y le ofreció pagarle una suma de dinero a cambio de que le enviara diverso contenido explícito. Sostiene que después de hacerlo, y de no recibir el pago, está siendo amenazada con que todo ese material pueda ser difundido si no accede a proporcionar más. Para ello se ha creado una cuenta de Instagram, ***URL.1, en la que se han publicado varias imágenes, etiquetándose a terceras personas. Junto a su reclamación aporta como documentación: - Copia de la denuncia interpuesta en la Policía Nacional. SEGUNDO: Con fecha 15 de octubre de 2024, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), se admitió a trámite la reclamación presentada. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 16/10/2024 se capturan las siguientes evidencias: Contenido devuelto al acceder a la URL ***URL.1 Vídeo donde se muestra que las urls siguientes redirigen a la página web: ***URL.2, ***URL.3 - Contenido de la url ***URL.4 Con fecha 04/12/24 se capturan las siguientes evidencias de la retirada del contenido: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 - Contenido devuelto al acceder a la URL: ***URL.1 habiendo iniciado sesión en INSTAGRAM. Contenido devuelto al acceder a la URL: ***URL.2. habiendo iniciado sesión en INSTAGRAM. (Redirecciona a ***URL.1) Contenido devuelto al acceder a la URL: ***URL.3. habiendo iniciado sesión en INSTAGRAM. (Redirecciona a ***URL.1) Contenido devuelto al acceder a la URL: ***URL.1 sin haber iniciado sesión en INSTAGRAM. Contenido devuelto al acceder a la URL: ***URL.2 sin haber iniciado sesión en INSTAGRAM. (Redirecciona a ***URL.1) Contenido devuelto al acceder a la URL: ***URL.3 sin haber iniciado sesión en INSTAGRAM. (Redirecciona a ***URL.1) Con fecha 16/10/2024 se remite requerimiento de información a META PLATFORMS IRELAND LIMITED en el cual se solicita la dirección IP de conexión del usuario que subió el contenido y en caso de no disponer de esta información se solicitaban diez direcciones IP diferentes de conexiones de usuarios que, en la fecha más cercana al 15 de octubre de 2024, hubieran iniciado sesión en el perfil. Con fecha 18/11/2024 se recibe escrito de respuesta, en el que manifiestan lo siguiente: “Meta Ireland ha llevado a cabo búsquedas internas con base en la información proporcionada en la Solicitud. Con base en dichas búsquedas, parece que el Perfil de IG está localizado fuera de la región europea y no en España ni en ningún otro lugar de la región europea. Por consiguiente, Meta Platforms, Inc. es la entidad adecuada a la que dirigir la Solicitud y no Meta Ireland. Como se ha indicado anteriormente, Meta Platforms, Inc. es el prestador del servicio para los usuarios fuera de la región europea de acuerdo con las leyes estadounidenses aplicables. Si la AEPD considerase que tiene competencia para emitir la Solicitud a Meta Platforms, Inc., por favor dirija cualquier correspondencia al respecto (incluida la información específica contenida en la correspondencia mantenida con nosotros hasta la fecha) a: Meta Platforms, Inc. 1 Meta Way Menlo Park, California, 94025” Con fecha 28/03/2025 se remite requerimiento de información mediante certificado internacional a META PLATFORMS, INC. solicitando la información previamente requerida a la sede irlandesa. Con fecha 08/05/2025 se recibe escrito de respuesta remitido por PERKINS COIE LLP en el que aportan las siguientes IPs de registro y conexión: IP de Registro: ***IP.1 Inicios de sesión: Momento: 15-10-2024 14:07:31 UTC IP: ***IP.2 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 Momento: 15-10-2024 00:33:10 UTC IP: ***IP.3 Con fecha 02/07/2025 se consultan las direcciones https:/whois.domaintools.com/ resultando localizadas en México. IP aportadas en En dicha fecha se remite requerimiento solicitando información identificativa relativa a las IPs a la entidad UNINET, operadora asociada a la IP según registros Whois. Dicha notificación resulta devuelta a origen. Colaboración con el Ministerio Fiscal y el Juzgado de Instrucción nº 50 de Madrid Con fecha 22/10/2024 se remite al MINISTERIO FISCAL la documentación disponible hasta la fecha a fin de que, si así lo considerase, se estudiase la existencia de un posible ilícito penal. Con fecha 10/12/2024 se recibe escrito del MINISTERIO FISCAL – UNIDAD DE CRIMINALIDAD INFORMÁTICA comunicando “el archivo del Expediente tras comprobar que la denuncia se encuentra judicializada entendiendo el Juzgado de Instrucción (…) de Madrid”. Con fechas 03/02/2025 y 03/07/2025 se remiten solicitudes de colaboración para la identificación del responsable de los hechos al Juzgado de Instrucción (…) de Madrid. Las notificaciones se efectúan mediante envío postal resultando ambas entregadas en fechas 13/02/2025 y 11/07/2025. No se ha recibido respuesta. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

  1. f)y
  2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7 II Licitud del tratamiento Incluir la imagen del reclamante en una cuenta de Instagram, reproduciendo una actitud privada, de carácter sexual, que identifica a esta persona supone un tratamiento de datos personales y, por tanto, la persona que lo hace tiene que ampararse en alguna de las causas legitimadoras señaladas en el artículo 6 del RGPD. El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " En este supuesto, la causa legitimadora habitual suele ser el consentimiento, en general. Y es la persona que sube los datos personales sin limitación alguna la que debe demostrar que cuenta con ese consentimiento. III Conclusión Entre los elementos esenciales de todo procedimiento sancionador se encuentra el responsable, esto es, aquel a quien se le atribuyen los hechos tipificados como infracción administrativa tras el desarrollo de un procedimiento sancionador. Así, entre los principios del procedimiento administrativo sancionador previstos por la Ley 40/2015, de Régimen Jurídico del Sector Público, destaca en su artículo 28.1 el principio de responsabilidad, que señala que “sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7 En línea con lo anterior, en relación con la responsabilidad, el Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección 5ª) en Sentencia núm. 179/2023, de 15 de febrero 2023 establece: Sentencia (STS 354/2023) ha señalado que: “(…) debemos comenzar por recordar que la culpabilidad constituye, en efecto, una exigencia de las infracciones administrativas, ínsito en el artículo 25 de la Constitución, que ha tenido una elaborada construcción doctrinal en el ámbito del Derecho Penal del que el Administrativo Sancionador es tributario. Dicha exigencia comporta, en apretada síntesis a los efectos del debate suscitado, que el hecho que se tipifica en el tipo de la infracción pueda y debe serle imputable al sujeto que se sanciona, al que se considera culpable del mismo, es decir, responsable, conforme a la terminología de la Ley de Procedimiento Administrativo Común de las Administraciones Públicas”. Lo anterior supone, en síntesis, que el despliegue de la potestad sancionadora de la administración requiere como condición previa la identificación del sujeto al que presuntamente resulta imputable una acción u omisión tipificada como infracción en el ordenamiento jurídico. Por ello, el artículo 64.2 de la LPACAP establece como primer elemento que ha de contener todo acuerdo de inicio de un procedimiento sancionador la: “
  10. a)Identificación de la persona o personas presuntamente responsables”. En línea con lo anterior, el artículo 89 de la LPACAP consagra entre los supuestos en los que el órgano instructor puede resolver la finalización del procedimiento sin necesidad de formular propuesta la ausencia de responsable identificado en los siguientes términos: “
  11. d)Cuando no exista o no se haya podido identificar a la persona o personas responsables o bien aparezcan exentos de responsabilidad”. En definitiva, no cabe ni el inicio ni la sustentación de un procedimiento sancionador sin la adecuada identificación del presunto responsable de los hechos. Por otra parte, las actuaciones previas de investigación, reguladas en el artículo 67 de la LOPDGG, tienen por objetivo lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación de un procedimiento. En línea con lo anterior, la LPACAP, de aplicación supletoria, señala en su artículo 55 que: “2. En el caso de procedimientos de naturaleza sancionadora las actuaciones previas se orientarán a determinar, con la mayor precisión posible, los hechos susceptibles de motivar la incoación del procedimiento, la identificación de la persona o personas que pudieran resultar responsables y las circunstancias relevantes que concurran en unos y otros”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7 En el presente caso, la reclamante manifiesta estar siendo víctima de sextorsión. La persona titular de la cuenta de Instagram ***PERFIL.1 contactó con ella y le ofreció pagarle una suma de dinero a cambio de que le enviara diverso contenido explícito. Después de hacerlo, y de no recibir el pago, está siendo amenazada con que todo ese material pueda ser difundido si no accede a proporcionar más. Para ello se ha creado una cuenta de Instagram, ***URL.1, en la que se han publicado varias imágenes, etiquetándose a terceras personas. A través de las actuaciones de investigación se ha constatado que el contenido denunciado fue publicado en la red social Instagram. Se ha verificado la retirada de dicho contenido. El rastreo de la dirección IP aportada por META ha determinado que la conexión fue realizada desde México. Se ha realizado un intento de notificación a la operadora mexicana solicitando información identificativa del responsable. La notificación consta como devuelta. Se ha solicitado en dos ocasiones colaboración al JUZGADO DE INSTRUCCIÓN (…) de Madrid, órgano que tramita la causa según la información remitida por la Unidad de Criminalidad Informática del Ministerio Fiscal. No se ha recibido respuesta. Como consecuencia de lo anterior no ha sido posible identificar al autor de los hechos y, por otra parte, como se ha indicado en los Hechos de esta resolución, se comprueba que el contenido objeto de la reclamación ya ha sido retirado de la citada cuenta de Instagram, sin que haya podido determinarse la autoría de dicha publicación. Por ello la Agencia Española de Protección de Datos, como autoridad de control en materia de protección de datos personales, en virtud de los preceptos anteriormente indicados y a pesar de las actuaciones practicadas, ha de proceder al archivo del presente expediente al no poder identificarse adecuadamente al presunto responsable. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  12. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.