1/6 940-0419 Procedimiento Nº: E/02643/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fechas 7 y 23 de mayo de 2018 se registran de entrada en esta Agencia sendos escritos de Don A.A.A., (en lo sucesivo, el reclamante o A.A.A.), exponiendo la difusión en redes sociales y foros de Internet de un vídeo con imágenes del año 2015 de contenido sensible de una tercera persona sin el consentimiento de ésta. El citado reclamante aporta una relación de 21 enlaces al reseñado video que continúan accesibles en la red social YOUTUBE, refiriendo también que las mencionadas imágenes seguían publicándose en otros sitios de Internet, como MERISTATION.COM, MENEAME.NET, VIMEO.COM, FOROCETE.COM. SEGUNDO: Tras la recepción de la reclamación la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de reclamación. Como fruto de las mismas se ha tenido conocimiento de los siguientes extremos: 2.
- Se constata, que menos en uno de los videos difundidos en los enlaces reseñados, en los restantes, la afectada está vestida con una camiseta que, luego, se quita, pasando a mostrarse parcialmente desnuda. En el video en que no aparece la reseñada secuencia, publicado en YOUTUBE, se comprueba que la afectada aparece fugazmente con la citada camiseta. 2.2 En relación con los 21 enlaces a videos publicados en la red YOUTUBE en los que aparece la imagen de la afectada: Requerida a GOOGLE LLC información sobre los usuarios que han hecho público en la red YOUTUBE los citados videos (IP y datos de contacto disponibles), con fecha 12 de junio de 2018 se registra de entrada en esta Agencia escrito de respuesta poniendo de manifiesto que dichos contenidos habían sido eliminados de acuerdo con su política relativa a contenidos de naturaleza sensible concernientes a menores. Con fecha 19 de junio de 2018 tiene entrada un correo electrónico de GOOGLE LLC aportando las direcciones IP de subida de 15 de los videos, alegando que los restantes han sido subidos desde direcciones IP de otros países no comunitarios. Las direcciones IP facilitadas están asignadas a 5 operadores distintos: TELEFONICA DE ESPAÑA, S.A., (en adelante TDE), ORANGE ESPAGNE, SAU (en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 adelante, ORANGE), VODAFONE ESPAÑA, SAU (en adelante, VODAFONE), XTRA TELECOM, S.A. y COMUNITEL GLOBAL, S.A., (en adelante COMUNITEL GLOBAL). - En respuesta al requerimiento de la Inspección de Datos el representante de TDE manifiesta que la información relativa a estas IPs ha sido borrada en cumplimiento del artículo 5.1 de la Ley 25/200 de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y redes públicas de comunicaciones. - El representante de ORANGE manifiesta que han comprobado que no existe tráfico de datos asociados a las IPs en la fecha y hora señaladas, aportando información de las tres conexiones efectuadas en las fechas más próximas a la solicitada. - El representante de VODAFONE indica que, tras las comprobaciones efectuadas no existen conexiones en el día solicitado. - El representante de SOLUCIONES INFORMATICAS INFORGAME (Cableoperadora de XTRA TELECOM) aporta una relación de más de 120 usuarios que tenían asignada la misma IP en la fecha solicitada. - Requerida información a COMUNITEL GLOBAL en dos ocasiones, en la primera fue rechazada la notificación electrónica por transcurso del plazo máximo. En la segunda, la comunicación remitida correo postal que fue entregada a su destinatario el 3 de agosto de 2018, sin haber obtenido respuesta. Con fecha 25 de junio de 2018 se verifica que 20 de los videos han sido eliminados de la red YOUTUBE, permaneciendo únicamente el video ***URL.1 en el que la afectada está con la citada camiseta. En relación con el enlace aportado al video publicado en MERISTATION.COM, con fecha 30 de mayo de 2018 se verifica la publicación de un video en el que la afectada aparece en similares circunstancias a las relatadas en el apartado 2.1 anterior. Lo publica un usuario de meristation.com y, posteriormente, otro usuario del portal hizo un comentario a dicho video, dando lugar a que se volviese a publicar, conforme se desarrolla en el apartado 2.3.
- 2.3.
- Requerida a MERISTATION MAGAZINE, S.L. (responsable del foro MERISTATION.COM) identificación de estos usuarios, el representante de dicha sociedad aporta los datos de los que dispone y la dirección IP desde la que fueron publicados el video. Además, manifiesta que realizada una búsqueda de todos los contenidos relacionados se ha procedido a retirarlos con fecha 30 de mayo de 2018, advirtiendo a ambos usuarios de la prohibición de compartir contenidos que vulneren derechos de terceras personas en los foros de MERISTATION. Paralelamente, se ha publicado en la web una advertencia recordando a todos los usuarios que las normas del foro prohíben publicar contenidos ofensivos o ilícitos. También se les ha solicitado que en caso de detectar contenidos contrarios a dichas normas lo notifiquen a través del botón de Reportar que tienen a su disposición todos los usuarios registrados. Desde esta Agencia se ha verificado que dichos contenidos han sido cancelados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 2.3.
- A requerimiento de la Agencia, los Operadores de las IPs (RADIOCABLE Y TELECOMUNICACIONES DE GALICIA, S.A. y TDE) han identificado a los usuarios que tenían asignadas las direcciones IPs de acceso a internet, en este caso señalados como usuario 1 y usuario 2 de meristation.com. Solicitada información sobre la licitud del tratamiento efectuado, con fecha 30 de agosto de 2018 se registra de entrada en esta Agencia escrito en el que la persona que tenía asignada la dirección IP utilizada por el usuario 1 indica que dicho usuario pertenece a su hijo. Aduce que puestos en contacto con el administrador del foro le señalan que el “hilo” relativo al video fue retirado tras recibir el requerimiento de la AEPD y que el video se subió por el usuario 2, circunstancia que, a su juicio, prueba que el video fue colgado en el foro por otro usuario y que su hijo se limitó a hacer un comentario sobre el mismo, no siendo responsable de su publicación ni de su distribución. Adjunta documentación facilitada por el administrador del foro en apoyo de tales manifestaciones. Solicitada información sobre la licitud del tratamiento efectuado, con fecha 21 de septiembre de 2018 se registra de entrada escrito de respuesta del usuario de meristation.com identificado como usuario 2, en el que éste señala que no es responsable de recabar el consentimiento para la difusión del vídeo, ya que ni es el propietario de la página web de donde procede dicho video ni la persona que lo grabo para su uso en la misma. Añade que el vídeo pertenece a un tercero, quien como autor material del vídeo y de su posterior difusión por distintos canales debería de ser el responsable de acreditar el consentimiento de la persona que aparece en el mismo. Por lo cual, no puede acreditar el consentimiento para la publicación de video al no ser el responsable de su obtención. Alega que se ha limitado a compartir un video producido por la web de un tercero, que es la persona sobre la que recae la obligación de obtener previamente ese consentimiento y no en quienes, como él, se han limitado a compartir el enlace del vídeo que en origen se difundió por Internet desde la web del tercero creador del video y desde la cuenta de twitter del mismo. 2.
- En relación con MENEAME.NET, con fecha 11 de junio de 2018 se accede a este portal, constatándose que es una página web que permite publicar historias y sus comentarios. Se comprueba que con fecha 26 de abril de 2016 se publicó en dicho portal un artículo de “El Confidencial” con una noticia referida al tercero que creó y colgó el video, bajo el cual se han publicado 261 comentarios de usuarios. Revisados estos comentarios se observa que no contienen datos personales, respondiendo sus contenidos a opiniones sobre el hecho relatado en el artículo. Asimismo, un usuario publica un enlace a la cuenta de Instagram de la afectada. 2.5 En cuanto a FOROCETE.COM, es un foro en español en el que los usuarios pueden publicar comentarios y videos. El dominio está registrado a través de una empresa ubicada en Londres (Reino Unido). Con fecha 30 de mayo de 2018 se verifica que en dicho portal aparece publicado el video y fotografías de la afectada. Con fechas 28 de junio y 24 de octubre de 2018 se solicita por esta Agencia colaboración a la autoridad correspondiente (INFORMATION COMMISSIONER’S OFFICE, en adelante ICO), y tras varias solicitudes de ampliación de información el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 representante de ICO sugiere que sea la Autoridad Española la que se dirija directamente a la empresa inglesa para solicitar la titularidad del dominio forocete.com. Con fecha 29 de octubre de 2018 se ha remitido solicitud de información a la dirección de correo electrónico de contacto de la empresa registrador del dominio, no habiéndose obtenido respuesta. 2.
- En cuanto a VIMEO.COM, que es un portal que permite compartir videos, con fecha 5 de noviembre de 2018 se verifica que dicha red contiene un video publicado por un usuario del portal en el que la afectada aparece en una breve secuencia con la camiseta anteriormente reseñada. Dicho portal es titularidad de la empresa americana Vimeo, Inc., con sede en 555 West 18th Street, New York,
- Esta entidad dispone de una dirección de correo electrónico (***EMAIL.1) en la que los usuarios pueden dirigir sus reclamaciones en relación con publicaciones que les afecten, dirigiéndolas a la atención de “Data Protection Officer”. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. Corresponde, asimismo, a la Agencia Española de Protección de Datos ejercer los poderes de investigación regulados en el artículo 58.1 del mismo texto legal, entre los que figura la facultad de ordenar al responsable y al encargado del tratamiento que faciliten cualquier información que requiera para el desempeño de sus funciones. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. Del mismo modo, el ordenamiento jurídico interno también prevé la posibilidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 de abrir un período de información o actuaciones previas. En este sentido, el artículo 55 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, otorga esta facultad al órgano competente con el fin de conocer las circunstancias del caso concreto y la conveniencia o no de iniciar el procedimiento. III En el presente caso, se ha recibido en esta Agencia reclamación con motivo de un posible tratamiento ilícito de datos personales de la afectada derivado del mantenimiento y difusión en una serie de sitios de Internet de un video que contenía imágenes de la misma obtenidas en el año 2015, cuando ésta era menor de edad. Como fruto de las actuaciones de inspección practicadas por esta Agencia, consta que los responsables de dos de los sitios de Internet investigados han adoptado las medidas técnicas necesarias para impedir la difusión del video al que se refiere el reclamante. Así el responsable YOUTUBE.COM ha comunicado la eliminación de los enlaces reseñados en el requerimiento de información que le fue efectuado, ya que su contenido era contrario a las normas de privacidad de la red social. Por su parte, el responsable del sitio MERISTATION indica que ha eliminado del foro público todo el “hilo” relacionado con las imágenes en cuestión, procediendo también a solicitar a los principales motores de búsqueda que utilizan memoria caché (Google y Bing) el borrado de las dos direcciones pertenecientes al “hilo” creado en 2016 en las que se encontraban las imágenes analizadas y a publicar en el propio foro un aviso recordando a los usuarios registrados que no se pueden subir contenidos que vulneren derechos de terceras personal, amén de hacer hincapié en la protección de los menores de 18 años. Asimismo, se ha constatado que los comentarios publicados en MENEAME.NET no contienen datos personales, limitándose a recoger opiniones de los usuarios del portal sobre un hecho relatado en un determinado artículo periodístico. En cuanto al foro en español FOROCETE.COM, a fecha de hoy, sigue sin recibirse contestación a la solicitud de información efectuada con fecha 29 de octubre de 2018 a la dirección de correo electrónico de contacto de la empresa registradora del dominio forocete.com, radicada en Londres. Paralelamente, se ha comprobado que el portal de compartición de videos VIMEO.COM pertenece a una empresa radicada en Estados Unidos, que dispone de una dirección de correo electrónico para que los usuarios puedan dirigir sus reclamaciones en relación con las publicaciones que les afecten en la forma reseñada en hecho segundo, apartado 2.6 anterior. A la vista de todo lo cual, se considera que la finalidad perseguida con la reclamación de evitar la difusión del citado video en una serie de sitios de Internet, particularmente en la red social YOUTUBE.COM, se ha visto contestada satisfactoriamente por los responsables del tratamiento. De esta forma, al eliminar el acceso a los enlaces en cuestión se ha reducido el impacto negativo que en la privacidad y derechos de carácter personal de la afectada generaba el mantenimiento y reproducción viral de dichas imágenes, máxime teniendo en cuenta que concernían a una persona que en la fecha de su captación y grabación era menor de edad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:
- PROCEDER AL ARCHIVO de las presentes actuaciones.
- NOTIFICAR la presente resolución a Don A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es