E-01633-2020

1/7  Procedimiento Nº: E/01633/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por Doña A.A.A. (en adelante, la reclamante) tiene entrada con fecha 15 de febrero de 2020 en la Agencia Española de Protección de Datos. La reclamación se dirige ***URL.1; ***URL.2; ***URL.3; ***URL.4; ***URL.5 y ***URL.6 Los motivos en que basa la reclamación son los siguientes: La dejó con su pareja a finales de 2015 y, en marzo de 2016, recibió una llamada de un conocido, diciendo que había visto un vídeo suyo (con su expareja), de contenido sexual. Esos vídeos los grabó su expareja con su consentimiento, pero nunca con el consentimiento de que se difundieran. Los vídeos estaban grabados desde el móvil de la expareja y aunque es cierto que le robaron el dispositivo, no sabe si los podría tener en su ordenador u otros. El 4 de septiembre de 2017, denunció el caso a la policía y el 7 de septiembre acudió de nuevo para ampliar información, pero nunca obtuvo respuesta, apoyo o solución por parte de la policía. En octubre de 2017, su expareja contrató una empresa para la eliminación de contenidos, pero hay ciertas páginas que se resisten a eliminar el contenido incluso a día de hoy. Las páginas son: ***URL.2 ***URL.2 ***URL.7 ***URL.3 ***URL.4 ***URL.8 ***URL.9 ***URL.10 ***URL.11 ***URL.12 ***URL.13 ***URL.14 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 ***URL.15 ***URL.16 ***URL.17 Que lleva años arrastrando este problema. Documentación relevante aportada por el reclamante: Copia de atestado de la Dirección General de la Policía fechado a 4 de septiembre de 2017 donde se manifiesta que: a. En marzo del año 2016, fue alertada por amistades ya que había un vídeo en xvideos.com con contenido erótico donde aparecía la reclamante. Que el vídeo fue subido a la red por el usuario “***USUARIO.1”. Que eran imágenes grabadas por su expareja con su consentimiento. Que su expareja le ha manifestado que él no ha subido las imágenes pero que les sustrajeron su teléfono el cual contenía el vídeo. b. Que la reclamante no sospecha de su expareja. Que su expareja se llama B.B.B.. c. Que este vídeo fue dado de baja por su expareja y de lo cual no se presenta denuncia. d. Que no conoce si los vídeos pudiesen estar grabados en otro dispositivo. Copia de atestado de la Dirección General de la Policía fechado a 7 de septiembre de 2017 donde se manifiesta que: a. Que aporta nuevas páginas webs con contenido referente a la reclamante. b. Que no está segura de si ha sido su expareja. SEGUNDO: Con fecha 18 de febrero de 2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: - Con fechas 20/02/2020, 25/02/2020, 26/02/2020 y 04/03/2020, se solicita la retirada por correo electrónico, así como a través de formularios web respecto de la imagen ***URL.

1. Con fecha 12/03/2020 se comprueba que el contenido de la url ha sido retirado. - Con fecha 20/02/2020 se solicita la retirada por correo electrónico respecto de la imagen en las urls: ***URL.
2. ***URL.4 ***URL.4 Con fecha 21/02/2020 se comprueba que el contenido de las urls, referido a la reclamante, ha sido retirado. - Con fechas 25/02/2020, 04/03/2020, 05/03/2020, se solicita la retirada respecto de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 imagen en las url siguientes. Asimismo, con fecha de 12/02/2021 se solicita colaboración a ***PAÍS.1 para la retirada a través de IMI XXXXXXXX, teniendo en cuenta que la IP está asignada a la entidad Cloudflare INC que está ubicada en ***LOCALIDAD.1, ***PAÍS.
3. ***DOMINIO.1 A fecha de esta resolución no se ha conseguido la retirada. - Con fechas 21/02/2020, 25/02/2020, 26/02/2020, 06/03/2020 y 11/03/2020 se solicita la retirada de la imagen en las urls siguientes: ***URL.18 ***URL.19 ***URL.20 ***URL.21 ***URL.22 ***URL.23 ***URL.24 ***URL.25 Con fecha 16/03/2020 se comprueba que el contenido de las urls, referido a la reclamante, ha sido retirado. - Con fechas 21/02/2020, 25/02/2020 se solicita la retirada por correo electrónico respecto de la imagen en las url siguiente: ***URL.26 Con fecha 04/03/2020 se comprueba que el contenido de las urls, referido a la reclamante, ha sido retirado. - Con fecha 20/02/2020 se comprueba en registros whois que quien ha registrado el dominio ***URL.5 es C.C.C. cuyos datos de contacto se han incluido en el apartado de entidades investigadas. Con fecha 23/06/2020 se remite solicitud de retirada a C.C.C. en relación con la url en el dominio ***DOMINIO.
4. Con fecha 31/08/2020 el escrito consta como “Ausente en reparto” en el sistema SIGRID. - Con fecha 18/03/2020, CENTURYLINK COMMUNICATIONS ESPAÑA, S.A. remite a esta Agencia la siguiente información y manifestaciones:
5. Que la url de empstatic está relacionada con el servicio CDN que suministran a la empresa HULKSHARE LTD quien al parecer revende el servicio a la empresa TNAFLIX, siendo el contenido distribuido responsabilidad del cliente o usuario final. - Con fecha 24/09/20020 se remite requerimiento de información a CLOUDFLARE PORTUGAL, Unipessoal Lda. en relación a las urls denunciadas referidas a los domiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 nios ***URL.5 y ***URL.
6. La notificación consta entregada con fecha 19/10/
7. No se recibe contestación. - Con fecha 05/10/2020, OVH HISPANO, S.L. remite a esta Agencia la siguiente información y manifestaciones:
8. Que el propietario del servidor donde se aloja el dominio porno-iberico-casero.com es TRIX NETWORK, S.L. - Con fecha 14/12/2020, TRIX NETWORK, S.L. remite a esta Agencia la siguiente información y manifestaciones:
9. Que no conocen fecha y hora en la que fueron publicados las fotografías y vídeos porque el servidor que alojaba el dominio no fue renovado a su expiración y en consecuencia destruido.
10. Que el contenido publicado en el dominio provenía de otro dominio: ***DOMINIO.
11. Que era un programa informático el que se encargaba de descargar contenidos en esta web. Que el contenido provenía de las urls: ***URL.27 ***URL.28 ***URL.29 ***URL.30 - Con fecha 15/02/2021 se remite solicitud de información a la Agencia Estatal de Administración Tributaria en relación a los datos de identificación de B.B.B. Con fecha 16/02/2021 la AGENCIA TRIBUTARIA SERVICIO DE PLANIFICACION Y RELACIONES INSTITUCIONALES contesta que no se han podido obtener datos. - Con fecha 17/02/2021 se remite solicitud de información a la reclamante solicitando información de contacto relativa a B.B.B.. La notificación consta entregada con fecha 17/02/
12. No se recibe contestación. - Con fecha 18/02/2021, YOUNGTEK SOLUTIONS LIMITED (TNAFLIX) proporciona a través de ***PAÍS.2 IMI XXXXXXXX la siguiente información y manifestaciones:
13. Que el vídeo se subió a la plataforma ***PLATAFORMA.1 a través de las siguientes IP: ***IP.1, con fecha 17/11/
14. Que no tienen la hora exacta de la subida del vídeo. - Con fecha 19/02/2021, HAMMYMEDIA LTD (***DOMINIO.2) proporciona a través de ***PAÍS.2 IMI XXXXXXXX la siguiente información y manifestaciones:
15. Que las fotografías se subieron a través de las siguientes IP y fechas: ***IP.2 con fecha 14 /11/2015y hora 23:19:06 GMT ***IP.2 con fecha 12 /11/2015 y hora 23:28:46 GMT C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 ***IP.2 con fecha 16 /11/2015 y hora 23:22:50 GMT FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), reconoce a cada Autoridad de Control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que: «Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.» II La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El incluir imágenes, que identifican o hacen identificable a una persona, en sitios web supone un tratamiento de datos personales y, por tanto, la persona que lo hace tiene que ampararse en alguna de las causas legitimadoras señaladas en el artículo 6 del RGPD. En estos supuestos, como en el caso objeto de reclamación, la única causa legitimadora suele ser el consentimiento, en general. Y es la persona que graba y/o sube las imágenes a un sitio web la que debe demostrar que cuenta con ese consentimiento. Para que se pueda llevar a cabo lícitamente ese tratamiento tiene que cumplirse lo establecido en el artículo 6.1 del RGPD, que indica: <<
16. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.>>. III En la reclamación presentada, la reclamante señala que aparecen publicados vídeos en numerosas páginas web, que fueron grabados con su consentimiento, pero no para su difusión, solicitando ayuda a la Agencia para su eliminación. La Agencia solicitó la eliminación de los vídeos, los cuales fueron cancelados, a excepción de uno de ellos. Para poder identificar las direcciones desde las que se incluyeron las imágenes, en primer lugar, y para la posterior identificación del responsable, se realizaron las actuaciones de previas de investigación, conforme establece el artículo 67 de la LOPDGDD, y que determina lo siguiente: <<
17. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales.
18. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.>> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Tras efectuar las investigaciones reseñadas en los Hechos, no se ha podido identificar al usuario responsable de la inclusión de las imágenes, como se describe en los hechos de esta resolución. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es