← España

PS-00297-2023

1/14 Expediente N.º: EXP202209498 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 23/07/2022 interpuso reclamación ante la Agencia Española de Protección de Datos. por un posible incumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal. Los motivos en que basa la reclamación son los siguientes: “El día ***FECHA.1 alguien hizo público un anuncio con mi foto y mis datos, desde ese día esta persona que publicó el anuncio se ha ido poniendo en contacto con gente de páginas de contactos para que me hablen por WhatsApp o por Instagram y no paran de escribir o llamar” Aporta junto a su reclamación: 1- captura de pantalla expuesta en ***URL.1, que figura con el número referencia ***REFERENCIA.1”, junto a ella, la fecha:“***FECHA.1”, con el título “***TÍTULO.1”, y el literal “28 añitos…”, y continua con un ofrecimiento sexual a cambio de dinero. En la parte inferior, su fotografía, asociada al número de contacto de teléfono móvil“***TELÉFONO.1” (que coincide con el que figura en la reclamación de la reclamante). 2- archivo JPG en el que según la reclamante es un “e mail que recibe una de esas personas”, figurando un anuncio en comentario, su teléfono y una dirección. En concreto: Se ve una captura de pantalla que, en el primer campo del envío, en “nombre”, figura: A.A.A., debajo consta e mail: ***EMAIL.1. En “comentario: (…). escribeme insta XXXXXXXXX o llamame ***TELÉFONO.1” En la parte inferior consta: “Gestiona todos tus anuncios desde aquí: ***EMAIL.2 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 3-Impresión de imagen con captura de pantalla, con número de archivo: XXXX.PNG, según el formulario de la reclamación cumplimentado por la reclamante, es la persona que “se pone en contacto conmigo el día XX/XX” al ver uno de los anuncios. En la pantalla figura un chat, con el literal: “-Buenas A.A.A. -Vengo de verte en un anuncio en contactos.clasf Y quería saber si aún están disponibles los servicios” Como respuesta: “Me están suplantando la identidad -Me podrías pasar el anuncio porfa. -Para denunciar” SEGUNDO: Con fecha 13/09/2022, por la Subdirección General de Inspección de Datos, se constató con el fin de obtener evidencias para la admisibilidad de la reclamación: -Accediendo a la web pasión.com, se hace una búsqueda del anuncio en contactos, mediante el número de referencia, ***REFERENCIA.1, sin hallarse. - Entrando en la web: ***URL.2 y buscando mediante el número de teléfono ***TELÉFONO.1, en “contactos” sin hallarse activo ninguno. TERCERO: Con fecha 14/09/2022, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación (AI/00337/2022) para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en los artículos 57.1 y 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), (en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1-El Servicio de Inspección de Datos requirió el 27/09/2022 a MUBA ONLINE S.L.U., responsable del sitio web ***URL.1, en el cual se publica un anuncio, referencia ***REFERENCIA.1, que informe sobre: “1. Fecha de publicación y fecha de baja del citado anuncio de contactos que podrá encontrar anexo a este documento 2. Todos los datos de que dispongan del usuario que publicó el contacto 3. Dirección IP, fecha y hora en que se publicó el anuncio 4. Cualquier otra información que permita identificar al responsable de la publicación MEDIDA CAUTELAR, Se deberá dar de baja el citado anuncio de contactos al menos durante el tiempo que duren las presentes actuaciones.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 Con el requerimiento se le envió la captura de la pantalla que aporta la reclamante, y se relata en el punto 1 del hecho primero, sobre el anuncio en pasión.com, en el que se ve en el margen derecho la fecha 2023-07-14. Respondieron el 27/09/2022 que: “El único anuncio encontrado relacionado a esa cuenta de usuario es el siguiente: ***REFERENCIA.1 “***TÍTULO.1. (Contactos mujeres en ***LOCALIDAD.1) (…). Nombre: A.A.A. Email: ***EMAIL.3 Publicado: XXXXXXX IP:***IP.1 Proxy: ***PROXY.1 El anuncio se encontraba en la tabla de anuncios borrados debido, a que o bien había caducado, o bien el usuario de la cuenta de correo ***EMAIL.3 lo había borrado. La caducidad del anuncio fue establecida en 15 días y estaba marcado como fecha de caducidad el día 2022-08-01 22:34:09. Esto quiere decir que si no lo borró antes el usuario ***EMAIL.3, el anuncio caducó en esa fecha. En su base de datos no almacenan la fecha de borrado. -Con fecha 28/12/2022, se realiza diligencia por el Servicio de Inspección de Datos por consulta en internet, en la base de datos WHOIS, de la dirección IP***IP.1 correspondiente al anuncio (***URL.1) y se verifica que está gestionada por Telefónica de España (TDE) -El Servicio de Inspección de Datos solicitó el 29/12/2022 a TDE los “datos del titular de la dirección IP ***IP.1, en fecha 17/07/2022 a las 21:44:14. Se deberá aportar nombre y apellidos, dirección postal, número de documento de identidad y dirección de correo electrónico. “ TDE informó a esta AEPD, el 5/01/2023, que la dirección IP***IP.1, (***URL.1) a la hora 21:44:14, el día 17/07/2022, se encontraba asignada a la línea ***TELÉFONO.1, cuyos datos son los siguientes: Nombre y apellidos: B.B.B., (en lo sucesivo, el reclamado), proporcionando su NIF y su domicilio. 2-Diligencia de inspección de 27/09/2022, en la que se refleja que el responsable del portal de anuncios ***URL.2, es SERVICIOS GENERALES DE COMERCIO ONLINE SL, (SGCO) a la que se le solicitó en esa misma fecha: “1. Fecha de publicación y fecha de baja del citado anuncio de contactos que podrá encontrar anexo a este documento 2. Todos los datos de que dispongan del usuario que publicó el contacto 3. Dirección IP, fecha y hora en que se publicó el anuncio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 4. Cualquier otra información que permita identificar al responsable de la publicación MEDIDA CAUTELAR, Se deberá dar de baja el citado anuncio de contactos al menos durante el tiempo que duren las presentes actuaciones.” A la petición de información se le adjuntaba la captura de pantalla que se comenta en el hecho primero, punto 2 sobre la documentación que aporta la reclamante (e mail nombre: A.A.A.) SGCO en su respuesta de 4/10/2022, manifestó que, consultados sus sistemas de información, “el anexo que se les ha enviado es una captura de pantalla de un email que se genera a través del formulario de "Contactar" de un anuncio, para solicitar información, pero no es un anuncio en sí”. El “anexo es una captura de pantalla de un e mail recibido por la persona que publicó el anuncio con título “XXXXXX" Este email fue recibido porque alguien completó el formulario de solicitud de información de dicho anuncio. Los datos de conexión de esta solicitud de información, Nombre A.A.A. Email ***EMAIL.1 Teléfono Mensaje ***MENSAJE.1 Aceptación Condiciones de uso y privacidad Sí IP ***IP.1 Fecha XXXXXXXX ● El anuncio con título "XXXXXXX", y a cuyo anunciante se envió el email que aparece facilitado por la denunciante, tiene los siguientes datos: Título XXXXXXXX Texto (…). Datos de contacto (…). Fecha de publicación XXXXXXX IP ***IP.1 Atendiendo a la solicitud de la AEPD de dar de baja el anuncio mientras dure la investigación, han desactivado el anuncio "XXXXXXXX". Han realizado una búsqueda en sus registros por si se hubiera producido alguna otra solicitud de información con los mismos datos de contacto, y no se han obtenido resultados. -Por el Servicio de Inspección de Datos, con fecha 28/12/2022 se consulta en la web “whois”, información sobre la dirección IP ***IP.1 correspondiente al email recibido al completar el formulario de solicitud de información del primer anuncio (no se ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 investigado la IP de dicho anuncio ya que no contiene información de la reclamante). Esta dirección corresponde a XXXXXXXXX ubicada en Alemania. Por el Servicio de Inspección de Datos se remitió escrito el 29/12/2022, requerimiento de información que fue entregada, pero no se respondió 3-En fecha 30/03/2023, se recogió en el domicilio del reclamado un requerimiento de información de esta AEPD dirigido al titular de la IP responsable de la publicación del anuncio en la web ***URL.1, C.C.C., (misma dirección que proporcionó TDE) para que facilite la base legal para la publicación de un anuncio de contactos en el que figuran datos personales de la reclamante. El envío se remitió con la captura de pantalla del anuncio expuesto en ***URL.1, que figura con el número referencia ***REFERENCIA.1, de “14/07/2021”, con el título “***TÍTULO.1” y se anuncia con “28 añitos…”, y continua con un ofrecimiento sexual a cambio de dinero. En la parte inferior, su fotografía, asociada al número de contacto “***TELÉFONO.1” (que coincide con el que figura en la reclamación de la reclamante).Asimismo se le indicaba que el anuncio se publicó el 17/07/2022 asignado a una IP relacionada con la línea de teléfono ***TELÉFONO.1. No se recibió respuesta alguna a esta solicitud por parte del destinatario, figurando “entregado el 30/03/2023” QUINTO: Con fecha 20/07/2023, la Directora acordó: “INICIAR PROCEDIMIENTO SANCIONADOR a C.C.C., con NIF ***NIF.1, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.

  1. a)del RGPD y a efectos de prescripción de la infracción en el artículo 72.1.
  2. b)de la LOPDGDD. “Que a los efectos previstos en el art. 64.2
  3. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, (en lo sucesivo LPACAP) la sanción que pudiera corresponder sería 10.000,00 (diez mil euros), sin perjuicio de lo que resulte de la instrucción.” SEXTO: Con fecha 14/9/2023, ser reciben alegaciones del reclamante, que indica: 1) La entidad autorizada a presentar las alegaciones por el reclamado presenta copia del DNI del reclamado, nacido en 1948, edad 75 años, y aporta su certificado de (…). desde 30/11/2020 y certificado en una residencia desde 15/03/2022 hasta 31/05/2023, donde según indica él estuvo recuperándose de una enfermedad que cita, periodo que coincide con el de la publicación del anuncio en ***URL.1. 2) Manifiesta que a él se le imputa la comisión de los dos hechos, uno derivado del anuncio de ***URL.1, y el otro de ***URL.2, que tiene una IP ***IP.1, sobre la que no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 hay evidencia alguna sobre su identidad, no debiendo mantenerse dicha imputación por ser contraria a derecho. Añade que en el anuncio publicado en ***URL.1, seguramente la fecha de 14/07/2021 que refiere el acuerdo de inicio, es errónea, y sea ***FECHA.1. 3) Sobre la IP que según TDE, se corresponde con su línea, el día 17 a la hora que señala el acuerdo, indica que “tiene un ordenador personal de sobremesa y que conmigo conviven en mi domicilio otros familiares que utilizan habitualmente dicho ordenador, así como la conexión de otros dispositivos telemáticos que se enlazan con la línea telefónica antes citada”. Al tratarse de una conexión doméstica, “la seguridad de los routers domésticos no es inviolable y mucho menos si no se modifica la configuración por defecto antes de empezar a utilizarlos. En este sentido en Internet y sin siquiera poseer conocimientos avanzados en informática se pueden encontrar programas capaces de averiguar las IP de otras personas y usurpar su identidad para utilizarla fraudulentamente”. Refiere para apoyar su argumento, la sentencia del Tribunal Supremo 836/202 de 3/12/2012, con una referencia de CENDOJ, que se correspondería con la de la sala segunda de lo penal, sentencia 987/2021 de 3/12/2012, rec 2429/2011, ECLI: ES:TS:2012:8316, en un asunto de estafa informática: Phising. Orden de transferencia vía internet mediante claves obtenidas de forma fraudulenta. Para exculpar al acusado, el Tribunal valora la dirección “ip de una conexión a través de modem, no router”, indicando que: “Ello implicaba una información a internet de los puertos que estaban disponibles en el PC, lo que es un factor de vulnerabilidad cognoscible por otros usuarios de la red. De éstos un atacante malicioso puede aprovechar aquella vulnerabilidad para utilizar el equipo ajeno quedando su uso registrado como si fuera el auténtico titular el que utiliza la IP en esa manipulación del equipo, sin más condición que la de que el equipo del titular verdadero se encuentre encendido. Y ello sin que este titular pueda ni siquiera percatarse de ese uso malicioso y ajeno de su equipo. El informe avala sus conclusiones con experiencias que relata y advierte de que ni siquiera tal posibilidad exige una muy cualificada formación en el invasor que incluso dispone de herramientas de ayuda en la misma red. Al respecto facilita un amplio elenco de links en que se puede obtener tutoriales paso a paso para hacerse con el control de otro ordenador.” “La propia sentencia admite que este informe acredita la "posibilidad" de que ocurra tal ataque a un titular inocente.” 4) Propone el reclamado como pruebas: - Se solicite a TDE: 4.1 “Expida certificado de la IP asignada a la línea telefónica ***TELÉFONO.1 el 17/07/2022 a las 21:44:14 h.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 4.2 “Expida certificación en la que se indique a cuantos clientes se había adjudicado la antes citada IP en el día 17/07/2022 a las 21:44:14.” 4.3 “Expida certificación en la que se indique si aplica la técnica CARRIER GRADE NETWORK ADDRESS TRANSLATION-CG-NAT que permite el uso de una misma IPV4 publica a varios clientes de internet a la vez”. -4.4 Se solicita que MUBA ONLINE, responsable del sitio ***URL.1, aporte la fotografía publicada con el anuncio de referencia ***REFERENCIA.1 y se le pida a la reclamante su foto, y fecha de nacimiento, o bien la fotografía la aporte la AEPD, caso de que ya esté en su poder, al objeto de poder compararla con la publicada en el referido anuncio. -4.5 Sobre la dirección ***EMAIL.3 que se hallaba asociada a la publicación del anuncio en pasión.com, así como sobre el e mail ***EMAIL.3 (relacionado con el anuncio titulado XXXXX". de ***URL.2) se solicite al proveedor de servicios, GOOGLE, la identificación y todos los datos personales. -4.6 sobre la línea ***TELÉFONO.1, (relacionado con el anuncio titulado Ofrezco 400 €". de ***URL.2) se solicite los datos personales del titular. -4.7 Sobre el e mail ***EMAIL.3 y el e mail ***EMAIL.4, (relacionado con el anuncio titulado XXXXXXXX" de ***URL.2) la titularidad. -4.8 Que la AEPD aporte captura de los dos anuncios que aportó la reclamante para contrastar las respuestas dadas por MUBA ONLINE y SERVICIOS GENERALES DE COMERCIO ONLINE, dadas las discordancias entre lo que se indica en los hechos del acuerdo de inicio, y las respuestas de ambas (fecha publicación: anuncio en pasión.com y falta de número de teléfono en ***URL.2). -4.9 Pericial consistente en que un perito judicial informático emita un informe técnico en el ordenador de sobremesa del alegante respecto de la actividad habida con red de internet durante las fechas de publicación de ambos anuncios, y que la IP denunciada ha podido ser usada por un tercero desconocido para la creación de los citados anuncios. 4.10 Que la AEPD acredite que ha solicitado al órgano judicial la previa autorización para poder obtener su IP a la operadora TDE, según previene el artículo 52 de la LOPDGDD. SÉPTIMO: Con fecha 6/06/2024 se emite propuesta de resolución del literal: “Que por la Directora de la Agencia Española de Protección de Datos se ARCHIVE el procedimiento sancionador iniciado a C.C.C., con NIF ***NIF.1, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5
  4. a)del RGPD, calificada a efectos de prescripción como muy grave en el artículo 72.1.
  5. b)del RGPD.” Frente a la misma, no se reciben alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 HECHOS PROBADOS PRIMERO: La reclamante reclama porque alguna persona disponiendo de algunos de sus datos ha puesto un anuncio con su fotografía y número de teléfono móvil. Acompaña una impresión del anuncio en ***URL.1, con referencia ***REFERENCIA.1, 2022-07-14, un literal de ofrecimiento de sexo por dinero, y el número de teléfono que coincide con el que aporta la reclamante, y su fotografía. SEGUNDO: Cuestionada en actuaciones previas de investigación la responsable de la citada página ***URL.1, MUBA ONLINE SLU, el 27/09/2022, respondió que con la referencia del anuncio se relaciona “una cuenta de usuario”, y que el anuncio se publicó el 17/07/2022 a las 21:44:14, fecha que se aprecia, NO COINCIDE con la que figuraba junto a la referencia del anuncio aportado por la reclamante, en el que consta: ***FECHA.1. También MUBA identifica la IP desde la que se produjo la conexión de colocación del anuncio, la***IP.1, el 17/07/2022 a las 21:44:14, constando también recogidos el nombre A.A.A., email: del usuario de la cuenta: ***EMAIL.3. En cuanto a la situación el anuncio, MUBA respondió que “se hallaba en la tabla de anuncios borrados”, sin poder acreditar si fue borrado por el usuario de la cuenta o al pasar el periodo establecido de 15 días de caducidad del anuncio. TERCERO: Con fecha ***FECHA.2, por la Subdirección General de Inspección de Datos, se constató con el fin de obtener evidencias para la admisibilidad de la reclamación QUE “accediendo a la web pasión.com, se hace una búsqueda del anuncio en contactos, mediante el número de referencia, ***REFERENCIA.1, sin hallarse.” CUARTO: -Con fecha 28/12/2022, se realiza diligencia DE CONSULTA EN INTERNET por el Servicio de Inspección de Datos en la base de datos WHOIS, de la dirección IP***IP.1 correspondiente al anuncio (***URL.1) y se verifica que está gestionada por Telefónica de España (TDE), a la que se solicitó el 29/12/2022 los “datos del titular de la dirección IP ***IP.1, en fecha 17/07/2022 a las 21:44:14. TDE informó a esta AEPD, el 5/01/2023, que la dirección IP***IP.1, (***URL.1) a la hora 21:44:14, el día 17/07/2022, se encontraba asignada a la línea ***TELÉFONO.1, cuyos datos son los siguientes: Nombre y apellidos: C.C.C., (en lo sucesivo, el reclamado), proporcionando su NIF y su domicilio. QUINTO: Además, en su reclamación también la reclamante aporta una captura de pantalla, constando en el primer campo del envío, “nombre”, A.A.A., debajo; e mail: ***EMAIL.1. En “comentario: Holaaa soy (…). escribeme insta XXXXXX o llamame ***TELÉFONO.1”(línea de teléfono móvil que coincide con el que la reclamante hace constar en su reclamación ) En la parte inferior consta: “Gestiona todos tus anuncios desde aquí: ***EMAIL.2 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 El servicio de inspección de Datos, con fecha 27/09/2022, refleja que el responsable del portal de ***URL.2, es SERVICIOS GENERALES DE COMERCIO ONLINE (SGCO) y enviando la Impresión del texto aportado por la reclamante, respondió el 4/10/2022 señalando que la captura de email no es un anuncio como tal, sino que se relaciona con un anuncio publicado y se genera a través del formulario de “contactar” de un anuncio para solicitar información. Especifica que es la captura de pantalla de un e mail recibido por la persona que publicó el anuncio titulado “XXXXXX”. Proporciona SGCO la IP desde la que se envió ese e mail: IP ***IP.1 Fecha 2022-07-23 12:59:12 También proporciona el texto del mensaje del anuncio “XXXXXXXXXXX”, en el que se solicitan servicios sexuales y se ponen los datos de contacto: C.C.C.- ***EMAIL.3 – ***TELÉFONO.1, Fecha de publicación XXXXXXXX, IP ***IP.1, que como se aprecia, no aluden a dato alguno de la reclamante. SGCO manifestó que “han desactivado el anuncio “XXXXXX”. SEXTO: Con fecha 28/12/2022, se realiza diligencia de consulta en internet por el Servicio de Inspección de Datos en la base de datos WHOIS, de la dirección IP ***IP.1 correspondiente al e mail que respondía al anuncio “XXXXXX ” que era el que contenía datos de la reclamante. El resultado fue que la dirección se corresponde a XXXXXXXX ubicada en Alemania, a la que el 29/12/2022 se requirió información, sin que se recibiera respuesta. Con fecha XXXXXXXX, por la Subdirección General de Inspección de Datos, se había constatado, con el fin de obtener evidencias para la admisibilidad de la reclamación, que, “entrando en la web: ***URL.2 y buscando mediante el número de teléfono ***TELÉFONO.1, en “contactos”, no se halló activo ninguno.” SÉPTIMO: Con fecha 22/03/2023 en la realización de actuaciones previas de investigación (AI/00337/2022) al reclamado se remitió copia de los anuncios, requiriendo que facilitara la base de legitimación del tratamiento de datos expuestos en el anuncio de ***URL.1, y resultó entregado el 30/03/3023, a una persona que se hallaba en el domicilio, no el reclamado, sin que se recibiera respuesta. OCTAVO: El reclamado aporta en sus alegaciones al acuerdo de inicio, un certificado de que estuvo en una Residencia, recuperándose de una enfermedad desde 15/03/2022 hasta 31/05/2023, período que además coincide con el que se difundió el anuncio de pasión.com que se le imputa. NOVENO: El reclamado en alegaciones al acuerdo de inicio del reclamado, no negó que dispusiera de conexión a internet asociada a la línea telefónica que proporcionó TDE: ***TELÉFONO.1, que manifestó el reclamado pertenece a su domicilio, si bien añadió, en su defensa que en su casa hay otros convivientes familiares que utilizan la conexión a internet instalada con “ dispositivos telemáticos que se enlazan con la línea telefónica antes citada” y un ordenador de sobremesa del que dispone. DÉCIMO: En alegaciones al acuerdo del reclamado, queda acreditado que el reclamado tiene 75 años, y una (…) desde 30/11/2020, al aportar copia del DNI y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 certificado de Departament de Treball, Afers Socials i Families de la Generalitat de Catalunya de resolución de reconocimiento. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II El RGPD tiene por objeto garantizar el derecho a la protección de los datos de las personas físicas. El artículo 4.1 del RGPD entiende por “datos personales”: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;”. El artículo 4.2 del RGPD define el “tratamiento” como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;”. El artículo 4.7 del RGPD define:” responsable del tratamiento” o “responsable”: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 Por su parte, el artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
  6. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  7. a)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  8. b)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  9. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
  10. d)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  11. e)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  12. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Los hechos objeto de reclamación referidos a la página web ***URL.1, que contienen datos de la reclamante: foto, número de móvil, nombre, supusieron en el acuerdo de inicio, la imputación de la citada infracción del artículo 6.1 del RGPD por parte de C.C.C., NIF/CIF: ***NIF.1, al haber sido identificado por la dirección IP a través de la cual se publicó el anuncio en la web “***URL.1”, conforme a la información facilitada por el operador TELEFÓNICA DE ESPAÑA” III El artículo 70 de la LOPDGDD como responsables de la infracción, señala que 1. Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica:
  13. a)Los responsables de los tratamientos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 En este caso, si bien se acordó iniciar procedimiento sancionador frente al reclamado, por el anuncio que constaba en la web de pasión.com, con los datos de la fotografía y la línea móvil de la reclamante y su nombre, datos personales que la identifican. En tal sentido, se debe indicar dicho responsable será el que determinó los fines y medios del tratamiento referidos al citado anuncio en la citada web. El Tribunal Constitucional ha declarado de forma reiterada que al Derecho Administrativo Sancionador le son de aplicación, con alguna matización, pero sin excepciones, los principios inspiradores del orden penal, resultando claro la plena virtualidad de los principios de presunción de inocencia. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. “La presunción de inocencia, como verdad interinamente afirmada y mantenida, exige que se demuestre lo contrario, la culpabilidad (STC 124/1983, de 21 Dic.), o sea, que la desplace una prueba adecuada exigible en todo caso para que el Tribunal pueda condenar.” La Sentencia 44/1989, del Tribunal Constitucional de 20/02/1989, recurso 931/1987, indica que “, existe una diferencia sustancial entre el derecho a la presunción de inocencia, que desenvuelve su eficacia cuando existe una falta absoluta de pruebas o cuando las practicadas no reúnen las garantías procesales y el principio jurisprudencial in dubio pro reo que pertenece al momento de la valoración o apreciación probatoria, y que ha de juzgar cuando, concurre aquella actividad probatoria indispensable, exista una duda racional sobre la real concurrencia de los elementos objetivos y subjetivos que integran el tipo penal de que se trate.” En definitiva, aquellos principios impiden imputar una infracción administrativa cuando no se haya obtenido y acreditado una prueba de cargo acreditativa de los hechos que motivan la imputación o de la intervención en los mismos del presunto infractor.“ Por ello, aplicando el citado principio y el de “in dubio pro reo”, que obliga en caso de duda respecto de un hecho concreto y determinante a resolver dicha duda del modo más favorable al denunciado, como se ha dicho anteriormente, procede la declaración del archivo del procedimiento basado en los siguientes elementos que concurren en el presente procedimiento: -El reclamado manifestó que en su domicilio conviven otras personas que usualmente se conectan con distintos dispositivos. Si a ello se puede añadir que los router C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 domésticos suelen portar las contraseñas en su parte posterior, y que si no son variadas por su titular no es difícil su acceso por ejemplo por terceros visitantes, habiendo manifestado el reclamado la poca seguridad de los routers domésticos. -La dirección IP que proporcionó MUBA, responsable de la página en la que figuraban los datos de la reclamante sobre la fecha y hora de la conexión del anuncio traslada la publicación al día 17/07/2021, cuando la reclamante manifiesta desde el inicio que se publica el 14/07/2021, y de acuerdo con la copia del anuncio en pasión.com, figura esta fecha junto a la referencia. El mero cambio en la fecha de la publicación del anuncio puede motivar que la IP de esa otra franja de ese otro día, se correspondiera con otra dirección IP y eventualmente con distinto titular. Por otro lado, hay que señalar que el reclamado, con 75 años , aportó certificado de que en el período que cubre la fecha del anuncio, se hallaba en una residencia. Los hechos que el reclamado hubiera procedido a la obtención de la fotografía de la joven reclamante, junto a su línea de teléfono móvil y que ordenara los medios técnicamente, para exponer en dicha web de anuncios el literal de un contenido explícitamente sexual, permiten añadir dudas razonables sobre la atribución de su responsabilidad. Como consecuencia, de las pruebas practicadas y los documentos y actuaciones que forman parte del presente expediente, no se ha generado una convicción sobre la responsabilidad de la infracción por parte del reclamado más allá de toda duda razonable, por lo que ha de dar lugar al archivo del procedimiento. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el procedimiento sancionador iniciado a C.C.C., con NIF ***NIF.1, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5
  14. a)del RGPD, calificada a efectos de prescripción como muy grave en el artículo 72.1.
  15. b)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a C.C.C.. TRCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  16. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.