1/14 Expediente nº.: EXP202309210 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por A.A.A. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 8 de enero de 2024, y en base a los siguientes HECHOS PRIMERO: B.B.B. (en adelante, la parte reclamante) con fecha 05/09/2022 interpuso dos reclamaciones ante la Agencia Española de Protección de Datos dirigidas contra los usuarios de la red social “Twitter” que se mencionan en las URL indicadas en dichas reclamaciones. Los motivos en que basa dichas reclamaciones son los siguientes: “Publicación de un vídeo privado en el que aparezco sin mi consentimiento. El vídeo se ha hecho viral y yo no he dado permiso ni al montaje del vídeo ni a su distribución. Eran tomas independientes para un fin laboral, no para su publicación en redes sociales sin mi consentimiento ya que ni siquiera he sido yo quien ha distribuido el vídeo. Hecho denunciado en Twitter y respuesta recibida sin que se hayan tomado medidas”. En la primera de las reclamaciones recibidas, se señala que el vídeo fue publicado en la red social “Twitter” en fecha ***FECHA.1 por parte del usuario “***USUARIO.1”. El vídeo consiste en un montaje de tomas sucesivas (…). Mediante la segunda reclamación, la parte reclamante “añade” documentación a la reclamación anterior y detalla las URL que conducen a las publicaciones denunciadas (22 vídeos y 2 imágenes). Junto a las reclamaciones se aporta, entre otra documentación, la siguiente: . Captura de pantalla correspondiente al perfil del usuario de “Twitter” “***USUARIO.2”, “***USUARIO.1”. Consta la fecha “***FECHA.1.”, el texto “(...)” y una imagen del video en cuestión que corresponde a una foto de la parte reclamante. Consta que el vídeo tiene una duración de 38 segundos y que ha tenido “1,7 M reproducciones”. . Capturas de pantalla correspondientes a los perfiles de usuarios de “Twitter” que divulgaron el vídeo o las imágenes. En la mayoría de ellos constan las fechas (…); textos como “(…)”; etc.; y una imagen del video en cuestión que corresponde a una foto de la parte reclamante. Consta la duración del vídeo (38 segundos) y el número de reproducciones en cada caso (desde 30 hasta 443,8 mil reproducciones). SEGUNDO: Con fecha 05/09/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la primera de las reclamaciones reseñadas en el Antecedente Primero. El Acuerdo de Admisión fue notificado a la parte reclamante en la misma fecha. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 TERCERO: Con fecha 06/09/2022, tuvieron entrada en la Agencia dos nuevas reclamaciones de la parte reclamante. Las reclamaciones se dirigen contra nuevos usuarios de “Twitter”, “Instagram” y “Youtube”, que también divulgaron el vídeo en cuestión con comentarios similares a los reseñados anteriormente, los cuales se añaden a los incluidos en las reclamaciones anteriores, así como contra los responsables y usuarios de las páginas web que se indican, en las que se insertó igualmente el vídeo en cuestión. Entre estos últimos, figura un usuario de la web “pacot.es”, identificado como “***USUARIO.3”, que publicó el vídeo en cuestión en fecha 03/09/2022, accesible en la URL “***URL.1”, tomado del usuario de Twitter “***USUARIO.1”. Por la Subdirección General de Inspección de Datos se accedió al hilo generado por el usuario “***USUARIO.3” con el rótulo “(...)”, comprobando que, en la misma fecha del 03/09/2022, otros usuarios de la web “pacot.es” realizaron comentarios en relación con el repetido vídeo. El usuario identificado como “***USUARIO.4” realizó un comentario a las 17:03 horas, con el texto “No hay color. (...) ha calado hondo en nuestros corazones”, e incorporó una captura de pantalla correspondiente a una fotografía tomada del vídeo publicado en la que puede verse a la parte reclamante junto a otra persona. La fotografía no se muestra con total nitidez, pero no de forma que impida la identificación de la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. Se realizaron las comprobaciones y acciones siguientes: 1. Los Servicios de Inspección informan que el sito web “pacot.es” es un foro sin ánimo de lucro (no existe cuota para los usuarios ni publicidad) enfocado a diversas aficiones como videojuegos, cine, literatura, etc., en el que el contenido es generado por los propios usuarios. 2. Con fecha 08/09/2022, se solicitó a Entidad Pública Empresarial Red.es (REDES) información sobre la entidad responsable del dominico “pacot.es”. REDES responde que el titular es B.B.B., con domicilio en ***DIRECCION.1, con dirección de correo electrónico “***EMAIL.1” y teléfono ***TELÉFONO.1. Según la información facilitada, la persona de contacto administrativo, técnico y de facturación es C.C.C., con domicilio en calle ***DIRECCION.2. 3. Con fecha 03/10/2022, se solicitó información a la entidad Orange Espagne, S.A.U. sobre la titularidad de la línea ***TELÉFONO.1. Según informó esta entidad en fecha 19/10/2022, la línea pertenece a D.D.D., con domicilio en ***DIRECCION.3. 4. En el marco de las actuaciones previas de investigación, con fecha 21/10/2022, la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 AEPD dictó “Acuerdo de adopción de medida provisional” mediante el que se ordenó a D.D.D. la retirada del contenido objeto de la reclamación insertado en la web “pacot.es”, accesible a través de la URL “***URL.1” (video sobre “(...)” del usuario “***USUARIO.3”). En este acuerdo, que fue notificado en fecha 10/11/2022, se dispuso expresamente lo siguiente: “1. Requerir a D.D.D. (pacot.
- es)para que, en el plazo máximo de 5 días naturales, proceda a retirar los contenidos antes señalados relativas al reclamante de las direcciones web desde las que sean accesibles, evitando en la medida en que el estado de la tecnología lo permita, la re-subida o re-carga de copias o réplicas exactas por el mismo u otros usuarios. 2. Requerir a D.D.D. (pacot.
- es)para que la retirada o modificación de los contenidos se efectúe de tal modo que imposibilite su acceso y disposición del original por terceros, pero garantice su conservación, a efectos de custodiar las evidencias que puedan ser precisas en el curso de la investigación policial o administrativa o del proceso judicial que pudieren instruirse. 3. Requerir a D.D.D. (pacot.
- es)para que, en el plazo máximo de 5 días naturales, informe a esta Agencia Española de Protección de Datos acerca de la ejecución de la medida”. 5. Mediante requerimientos de fechas 03/10, 17/11 y 21/11/2022, se solicitó a los responsables de “Wespec”, proveedor de hosting y dominios, información sobre la titularidad de la dirección de correo electrónico “***EMAIL.1”, datos identificativos y de contactos del dominio “pacot.es” y la titularidad y domicilio de facturación de este dominio. Esta entidad respondió en fecha 25/11/2022 lo siguiente: . La dirección de correo “***EMAIL.1” no pertenece al cliente. Se utilizó para anonimizar su dirección de correo del cliente y evitar que reciba correos no deseados. . Los datos identificativos y de contacto del titular del dominio “pacot.es” registrados en sus sistemas: . (…) Según indica la citada entidad, los datos anteriores fueron aportados por “E.E.E.”. . Titular y domicilio de facturación del dominio “pacot.es”: . (…) . 6. Con fecha 07/12/2022, se solicitó a E.E.E. (responsable de la web “pacot.es”) la eliminación del contenido publicado en la URL “***URL.1” e información sobre la entidad que gestiona el sitio web “pacot.es”. Se recibió respuesta en fecha 21/12/2022, en la que se indica que el “hilo” en la plataforma con la url: ***URL.1) ha sido eliminado (entiéndase por “hilo” el mensaje C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 inicial y todas las respuestas del mismo) el mismo día de recepción de la carta (21/12/2022) a las 13:15 (GMT)”. Señala que la web solo retiene la información estrictamente necesaria para el correcto funcionamiento del website, que no almacena información ni datos personales o fotografías de individuos, registrados o terceros, y que está vetada la posibilidad de subir dichos archivos al servidor. Sobre las fotografías y vídeos apuntados en el requerimiento, aclara que provienen de otra web (https://www.twitter.com) y que son los usuarios de “pacot.es” los que han colocado enlaces a dicho contenido. Para indicar claramente que estos contenidos no provienen de “pacot.es”, pero sí de otras webs, estos se encajan en un marco que indica de qué plataforma se trata (se indican los usuarios que han publicado dicha imagen en “twitter.com” y que se enlazan en “pacot.es”). Añade que “cuando se cita una imagen de https://www.twitter.com pero no su “post” original, esta aparece con el dominio https://pbs.twimg.com. Ninguna imagen se aloja en hrrps://pacot.es”. Según la documentación que aporta, este es el caso de la imagen insertada con el comentario realizado por el usuario “***USUARIO.4”. Si el contenido de dichos enlaces es eliminado en origen, no aparece más en “pacot.es”. 7. Con fecha de 11/01/2023, por los Servicios de Inspección se comprueba que el contenido accesible a través de la URL “***URL.1” ha sido eliminado. En esta misma fecha se comprobó que la página “pacot.es” no se encontraba disponible. 8. Con fecha 16/01/2023, con objeto de determinar la autoría de las publicaciones, se solicitó a E.E.E. información sobre la dirección IP desde la que el usuario “***USUARIO.4” publicó el contenido reclamado el 03/09/2022, a las 17:03, así como los datos identificativos de registro del este perfil. Esta misma información se solicitó respecto de otros dos usuarios que intervinieron en el mismo hilo relativo al vídeo objeto de las actuaciones. Con fecha 28/01/2023, se recibe respuesta en la que se indica que la web no guarda ningún dato personal, más allá de la dirección de IP y una dirección de correo electrónico. Para el caso del usuario “***USUARIO.4” facilita la dirección IP ***IP.1 y la dirección “***EMAIL.2”. La misma información facilita en relación con otros dos usuarios por los que fue consultado (dirección IP y dirección de correo electrónico). Asimismo, añade que “la página web no registra la dirección de IP de cada mensaje individual por cuestiones de logística y protección de datos, pero sí la última desde la que accedió el usuario a la misma”, que para el citado usuario se corresponde con la facilitada. Posteriormente, se solicitó el detalle de la fecha y hora que conste en sus sistemas correspondientes a la asignación de direcciones IP informadas anteriormente. En el escrito de respuesta, de 13/02/2023, E.E.E. facilita las direcciones IP asignadas a los usuarios consultados en las fechas 28/01/2023, a las 16:27:43 (hora de España), C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 y 13/02/2023, a las 01:48:22 (hora de España). En relación con el usuario “***USUARIO.4”, facilita el siguiente detalle: . La dirección IP ***IP.1 asignada al perfil “***USUARIO.4” corresponde al día 28/01/2023, a las 16:27:43 (Hora de España). . La dirección IP de “***USUARIO.4” el día 13/02/2023, a las 01:48:22 (Hora de España) fue ***IP.2. 9. En respuesta al requerimiento que le fue realizado por los Servicios de Inspección, Telefónica de España, S.A.U. facilitó a esta Agencia, en fecha 14/02/2023, los datos identificativos y domicilio de los titulares de las direcciones IP indicadas en las fechas y horas especificadas: . En la fecha del 28/01/2023, entre las 16:00:00 y 17:00:00 horas, la titular de la IP ***IP.1 es F.F.F., con DNI ***NIF.1, y domicilio en calle ***DIRECCION.4. . En la fecha del 13/02/2023 entre las 01:00:00 y 02:00:00 horas, la titular de la IP ***IP.2 es H.H.H., con DNI ***NIF.2, y domicilio en calle ***DIRECCION.5. Asimismo, Telefónica de España, S.A.U. facilitó identidades distintas para cada una de las direcciones IP indicadas por E.E.E. en relación con otro usuario de la web (el nombre, domicilio y DNI de la persona a la que se asignó la dirección IP correspondiente al 28/01/2023 no coinciden con los de la persona a la que se asignó la IP asociada al mismo usuario en fecha 13/02/2023). 10. Con fecha 09/03/2023, se solicitaron a F.F.F. los datos identificativos (nombre, apellidos y NIF) y domicilio de la persona que utilizó su conexión a internet el 28/01/2023, entre las 16:00h y las 17:00 horas (usuario “***USUARIO.4” en el sitio web “pacot.es”). Con fecha 27/03/2023, la persona indicada manifestó que no conoce el sitio web “pacot.es” ni utiliza internet, al tener una deficiencia visual incapacitante, y que no sabe si “habrán utilizado su red WIFI”. 11. Con fecha 09/03/2023, se solicitaron a H.H.H. los datos identificativos (nombre, apellidos y NIF) y domicilio de la persona que utilizó su conexión a internet el 13/02/2023, entre las 01:00h y las 02:00 horas (usuario “***USUARIO.4” en el sitio web “pacot.es”). Con fecha 30/03/2023, la persona indicada identificó al usuario “***USUARIO.4” como G.G.G. (en lo sucesivo la parte reclamada), con el mismo domicilio en calle ***DIRECCION.5. En esta misma fecha del 30/03/2023, se recibió escrito de este usuario, la parte reclamada, en el que manifiesta que se debió vulnerar su privacidad en el foro, que no recuerda haber accedido con su usuario en la fecha del 13/02/2023; y que en esas fechas la web se encontraba cerrada o a punto de cerrar. Añade que en “pacot.es” no era posible subir imágenes como tal, sino solo por medio del “lincado”, permaneciendo la imagen alojada en el servidor donde originariamente se publicó la misma, nunca en “pacot.es”. Según la parte reclamada, esta web tenía numerosas quejas de usuarios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 por hackeos de cuentas y suplantaciones de identidad. 12. Finalmente, con objeto de esclarecer cómo el vídeo saltó a las redes sociales después de la grabación del mismo, en dos ocasiones la inspección actuante solicitó a la parte reclamante que identificara al autor de la grabación. Estos requerimientos de información fueron notificados en fechas 28/03/2023 y el 13/06/2023, pero no se recibió respuesta alguna. En el Informe de Actuaciones Previas de investigación, los Servicios de Inspección de la AEPD destacan que el vídeo en cuestión, en cuya grabación la parte reclamante participa voluntariamente, se viralizó tras su publicación el pasado ***FECHA.1 en Twitter por parte del usuario “***USUARIO.1” y que, debido a esa amplia difusión, se encuentra en decenas de sitios y se podía localizar fácilmente con etiquetas como "(...)" o "(...)". Según indican los Servicios de Inspección, se trata de una réplica de los vídeos que se hicieron virales en las redes sociales desde el año 2021 con el asunto “(…)”. Pueden encontrarse decenas de páginas de resultados utilizando el motor de búsqueda “Google”. QUINTO: Con fecha 25 de julio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, G.G.G., con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD, considerando que la parte reclamada difundió el video objeto de la reclamación sin el consentimiento de la parte reclamante y que esta difusión supone un tratamiento ilícito de los datos personales. SEXTO: Notificado el citado acuerdo de inicio, la parte reclamada, después de haber obtenido copia de las actuaciones, presentó escrito en el que formuló las alegaciones siguientes: 1. Vulneración del principio de tipicidad, considerando que la parte reclamante consintió la grabación del vídeo (aparece mirando a cámara y (…)), por lo que es consciente de la grabación y del uso de su imagen. El vídeo se convirtió en viral, alcanzando el rango de interés público o periodístico, como puede verse en algunos de los enlaces indicados por la parte reclamante. Así, entiende que al ejercer un derecho fundamental como es la libertad de información sobre un hecho que ha alcanzado notoriedad se estaría dentro del interés legítimo establecido en el RGPD y LOPDGDD. A este respecto, señala que el foro “pacot.es” no permitía subir vídeos ni guardar archivos, como señala el administrador en la información facilitada a los Servicios de Inspección de la AEPD. Lo único que permitía era copiar el enlace a otra web y visualizar desde esa fuente externa, siendo responsabilidad de “pacot.es” que dicho vídeo se insertase en la web y lo mostrase directamente. El citado principio de tipicidad se vulnera, asimismo, por la falta de concreción de los hechos: la URL que se menciona no corresponde a un post o hilo abierto por la parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 reclamada, no se especifica la URL completa del vídeo mencionado ni el número y orden del mensaje que se publicó en dicho hilo, y tampoco el enlace externo, dando a entender que se subió el vídeo directamente a “pacot.es”. Tampoco se especifica si solamente se publicó un enlace o si fue la propia web la que insertó el vídeo. Según la parte reclamada, el funcionamiento de la web era el siguiente: . Si se pegaba un enlace de Twitter la propia web insertaba de forma automática el perfil del propietario del vídeo, sin que eso significara que el vídeo se había subido a la web. . Si se citaba el mensaje, volvía a salir el perfil de Twitter insertado de forma automática en el nuevo mensaje. Pero esto no significaba que esa persona fuese el autor de la inserción. . La web tenía un error de diseño UI/UX mal ejecutado, por lo que, en ocasiones, al realizar un comentario de un hilo abierto por otro forero, sin querer se respondía al mensaje de otro usuario. Según la parte reclamada, la web estaba denunciada por los hackeos o modificaciones de perfil y mensajes del foro y por foreros que recibían mensajes sin permiso. Por otro lado, destaca que las actuaciones no determinan quién, cómo y cuándo se subió el vídeo. La AEPD realiza una interpretación extensiva de lo que es el tratamiento, sin considerar que poner un enlace no debería ser un tratamiento de datos. No se presenta el hecho concreto sancionable, ni el enlace, ni el autor del post, ni la fecha. En definitiva, considera la parte reclamada que no es aceptable apuntar que ha tratado imágenes sin consentimiento, porque no ha subido ni descargado el vídeo de ninguna web o red social, no lo ha creado ni grabado, ni lo ha introducido en “pacot.es” 2. Considera vulnerado el principio de presunción de inocencia y el principio acusatorio. Reitera que no subió el vídeo, ni el enlace, a la web en cuestión y advierte nuevamente que el autor de un mensaje en un foro se puede alterar fácilmente desde una base de datos. “pacot.es” utilizaba el sistema de foros Discourse, que es de código abierto y cuenta con extensiones para que un hilo o menaje pueda ser cambiado de autor. También se puede hacer esa modificación usando una consulta directamente en la base de datos (Postgre SQL). Solicita el registro de auditoría de cambios en la base de datos que garantiza que el administrador o administradores del sistema de foros no alteraron ningún mensaje, señalado al respecto que es obligatorio llevar ese registro inalterable y que ello le permitirá garantizar que su usuario, sus mensajes o sus datos no han sido alterados, durante o después de los hechos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 Además, solicita que no se admitan como pruebas unas simples capturas de pantalla, que también pueden ser alteradas con cualquier navegador con acceso a herramientas de inspección. Al haber accedido la AEPD al mensaje con posterioridad a la creación del hilo, su autoría ha podido ser modificada, algo frecuente en “pacot.es”. 3. Vulneración del principio de proporcionalidad, al determinarse la multa sin ninguna argumentación, sin motivar los criterios aplicados y en qué medida afectan a la cuantía de la multa. No se ha considerado el grado de culpabilidad, ya que el vídeo fue difundido por medios de comunicación y eso da a entender que la difusión es legítima, ni el hecho de que el daño fuese neutralizado con la eliminación de vídeo. 4. Por último, alega indefensión por la realización de actuaciones frente a terceras personas (los administradores o titulares del sitio web) sin que la parte reclamada haya podido realizar manifestación alguna de contrario o solicitar que esas personas certificasen si los mensajes pudieron ser alterados. Destaca que respondió el requerimiento que le fue realizado por los Servicios de Inspección de la AEPD admitiendo ser el usuario “***USUARIO.4”, pero no admitió ser el autor de la publicación del vídeo ni tampoco el acceso al foro en la fecha que se le indicó en aquel requerimiento (13/02/2023). En esas fechas había dejado de frecuentar el foro. Sobre este detalle, aclara que no fue preguntado por la fecha en que se subió el vídeo, sino por la fecha del 13/02/2023, que no puede corresponder a la de publicación del vídeo, por cuanto la reclamación se presentó en septiembre de 2022. Existe una contradicción en la disposición de los hechos que realiza la AEPD. Además, el mismo acuerdo de apertura alude al cierre de la web “pacot.es” el 13/02/2023, que tampoco es cierto. Señala que la web estuvo abierta hasta el 17/02/2023, según anunció el administrador con semanas de antelación, y que no se realizaron las pesquisas adecuadas para confirmar este hecho. A todo ello, añade que la indefensión también resulta de no haberse garantizado el principio de contradicción y por el cierre del foro, que hace inverificables muchos de los hechos. Termina sus alegaciones solicitando expresamente: . Que se cierre el expediente por ausencia de pruebas y por la imposibilidad de defensa. . Que se admita el defecto de forma en las comunicaciones de los requerimientos y del procedimiento sancionador, por la inexactitud de los hechos, de las actuaciones y de la cronología presentada. . Que se reduzca a un euro la cuantía de la multa, al no haberse especificado ningún criterio agravante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 SÉPTIMO: Con fecha 31/08/2023, el instructor del procedimiento acordó abrir un período de pruebas en las que practicaron las siguientes: 1. Se dieron por reproducidos a efectos probatorios la reclamación interpuesta por la parte reclamante y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación. 2. Se dieron por reproducidas, a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador presentadas por la parte reclamada, y la documentación que a ellas acompaña. OCTAVO: Con fecha 13/10/2023 se formuló propuesta de resolución, en el sentido que por la directora de la AEPD se sancionase a la parte reclamada, por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de 2.000 € (dos mil euros). En esta propuesta de resolución se determinaron los siguientes Hechos Probados: “PRIMERO: El reclamado ha difundido un video, sin contar con el consentimiento de la persona grabada, consistente en un montaje de tomas sucesivas en las que el afectado, grabado por algún conocido, mira a cámara y (…), lo cual supone un tratamiento de su imagen como dato personal considerado ilícito, al no contar con su consentimiento”. Se concluye que “la parte reclamada publica datos personales de la parte reclamante, tales imagen y voz del reclamante” y que “los hechos expuestos, es decir, la difusión de un vídeo que puede dañar la imagen de una persona, al no contar con su consentimiento, hace que el tratamiento de su imagen como dato personal pueda ser considerado ilícito, por lo que se estaría vulnerando lo establecido en el artículo 6 del RGPD, indicado en el fundamento de derecho III, por lo que podría suponer la comisión de una infracción tipificada en el artículo 83.5 del RGPD”. NOVENO: Con fecha 27/10/2023, la parte reclamada formuló alegaciones frente a la propuesta de resolución, en las que básicamente reproduce sus alegaciones anteriores, destacando principalmente que sus argumentos no han sido tenidos en cuenta y que sus palabras se han transformado para recalcar en la propuesta que ha reconocido haber divulgado el vídeo, algo que nunca ha afirmado. La propuesta de resolución expresa que “la parte reclamada indica además que divulga el vídeo en base al interés legítimo”, cuando en ninguna parte de sus alegaciones o respuestas ha reconocido o dado a entender este hecho, ni ha invocado en modo alguno el interés legítimo. Sobre el consentimiento de la parte reclamante a la grabación del vídeo, señala que el mismo informe de actuaciones previas reconoce que la misma participó “voluntariamente” en la grabación de vídeo y que esta grabación fue realizada por una persona que la parte reclamante “evidentemente conoce”, para concluir que “no se ha podido determinar cómo el vídeo terminó publicado en redes sociales”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 Asimismo, destaca que la parte reclamante fue posteriormente requerida en dos ocasiones para colaborar con la investigación, sin dar respuesta en ninguna de ellas. Sobre los hechos, señala que ha quedado claro que el autor del hilo en la web “pacot.es” fue otro usuario, el cual insertó un enlace a un usuario de Twitter que subió el vídeo a su cuenta personal. Estos hechos chocan con la acusación recogida en los Hechos Probados, donde se indica que la parte reclamada difundió el vídeo. Con su nombre de usuario solo aparece un comentario y, debajo, una foto borrosa que no identifica a nadie, y no un vídeo. Entiende que, según está realizada la captura de pantalla obtenida del foro por los Servicios de Inspección, no puede afirmarse que la foto pertenezca a su comentario o al forero que contestó a continuación. Esa foto está alojada en un servidor externo, en Twitter y no en “pacot.es”. Advierte, por otra parte, que la AEPD no ha realizado una investigación del funcionamiento del foro, habiéndose limitado a la información suministrada por los titulares de la web. Invoca nuevamente el principio de presunción de inocencia y el de proporcionalidad y alega nuevamente la indefensión causada. DÉCIMO: Con fecha 08/01/2024, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, en virtud de la cual se imponía a la parte reclamada, por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 2.000 euros (dos mil euros). DÉCIMO PRIMERO: Con fecha 06/02/2024, dentro del plazo establecido, se interpuso recurso de reposición por la parte reclamada (en lo sucesivo la parte reclamada o parte recurrente) contra la resolución reseñada en el Antecedente Décimo, de fecha 08/01/2024, en el que pone de manifiesto las mismas circunstancias y alegaciones recogidas los escritos presentados durante la tramitación del procedimiento y solicita lo siguiente: 1. Que, ante la ausencia de pruebas, se declare la nulidad o anulabilidad de la resolución recurrida. 2. Que se admita el defecto de forma en el procedimiento y en los requerimientos realizados por la AEPD, por la inexactitud de los hechos narrados, de la cronología presentada en los escritos enviados y en las actuaciones de la AEPD. 3. Que, ante la falta de justificación de la graduación de la sanción, se declare la nulidad o anulabilidad de la resolución recurrida. 4. Que se declare la nulidad o anulabilidad de la resolución recurrida por vulneración de la presunción de inocencia, por las acusaciones infundadas, argumentaciones falsamente atribuidas y por la indefensión sufrida. Mediante “Otrosí digo segundo”, solicita “que esta vez sí sean tenidas en cuenta todas mis alegaciones, respetando el sujeto al que hacen referencia, y no alterando el sentido y el razonamiento de éstas, lo que hasta ahora ha provocado malinterpretaciones o falsas acusaciones”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 De lo expuesto en el recurso planteado cabe destacar las manifestaciones siguientes: . Reitera que solicitó en su primera alegación el registro de auditoría de la base de datos, que garantiza que el administrador del foro no alteró ningún mensaje. . Que las investigaciones realizadas por la AEPD han puesto de manifiesto dificultades para localizar a las personas reales tras los perfiles del foro. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Ausencia de pruebas En el presente caso, se presentó reclamación contra varios usuarios de redes sociales por la divulgación de un vídeo en el que se muestra la imagen y la voz de la parte reclamante o de fotografías tomadas de dicho vídeo, junto con comentarios que, en algunos casos, aludían a su nombre. Las reclamaciones formuladas se dirigieron también contra responsables y usuarios de diversas páginas web, en las que se insertó igualmente el vídeo en cuestión. Entre estas últimas figura la web “pacot.es”, en la que un usuario identificado como “***USUARIO.3” publicó el vídeo en cuestión en fecha 03/09/2022, accesible en la URL “***URL.1”, tomado del usuario de Twitter “***USUARIO.1”. En la misma fecha del 03/09/2022, otros usuarios de “pacot.es” realizaron comentarios en el hilo generado por el usuario “***USUARIO.3” con el rótulo “(...)”, incluyendo el propio vídeo o alguna imagen tomada del mismo. En concreto, una persona identificada con el nombre de usuario “***USUARIO.4” realizó un comentario a las 17:03 horas, con el texto “No hay color. (...) ha calado hondo en nuestros corazones”, e incorporó una captura de pantalla correspondiente a una fotografía tomada del vídeo publicado en la que puede verse a la parte reclamante junto a otra persona. Para identificar a la persona que actúa bajo ese nombre de usuario y determinar la autoría de los hechos reclamados, los Servicios de Inspección de la AEPD solicitaron al responsable de “pacot.es” información sobre varios usuarios de la web, entre ellos el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 creador del hilo y el usuario “***USUARIO.4”, en concreto la dirección IP desde la que publicaron el contenido reclamado el 03/09/2022, a la hora correspondiente a cada uno de ellos, así como los datos identificativos de registro de esos perfiles. Los tres usuarios a los que se refería el requerimiento de información habían intervenido en el mismo hilo relativo al vídeo objeto de las actuaciones. En la respuesta recibida, el responsable de la citada web informó que no se registra la dirección IP de cada mensaje individual, pero sí la del último acceso realizado por el usuario de que se trate; y que no se guarda ningún dato personal, salvo esa dirección IP y una dirección de correo electrónico. Para los tres usuarios consultados, facilitó una dirección IP correspondiente a la fecha del 28/01/2023 (fecha de la respuesta) y una dirección de correo electrónico. Posteriormente, se solicitó al mismo responsable de la web el detalle de la fecha y hora que conste en sus sistemas correspondientes a la asignación de direcciones IP informadas. En un nuevo escrito de respuesta, de 13/02/2023, se facilitaron las direcciones IP asignadas a los usuarios consultados, correspondientes al día 28/01/2023, a las 16:27:43 (hora de España), y al día 13/02/2023, a las 01:48:22 (hora de España). En relación con la parte reclamada, se facilitó el siguiente detalle: . La dirección IP ***IP.1 asignada al perfil “***USUARIO.4” corresponde al día 28/01/2023, a las 16:27:43 (Hora de España). . La dirección IP de “***USUARIO.4” el día 13/02/2023, a las 01:48:22 (Hora de España) fue ***IP.2. A partir de tales datos, en respuesta al requerimiento que le fue realizado por los Servicios de Inspección, Telefónica de España, S.A.U. facilitó a la AEPD los datos identificativos y domicilio de los titulares de las asignaciones de direcciones IP indicadas, en los periodos especificados, debiendo destacarse que en relación con el usuario “***USUARIO.4” se señaló una persona distinta, con un domicilio distinto, para cada una de las direcciones IP y fecha informadas por el responsable de la web: . En la fecha del 28/01/2023, entre las 16:00:00 y 17:00:00 horas, la titular de la IP ***IP.1 es F.F.F., con DNI ***NIF.1, y domicilio en calle ***DIRECCION.4. . En la fecha del 13/02/2023 entre las 01:00:00 y 02:00:00 horas, la titular de la IP ***IP.2 es H.H.H., con DNI ***NIF.2, y domicilio en calle ***DIRECCION.5. Así, a pesar de que la parte reclamada ha reconocido ser el usuario de “pacot.es” conocido como ““***USUARIO.4”, el resultado de estas comprobaciones no permite asegurar que todos los accesos realizados a la web con ese nombre de usuario fuesen realizados efectivamente por la parte reclamada. Interesa, asimismo, destacar que Telefónica de España, S.A.U. también facilitó identidades distintas para cada una de las direcciones IP asociadas por el responsable de la web “pacot.es” al usuario “***USUARIO.3” en las fechas reseñadas, siendo una persona la que accedió con ese nombre de usuario en fecha 28/01/2023 y otra distinta la que accedió a la web el 13/02/2023, también con ese nombre de usuario, ambas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 con domicilios distintos. Solo en el caso del tercer usuario consultado coincidió la identidad de la persona informada por la citada operadora para las dos fechas señaladas. Visto el resultado obtenido, la información sobre direcciones IP asignadas a estos usuarios no puede tratarse como fiable. Es preciso destacar, además, que las direcciones IP facilitadas por el responsable de “pacot.es” no corresponden al momento en que tuvieron lugar los hechos, es decir, esas direcciones IP no fueron las asignadas a los usuarios que intervinieron en el foro, en el hilo creado por “***USUARIO.3”, en fecha 03/09/2023. El requerimiento de información realizado al responsable de “pacot.es” solicitó la dirección IP desde la que estos usuarios publicaron el contenido reclamado, pero el responsable de la web informó que no se registra la dirección IP de cada mensaje individual y que conserva únicamente la dirección IP del último acceso. Por ello, no ha sido posible constatar si bajo el nombre de usuario “***USUARIO.4”, en aquella fecha de septiembre de 2022, actuó F.F.F., la parte reclamada o un tercero desconocido, al no haberse dispuesto de la concreta dirección IP asignada en aquel momento exacto, que hubiese ofrecido alguna oportunidad de identificar a las personas en concreto que intervinieron en el post relativo a la parte reclamante bajo las denominaciones de usuario verificadas. Asimismo, cabe destacar que, según las comprobaciones destacadas por los Servicios de Inspección de esta AEPD, la web no se encontraba disponible en fecha 11/01/2023, fecha anterior a la de los accesos informados por el responsable de la web, que supuestamente tuvieron lugar el 28/01 y 13/02/2023. En consecuencia, procede concluir que no existe certeza sobre la autoría de los hechos analizados en la resolución impugnada, supuestamente cometidos por la parte reclamada bajo el nombre de usuario “***USUARIO.4”, de modo que no existe base fáctica para imputarle una infracción en materia de protección de datos ni para sancionarle por la misma, procediendo reconsiderar la validez de la resolución impugnada, con la estimación del recurso de reposición interpuesto y el archivo de las actuaciones. Se tiene en cuenta que la web “pacot.es” fue cerrada por su responsable y que ello dificulta que esta AEPD pueda realizar nuevas comprobaciones. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR el recurso de reposición interpuesto por A.A.A., con NIF ***NIF.3, contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 8 de enero de 2024, en el expediente EXP202309210, con archivo de las actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 SEGUNDO: NOTIFICAR la presente resolución a A.A.A., con NIF ***NIF.3. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-21112023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es