1/6 Expediente N.º: EXP202503436 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: La Agencia Española de Protección de Datos tuvo conocimiento, a través de diversas noticias publicadas en los medios de comunicación de la manipulación con inteligencia artificial de imágenes que corresponderían (…) de tal manera que, (…) cuerpos desnudos. Las imágenes manipuladas fueron objeto de difusión por sus autores a través de las redes sociales. Según la información de la que se tuvo conocimiento, la difusión de dichas imágenes tendría su origen (…). Asimismo, según la información publicada, las imágenes habrían sido también publicadas en portales de internet como Only fans y diversas páginas pornográficas. SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 20 de septiembre de 2023, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). TERCERO: La SGID procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: Con fecha ***FECHA.3, esta Agencia recogió muestras de las noticias publicadas por distintos medios de comunicación referentes a los hechos expuestos con anterioridad: Noticia publicada en la versión digital del periódico “***DIARIO.1”, en fecha ***FECHA.1, con el título “***TÍTULO.1”. En el texto de la noticia se leen frases como “(…)”. Noticia publicada en el periódico digital “***DIARIO.2”, en fecha ***FECHA.1, con el título “***TÍTULO.2”. En el texto de la noticia se leen frases como “(…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/6 Noticia publicada en la versión digital del periódico “***DIARIO.3”, en fecha ***FECHA.1, con el título “***TÍTULO.3”. En el texto de la noticia se leen frases como “(…)”. Noticia publicada en la versión digital del periódico “***DIARIO.3”, en fecha ***FECHA.2, con el título “***TÍTULO.4”. En el texto de la noticia se leen frases como “(…)”. Noticia publicada en la versión digital del periódico “***DIARIO.4”, en fecha ***FECHA.3, con el título “***TÍTULO.5”. En el texto de la noticia se leen frases como “(…)”. CUARTO: Con fecha 2 de octubre de 2023, tuvo entrada en esta Agencia una reclamación presentada por A.A.A. basada en los siguientes motivos: (…) por la difusión de imágenes falsas de desnudos realizadas con Inteligencia Artificial a través del ***GRUPO.1. QUINTO: En fecha 2 de octubre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. SEXTO: Teniendo conocimiento a través de los medios de comunicación, y tal como ha quedado constatado en el último punto del hecho tercero, de que se iniciaron actuaciones judiciales mediante ***EXPEDIENTE.1 (…) que participaron en la difusión a través del ***GRUPO.1 de imágenes (…) manipuladas con inteligencia artificial, que (…) cuerpos desnudos, en fecha 24 de junio de 2024, se solicitó a la ***FISCALÍA.1 el listado, identificación y domicilio de (…). SÉPTIMO: En fecha 24 de julio de 2024, esta Agencia recibió respuesta de la ***FISCALÍA.2 en la que aportaba los datos de los (...) expedientados (***EXPEDIENTE.1 nº***REFERENCIA.1) cuya pertenencia al ***GRUPO.1 había quedado determinada en fase de instrucción. Entre ellos: - B.B.B. Representantes legales: C.C.C.- D.D.D. ***DIRECCIÓN.1 Asimismo, informaba sobre la remisión del ***EXPEDIENTE.1 nº ***REFERENCIA.1 al ***JUZGADO.1 y la reciente sentencia de conformidad dictada. OCTAVO: En fecha 11 de noviembre de 2024, esta Agencia recibió respuesta de la Agencia Estatal de Administración Tributaria a la solicitud de información referente al NIF de B.B.B., con domicilio en ***DIRECCIÓN.1. Aportó los siguientes datos: - B.B.B. NIF ***NIF.1 NOVENO: En fecha 21 de noviembre de 2024 se solicitó información al ***JUZGADO.1 en el siguiente sentido: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/6 (…) En el curso de dichas actuaciones previas de investigación, se ha tenido conocimiento de que por los mismos hechos se dictó sentencia en el ***EXPEDIENTE.1 número: ***REFERENCIA.2, seguido ante el ***JUZGADO.1, en la que podrían coincidir la identidad de hechos y fundamentos con la resolución del procedimiento administrativo sancionador que se encuentra en tramitación. (…) Se solicita de ese Juzgado que, de ser ello posible, nos remitan copia de la Sentencia recaída en el ***EXPEDIENTE.1 número: ***REFERENCIA.2 seguido ante el ***JUZGADO.1, y certificación de su firmeza. Ante la ausencia de respuesta, dicha solicitud fue reiterada el 18 de febrero de 2025. Finalmente, en fecha 20 de febrero de 2025, el ***JUZGADO.1 remitió la sentencia anonimizada, en la que no constaban la identidad de (…) objeto de la misma. Como “Hechos Probados” de la sentencia figuran los siguientes: “(…).” En el segundo apartado de “Fundamentos de Derecho” se recoge que los (...) objeto del procedimiento mostraron su conformidad con los hechos expuestos “calificados como (...) ***DELITO.1, previstos y penados en el artículo (…), así como (...) ***DELITO.2, previstos y penados en el (...) del Código Penal.” Por último, en el fallo de la sentencia remitida se informa que a los (...) objeto del procedimiento —que no se encontraban identificados— se les declaraba “responsables de (...) ***DELITO.1 y (...) ***DELITO.2, imponiéndoles a cada uno de ellos, la medida de ***MEDIDA.1, con contenido especialmente orientado a recibir formación afectivo sexual, sobre uso responsable de las tecnologías de la información y la comunicación, sensibilización en materia de igualdad y género, así como intervención en los aspectos deficitarios que presenten los (...), de acuerdo con los respectivos informes del Equipo Técnico.” DÉCIMO: Con fecha 17 de marzo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a B.B.B., con NIF ***NIF.1, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
- a)del RGPD. DÉCIMO PRIMERO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, con fecha 24 de marzo de 2025 se recibió escrito de alegaciones remitido por ***BUFETE.1, firmado por C.C.C., en su condición de representante legal (…) de B.B.B., en el que confirma la existencia de un procedimiento judicial —***EXPEDIENTE.1— (…). Señala que dicho ***EXPEDIENTE.1 concluyó con un acuerdo de todas las partes en las que todos los (...) investigados admitieron los hechos imputados. Confirma asimismo que (…) se encuentra cumpliendo la pena impuesta y acordada; así, asisten de forma regular al curso de taller afectivo sexual, uso de tecnologías e igualdad de género, así como (…) también impuesta y que se indica está próxima a finalizar. En el escrito de alegaciones, se descarta que B.B.B. participara en la difusión de las imágenes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/6 DÉCIMO SEGUNDO: Recibido el escrito de alegaciones mencionados y toda vez que no constaba representación otorgada por C.C.C., en favor del despacho de abogados remitente del escrito, con fecha 31 de marzo de 2025 se le otorgó a dicho despacho un plazo máximo de diez días hábiles para acreditar la representación. Con fecha 30 de abril de 2025, se recibió en esta Agencia escrito de respuesta al requerimiento de D.D.D., con DNI ***NIF.2, en su condición de representante legal (…) de B.B.B. en el que autorizaba a E.E.E., con DNI ***NIF.3, “a realizar cuantos trámites sean necesarios en el expediente seguido en la Agencia de Protección de Datos.” DÉCIMO TERCERO: Con fecha 29 de enero de 2026, se dictó propuesta de resolución proponiendo el archivo del presente procedimiento sancionador abierto a B.B.B., con NIF ***NIF.1, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD; al entender que, de acuerdo con información conocida durante la instrucción del procedimiento sancionador tramitado por esta AEPD, (…) ya recibió una respuesta en el ámbito penal donde se le declaró responsable de los mismos hechos, como consta en la citada sentencia ***SENTENCIA.1, siendo esta firme. DÉCIMO CUARTO: Notificada la citada propuesta de resolución conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: B.B.B. era miembro del ***GRUPO.1 a través del cual se remitieron fotografías (...) manipuladas con herramientas de inteligencia artificial. SEGUNDO: Los hechos expuestos fueron objeto del ***EXPEDIENTE.1 ***REFERENCIA.2, incoado por la ***FISCALÍA.1. Entre los (...) expedientados, y cuya pertenencia al ***GRUPO.1 quedó determinada en fase de instrucción, se encontraba: - B.B.B. Representantes legales: C.C.C.-D.D.D. ***DIRECCIÓN.1 TERCERO: El ***EXPEDIENTE.1 ***REFERENCIA.2, incoado por la ***FISCALÍA.1, finalizó mediante sentencia ***SENTENCIA.1 por el ***JUZGADO.1. Los (...) expedientados expresaron “su plena conformidad con los hechos investigados y calificados como (...) ***DELITO.1(…), así como (...) ***DELITO.2, (…).” CUARTO: Según los hechos probados de la sentencia, “(…).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/6 QUINTO: Según el fallo de la sentencia, se les declaró “responsables de (...) ***DELITO.1 y (...) ***DELITO.2, imponiéndoles a cada uno de ellos, la medida de ***MEDIDA.1, con contenido especialmente orientado a recibir formación afectivo sexual, sobre uso responsable de las tecnologías de la información y la comunicación, sensibilización en materia de igualdad y género, así como intervención en los aspectos deficitarios que presenten (...), de acuerdo con los respectivos informes del Equipo Técnico.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Alegaciones aducidas al acuerdo de inicio A fin de esclarecer los hechos y determinar, en su caso, responsabilidades administrativas en el ámbito de su competencia, esta Agencia realizó las actuaciones previas de investigación dispuestas en el artículo 67 de la LOPDGDD. Como consta en los hechos probados, y en base a la información facilitada por la FISCALÍA.1 respecto al ***EXPEDIENTE.1 nº ***REFERENCIA.2, se pudo identificar entre los (…) expedientados a B.B.B. como uno del ***GRUPO.1 y conocer su posible participación en los hechos objeto de investigación, por lo que se dictó el acuerdo de inicio del procedimiento sancionador contra B.B.B. por los hechos investigados. Con posterioridad, se constató por esta Agencia que el ***EXPEDIENTE.1 ***REFERENCIA.2 finalizó mediante ***SENTENCIA.1 por el ***JUZGADO.1; después de que los (…) expedientados expresaran su plena conformidad con (
- i)los hechos “calificados como (...) ***DELITO.1, previstos y penados en el artículo (…), así como (...) ***DELITO.2, previstos y penados en el (...) del Código Penal”; y (
- ii)la medida impuesta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/6 Al tener conocimiento del resultado anterior, esta Agencia entiende que los hechos probados (…) ya recibieron una respuesta en el ámbito penal donde se le declaró responsable de los mismos, como consta en la citada sentencia condenatoria de conformidad de 20 de junio de 2024, siendo esta firme. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el presente procedimiento sancionador contra B.B.B., con NIF ***NIF.1. SEGUNDO: NOTIFICAR la presente resolución a C.C.C. y D.D.D. . De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-090326 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es