1/15 Expediente N.º: EXP202309213 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 05/09/2022 interpuso dos reclamaciones ante la Agencia Española de Protección de Datos dirigidas contra los usuarios de la red social “Twitter” que se mencionan en las URL indicadas a dichas reclamaciones. Los motivos en que basa dichas reclamaciones son los siguientes: “Publicación de un vídeo privado en el que aparezco sin mi consentimiento. El vídeo se ha hecho viral y yo no he dado permiso ni al montaje del vídeo ni a su distribución. Eran tomas independientes para un fin laboral, no para su publicación en redes sociales sin mi consentimiento ya que ni siquiera he sido yo quien ha distribuido el vídeo. Hecho denunciado en Twitter y respuesta recibida sin que se hayan tomado medidas”. En la primera de las reclamaciones recibidas, se señala que el vídeo fue publicado en la red social “Twitter” en fecha 02/09/2022 por parte del usuario “***USUARIO.1”. El vídeo consiste en un montaje de tomas sucesivas en las que la parte reclamante mira a cámara y comenta cuántas copas de vino y alcohol va bebiendo a lo largo de una noche, viéndose la consiguiente evolución que la ingesta de alcohol va produciendo en su estado. Mediante la segunda reclamación, la parte reclamante “añade” documentación a la reclamación anterior. Según la parte reclamante, “se trata de más vídeos y montajes fotográficos tipo el publicado por la parte reclamada en dicho expdte (***USUARIO.1). En este caso otros usuarios de la red social Twitter han usado el mismo vídeo o imágenes de ese vídeo sin mi consentimiento. La descripción de los hechos es la misma que la enviada en anteriores reclamaciones”. En la reclamación se detallan las URL que conducen a las publicaciones denunciadas (22 vídeos y 2 imágenes). Junto a las reclamaciones se aporta, entre otra documentación, la siguiente: . Captura de pantalla correspondiente al perfil del usuario de “Twitter” “***USUARIO.1”. Consta la fecha “2 sept.”, el texto “***TEXTO.1” y una imagen del video en cuestión que corresponde a una foto de la parte reclamante. Consta que el vídeo tiene una duración de 38 segundos y que ha tenido “1,7 M reproducciones”. . Capturas de pantalla correspondientes a los perfiles de usuarios de “Twitter” que divulgaron el vídeo o las imágenes. En la mayoría de ellos constan las fechas de 02, 03 o 04/09/2022; textos como “(…)”; etc.; y una imagen del video en cuestión que corresponde a una foto de la parte reclamante. Consta la duración del vídeo (38 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 segundos) y el número de reproducciones en cada caso (desde 30 hasta 443,8 mil reproducciones). SEGUNDO: Con fecha 05/09/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la primera de las reclamaciones reseñadas en el Antecedente Primero. El Acuerdo de Admisión fue notificado a la parte reclamante en la misma fecha. TERCERO: Con fecha 06/09/2022, tuvieron entrada en la Agencia dos nuevas reclamaciones de la parte reclamante. Las reclamaciones se dirigen contra nuevos usuarios de “Twitter”, “Instagram” y “Youtube”, que también divulgaron el vídeo en cuestión con comentarios similares a los reseñados anteriormente, los cuales se añaden a los incluidos en las reclamaciones anteriores, así como contra los responsables y usuarios de las páginas web que se indican, en las que se insertó igualmente el vídeo en cuestión. Entre estos últimos, figura un usuario de la web “***URL.1”, identificado como “***USUARIO.2”, que publicó el vídeo en cuestión en fecha 03/09/2022, accesible en la URL “***URL.2”, tomado del usuario de Twitter “***USUARIO.1”. Por la Subdirección General de Inspección de Datos se accedió al hilo generado por el usuario “***USUARIO.2” con el rótulo “***RÓTULO.1”, comprobando que, en la misma fecha del 03/09/2022, dicho vídeo fue también publicado en la web “***URL.1” por otros usuarios (“***USUARIO.3” y “***USUARIO.4”). Por la Subdirección General de Inspección de Datos se accedió al hilo generado por el usuario “***USUARIO.2” con el rótulo “***RÓTULO.1”, comprobando que, en la misma fecha del 03/09/2022, otros usuarios de la web “***URL.1” realizaron comentarios en relación con el repetido vídeo. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1. Los Servicios de Inspección informan que el sito web “***URL.1” es un foro sin ánimo de lucro (no existe cuota para los usuarios ni publicidad) enfocado a diversas aficiones como videojuegos, cine, literatura, etc., en el que el contenido es generado por los propios usuarios. 2. Con fecha 08/09/2022, se solicitó a Entidad Pública Empresarial XXXXX (REDES) información sobre la entidad responsable del dominico “***URL.1”. REDES responde que el titular es B.B.B., con domicilio en ***DIRECCIÓN.1, con dirección de correo electrónico “***EMAIL.1” y teléfono ***TELÉFONO.1. Según la información facilitada, la persona de contacto administrativo, técnico y de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 facturación es C.C.C., con domicilio en calle ***DIRECCIÓN.1. 3. Con fecha 03/10/2022, se solicitó información a la entidad Orange Espagne, S.A.U. sobre la titularidad de la línea ***TELÉFONO.1. Según informó esta entidad en fecha 19/10/2022, la línea pertenece a D.D.D., con domicilio en ***DIRECCIÓN.3. 4. En el marco de las actuaciones previas de investigación, con fecha 21/10/2022, la AEPD dictó “Acuerdo de adopción de medida provisional” mediante el que se ordenó a D.D.D. la retirada del contenido objeto de la reclamación insertado en la web “***URL.1”, accesible a través de la URL “***URL.2” (video sobre “***ETIQUETA.1” del usuario “***USUARIO.2”). En este acuerdo, que fue notificado en fecha 10/11/2022, se dispuso expresamente lo siguiente: “1. Requerir a D.D.D. (***URL.1) para que, en el plazo máximo de 5 días naturales, proceda a retirar los contenidos antes señalados relativas al reclamante de las direcciones web desde las que sean accesibles, evitando en la medida en que el estado de la tecnología lo permita, la re-subida o re-carga de copias o réplicas exactas por el mismo u otros usuarios. 2. Requerir a D.D.D. (***URL.1) para que la retirada o modificación de los contenidos se efectúe de tal modo que imposibilite su acceso y disposición del original por terceros, pero garantice su conservación, a efectos de custodiar las evidencias que puedan ser precisas en el curso de la investigación policial o administrativa o del proceso judicial que pudieren instruirse. 3. Requerir a D.D.D. (***URL.1) para que, en el plazo máximo de 5 días naturales, informe a esta Agencia Española de Protección de Datos acerca de la ejecución de la medida”. 5. Mediante requerimientos de fechas 03/10, 17/11 y 21/11/2022, se solicitó a los responsables de “Wespec”, proveedor de hosting y dominios, información sobre la titularidad de la dirección de correo electrónico “***EMAIL.1”, datos identificativos y de contactos del dominio “pacot.es” y la titularidad y domicilio de facturación de este dominio. Esta entidad respondió en fecha 25/11/2022 lo siguiente: . La dirección de correo “***EMAIL.1” no pertenece al cliente. Se utilizó para anonimizar su dirección de correo del cliente y evitar que reciba correos no deseados. . Los datos identificativos y de contacto del titular del dominio “***URL.1” registrados en sus sistemas: . Nombre: B.B.B. . Apellidos: B.B.B. . Compañía: “***COMPAÑÍA.1” . Email: ***EMAIL.2 . Dirección postal: ***DIRECCIÓN.1 . Teléfono: ***TELÉFONO.1 Según indica la citada entidad, los datos anteriores fueron aportados por “E.E.E.”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 . Titular y domicilio de facturación del dominio “***URL.1”: . Nombre: E.E.E. . Apellidos: E.E.E. . Compañía: ***COMPAÑÍA.2 . Email: ***EMAIL.3 . Dirección postal: ***DIRECCIÓN.4 . Teléfono: ***TELÉFONO.2 6. Con fecha 07/12/2022, se solicitó a E.E.E. (responsable de la web “***URL.1”) la eliminación del contenido publicado en la URL “***URL.2” e información sobre la entidad que gestiona el sitio web “***URL.1”. Se recibió respuesta en fecha 21/12/2022, en la que se indica que el <<“hilo” en la plataforma con la url: ***URL.2) ha sido eliminado (entiéndase por “hilo” el mensaje inicial y todas las respuestas del mismo) el mismo día de recepción de la carta (21/12/2022) a las 13:15 (GMT)>>. Señala que la web solo retiene la información estrictamente necesaria para el correcto funcionamiento del website, que no almacena información, datos personales o fotografías de individuos, registrados o terceros y que está vetada la posibilidad de subir dichos archivos al servidor. Sobre las fotografías y vídeos apuntados en el requerimiento, aclara que provienen de otra web (***URL.3) y que son los usuarios de “***URL.1” los que han colocado enlaces a dicho contenido. Para indicar claramente que estos contenidos no provienen de “***URL.1”, pero sí de otras webs, estos se encajan en un marco que indica de qué plataforma se trata (se indican los usuarios que han publicado dicha imagen en “***URL.3” y que se enlazan en “***URL.1”). Si el contenido de dichos enlaces es eliminado en origen, no aparece más en “pacot.es”. 7. Con fecha de 11/01/2023, por los Servicios de Inspección se comprueba que el contenido accesible a través de la URL “***URL.2” ha sido eliminado. En esta misma fecha se comprobó que la página “***URL.1” no se encontraba disponible. 8. Con fecha 16/01/2023, con objeto de determinar la autoría de las publicaciones, se solicitó a E.E.E. información sobre la dirección IP desde la que el usuario “***USUARIO.2” publicó el contenido reclamado el 03/09/2022, a las 13:39 y 19:13 horas, así como los datos identificativos de registro del este perfil. Esta misma información se solicitó respecto de otros dos usuarios que intervinieron en el mismo hilo relativo al vídeo objeto de las actuaciones. Con fecha 28/01/2023, se recibe respuesta en la que se indica que la web no guarda ningún dato personal, más allá de la dirección de IP y una dirección de correo electrónico. Para el caso consultado facilita la dirección IP ***IP.1 y la dirección de correo electrónico “EMAIL.3”. La misma información facilita en relación con otros dos usuarios por los que fue consultado (dirección IP y dirección de correo electrónico). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 Asimismo, añade que “la página web no registra la dirección de IP de cada mensaje individual por cuestiones de logística y protección de datos, pero sí la última desde la que accedió el usuario a la misma”, que para el citado usuario se corresponde con la facilitada. Posteriormente, se solicitó el detalle de la fecha y hora que conste en sus sistemas correspondientes a la asignación de dirección IP informada anteriormente. En el escrito de respuesta, de 13/02/2023, E.E.E. facilita las direcciones IP asignadas a los usuarios consultados en las fechas 28/01/2023, a las 16:27:43 (hora de España), y 13/02/2023, a las 01:48:22 (hora de España). En relación con el usuario “***USUARIO.2”, facilita el siguiente detalle: . La dirección IP ***IP.1 asignada al perfil “***USUARIO.2” corresponde al día 28/01/2023, a las 16:27:43 (Hora de España). . La dirección IP de “***USUARIO.2” el día 13/02/2023, a las 01:48:22 (Hora de España) fue ***IP.2. 9. En respuesta al requerimiento que le fue realizado por los Servicios de Inspección, Telefónica de España, S.A.U. facilitó a esta Agencia, en fecha 14/02/2023, los datos identificativos y domicilio de los titulares de las asignaciones de direcciones IP indicadas, en las fechas y horas especificadas: . En la fecha del 28/01/2023, entre las 16:00:00 y 17:00:00 horas, el titular de la IP ***IP.1 es F.F.F., con NIF ***NIF.1 y domicilio en ***DIRECCIÓN.5. . En la fecha del 13/02/2023 entre las 01:00:00 y 02:00:00 horas, la titular de la IP ***IP.2 es G.G.G., con NIF ***NIF.2 y domicilio en calle ***DIRECCIÓN.6. Asimismo, Telefónica de España, S.A.U. facilitó identidades distintas para cada una de las direcciones IP indicadas por E.E.E. en relación con otro usuario de la web (el nombre, domicilio y DNI de la persona a la que se asignó la dirección IP correspondiente al 28/01/2023 no coinciden con los de la persona a la que se asignó la IP asociada al mismo usuario en fecha 13/02/2023). 10. Con fecha 09/03/2023, se solicitaron a F.F.F. y a G.G.G. los datos identificativos (nombre, apellidos y NIF) y domicilio de la persona con usuario “***USUARIO.2” en el sitio web “***URL.1” que utilizó su conexión a internet el 28/01/2023, entre las 16:00h y las 17:00 horas, y 13/02/2023, entre las 01:00h y las 02:00 horas, respectivamente. Aunque los respectivos requerimientos fueron notificados en fechas 03/04/2023 y 24/03/2023, no se ha recibido en esta Agencia escrito alguno de respuesta. 11. Finalmente, con objeto de esclarecer cómo el vídeo saltó a las redes sociales después de la grabación del mismo, en dos ocasiones la inspección actuante solicitó a la parte reclamante que identificara al autor de la grabación. Estos requerimientos de información fueron notificados en fechas 28/03/2023 y el 13/06/2023, pero no se recibió respuesta alguna. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 En el Informe de Actuaciones Previas de investigación, los Servicios de Inspección de la AEPD destacan que el vídeo en cuestión se viralizó tras su publicación el pasado 02/09/2022 en Twitter por parte del usuario “***USUARIO.1” y que, debido a esa amplia difusión, se encuentra en decenas de sitios y se podía localizar fácilmente con etiquetas como "***ETIQUETA.1" o "***ETIQUETA.2". Según indican los Servicios de Inspección, se trata de una réplica de los vídeos que se hicieron virales en las redes sociales desde el año 2021 con el asunto “***ASUNTO.1” que van mostrando la evolución del protagonista tras la ingesta de varias copas de bebidas alcohólicas, sobre los cuales pueden encontrar decenas de páginas de resultados en el motor de búsqueda “Google” empleando los términos señalados. QUINTO: Con fecha 25/07/2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a F.F.F. (en lo sucesivo la parte reclamada), por la presunta infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, sin perjuicio de lo que resulte de la instrucción, sería de 2.000 euros (dos mil euros) por cada una de las infracciones indicadas. SEXTO: Se ha intentado la notificación postal del acuerdo de inicio dos veces, con resultado “ausente”. El envío fue finalmente devuelto por el Servicio de Correos con la indicación “Sobrante (no retirado en oficina)”. Tras ello, conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) se ha procedido a su publicación en el BOE. Transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. SÉPTIMO: Con fecha 30 de noviembre de 2023, el instructor del procedimiento acordó requerir a F.F.F., con NIF ***NIF.1 y a G.G.G., con NIF ***NIF.2 los datos identificativos (nombre, apellidos y NIF) y domicilio de la persona con usuario “***USUARIO.1” en el sitio web “***URL.1” que utilizó su conexión a internet el 28/01/2023, entre las 16:00h y las 17:00 horas, y 13/02/2023, entre las 01:00h y las 02:00 horas, respectivamente, debiendo darse respuesta a tal requerimiento dentro del plazo máximo de 30 días. La comunicación dirigida a G.G.G. fue notificada por vía postal el 11/12/2023. En relación con F.F.F. consta como ausente de reparto a fecha 13/12/2023. El Servicio de Correos realizó dos intentos de notificación y dejó aviso en el buzón del destinatario. Finalmente devolvió el envío con la indicación “Sobrante (no retirado en oficina)”. OCTAVO: Con fecha 02/01/2024, G.G.G. informó lo siguiente: “Se solicita información de la identidad que con un nombre de usuario '***USUARIO.1' se conectó a la página '***URL.1' el 28-01.2023 de 16 a 17 h y el 13-02-23 de 01 a 02. Desconocemos la identidad de esa persona, no sabemos si nos han hackeado la red C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 wifi, solo podemos decir que no fue desde este domicilio ni por ningún miembro de la familia”. NOVENO: Con fecha 22 de enero de 2024 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se imponga a F.F.F., con NIF ***NIF.1, por haber infringido lo dispuesto en el artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 2.000 € (dos mil euros). DÉCIMO: Notificada la citada propuesta de resolución, se recibió escrito de la parte reclamada en el que manifestó lo siguiente: “Primera.- Que niega su participación en los hechos por los que se ha iniciado este procedimiento sancionador y desconoce la identidad de la persona que pueda estar detrás del usuario “***USUARIO.2” o “***USUARIO.2”. Tampoco tiene conocimiento de si ese usuario se conectó a la página “***URL.1” los días 28-01-2023 y 13-02-2023, y si pudo hacerlo accediendo de forma fraudulenta a su red WIFI. Por tanto, ni él ni nadie de su entorno familiar han tenido que ver en los hechos que se le imputan y por tanto no es merecedor del reproche sancionador que se le exige. Segundo.- Que existe una clara falta de motivación en el procedimiento sancionador iniciado que sitúa al administrado en un claro plano de indefensión frente a la administración, pues no ha quedado demostrada su participación en los hechos consistentes en la difusión de un video viralizado que posteriormente fue retirado, reconociendo la propia agencia española de protección de datos que no se ha podido constatar quién utilizó el sitio web ***URL.1 para publicar el video objeto del presente procedimiento sancionador y, además, manifiesta que tras un estudio exhaustivo de los documentos obrantes en este expediente se tiene constancia de dos posibles usuarios, es decir, ni siquiera se tiene la certeza. Por tanto, la falta de motivación, a la que se une la falta de respeto del principio de presunción de inocencia recogido en el ámbito administrativo en el artículo 53.2
- b)de la Ley 39/2015 de Procedimiento Administrativo Común de las Administraciones Públicas (presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario), hacen que la presente propuesta de resolución deba ser anulada”. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 05/09/2022, A.A.A. interpuso reclamación ante la AEPD dirigida contra un usuario de la red social “Twitter” por la publicación, en fecha 02/09/2022, de un vídeo sin su consentimiento. El vídeo consiste en un montaje de tomas sucesivas en las que la parte reclamante mira a cámara y comenta cuántas copas de vino y alcohol va bebiendo a lo largo de una noche, viéndose la consiguiente evolución que la ingesta de alcohol va produciendo en su estado. La imagen de la parte reclamante se apreciaba con toda nitidez en dicha grabación, pudiendo ser reconocida por terceros. Este vídeo se viralizó tras su publicación el 02/09/2022 en Twitter. Debido a esa amplia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 difusión, podía encontrarse en decenas de sitios y localizarse fácilmente con un motor de búsqueda utilizando etiquetas como "***ETIQUETA.1" o "***ETIQUETA.2". SEGUNDO: Con fecha 06/09/2022, la parte reclamante formuló ante la AEPD dos nuevas reclamaciones contra nuevos usuarios de “Twitter”, “Instagram” y “Youtube”, que también divulgaron el vídeo reseñado en el Hecho Probado Primero, así como contra varios responsables y usuarios de páginas web, en las que se insertó igualmente el vídeo en cuestión. Entre estos últimos, figura un usuario de la web “pacot.es”, identificado como “***USUARIO.2”, que publicó el vídeo en cuestión en fecha 03/09/2022, accesible en la URL “***URL.2”. Este usuario inició un hilo en el sitio web “***URL.1” con con el rótulo “***RÓTULO.1”. La publicación del vídeo en “***URL.1” se realiza mediante la colocación de un enlace a la red social “Twitter” en la que se publicó originariamente el vídeo por un usuario de esta red social). TERCERO: Los Servicios de Inspección de la AEPD comprobaron que el sitio web “***URL.1” es un foro sin ánimo de lucro (no existe cuota para los usuarios ni publicidad) enfocado a diversas aficiones como videojuegos, cine, literatura, etc., en el que el contenido es generado por los propios usuarios. CUARTO: Con fecha 08/09/2022, se solicitó a Entidad Pública Empresarial Red.es (REDES) información sobre la entidad responsable del dominico “***URL.1”. REDES informó que el titular es B.B.B., con domicilio en ***DIRECCIÓN.1, con dirección de correo electrónico ***EMAIL.1 y teléfono ***TELÉFONO.1; y que la persona de contacto administrativo, técnico y de facturación es C.C.C., con domicilio en calle ***DIRECCIÓN.2. QUINTO: Con fecha 03/10/2022, se solicitó información a la entidad Orange Espagne, S.A.U. sobre la titularidad de la línea ***TELÉFONO.1. Según informó esta entidad en fecha 19/10/2022, la línea pertenece a D.D.D., con domicilio en ***DIRECCIÓN.3. SEXTO: En el marco de las actuaciones previas de investigación, con fecha 21/10/2022, la AEPD dictó “Acuerdo de adopción de medida provisional” mediante el que se ordenó a D.D.D. la retirada del contenido objeto de la reclamación insertado en la web “***URL.1”, accesible a través de la URL “***URL.2” (video sobre “***ETIQUETA.1” del usuario “***USUARIO.2”). SÉPTIMO: Mediante requerimientos de los Servicios de Inspección de la AEPD de fechas 03/10, 17/11 y 21/11/2022, se solicitó a los responsables de “Wespec”, proveedor de hosting y dominios, información sobre la titularidad de la dirección de correo electrónico ***EMAIL.1, datos identificativos y de contactos del dominio “***URL.1” y la titularidad y domicilio de facturación de este dominio. Dicha entidad respondió en fecha 25/11/2022 lo siguiente: . Los datos identificativos y de contacto del titular del dominio “pacot.es” registrados en sus sistemas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15 . Nombre: B.B.B. . Apellidos: B.B.B. . Compañía: “***COMPAÑÍA.1” . Email: ***EMAIL.2 . Dirección postal: ***DIRECCIÓN.1 . Teléfono: ***TELÉFONO.1 Según indica la citada entidad, los datos anteriores fueron aportados por “E.E.E.”. . Titular y domicilio de facturación del dominio “***URL.1”: . Nombre: E.E.E. . Apellidos: E.E.E. . Compañía: ***COMPAÑÍA.2 . Email: ***EMAIL.3 . Dirección postal: ***DIRECCIÓN.4 . Teléfono: ***TELÉFONO.2 OCTAVO: Con fecha 07/12/2022, se solicitó a E.E.E. la eliminación del contenido publicado en la URL “***URL.2” e información sobre la entidad que gestiona el sitio web “***URL.1”. Se recibió respuesta en fecha 21/12/2022, en la que se indica que el <<“hilo” en la plataforma con la url:***URL.2) ha sido eliminado (entiéndase por “hilo” el mensaje inicial y todas las respuestas del mismo) el mismo día de recepción de la carta (21/12/2022) a las 13:15 (GMT)>>. Señala que la web solo retiene la información estrictamente necesaria para el correcto funcionamiento del website, que no almacena información, datos personales o fotografías de individuos, registrados o terceros y que está vetada la posibilidad de subir dichos archivos al servidor. Sobre las fotografías y vídeos objeto de las actuaciones, informó que provienen de otra web (***URL.3) y que son los usuarios de “***URL.1” los que han colocado enlaces a dicho contenido. Si el contenido de dichos enlaces es eliminado en origen, no aparece más en “***URL.1”. NOVENO: Con fecha de 11/01/2023, los Servicios de Inspección comprobaron que el contenido accesible a través de la URL “***URL.2” había sido eliminado. En esta misma fecha se comprobó que la página “pacot.es” no se encontraba disponible. DÉCIMO: Con fecha 16/01/2023, se solicitó a E.E.E. información sobre la dirección IP desde la que el usuario “***USUARIO.2” publicó el contenido reclamado el 03/09/2022, a las 13:39 y 19:13 horas, así como los datos identificativos de registro del este perfil, entre otros. Con fecha 28/01/2023, se recibe respuesta en la que se facilita los datos identificativos de registro del perfil: la dirección IP ***IP.1 y la dirección de correo electrónico ***EMAIL.3; e informa que no registra la dirección de IP de cada mensaje individual, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 pero sí la última desde la que accedió el usuario. Posteriormente, se solicitó a la misma persona el detalle de la fecha y hora que conste en sus sistemas correspondientes a la asignación de dirección IP informada anteriormente. En el escrito de respuesta, de 13/02/2023, E.E.E. comunica que ha decidido cerrar el sitio web “pacot.es” y facilita el siguiente detalle sobre la información solicitada: . La dirección IP ***IP.1 asignada al perfil “***USUARIO.2” corresponde al día 28/01/2023, a las 16:27:43 (Hora de España). . La dirección IP de “***USUARIO.2” el día 13/02/2023, a las 01:48:22 (Hora de España) fue ***IP.2. DÉCIMOPRIMERO: En respuesta al requerimiento que le fue realizado por los Servicios de Inspección, Telefónica de España, S.A.U. facilitó a esta Agencia, en fecha 01/03/2023, los datos identificativos y domicilio de los titulares de las asignaciones de direcciones IP indicadas, en los periodos especificados: . En la fecha del 28/01/2023, entre las 16:00:00 y 17:00:00 horas, el titular de la IP ***IP.1 es F.F.F., con NIF ***NIF.1 y domicilio en ***DIRECCIÓN.5. . En la fecha del 13/02/2023 entre las 01:00:00 y 02:00:00 horas, la titular de la IP ***IP.2 es G.G.G., con NIF ***NIF.2 y domicilio en calle ***DIRECCIÓN.6. DÉCIMOSEGUNDO: Con fecha 09/03/2023, se solicitaron a F.F.F. y a G.G.G. los datos identificativos (nombre, apellidos y NIF) y domicilio de la persona con usuario “***USUARIO.2” en el sitio web “***URL.1” que utilizó su conexión a internet el 28/01/2023, entre las 16:00h y las 17:00 horas, y 13/02/2023, entre las 01:00h y las 02:00 horas, respectivamente. Aunque los respectivos requerimientos fueron notificados en fechas 03/04/2023 y 24/03/2023, no se ha recibido en esta Agencia escrito alguno de respuesta. DECIMOTERCERO: Con fecha 30/11/2023, se solicitaron a F.F.F. y a G.G.G. los datos identificativos (nombre, apellidos y NIF) y domicilio de la persona con usuario “***USUARIO.2” en el sitio web “***URL.1” que utilizó su conexión a internet el 28/01/2023, entre las 16:00h y las 17:00 horas, y 13/02/2023, entre las 01:00h y las 02:00 horas, respectivamente. Respecto de G.G.G., ésta recibió el citado requerimiento vía postal el 11/12/2023, solicitando dicha información, y el 02/01/2024 esta Agencia ha recibido respuesta indicando lo siguiente: “Se solicita información de la identidad que con un nombre de usuario '***USUARIO.2' se conectó a la página '***URL.1' el 28-01.2023 de 16 a 17 h y el 13-02-23 de 01 a 02. Desconocemos la identidad de esa persona, no sabemos si nos han hackeado la red wifi, solo podemos decir que no fue desde este domicilio ni por ningún miembro de la familia”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15 En relación con F.F.F., el 15/02/2024 se recibe respuesta indicando que “niega su participación en los hechos por los que se ha iniciado este procedimiento sancionador y desconoce la identidad de la persona que pueda estar detrás del usuario “***USUARIO.2” o “***USUARIO.2”. Tampoco tiene conocimiento de si ese usuario se conectó a la página “***URL.1” los días 28-01-2023 y 13-02-2023, y si pudo hacerlo accediendo de forma fraudulenta a su red WIFI. Por tanto, ni él ni nadie de su entorno familiar han tenido que ver en los hechos que se le imputan y por tanto no es merecedor del reproche sancionador que se le exige”. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II La imagen física y la voz de una persona, a tenor del artículo 4.1 del RGPD, son datos personales y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen y voz de la parte reclamante) llevado a cabo por la parte reclamada es acorde con lo establecido en el RGPD. III En el presente caso se denuncia la difusión de un vídeo viralizado tras su publicación el pasado 02/09/2022 en diarios digitales y redes sociales. En relación con la publicación reclamada en el sitio web “***URL.1”, esta Agencia el 11/01/2023, ha constatado que en cumplimiento de la medida cautelar se ha retirado el contenido reclamado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 Asimismo, con fecha de 13/02/2023 se informa y así se constata por esta Agencia, que se ha cerrado el sitio web. Pese a reiterados requerimientos, no se ha podido constatar quien utilizó el sitio web”***URL.1”, para publicar el vídeo objeto del presente procedimiento sancionador. IV En el presente caso, se presentó reclamación contra varios usuarios de redes sociales por la divulgación de un vídeo en el que se muestra la imagen y la voz de la parte reclamante o de fotografías tomadas de dicho vídeo, junto con comentarios que, en algunos casos, aludían a su nombre. Las reclamaciones formuladas se dirigieron también contra responsables y usuarios de diversas páginas web, en las que se insertó igualmente el vídeo en cuestión. Entre estas últimas figura la web “***URL.1”, en la que un usuario identificado como “***USUARIO.2” publicó el vídeo en cuestión en fecha 03/09/2022, accesible en la URL “***URL.2”, tomado del usuario de Twitter “***USUARIO.1”. En la misma fecha del 03/09/2022, otros usuarios de “pacot.es” realizaron comentarios en el hilo generado por el usuario “***USUARIO.2” con el rótulo “***RÓTULO.1”, incluyendo el propio vídeo o alguna imagen tomada del mismo. Para identificar a la persona que actúa bajo los nombres de usuario y determinar la autoría de los hechos reclamados, los Servicios de Inspección de la AEPD solicitaron al responsable de “***URL.1” información sobre varios usuarios de la web, entre ellos el creador del hilo “***USUARIO.2”, en concreto la dirección IP desde la que se publicaron el contenido reclamado el 03/09/2022, a la hora correspondiente a cada uno de ellos, así como los datos identificativos de registro de esos perfiles. Los tres usuarios a los que se refería el requerimiento de información habían intervenido en el mismo hilo relativo al vídeo objeto de las actuaciones. En la respuesta recibida, el responsable de la citada web informó que no se registra la dirección IP de cada mensaje individual, pero sí la del último acceso realizado por el usuario de que se trate; y que no se guarda ningún dato personal, salvo esa dirección IP y una dirección de correo electrónico. Para los tres usuarios consultados, facilitó una dirección IP correspondiente a la fecha del 28/01/2023 (fecha de la respuesta) y una dirección de correo electrónico. Posteriormente, se solicitó al mismo responsable de la web el detalle de la fecha y hora que conste en sus sistemas correspondientes a la asignación de direcciones IP informadas. En un nuevo escrito de respuesta, de 13/02/2023, se facilitaron las direcciones IP asignadas a los usuarios consultados, correspondientes al día 28/01/2023, a las 16:27:43 (hora de España), y al día 13/02/2023, a las 01:48:22 (hora de España). En relación con la parte reclamada (usuario “***USUARIO.2”), se facilitó el siguiente detalle: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 . La dirección IP ***IP.1 asignada al perfil “***USUARIO.2” corresponde al día 28/01/2023, a las 16:27:43 (Hora de España). . La dirección IP de “***USUARIO.2” el día 13/02/2023, a las 01:48:22 (Hora de España) fue ***IP.2. A partir de tales datos, en respuesta al requerimiento que le fue realizado por los Servicios de Inspección, Telefónica de España, S.A.U. facilitó a la AEPD los datos identificativos y domicilio de los titulares de las asignaciones de direcciones IP indicadas, en los periodos especificados, debiendo destacarse que en relación con el usuario “***USUARIO.2” se señaló una persona distinta, con un domicilio distinto, para cada una de las direcciones IP y fecha informadas por el responsable de la web: . En la fecha del 28/01/2023, entre las 16:00:00 y 17:00:00 horas, el titular de la IP ***IP.1 es F.F.F., con NIF ***NIF.1 y domicilio en ***DIRECCIÓN.5. . En la fecha del 13/02/2023 entre las 01:00:00 y 02:00:00 horas, la titular de la IP ***IP.2 es G.G.G., con NIF ***NIF.2 y domicilio en calle ***DIRECCIÓN.6. Así, el resultado de estas comprobaciones no permite asegurar que todos los accesos realizados a la web con el nombre de usuario “***USUARIO.2” fuesen realizados efectivamente por la parte reclamada. Interesa, asimismo, destacar que Telefónica de España, S.A.U. facilitó identidades distintas para cada una de las direcciones IP asociadas por el responsable de la web “***URL.1” a otro de los usuarios, en las fechas reseñadas, siendo una persona la que accedió con ese nombre de usuario en fecha 28/01/2023 y otra distinta la que accedió a la web el 13/02/2023, también con el mismo nombre de ese otro usuario, ambas con domicilios distintos. Solo en el caso del tercer usuario consultado coincidió la identidad de la persona informada por la citada operadora para las dos fechas señaladas. Visto el resultado obtenido, la información sobre direcciones IP asignadas a estos usuarios no puede tratarse como fiable. Es preciso destacar, además, que las direcciones IP facilitadas por el responsable de “***URL.1” no corresponden al momento en que tuvieron lugar los hechos, es decir, esas direcciones IP no fueron las asignadas a los usuarios que intervinieron en el foro, en el hilo creado por “***USUARIO.2”, en fecha 03/09/2023. El requerimiento de información realizado al responsable de “***URL.1” solicitó la dirección IP desde la que estos usuarios publicaron el contenido reclamado, pero el responsable de la web informó que no se registra la dirección IP de cada mensaje individual y que conserva únicamente la dirección IP del último acceso. Por ello, no ha sido posible constatar si bajo el nombre de usuario “***USUARIO.2”, en aquella fecha de septiembre de 2022, actuó G.G.G., la parte reclamada o un tercero desconocido, al no haberse dispuesto de la concreta dirección IP asignada en aquel momento exacto, que hubiese ofrecido alguna oportunidad de identificar a las personas en concreto que intervinieron en el post relativo a la parte reclamante bajo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 las denominaciones de usuario verificadas. Asimismo, cabe destacar que, según las comprobaciones destacadas por los Servicios de Inspección de esta AEPD, la web no se encontraba disponible en fecha 11/01/2023, fecha anterior a la de los accesos informados por el responsable de la web, que supuestamente tuvieron lugar el 28/01 y 13/02/2023. Por tanto, Tras un estudio exhaustivo de los documentos obrantes en este expediente, se tiene constancia de, al menos, dos posibles personas que pudieron acceder bajo el nombre de usuario “***USUARIO.2” al sitio web”***URL.1”, G.G.G., y F.F.F., este último es la parte reclamada en el presente procedimiento sancionador. Se solicitaron pruebas a ambos, respondiendo G.G.G. que nadie de su familia ha utilizado el sitio web “***URL.1”, con el nombre de usuario “***USUARIO.2” en la página “***URL.1”, el 28/01/2023 de 16:00 a 17:00 horas y el 13/02/2023 en el período de tiempo que comprende de la 01:00 a 02:00 horas. Señala además que desconoce la identidad de la persona que haya podido conectarse y que ignora si alguien le ha hackeado la red wifi. Por su parte, F.F.F., la parte reclamada, niega su participación en los hechos por los que se ha iniciado este procedimiento sancionador y afirma que desconoce la identidad de la persona que pueda estar detrás del usuario “***USUARIO.2” o “***USUARIO.2”. En consecuencia, procede concluir que no existe certeza sobre la autoría de los hechos analizados en la resolución impugnada, supuestamente cometidos por la parte reclamada bajo el nombre de usuario “***USUARIO.2”, de modo que no existe base fáctica para imputarle una infracción en materia de protección de datos ni para sancionarle por la misma, procediendo el archivo de las actuaciones. Se tiene en cuenta que la web “***URL.1” fue cerrada por su responsable y que ello dificulta que esta AEPD pueda realizar nuevas comprobaciones. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones, seguidas contra F.F.F., con NIF ***NIF.1, por una presunta infracción del artículo 6 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a F.F.F., con NIF ***NIF.1. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es