AEPD | EXP202411253 — Archivo de una reclamación contra WikiLeaks por no poder identificarse al responsable del tratamiento
Identificación de la resolución
Agencia Española de Protección de Datos. Resolución de archivo de actuaciones, expediente EXP202411253 (publicada como AI/00036/2025), firmada por su Presidente, Lorenzo Cotino Hueso. Pone fin a la vía administrativa.
Objeto de las actuaciones
El 20 de junio de 2024 una persona reclamó ante la AEPD porque, al buscar en Google su dirección de correo electrónico, aparecía indexado un enlace del sitio web wikileaks.org que permitía descargar un PDF con su nombre, apellidos, domicilio y correo electrónico, junto con los de centenares de personas más. Alegaba que no había encontrado forma de contactar con los titulares del sitio para pedir la eliminación de sus datos.
La reclamación se admitió a trámite el 6 de febrero de 2025 (artículo 65 LOPDGDD) y la Subdirección General de Inspección de Datos abrió actuaciones previas de investigación. Constató lo siguiente:
- el 9 de abril de 2025, el sitio wikileaks.org no ofrecía ningún canal para solicitar la eliminación de datos personales;
- el 10 de octubre de 2025, el servidor que alojaba el PDF devolvía un error «502 Bad Gateway», y una búsqueda en Google por el nombre y apellidos de la persona reclamante ya no arrojaba resultados de wikileaks.org;
- la Wau Holland Stiftung, fundación con sede en Hamburgo que figuraba en el sitio como destinataria de donaciones deducibles en la Unión Europea, declaró ser proveedora de alojamiento del sitio, pero no operarlo ni ser titular del dominio;
- tras el requerimiento de información a esa fundación, no pudo constatarse el nombre y domicilio del titular del sitio ni de un representante en el Espacio Económico Europeo.
Doctrina establecida
La AEPD recuerda que, para apreciar una infracción del RGPD, deben concurrir dos elementos: que exista un tratamiento de datos personales y que ese tratamiento sea ilícito, por carecer de base jurídica (artículo 6.1 RGPD), infringir los principios del Reglamento o vulnerar los derechos del interesado.
A ello añade una exigencia propia del Derecho administrativo sancionador: la responsabilidad debe poder atribuirse a una persona física o jurídica identificada que actúe como responsable o encargado del tratamiento, conforme al principio de responsabilidad del artículo 28.1 de la Ley 40/2015.
En el caso, el enlace ya no estaba operativo y el único sujeto localizado, el proveedor de alojamiento, negó operar el sitio y ser titular del dominio. Al no obtenerse elementos objetivos, directos ni indirectos, que permitieran imputar la infracción a una persona o entidad determinada, la AEPD acuerda el archivo, sin perjuicio de actuaciones posteriores en ejercicio de sus poderes de investigación y correctivos.
Fundamentos jurídicos relevantes
Normativa: artículos 6.1, 57.1 y 58.1 RGPD; artículos 47, 48.1, 50, 63.2 y 65 LOPDGDD; artículo 28.1 de la Ley 40/2015, de Régimen Jurídico del Sector Público. Recursos: reposición potestativa en el plazo de un mes (artículos 112, 114.1.c) y 123 de la Ley 39/2015) o recurso contencioso-administrativo ante la Audiencia Nacional en dos meses (artículos 25, 46.1 y disposición adicional cuarta, apartado 5, de la Ley 29/1998).
Referencias
- Texto completo: AEPD — EXP202411253 (PDF)
- Normativa aplicada: RGPD (arts. 6.1, 57.1, 58.1); LOPDGDD (arts. 47, 48.1, 50, 63.2, 65); Ley 40/2015 (art. 28.1)