E-03680-2020

1/5  Procedimiento Nº: E/03680/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por Don A.A.A. (en adelante, el reclamante) tiene entrada, con fecha 20 de octubre de 2018, en la Agencia Española de Protección de Datos. Por los siguientes hechos según manifestaciones del denunciante: Publicación sin consentimiento de fotografías y videos de contenido sexual en las páginas de los sitios web: ***URL.1, ***URL.2, ***URL.3, ***URL.4, ***URL.5, ***URL.6, ***URL.7. Según la denuncia presentada en la Dirección General de Policía de la Generalitat de Catalunya, el reclamante consintió en la difusión a través de internet mientras mantenía estas relaciones sexuales pero no en su grabación y posterior publicación. En la actualidad, le resulta imposible ejercer su derecho de supresión. Con fecha de 7 de noviembre de 2018 se acuerda admitir a trámite la reclamación presentada por el reclamante. Con fecha de 7 de octubre de 2019, se acuerda el archivo de las investigaciones al no haber sido posible identificar al autor de los hechos reclamados. Pese a que se realizaron solicitudes de eliminación del contenido señalado en la reclamación a todos los sitios web donde se publicaban, solo se consiguió la retirada en algunos de ellos. El reclamante presentó recurso de reposición en el que aportaba nuevos datos sobre el posible autor de los hechos: Señala como autor de los hechos a la persona con la que tuvo relaciones sexuales y que trabajó como enfermero en el Hospital Clínico y Provincial de ***LOCALIDAD.1. Añade que actualmente se ha mudado a la calle ***DIRECCIÓN.1 de Madrid e informa de los perfiles de las redes sociales FACEBOOK y LINKEDIN y su dirección de correo. Se adjunta a este escrito, la siguiente documentación:   Impresión de pantalla de los perfiles del presunto autor de los hechos de FACEBOOK Y LINKEDIN Ampliación de la denuncia presentada en la comisaría de los Mossos de Escuadra con estos nuevos datos. Con fecha de 2 de junio de 2020 se resuelve estimar el recurso de reposición interpuesto por el reclamante contra la Resolución de esta Agencia dictada en fecha 07 de octubre de 2019 y donde se acordó el archivo en el procedimiento nº E/08800/2018. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos:  Realizada nueva investigación en los perfiles de las redes sociales señaladas por el reclamante en su recurso de reposición se encuentra que el investigado es el director ejecutivo (CEO) de XXXXXXXX, con domicilio en C/ ***DIRECCIÓN.2 Madrid. No se encuentra ninguna información de esta empresa en el Registro Mercantil Central ni en las bases de datos de AXESOR, pero se comprueba que dispone de sitio web en el que, en su política de privacidad, se identifica como responsable del tratamiento de datos al investigado especificando el nombre y apellidos y NIF de la persona que identifica como posible autor el reclamante.  Realizado requerimiento de información sobre la identidad del investigado, con el que mantuvo las relaciones sexuales publicadas en los sitios reclamados al Hospital Clínico y Provincial de ***LOCALIDAD.1, con fecha de 1 de julio de 2020 se recibe en esta Agencia, respuesta al requerimiento informando de los datos que tienen en sus sistemas referentes al DNI indicado en el requerimiento, resultando que los datos de que disponen correspondientes a este DNI, son nombre y apellidos diferentes del investigado, por lo que los datos de contacto no resultan coherentes.  Realizado requerimiento al investigado, cuyo nombre y dirección facilitó el reclamante, con fecha de 10 de julio de 2020 con objeto de que presentara en esta Agencia el consentimiento del reclamante para que sus relaciones fueran grabadas y publicadas en sitios web de internet e instándole a que eliminara los videos reclamados de las diferentes plataformas, a fecha de este informe no se ha obtenido respuesta del investigado.  Con fecha de 23 de octubre de 2020 se comprueba que de los 48 videos y fotografías señalados en la reclamación solamente quedan activos 4 videos y una previsualización en las siguientes URLs: ***URL.8 (solo mosaico de previsualización) ***URL.6 ***URL.5  No existiendo otros medios para notificar a estos sitios web la reclamación presentada en esta Agencia por el reclamante, con fecha de 30 de octubre de 2020 se envían por correo electrónico a los tres sitios mencionados en el punto anterior, y en el caso de upstore.net también a través de un formulario web, traslado de la solicitud del reclamante de eliminación del contenido reclamado.  Con fecha de 16 de noviembre se comprueba que el contenido del sitio ***URL.5 ha sido eliminado de sus sistemas mientras que en los sitios ***URL.8 y ***URL.6 el contenido sigue estando disponible sin que se pueda llevar a cabo ninguna acción complementaria desde esta subdirección para su eliminación.  Se comprueba que, realizando una búsqueda en internet por el nombre y apellido, y por el primer y segundo apellido del reclamante no aparece ninguno de los sitios donde aún permanece el contenido sin eliminar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), reconoce a cada Autoridad de Control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que: «Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.» II La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El incluir imágenes, que identifican o hacen identificable a una persona, en sitios web supone un tratamiento de datos personales y, por tanto, la persona que lo hace tiene que ampararse en alguna de las causas legitimadoras señaladas en el artículo 6 del RGPD. En estos supuestos, como en el caso objeto de reclamación, la única causa legitimadora suele ser el consentimiento, en general. Y es la persona que graba y/o sube las imágenes a un sitio web la que debe demostrar que cuenta con ese consentimiento. Para que se pueda llevar a cabo lícitamente ese tratamiento tiene que cumplirse lo establecido en el artículo 6.1 del RGPD, que indica: <<1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

1. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
2. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5
3. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
4. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
5. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
6. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
7. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.>>. III En el recurso presentado por el reclamante identifica con el nombre y apellidos a una persona, añadiendo que es enfermero en el Hospital Clínico y Provincial de ***LOCALIDAD.1, como posible autor de las publicaciones que han sido objeto de reclamación. Para poder identificar correctamente a la persona presuntamente responsable de esta publicación, se solicitó a la Agencia Estatal de Administración Tributaria su DNI. Tras ser indicado el número de DNI, el Inspector de Datos responsable de las actuaciones, se dirigió al Hospital Clínico y Provincial para que facilitase a la Agencia los datos del enfermero contratado al que correspondía ese DNI; el centro hospitalario respondió facilitando los datos de un enfermero que estuvo contratado y vinculado al DNI que había facilitado la Agencia Tributaria, constatando que no tenía el mismo nombre y apellidos que los facilitados por el reclamante. Asimismo, el Inspector se dirigió al titular de los datos personales facilitados por el reclamante, solicitando información sobre los hechos reclamados, no habiendo recibido contestación. Se realizaron las actuaciones de previas de investigación, conforme establece el artículo 67 de la LOPDGDD, tanto para la retirada de las imágenes solicitada, como para la identificación del responsable, que determina lo siguiente: <<1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.>> Tras efectuar las investigaciones reseñadas en los Hechos, no se ha podido identificar adecuadamente al usuario responsable de la inclusión de las imágenes, como se describe en los hechos de esta resolución, ya que no coinciden los datos facilitados por el reclamante con los que facilitó el Hospital Clínico de ***LOCALIDAD.1. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
8. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es