E-09001-2020

1/4  Procedimiento Nº: E/09001/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: La reclamación interpuesta por Doña A.A.A. (en adelante, el reclamante) tiene entrada con fecha 14 de octubre de 2020 en la Agencia Española de Protección de Datos. Posteriormente, en fecha 21 de octubre de 2020, se recibe nuevo escrito de reclamación en el que se incluyen los hechos expuestos. La reclamación la dirige el reclamante contra Doña B.B.B. (en adelante, el reclamado). Los motivos en que basa la reclamación son, en síntesis, los siguientes: En el sitio web de contenido pornográfico pornhub, aparece un vídeo privado del reclamante de contenido sexual donde se reconoce explícitamente su rostro; ha solicitado la retirada al sitio web sin éxito. No especifica el enlace donde está publicado este vídeo, pero indica que se puede encontrar buscando en el sitio web "(...)". Señala como presunto responsable el interviniente que aparece como reclamado. SEGUNDO: Con fecha 6 de noviembre de 2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ~ El reclamante señala como responsable de los hechos a la persona que aparece como reclamada, pero no aporta indicio ni evidencia que corrobore que esta persona es la autora de los hechos reclamados. ~ Solicitado por correo electrónico, en fecha 20 de noviembre de 2020, al sitio web de videos de contenido sexual “pornhub.com” (Chipre) la retirada del video reclamado y los datos que hubiera en sus sistemas del titular del perfil donde aparecía el video, el mismo día 20 de noviembre de 2020 se recibe un correo electrónico, remitido por el departamento de soporte, informando de que el video había sido eliminado y facilitando las direcciones IP de sesión del usuario correspondiente al titular del perfil desde el día 17 de septiembre al día 5 de octubre de 2020. ~ Como se aprecia en el correo recibido, la dirección IP empleada procede de Finlandia. No obstante, se realiza una consulta en el sitio web de “RIPE Network Coordination Centre”, entidad encargada de la coordinación de rangos IP para la zona de Europa, sobre la localización de estas direcciones IP confirmando el origen. En esta consulta, también se obtiene que la entidad que opera esta dirección IP es DNA Oyj. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 ~ Realizado requerimiento de información sobre el titular de la asignación de la dirección IP informada por la plataforma “pornhub.com” a la operadora DNA Oyj, y aunque se tiene constancia de su entrega el 17 de marzo de 2021 no se ha recibido respuesta en esta Agencia. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), reconoce a cada Autoridad de Control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El incluir imágenes, que identifican o hacen identificable a una persona, en sitios web supone un tratamiento de datos personales y, por tanto, la persona que lo hace tiene que ampararse en alguna de las causas legitimadoras señaladas en el artículo 6 del RGPD. En estos supuestos, como en el caso objeto de reclamación, la única causa legitimadora suele ser el consentimiento, en general. Y es la persona que graba y/o sube las imágenes a un sitio web la que debe demostrar que cuenta con ese consentimiento. Para que se pueda llevar a cabo lícitamente ese tratamiento tiene que cumplirse lo establecido en el artículo 6.1 del RGPD, que indica: <<1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4

1. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
2. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
3. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
4. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
5. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
6. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
7. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.>>. III En la reclamación presentada, el reclamante señala que en el sitio web de contenido pornográfico pornhub, aparece un vídeo privado del reclamante de contenido sexual donde se reconoce explícitamente su rostro; que ha solicitado la retirada al sitio web sin éxito. Solicitaba la retirada del vídeo e identificaba, presuntamente, a la persona que lo había hecho. Tras desaparecer el vídeo y para poder identificar al autor del mismo y que incluyó las imágenes del reclamante, se realizaron las actuaciones de previas de investigación, conforme establece el artículo 67 de la LOPDGDD, y que determina lo siguiente: <<1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.>> Tras efectuar las investigaciones reseñadas en los Hechos, no se ha podido identificar al usuario responsable de la inclusión del vídeo en el sitio web donde se incluyó, como se describe en los hechos de esta resolución. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
8. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es