← España

PA-00030-2025

1/8  Expediente N.º: EXP202509223 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: La Agencia Española de Protección de Datos tuvo conocimiento, a través de diversas noticias publicadas en los medios de comunicación de la existencia (…) donde se distribuye material pedófilo e imágenes y vídeos con sexo explícito o contenido altamente violento, que incluye imágenes de (…) sin que conste que se les haya informado u obtenido su previo consentimiento. Según la información de la que se tuvo conocimiento, la difusión de dicho contenido tendría su origen (…). Asimismo, según la información publicada, también han ocurrido hechos similares en (…). SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 18 de diciembre de 2023, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). TERCERO: La SGID procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: 1) Esta Agencia recogió muestras de las noticias publicadas, en su mayoría entre los días (…), por distintos medios de comunicación referentes a los hechos expuestos con anterioridad. Entre otras: - Noticia publicada en la versión digital del periódico “***PERIÓDICO.1”, en fecha ***FECHA.1, con el título “***TÍTULO.1”. En el texto de la noticia se leen frases como “(…)”. - Noticia publicada en la versión digital de la cadena autonómica de televisión “***CADENA.1”, en fecha ***FECHA.2, con el título “***TÍTULO.2”. En el texto de leen frases como “(…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 - Noticia publicada en la versión digital del periódico “***PERIÓDICO.1”, en fecha ***FECHA.3, con el título “***TÍTULO.3”. En el texto de la noticia se leen frases como “(…)” “(…)”. - Noticia publicada en el periódico digital “***PERIÓDICO.2”, en fecha ***FECHA.3, con el título “***TÍTULO.4”. En el texto de la noticia se leen frases como “(…)”, “(…)” o “(…)”. - Noticia publicada en la versión digital del periódico “***PERIÓDICO.3”, en fecha ***FECHA.3, con el título “***TÍTULO.5”. En el texto se leen frases como “(…)”. - Noticia publicada en el periódico digital “***PERIÓDICO.4”, en fecha ***FECHA.4, con el título “***TÍTULO.6”. En el texto de la noticia se leen frases como “(…)”. 2) Teniendo conocimiento a través de los medios de comunicación, y tal como ha quedado constatado en el último punto del hecho tercero, de que los hechos fueron denunciados en dependencias de la Guardia Civil, Policía Nacional en (…) y (…); en fecha 28 de febrero de 2024, esta Agencia solicitó a la Brigada Central de Investigación Tecnológica de la Policía Nacional (BCIT), a la Sección Central de Delitos en Tecnologías de la Información de la Ertzaintza (SCDT) y al Grupo de Delitos Telemáticos de la Guardia Civil (GDT), información sobre las diligencias realizadas para la comprobación de los hechos, identidad (…) y de la distribución del contenido, o en caso contrario, de la identificación del órgano judicial y número de las diligencias. En fecha 5 de marzo de 2024, esta Agencia recibió escrito de respuesta del Departamento contra el Cibercrimen de la Guardia Civil en el que trasladaba lo siguiente en relación con (…). 3) En fecha 2 de octubre de 2024, esta Agencia recibió escrito de respuesta de (…) a la que le fueron trasladadas las actuaciones llevadas a cabo por la Guardia Civil, la solicitud de información referente a la identidad, edad y dirección a efectos de notificaciones de los presuntos responsables y de los hechos que pudieran dar lugar a incoar un procedimiento administrativo sancionador por infracción a la normativa de protección de datos de carácter personal. Aportó la siguiente información: - Oficio de la Guardia Civil, de fecha 14 de marzo de 2024, que menciona que los contenidos de pornografía infantil (imágenes y vídeos) se difundieron (…), y expone una relación de las líneas telefónicas empleadas para el intercambio de contenido ilícito, con especificación del titular y del usuario menor de edad que hace uso de la misma. En este listado figuran, entre otros, los siguientes datos: o o o - (…) (…) (…) Oficio de la Guardia Civil, de fecha 15 de marzo de 2024, que relaciona las líneas telefónicas empleadas en el intercambio de contenido pornográfico C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 infantil, con expresión de su titularidad y los datos del menor usuario de la línea. En este listado figuran, entre otros, los siguientes datos: o o o (…) (…) (…) 4) En fecha 30 de mayo de 2025, esta Agencia recibió respuesta de la Agencia Estatal de Administración Tributaria a la solicitud de información referente al domicilio de A.A.A., con DNI ***NIF.1. Aportó los siguientes datos: ***DIRECCIÓN.1. 5) En fecha 3 de junio de 2025, esta Agencia recibió escrito de respuesta de B.B.B., con DNI ***NIF.2 al requerimiento de información remitido a A.A.A., con DNI ***NIF.1, referente a la identidad y dirección postal del (…) que emplea la línea móvil ***TELÉFONO.1. Aportó los siguientes datos: (…) (…) (…) CUARTO: Con fecha 16 de junio de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.

  1. a)del RGPD. QUINTO: La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogida en fecha 28 de junio de 2025 como consta en el acuse de recibo que obra en el expediente. SEXTO: En fecha 3 de julio de 2025 se recibe escrito de alegaciones de la parte reclamada en el que, en síntesis, señala que los hechos objeto del procedimiento estaban siendo investigados por la Fiscalía de Menores y solicitaba la suspensión del procedimiento iniciado por la AEPD. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Diversas noticias publicadas en los medios de comunicación informaban de la existencia (…) a través de los cuales se estaría enviando entre sus usuarios material pedófilo e imágenes y vídeos con sexo explícito o contenido altamente violento, que incluye imágenes de (…). La distribución de estas imágenes no contaba con el consentimiento de los afectados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 SEGUNDO: Según informa la Guardia civil mediante oficios de 14 y 15 de marzo de 2024, la línea telefónica ***TELÉFONO.1 participó en un grupo de la aplicación de mensajería instantánea de WhatsApp a través del que se remitieron imágenes de terceros. En la información remitida se identificaba al titular de la línea telefónica como A.A.A., con DNI ***NIF.1 y al menor de edad usuario de la línea: con el seudónimo “C.C.C.”. TERCERO. Mediante escrito de fecha 3 de junio de 2025, B.B.B., con DNI ***NIF.2 respondió al requerimiento de información remitido a A.A.A., referente a la identidad y dirección postal del (…) que emplea la línea móvil ***TELÉFONO.1 y aportó los siguientes datos: (…) (…) (…) FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1 del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 La imagen de una persona que la identifica o la hace identificable es, por lo tanto, un dato personal a los efectos del RGPD. El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.1 del RGPD, la difusión de imágenes y vídeos de contenido explícito sexual de menores de edad, supone un tratamiento de datos personales por cuanto la imagen es un dato personal. El artículo 4.7 del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento.” En el presente caso, la difusión del contenido (…) entre cuyos participantes se encontraba el teléfono ***TELÉFONO.1. Esta línea telefónica, según consta en la documentación obrante en el expediente administrativo, era utilizada en el momento de los hechos por C.C.C., con DNI ***NIF.3 (en adelante, C.C.C.). Atendiendo a lo anterior, C.C.C. realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Condiciones para el tratamiento de datos personales. Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  2. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  3. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  4. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8
  5. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  6. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  7. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  8. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " El artículo 6.1 del RGPD determina, por lo tanto, los supuestos en los que la normativa permite realizar el tratamiento de datos personales de un tercero, que se denominan “bases de licitud”. Si no concurre alguno de estos supuestos o condiciones, el tratamiento no será legítimo, o considerado lícito por el RGPD. Cabe recordar en este punto que las personas tienen el poder de disposición sobre sus datos personales, incluyendo su imagen, así como sobre su difusión, resultando, sin lugar a dudas, merecedora de protección la persona cuyos datos personales se capten y difundan vulnerando el ordenamiento jurídico. Así, la STC 292/2000, de 30 de noviembre dispone que “el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos”. Ha de señalarse asimismo que, de acuerdo con el artículo 84 de la LOPDGDD “Protección de los menores en Internet”, los menores de edad deben hacer un uso equilibrado y responsable de los dispositivos digitales y de los servicios de la sociedad de la información a fin de garantizar el adecuado desarrollo de su personalidad y preservar su dignidad y sus derechos fundamentales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 Dicho precepto, en su apartado 2 señala lo siguiente: “2. La utilización o difusión de imágenes o información personal de menores en las redes sociales y servicios de la sociedad de la información equivalentes que puedan implicar una intromisión ilegítima en sus derechos fundamentales determinará la intervención del Ministerio Fiscal, que instará las medidas cautelares y de protección previstas en la Ley Orgánica 1/1996, de 15 de enero, de Protección Jurídica del Menor.” En definitiva, nos encontramos ante un marco jurídico que, con carácter general, prevé que todo tratamiento de datos personales requiere contar con una base legitimadora para ser considerado lícito y, por otro lado, establece mecanismos de garantía reforzada cuando el tratamiento de datos personales se refiera y/o afecte a menores de edad. IV Conclusión En el presente caso, de la documentación obrante en el expediente administrativo, se infiere que C.C.C. participó en los hechos referidos en los antecedentes, pero también que los mismos fueron objeto de investigación que, a la vez que a alcanzar el objetivo de esclarecimiento de los hechos, tuvieron como consecuencia- siquiera accesoria- la puesta de manifiesto a los participantes de las implicaciones de sus actos en materia de protección de datos personales, alcanzando, por lo tanto, una finalidad análoga a la pretendida con los poderes correctivos otorgados a esta AEPD. Incluido el procedimiento de apercibimiento iniciado contra C.C.C. Así, recordemos en este sentido que el acuerdo de inicio del presente procedimiento señalaba expresamente que, si bien el mismo carecía de naturaleza sancionadora, sí la tenía correctiva en el sentido de permitir considerar la ilicitud de una conducta y así poder conseguir su corrección y evitar una nueva comisión de esa posible conducta infractora en el futuro. Y, con pleno respeto a la excepcionalidad que ha de tener el procedimiento sancionador y, en el presente caso, y teniendo en cuenta que C.C.C. era menor (…) en el momento de los hechos, permitir el equilibrio entre una posible falta de capacidad para llegar a una plena conciencia acerca de la ilicitud de la conducta realizada con la importancia de transmitir el alcance de comportamientos propios como el que ha sido objeto del presente procedimiento. No obstante, y sin olvidar lo señalado previamente en el sentido de dotar de especial relevancia a los hechos conocidos y en los que participó C.C.C. ha de entenderse que los mismos ya han recibido una respuesta adecuada en atención a su grado de responsabilidad. Por lo tanto, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR EL PROCEDIMIENTO DE APERCIBIMIENTO seguido contra C.C.C., con NIF ***NIF.3, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  9. a)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 SEGUNDO: NOTIFICAR la presente resolución a B.B.B., con DNI ***NIF.2 y D.D.D., con DNI ***NIF.4, (…), por lo tanto, representantes legales de C.C.C., con DNI ***NIF.3. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  10. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.