1/6 Expediente N.º: EXP202103878 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Doña A.A.A. (en adelante, la parte reclamante), con fecha 22 de octubre de 2021, interpuso reclamación ante la Agencia Española de Protección de Datos. Los motivos en que basa la reclamación son los siguientes: La reclamante, madre de una menor de 16 años, manifiesta que han obtenido imágenes de Instagram y TikTok de los perfiles de su hija, las han manipulado (poniendo su cara en cuerpos desnudos) y las han subido a un sitio web pornográfico, concretamente a archivohot.com. Ha puesto los hechos en conocimiento de la policía, adjuntando la denuncia presentada ante la DGP y manifiesta haber solicitado la retirada del contenido al webmaster, sin éxito. Asimismo, aporta capturas de pantalla de la publicación de las imágenes de la menor en el sitio web citado. En la denuncia formulada ante la policía se detallan las direcciones web (URL) de acceso a los contenidos referidos: ***URL.1 y ***URL.2, comprobándose la publicación de fotos de una chica con el pecho desnudo. En el sitio web archivohot@protonmail.com. consta la siguiente dirección de contacto: SEGUNDO: Con fecha 28 de octubre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: La reclamante no presenta el escrito ejerciendo el derecho de supresión ni indica la fecha concreta en la que se practicó la comunicación, pero con fecha de 28 de octubre de 2021, seis días después de presentar la reclamación, se comprueba que el contenido reclamado ha sido eliminado del sitio web en cuestión. Solicitado a la Dirección General de la Policía información de si se ha abierto investigación relativa al atestado presentado en esta Agencia dirigida a esclarecer la autoría de los hechos, y si la denuncia ha dado lugar a la apertura de diligencias en algún juzgado, con fecha de 13 de diciembre de 2021 se recibe en esta Agencia, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 escrito remitido por el Gabinete Técnico de la Policía informando de que “a tenor de la redacción dada por el artículo 284.2 de la LECR, conforme redacción dada por Ley 41/2015, de 5 de octubre en el que se establece que “cuando no haya autor conocido la Policía Judicial conservará el atestado a disposición del Ministerio Fiscal y de la Autoridad Judicial, sin enviárselo”, tras la toma de la denuncia ***REFERENCIA.1, se consideró que inicialmente no había autor conocido, por lo que no se remitieron las actuaciones al Juzgado correspondiente.” Solicitada nuevamente información a la Dirección General de la Policía sobre el estado de la investigación y de si se ha podido determinar la autoría de la publicación, con fecha de 25 de mayo de 2022 se recibe en esta Agencia, escrito emitido por el delegado de protección de datos de esa Dirección informando de que se ha procedido a la apertura de las Diligencias Previas número ***REFERENCIA.2 por parte del Juzgado de Instrucción ***JUZGADO.1, por lo que esta Agencia debería dirigirse, en caso de estimarlo oportuno, a dicho Juzgado de Instrucción, al existir un procedimiento judicial abierto y encontrarse incluida la información requerida dentro del ejercicio de su función jurisdiccional. Solicitado al Juzgado de Instrucción ***JUZGADO.1 si durante las diligencias abiertas en ese juzgado se había podido esclarecer la autoría de las publicaciones, con fecha de 4 de julio de 2022 se recibe en esta Agencia oficio remitido por ese juzgado informando de que “el procedimiento iniciado por atestado policial ***REFERENCIA.3, actualmente se encuentra en ARCHIVO PROVISIONAL por no haber indicios suficientes y no existir motivos suficientes para atribuir la perpetración del delito a persona alguna determinada”. Examinado el sitio web en el que se indica que se publicaron las imágenes, solo se encuentra como medio de contacto la dirección de correo electrónico archivohot@protonmail.com. Con fecha de 14 de enero de 2022 se envió requerimiento de información a la mencionada dirección de correo electrónico solicitando las direcciones IP desde las que se subió el contenido reclamado. Con fecha de 16 de enero de 2022, se recibe correo electrónico de contestación manifestando que “Archivohot.com es una herramienta que permite archivar contenido e información pública de hispasexy.org y en si no guardamos ninguna información sobre nuestros usuarios, lo único que podemos hacer es eliminar el contenido si alguien así lo desea. Pueden escribir a los administradores de hispasexy a este correo info@hispasexy.org” Respecto a la posible publicación en el sitio web hispasexy.org, no se ha podido localizar el contenido reclamado en este sitio web por lo que no se ha podido solicitar información al responsable sobre las IP de publicación del contenido. Tampoco se han encontrado copias de estas imágenes realizando una búsqueda en Internet mediante el buscador de imágenes de Google de varias de las imágenes señaladas en la denuncia presentada ante la Policía. En cuanto al derecho de supresión ejercido por la reclamante ante el sitio web archivohot.com, dado que 6 días después de presentar la reclamación, y sin que se llegara a realizar ninguna actuación por esta inspección las imágenes habían sido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 eliminadas, se desprende que el derecho de la reclamante fue atendido por el responsable de este sitio web en tiempo y forma. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Derecho de supresión («el derecho al olvido») El artículo 17 del RGPD dispone lo siguiente: "1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
- a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
- b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
- c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
- d)los datos personales hayan sido tratados ilícitamente;
- e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
- f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
- a)para ejercer el derecho a la libertad de expresión e información;
- b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
- c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
- h)e i), y apartado 3;
- d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
- e)para la formulación, el ejercicio o la defensa de reclamaciones." En el supuesto presente, la parte reclamante no presenta el escrito ejerciendo el derecho de supresión ni indica la fecha concreta en la que se practicó la comunicación, pero, con fecha de 28 de octubre de 2021, seis días después de presentar la reclamación, se comprueba que el contenido reclamado ha sido eliminado del sitio web en cuestión; por lo que se considera atendido el ejercicio del derecho. III Tratamiento de datos personales La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. Al igual que el nombre y apellidos son datos personales que identifican a una persona física. El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El incluir imágenes, que identifican o hacen identificable a una persona, así como su nombre y apellidos, en vídeos o noticias publicados supone un tratamiento de datos personales y, por tanto, la persona que lo hace tiene que ampararse en alguna de las causas legitimadoras señaladas en el artículo 6 del RGPD. En estos supuestos, como en el caso objeto de reclamación, la causa legitimadora habitual suele ser el consentimiento, en general. Y es la persona que sube los datos personales y las imágenes a una red social que puede visualizarse sin limitación alguna la que debe demostrar que cuenta con ese consentimiento. Para que se pueda llevar a cabo lícitamente ese tratamiento tiene que cumplirse lo establecido en el artículo 6.1 del RGPD, que indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.”. En el supuesto presente, con la finalidad de verificar la autoría de la persona que trató los datos de la menor sin ninguna causa legitimadora para ello, se envió requerimiento de información a la dirección de correo electrónico del sitio denunciado solicitando las direcciones IP desde las que se subió el contenido reclamado. Se recibió correo de contestación manifestando que no guardan información de los usuarios, pudiendo eliminar el contenido En cuanto al sitio web hispasexy.org, no se ha podido localizar el contenido reclamado en este sitio web por lo que no se ha podido solicitar información al responsable sobre las IP de publicación del contenido. Tampoco se han encontrado copias de estas imágenes realizando una búsqueda en Internet mediante el buscador de imágenes de Google de varias de las imágenes señaladas en la denuncia presentada ante la Policía, cuya denuncia ha resultado archivada al no poder identificar al autor del tratamiento de la imagen de la menor origen de esta reclamación. . IV Conclusión Se ha conseguido eliminar las imágenes indicadas en la reclamación, pero no se ha podido identificar al autor del tratamiento de esas imágenes. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a Doña A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es