← España

PS-00264-2023

1/8 Expediente N.º: EXP202211005 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 21 de agosto de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. Los motivos en que basa la reclamación son los siguientes: La parte reclamante puso en conocimiento de esta entidad la publicación de su número de teléfono en un anuncio de prostitución dentro del sitio web ***URL.1. A efectos acreditativos, adjuntaba a su escrito una captura de pantalla del citado anuncio en el cual se ofrecen servicios de índole sexual y donde aparece como contacto el número de teléfono de la parte reclamante. El texto del anuncio indicaba, textualmente, lo siguiente: “(…)” La parte reclamante aportaba también, junto a su escrito, copia del aviso legal de la web donde se regula el uso del servicio del portal de ***URL.1, y en el cual se encontraba publicado el citado anuncio. Del contenido de dicho aviso destaca que el portal es gestionado y explotado comercialmente por la sociedad FLOSA ACI, S.L. Asimismo, la parte reclamante afirma en su escrito que, en virtud de tales hechos, ha recibido una llamada y diversos mensajes de WhatsApp, solicitando información relativa a los servicios sexuales publicados en el anuncio objeto de la reclamación. SEGUNDO: Teniendo en cuenta tales circunstancias y de conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la citada sociedad FLOSA ACI, S.L., con el fin de que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 03/11/2022, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal, envío que resultó "Devuelto a Origen por sobrante (No retirado en Oficina)" en fecha 24 de noviembre de 2022, tras dos intentos de entrega infructuosos los días 14 y 16 de noviembre de 2022. No se recibió respuesta a este escrito de traslado. TERCERO: Con fecha 21 de noviembre de 2022, siguiendo lo dispuesto en el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: A la vista de tales hechos, con fecha 11 de noviembre de 2022, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Se procedió, en primer lugar, a la realización de una búsqueda en el sitio web del anuncio que se indica en la reclamación. En fecha de 3 de julio de 2022, se comprueba la existencia de la publicación de dicho anuncio en la siguiente dirección: ***URL.2 A continuación, teniendo en cuenta los intentos infructuosos por correo postal del traslado a FLOSA ACI, S.L., se realizó una consulta el Registro Mercantil Central, en virtud del cual se tuvo conocimiento de que dicha entidad fue disuelta con fecha de 22 de octubre de 2018. No obstante, consultado el registro de dominios de internet se comprueba que el dominio “***DOMINIO.1” ha sido renovado con fecha de 26 de noviembre de 2022 por la registradora NOMINALIA INTERNET, S.L. (en lo sucesivo, NOMINALIA) Tras el conocimiento de dicho hecho, se procedió a solicitar a dicha sociedad los datos del titular del dominio de internet y del domicilio de facturación, recibiendo el 27 de diciembre de 2022 escrito remitido por la mencionada empresa, donde se facilitaba los datos de la persona física, así como los del titular del dominio, correspondiente ambos a B.B.B. con NIF ***NIF.1. Obtenidos tales datos, se solicitó al titular del dominio la identificación completa del responsable del sitio web, así como la dirección IP correspondiente a la sesión del autor de la publicación del anuncio objeto de la reclamación. En fecha 16 de febrero de 2023 tuvo entrada a esta entidad escrito del citado titular, a través del cual, por un lado, declaraba ser, asimismo, responsable del sitio web referido. Por otro lado, se facilitaba la dirección de IP solicitada por esta entidad relativa a la sesión del autor de la publicación, indicando el siguiente Código IP: ***IP.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 Conocida la mencionada dirección IP, se solicita a la operadora de la misma, TELEFÓNICA DE ESPAÑA, S.L.U., información relativa a la titularidad de su asignación, recibiendo en fecha 1 de marzo de 2023 escrito de dicha operadora facilitando la información solicitada. Consultada el área correspondiente, nos informan que los datos identificativos y de domicilio de la IP mencionada son los siguientes: C.C.C. con NIF ***NIF.1 y dirección en ***DIRECCIÓN.1. Por último, con fecha de 17 de febrero de 2023, se comprueba que el contenido objeto de la reclamación ha sido eliminado. QUINTO: Con fecha 20 de julio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD. Frente a dicho acuerdo de inicio la parte reclamada no interpuso alegaciones. SEXTO: Con fecha 29 de noviembre de 2023 se formuló propuesta de resolución, proponiendo una multa de 10.0000 euros por la comisión de una infracción del artículo 83.5

  1. a)del RGPD, tipificada en el artículo 6.1 del mismo texto, relativo al principio de licitud en el tratamiento de los datos personales de las personas físicas. SÉPTIMO: La propuesta de resolución se notificó el 04/03/2024 por correo ordinario a la parte reclamada, tal y como consta en el acuse de recibo que obra en el expediente. OCTAVO: Con fecha 14/03/2024, la parte reclamada presentó escrito de alegaciones ante esta Agencia, a través de la cual se señalaba lo siguiente: “Alegamos, que ningún miembro de nuestra familia conoce a la persona que se hace referencia en este expediente, ni se tiene intención alguna de generar ningún daño a esta persona. Que desconocemos si se ha accedido a nuestro internet o dispositivos mediante algún método como phishing o algún método similar y se ha podido realizar esta acción utilizando nuestros servicios de internet. La residencia donde estaba ubicado el internet, es un bloque de pisos, y se desconoce, que se han podido conectar a través de el, para hacer este acto. Solicitamos que se tengan en cuenta estas cuestiones, y habiendo consultado esto con una abogada entendemos que no podemos demostrar nuestra inocencia por lo que nos indica que lleguemos algún tipo de acuerdo, para rebajar la sanción, y hacer el pronto pago, ya que no podemos probar que no hemos realizado el delito del que se nos acusa.” De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Resulta probado que el número de teléfono de la parte reclamante fue publicado sin su consentimiento en un anuncio en el sitio web ***URL.1. Dicho anuncio ofrecía masajes de índole sexual. Tal hecho queda acreditado por la captura de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 pantalla que se adjunta en el escrito de reclamación y que fue posteriormente confirmado por la presente autoridad durante las actuaciones de investigación. SEGUNDA: La parte reclamante afirma haber recibido llamadas y mensajes de WhatsApp solicitando información en relación con los servicios anunciados en el citado sitio web, lo que evidencia la asociación de su número de teléfono con el mencionado anuncio. TERCERA: La publicación del anuncio objeto de reclamación fue realizada por la parte reclamada, lo cual ha quedado asimismo acreditado tras las actuaciones de investigación de la presente autoridad. Durante el transcurso de dichas actuaciones se facilitó, por el titular del dominio de la página donde se encontraba el anuncio, la dirección IP del autor de dicho anuncio, dirección IP que, según la operadora de la misma, corresponde a la parte reclamada. CUARTA: La parte reclamada ha afirmado no conocer a la persona afectada, ni haber tenido intención de generar daño alguno a la misma. Asimismo, desconoce si alguien externo ha podido acceder a su dispositivo para poder realizar la acción objeto del presente procedimiento. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4 “Definiciones” del RGPD define los siguientes términos a efectos del Reglamento: "1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” Por su parte, el artículo 53.1 de la Ley 39/2015 de 1 de octubre, de Procedimiento Administrativo Común de las Administraciones Públicas establece un catálogo de derechos que poseen los interesados en cualquier procedimiento administrativo. Asimismo, el apartado segundo de dicho artículo establece derechos específicos que poseen los presuntos responsables en el caso de procedimientos administrativos de naturaleza sancionadora: “2. Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables tendrán los siguientes derechos: […]
  2. b)A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” III Licitud del tratamiento de los datos personales Los principios que han de regir el tratamiento se encuentran enumerados en el artículo 5 del RGPD. En este sentido, el apartado 1 letra a), señala que: “Los datos personales serán:
  3. a)Tratados de manera lícita, leal y transparente en relación con el interesado (licitud, lealtad y transparencia); (…)” El principio de licitud se regula, fundamentalmente, en el artículo 6 del RGPD. Los supuestos que permiten considerar lícito el tratamiento de los datos personales se enumeran en el artículo 6.1 del RGPD: 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  4. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8
  5. a)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  6. b)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  7. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  8. d)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  9. e)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  10. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” En este sentido, el Considerando 40 del RGPD señala que “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.” IV Conclusión Sin perjuicio de las evidencias presentadas que resultan de los hechos probados y las investigaciones llevadas a cabo por la presente autoridad, es fundamental considerar que, para la imposición de cualquier tipo de procedimiento sancionador, incluido los instruidos en el ámbito de la protección de datos personales, resulta imprescindible acreditar de manera fehaciente la responsabilidad del presunto responsable en los hechos que se le imputan, de acuerdo con los principios de la potestad sancionadora garantizados por la Ley 40/2015 de 1 de octubre de Régimen Jurídico del Sector Público. Tal y como resulta de los hecho probados, la titularidad de la dirección IP aportada por el operador de telecomunicaciones es la única prueba de cargo que se dispone en el presente procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 La parte reclamada ha afirmado no conocer al individuo afectado ni tener intención de causar daño y, además, plantea la posibilidad de que terceros hayan accedido de forma ilegítima a sus dispositivos o conexiones para cometer el acto que se les imputa. Dicha manifestación introduce una duda razonable sobre la identificación directa y la responsabilidad de la parte reclamada en la publicación indebida del anuncio. Según el artículo 53 apartado segundo de la Ley 39/2015 del Procedimiento Administrativo Común de las Administraciones Públicas y el artículo 48 del RGPD, se debe garantizar la presunción de no existencia de responsabilidad administrativa hasta que se demuestre lo contrario. En presente caso, no se ha podido determinar con certeza que la parte reclamada haya sido quien cometió directamente la infracción de los datos personales. La determinación de la titularidad de la dirección IP no implica necesariamente que la parte reclamada haya sido la autora material de la infracción, especialmente en un contexto donde múltiples individuos pueden tener acceso a la misma red de internet, como sugiere la alegación de la parte reclamada sobre el posible uso no autorizado de su red por terceros. En vista de lo anteriormente mencionado, se propone el archivo del procedimiento por no haberse acreditado de forma suficiente la imputación directa de los hechos a la parte reclamada. Esta decisión se fundamenta en los principios de legalidad, responsabilidad y de presunción de no existencia de responsabilidad administrativa, así como en la ausencia de pruebas concluyentes que vinculen de manera indubitada a la parte reclamada con la acción que originó la reclamación. No obstante, debe de tenerse en cuenta que el presente archivo no impide la apertura de nuevas investigaciones si en el futuro surgen nuevas evidencias que puedan arrojar luz sobre los hechos de una manera más concluyente. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de anteriormente mencionados cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el presente procedimiento sancionador contra C.C.C. con NIF ***NIF.1 SEGUNDO: NOTIFICAR la presente resolución a C.C.C. con NIF ***NIF.1 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el artículo 90.3
  11. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.