AI-00504-2024

1/7  Expediente N.º: EXP202416022 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento a través de una comunicación de ciertos hechos que podrían vulnerar la legislación en materia de protección de datos. Con fecha 22 de noviembre de 2024 la Directora de la Agencia Española de Protección de Datos acordó iniciar actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD) en relación con los siguientes hechos: La parte comunicante, que no se identifica ni aporta datos de contacto, denuncia la publicación de un reel en Instagram donde aparece la imagen de un menor llorando en situación de vulnerabilidad (***URL.1). Se visualiza a un menor bajo el texto: "(…)". De fondo, también se escucha la voz de un hombre que dice: "(…)" y la voz de una mujer que dice "(…)". La publicación ya cuenta con 5793 "Me gusta" en menos de 12 horas. La cuenta IG denunciada, ***PERFIL.1, es pública y tiene más de un millón y medio de seguidores. Además del vídeo denunciado, también se publican otros vídeos donde aparecen menores de edad. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 14/11/2024 se captura evidencia del contenido publicado en la URL ***URL.1 . Con fecha 18/11/2024 se observa que en los perfiles de ***PERFIL.1 de Facebook y Telegram se publicita la web ***WEB.1 y se comprueba que actualmente se encuentra no disponible. Se realiza búsqueda en la plataforma Wayback Machine de la web ***WEB.1 obteniendo la última captura del 25 de febrero de 2024 del apartado “Aviso legal”. En dicha página se publican los siguientes datos acerca de la identidad del responsable: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 Titular: A.A.A. NIF/CIF: ***NIF.1 Domicilio: ***DIRECCIÓN.1 Correo electrónico: ***EMAIL.1 Sitio Web: ***WEB.1 Se averigua a partir de múltiples resultados en el buscador Google y en la red social Linkedin que A.A.A. se identifica como CEO y “account manager” de la multiplataforma digital de entretenimiento ***PERFIL.1. Con fecha 18 de febrero de 2025 se envía requerimiento a A.A.A.. La notificación resulta entregada el día 28 del mismo mes y año. Con fecha 28 de febrero de 2025 se recibe respuesta de A.A.A. realizando las siguientes manifestaciones: - Afirma ser el titular de la cuenta "***PERFIL.1" - Afirma que “El video (…) fue previamente publicado de manera pública en la plataforma TikTok por el usuario B.B.B.” - Manifiesta que “Antes de compartir cualquier tipo de video en mi cuenta de Instagram que proviene de otro usuario, y de conformidad con el artículo 6 de la Ley Orgánica 3/2018 de Protección de Datos (“LOPD”), solicito y solicité el consentimiento expreso, libre, específico, informado e inequívoco de las personas afectadas por el tratamiento. Se adjuntan capturas de la conversación como Anexos 1 y 2. Como se puede apreciar en el video, también aparece un menor de catorce años, y de acuerdo con el artículo 7 de la LOPD, asumí que la persona que subió el video también poseía la patria potestad o tutela necesaria para otorgar el consentimiento en nombre del menor, o que, actuaba de acuerdo con las instrucciones o supervisión de los tutores del menor, ya que es el creador del video original, el cual ofrece a distribuir sin texto mediante Instagram.” - Manifiesta que “(…) fui contactado el día 3 de diciembre por C.C.C., quien se identificó como (…) que aparecía en el video, así como de la usuaria de TikTok que me había dado su consentimiento. En su mensaje, me solicitó que eliminara el contenido y me informó de que la usuaria que me había otorgado consentimiento era (…), la cual es menor de edad, circunstancia que desconocía hasta ese momento. En cuanto recibí su petición, procedí a la eliminación inmediata del video.” Adjunta capturas de la conversación en los Anexos 3, 4 y 5. - Manifiesta que “Posteriormente, al recibir la notificación de la AEPD, volví a ponerme en contacto con C.C.C. para disculparme nuevamente y aclarar lo sucedido. En nuestra conversación, ella restó importancia al asunto, considerando que el contenido ya había sido eliminado tanto de mi cuenta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 como de la cuenta original en TikTok.” Adjunta capturas de la conversación en los Anexos 6 y 7. - Afirma que, con el objetivo de prevenir situaciones similares, ha implementado un protocolo de actuación que incluye: o “Verificación de la edad de quienes otorgan consentimiento antes de compartir contenido. o Solicitud de autorización parental en caso de duda sobre la mayoría de edad. o Procedimiento de respuesta rápida para la retirada inmediata de cualquier contenido que pueda afectar a terceros, especialmente a menores de edad.” Con fecha 10 de marzo de 2025 se comprueba que el vídeo está retirado. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Consentimiento de los menores de edad En los términos indicados en el artículo 7.2 de la LOPDGDD, "El tratamiento de los datos de los menores de catorce años, fundado en el consentimiento, solo será lícito si consta el del titular de la patria potestad o tutela, con el alcance que determinen los titulares de la patria potestad o tutela." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7 III Legitimación para el tratamiento La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. El artículo 4.2 del RGPD define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El incluir imágenes que identifican o hacen identificable a una persona, así como su nombre, en vídeos publicados supone un tratamiento de datos personales y, por tanto, la persona que lo hace tiene que ampararse en alguna de las causas legitimadoras señaladas en el artículo 6 del RGPD. En estos supuestos, como en el caso objeto de reclamación, la causa legitimadora habitual suele ser el consentimiento, en general. Y es la persona que sube los datos personales y las imágenes que pueden visualizarse sin limitación alguna la que debe demostrar que cuenta con ese consentimiento. Para que se pueda llevar a cabo lícitamente ese tratamiento tiene que cumplirse lo establecido en el artículo 6.1 del RGPD, que indica: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” IV Conclusión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7 Para poder identificar a la persona o personas que estaban publicando las imágenes, se realizaron las actuaciones de previas de investigación, conforme establece el artículo 67 de la LOPDGDD, y que determina lo siguiente: “1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.” Tras efectuar las investigaciones reseñadas en los Hechos, se ha concluido lo siguiente: Se ha retirado el contenido del video. El contenido fue publicado en fecha 12 de noviembre en el perfil de ***PERFIL.1 en la red social Instagram. La identidad del titular de la multiplataforma ***PERFIL.1 es A.A.A.. A.A.A. manifiesta que solicitó el permiso para publicar el contenido en su cuenta de Instagram a (…) que aparecía en el vídeo y que había difundido previamente en la red social TikTok. Señala que el 3 de diciembre de 2024 (…) le contactó pidiendo la retirada del vídeo e informando de (…), que fue la persona que le dio la autorización, era también menor de edad. A.A.A. manifiesta haber implementado un protocolo de actuación para prevenir situaciones similares en el futuro que incluye: C/ Jorge Juan, 6 28001 – Madrid o Verificación de la edad de quienes otorgan consentimiento antes de compartir contenido. o Solicitud de autorización parental en caso de duda sobre la mayoría de edad. www.aepd.es sedeaepd.gob.es 6/7 o Procedimiento de respuesta rápida para la retirada inmediata de cualquier contenido que pueda afectar a terceros, especialmente a menores de edad. Se ha de significar, por su importancia, el hecho de que la parte reclamada ha adoptado medidas para el cumplimiento de la normativa aplicable de manera diligente. Pues bien, el mero inicio de actuaciones de investigación por parte de esta Agencia no implica la imputación de una infracción en materia de protección de datos o la imposición de medidas correctivas por parte de la AEPD, ya que es necesario analizar la diligencia de responsables y encargados y las medidas de seguridad aplicadas. A mayor abundamiento, señalar que la Sentencia del Tribunal de Justicia de 24 de septiembre de 2024, en el asunto C 768/21, se pronunció en relación con un caso de brecha de datos personales en el que una autoridad de control (el Comisionado para la Protección de Datos y la Libertad de Información del Estado Federado de Hesse, Alemania) no impuso una multa en atención a las circunstancias del caso concreto. En la sentencia se afirma lo siguiente en relación con este punto (el subrayado es de esta Agencia): “41 En consecuencia, no puede deducirse ni del artículo 58, apartado 2, del RGPD ni del artículo 83 de este la existencia de una obligación a cargo de la autoridad de control de adoptar, en todos los casos, cuando constate una violación de la seguridad de datos personales, una medida correctora, en particular una multa administrativa, siendo su obligación, en tales circunstancias, reaccionar adecuadamente para subsanar la deficiencia constatada. En estas circunstancias, como señaló el Abogado General en el punto 81 de sus conclusiones, el autor de una reclamación cuyos derechos han sido vulnerados no dispone de un derecho subjetivo a que la autoridad de control imponga una multa administrativa al responsable del tratamiento. 43 A este respecto, no se excluye que, con carácter excepcional y habida cuenta de las circunstancias particulares del caso concreto, la autoridad de control pueda abstenerse de adoptar una medida correctora aunque se haya constatado una violación de la seguridad de datos personales. Tal puede ser el caso, en particular, cuando la violación constatada no haya persistido, por ejemplo cuando el responsable del tratamiento, que, en principio, había aplicado medidas técnicas y organizativas apropiadas en el sentido del artículo 24 del RGPD, haya adoptado, tan pronto como haya tenido conocimiento de dicha violación, las medidas adecuadas y necesarias para que la violación finalice y no vuelva a producirse, habida cuenta de las obligaciones que le incumben, en particular, en virtud de los artículos 5, apartado 2, y 24 del mencionado Reglamento.” El Tribunal de Justicia de la Unión Europea (TJUE) incide, por tanto, en el margen de apreciación que tienen las autoridades de control para, en el ejercicio de sus funciones, desarrollar y optar entre los poderes atribuidos por el artículo 58 del RGPD, teniendo en cuenta las circunstancias del caso concreto, así como velando por el pleno respeto del RGPD. La consigna que debe regir siempre la actuación de una autoridad de control es asegurar un nivel alto de protección de los datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 Así, cabe que, aun cuando se hubiera constatado o se tuvieran indicios de que se ha producido una vulneración en materia de protección de datos, las autoridades de control se abstengan de ejercitar sus poderes correctivos cuando esta presunta infracción hubiera sido subsanada y se garantice la conformidad de los tratamientos de datos personales con el RGPD. Lo señalado por el TJUE en la sentencia antes citada, refuerza la idea de proporcionalidad de actuación de las autoridades de control que se recoge, con anterioridad a que fuera dictada la mencionada sentencia, en los artículos 65.4 y 65.6 de la LOPDGDD, por los que se permite a la AEPD, en atención a las circunstancias del caso concreto, la inadmisión a trámite o el archivo de reclamaciones, cuando, tras el traslado de las mismas al responsable del tratamiento, este demostrara haber adoptado medidas para el cumplimiento de la normativa aplicable. En consecuencia, subsanada la incidencia por parte del responsable, se considera que, con carácter excepcional y en atención a las circunstancias del caso concreto, no procede la imposición de una medida correctiva. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y ***PERFIL.1. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
10. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es