¶ ile paragrafa bağlantı verin veya alıntıyı künyesiyle kopyalayın. Üretilen bağlantı kimlikleri resmî paragraf numarası değildir.
1/14
Expediente nº.: EXP202309210
RESOLUCIÓN DE RECURSO DE REPOSICIÓN
Examinado el recurso de reposición interpuesto por A.A.A. (en lo sucesivo, la parte
recurrente) contra la resolución dictada por la Directora de la Agencia Española de
Protección de Datos de fecha 8 de enero de 2024, y en base a los siguientes
HECHOS
PRIMERO: B.B.B. (en adelante, la parte reclamante) con fecha 05/09/2022 interpuso
dos reclamaciones ante la Agencia Española de Protección de Datos dirigidas contra
los usuarios de la red social “Twitter” que se mencionan en las URL indicadas en
dichas reclamaciones. Los motivos en que basa dichas reclamaciones son los
siguientes:
“Publicación de un vídeo privado en el que aparezco sin mi consentimiento. El vídeo
se ha hecho viral y yo no he dado permiso ni al montaje del vídeo ni a su distribución.
Eran tomas independientes para un fin laboral, no para su publicación en redes
sociales sin mi consentimiento ya que ni siquiera he sido yo quien ha distribuido el
vídeo. Hecho denunciado en Twitter y respuesta recibida sin que se hayan tomado
medidas”.
En la primera de las reclamaciones recibidas, se señala que el vídeo fue publicado en
la red social “Twitter” en fecha ***FECHA.1 por parte del usuario “***USUARIO.1”. El
vídeo consiste en un montaje de tomas sucesivas (…).
Mediante la segunda reclamación, la parte reclamante “añade” documentación a la
reclamación anterior y detalla las URL que conducen a las publicaciones denunciadas
(22 vídeos y 2 imágenes).
Junto a las reclamaciones se aporta, entre otra documentación, la siguiente:
. Captura de pantalla correspondiente al perfil del usuario de “Twitter”
“***USUARIO.2”, “***USUARIO.1”. Consta la fecha “***FECHA.1.”, el texto “(...)” y
una imagen del video en cuestión que corresponde a una foto de la parte reclamante.
Consta que el vídeo tiene una duración de 38 segundos y que ha tenido “1,7 M
reproducciones”.
. Capturas de pantalla correspondientes a los perfiles de usuarios de “Twitter” que
divulgaron el vídeo o las imágenes. En la mayoría de ellos constan las fechas (…);
textos como “(…)”; etc.; y una imagen del video en cuestión que corresponde a una
foto de la parte reclamante. Consta la duración del vídeo (38 segundos) y el número
de reproducciones en cada caso (desde 30 hasta 443,8 mil reproducciones).
SEGUNDO: Con fecha 05/09/2022, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la primera de las reclamaciones reseñadas en el
Antecedente Primero. El Acuerdo de Admisión fue notificado a la parte reclamante en
la misma fecha.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/14
TERCERO: Con fecha 06/09/2022, tuvieron entrada en la Agencia dos nuevas
reclamaciones de la parte reclamante. Las reclamaciones se dirigen contra nuevos
usuarios de “Twitter”, “Instagram” y “Youtube”, que también divulgaron el vídeo en
cuestión con comentarios similares a los reseñados anteriormente, los cuales se
añaden a los incluidos en las reclamaciones anteriores, así como contra los
responsables y usuarios de las páginas web que se indican, en las que se insertó
igualmente el vídeo en cuestión.
Entre estos últimos, figura un usuario de la web “pacot.es”, identificado como
“***USUARIO.3”, que publicó el vídeo en cuestión en fecha 03/09/2022, accesible en
la URL “***URL.1”, tomado del usuario de Twitter “***USUARIO.1”.
Por la Subdirección General de Inspección de Datos se accedió al hilo generado por el
usuario “***USUARIO.3” con el rótulo “(...)”, comprobando que, en la misma fecha del
03/09/2022, otros usuarios de la web “pacot.es” realizaron comentarios en relación con
el repetido vídeo. El usuario identificado como “***USUARIO.4” realizó un comentario
a las 17:03 horas, con el texto “No hay color. (...) ha calado hondo en nuestros
corazones”, e incorporó una captura de pantalla correspondiente a una fotografía
tomada del vídeo publicado en la que puede verse a la parte reclamante junto a otra
persona. La fotografía no se muestra con total nitidez, pero no de forma que impida la
identificación de la parte reclamante.
CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD. Se realizaron las comprobaciones y acciones siguientes:
1. Los Servicios de Inspección informan que el sito web “pacot.es” es un foro sin ánimo
de lucro (no existe cuota para los usuarios ni publicidad) enfocado a diversas aficiones
como videojuegos, cine, literatura, etc., en el que el contenido es generado por los
propios usuarios.
2. Con fecha 08/09/2022, se solicitó a Entidad Pública Empresarial Red.es (REDES)
información sobre la entidad responsable del dominico “pacot.es”.
REDES responde que el titular es B.B.B., con domicilio en ***DIRECCION.1, con
dirección de correo electrónico “***EMAIL.1” y teléfono ***TELÉFONO.1.
Según la información facilitada, la persona de contacto administrativo, técnico y de
facturación es C.C.C., con domicilio en calle ***DIRECCION.2.
3. Con fecha 03/10/2022, se solicitó información a la entidad Orange Espagne, S.A.U.
sobre la titularidad de la línea ***TELÉFONO.1. Según informó esta entidad en fecha
19/10/2022, la línea pertenece a D.D.D., con domicilio en ***DIRECCION.3.
4. En el marco de las actuaciones previas de investigación, con fecha 21/10/2022, la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/14
AEPD dictó “Acuerdo de adopción de medida provisional” mediante el que se ordenó a
D.D.D. la retirada del contenido objeto de la reclamación insertado en la web
“pacot.es”, accesible a través de la URL “***URL.1” (video sobre “(...)” del usuario
“***USUARIO.3”).
En este acuerdo, que fue notificado en fecha 10/11/2022, se dispuso expresamente lo
siguiente:
“1. Requerir a D.D.D. (pacot.es) para que, en el plazo máximo de 5 días naturales,
proceda a retirar los contenidos antes señalados relativas al reclamante de las direcciones
web desde las que sean accesibles, evitando en la medida en que el estado de la
tecnología lo permita, la re-subida o re-carga de copias o réplicas exactas por el mismo u
otros usuarios.
2. Requerir a D.D.D. (pacot.es) para que la retirada o modificación de los contenidos se
efectúe de tal modo que imposibilite su acceso y disposición del original por terceros, pero
garantice su conservación, a efectos de custodiar las evidencias que puedan ser precisas
en el curso de la investigación policial o administrativa o del proceso judicial que pudieren
instruirse.
3. Requerir a D.D.D. (pacot.es) para que, en el plazo máximo de 5 días naturales, informe
a esta Agencia Española de Protección de Datos acerca de la ejecución de la medida”.
5. Mediante requerimientos de fechas 03/10, 17/11 y 21/11/2022, se solicitó a los
responsables de “Wespec”, proveedor de hosting y dominios, información sobre la
titularidad de la dirección de correo electrónico “***EMAIL.1”, datos identificativos y de
contactos del dominio “pacot.es” y la titularidad y domicilio de facturación de este
dominio.
Esta entidad respondió en fecha 25/11/2022 lo siguiente:
. La dirección de correo “***EMAIL.1” no pertenece al cliente. Se utilizó para
anonimizar su dirección de correo del cliente y evitar que reciba correos no deseados.
. Los datos identificativos y de contacto del titular del dominio “pacot.es” registrados en
sus sistemas:
. (…)
Según indica la citada entidad, los datos anteriores fueron aportados por “E.E.E.”.
. Titular y domicilio de facturación del dominio “pacot.es”:
. (…)
.
6. Con fecha 07/12/2022, se solicitó a E.E.E. (responsable de la web “pacot.es”) la
eliminación del contenido publicado en la URL “***URL.1” e información sobre la
entidad que gestiona el sitio web “pacot.es”.
Se recibió respuesta en fecha 21/12/2022, en la que se indica que el “hilo” en la
plataforma con la url: ***URL.1) ha sido eliminado (entiéndase por “hilo” el mensaje
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/14
inicial y todas las respuestas del mismo) el mismo día de recepción de la carta
(21/12/2022) a las 13:15 (GMT)”.
Señala que la web solo retiene la información estrictamente necesaria para el correcto
funcionamiento del website, que no almacena información ni datos personales o
fotografías de individuos, registrados o terceros, y que está vetada la posibilidad de
subir dichos archivos al servidor.
Sobre las fotografías y vídeos apuntados en el requerimiento, aclara que provienen de
otra web (https://www.twitter.com) y que son los usuarios de “pacot.es” los que han
colocado enlaces a dicho contenido. Para indicar claramente que estos contenidos no
provienen de “pacot.es”, pero sí de otras webs, estos se encajan en un marco que
indica de qué plataforma se trata (se indican los usuarios que han publicado dicha
imagen en “twitter.com” y que se enlazan en “pacot.es”).
Añade que “cuando se cita una imagen de https://www.twitter.com pero no su “post”
original, esta aparece con el dominio https://pbs.twimg.com. Ninguna imagen se aloja
en hrrps://pacot.es”. Según la documentación que aporta, este es el caso de la imagen
insertada con el comentario realizado por el usuario “***USUARIO.4”.
Si el contenido de dichos enlaces es eliminado en origen, no aparece más en
“pacot.es”.
7. Con fecha de 11/01/2023, por los Servicios de Inspección se comprueba que el
contenido accesible a través de la URL “***URL.1” ha sido eliminado. En esta misma
fecha se comprobó que la página “pacot.es” no se encontraba disponible.
8. Con fecha 16/01/2023, con objeto de determinar la autoría de las publicaciones, se
solicitó a E.E.E. información sobre la dirección IP desde la que el usuario
“***USUARIO.4” publicó el contenido reclamado el 03/09/2022, a las 17:03, así como
los datos identificativos de registro del este perfil. Esta misma información se solicitó
respecto de otros dos usuarios que intervinieron en el mismo hilo relativo al vídeo
objeto de las actuaciones.
Con fecha 28/01/2023, se recibe respuesta en la que se indica que la web no guarda
ningún dato personal, más allá de la dirección de IP y una dirección de correo
electrónico. Para el caso del usuario “***USUARIO.4” facilita la dirección IP ***IP.1 y la
dirección “***EMAIL.2”. La misma información facilita en relación con otros dos
usuarios por los que fue consultado (dirección IP y dirección de correo electrónico).
Asimismo, añade que “la página web no registra la dirección de IP de cada mensaje
individual por cuestiones de logística y protección de datos, pero sí la última desde la
que accedió el usuario a la misma”, que para el citado usuario se corresponde con la
facilitada.
Posteriormente, se solicitó el detalle de la fecha y hora que conste en sus sistemas
correspondientes a la asignación de direcciones IP informadas anteriormente.
En el escrito de respuesta, de 13/02/2023, E.E.E. facilita las direcciones IP asignadas
a los usuarios consultados en las fechas 28/01/2023, a las 16:27:43 (hora de España),
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/14
y 13/02/2023, a las 01:48:22 (hora de España). En relación con el usuario
“***USUARIO.4”, facilita el siguiente detalle:
. La dirección IP ***IP.1 asignada al perfil “***USUARIO.4” corresponde al día
28/01/2023, a las 16:27:43 (Hora de España).
. La dirección IP de “***USUARIO.4” el día 13/02/2023, a las 01:48:22 (Hora de
España) fue ***IP.2.
9. En respuesta al requerimiento que le fue realizado por los Servicios de Inspección,
Telefónica de España, S.A.U. facilitó a esta Agencia, en fecha 14/02/2023, los datos
identificativos y domicilio de los titulares de las direcciones IP indicadas en las fechas y
horas especificadas:
. En la fecha del 28/01/2023, entre las 16:00:00 y 17:00:00 horas, la titular de la IP
***IP.1 es F.F.F., con DNI ***NIF.1, y domicilio en calle ***DIRECCION.4.
. En la fecha del 13/02/2023 entre las 01:00:00 y 02:00:00 horas, la titular de la IP
***IP.2 es H.H.H., con DNI ***NIF.2, y domicilio en calle ***DIRECCION.5.
Asimismo, Telefónica de España, S.A.U. facilitó identidades distintas para cada una de
las direcciones IP indicadas por E.E.E. en relación con otro usuario de la web (el
nombre, domicilio y DNI de la persona a la que se asignó la dirección IP
correspondiente al 28/01/2023 no coinciden con los de la persona a la que se asignó la
IP asociada al mismo usuario en fecha 13/02/2023).
10. Con fecha 09/03/2023, se solicitaron a F.F.F. los datos identificativos (nombre,
apellidos y NIF) y domicilio de la persona que utilizó su conexión a internet el
28/01/2023, entre las 16:00h y las 17:00 horas (usuario “***USUARIO.4” en el sitio
web “pacot.es”).
Con fecha 27/03/2023, la persona indicada manifestó que no conoce el sitio web
“pacot.es” ni utiliza internet, al tener una deficiencia visual incapacitante, y que no sabe
si “habrán utilizado su red WIFI”.
11. Con fecha 09/03/2023, se solicitaron a H.H.H. los datos identificativos (nombre,
apellidos y NIF) y domicilio de la persona que utilizó su conexión a internet el
13/02/2023, entre las 01:00h y las 02:00 horas (usuario “***USUARIO.4” en el sitio
web “pacot.es”).
Con fecha 30/03/2023, la persona indicada identificó al usuario “***USUARIO.4” como
G.G.G. (en lo sucesivo la parte reclamada), con el mismo domicilio en calle
***DIRECCION.5.
En esta misma fecha del 30/03/2023, se recibió escrito de este usuario, la parte
reclamada, en el que manifiesta que se debió vulnerar su privacidad en el foro, que no
recuerda haber accedido con su usuario en la fecha del 13/02/2023; y que en esas
fechas la web se encontraba cerrada o a punto de cerrar. Añade que en “pacot.es” no
era posible subir imágenes como tal, sino solo por medio del “lincado”, permaneciendo
la imagen alojada en el servidor donde originariamente se publicó la misma, nunca en
“pacot.es”. Según la parte reclamada, esta web tenía numerosas quejas de usuarios
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/14
por hackeos de cuentas y suplantaciones de identidad.
12. Finalmente, con objeto de esclarecer cómo el vídeo saltó a las redes sociales
después de la grabación del mismo, en dos ocasiones la inspección actuante solicitó a
la parte reclamante que identificara al autor de la grabación. Estos requerimientos de
información fueron notificados en fechas 28/03/2023 y el 13/06/2023, pero no se
recibió respuesta alguna.
En el Informe de Actuaciones Previas de investigación, los Servicios de Inspección de
la AEPD destacan que el vídeo en cuestión, en cuya grabación la parte reclamante
participa voluntariamente, se viralizó tras su publicación el pasado ***FECHA.1 en
Twitter por parte del usuario “***USUARIO.1” y que, debido a esa amplia difusión, se
encuentra en decenas de sitios y se podía localizar fácilmente con etiquetas como
"(...)" o "(...)". Según indican los Servicios de Inspección, se trata de una réplica de los
vídeos que se hicieron virales en las redes sociales desde el año 2021 con el asunto
“(…)”. Pueden encontrarse decenas de páginas de resultados utilizando el motor de
búsqueda “Google”.
QUINTO: Con fecha 25 de julio de 2023, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
G.G.G., con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del artículo 6 del RGPD, tipificada en el
Artículo 83.5 del RGPD, considerando que la parte reclamada difundió el video objeto
de la reclamación sin el consentimiento de la parte reclamante y que esta difusión
supone un tratamiento ilícito de los datos personales.
SEXTO: Notificado el citado acuerdo de inicio, la parte reclamada, después de haber
obtenido copia de las actuaciones, presentó escrito en el que formuló las alegaciones
siguientes:
1. Vulneración del principio de tipicidad, considerando que la parte reclamante
consintió la grabación del vídeo (aparece mirando a cámara y (…)), por lo que es
consciente de la grabación y del uso de su imagen.
El vídeo se convirtió en viral, alcanzando el rango de interés público o periodístico,
como puede verse en algunos de los enlaces indicados por la parte reclamante. Así,
entiende que al ejercer un derecho fundamental como es la libertad de información
sobre un hecho que ha alcanzado notoriedad se estaría dentro del interés legítimo
establecido en el RGPD y LOPDGDD.
A este respecto, señala que el foro “pacot.es” no permitía subir vídeos ni guardar
archivos, como señala el administrador en la información facilitada a los Servicios de
Inspección de la AEPD. Lo único que permitía era copiar el enlace a otra web y
visualizar desde esa fuente externa, siendo responsabilidad de “pacot.es” que dicho
vídeo se insertase en la web y lo mostrase directamente.
El citado principio de tipicidad se vulnera, asimismo, por la falta de concreción de los
hechos: la URL que se menciona no corresponde a un post o hilo abierto por la parte
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/14
reclamada, no se especifica la URL completa del vídeo mencionado ni el número y
orden del mensaje que se publicó en dicho hilo, y tampoco el enlace externo, dando a
entender que se subió el vídeo directamente a “pacot.es”. Tampoco se especifica si
solamente se publicó un enlace o si fue la propia web la que insertó el vídeo.
Según la parte reclamada, el funcionamiento de la web era el siguiente:
. Si se pegaba un enlace de Twitter la propia web insertaba de forma automática el
perfil del propietario del vídeo, sin que eso significara que el vídeo se había subido a la
web.
. Si se citaba el mensaje, volvía a salir el perfil de Twitter insertado de forma
automática en el nuevo mensaje. Pero esto no significaba que esa persona fuese el
autor de la inserción.
. La web tenía un error de diseño UI/UX mal ejecutado, por lo que, en ocasiones, al
realizar un comentario de un hilo abierto por otro forero, sin querer se respondía al
mensaje de otro usuario.
Según la parte reclamada, la web estaba denunciada por los hackeos o modificaciones
de perfil y mensajes del foro y por foreros que recibían mensajes sin permiso.
Por otro lado, destaca que las actuaciones no determinan quién, cómo y cuándo se
subió el vídeo. La AEPD realiza una interpretación extensiva de lo que es el
tratamiento, sin considerar que poner un enlace no debería ser un tratamiento de
datos. No se presenta el hecho concreto sancionable, ni el enlace, ni el autor del post,
ni la fecha.
En definitiva, considera la parte reclamada que no es aceptable apuntar que ha tratado
imágenes sin consentimiento, porque no ha subido ni descargado el vídeo de ninguna
web o red social, no lo ha creado ni grabado, ni lo ha introducido en “pacot.es”
2. Considera vulnerado el principio de presunción de inocencia y el principio
acusatorio.
Reitera que no subió el vídeo, ni el enlace, a la web en cuestión y advierte
nuevamente que el autor de un mensaje en un foro se puede alterar fácilmente desde
una base de datos.
“pacot.es” utilizaba el sistema de foros Discourse, que es de código abierto y cuenta
con extensiones para que un hilo o menaje pueda ser cambiado de autor. También se
puede hacer esa modificación usando una consulta directamente en la base de datos
(Postgre SQL).
Solicita el registro de auditoría de cambios en la base de datos que garantiza que el
administrador o administradores del sistema de foros no alteraron ningún mensaje,
señalado al respecto que es obligatorio llevar ese registro inalterable y que ello le
permitirá garantizar que su usuario, sus mensajes o sus datos no han sido alterados,
durante o después de los hechos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/14
Además, solicita que no se admitan como pruebas unas simples capturas de pantalla,
que también pueden ser alteradas con cualquier navegador con acceso a
herramientas de inspección.
Al haber accedido la AEPD al mensaje con posterioridad a la creación del hilo, su
autoría ha podido ser modificada, algo frecuente en “pacot.es”.
3. Vulneración del principio de proporcionalidad, al determinarse la multa sin ninguna
argumentación, sin motivar los criterios aplicados y en qué medida afectan a la cuantía
de la multa.
No se ha considerado el grado de culpabilidad, ya que el vídeo fue difundido por
medios de comunicación y eso da a entender que la difusión es legítima, ni el hecho
de que el daño fuese neutralizado con la eliminación de vídeo.
4. Por último, alega indefensión por la realización de actuaciones frente a terceras
personas (los administradores o titulares del sitio web) sin que la parte reclamada haya
podido realizar manifestación alguna de contrario o solicitar que esas personas
certificasen si los mensajes pudieron ser alterados.
Destaca que respondió el requerimiento que le fue realizado por los Servicios de
Inspección de la AEPD admitiendo ser el usuario “***USUARIO.4”, pero no admitió ser
el autor de la publicación del vídeo ni tampoco el acceso al foro en la fecha que se le
indicó en aquel requerimiento (13/02/2023). En esas fechas había dejado de
frecuentar el foro.
Sobre este detalle, aclara que no fue preguntado por la fecha en que se subió el vídeo,
sino por la fecha del 13/02/2023, que no puede corresponder a la de publicación del
vídeo, por cuanto la reclamación se presentó en septiembre de 2022. Existe una
contradicción en la disposición de los hechos que realiza la AEPD.
Además, el mismo acuerdo de apertura alude al cierre de la web “pacot.es” el
13/02/2023, que tampoco es cierto. Señala que la web estuvo abierta hasta el
17/02/2023, según anunció el administrador con semanas de antelación, y que no se
realizaron las pesquisas adecuadas para confirmar este hecho.
A todo ello, añade que la indefensión también resulta de no haberse garantizado el
principio de contradicción y por el cierre del foro, que hace inverificables muchos de
los hechos.
Termina sus alegaciones solicitando expresamente:
. Que se cierre el expediente por ausencia de pruebas y por la imposibilidad de
defensa.
. Que se admita el defecto de forma en las comunicaciones de los requerimientos y del
procedimiento sancionador, por la inexactitud de los hechos, de las actuaciones y de la
cronología presentada.
. Que se reduzca a un euro la cuantía de la multa, al no haberse especificado ningún
criterio agravante.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/14
SÉPTIMO: Con fecha 31/08/2023, el instructor del procedimiento acordó abrir un
período de pruebas en las que practicaron las siguientes:
1. Se dieron por reproducidos a efectos probatorios la reclamación interpuesta por la
parte reclamante y su documentación, los documentos obtenidos y generados durante
la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de
investigación.
2. Se dieron por reproducidas, a efectos probatorios, las alegaciones al acuerdo de
inicio del procedimiento sancionador presentadas por la parte reclamada, y la
documentación que a ellas acompaña.
OCTAVO: Con fecha 13/10/2023 se formuló propuesta de resolución, en el sentido que
por la directora de la AEPD se sancionase a la parte reclamada, por una infracción del
artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de 2.000 €
(dos mil euros).
En esta propuesta de resolución se determinaron los siguientes Hechos Probados:
“PRIMERO: El reclamado ha difundido un video, sin contar con el consentimiento de la
persona grabada, consistente en un montaje de tomas sucesivas en las que el
afectado, grabado por algún conocido, mira a cámara y (…), lo cual supone un
tratamiento de su imagen como dato personal considerado ilícito, al no contar con su
consentimiento”.
Se concluye que “la parte reclamada publica datos personales de la parte reclamante,
tales imagen y voz del reclamante” y que “los hechos expuestos, es decir, la difusión
de un vídeo que puede dañar la imagen de una persona, al no contar con su
consentimiento, hace que el tratamiento de su imagen como dato personal pueda ser
considerado ilícito, por lo que se estaría vulnerando lo establecido en el artículo 6 del
RGPD, indicado en el fundamento de derecho III, por lo que podría suponer la
comisión de una infracción tipificada en el artículo 83.5 del RGPD”.
NOVENO: Con fecha 27/10/2023, la parte reclamada formuló alegaciones frente a la
propuesta de resolución, en las que básicamente reproduce sus alegaciones
anteriores, destacando principalmente que sus argumentos no han sido tenidos en
cuenta y que sus palabras se han transformado para recalcar en la propuesta que ha
reconocido haber divulgado el vídeo, algo que nunca ha afirmado.
La propuesta de resolución expresa que “la parte reclamada indica además que
divulga el vídeo en base al interés legítimo”, cuando en ninguna parte de sus
alegaciones o respuestas ha reconocido o dado a entender este hecho, ni ha invocado
en modo alguno el interés legítimo.
Sobre el consentimiento de la parte reclamante a la grabación del vídeo, señala que el
mismo informe de actuaciones previas reconoce que la misma participó
“voluntariamente” en la grabación de vídeo y que esta grabación fue realizada por una
persona que la parte reclamante “evidentemente conoce”, para concluir que “no se ha
podido determinar cómo el vídeo terminó publicado en redes sociales”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/14
Asimismo, destaca que la parte reclamante fue posteriormente requerida en dos
ocasiones para colaborar con la investigación, sin dar respuesta en ninguna de ellas.
Sobre los hechos, señala que ha quedado claro que el autor del hilo en la web
“pacot.es” fue otro usuario, el cual insertó un enlace a un usuario de Twitter que subió
el vídeo a su cuenta personal. Estos hechos chocan con la acusación recogida en los
Hechos Probados, donde se indica que la parte reclamada difundió el vídeo.
Con su nombre de usuario solo aparece un comentario y, debajo, una foto borrosa que
no identifica a nadie, y no un vídeo. Entiende que, según está realizada la captura de
pantalla obtenida del foro por los Servicios de Inspección, no puede afirmarse que la
foto pertenezca a su comentario o al forero que contestó a continuación. Esa foto está
alojada en un servidor externo, en Twitter y no en “pacot.es”.
Advierte, por otra parte, que la AEPD no ha realizado una investigación del
funcionamiento del foro, habiéndose limitado a la información suministrada por los
titulares de la web.
Invoca nuevamente el principio de presunción de inocencia y el de proporcionalidad y
alega nuevamente la indefensión causada.
DÉCIMO: Con fecha 08/01/2024, se dictó resolución por la Directora de la Agencia
Española de Protección de Datos, en virtud de la cual se imponía a la parte reclamada,
por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD, una
multa de 2.000 euros (dos mil euros).
DÉCIMO PRIMERO: Con fecha 06/02/2024, dentro del plazo establecido, se interpuso
recurso de reposición por la parte reclamada (en lo sucesivo la parte reclamada o
parte recurrente) contra la resolución reseñada en el Antecedente Décimo, de fecha
08/01/2024, en el que pone de manifiesto las mismas circunstancias y alegaciones
recogidas los escritos presentados durante la tramitación del procedimiento y solicita lo
siguiente:
1. Que, ante la ausencia de pruebas, se declare la nulidad o anulabilidad de la
resolución recurrida.
2. Que se admita el defecto de forma en el procedimiento y en los requerimientos
realizados por la AEPD, por la inexactitud de los hechos narrados, de la cronología
presentada en los escritos enviados y en las actuaciones de la AEPD.
3. Que, ante la falta de justificación de la graduación de la sanción, se declare la
nulidad o anulabilidad de la resolución recurrida.
4. Que se declare la nulidad o anulabilidad de la resolución recurrida por vulneración
de la presunción de inocencia, por las acusaciones infundadas, argumentaciones
falsamente atribuidas y por la indefensión sufrida.
Mediante “Otrosí digo segundo”, solicita “que esta vez sí sean tenidas en cuenta todas
mis alegaciones, respetando el sujeto al que hacen referencia, y no alterando el
sentido y el razonamiento de éstas, lo que hasta ahora ha provocado
malinterpretaciones o falsas acusaciones”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/14
De lo expuesto en el recurso planteado cabe destacar las manifestaciones siguientes:
. Reitera que solicitó en su primera alegación el registro de auditoría de la base de
datos, que garantiza que el administrador del foro no alteró ningún mensaje.
. Que las investigaciones realizadas por la AEPD han puesto de manifiesto dificultades
para localizar a las personas reales tras los perfiles del foro.
FUNDAMENTOS DE DERECHO
I
Competencia
Es competente para resolver el presente recurso la Directora de la Agencia Española
de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en adelante, LOPDGDD).
II
Ausencia de pruebas
En el presente caso, se presentó reclamación contra varios usuarios de redes sociales
por la divulgación de un vídeo en el que se muestra la imagen y la voz de la parte
reclamante o de fotografías tomadas de dicho vídeo, junto con comentarios que, en
algunos casos, aludían a su nombre. Las reclamaciones formuladas se dirigieron
también contra responsables y usuarios de diversas páginas web, en las que se
insertó igualmente el vídeo en cuestión.
Entre estas últimas figura la web “pacot.es”, en la que un usuario identificado como
“***USUARIO.3” publicó el vídeo en cuestión en fecha 03/09/2022, accesible en la
URL “***URL.1”, tomado del usuario de Twitter “***USUARIO.1”.
En la misma fecha del 03/09/2022, otros usuarios de “pacot.es” realizaron comentarios
en el hilo generado por el usuario “***USUARIO.3” con el rótulo “(...)”, incluyendo el
propio vídeo o alguna imagen tomada del mismo. En concreto, una persona
identificada con el nombre de usuario “***USUARIO.4” realizó un comentario a las
17:03 horas, con el texto “No hay color. (...) ha calado hondo en nuestros corazones”,
e incorporó una captura de pantalla correspondiente a una fotografía tomada del vídeo
publicado en la que puede verse a la parte reclamante junto a otra persona.
Para identificar a la persona que actúa bajo ese nombre de usuario y determinar la
autoría de los hechos reclamados, los Servicios de Inspección de la AEPD solicitaron
al responsable de “pacot.es” información sobre varios usuarios de la web, entre ellos el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/14
creador del hilo y el usuario “***USUARIO.4”, en concreto la dirección IP desde la que
publicaron el contenido reclamado el 03/09/2022, a la hora correspondiente a cada
uno de ellos, así como los datos identificativos de registro de esos perfiles. Los tres
usuarios a los que se refería el requerimiento de información habían intervenido en el
mismo hilo relativo al vídeo objeto de las actuaciones.
En la respuesta recibida, el responsable de la citada web informó que no se registra la
dirección IP de cada mensaje individual, pero sí la del último acceso realizado por el
usuario de que se trate; y que no se guarda ningún dato personal, salvo esa dirección
IP y una dirección de correo electrónico. Para los tres usuarios consultados, facilitó
una dirección IP correspondiente a la fecha del 28/01/2023 (fecha de la respuesta) y
una dirección de correo electrónico.
Posteriormente, se solicitó al mismo responsable de la web el detalle de la fecha y
hora que conste en sus sistemas correspondientes a la asignación de direcciones IP
informadas.
En un nuevo escrito de respuesta, de 13/02/2023, se facilitaron las direcciones IP
asignadas a los usuarios consultados, correspondientes al día 28/01/2023, a las
16:27:43 (hora de España), y al día 13/02/2023, a las 01:48:22 (hora de España). En
relación con la parte reclamada, se facilitó el siguiente detalle:
. La dirección IP ***IP.1 asignada al perfil “***USUARIO.4” corresponde al día
28/01/2023, a las 16:27:43 (Hora de España).
. La dirección IP de “***USUARIO.4” el día 13/02/2023, a las 01:48:22 (Hora de
España) fue ***IP.2.
A partir de tales datos, en respuesta al requerimiento que le fue realizado por los
Servicios de Inspección, Telefónica de España, S.A.U. facilitó a la AEPD los datos
identificativos y domicilio de los titulares de las asignaciones de direcciones IP
indicadas, en los periodos especificados, debiendo destacarse que en relación con el
usuario “***USUARIO.4” se señaló una persona distinta, con un domicilio distinto,
para cada una de las direcciones IP y fecha informadas por el responsable de la web:
. En la fecha del 28/01/2023, entre las 16:00:00 y 17:00:00 horas, la titular de la IP
***IP.1 es F.F.F., con DNI ***NIF.1, y domicilio en calle ***DIRECCION.4.
. En la fecha del 13/02/2023 entre las 01:00:00 y 02:00:00 horas, la titular de la IP
***IP.2 es H.H.H., con DNI ***NIF.2, y domicilio en calle ***DIRECCION.5.
Así, a pesar de que la parte reclamada ha reconocido ser el usuario de “pacot.es”
conocido como ““***USUARIO.4”, el resultado de estas comprobaciones no permite
asegurar que todos los accesos realizados a la web con ese nombre de usuario fuesen
realizados efectivamente por la parte reclamada.
Interesa, asimismo, destacar que Telefónica de España, S.A.U. también facilitó
identidades distintas para cada una de las direcciones IP asociadas por el responsable
de la web “pacot.es” al usuario “***USUARIO.3” en las fechas reseñadas, siendo una
persona la que accedió con ese nombre de usuario en fecha 28/01/2023 y otra distinta
la que accedió a la web el 13/02/2023, también con ese nombre de usuario, ambas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/14
con domicilios distintos.
Solo en el caso del tercer usuario consultado coincidió la identidad de la persona
informada por la citada operadora para las dos fechas señaladas.
Visto el resultado obtenido, la información sobre direcciones IP asignadas a estos
usuarios no puede tratarse como fiable.
Es preciso destacar, además, que las direcciones IP facilitadas por el responsable de
“pacot.es” no corresponden al momento en que tuvieron lugar los hechos, es decir,
esas direcciones IP no fueron las asignadas a los usuarios que intervinieron en el foro,
en el hilo creado por “***USUARIO.3”, en fecha 03/09/2023.
El requerimiento de información realizado al responsable de “pacot.es” solicitó la
dirección IP desde la que estos usuarios publicaron el contenido reclamado, pero el
responsable de la web informó que no se registra la dirección IP de cada mensaje
individual y que conserva únicamente la dirección IP del último acceso.
Por ello, no ha sido posible constatar si bajo el nombre de usuario “***USUARIO.4”,
en aquella fecha de septiembre de 2022, actuó F.F.F., la parte reclamada o un tercero
desconocido, al no haberse dispuesto de la concreta dirección IP asignada en aquel
momento exacto, que hubiese ofrecido alguna oportunidad de identificar a las
personas en concreto que intervinieron en el post relativo a la parte reclamante bajo
las denominaciones de usuario verificadas.
Asimismo, cabe destacar que, según las comprobaciones destacadas por los Servicios
de Inspección de esta AEPD, la web no se encontraba disponible en fecha 11/01/2023,
fecha anterior a la de los accesos informados por el responsable de la web, que
supuestamente tuvieron lugar el 28/01 y 13/02/2023.
En consecuencia, procede concluir que no existe certeza sobre la autoría de los
hechos analizados en la resolución impugnada, supuestamente cometidos por la parte
reclamada bajo el nombre de usuario “***USUARIO.4”, de modo que no existe base
fáctica para imputarle una infracción en materia de protección de datos ni para
sancionarle por la misma, procediendo reconsiderar la validez de la resolución
impugnada, con la estimación del recurso de reposición interpuesto y el archivo de las
actuaciones.
Se tiene en cuenta que la web “pacot.es” fue cerrada por su responsable y que ello
dificulta que esta AEPD pueda realizar nuevas comprobaciones.
Vistos los preceptos citados y demás de general aplicación,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: ESTIMAR el recurso de reposición interpuesto por A.A.A., con NIF
***NIF.3, contra la resolución de esta Agencia Española de Protección de Datos
dictada con fecha 8 de enero de 2024, en el expediente EXP202309210, con archivo
de las actuaciones.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/14
SEGUNDO: NOTIFICAR la presente resolución a A.A.A., con NIF ***NIF.3.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1
de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas
(LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante
la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo
dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la
Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa,
en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto,
según lo previsto en el artículo 46.1 de la referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada
LPACAP. También deberá trasladar a la Agencia la documentación que acredite la
interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese
conocimiento de la interposición del recurso contencioso-administrativo en el plazo de
dos meses desde el día siguiente a la notificación de la presente resolución, daría por
finalizada la suspensión cautelar.
180-21112023
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es