La Agencia Española de Protección de Datos (AEPD) ha dictado una resolución que aborda un caso particularmente grave de vulneración del derecho a la protección de datos personales mediante el uso de inteligencia artificial para manipular imágenes de menores de edad. Esta resolución constituye un precedente significativo en la aplicación del Reglamento General de Protección de Datos (RGPD) frente a las nuevas amenazas derivadas de las tecnologías de deepfake.
El procedimiento se inicia cuando la AEPD tuvo conocimiento a través de diversos medios de comunicación de la manipulación con inteligencia artificial de imágenes de menores, en las que se asociaron sus rostros reales con cuerpos desnudos que no les correspondían. Las imágenes falsas fueron difundidas a través de redes sociales y, según la información publicada, también habrían sido compartidas en plataformas como OnlyFans y diversos portales pornográficos, amplificando el daño causado a las víctimas menores de edad.
La AEPD solicitó formalmente a la Fiscalía el listado, identificación y domicilio de los participantes en la difusión de las imágenes. La Fiscalía remitió a la AEPD una respuesta aportando datos de los participantes, incluyendo al sancionado, ante quien se dirige el procedimiento sancionador porque en la documentación investigada se infiere que fue responsable de la infracción en los términos del RGPD, "dado que es quien determina los fines y medios de tal actividad".
La AEPD afirma que la imagen de una persona que la identifica o la hace identificable constituye un dato personal conforme al artículo 4.1 del RGPD. Por tanto, la difusión de fotografías manipuladas con inteligencia artificial que asocian rostros reales con cuerpos desnudos ajenos supone un tratamiento de datos personales que, en ausencia de base legitimadora, resulta ilícito. Siendo esto así, la AEPD considera que los hechos investigados son constitutivos de una infracción del artículo 6.1 del RGPD.
La LOPDGDD califica esta conducta como infracción muy grave. La gravedad de la infracción se acentúa por el hecho de que afectaba a menores de edad, colectivo que cuenta con protección reforzada en el ámbito de la protección de datos personales. Además, la manipulación tuvo por objeto asociar rostros reales de menores con cuerpos desnudos ajenos, con la connotación sexual que ello conlleva, y el alcance de la divulgación fue significativo dado el número de participantes en el grupo donde se difundieron las imágenes.
Al determinar la sanción aplicable, la AEPD aplica los criterios de graduación establecidos en el artículo 83.2 del RGPD y en el artículo 76 de la LOPDGDD. Entre los factores considerados se incluyen la naturaleza, gravedad y duración de la infracción, teniendo en cuenta el propósito del tratamiento, el número de interesados afectados y el nivel de daños sufridos, así como la intencionalidad o negligencia, el grado de cooperación con la autoridad de control, y las categorías de datos afectados.Particularmente relevante resulta la aplicación del artículo 76.2.f) de la LOPDGDD, que establece como criterio agravante específico "la afectación a los derechos de los menores".
Considerando todas estas circunstancias, y especialmente las consecuencias que la comisión de la infracción provoca en las víctimas menores de edad, la AEPD fija inicialmente una sanción de multa administrativa de 2.000 euros que, debido al reconocimiento de responsabilidad y al pago voluntario por parte del progenitor del infractor menor de edad queda reducida a 1.200€.
La AEPD subraya que ni el reconocimiento de la infracción ni el pago voluntario de las cuantías propuestas eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida. Asimismo, se advierte que no atender la posible orden de adopción de medidas impuestas podría ser considerado como una nueva infracción administrativa conforme al RGPD pudiendo motivar la apertura de un ulterior procedimiento administrativo sancionador.