1/4 • Expediente Nº: EXP202503445 RESOLUCIÓN DE REVOCACIÓN De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: La Agencia Española de Protección de Datos tuvo conocimiento, a través de diversas noticias publicadas en los medios de comunicación de la manipulación con inteligencia artificial de imágenes que corresponderían (…). Las imágenes manipuladas fueron objeto de difusión por sus autores a través de las redes sociales. Según la información de la que se tuvo conocimiento, la difusión de dichas imágenes tendría su origen (…). Asimismo, según la información publicada, las imágenes habrían sido también publicadas en portales de internet como Only fans y diversas páginas pornográficas. SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 20 de septiembre de 2023, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). Como consecuencia de las actuaciones realizadas, se tuvo conocimiento de diversas noticias publicadas por distintos medios de comunicación referentes a los hechos expuestos con anterioridad: TERCERO: Con fecha 2 de octubre de 2023, tuvo entrada en esta Agencia una reclamación presentada por A.A.A. basada en los siguientes motivos: (…) por la difusión de imágenes falsas de desnudos realizadas con Inteligencia Artificial a través del ***GRUPO.1. CUARTO: En fecha 2 de octubre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. QUINTO: Teniendo conocimiento a través de los medios de comunicación, de que se iniciaron actuaciones judiciales (…) que participaron en la difusión (…) de imágenes (…) manipuladas con inteligencia artificial, que asociaban sus (...) a cuerpos desnudos, en fecha 29 de septiembre de 2024, se solicitó a la ***FISCALÍA.1 el listado, identificación y domicilio de (…). SEXTO: Posteriormente, en fecha 21 de noviembre de 2024 se solicitó información al ***JUZGADO.1 en el siguiente sentido: C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 2/4 “(…) En el curso de dichas actuaciones previas de investigación, se ha tenido conocimiento de que por los mismos hechos se dictó sentencia en el ***EXPEDIENTE.1 número: ***REFERENCIA.1, seguido ante el ***JUZGADO.1, en la que podrían coincidir la identidad de hechos y fundamentos con la resolución del procedimiento administrativo sancionador que se encuentra en tramitación. (…) Se solicita de ese Juzgado que, de ser ello posible, nos remitan copia de la Sentencia recaída en el ***EXPEDIENTE.1 número: ***REFERENCIA.1 seguido ante el ***JUZGADO.1, y certificación de su firmeza.” Ante la ausencia de respuesta, dicha solicitud fue reiterada el 18 de febrero de 2025. Finalmente, en fecha 20 de febrero de 2025, el ***JUZGADO.1 remitió la sentencia anonimizada, en la que no constaban la identidad de los (...) objeto de la misma. Como “Hechos Probados” de la sentencia figuran los siguientes: “(…)” En el segundo apartado de “Fundamentos de Derecho” se recoge que los (...) objeto del procedimiento mostraron su conformidad con los hechos expuestos “calificados como (...) ***DELITO.1, previstos y penados en el artículo (...), así como (...) ***DELITO.2, previstos y penados en el artículo (...).” Por último, en el fallo de la sentencia remitida se informa que a los (...) objeto del procedimiento —que no se encontraban identificados— se les declaraba “responsables de (...) ***DELITO.1 y (...) ***DELITO.2, imponiéndoles a cada uno de ellos, la medida de (...), con contenido especialmente orientado a recibir formación afectivo sexual, sobre uso responsable de las tecnologías de la información y la comunicación, sensibilización en materia de igualdad y género, así como intervención en los aspectos deficitarios que presenten los (...), de acuerdo con los respectivos informes del Equipo Técnico.” SÉPTIMO: Con fecha 17 de marzo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a B.B.B., con NIF ***NIF.1, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
- a)del RGPD. OCTAVO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, en fecha 5 de abril de 2025, C.C.C., (…); procedió al pago de la sanción en la cuantía de 1.200€, en aplicación a las dos reducciones acumulables entre sí sobre la cuantía inicial de 2.000€, de conformidad con lo previsto en el artículo 85 de la LPACAP. NOVENO: Con fecha 12 de septiembre de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó la terminación del procedimiento EXP202503445, de conformidad con lo establecido en el artículo 85 de la LPACAP. DÉCIMO: Por parte de esta Agencia tuvo conocimiento que el ***EXPEDIENTE.1 ***REFERENCIA.1 finalizó mediante ***SENTENCIA.1 dictada el (...) por el ***JUZGADO.1; después de que los (...) expedientados expresaran su plena conformidad con (
- i)los hechos “calificados como (...) ***DELITO.1, previstos y penados C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 3/4 en el artículo (…), así como (...) ***DELITO.2, previstos y penados en el artículo (…)”; y (
- ii)la medida impuesta, uno de los (...) condenados era B.B.B.. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para dictar la presente resolución la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Revocación de la resolución El artículo 109.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Pública (en adelante, LPACAP), faculta a las Administraciones Públicas para revocar, mientras no haya transcurrido el plazo de prescripción, sus actos de gravamen o desfavorables, siempre que tal revocación no constituya dispensa o exención no permitida por las leyes, ni sea contraria al principio de igualdad, al interés público o al ordenamiento jurídico. En el presente caso, en base a la información facilitada por la ***FISCALÍA.1 respecto al ***EXPEDIENTE.1 nº ***REFERENCIA.1, se pudo identificar entre los (...) expedientados a B.B.B. como uno del ***GRUPO.1 y conocer su posible participación en los hechos objeto de investigación, por lo que se dictó el acuerdo de inicio del procedimiento sancionador contra B.B.B. por los hechos investigados. Con posterioridad, se tuvo conocimiento por esta Agencia que el ***EXPEDIENTE.1 ***REFERENCIA.1 finalizó mediante ***SENTENCIA.1 dictada el (...) por el ***JUZGADO.1; después de que los (...) expedientados expresaran su plena conformidad con (
- i)los hechos “calificados como (...) ***DELITO.1, previstos y penados en el artículo (…), así como (...) ***DELITO.2, previstos y penados en el artículo (…)”; y (
- ii)la medida impuesta. Por lo anterior, cabe entender que los hechos que fueron objeto del procedimiento EXP202503445 respecto al citado (...) ya recibieron una respuesta en el ámbito penal C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es 4/4 donde se le declaró responsable de los mismos, como consta en la citada sentencia condenatoria de conformidad de (...), siendo esta firme. A la vista de los preceptos anteriormente indicados, Por la Presidencia de la Agencia Española de Protección de Datos SE ACUERDA: PRIMERO: REVOCAR la resolución del procedimiento EXP202503445, de fecha 12 de septiembre de 2025, instruido a B.B.B., con NIF ***NIF.1. SEGUNDO: NOTIFICAR la presente resolución a C.C.C. y D.D.D. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1115-111125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan 6 28001 - Madrid www.aepd.es sedeaepd.gob.es