1/7 Expediente N.º: EXP202100646 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes; HECHOS PRIMERO: Con fecha 23 de junio de 2021 se recibió una denuncia ante la Agencia Española de Protección de Datos. En la misma se indica, en síntesis, lo siguiente: Que los datos de la víctima de la (...) son accesibles desde Google. Al introducir en Google "víctima de la manada", el buscador autocompleta la frase con el nombre y apellidos de la víctima, sucediendo lo mismo a la inversa cuando se busca por el nombre de esta. En las búsquedas relacionadas aparece también el nombre de la víctima. Al incorporar los datos identificativos en Google Imágenes aparecen numerosas fotografías en las que se la vincula con el caso de la manada. El 22 de marzo de 2021, el denunciante indica que comunicó los hechos a Google y la entidad no ha realizado actuación alguna para retirar el contenido. Señala también, que los datos han sido cedidos a la base de datos de reclamaciones ***URL.1. Documentación relevante aportada por la parte denunciante: - Los resultados de las búsquedas realizadas y el correo electrónico remitido por Google para comunicar que analizaran la supresión planteada por el denunciante en relación con los contenidos difundidos. SEGUNDO: Con fecha 20 de julio de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por el denunciante. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 En la documentación aportada en la denuncia, no hay constancia de que el denunciante actúe por encargo o en nombre de la víctima de la (…). Dada la sensibilidad de los hechos denunciados, la inspección realizó una búsqueda general y en redes sociales en la que se obtuvo, además de los resultados denunciados, los siguientes: Varios resultados en la red social TWITTER. Localización de una fotografía de la víctima figurando su nombre y apellidos sobre impreso en la imagen en el perfil de la Cervecería ***CERVECERÍA.1 de la red social FACEBOOK Un artículo en el diario digital chileno “***DIARIO.1” Un artículo en el área de prensa del sitio web de la Universidad ***UNIVERSIDAD.1. 1. Realizado requerimiento de retirada dirigido a la red social TWITTER SPAIN, S.L. de los tuits que identificaban a la víctima y la asociaban con la (…), con fecha de 11 de enero de 2022 se recibe en esta Agencia escrito remitido por TWITTER INTERNATIONAL COMPANY informando que no eliminaría los tuits manifestando textualmente: “Con respecto a los Tweets en cuestión, los Tweets parecen discutir la violencia perpetrada contra las mujeres y más específicamente contra A.A.A.. Como tal, Twitter cree que los Tweets se alinean con la misión de Twitter de servir a la conversación pública, compartir información al instante y sin barreras. Esto incluye compartir información que pueda ser de interés público. Cuando las personas comparten información de interés público en Twitter, el público en general se beneficia, ya que les ofrece acceso a información que puede ser difícil de obtener o aprender. También permite la discusión pública entorno a los temas y cuestiones de interés público que es la violencia contra la mujer. Después de la revisión, Twitter determinó que el contenido no viola los Términos de servicio de Twitter, la Política de privacidad de Twitter ni las Reglas de Twitter, y no se eliminará de la plataforma.” 2. Se solicita hasta en 5 ocasiones a GOOGLE SPAIN, S.L., representante local de GOOGLE LLC, que el nombre de la víctima fuera desvinculado de la (...) en su mecanismo de autocompletar al introducir los términos a buscar, que se eliminaran las sugerencias con esta asociación en el apartado “Búsquedas relacionadas” tanto en la búsqueda general como en la sección imágenes, que bloqueara resultados que vinculara a la víctima con la (...) al introducir los términos de búsqueda “A.A.A.”, “A.A.A.”, “A.A.A.” + “XXXXXXXXX” y “A.A.A.” + “XXXXXXXXX”, y que bloqueara las imágenes de la víctima de la sección imágenes al introducir estos criterios de búsqueda. En los consiguientes escritos de contestación a los requerimientos remitidos a esta Agencia con fechas de 6 de agosto de 2021, 4 de octubre de 2021, 20 de diciembre de 2021 y 27 de febrero de 2022, Google manifiesta que han sido llevas a cabo todas las acciones solicitadas en los requerimientos. Se comprueba por el inspector que no se obtienen los resultados denunciados resultando bloqueados por el motor de búsqueda. No obstante, aparece algún resultado del tuit publicado en la red social TWITTER ya que al no eliminarse el tuit pueden aparecer resultados referidos a esta plataforma en otros idiomas, replicas que tienen URL diferente o re-tuits. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 3. Realizado requerimiento de retirada urgente dirigido a la red social FACEBOOK IRELAND LIMITED, con fecha de 21 de diciembre de 2021, se recibe en esta Agencia escrito remitido por esta entidad informando de que el contenido requerido había sido eliminado. Con anterioridad a la recepción de este escrito, con fecha de 17 de diciembre de 2021 se comprueba la retirada del perfil en donde se exponía la identidad de la víctima. 4. Realizado requerimiento a EDICIONES Y PUBLICACIONES EL BUEN AIRE, S.A., para que retirara el artículo publicado en el digital “***URL.2” en el que se identificaba a la víctima de la (…), o este fuera anonimizado de forma que no pudiera identificarse a la víctima de forma directa o indirecta, con fecha de 28 de marzo de 2022 se comprueba que ya no figura la identificación de la víctima en este artículo. 5. Realizado requerimiento a la UNIVERSIDAD ***UNIVERSIDAD.1, mediante correo electrónico y notificación certificada postal, para que retirara el artículo publicado en el área de prensa del sitio web de esta Universidad en el que se identificaba a la víctima de la (…), o este fuera anonimizado de forma que no pudiera identificarse a la víctima de forma directa o indirecta, con fecha de 31 de marzo de 2022 se recibe en el buzón de correo electrónico del inspector correo remitido por esta entidad informando de que el contenido ha sido anonimizado. Con fecha de 31 de marzo de 2022 se comprueba que el artículo en cuestión ha sido anonimizado impidiendo su identificación de forma directa o indirectamente, refiriéndose a la víctima como “una joven española”. 6. Finalmente, respecto a la cesión de datos a la base de datos “***URL.3” (Berkman Klein Center – Harvard University) mencionada en la denuncia, se realiza una búsqueda con los patrones “A.A.A.”, “A.A.A.” y “A.A.A.” en esta base de datos sin encontrar ningún resultado. 7. Solicitado nuevamente a TWITTER INTERNATIONAL COMPANY la retirada de los tuits en los que se identificaba a la víctima de la (...)con nombre y apellidos, con fecha de 3 de junio de 2022 se comprueba que los referidos tuits han sido eliminados. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Derecho de supresión («el derecho al olvido») El artículo 17 del RGPD dispone lo siguiente: "1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
- a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
- b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
- c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
- d)los datos personales hayan sido tratados ilícitamente;
- e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
- f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
- a)para ejercer el derecho a la libertad de expresión e información;
- b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
- c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
- h)e i), y apartado 3;
- d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
- e)para la formulación, el ejercicio o la defensa de reclamaciones." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 En el supuesto presente, la persona afectada cuyos datos aparecían en distintas redes sociales no había solicitado el derecho de supresión de sus datos. III Tratamiento de datos personales La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. Al igual que el nombre y apellidos son datos personales que identifican a una persona física. El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El incluir imágenes, que identifican o hacen identificable a una persona, así como su nombre y apellidos, en vídeos o noticias publicados supone un tratamiento de datos personales y, por tanto, la persona que lo hace tiene que ampararse en alguna de las causas legitimadoras señaladas en el artículo 6 del RGPD. En estos supuestos, como en el caso objeto de reclamación, la causa legitimadora habitual suele ser el consentimiento, en general. Y es la persona que sube los datos personales y las imágenes a una red social que puede visualizarse sin limitación alguna la que debe demostrar que cuenta con ese consentimiento. Para que se pueda llevar a cabo lícitamente ese tratamiento tiene que cumplirse lo establecido en el artículo 6.1 del RGPD, que indica: <<1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.>>. En el supuesto presente, la Agencia Española de Protección de Datos ha tenido conocimiento de que los datos personales de la víctima de la (...)eran accesibles desde Google, habiendo solicitado el denunciante a dicha compañía la supresión de los mismos, sin haberlo conseguido. La Agencia Española de Protección de Datos realizó una búsqueda exhaustiva de todos los datos referidos a la víctima de la (...) solicitando la supresión de los mismos; constatándose durante las actuaciones de investigación que las imágenes y noticias referidas a la víctima habían sido retirados. IV Conclusión Se ha conseguido bloquear en el motor de búsqueda de GOOGLE los resultados indicados en la denuncia. Se ha conseguido eliminar la imagen con nombre y apellidos de la víctima del perfil de la red social FACEBOOK. Los artículos publicados en el diario digital “***URL.2” y en el área de prensa de la Universidad ***UNIVERSIDAD.1 “***URL.4” han anonimizado los datos personales solicitados impidiendo la identificación de la víctima. Se han eliminado los dos tuits encontrados en la red social TWITTER. Respecto a la posible cesión de datos a la base de datos ***URL.3, no se han encontrado evidencias suficientes de ese tratamiento. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a B.B.B.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es