1/7 Expediente N.º: EXP202411552 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A raíz unos hechos de los que se tuvo conocimiento, referidos a una presunta difusión en sitios web de unos videos en los que se contenían los audios de la declaración ante el juez de una víctima de violación múltiple, con fecha ***FECHA.1, la Directora de la AEPD acordó iniciar de oficio actuaciones previas de investigación. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del RGPD, y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1- “Con fecha ***FECHA.2, se ha incorporado al expediente una prueba de publicación de un vídeo en la url ***URL.1, CAPTURADO A FECHA 21/07/2022, y publicado por el perfil “A.A.A.” donde consta debajo del video el texto “(...)”. Consta asimismo como fecha de publicación el ***FECHA.3.”, y “(...) visualizaciones”. 2-Con fecha 04/08/2022 se solicita a GOOGLE IRELAND LIMITED el borrado del contenido localizable en la url ***URL.1 . En el literal del escrito figura “acuerdo de adopción de medida provisional”, sobre la citada dirección que se refiere al tratamiento de datos personales de la víctima de una violación múltiple en ***LOCALIDAD.1. En este caso se escucha la voz de la víctima y la voz es un dato de carácter personal” Con fecha 10/08/2022, se recibe escrito de respuesta de GOOGLE, en el que se informa que: “GOOGLE IRELAND, en aplicación de las Directrices de Privacidad y Normas de la Comunidad de YouTube y de conformidad con el acuerdo dictado, ha procedido a la retirada del vídeo titulado “(...)” publicado en el canal “A.A.A.” el ***FECHA.3 y que era accesible a través de la siguiente URL: - ***URL.1”, El Servicio de Inspección comprueba el día ***FECHA.2, que la citada URL se ha borrado, efectuando diligencia el 12/08/2022, en la que el enlace no figura. 3-Con fecha 10/02/2023, se solicita a A.A.A.., como requerimiento de información en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/7 las actuaciones previas de investigación, que informe sobre: 1-publicación, en su perfil de YOUTUBE de nombre “A.A.A.”, con fecha 7 de abril de 2021, de un vídeo ubicado en la url ***URL.1 donde consta, debajo del video, el texto “(...)”; 2. Justifique la base de legitimación para hacer la publicación reseñada”. Se obtuvo respuesta con fecha 06/03/2023, en la que A.A.A.. manifiesta que el vídeo es un fragmento del publicado por uno de los muchos medios de comunicación que lo difundieron acompañando un reportaje periodístico elaborado por los mismos. Añade que es un activista social y que no ha perseguido ningún fin de lucro con la redifusión. Invoca el derecho a la libertad de expresión y concluye que no ha vulnerado ningún derecho tutelable. TERCERO: Con fecha 27/03/2023, la Directora de la AEPD acordó iniciar procedimiento sancionador a A.A.A. por la presunta infracción del artículo 5.1.
- c)del RGPD y confirmar la medida provisional acordada durante las actuaciones previas de investigación. Posteriormente, se declaró la caducidad de este procedimiento sancionador, conforme a lo dispuesto en el artículo 25 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, (en lo sucesivo, LPACAP). CUARTO: Con fecha 9/07/2025 se acordó por el Presidente de la Agencia Española de Protección de Datos la apertura de un nuevo procedimiento sancionador por la presunta infracción del artículo 5.1.
- c)del RGPD, confirmándose en dicho acuerdo la medida provisional acordada durante las actuaciones previas de investigación. QUINTO: La notificación del acuerdo se remitió por vía postal al domicilio de A.A.A. produciéndose dos intentos de entrega, el 18/07/2025 y 23/07/2025, resultando ambos infructuosos, siendo devuelta a origen por sobrante (no retirado en oficina) el 31/07/2025. Con fecha 13/10/2025, se publicó en el tablón edictal del BOE su anuncio de notificación, constando en el expediente la notificación mediante comparecencia electrónica en la sede electrónica de la AEPD” de A.A.A. para aceptar la notificación, figurando “concepto: acuerdo de inicio” “fecha puesta a disposición 10/07/2025, fecha aceptación 16/10/2025”. SEXTO: Con fecha 20/10/2025 se presentan alegaciones por A.A.A. En dicho escrito, además de señalar que no resulta de aplicación el RGPD al tratarse de un supuesto de denuncia social amparado por el artículo 20 CE y por la imposibilidad de identificar a la víctima, alega que la infracción ha prescrito, considera que la infracción iniciaría su computo el día en que se publicó el vídeo, ***FECHA.3, al ser “un acto instantáneo no continuado”, por lo que a fecha del acuerdo de inicio, 9/07/2025, cualquier infracción grave (dos años de prescripción desde su comisión) o muy grave (tres años), estaría prescrita por vencimiento de plazo en ambos supuestos. Añade que “incluso si se aceptara la tesis de la infracción continuada, el cese de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/7 conducta se produjo el 10/08/2022” (día en que fue retirado por GOOGLE, hecho acreditado documentalmente por GOOGLE) y el “cómputo habría concluido el 10/08/2024, antes de la incoación del expediente”, “estando ambas infracciones prescritas bajo el criterio del acto instantáneo.” Agrega que ha sido notificado edictalmente en el BOE de 13/10/2025. SÉPTIMO: Con fecha 13/03/2026 se emite propuesta de resolución por el Instructor con el literal: “Que por la Presidencia de la Agencia Española de Protección de Datos se declare la prescripción de la infracción imputada en el presente procedimiento, incoado a A.A.A., con NIF ***NIF.1.” Intentadas las preceptivas notificaciones a A.A.A. resultaron infructuosas los días 19 y 20/03/2026, siendo devuelto el envío el 30/03/2026 por no retirado, por lo que en virtud del artículo 44 de la LPACAP se notifica extracto en el BOE el día 8/04/2026. No obstante, en la misma fecha del 08/04/2026, la parte reclamada accedió al documento de notificación de propuesta de resolución mediante comparecencia a la Sede Electrónica de la AEPD. Con fecha 8/04/2026 se reciben alegaciones de A.A.A.. Indica que figura en el suplemento de notificaciones del BOE de 8/04/2026 la publicación del anuncio de la propuesta de resolución de este expediente y muestra su conformidad con la misma, que declara la prescripción de la infracción con el archivo de las actuaciones por los motivos que recoge. Solicita se le remita la notificación por medios electrónicos, según determina el artículo 41 de la LPACAP, indicando en el formulario de presentación su e mail. OCTAVO: De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes HECHOS PROBADOS PRIMERO: Con fecha ***FECHA.1 la Directora de la AEPD acordó de oficio el inicio de actuaciones previas de investigación referidos a una presunta difusión en sitios web de un video que contenía los audios de la declaración ante el juez de una víctima de violación múltiple en un proceso penal. SEGUNDO: Con fecha ***FECHA.2, por el Servicio de Inspección de Datos de la AEPD, se incorpora al expediente una prueba de publicación de un vídeo en la url ***URL.1, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/7 capturado a fecha 21/07/2022, y publicado por el perfil “A.A.A.” donde consta debajo del video el texto “(...)”. Consta asimismo como fecha de publicación el ***FECHA.3.”, y “(...) visualizaciones”. Con fecha 04/08/2022 como medida provisional por el Servicio de Inspección se insta de GOOGLE IRELAND LIMITED el borrado del contenido localizable en la url ***URL.1, que se refiere al tratamiento de datos personales de la voz de la víctima de una violación múltiple en ***LOCALIDAD.1, recibiéndose respuesta el 10/08/2022 de haber retirado el audio de la citada URL, verificándose su no existencia por la Inspección de Datos el ***FECHA.2. TERCERO: Mediante diligencias de investigación de la Inspección de Datos de 10/01/2023, se averigua que como usuario de YOUTUBE figura A.A.A., correspondiendo a A.A.A. (A.A.A.) al que se le requirió diversa información en actuaciones previas el 10/02/2023. CUARTO: Con fecha 9/07/2025 se acordó iniciar procedimiento sancionador contra A.A.A. por la presunta infracción del artículo 5.1.
- c)del RGPD. Durante la notificación se produjeron dos intentos infructuosos el 18 y el 23/07/2025, siendo devuelto por sobrante-no retirado en oficina el 31/07/2025- publicándose en tablón edictal del BOE el 13/10/2025, siendo aceptada la notificación por el reclamado el 16/10/2025. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El presente procedimiento se inicia porque A.A.A., habría publicado, en YOUTUBE, un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/7 video que contenía el audio de la declaración judicial de la víctima de una violación múltiple, para ilustrar la noticia relativa a la celebración del juicio en un caso que fue muy mediático. La publicación de la voz de una persona puede identificarla o hacerla identificable, y supone un tratamiento de datos personales. En este caso, A.A.A., es el responsable de dicho tratamiento, al publicar el video mencionado en YOUTUBE, estando obligado a cumplir con las obligaciones que para el responsable del tratamiento se disponen en el RGPD y en la LOPDGDD. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que A.A.A. realiza, entre otros tratamientos, la publicación de un video que contenía datos personales de la víctima de unos hechos delictivos, en concreto, su voz, de tal manera que la identificaban o hacían identificable. Máxime cuando dicho video se enmarcaba en la declaración efectuada por dicha persona como víctima de unos hechos delictivos de amplia repercusión mediática. En este caso, se trataba de un audio de la víctima de una agresión sexual declarando en un proceso penal, audio con su voz extraído de dicho proceso y subido a una plataforma de videos en los que los usuarios pueden verlos, copiarlos o descargarlos, preservando su contenido más allá de la difusión en la propia plataforma. A.A.A. realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD, y, por tanto, sujeto a las obligaciones que prescribe para el tratamiento de datos personales el artículo 5 del RGPD. III Alegaciones al acuerdo de inicio y a la propuesta En respuesta a las alegaciones presentadas por A.A.A. se plantea como principal la prescripción de la infracción, que eximiría cualquier análisis sobre el resto de las alegaciones formuladas por suponer el archivo de actuaciones. Para ello se ha de partir de que en las actuaciones previas se obtuvo el 21/07/2022 la captura del audio publicado en YouTube por el presunto responsable A.A.A.. Posteriormente, GOOGLE respondió al cumplimiento de la medida provisional impulsada en actuaciones previas por la AEPD el 10/08/2022, por lo que no se puede estimar que el audio continuara expuesto desde dicha fecha, verificándose por diligencia que figura en actuaciones previas que a ***FECHA.2 no figuraba el audio. Se puede colegir que el tratamiento persiste mientras el audio figuraba en el video de YOUTUBE, es decir hasta el 10/08/2022. La infracción que se imputa a A.A.A. del principio de minimización en el tratamiento de datos personales lleva aparejada una prescripción, como corresponde a las muy graves contenidas en el artículo 71.2.
- a)de la LOPDGDD, de tres años. Así pues, estimando que persistía la infracción hasta el 10/08/2022, a la fecha del acuerdo de apertura, dictado el 09/07/2025, la infracción no habría prescrito. No obstante, el responsable no tuvo conocimiento de esta apertura de procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/7 sancionador hasta su notificación fehaciente y efectiva, que tuvo lugar el 13/10/2025, cuando habría transcurrido el período de prescripción de la infracción imputada o cualquier otra que hubiera podido cometerse por los hechos reseñados, por lo que procede declarar dicha circunstancia. IV Conclusión La jurisprudencia española ha establecido reiteradamente que los principios inspiradores del Derecho Penal son aplicables al Derecho administrativo sancionador, dado que ambos son manifestaciones del ius puniendi del Estado, si bien esta traslación de principios no es automática, sino que aplica con matices. Como, entre otras, señala la STS de 30/06/2011, rec. 2682/2009, el Tribunal Constitucional viene reconociendo reiteradamente que las garantías contenidas en el artículo 24.2 de la Constitución, son, en principio y con las oportunas modulaciones, aplicables al procedimiento administrativo sancionador, dado que también éste es manifestación del ordenamiento punitivo del Estado, sin perjuicio de lo cual el Tribunal se ha referido también a la cautela con la que conviene operar cuando se trata de trasladar al ámbito administrativo sancionador dichas garantías de aquel precepto constitucional en materia de procedimiento y con relación directa al proceso penal, dadas las diferencias existentes entre uno y otro procedimiento, de tal manera que la aplicación de las mismas a tal actividad sancionadora de la Administración únicamente tendría lugar en la medida necesaria para preservar los valores que se encuentran en la base del precepto constitucional y que resulten compatibles con la naturaleza del procedimiento administrativo sancionador. A estos efectos, el Tribunal Constitucional ha ido elaborando progresivamente una doctrina que asume la vigencia en el ámbito administrativo sancionador de un conjunto de garantías derivadas del contenido del artículo 24.2 de la Constitución, de las que conviene destacar ahora la seguridad jurídica, cuya aplicación práctica es una manifestación directa de las garantías recogidas en el artículo citado. La declaración de prescripción de la infracción obedece a la necesidad de preestablecer un límite de tiempo en que el Estado ejerza su potestad sancionadora evitando la inseguridad de una presunción ilimitada in tempore, siendo un principio fundamental de la seguridad jurídica el conocer la certeza de plazos en los que la responsabilidad resulta exigible. Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el presente procedimiento incoado a A.A.A., con NIF ***NIF.1, por una infracción del artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5.
- a)del RGPD, por prescripción de la presunta infracción indicada. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/7 TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-090326 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es