1/9 Expediente N.º: EXP202506010 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 18 de octubre de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a A.A.A. con NIF ***NIF.1 (en adelante, la parte reclamada). Los hechos que se pusieron en conocimiento de esta autoridad fueron los siguientes: La reclamante manifiesta ser la madre de una chica menor de edad que recibió el 18 de octubre de 2023 una captura de pantalla de un amigo para advertirle que ese mismo día A.A.A. (***TELÉFONO.1), estaba difundiendo una fotografía de ella manipulada artificialmente para que pareciera desnuda. Afirma que la fotografía original la había obtenido de una historia del perfil de su hija que tenía publicada en la red social Instagram. Junto al escrito, se aporta: - Copia de captura de pantalla de un mensaje de un chat en el que puede verse la menor en cuestión con su imagen con falso desnudo. - Copia del vídeo de la historia de la hija menor publicada en Instagram de la que tomaron la imagen que posteriormente fue manipulada. SEGUNDO: Con fecha 25 de octubre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/9 1. Analizada la documentación presentada en la reclamación, desde esta Agencia se requirió a la reclamante que (
- i)especificara en detalle dónde había sido difundida la imagen de su hija: sitio web, aplicaciones de mensajería (indicando si se ha realizado en un grupo), foros de internet, redes sociales (indicando perfiles), etc. y (
- ii)especificara cómo se había llegado a determinar la responsabilidad de los reclamados señalados en la reclamación, aportando copia de las posibles evidencias. Con fecha de 13 de noviembre de 2023 se recibió en esta Agencia un escrito remitido por la reclamante incluyendo la misma captura de pantalla del mensaje de WhatsApp ya presentada en la reclamación y sin aportar ningún dato adicional a lo ya manifestado por esta parte en su reclamación. 2. Desde esta Agencia se ha requerido a la entidad XFERA MÓVILES, S.A.U., operadora del número de teléfono ***TELÉFONO.1 (señalado en la reclamación como perteneciente a uno de los reclamados) que informara de los datos de su titular y domicilio de este. Con fecha de 28 de febrero de 2024 se recibió en esta Agencia escrito de contestación informando de que el titular de este número de teléfono es B.B.B.. 3. Realizado requerimiento a B.B.B. acerca del usuario de ese número de teléfono y la posible difusión y/o conservación de las imágenes señaladas en la reclamación, con fecha de 25 de marzo de 2024 se recibió en esta Agencia escrito de contestación al requerimiento informando de que el usuario de este número de teléfono es la parte reclamada que resulta ser su hijo de 13 años de edad. Añade que la imagen no fue publicada en ninguna red social ni se encuentra en la nube. 4. Realizada una búsqueda en internet el 28 de mayo de 2024 de la imagen señalada en la reclamación, no se encuentra ningún resultado. CUARTO: Con fecha 16 de abril de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogida en fecha 24/04/2025 como consta en el acuse de recibo que obra en el expediente. SEXTO: Una vez transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/9 HECHOS PROBADOS PRIMERO: El 18 de octubre de 2023 la hija de la reclamante recibió una captura de pantalla de un amigo para advertirle que ese mismo día la parte reclamada, estaba difundiendo una fotografía de ella manipulada artificialmente para que pareciera desnuda, a través de un mensaje de whatsapp desde la línea de telefonía móvil número ***TELÉFONO.1. La fotografía original se había obtenido de una historia del perfil de la hija de la reclamante, que tenía publicada en la red social Instagram. SEGUNDO: La titular del número de teléfono ***TELÉFONO.1 (señalado en la reclamación como perteneciente a la parte reclamada) era B.B.B.. TERCERO: El usuario del número de teléfono ***TELÉFONO.1 era la parte reclamada, que resultó ser el hijo, de 13 años de edad, de B.B.B.. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/9 un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. Según ha quedado descritos en los antecedentes, la parte reclamada difundió una fotografía de la hija de la reclamante, menor de edad, manipulada artificialmente para que pareciera desnuda, a través de una aplicación de mensajería. Atendiendo a lo anterior, la parte reclamada realizó esta actividad en su condición de responsable del tratamiento, dado que era quien determinaba los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. IV Obligación incumplida. Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- a)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- b)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/9
- d)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- e)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " El artículo 6.1 del RGPD determina, por lo tanto, los supuestos en los que la normativa permite realizar el tratamiento de datos personales de un tercero, que se denominan “bases de licitud”. Si no concurre alguno de estos supuestos o condiciones, el tratamiento no será legítimo, o considerado lícito por el RGPD. Cabe recordar en este punto que las personas tienen el poder de disposición sobre sus datos personales, incluyendo su imagen, así como sobre su difusión, resultando, sin lugar a dudas, merecedora de protección la persona cuyos datos personales se capten y difundan vulnerando el ordenamiento jurídico. Así, la STC 292/2000, de 30 de noviembre dispone que “el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos”. Ha de señalarse asimismo que, de acuerdo con el artículo 84 de la LOPDGDD “Protección de los menores en Internet”, los menores de edad deben hacer un uso equilibrado y responsable de los dispositivos digitales y de los servicios de la sociedad de la información a fin de garantizar el adecuado desarrollo de su personalidad y preservar su dignidad y sus derechos fundamentales. Dicho precepto, en su apartado 2 señala lo siguiente: “2. La utilización o difusión de imágenes o información personal de menores en las redes sociales y servicios de la sociedad de la información equivalentes que puedan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/9 implicar una intromisión ilegítima en sus derechos fundamentales determinará la intervención del Ministerio Fiscal, que instará las medidas cautelares y de protección previstas en la Ley Orgánica 1/1996, de 15 de enero, de Protección Jurídica del Menor.” En definitiva, nos encontramos ante un marco jurídico que, con carácter general, prevé que todo tratamiento de datos personales requiere contar con una base legitimadora para ser considerado lícito y, por otro lado, establece mecanismos de garantía reforzada cuando el tratamiento de datos personales se refiera y/o afecte a menores de edad. En el presente caso, de la documentación obrante en el expediente administrativo, se considera acreditado que (
- i)la parte reclamada difundió una fotografía de la hija de la reclamante manipulada artificialmente para que pareciera desnuda, a través de una aplicación de mensajería, y (
- ii)que dicho tratamiento se efectuó sin que concurriera ninguna de las causas de legitimación enumeradas en el artículo 6.1 del RGPD. Asimismo, y en relación a la calificación del tratamiento realizado y a los efectos del presente acuerdo de inicio de procedimiento sancionador, ha de tenerse en cuenta que el tratamiento afectaba a una menor de edad, por lo cual cuenta con una protección reforzada en el ámbito de la protección de sus datos de carácter personal, y que la manipulación tuvo por objeto y, por lo tanto, su difusión tuvo como resultado, que se asociara el rostro real de una menor de edad a un cuerpo desnudo ajeno, con la connotación sexual que de ello se deriva. En consecuencia, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento de apercibimiento, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada por vulneración del artículo 6.1 del RGPD. V Tipificación de la infracción del artículo 6 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9”. Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/9 A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679." VI Propuesta de apercibimiento Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…) El artículo 64.3 de la LOPDGDD establece que la AEPD, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento. Cabe señalar a este respecto que el apercibimiento se configura como uno de los poderes otorgados por el RGPD a las Autoridades de Control y que, si bien carece de naturaleza sancionadora, sí la tiene correctiva en el sentido de permitir considerar la ilicitud de una conducta y así poder conseguir su corrección y evitar una nueva comisión de esa posible conducta infractora en el futuro. Y ello con pleno respeto a la excepcionalidad que ha de tener el procedimiento sancionador y, en el presente caso, y teniendo en cuenta que la parte reclamada contaba con 13 años en el momento de los hechos, permitir el equilibrio entre una posible falta capacidad para llegar a una plena conciencia acerca de la ilicitud de la conducta realizada con la importancia de transmitir el alcance de comportamientos propios como el que ha sido objeto de la reclamación presentada. Asimismo, no ha de olvidarse que debido el importante menoscabo a la intimidad y al derecho a la protección de datos personales derivada de la difusión de información personal a través de Internet, con una incidencia especialmente relevante, debido a su vulnerabilidad, en el caso de los menores de edad, exige una respuesta por parte de esta Agencia Española de Protección de Datos, de acuerdo con las competencias que tiene atribuidas y con los poderes puestos a su alcance. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/9 Por su parte, el artículo 64 de la LOPDGDD que regula la “Forma de iniciación del procedimiento y duración”, en su apartado tercero dispone que: “3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo.” En el presente caso, atendida la naturaleza de los hechos y circunstancias expuestas en los Fundamentos de Derecho precedentes, se estima que por la infracción de los artículos anteriormente mencionados procede dirigir a la parte reclamada un apercibimiento. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a A.A.A., con NIF ***NIF.1, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a B.B.B. con NIF ***NIF.2, progenitor y, por lo tanto, representante legal de A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/9 Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es