PS-00581-2022

1/8  Expediente N.º: EXP202205351 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 09/05/2022, tuvo entrada en esta Agencia un escrito presentado por A.A.A. (en adelante, la parte reclamante) por un posible incumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal. Los motivos en que basa la reclamación son los siguientes: “Desde hace ya tiempo, alguien está suplantando mi identidad en internet, concretamente en una página de contactos, www.pasion.com. Siempre que he visto el anuncio le he pedido a la página que retirase el anuncio, lo han hecho rápido, pero esta persona sigue poniéndolo una y otra vez. Esta última vez, ha puesto fotografías mías, que supongo que habrá sacado de Facebook. En los anuncios, unas veces dice que me busca, y otras se hace pasar por mí, y en esta última ocasión pone fotos personales. […]” Adjunta la siguiente documentación: - Impresión de pantalla del anuncio publicado el ***FECHA.1, apartado “***APARTADO.1”, con título “A.A.A.!!!”, en el que se dice “(…)!!! Hola, estoy buscando a A.A.A., trabaja en la (…), es (…) Las veces que estuvimos juntos fue en (…) (… ) Edad XX años. - Capturas de pantalla de ***FECHA.2 de los anuncios en cuestión, con el siguiente contenido: C/ Jorge Juan, 6 28001 – Madrid o Apartado “***APARTADO.1” “Hace 2 días. A.A.A.. Soy (…) (…) Edad XX años”. El anuncio se acompaña de 5 fotografías (la imagen 2/5 muestra una fotografía de la parte reclamante). o Apartado “***APARTADO.1” “Hace 11 días. B.B.B.. Soy (…) (…). Te da morbo hacerlo en (…)?!? (…) Edad XX años”. Adjunta fotografías. www.aepd.es sedeagpd.gob.es 2/8 o Apartado “***APARTADO.1” “***FECHA.

1. C.C.C.. (…) (…) Edad XX años”. El anuncio se acompaña de una fotografía de la parte reclamante. SEGUNDO: Con fecha 10/05/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Requerido a la mercantil MUBA ONLINE, S.L., responsable del sitio web https://pasion.com, en el cual se publican los anuncios fraudulentos, sobre las direcciones de internet desde las que se han publicado los anuncios reclamados, con fecha de 14/05/2022 se recibe en esta Agencia escrito remitido por esta entidad facilitando las direcciones IP requeridas. Requerida a TELEFÓNICA DE ESPAÑA, S.A.U., operadora de estas direcciones IP, información sobre la titularidad de la asignación de estas IP en el momento de producirse la publicación de los anuncios, con fecha de 03/06/2022 se recibe en esta Agencia escrito remitido por esta entidad informando de que el titular en el momento de producirse la publicación de los anuncios reclamados es D.D.D., con NIF ***NIF.1 y domicilio en ***DIRECCIÓN.
2. CUARTO: Con fecha 20/12/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD. Este acuerdo de inicio, que se notificó conforme a las normas establecidas en la LPACAP mediante notificación postal, fue entregado a la parte reclamada el 03/02/
3. QUINTO: Con fecha 07/02/2023, esta Agencia recibe escrito de la COMISARÍA DE ALBACETE en el que solicita una copia del expediente tras haber presentado la parte reclamada una denuncia por posible hackeo de su línea de internet en relación con la presunta infracción del artículo 6.1 del RGPD. Con fecha 15/03/2023, esta Agencia responde a la solicitud informándole de las acciones llevadas a cabo en el marco de las actuaciones previas de investigación que dieron lugar a la apertura del presente procedimiento sancionador, mediante acuerdo de inicio dictado por la Directora de la Agencia Española de Protección de Datos el 20/12/
4. SEXTO: Con fecha 13/02/2023, la parte reclamada presentó escrito, en tiempo y forma, ante esta Agencia en el que manifiesta lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 “[…] Primera.- Que no tengo nada que ver con la inserción de anuncios en internet a los que se refiere el reclamante A.A.A., persona a la que no conozco de nada, ni tengo relación, careciendo de ninguna animadversión para realizar el tipo de acciones que se imputan. Segunda.- Que se me ha informado que el titular de la dirección IP, desde la que se han insertado los anuncios, es la mía o la que tengo asignada en mi contrato, sin verla reflejada por la Instrucción en ningún momento del acuerdo. (…). Tercera.- También he tenido conocimiento que una dirección wifi es relativamente fácil de hackear por personas con un nivel de conocimiento informático un poco avanzado, por lo que creo que mi IP ha podido ser utilizada mediante el hackeo de señal wifi, y de esta forma, haber insertado con máxima impunidad los anuncios en internet, a través de una página que no conozco ni recuerdo haber entrado. (…) Cuarta.- Los indicios de que se ha utilizado mi IP para estos delictivos o más, me ha llevado a contactar con mi operador de telefonía para revisión de wifi y cambio de claves, ya que desconozco cómo aumentar la seguridad ante su hackeo, lo que en el día 3 y 4 de febrero del 2023 se ha realizado con éxito. […]” Adjunta la siguiente documentación: - Copia del DNI de la parte reclamada y del acuerdo de inicio del presente procedimiento sancionador. - Copia de la denuncia presentada en la Comisaría de Albacete, en fecha 03/02/2023, por un posible hackeo de su línea de internet en relación con los anuncios objeto de reclamación. SÉPTIMO: Con fecha 10/03/2023, el órgano instructor del procedimiento acordó la apertura de un período de pruebas, teniéndose por incorporados la reclamación interpuesta por la parte reclamante y su documentación, así como las alegaciones al acuerdo de inicio del presente procedimiento sancionador presentadas por la parte reclamada y la documentación que a ellas acompaña. Asimismo, como prueba documental, solicitó asistencia a TELEFÓNICA DE ESPAÑA, S.A.U., para obtener información con respecto al número y datos identificativos de los dispositivos que se encontraban conectados a la dirección IP ***IP.1 en el momento en el que se produjeron los hechos denunciados. Con fecha 31/03/2023, esta Agencia recibió contestación de la compañía de telecomunicaciones en la que reiteraba lo señalado en el marco de las actuaciones previas de investigación. En concreto, que “la dirección IP ***IP.1, se encontraba asignada a la línea ***TELÉFONO.1 en los periodos interesados, que se trata de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 misma sesión para los tres periodos interesados, y cuyos datos son los siguientes: Nombre y apellidos: D.D.D. - NIF/CIF: ***NIF.1 - Domicilio: ***DIRECCIÓN.1”. OCTAVO: Con fecha 18/08/2023, el órgano instructor del procedimiento sancionador formuló propuesta de resolución, en la que propone que por la Directora de la Agencia Española de Protección de Datos se ordene el archivo al no disponer de elementos suficientemente probatorios de la responsabilidad de la parte reclamada en la publicación de los anuncios objeto de reclamación Esta propuesta de resolución que se notificó a la parte reclamada conforme a las normas establecidas en la LPACAP, resultó entregada en fecha 18/08/2023, como consta en el acuse de recibo que obra en el expediente. A día de hoy, no se ha recibido alegación alguna por la parte reclamada. HECHOS PROBADOS PRIMERO: Publicación de anuncios con imágenes y comentarios vejatorios e injuriosos de la parte reclamante en el sitio web www.pasion.com entre los meses de abril y mayo de
5. El contenido es el siguiente: - Anuncio publicado el ***FECHA.1, apartado “***APARTADO.1”, con título “A.A.A.!!!”, en el que se dice “(…)!!! Hola, estoy buscando a A.A.A., trabaja en (…), es (…) (…) Las veces que estuvimos juntos fue en (… ) Edad XX años. - Anuncio publicado en el Apartado “***APARTADO.1” “Hace 2 días. A.A.A.. Soy (…) (…) Edad XX años”. El anuncio se acompaña de 5 fotografías (la imagen 2/5 muestra una fotografía de la parte reclamante). - Anuncio publicado en el Apartado “***APARTADO.1” “Hace 11 días. B.B.B.. Soy (…) (…). Te da morbo hacerlo en (…)?!? (…) Edad XX años”. Adjunta fotografías. - Anuncio publicado en el Apartado “***APARTADO.1” “***FECHA.
6. C.C.C.. (…) (…) Edad XX años”. El anuncio se acompaña de una fotografía de la parte reclamante. SEGUNDO: Consta identificado como titular de la dirección IP ***IP.1, desde la que se publican los anuncios en cuestión, D.D.D., con NIF ***NIF.1 y domicilio en ***DIRECCIÓN.
7. TERCERO: El 03/02/2023 la parte reclamada presenta denuncia por posible hackeo de su línea de internet ante la Comisaría de Albacete. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4 “Definiciones” del RGPD define los siguientes términos a efectos del Reglamento: "1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen.” III Licitud del tratamiento de los datos personales Los principios que han de regir el tratamiento se encuentran enumerados en el artículo 5 del RGPD. En este sentido, el apartado 1 letra a), señala que: “Los datos personales serán: a) Tratados de manera lícita, leal y transparente en relación con el interesado (licitud, lealtad y transparencia); (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 El principio de licitud se regula, fundamentalmente, en el artículo 6 del RGPD. Los supuestos que permiten considerar lícito el tratamiento de los datos personales se enumeran en el artículo 6.1 del RGPD:
8. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; a) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; b) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; c) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; d) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; e) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Asimismo, el Considerando 40 del mencionado RGPD, dispone que “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.” IV Alegaciones aducidas Esta Agencia no tiene constancia de que la parte reclamada haya presentado escrito de alegaciones contra la propuesta de resolución. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 La LPACAP regula en el artículo 64 el contenido del acuerdo de iniciación del procedimiento administrativo sancionador e indica que deberá contener, al menos, la “a) Identificación de la persona o personas responsables presuntamente responsables”. En este sentido, el artículo 28 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (en adelante, LRJSP), bajo la rúbrica “Responsabilidad” dispone en su apartado 1 que “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, […], que resulten responsables de los mismos a título de dolo o culpa.” En esa misma línea, el artículo 53.2 de la LPACAP establece que: “Además de los derechos previstos en el apartado anterior, en el caso de procedimientos administrativos de naturaleza sancionadora, los presuntos responsables, tendrán los siguientes derechos: (…) b) A la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario”. El acuerdo de inicio del presente procedimiento sancionador identificó como presunto responsable de los hechos expuestos arriba a D.D.D., con NIF ***NIF.
9. La operadora de las direcciones IP desde las que se publicaron los anuncios en cuestión, TELEFÓNICA DE ESPAÑA, S.A.U., informó de que el titular en el momento de producirse la publicación de estos era D.D.D., con NIF ***NIF.1 y domicilio en ***DIRECCIÓN.
10. No obstante, a tenor de las alegaciones formuladas por la parte reclamada al acuerdo de inicio y de la documentación que obra en el expediente, no ha quedado suficientemente probada la responsabilidad de la parte reclamada en los hechos denunciados. La información relativa a la titularidad de la IP desde la que se publicaron los anuncios objeto de reclamación no permite saber con certeza quién realizó las publicaciones. A lo expuesto, ha de sumarse que la parte reclamada ha denunciado un posible hackeo de su línea de internet, como figura en la copia del Atestado policial de 03/02/
11. Por ello, en virtud del principio de presunción de inocencia y del mencionado artículo 28 de la LRJSP, se estimaron las alegaciones formuladas por la parte reclamada contra el acuerdo de inicio del presente procedimiento sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ORDENAR el ARCHIVO del presente procedimiento sancionador a D.D.D., con NIF ***NIF.1, al no quedar acreditada la comisión de la infracción del artículo 6.1 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a D.D.D.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-300823 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es