E-10374-2019

1/4  Procedimiento Nº: E/10374/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por una persona autorizada, en nombre de la menor A.A.A. tiene entrada con fecha 25 de octubre de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra Plataforma web de Imágenes Image Database IMGBB.COM. Los motivos en que basa la reclamación son que alguien (sospechan que ha podido ser la ex pareja de la menor) ha subido fotos íntimas, a la plataforma señalada. Son tres imágenes y solicita que se retiren. Aunque lo denunció a la Policía Nacional hace un año, las fotos siguen en la plataforma. Junto a la reclamación aportan los enlaces a las tres imágenes. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos:  El sitio web no identifica al responsable ni facilita canales de contacto más allá de un formulario de contacto que, por la información que consta en distintos foros de internet, no parece funcionar.  La consulta a WHOIS señala como contacto del registrante un apartado de correos en ***PAÍS.1. El inspector responsable de las investigaciones, en precedentes anteriores se ha dirigido al registrador indicado, sin obtener en ningún caso datos personales de sus clientes localizados fuera de la UE. Esta compañía no está adscrita a Privacy Shield y el titular en este caso ha declarado como domicilio ***PAÍS.1.  La entidad registradora es NAMECHEAP, empresa norteamericana con sede en ***CIUDAD.1.  Al no disponer de una dirección postal del titular del sitio web, el inspector responsable, al tratarse de imágenes de una menor, solicitó directamente la eliminación del contenido a la dirección facilitada por el registrador “namecheap.com” para el dominio “imgbb.com”.  Con fecha de 29 de octubre de 2019 se envió correo electrónico solicitando eliminar y desindexar las imágenes correspondientes a los enlaces proporcionados en la reclamación, a la dirección electrónica “***EMAIL.1”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4  Adicionalmente, con el fin de explotar todas las vías posibles, se envió dicho requerimiento a través del formulario de contacto del sitio web.  El 30 de octubre de 2019 el inspector recibe en su buzón contestación del titular indicando que las imágenes habían sido retiradas.  El sitio web no necesita registro alguno para poder subir imágenes, por lo que en su “Private Policy” especifica claramente que no almacena ningún registro de usuario (dirección de correo).  Además, las imágenes fueron subidas hace (más

1. de)un año por lo que no será posible obtener la información sobre la titularidad de la IP desde la que se insertaron las fotografías en la web en cuestión (datos de tráfico). FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Por tanto, incluir fotografías en una plataforma, sitio web, foros… supone un tratamiento de datos personales. Para que se pueda llevar a cabo lícitamente ese tratamiento tiene que cumplirse lo establecido en el artículo 6.1 del RGPD, que indica: <<1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
2. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
3. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4
4. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
5. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
6. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
7. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
8. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.>> El incluir imágenes, que identifican o hacen identificable a una persona, en las redes sociales, en páginas web, etc… supone un tratamiento de datos personales y, por tanto, la persona que lo hace tiene que ampararse en alguna de las legitimaciones señaladas en el artículo 6 del RGPD. En estos supuestos, como el denunciado, la única causa legitimadora es el consentimiento, en general. Y es la persona que incluye la foto la que debe demostrar que cuenta con ese consentimiento. III La Agencia Española de Protección de Datos, durante las actuaciones previas de investigación, trata de determinar quién es la persona que ha subido las imágenes para iniciar actuaciones sancionadoras. En el supuesto presente, el inspector responsable de las investigaciones ha encontrado varias dificultades. La primera es que el sitio web no identifica al responsable ni facilita canales de contacto, más allá de un formulario de contacto que, por la información que consta en distintos foros de internet, no parece funcionar. El paso siguiente es buscar al registrante del dominio, que, en este caso, la consulta a WHOIS señala como contacto del registrante un apartado de correos en Panamá. En precedentes anteriores, la Agencia se ha dirigido al registrador indicado, sin obtener en ningún caso datos personales de sus clientes localizados fuera de la UE. Esta compañía no está adscrita a Privacy Shield y el titular en este caso ha declarado como domicilio ***PAÍS.1. Por otro lado, las imágenes denunciadas fueron subidas hace (más
9. de)un año, por lo que no será posible obtener la información sobre la titularidad de la IP desde la que se insertaron las fotografías en la web en cuestión (datos de tráfico). La Agencia Española de Protección de Datos ha conseguido que desaparezcan las imágenes objeto de reclamación, pero no ha podido obtener datos de la persona que las difundió. Esta situación se produce con alguna frecuencia, debido a las dificultades que encontramos para investigar cuando la plataforma está fuera del territorio de la Unión Europea y no ha nombrado un representante en la misma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 No obstante, si la Policía Nacional o el Juzgado identificase a la persona que difundió las imágenes, pueden comunicarlo a esta Agencia para continuar las actuaciones sancionadoras, si fuese posible. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
10. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es