1/6 Expediente N.º: EXP202314956 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha ***FECHA.1 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a A.A.A. con NIF ***NIF.1 (en adelante, A.A.A. o la parte reclamada). Los hechos que se pusieron en conocimiento de esta autoridad fueron los siguientes: La reclamante manifiesta ser la madre de una chica menor de edad que recibió el ***FECHA.1 una captura de pantalla de un amigo para advertirle que ese mismo día A.A.A. (***TELÉFONO.1), estaba difundiendo una fotografía de ella manipulada artificialmente para que pareciera desnuda. Afirma que la fotografía original la había obtenido de una historia del perfil de su hija que tenía publicada en la red social Instagram. Junto al escrito, se aporta: - Copia de captura de pantalla de un mensaje de un chat en el que puede verse la menor en cuestión con su imagen con falso desnudo. - Copia del vídeo de la historia de la hija menor publicada en Instagram de la que tomaron la imagen que posteriormente fue manipulada. SEGUNDO: Con fecha 25 de octubre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: Analizada la documentación presentada en la reclamación, no se obtienen las evidencias necesarias para determinar la responsabilidad del reclamado ni el alcance C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/6 de la difusión de la imagen de la hija de quien reclama ya que solo se aporta una captura de pantalla con la imagen en una conversación de WhatsApp que parece ser de uno a uno, por lo que se requirió a la reclamante que (
- i)especificara en detalle dónde había sido difundida la imagen de su hija: sitio web, aplicaciones de mensajería (indicando si se ha realizado en un grupo), foros de internet, redes sociales (indicando perfiles), etc. y (
- ii)especificara cómo se había llegado a determinar la responsabilidad de los reclamados señalados en la reclamación, aportando copia de las posibles evidencias. Con fecha de 13 de noviembre de 2023 se recibió en esta Agencia un escrito remitido por la reclamante incluyendo la misma captura de pantalla del mensaje de WhatsApp ya presentada en la reclamación y sin aportar ningún dato adicional a lo ya manifestado por esta parte en su reclamación. Requerido a la entidad VODAFONE ESPAÑA, S.A.U., operadora del número de teléfono ***TELÉFONO.1 señalado en la reclamación como perteneciente a A.A.A., que informara de los datos de su titular y domicilio de éste, con fecha de 4 de marzo de 2024 se recibió en esta Agencia escrito de contestación informando de que el titular de este número de teléfono era B.B.B. con NIF ***NIF.2 y domicilio en ***DOMICILIO.1. Realizado requerimiento a B.B.B. acerca del usuario de ese número de teléfono y la posible difusión y/o conservación de las imágenes señaladas en la reclamación, con fecha de 25 de marzo de 2024 se recibió en esta Agencia escrito de contestación al requerimiento informando de que el usuario de este número de teléfono era A.A.A. que resulta ser su hijo (…). Añadía que la imagen no fue publicada en ningún grupo de WhatsApp o Telegram, ni enviada a ninguna otra aplicación y que la imagen modificada también fue eliminada del dispositivo a las dos horas aproximadamente. CUARTO: Con fecha 16 de abril de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, el 5 de mayo de 2025 la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que: - Faltan elementos objetivos para sustentar la existencia de una infracción. - La imagen manipulada no fue publicada, enviada, compartida ni difundida a través de aplicación alguna ni ningún otro canal, más allá del único envío que dio lugar a la captura de pantalla aportada con la reclamación. - La imagen manipulada fue eliminada del dispositivo aproximadamente dos horas después de su edición. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/6 - Por los mismos hechos que motivan el presente procedimiento sancionador, se incoó el Expediente de Reforma núm. (...), ante el Juzgado de Menores número (...), que concluyó mediante Auto de archivo definitivo dictado el 30 de mayo de 2024, tras haberse alcanzado de forma satisfactoria un acuerdo de conciliación/mediación entre las partes, en aplicación de lo dispuesto en el artículo 19 de la Ley Orgánica 5/2000, de 12 de enero, reguladora de la responsabilidad penal de los menores (LORRPM). Junto con las alegaciones se aporta copia del Auto de Incoación y del Auto de Archivo Definitivo del citado Expediente de Reforma. - No se produjo ningún tipo de difusión de la imagen manipulada, más allá del único envío que dio origen al presente procedimiento. SEXTO: Con fecha 29 de enero de 2026, el órgano instructor del presente procedimiento propuso a la Presidencia de la Agencia Española de Protección de Datos que la resolución que se dicte ARCHIVE el presente procedimiento sancionador contra A.A.A., con NIF ***NIF.1, por una infracción del artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD. SÉPTIMO: Una vez notificada la citada propuesta de resolución conforme a las normas establecidas en la LPACAP, no se han recibido en esta Agencia alegaciones a la misma. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El ***FECHA.1, a través de la línea telefónica ***TELÉFONO.1, de la que era usuario, A.A.A. envió a través de WhatsApp una imagen de una menor de edad, manipulada para que pareciera desnuda. SEGUNDO: Por los hechos descritos en el hecho probado primero se incoó el Expediente de Reforma núm. (...), ante el Juzgado de Menores número (...). Dicho expediente de reforma concluyó mediante Auto de archivo definitivo dictado el 30 de mayo de 2024, tras haberse alcanzado un acuerdo de conciliación entre las partes en virtud del art. 19 de la Ley Orgánica 5/2000, de 12 de enero, reguladora de la responsabilidad penal de los menores, cuyo apartado 2 indica lo siguiente: “2. A efectos de lo dispuesto en el apartado anterior, se entenderá producida la conciliación cuando el menor reconozca el daño causado y se disculpe ante la víctima, y ésta acepte sus disculpas, y se entenderá por reparación el compromiso asumido por el menor con la víctima o perjudicado de realizar determinadas acciones en beneficio de aquellos o de la comunidad, seguido de su realización efectiva. Todo ello sin perjuicio del acuerdo al que hayan llegado las partes en relación con la responsabilidad civil (…).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/6 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. Según ha quedado acreditado, A.A.A. difundió una fotografía de la hija de la reclamante, menor de edad, manipulada artificialmente para que pareciera desnuda, a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/6 través de una aplicación de mensajería. Atendiendo a lo anterior, A.A.A. realizó esta actividad en su condición de responsable del tratamiento, dado que era quien determinaba los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Alegaciones aducidas En sus alegaciones al acuerdo de inicio del presente procedimiento sancionador, se indica que por los mismos hechos que motivan el presente procedimiento sancionador, se incoó el Expediente de Reforma núm. (...), ante el Juzgado de Menores número (...), que concluyó mediante Auto de archivo definitivo dictado el 30 de mayo de 2024, tras haberse alcanzado de forma satisfactoria un acuerdo de conciliación/mediación entre las partes, en aplicación de lo dispuesto en el artículo 19 de la Ley Orgánica 5/2000, de 12 de enero, reguladora de la responsabilidad penal de los menores (LORRPM). Al respecto, esta Agencia desea señalar que, si bien de la documentación obrante en el expediente administrativo se infiere que A.A.A. participó en los hechos referidos en los antecedentes, también que los mismos fueron objeto de un Expediente de Reforma ante un Juzgado de Menores que finalizó al alcanzarse conciliación entre las partes, lo cual tuvo como consecuencia- siquiera accesoria- el conocimiento por su parte de las implicaciones de sus actos en materia de protección de datos personales. Cabe destacar que, según la normativa de aplicación, se entenderá producida la conciliación cuando el menor reconozca el daño causado y se disculpe ante la víctima, y ésta acepte sus disculpas, y se entenderá por reparación el compromiso asumido por el menor con la víctima o perjudicado de realizar determinadas acciones en beneficio de aquellos o de la comunidad, seguido de su realización efectiva. (…) Alcanzando así, por lo tanto, una finalidad análoga a la pretendida con los poderes correctivos otorgados a esta AEPD. Incluido el procedimiento sancionador iniciado contra A.A.A. Por tanto, sin olvidar que los hechos conocidos y en los que participó A.A.A. revisten especial relevancia por las posibles consecuencias en la esfera de la intimidad de la menor involucrada, ha de entenderse que los mismos ya han recibido una respuesta adecuada en atención a su grado de responsabilidad. Por lo que se estima la presente alegación. Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el presente procedimiento sancionador contra A.A.A., con NIF ***NIF.1, por una infracción del artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD SEGUNDO: NOTIFICAR la presente resolución a B.B.B. con NIF ***NIF.2, progenitor y, por lo tanto, representante legal de A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/6 TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-090326 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es