1/14 Expediente N.º: EXP202309215 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 05/09/2022 interpuso dos reclamaciones ante la Agencia Española de Protección de Datos dirigidas contra los usuarios de la red social “Twitter” que se mencionan en las URL indicadas a dichas reclamaciones. Los motivos en que basa dichas reclamaciones son los siguientes: “Publicación de un vídeo privado en el que aparezco sin mi consentimiento. El vídeo se ha hecho viral y yo no he dado permiso ni al montaje del vídeo ni a su distribución. Eran tomas independientes para un fin laboral, no para su publicación en redes sociales sin mi consentimiento ya que ni siquiera he sido yo quien ha distribuido el vídeo. Hecho denunciado en Twitter y respuesta recibida sin que se hayan tomado medidas”. En la primera de las reclamaciones recibidas, se señala que el vídeo fue publicado en la red social “Twitter” en fecha 02/09/2022 por parte del usuario “***USUARIO.1”. El vídeo consiste en un montaje de tomas sucesivas en las que la parte reclamante mira a cámara y comenta cuántas copas de vino y alcohol va bebiendo a lo largo de una noche, viéndose la consiguiente evolución que la ingesta de alcohol va produciendo en su estado. Mediante la segunda reclamación, la parte reclamante “añade” documentación a la reclamación anterior. Según la parte reclamante, “se trata de más vídeos y montajes fotográficos tipo el publicado por la parte reclamada en dicho expdte (***USUARIO.1). En este caso otros usuarios de la red social Twitter han usado el mismo vídeo o imágenes de ese vídeo sin mi consentimiento. La descripción de los hechos es la misma que la enviada en anteriores reclamaciones”. En la reclamación se detallan las URL que conducen a las publicaciones denunciadas (22 vídeos y 2 imágenes). Junto a las reclamaciones se aporta, entre otra documentación, la siguiente: . Captura de pantalla correspondiente al perfil del usuario de “Twitter” “XXXXX”, “***USUARIO.1”. Consta la fecha “2 sept.”, el texto “***TEXTO.1” y una imagen del video en cuestión que corresponde a una foto de la parte reclamante. Consta que el vídeo tiene una duración de 38 segundos y que ha tenido “1,7 M reproducciones”. . Capturas de pantalla correspondientes a los perfiles de usuarios de “Twitter” que divulgaron el vídeo o las imágenes. En la mayoría de ellos constan las fechas de 02, 03 o 04/09/2022; textos como (…). etc.; y una imagen del video en cuestión que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 corresponde a una foto de la parte reclamante. Consta la duración del vídeo (38 segundos) y el número de reproducciones en cada caso (desde 30 hasta 443,8 mil reproducciones). SEGUNDO: Con fecha 05/09/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la primera de las reclamaciones reseñadas en el Antecedente Primero. El Acuerdo de Admisión fue notificado a la parte reclamante en la misma fecha. TERCERO: Con fecha 06/09/2022, tuvieron entrada en la Agencia dos nuevas reclamaciones de la parte reclamante. Las reclamaciones se dirigen contra nuevos usuarios de “Twitter”, “Instagram” y “Youtube”, que también divulgaron el vídeo en cuestión con comentarios similares a los reseñados anteriormente, los cuales se añaden a los incluidos en las reclamaciones anteriores, así como contra los responsables y usuarios de las páginas web que se indican, en las que se insertó igualmente el vídeo en cuestión. Entre estos últimos, figura un usuario de la web “***URL.1”, identificado como “***USUARIO.2”, que publicó el vídeo en cuestión en fecha 03/09/2022, accesible en la URL “***URL.2”. Por la Subdirección General de Inspección de Datos se accedió al hilo generado por el usuario “***USUARIO.2” con el rótulo “***RÓTULO.1”, comprobando que, en la misma fecha del 03/09/2022, otros usuarios de la web “***URL.1” realizaron comentarios en relación con el repetido vídeo. El usuario identificado como “***USUARIO.3” realizó un comentario a las 13:49 horas, con el texto “Típico amigomascota”. Sin embargo, según consta en las capturas de pantalla obtenidas por los Servicios de Inspección, este usuario no incorporó el vídeo, tampoco un enlace al mismo ni imagen alguna de la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. El resultado de las actuaciones de investigación desarrolladas consta reseñado en los Hechos Probados Tercero a Décimo. Por otra parte, en el marco de estas actuaciones previas de investigación, con fecha 21/10/2022, la AEPD dictó “Acuerdo de adopción de medida provisional” mediante el que se ordenó a B.B.B. la retirada del contenido objeto de la reclamación insertado en la web “***URL.1”, accesible a través de la URL “***URL.2” (video sobre “XXXXX” del usuario “***USUARIO.2”). En este acuerdo, que fue notificado en fecha 10/11/2022, se dispuso expresamente lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 “1. Requerir a B.B.B.(***URL.1) para que, en el plazo máximo de 5 días naturales, proceda a retirar los contenidos antes señalados relativas al reclamante de las direcciones web desde las que sean accesibles, evitando en la medida en que el estado de la tecnología lo permita, la re-subida o re-carga de copias o réplicas exactas por el mismo u otros usuarios. 2. Requerir a B.B.B.(***URL.1) para que la retirada o modificación de los contenidos se efectúe de tal modo que imposibilite su acceso y disposición del original por terceros, pero garantice su conservación, a efectos de custodiar las evidencias que puedan ser precisas en el curso de la investigación policial o administrativa o del proceso judicial que pudieren instruirse. 3. Requerir a B.B.B.(***URL.1) para que, en el plazo máximo de 5 días naturales, informe a esta Agencia Española de Protección de Datos acerca de la ejecución de la medida”. Posteriormente, con fecha 07/12/2022, se solicitó a C.C.C. (responsable de la web “***URL.1”) la eliminación del contenido publicado en la URL “***URL.2”. Se recibió respuesta en fecha 21/12/2022, en la que se indica que el <<“hilo” en la plataforma con la url: ***URL.2) ha sido eliminado (entiéndase por “hilo” el mensaje inicial y todas las respuestas del mismo) el mismo día de recepción de la carta (21/12/2022) a las 13:15 (GMT)>>. Con fecha de 11/01/2023, por los Servicios de Inspección se comprueba que el contenido accesible a través de la URL “***URL.2” ha sido eliminado. En esta misma fecha se comprobó que la página “***URL.1” no se encontraba disponible. Finalmente, con objeto de esclarecer cómo el vídeo saltó a las redes sociales después de la grabación del mismo, en dos ocasiones la inspección actuante solicitó a la parte reclamante que identificara al autor de la grabación. Estos requerimientos de información fueron notificados en fechas 28/03/2023 y el 13/06/2023, pero no se recibió respuesta alguna. En el Informe de Actuaciones Previas de investigación, los Servicios de Inspección de la AEPD destacan que el vídeo en cuestión se viralizó tras su publicación el pasado 02/09/2022 en Twitter por parte del usuario “***USUARIO.1” y que, debido a esa amplia difusión, se encuentra en decenas de sitios y se podía localizar fácilmente con etiquetas como "XXXXXXX" o "XXXXXX". Según indican los Servicios de Inspección, se trata de una réplica de los vídeos que se hicieron virales en las redes sociales desde el año 2021 con el asunto “Hola soy…. y este es mi primera copa/cubata/cerveza/trago/etc.” que van mostrando la evolución del protagonista tras la ingesta de varias copas de bebidas alcohólicas Pueden encontrarse decenas de páginas de resultados utilizando el motor de búsqueda “Google”. QUINTO: Con fecha 21/07/2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a D.D.D., con NIE ***NIE.1, por la presunta infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.
- a)del mismo Reglamento, y calificada a efectos de prescripción como muy grave en el artículo 72.1.
- b)de la LOPDGDD. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, sin C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 perjuicio de lo que resulte de la instrucción, sería de 2.000 euros (dos mil euros) por la infracción indicada. Asimismo, se advertía que dicha infracción, de confirmarse, podrá conllevar la imposición de medidas, según el artículo 58.2
- d)del RGPD. Por otra parte, en dicho acuerdo se advirtió que la medida provisional adoptada en fecha 21/10/2022 ha perdido su validez, en la medida en que la página web “***URL.1” no se encuentra disponible, habiéndose eliminado los contenidos objeto de las actuaciones. Se estimó por ello que carecía de objeto confirmarla con ocasión del citado acuerdo de inicio de procedimiento sancionador SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada, después de solicitar copia de las pruebas en que se basa la apertura de procedimiento y de los justificantes de las comunicaciones que le fueron remitidas (con la presente propuesta de resolución se le facilita un índice de documentos y se le pone de manifiesto el procedimiento, conforme a lo dispuesto en el artículo 89.2 de la LPACAP) presentó escrito de alegaciones en el que solicita el archivo de las actuaciones o, subsidiariamente, la reducción de la multa, en base a las consideraciones siguientes: 1. Vulneración del principio de presunción de inocencia, considerando que las direcciones IP no son válidas para determinar el sujeto activo y por la alterabilidad de los foros hechos en “Discourse”. Después de negar ser la persona que se identifica como “***USUARIO.3”, advierte que las direcciones IP que se le asocian corresponden a enero y febrero de 2023, mientras que los hechos tuvieron lugar en septiembre de 2022, por lo que la AEPD debería certificar la IP del día y hora en que se escribió el comentario en “***URL.1” Asimismo, señala que la responsabilidad penal y administrativa es personal y debe considerarse que en su domicilio conviven varias personas que tiene acceso a la misma línea de internet, la cual también ha podido ser utilizada por terceros (amigos y familiares), sin descartar un posible hackeo. Por ello, alega que la dirección IP no basta para delimitar subjetivamente al responsable de una infracción, como ha declarada el Tribunal Supremos en Sentencia número 987/2012, de 03/12/2012. Por otra parte, niega también haber subido el video en cuestión o enlaces al misma a “***URL.1” y manifiesta que el autor de un foro se puede alterar fácilmente desde una base de datos, añadiendo que la citada web utilizaba el sistema de foros “Discuorse”, que es de código abierto y cuenta con extensiones para que un hilo o mensaje pueda ser cambiado. También puede cambiarse usando una consulta directa en su base de datos (Postgre SQL). Por ese motivo, solicita el registro de auditoría de cambios en la base de datos que garantiza que el administrador o administradores del sistema de foros no alteraron ningún mensaje, señalado al respecto que es obligatorio llevar ese registro inalterable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 Además, solicita que no se admitan como pruebas unas simples capturas de pantalla, que también pueden ser alteradas con cualquier navegador con acceso a herramientas de inspección. Al haber accedido la AEPD al mensaje con posterioridad a la creación del hilo, su autoría ha podido ser modificada, algo frecuente en “***URL.1”. 2. Vulneración del principio de culpabilidad, al imputarse unos hechos por razón de ser el titular de la línea, sin acreditar que ha realizado otros hechos. 3. Vulneración del principio de tipicidad. A este respecto, considera, por un lado, que la parte reclamante consintió la grabación del vídeo para un fin laboral, según la misma ha manifestado. Además, aparece en el vídeo mostrándose a cámara, llegando a mencionar su nombre. Por otro lado, alega que la difusión alcanzada por el video fue incluso objeto de noticia en varios periódicos, alcanzando el rango de interés público o periodístico, por lo que deberá valorarse si existe un interés legítimo a la hora de informar sobre ello a través de un foro. Destaca, por otra parte, que falta concreción en los hechos, al no especificarse ni la url de dicho vídeo, ni el número de mensaje en que se publicó dentro de ese hilo, ni el enlace, ni si se subió el vídeo directamente a ***URL.1 (cosa que no podía hacerse) o solamente se publicó un enlace, explicitando si dicho enlace era al vídeo o al mensaje completo, ni si fue la propia web la que insertó el vídeo o no. Y falta en la determinación de quién subió el vídeo. A este respecto, señala que no ha tratado imágenes, por cuanto no subió ni descargó el vídeo, sino que lo que había era un enlace a otra web, que no constituye un tratamiento de datos. 4. Alega indefensión y vulneración del principio acusatorio, que resulta de la realización por la AEPD de actuaciones con terceras personas (responsables del sitio web “***URL.1”) sin su intervención desde la fase inicial. 5. Por último, invoca el principio de proporcionalidad al no haberse considerado en la determinación de la multa que el daño fue neutralizado con el cierre del foro, ni la difusión que alcanzó el video que disminuye la culpabilidad. Solicita el acceso al expediente, que se realice un registro de auditoría de sus datos en el sitio “***URL.1” y que se requiera a los responsables de la web para que informen si el foro se hacía sobre “Discourse” y si era posible alterar los mensajes y/o su autoría. SÉPTIMO: En las alegaciones formuladas a la apertura del procedimiento, D.D.D. manifestó que el autor de un foro se puede alterar fácilmente desde una base de datos, por lo que solicitó el registro de auditoría de cambios en la base de datos, que, según indica, garantiza que el administrador o administradores del sistema de foros no alteraron ningún mensaje. A este respecto, se informó a la parte reclamada que la prueba propuesta no se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 estimaba necesaria para la resolución del presente procedimiento, en el que ya se dispone de elementos suficientes para valorar los hechos y considerando, especialmente, que la web “***URL.1” fue cerrada por su responsable y que ello dificulta que esta Agencia pueda realizar nuevas comprobaciones. OCTAVO: Con fecha 06/05/2024, se formuló propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se proceda al archivo de las presentes actuaciones, seguidas contra la parte reclamada por una presunta infracción del artículo 6 del RGPD. La notificación de esta propuesta de resolución fue debidamente entregada a la parte reclamada en fecha 22/05/2024. En dicha notificación se concedió plazo para formular alegaciones y se puso de manifiesto el expediente a la parte reclamada ofreciéndole la posibilidad de obtener copia de los documentos que lo integran. El plazo concedido transcurrió sin que en esta Agencia haya tenido entrada escrito alguno de alegaciones a la propuesta de resolución. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 05/09/2022, A.A.A. interpuso reclamación ante la AEPD dirigida contra un usuario de la red social “Twitter” por la publicación, en fecha 02/09/2022, de un vídeo sin su consentimiento. El vídeo consiste en un montaje de tomas sucesivas en las que la parte reclamante mira a cámara y comenta cuántas copas de vino y alcohol va bebiendo a lo largo de una noche, viéndose la consiguiente evolución que la ingesta de alcohol va produciendo en su estado. La imagen de la parte reclamante se apreciaba con toda nitidez en dicha grabación, pudiendo ser reconocida por terceros. Este vídeo se viralizó tras su publicación el 02/09/2022 en Twitter. Debido a esa amplia difusión, podía encontrarse en decenas de sitios y localizarse fácilmente con un motor de búsqueda utilizando etiquetas como "XXXXXX" o "XXXXXX". SEGUNDO: Con fecha 06/09/2022, la parte reclamante formuló ante la AEPD dos nuevas reclamaciones contra nuevos usuarios de “Twitter”, “Instagram” y “Youtube”, que también divulgaron el vídeo reseñado en el Hecho Probado Primero, así como contra varios responsables y usuarios de páginas web, en las que se insertó igualmente el vídeo en cuestión. Entre estos últimos, figura un usuario de la web “***URL.1”, identificado como “***USUARIO.2”, que publicó el vídeo en cuestión en fecha 03/09/2022, accesible en la URL “***URL.2”. Este usuario inició un hilo en el sitio web “***URL.1” con con el rótulo “***RÓTULO.1”. La publicación del vídeo en “***URL.1” se realiza mediante la colocación de un enlace a la red social “Twitter” en la que se publicó originariamente el vídeo por un usuario de esta red social. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 Por la Subdirección General de Inspección de Datos se accedió al hilo generado por el usuario “***USUARIO.2” con el rótulo “***RÓTULO.1”, comprobando que, en la misma fecha del 03/09/2022, otros usuarios de la web “***URL.1” realizaron comentarios en relación con el repetido vídeo. El usuario identificado como “***USUARIO.3” realizó un comentario a las 13:49 horas, con el texto “Típico amigomascota”. Sin embargo, según consta en las capturas de pantalla obtenidas por los Servicios de Inspección, este usuario no incorporó el vídeo, tampoco un enlace al mismo ni imagen alguna de la parte reclamante. TERCERO: Los Servicios de Inspección de la AEPD comprobaron que el sitio web “***URL.1” es un foro enfocado a diversas aficiones como videojuegos, cine, literatura, etc., en el que el contenido es generado por los propios usuarios. CUARTO: Con fecha 08/09/2022, se solicitó a Entidad Pública Empresarial Red.es (REDES) información sobre la entidad responsable del dominico “***URL.1”. REDES informó que el titular es E.E.E., con domicilio en ***DIRECCIÓN.1, con dirección de correo electrónico ***EMAIL.1 y teléfono ***TELÉFONO.1; y que la persona de contacto administrativo, técnico y de facturación es F.F.F., con domicilio en calle ***DIRECCIÓN.2. QUINTO: Con fecha 03/10/2022, se solicitó información a la entidad Orange Espagne, S.A.U. sobre la titularidad de la línea ***TELÉFONO.2. Según informó esta entidad en fecha 19/10/2022, la línea pertenece a C.C.C., con domicilio en ***DIRECCIÓN.3. SEXTO: Mediante requerimientos de los Servicios de Inspección de la AEPD de fechas 03/10, 17/11 y 21/11/2022, se solicitó a los responsables de “Wespec”, proveedor de hosting y dominios, información sobre la titularidad de la dirección de correo electrónico ***EMAIL.2, datos identificativos y de contactos del dominio “***URL.1” y la titularidad y domicilio de facturación de este dominio. Dicha entidad respondió en fecha 25/11/2022 lo siguiente: . Los datos identificativos y de contacto del titular del dominio “***URL.1” registrados en sus sistemas: . Nombre: E.E.E. . Apellidos: E.E.E. . Compañía: “XXXXXX” . Email: ***EMAIL.1 . Dirección postal: ***DIRECCIÓN.1. . Teléfono: ***TELÉFONO.1 Según indica la citada entidad, los datos anteriores fueron aportados por “XXXXXXX”. . Titular y domicilio de facturación del dominio “***URL.1”: . Nombre: D.D.D. . Apellidos: D.D.D. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 . Compañía: XXXXXXX . Email: ***EMAIL.2 . Dirección postal: ***DIRECCIÓN.2 . Teléfono: ***TELÉFONO.2 SÉPTIMO: Con fecha 07/12/2022, se solicitó a D.D.D. información sobre la entidad que gestiona el sitio web “***URL.1”. En su respuesta, se indica que la web solo retiene la información estrictamente necesaria para el correcto funcionamiento del website, que no almacena información, datos personales o fotografías de individuos, registrados o terceros y que está vetada la posibilidad de subir dichos archivos al servidor. Sobre las fotografías y vídeos objeto de las actuaciones, informó que provienen de otra web (https://www.twitter.com) y que son los usuarios de “***URL.1” los que han colocado enlaces a dicho contenido. Si el contenido de dichos enlaces es eliminado en origen, no aparece más en “***URL.1”. OCTAVO: Con fecha 16/01/2023, con objeto de determinar la autoría de las publicaciones, se solicitó a D.D.D. información sobre la dirección IP desde la que el usuario “***USUARIO.3” publicó el contenido reclamado el 03/09/2022, a las 13:49, así como los datos identificativos de registro del este perfil. Esta misma información se solicitó respecto de otros dos usuarios que intervinieron en el mismo hilo relativo al vídeo objeto de las actuaciones. Con fecha 28/01/2023, se recibe respuesta en la que se indica que la web no guarda ningún dato personal, más allá de la dirección de IP y una dirección de correo electrónico. Para el caso del usuario “***USUARIO.3” facilita la dirección IP ***IP.1 y la dirección “***EMAIL.3”. La misma información facilita en relación con otros dos usuarios por los que fue consultado (dirección IP y dirección de correo electrónico). Asimismo, añade que “la página web no registra la dirección de IP de cada mensaje individual por cuestiones de logística y protección de datos, pero sí la última desde la que accedió el usuario a la misma”, que para el citado usuario se corresponde con la facilitada. Posteriormente, se solicitó el detalle de la fecha y hora que conste en sus sistemas correspondientes a la asignación de dirección IP informada anteriormente. En el escrito de respuesta, de 13/02/2023, D.D.D. comunica que ha decidido cerrar el sitio web “***URL.1” y facilita las direcciones IP asignadas a los usuarios consultados en las fechas 28/01/2023, a las 16:27:43 (hora de España), y 13/02/2023, a las 01:48:22 (hora de España). En relación con el usuario “***USUARIO.3”, facilita el siguiente detalle: . La dirección IP ***IP.1 asignada al perfil “***USUARIO.3” corresponde al día 28/01/2023, a las 16:27:43 (Hora de España). . La dirección IP de “***USUARIO.3” el día 13/02/2023, a las 01:48:22 (Hora de España) fue ***IP.2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 NOVENO: En respuesta al requerimiento que le fue realizado por los Servicios de Inspección, Telefónica de España, S.A.U. facilitó a esta Agencia, en fecha 14/02/2023, los datos identificativos y domicilio de los titulares de las asignaciones de direcciones IP indicadas, en las fechas y horas especificadas: . En la fecha del 28/01/2023, entre las 16:00:00 y 17:00:00 horas, la titular de la IP ***IP.1 es C.C.C., con NIE ***NIE.1 (en adelante, la parte reclamada) y domicilio en calle ***DIRECCIÓN.3. . En la fecha del 13/02/2023 entre las 01:00:00 y 02:00:00 horas, la titular de la IP ***IP.2 es la misma persona antes reseñada. Asimismo, Telefónica de España, S.A.U. facilitó identidades distintas para cada una de las direcciones IP indicadas por D.D.D. en relación con los otros dos usuarios de la web consultados (el nombre, domicilio y DNI de las personas a la que se asignó la dirección IP correspondiente al 28/01/2023 para cada uno de los usuarios no coinciden con los de las personas a la que se asignó la IP asociada al mismo usuario en fecha 13/02/2023). DÉCIMO: Con fecha 09/03/2023, se solicitaron a C.C.C. los datos identificativos (nombre, apellidos y NIF) y domicilio de la persona con usuario “***USUARIO.3” en el sitio web “***URL.1” que utilizó su conexión a internet el 28/01/2023, entre las 16:00h y las 17:00 horas, y 13/02/2023, entre las 01:00h y las 02:00 horas. Aunque el respectivo requerimiento fue notificado el 16/03/2023, no se ha recibido en esta Agencia escrito alguno de respuesta. DÉCIMO PRIMERO: En el marco de las actuaciones previas de investigación, con fecha 21/10/2022, la AEPD dictó “Acuerdo de adopción de medida provisional” mediante el que se ordenó a B.B.B. la retirada del contenido objeto de la reclamación insertado en la web “***URL.1”, accesible a través de la URL “***URL.2” (video sobre “XXXXXX” del usuario “***USUARIO.2”). Posteriormente, con fecha 07/12/2022, se solicitó a D.D.D. contenido publicado en la citada URL. la eliminación del Con fecha 21/12/2022, D.D.D. informó que el <<“hilo” en la plataforma con la url: ***URL.2) ha sido eliminado (entiéndase por “hilo” el mensaje inicial y todas las respuestas del mismo) el mismo día de recepción de la carta (21/12/2022) a las 13:15 (GMT)>>. Con fecha de 11/01/2023, los Servicios de Inspección comprobaron que el contenido accesible a través de la URL “***URL.2” había sido eliminado. En esta misma fecha se comprobó que la página “***URL.1” no se encontraba disponible. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II La imagen como dato personal La imagen física y la voz de una persona, a tenor del artículo 4.1 del RGPD, son datos personales al hacerla identificable, y su protección, por tanto, es objeto de dicho RGPD: “«datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” El informe 139/2017 del Gabinete Jurídico de esta Agencia afirma que “la imagen así como la voz de una persona es un dato personal, al igual que lo será cualquier información que permita determinar, directa o indirectamente, su identidad (…)” La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. Siendo así, el tratamiento de la imagen de una persona está sujeto a la normativa de protección de datos. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. “Cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. La inclusión en un sitio web de la imagen y la voz de una persona, que la identifica o la hace identificable, además, junto con su nombre, supone un tratamiento de datos personales y, por tanto, la entidad o persona que efectúa el mismo está obligado a cumplir con las obligaciones que para el responsable del tratamiento se disponen en el RGPD y en la LOPDGDD. La persona que realiza el tratamiento de datos personales tiene que ampararse en alguna de las causas legitimadoras señaladas en el artículo 6 del RGPD. En estos supuestos, como en el caso objeto de reclamación, la única causa legitimadora suele ser, en general, el consentimiento. Y es la persona que sube las imágenes a una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 página web la que debe demostrar que cuenta con ese consentimiento o con otra causa legitimadora. II Ausencia de pruebas Con carácter previo al examen de la infracción imputada, procede examinar las circunstancias alegadas sobre la inexistencia de prueba cierta que acredite la autoría de los hechos reclamados. En el presente caso, se presentó reclamación contra varios usuarios de redes sociales por la divulgación de un vídeo en el que se muestra la imagen y la voz de la parte reclamante o de fotografías tomadas de dicho vídeo, junto con comentarios que, en algunos casos, aludían a su nombre. Las reclamaciones formuladas se dirigieron también contra responsables y usuarios de diversas páginas web, en las que se insertó igualmente el vídeo en cuestión. Entre estas últimas figura la web “***URL.1”, en la que un usuario identificado como “***USUARIO.2” publicó el vídeo en cuestión en fecha 03/09/2022, accesible en la URL “***URL.2”, tomado del usuario de Twitter “***USUARIO.1”. En la misma fecha del 03/09/2022, otros usuarios de “***URL.1” realizaron comentarios en el hilo generado por el usuario “***USUARIO.2” con el rótulo “***RÓTULO.1”, incluyendo el propio vídeo, un enlace al mismo o alguna imagen tomada del propio vídeo. Entre ellas figura una persona identificada con el nombre de usuario “***USUARIO.3” realizó un comentario a las 13:49 horas, con el texto “Típico amigo-mascota”. Para identificar a la persona que actúa bajo ese nombre de usuario y determinar la autoría de los hechos reclamados, los Servicios de Inspección de la AEPD solicitaron al responsable de “***URL.1” información sobre tres usuarios de la web, entre ellos el creador del hilo y el usuario “***USUARIO.3”, en concreto la dirección IP desde la que publicaron el contenido reclamado el 03/09/2022, a la hora correspondiente a cada uno de ellos, así como los datos identificativos de registro de esos perfiles. Los tres usuarios a los que se refería el requerimiento de información habían intervenido en el mismo hilo relativo al vídeo objeto de las actuaciones. En la respuesta recibida, el responsable de la citada web informó que no se registra la dirección IP de cada mensaje individual, pero sí la del último acceso realizado por el usuario de que se trate; y que no se guarda ningún dato personal, salvo esa dirección IP y una dirección de correo electrónico. Para los tres usuarios consultados, facilitó una dirección IP correspondiente a la fecha del 28/01/2023 (fecha de la respuesta) y una dirección de correo electrónico. Posteriormente, se solicitó al mismo responsable de la web el detalle de la fecha y hora que conste en sus sistemas correspondientes a la asignación de direcciones IP informadas. En un nuevo escrito de respuesta, de 13/02/2023, se facilitaron las direcciones IP asignadas a los usuarios consultados, correspondientes al día 28/01/2023, a las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 16:27:43 (hora de España), y al día 13/02/2023, a las 01:48:22 (hora de España). En relación con la parte reclamada (usuario “***USUARIO.3”) facilita el siguiente detalle: . La dirección IP ***IP.1 asignada al perfil “***USUARIO.3” corresponde al día 28/01/2023, a las 16:27:43 (Hora de España). . La dirección IP de “***USUARIO.3” el día 13/02/2023, a las 01:48:22 (Hora de España) fue ***IP.2 A partir de tales datos, en respuesta al requerimiento que le fue realizado por los Servicios de Inspección, Telefónica de España, S.A.U. facilitó a la AEPD los datos identificativos y domicilio de los titulares de las asignaciones de direcciones IP indicadas, en los periodos especificados. En relación con el usuario “***USUARIO.3”, dicha operadora facilitó los datos identificativos y domicilio del titular de las asignaciones de direcciones IP indicadas, en las fechas y horas especificadas: . En la fecha del 28/01/2023, entre las 16:00:00 y 17:00:00 horas, la titular de la IP ***IP.1 es C.C.C., con NIE ***NIE.1 (en adelante, la parte reclamada) y domicilio en calle ***DIRECCIÓN.3. . En la fecha del 13/02/2023 entre las 01:00:00 y 02:00:00 horas, la titular de la IP ***IP.2 es la misma persona antes reseñada. Interesa, asimismo, destacar que Telefónica de España, S.A.U. facilitó identidades distintas para cada una de las direcciones IP asociadas por el responsable de la web “***URL.1” al usuario “***USUARIO.2” en las fechas reseñadas, siendo una persona la que accedió con ese nombre de usuario en fecha 28/01/2023 y otra distinta la que accedió a la web el 13/02/2023, también con ese nombre de usuario, ambas con domicilios distintos. Esto mismo ocurrió respecto del otro usuario consultado (el nombre, domicilio y DNI de la persona a la que se asignó la dirección IP correspondiente al 28/01/2023 para ese usuario no coinciden con los de la persona a la que se asignó la IP asociada al mismo usuario en fecha 13/02/2023). Solo en el caso del tercer usuario consultado coincidió la identidad de la persona informada por la citada operadora para las dos fechas señaladas. No obstante, visto el resultado obtenido, la información sobre direcciones IP asignadas a estos usuarios no puede tratarse como fiable, por lo que el resultado de estas comprobaciones no permite asegurar que todos los accesos realizados a la web con el nombre de usuario “***USUARIO.3” fuesen realizados efectivamente por la parte reclamada. Es preciso destacar, además, que las direcciones IP facilitadas por el responsable de “***URL.1” no corresponden al momento en que tuvieron lugar los hechos, es decir, esas direcciones IP no fueron las asignadas a los usuarios que intervinieron en el foro, en el hilo creado por “***USUARIO.2”, en fecha 03/09/2023. El requerimiento de información realizado al responsable de “***URL.1” solicitó la dirección IP desde la que estos usuarios publicaron el contenido reclamado, pero el responsable de la web informó que no se registra la dirección IP de cada mensaje individual y que conserva únicamente la dirección IP del último acceso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 Por ello, no ha sido posible constatar si bajo el nombre de usuario “***USUARIO.3”, en aquella fecha de septiembre de 2022, actuó C.C.C. o un tercero desconocido, al no haberse dispuesto de la concreta dirección IP asignada en aquel momento exacto, que hubiese ofrecido alguna oportunidad de identificar a las personas en concreto que intervinieron en el post relativo a la parte reclamante bajo las denominaciones de usuario verificadas. Asimismo, cabe destacar que, según las comprobaciones destacadas por los Servicios de Inspección de esta AEPD, la web no se encontraba disponible en fecha 11/01/2023, fecha anterior a la de los accesos informados por el responsable de la web, que supuestamente tuvieron lugar el 28/01 y 13/02/2023. En consecuencia, procede concluir que no existe certeza sobre la autoría de los hechos analizados en la resolución impugnada, supuestamente cometidos por la parte reclamada bajo el nombre de usuario “***USUARIO.3”, de modo que no existe base fáctica para imputarle una infracción en materia de protección de datos ni para sancionarle por la misma, procediendo el archivo de las actuaciones. Se tiene en cuenta que la web “***URL.1” fue cerrada por su responsable y que ello dificulta que esta AEPD pueda realizar nuevas comprobaciones. En todo caso, aunque inicialmente se consideró que la parte reclamada había incorporado a la web “***URL.1” el contenido objeto de la reclamación, motivando la investigación desarrollada y la apertura del presente procedimiento sancionador, un nuevo examen de las evidencias obtenidas ha permitido concluir que la persona que intervino en el hilo “***RÓTULO.1” bajo el nombre de usuario “***USUARIO.3” se limitó a realizar un comentario a las 13:49 horas, con el texto “Típico amigo-mascota”, sin incorporar el vídeo en cuestión ni un enlace al mismo y tampoco imagen alguna de la parte reclamante. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR las presentes actuaciones, seguidas contra C.C.C., con NIE ***NIE.1, por una presunta infracción del artículo 6 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a C.C.C.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es