Protección de Datos multa con 2.000 euros al difusor de uno de los desnudos falsos de las chicas de Almendralejo

La Agencia Española de Protección de Datos (AEPD) ha sancionado con 2.000 euros, que se reducen a 1.200 por pronto pago, al creador y difusor de imágenes artificiales de cuerpos desnudos. Aunque no lo menciona explícitamente, la resolución hace referencia al menos a uno de los falsos desnudos de adolescentes que circularon por Almendralejo, Badajoz, en septiembre de 2023. La técnica empleada para hacer el montaje, conocida como deepfake, consiste en incrustar con una herramienta de inteligencia artificial (IA) el rostro de la víctima en la imagen de otra persona que esté desnuda. Es la primera vez que se impone una multa en España por difundir imágenes de un particular alteradas por IA.

Aunque la resolución es pública desde el pasado 27 de octubre, los datos del caso son reservados y, por tanto, no se dan detalles sobre la naturaleza de los afectados. El texto no clarifica el sexo de la víctima. Tampoco se especifica que sea menor de edad, si bien eso se puede inferir del hecho de que, en algunas partes de la resolución, se alude a normativas que tienen que ver con menores. Por todo ello, y teniendo en cuenta los tiempos que suelen transcurrir entre que la AEPD decide abrir un expediente hasta que lo resuelve, fuentes consultadas por este periódico afirman que las fechas encajarían con el escándalo de la difusión de imágenes de falsos desnudos creadas con IA de al menos 20 niñas de Almendralejo, Badajoz, que trascendió en septiembre de 2023. Precisamente porque en ese caso hubo al menos dos decenas de víctimas, se espera que Protección de Datos publique en los próximos tiempos más multas similares.

Tras la publicación de esta información, la AEPD difundió un comunicado en el que confirmaba que la sanción hacía referencia a un caso ocurrido en septiembre de 2023 en Almendralejo.

El primer día de clase del curso 2023-2024 empezaron a circular por los móviles del municipio pacense de 30.000 vecinos fotos de varias niñas desnudas. Eran montajes: se había usado la aplicación ClothOff para colocar sus caras sobre imágenes de los cuerpos de otras chicas desvestidas. Esos deepfakes se difundieron rápidamente por redes sociales y se subieron “a portales como Only Fans y diversas páginas pornográficas”, lee la resolución.

La sanción de Protección de Datos castiga la difusión no autorizada de datos personales, como son las fotografías, de las personas interesadas. En concreto, señala que fue ilícito el tratamiento de datos personales de un tercero, en este caso, la imagen de una de las chicas. Se trata de un procedimiento paralelo al penal, vía que ya se activó por difusión de contenido pornográfico de menores y se impuso un año de libertad vigilada a 15 menores por manipular imágenes de niñas.

La de la AEPD es la primera sanción que emite una autoridad de protección de datos en la Unión Europea por la difusión de un deepfake. En opinión de algunos expertos, la cuantía de la sanción (2.000 euros rebajables a 1.200) es muy baja, teniendo en cuenta la magnitud de los daños. En algunas sanciones anteriores de la Agencia, en la que se castigaba la publicación de datos personales por parte de personas físicas, se habían impuesto multas de hasta 60.000 euros.

“Muy pocos riesgos relacionados con la IA provocan tanta alarma social como la creación de deepfakes sexuales no consentidos de menores. No digo que poner un millón de euros de sanción en este caso fuera a liquidar el problema, pero alguien podría pensar que una sanción ejemplarizante y admonitoria es lo menos que se puede pedir en este momento”, opina Jorge García Herrero, abogado y delegado de protección de datos.

Borja Adsuara, jurista especializado en tecnología, considera inapropiado que la AEPD entre en este caso. “Este es un delito contra la intimidad, que va por la vía penal y que ya está sentenciado. ¿Qué añade multa administrativa? Si el fundamento de derecho es la falta de consentimiento, y no que se haya creado y difundido una imagen escabrosa, se abre el espectro a cualquiera que difunda datos personales de otros sin su consentimiento. No darían abasto”, apunta.

“Yo este tema lo tenía ya más que zanjado por la vía penal. Hubo una sentencia ejemplar según la cual los niños están un año en libertad vigilada y tienen que hacer un curso de formación. Lo más importante para nosotras es que se le puso nombre y apellidos al delito pornografía infantil”, dice Miriam Al Adib, ginecóloga y madre de una de las adolescentes afectadas en el caso de los deepfakes sexuales de Almendralejo. “Fue una sentencia muy digna. Nosotros lo que queríamos era que se hiciera justicia y que se dignificara a las víctimas y a sus familias. Eso ya sucedió por la vía penal”, añade.

Dos años de recorrido legal

Según figura en el escrito, la entonces directora de la AEPD, Mar España, decidió iniciar actuaciones previas de investigación el 20 de septiembre de 2023, dos días después de que EL PAÍS desvelara el caso. El 2 de octubre, un particular presentó ante la AEPD la reclamación que ha provocado la sanción.

“Cabe recordar (...) que las personas tienen el poder de disposición sobre sus datos personales, incluyendo su imagen, así como sobre su difusión, resultando, sin lugar a dudas, merecedora de protección la persona cuyos datos personales se capten y difundan vulnerando el ordenamiento jurídico”, dice la resolución.

El proceso sancionador de la AEPD se abrió contra el menor que difundió las fotografías, según figura en la resolución, si bien se le notificó a sus progenitores, en tanto que representantes legales. En el escrito se dice también que su padre o madre abonó en abril los 1.200 euros de la sanción.

La aplicación usada para realizar el montaje (ClothOff), así como las plataformas con las que se difundió, quedan exentos de responsabilidades en la resolución de la AEPD.