Publicar en internet la dirección, el teléfono, el trabajo o las fotos de una persona para señalarla (doxxing) no queda amparado por el uso personal de las redes: es un tratamiento de datos sin base legal (art. 6 del RGPD) y la AEPD lo sanciona también a particulares. Según cómo se haga, puede ser además delito (art. 197 o art. 172 ter del Código Penal) y una intromisión en la intimidad que da derecho a indemnización. Lo primero es guardar la prueba y pedir la retirada.
Por qué no vale decir «es mi cuenta personal»
El Reglamento General de Protección de Datos no se aplica a las actividades exclusivamente personales o domésticas (art. 2.2.c), y su considerando 18 incluye la actividad en redes hecha en ese contexto. Pero quien publica sin restricciones de acceso, de modo que los datos quedan al alcance de un número indeterminado de personas, ya no hace una actividad personal o doméstica (sentencia del Tribunal de Justicia de la UE Buivids, C-345/17, de 14 de febrero de 2019, apartado 43).
Quien difunde los datos es entonces responsable del tratamiento y está sujeto al régimen sancionador (art. 70 de la Ley Orgánica 3/2018, LOPDGDD). Tratar datos sin ninguna base del art. 6.1 del RGPD (consentimiento, contrato, interés legítimo que prevalezca…) es infracción muy grave y prescribe a los tres años (art. 72.1.b LOPDGDD).
Un ejemplo real: en el procedimiento PS/00421/2022, la AEPD impuso 10.000 euros a una particular que había publicado en un foro de anuncios la fotografía y la dirección donde otra mujer pasaba sus vacaciones, con un texto para desprestigiarla. La Agencia pidió a la web la dirección IP desde la que se publicó y a la operadora su titular, y así identificó a la autora. Calificó los hechos como tratamiento sin base legal (art. 6.1 RGPD).
El canal prioritario de la AEPD no sirve para todo. Está pensado para fotografías, vídeos o audios de contenido sexual o violento cuya difusión pone en alto riesgo a la persona. Para una dirección, un teléfono o un DNI publicados, la vía es la plataforma y la reclamación ordinaria. Tampoco tramita por ese canal la difusión en WhatsApp, Telegram o correo, aunque la AEPD puede sancionar a quien difunde por esos medios.
Cuándo es también delito
| Lo que se hace | Delito | Pena |
|---|---|---|
| Acceder sin autorización, o apoderarse, utilizar o modificar en perjuicio de otro, datos reservados de carácter personal o familiar registrados en ficheros o soportes | Art. 197.2 CP | Prisión de 1 a 4 años y multa de 12 a 24 meses |
| Difundir, revelar o ceder esos datos | Art. 197.3 | Prisión de 2 a 5 años (de 1 a 3 y multa de 12 a 24 meses si no participaste en obtenerlos pero conocías su origen ilícito) |
| Si los datos son de salud, ideología, religión, vida sexual u origen racial, o la víctima es menor | Art. 197.5 | Pena en su mitad superior |
| Usar los datos de alguien para que terceros contacten con él, de forma insistente y reiterada, alterando su vida cotidiana | Art. 172 ter.1.3.ª | Prisión de 3 meses a 2 años o multa de 6 a 24 meses |
| Usar su imagen sin consentimiento para anuncios o perfiles falsos que le causen acoso o humillación | Art. 172 ter.5 | Prisión de 3 meses a 1 año o multa de 6 a 12 meses |
Ambos delitos necesitan denuncia del agraviado, salvo excepciones como la víctima menor en el art. 197 (art. 201) o la pareja o familiar en el acoso (art. 172 ter.2 y 4). Un matiz: el art. 197.2 habla de datos «reservados»; si lo publicado ya era público, el encaje penal es más dudoso, pero la protección de datos y la vía civil siguen abiertas. Más en revelación de secretos.
Cómo conseguir que lo retiren
- Guarda la prueba: URL, capturas con fecha, perfil del autor y veces que se ha compartido. Si te llaman o escriben desconocidos, apunta cada contacto.
- Notifica a la plataforma con la URL exacta y el motivo (art. 16 del Reglamento de Servicios Digitales). Una web que, avisada por correo y burofax, no retiró el comentario injurioso de un anónimo fue condenada, y el Tribunal Constitucional lo avaló (STC 83/2023, de 4 de julio).
- Ejerce el derecho de supresión frente a quien publicó (art. 17.1.d RGPD: datos tratados ilícitamente) y frente a la red social, que debe suprimir los datos que te conciernen publicados por terceros cuando sean inadecuados, no pertinentes o excesivos (art. 94.2 LOPDGDD). Te explicamos cómo en tus derechos sobre tus datos.
- Reclama ante la AEPD si no te hacen caso: reclamar a la AEPD paso a paso. Y si el resultado aparece al buscar tu nombre, pide la desindexación: derecho al olvido.
La indemnización
La Ley Orgánica 1/1982 considera intromisión ilegítima divulgar hechos de la vida privada que afecten a la reputación (art. 7.3) y revelar datos privados conocidos por la actividad profesional de quien los revela (art. 7.4). Puedes pedir el cese y una indemnización; el perjuicio se presume y el daño moral se valora según gravedad y difusión (art. 9.3). Tienes cuatro años (art. 9.5). El RGPD da además derecho a ser indemnizado por los daños causados por una infracción (art. 82). La AEPD multa, pero no indemniza: el dinero se pide al juez.
Lo práctico: si los datos publicados permiten que alguien se presente en tu casa o en tu trabajo y ya ha habido mensajes o visitas, no esperes a la retirada: denuncia en comisaría ese mismo día y pide medidas de protección. Para orientarte, el 017 de INCIBE es gratuito y confidencial.
Preguntas que nos hacéis cada semana
Los datos que publicó ya estaban en internet. ¿Es legal reunirlos y difundirlos?
Que un dato se pueda encontrar no lo convierte en libre. Sigue siendo un dato personal, y difundirlo para señalar a alguien necesita una base legal del art. 6 del RGPD. Lo que cambia es el encaje penal del art. 197, que exige datos reservados.
¿Y si lo publico para denunciar algo de interés público?
El RGPD obliga a conciliar la protección de datos con la libertad de expresión e información (art. 85), y el Tribunal de Justicia admite fines periodísticos si la única finalidad es divulgar información u opiniones (Buivids, fallo 2). Exponer la dirección o el teléfono de alguien rara vez hace falta para informar: límites de la libertad de expresión.
¿Se puede saber quién está detrás de una cuenta anónima?
Sí, pero no lo hace la víctima por su cuenta. En el procedimiento PS/00421/2022, la AEPD obtuvo la IP de la web y el titular de la operadora. En la vía penal es el juzgado quien lo pide a plataformas y operadoras.
Han pasado mi foto y mi dirección por un grupo de WhatsApp. ¿Qué hago?
El canal prioritario de la AEPD no tramita la difusión por mensajería, pero la Agencia puede abrir procedimiento sancionador contra quien la difunde. Guarda las capturas con el número de quien lo envió, reclama a la AEPD y, si hay acoso o amenazas, denuncia.
Te llama un abogado de derecho digital
en menos de 48 horas.
Sin compromiso y sin coste. Y si hay que actuar, el precio está publicado antes de que nos llames y se paga hasta en 12 cuotas: servicios y precios de derecho digital →
Un abogado te llamará en menos de 48 horas (días laborables). No compartimos tus datos con nadie. También por WhatsApp: 605 443 928
Continúa tu historia
→ Tus derechos sobre tus datos personales
→ Reclamar ante la AEPD
→ Si te acosan después de publicar tus datos
→ El delito de revelación de secretos
→ Que Google deje de mostrarlo
→ Si usan tus datos para hacerse pasar por ti
Marco legal: arts. 2.2.c, 6.1, 17, 82, 83.5 y 85 y considerando 18 del Reglamento (UE) 2016/679 · arts. 70, 72.1.b y 94 de la Ley Orgánica 3/2018 · arts. 172 ter, 197 y 201 del Código Penal · arts. 7.3, 7.4, 9.3 y 9.5 de la Ley Orgánica 1/1982 · art. 16 del Reglamento (UE) 2022/2065 · STJUE de 14 de febrero de 2019, Buivids (C-345/17) · STC 83/2023, de 4 de julio · Resolución de la AEPD en el procedimiento PS/00421/2022 · Resolución de 4 de octubre de 2019 que atribuye el 017 a la línea de ayuda en ciberseguridad. Contenido revisado por el equipo jurídico de The Juris · octubre de 2026.