1/6 Expediente N.º: EXP202317899 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento de ciertos hechos que podrían constituir una posible infracción imputable a A.A.A. con NIF ***NIF.1 (en adelante, A.A.A.). Los hechos puestos en conocimiento de esta autoridad consistieron en la aparición en medios de comunicación de un vídeo en el que se apreciaba una agresión a una niña de doce años por parte de otras tres menores en la localidad de ***LOCALIDAD.1. La agresión, según la noticia aparecida en los medios de comunicación, fue grabada con un móvil y publicada después en las redes sociales. SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 13/12/2023, la Presidencia de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). TERCERO: La SGID procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII de la LOPDGDD. Durante la investigación se levanta diligencia de los vídeos disponibles en las páginas web de ***EMPRESA.1 y ***EMPRESA.2. En esas páginas, las imágenes y los sonidos del vídeo aparecen pseudoanonimizados. Se solicitó colaboración del Juzgado de Menores ***JUZGADO.1 para la identificación del responsable de la grabación y publicación del vídeo. En su respuesta de 19/05/2025, el Juzgado de Menores ***JUZGADO.1 remite documentación relativa a diferentes diligencias que figuran en el atestado ***ATESTADO.1 de la Comisaría de Policía Nacional de ***LOCALIDAD.1. En esas diligencias consta una descripción del vídeo en el que se detalla la agresión a una menor, de doce años de edad en el momento de la agresión, que habría ocurrido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/6 el 21/10/2023. En la “Diligencia de transcripción de imágenes”, se describe la agresión en los siguientes términos: “DILIGENCIA DE TRANSCRIPCIÓN D EIMÁGENES (CD). Se extiende para hacer constar, que se realiza la correspondiente transcripción de imágenes donde se observa a las autoras agrediendo a la víctima, por lo que se detalla lo siguiente: - (…) Asimismo, en las diligencias se deja constancia de la publicación del vídeo en redes sociales: “ACTA DE VISIONADO […] se procede a captar imágenes extraídas del vídeo difundido en la red social Instagram, en la sección Historias, enviado por el perfil de usuario ***USUARIO.1 a su entorno favoritos, por lo que han estado 24 horas en las redes y después se han retirado por el propio sistema […]”. Por último, consta la identificación de la persona que realiza la grabación, en los siguientes términos: “DILIGENCIA DE IDENTIFICACIÓN DE LA PERSONA QUE GRABA LA AGRESIÓN: […] la persona que realiza la grabación de la agresión se trata de: A.A.A., con DNI ***NIF.1, (…) […]”. CUARTO: Con fecha 13 de junio de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a A.A.A., por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
- a)del RGPD. QUINTO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogida en fecha 24 de junio de 2025, como consta en el acuse de recibo que obra en el expediente. SEXTO: En fecha 3 de julio de 2025 se recibe escrito de A.A.A. en el que, en síntesis, reconoce haber realizado la grabación, pero no la posterior difusión del vídeo. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Que el 21/10/2023 se produjo una agresión física y verbal a una menor, de doce años de edad, por parte de otras tres menores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/6 SEGUNDO: Dicha agresión fue grabada por A.A.A. TERCERO: El perfil de Instagram ***USUARIO.1 publicó un video referido a la agresión que estuvo disponible para el entorno favoritos de dicho perfil durante 24 horas, siendo posteriormente retirado por el propio sistema. No consta que dicho perfil de Instagram pertenezca a A.A.A. CUARTO: El video fue publicado en las webs de diversos medios de comunicación. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/6 El artículo 4.7) del RGPD define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. La imagen es un dato personal, que permite la identificación del individuo, y la grabación es un tratamiento de ese dato. Por ello, en el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, constaría la realización de un tratamiento de datos personales, toda vez que A.A.A. realiza una grabación de la menor. Una grabación que después fue objeto de publicación en el perfil de la red social Instagram ***USUARIO.1 que no consta que pertenezca a A.A.A. III Obligación del artículo 6.1 del RGPD. Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones." En el presente caso, de acuerdo con la transcripción del vídeo que consta en las diligencias policiales transcritas en los hechos, consta la grabación en vídeo en el que una menor, de doce años de edad, es agredida física y verbalmente por otras C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/6 menores. En dichas diligencias se identifica a A.A.A. como la persona que graba dicha agresión. Consta asimismo la posterior publicación de dicha grabación en el perfil de la red social Instagram ***USUARIO.1, que no ha quedado acreditado que pertenezca a A.A.A. Dicha difusión, sin anonimizar y permitiendo la identificación de la persona afectada, sería un tratamiento ilícito de datos personales debido a la ausencia de cualquier finalidad que pudiera considerase legítima al tratarse de la mera constatación de que una persona, en este caso menor de edad, estaba siendo agredida por un grupo más numeroso, circunstancia que, por lo tanto, agrava su condición de víctima. , No obstante, de los hechos conocidos y probados no cabe concluir que A.A.A. haya sido responsable de la difusión del vídeo en redes sociales, sino únicamente de la grabación. A este respecto, debe destacarse que en el ámbito administrativo sancionador son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. De acuerdo con la jurisprudencia del Tribunal Constitucional (sentencias 76/1990 y 24/1997, entre otras), el principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo que acredite los hechos que motivan la imputación o la intervención en los mismos del presunto infractor. En este caso, como se ha expuesto, no existen esos indicios racionales que permitirían imputar a A.A.A. una infracción por la difusión de la grabación realizada, por lo que, no cabe entender enervado el derecho a la presunción de inocencia que le ampara. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento de apercibimiento abierto a A.A.A., con NIF ***NIF.1, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
- a)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/6 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1403-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es