Doxxing: publicar dirección, teléfono y datos personales para exponerte

1. Evalúa qué información se ha expuesto

Haz una lista concreta: domicilio, teléfono, documentos, datos familiares, lugar de trabajo, horarios o ubicación en tiempo real. No todos tienen el mismo impacto. La combinación de datos dispersos puede facilitar una localización que ninguna fuente aislada permitía con igual facilidad.

Comprueba si se invita a llamar, acudir al domicilio, contratar servicios a tu nombre o molestar a familiares. Ese contexto cambia la valoración respecto de una publicación informativa. Conserva las instrucciones y respuestas del público junto al dato; no guardes únicamente una captura recortada del número de teléfono.

Si existe riesgo inmediato para tu seguridad, prioriza la ayuda policial o de emergencia y comunica la localización expuesta. No esperes a identificar al autor para describir el riesgo. Puedes adoptar medidas prácticas de privacidad, procurando conservar antes las referencias necesarias de la publicación.

2. Que un dato fuera público no permite cualquier reutilización

El RGPD exige una base jurídica y respeto a principios como finalidad, minimización y exactitud cuando el tratamiento está dentro de su ámbito. No basta afirmar que un dato apareció en una web para justificar una recopilación y difusión nueva con otra finalidad.1

Hay que ponderar también libertades de expresión e información. Informar de la sede pública de una entidad no equivale necesariamente a exponer el domicilio familiar de una persona para hostigarla. El interés público, la relevancia del dato y la necesidad de identificar de ese modo son elementos distintos del interés de una audiencia por conocerlo.

La excepción de actividades exclusivamente personales o domésticas debe examinarse con cuidado. Una publicación abierta dirigida a movilizar a desconocidos no puede tratarse automáticamente como un simple intercambio familiar. A la inversa, la aplicación del RGPD tampoco sustituye el análisis civil o penal.1

3. Intimidad, honor y datos tienen objetos diferentes

La difusión de hechos privados puede constituir una intromisión en la intimidad conforme a la Ley Orgánica 1/1982. Si además se añaden acusaciones falsas o expresiones que lesionan la reputación, habrá que examinar el honor. No es necesario que ambas lesiones aparezcan siempre juntas.2

La protección de datos aborda el tratamiento de información personal. Puede justificar una solicitud de supresión, oposición o rectificación según el caso, con sus límites legales. La intimidad no depende únicamente de que el dato sea correcto: una información verdadera puede ser reservada y su exposición ilegítima.

Define por ello la petición. Eliminar una dirección, corregir una atribución falsa, impedir nuevos contactos o obtener reparación requieren fundamentaciones relacionadas pero distintas. Una reclamación que explica cada objetivo suele ser más útil que invocar indistintamente todos los derechos sin identificar la conducta.

4. Cuándo debe examinarse una conducta delictiva

El Código Penal contempla accesos y usos ilícitos de determinados datos reservados, revelación de secretos, amenazas y acoso, entre otras figuras. Que alguien publique un teléfono no demuestra automáticamente todos los elementos del artículo 197: importan cómo lo obtuvo, su carácter, el uso y los demás requisitos legales.3

El artículo 172 ter incluye, dentro de su modalidad de acoso insistente y reiterado, el uso indebido de datos para adquirir productos, contratar servicios o provocar contactos de terceros, cuando se altera el normal desarrollo de la vida cotidiana. Debe documentarse la secuencia y su efecto, no solo una publicación aislada.3

Si la publicación va acompañada de amenazas, conserva el texto literal y las circunstancias que permiten valorar su seriedad. No respondas exponiendo datos del presunto autor: además de aumentar el riesgo, puede crear un conflicto jurídico adicional y dificultar la protección solicitada.

5. Cómo pedir retirada sin revelar más información

Dirige un aviso concreto a la plataforma: URL, dato expuesto, relación contigo y explicación del riesgo. Utiliza el canal oficial y aporta solo la identificación necesaria. Si solicitan documentación, comprueba el destinatario y evita remitir una copia íntegra del documento de identidad a perfiles particulares.

El DSA exige mecanismos de notificación de contenidos presuntamente ilícitos a los servicios de alojamiento, con información suficiente para localizar y comprender la ilicitud alegada. La notificación no garantiza una retirada automática, pero permite una revisión concreta y deja constancia de lo solicitado.4

Si el resultado aparece en un buscador, la eliminación en origen y la desindexación son actuaciones diferentes. Puede ser útil tramitar ambas, según la situación. No prometas ni esperes que una petición a una única plataforma borre todas las copias, capturas o resultados de internet.

6. Documentación y trazabilidad del daño

En pantallas pequeñas, desliza la tabla para consultar todas las columnas.

Agrupa incidentes por fecha y conserva originales. Evita atribuir todas las llamadas desconocidas a la campaña sin conexión comprobable. Si varios familiares resultan afectados, recoge sus datos de forma limitada y distingue el perjuicio de cada persona.

Una denuncia o demanda no debe convertirse en otro archivo de exposición indiscriminada. Explica por qué cada documento es necesario y consulta cómo proteger direcciones actuales o datos de menores en las actuaciones.

7. Plazos y vías de protección

En el ejercicio de derechos de datos, la respuesta ordinaria debe llegar en un mes desde la recepción; puede ampliarse otros dos por complejidad o número de solicitudes, con comunicación motivada dentro del primer mes. Las excepciones a la supresión y la posible oposición deben valorarse según la base del tratamiento.1

Las acciones de la Ley Orgánica 1/1982 caducan a los cuatro años desde que pudieron ejercitarse. La tutela civil de derechos fundamentales está exceptuada del MASC general, lo que no impide una solución voluntaria cuando sea adecuada.25

La prescripción penal depende del delito concreto y de su forma de comisión. No existe un «plazo del doxxing» único. Una solicitud de retirada no sustituye las actuaciones necesarias para investigar o proteger frente a un riesgo actual.3

8. Ejemplo ficticio y errores que conviene evitar

Tras una disputa vecinal, una cuenta publica el domicilio y teléfono de Diego con una invitación a «darle una lección». Empieza a recibir llamadas que mencionan el mensaje. Diego conserva la publicación completa, registra los contactos y comunica el riesgo, sin afirmar todavía que conoce quién administra la cuenta.

Aunque el teléfono figurara antiguamente en un anuncio, la nueva finalidad y el contexto necesitan análisis. Sería un error limitar la reclamación a «ese dato es secreto» si no lo era, o asumir que por haber sido público ya no existe ninguna protección. También debe evitarse contestar con la dirección del supuesto responsable.

9. Preguntas frecuentes y preparación del expediente

¿Puedo reclamar si el dato estaba en otra web? Puede haber fundamento por el nuevo tratamiento, contexto o riesgo; la procedencia pública no resuelve por sí sola su licitud.1

¿La AEPD concede una indemnización por las llamadas recibidas? Su vía de control de datos no sustituye la reclamación judicial de daños. Deben diferenciarse objetivos y pruebas.12

¿Necesito conocer al autor antes de pedir ayuda? No para reportar contenido o describir hechos y riesgo. La identificación puede requerir investigación, y no debe intentarse mediante accesos ilícitos.

Para preparar el caso con Pérez & Burgos Abogados, reúne URLs, cronología y contactos vinculados a la publicación. Indica qué datos siguen expuestos, quiénes están afectados y si existen amenazas o incidentes que requieran protección inmediata.