E-08948-2019

1/6  Procedimiento Nº: E/08948/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por el padre de Doña A.A.A. (en adelante, el reclamante) tiene entrada con fecha 25 de septiembre de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra el sitio web “vandal.elespanol.com”, por los siguientes hechos según manifestaciones del denunciante: El padre, en representación de la denunciante, reclama por la aparición del nombre y apellidos de su hija menor en el foro de internet ***URL.1. Con fecha de 10 de octubre de 2019, se recibe en esta Agencia nueva reclamación procedente del reclamante informando que se ha encontrado un video de su hija en la dirección ***URL.2 publicado sin su consentimiento. Con fechas de 2 de enero y 6 de marzo de 2020, se reciben en esta Agencia nuevos escritos del representante de la reclamante manifestando la existencia de un perfil de Instagram correspondiente a su hija y solicitando asesoramiento sobre como eliminarlo. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos:  Realizado requerimiento de retirada urgente de la identificación de la reclamante al responsable del sitio web “vandal.elespanol.com”, el 30 de septiembre se comprueba que el foro donde había sido revelada la identidad de la reclamada ha sido eliminado, por lo que sus datos ya no son accesibles. Con fecha de 8 de octubre de 2019 se notifica este hecho al representante de la reclamada. Hay que señalar que la entrada, en el foro denunciado en la que se señala la identidad de la reclamada, se produjo el 8 de agosto de 2016.  Realizado requerimiento al responsable del sitio web “vandal.elespanol.com” para que informara de los datos de que dispusiera en sus sistemas del usuario “blackwing”, quien reveló la identidad de la reclamada, con fecha de 3 de octubre de 2019 se recibe en esta Agencia contestación al requerimiento informando de las direcciones IP de conexión de este usuario desde el año 2012 hasta el 6 de septiembre de 2019. Realizado requerimiento a la compañía de telecomunicaciones proveedora de la dirección IP empleada por el usuario “blackwing”, con fecha de 7 de noviembre de 2019 se recibe en esta Agencia la siguiente información remitida por la operadora de telecomunicaciones:  C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 o o o  Titular: B.B.B. NIE: ***NIF.1 Domicilio: ***DIRECCION.1 Realizados dos requerimientos de información, mediante correo certificado, con fechas de 22 de noviembre de 2019 y 8 de enero de 2020 a la titular de la dirección IP de conexión del usuario “blackwing”: B.B.B., la notificación ha resultado infructuosa, siendo devueltas con la leyenda “Ausente en reparto”, por lo que no ha sido posible averiguar la identidad de este usuario. En el marco de las actuaciones de investigación iniciadas como consecuencia de la reclamación referida a la publicación de un vídeo en YouTube, se obtuvieron las siguientes fuentes adicionales a la denunciada: Sitios web de vídeos de carácter general o ***URL.1 o ***URL.2 o ***URL.3 o ***URL.4 o ***URL.5 o ***URL.6 o ***URL.7 o ***URL.8 o ***URL.9 o ***URL.10 o ***URL.11 o ***URL.12 Sitios web de contenido erótico o ***URL.1 C/ Jorge Juan, 6 28001 – Madrid o ***URL.2 o ***URL.3 o ***URL.4 o ***URL.5 o ***URL.6 o ***URL.7 o ***URL.8 o ***URL.9 o ***URL.10 o ***URL.11 o ***URL.12 o ***URL.13 o ***URL.14 o ***URL.15 www.aepd.es sedeagpd.gob.es 3/6 o ***URL.16 o ***URL.17 o ***URL.18 o ***URL.19 o ***URL.20 o ***URL.21 Con objeto de eliminar los 33 vídeos encontrados, durante el periodo comprendido entre el 10 de octubre de 2019 y el 24 de marzo de 2020, se dictaron las correspondientes órdenes de retirada urgente. Con fecha de 1 de septiembre de 2020, se remitió, nuevo requerimiento a los responsables de Dailymotion para que eliminasen totalmente el vídeo donde aparece la reclamante. Con fecha de 2 de septiembre de 2020 se recibe correo de respuesta indicando que el vídeo ha sido eliminado. Se ha comprobado que el video ha sido eliminado. Con respecto a la solicitud de asesoramiento presentada por el representante de la reclamante con fechas de 2 de enero de 2020 y 6 de marzo de 2020 se remitieron respuestas con fechas de 13 de febrero de 2020 y 25 de marzo de 2020 indicando que debía dirigirse a la dirección https://www.instagram.com/accounts/remove/request/permanent/, que contiene un proceso guiado para la eliminación de la cuenta de Instagram. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II La reclamación presentada por el reclamante se concreta en la difusión de un video en el que aparece su hija, cuando era menor de edad, y de sus datos en dos direcciones web. La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El incluir imágenes, que identifican o hacen identificable a una persona, en las redes sociales, en páginas web, etc… supone un tratamiento de datos personales y, por tanto, la persona que lo hace tiene que ampararse en alguna de las causas legitimadoras señaladas en el artículo 6 del RGPD. En estos supuestos, como en el caso objeto de reclamación, la única causa legitimadora suele ser el consentimiento, en general. Y es la persona que incluye las fotos, vídeos, imágenes… la que debe demostrar que cuenta con ese consentimiento. Para que se pueda llevar a cabo lícitamente ese tratamiento tiene que cumplirse lo establecido en el artículo 6.1 del RGPD, que indica: <<1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

1. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
2. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
3. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
4. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
5. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
6. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
7. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.>>. La Agencia Española de Protección de Datos, durante las actuaciones previas de investigación, lo primero que ha querido conseguir es que desapareciesen las imágenes objeto de reclamación, no solo de las direcciones objeto de reclamación, sino de las que se encontraron por la propia Agencia. En los Hechos de esta resolución, se refieren los sitios web donde se encontró el vídeo. Del resultado de las mismas se constata que tanto el contenido denunciado como el contenido encontrado en la actuación de oficio de esta Agencia ha sido eliminado de Internet. III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 En segundo lugar, durante las actuaciones previas de investigación se ha tratado de determinar los responsables de subir las imágenes para iniciar actuaciones sancionadoras. El artículo 67 de la LOPDGDD establece en su apartado 1, párrafo primero lo siguiente: “1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento”. La realización de las actuaciones previas iba dirigida a verificar a los autores de la difusión de los vídeos objeto investigación, sin que se haya podido acreditar su autoría. Lo anteriormente expuesto, ha de conectarse con la vigencia en nuestro Derecho Administrativo sancionador del principio de presunción de inocencia reconocido en el artículo 24.2 de la Constitución Española, de modo que el ejercicio de la potestad sancionadora del Estado, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. El principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. El Tribunal Constitucional (SSTC 131/2003 y 242/2005, por todas) se ha pronunciado en ese sentido al indicar que una de las exigencias inherentes al derecho a la presunción de inocencia es que la sanción esté fundada en actos o medios probatorios de cargo o incriminadores de la conducta imputada y que recae sobre la Administración pública actuante la carga probatoria de la comisión del ilícito administrativo y de la participación en él del denunciado. Por su parte, el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público establece como uno de los principios de la potestad sancionadora el de la “Responsabilidad”, determinando al respecto que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Igualmente, se debe tener en cuenta lo que establece el artículo 53.2 la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, establece que: “Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables, tendrán los siguientes derechos: (…)
8. b)A C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. Con arreglo a lo previsto en los preceptos anteriormente citados, procede acordar el archivo de estas actuaciones de investigación. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
9. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es