Alguien publica tu dirección. O tu teléfono, tu empresa, el colegio de tus hijos. No es un insulto ni una mentira: son datos ciertos. A eso se le llama doxing, o doxear a alguien, y en España no es un delito con ese nombre.
Llevo más de diez años quitando contenido de internet. Esta es la pregunta que peor responde internet. Casi todas las páginas explican qué es el doxing y ahí se paran. Casi ninguna explica qué puede hacer la ley de verdad, ni qué se puede borrar una vez que los datos están fuera.
Esta nota hace las dos cosas. Si hay una amenaza física, primero el 112. Lo demás, aquí.
Qué es el doxing
El doxing consiste en reunir datos personales de alguien y publicarlos para que otros puedan localizarle, contactarle o intimidarle. La palabra viene de «dropping docs», soltar documentos. Los datos suelen ser verdaderos: un domicilio, un teléfono, un lugar de trabajo, una matrícula, el nombre de la pareja o de los hijos, fotos del portal.
Por eso cuesta tanto combatirlo. Cada dato por separado puede estar ya en algún sitio: un registro mercantil, la web de un club, un anuncio inmobiliario antiguo. El daño está en juntarlos, en la audiencia y en la intención, no en ningún dato concreto. Una dirección en un directorio es una dirección. La misma dirección bajo una foto tuya con la frase «alguien debería hacerle una visita» es una amenaza con mapa.
El doxing aparece después de una discusión en redes, en linchamientos políticos, tras una ruptura, como venganza contra un periodista, un juez, un profesor, un funcionario. La víctima suele enterarse cuando empiezan a llegar desconocidos, llamadas o pedidos a su nombre.
¿Es delito el doxing en España?
No, como tal no. El Código Penal no tipifica la conducta de reunir y publicar los datos personales de otra persona, y no hay ninguna reforma aprobada que lo haga. Publicar los datos de alguien es delito cuando encaja en otro tipo penal, casi siempre el acoso, y se cumple el requisito que ese tipo añade. No es una laguna: la ley está hecha así, y conviene saberlo antes de ir a denunciar. Lo que sí hay, y funciona desde el primer día, es una vía administrativa.
Lo que puedes hacer hoy
Quien publica tus datos en abierto, en una red, un foro o un canal, está tratando datos personales. Mucha gente cree que el RGPD no se aplica a lo que un particular publica. No es así. El Tribunal de Justicia de la UE decidió en 2003, en el caso Lindqvist, que publicar datos de otro en internet, accesibles a un número indeterminado de personas, no es una actividad «exclusivamente personal o doméstica», y lo confirmó en 2019 en Buivids. El que lo hace es responsable del tratamiento, necesita una base legal y en un caso de doxing no la tiene.
Eso abre la reclamación ante la Agencia Española de Protección de Datos. La AEPD ha sancionado a quien publica datos ajenos en abierto. En un procedimiento de 2023, la AEPD multó con 5.000 euros a quien publicaba en un canal de Telegram los datos personales de varios radioaficionados y los de la familia de uno de ellos, por tratarlos sin base legal, y le ordenó cesar de inmediato. No es una cifra alta, pero es una resolución pública, y la AEPD puede ordenar que los datos dejen de tratarse.
Un aviso sobre el Canal prioritario de la AEPD, porque se cita mal con frecuencia. Ese canal sirve para la difusión de fotos, vídeos o audios de carácter sexual o violento, cuando ponen en alto riesgo a la persona afectada. No sirve para el doxing habitual: un domicilio, un teléfono o un lugar de trabajo publicados sin más van por la reclamación ordinaria. Y no puede ordenar retirar nada de lo que circula por WhatsApp, Telegram u otros servicios de mensajería, aunque sí sancionar a quien lo difundió.
Lo que dice el Código Penal
Si lo que buscas es una condena penal, estas son las vías, de la más cercana a la más lejana, y en cada una el requisito que suele fallar en un caso de doxing. Las penas las tomo del texto consolidado del BOE.
Acoso, artículo 172 ter. Castiga con prisión de tres meses a dos años, o multa, a quien de forma insistente y reiterada acose a una persona y, entre otras conductas, haga mediante el uso indebido de sus datos personales que terceros se pongan en contacto con ella, alterando el desarrollo de su vida cotidiana. Es la descripción más exacta del doxing que hay en el Código. Lo que falla: la reiteración. El Supremo exige actos insistentes y repetidos; una sola publicación, aunque provoque cien llamadas, encaja mal. La propia Fiscalía reconoce desde 2020 que el anuncio único con los datos de la víctima «plantea dificultades», y propone tratar al autor como quien dirige a los demás. Es la tesis de la Fiscalía, no una doctrina asentada. Solo se persigue si denuncias.
Anuncios y perfiles falsos con tu imagen, artículo 172 ter.5. Prisión de tres meses a un año, o multa, para quien use tu imagen sin consentimiento para crear anuncios o perfiles falsos que te causen acoso, hostigamiento o humillación. Cubre el doxing que va con tu foto. Lo que falla: exige la imagen; publicar solo tu teléfono o tu dirección queda fuera.
Descubrimiento y revelación de secretos, artículo 197. Prisión de uno a cuatro años y multa para quien se apodere, utilice o modifique, en perjuicio tuyo, datos reservados que estén en ficheros o registros, y de dos a cinco si los difunde. Es el artículo que la competencia cita cuando dice que el doxing «es delito con penas de hasta cinco años». Lo que falla: el dato tiene que ser reservado y proceder de un fichero. Tu nombre en el buzón, tu empresa en el registro mercantil o tu perfil abierto no lo son. Un tribunal consideró en 2026 que un domicilio que el propio interesado exhibía en el buzón no era un dato reservado, y absolvió. El 197 sí sirve cuando quien te doxea ha sacado los datos de un sitio al que no debía acceder: un padrón, una historia clínica, una base policial, tu nube.
Amenazas, artículo 169. Publicar tu dirección no es, por sí solo, anunciar un mal. Publicarla junto a «ya sabemos dónde vives» sí puede serlo. Lo que falla: tiene que haber un mal anunciado, no solo un dato.
Trato degradante, artículo 173.1. Prisión de seis meses a dos años para quien inflija a otro un trato degradante que menoscabe gravemente su integridad moral. Lo que falla: exige humillación grave; los datos neutros no bastan.
Delitos de odio, artículo 510. Solo si te publican por pertenecer a un colectivo protegido, con incitación o humillación por ese motivo. Lo que falla: el móvil discriminatorio; un doxing por una discusión o una ruptura no entra aquí.
Lo que han dicho los tribunales
Tres casos dibujan el límite. Un hombre despedido publicó tres anuncios sexuales con el teléfono de su antigua encargada; fue absuelto de acoso, porque no constaba que le alterase gravemente la vida, y condenado por injurias graves con publicidad (Tribunal Supremo, Pleno, 2020).
Otro publicó en Facebook un documento según el cual su expareja había vivido en una casa de acogida; fue condenado por el artículo 197.2, porque ese dato afecta a la salud y la situación familiar, condena que el Tribunal Supremo confirmó en 2021 con un voto particular en contra.
Y el funcionario que aportó un certificado de empadronamiento ajeno fue absuelto porque el domicilio ya estaba a la vista de cualquiera (Tribunal Superior de Justicia del País Vasco, 2026). No he encontrado ninguna condena de una Audiencia Provincial ni del Supremo por el artículo 172 ter solo por publicar datos de alguien en internet. Que no la haya encontrado no significa que no exista, pero sí dice algo de lo que puedes esperar de una denuncia.
Lo que cambia en 2027
La Directiva (UE) 2024/1385, sobre la lucha contra la violencia contra las mujeres y la violencia doméstica, obliga a todos los Estados miembros salvo Dinamarca a castigar como delito «hacer accesible al público, mediante TIC, material que contenga los datos personales de una persona, sin su consentimiento, con el fin de incitar a terceros a causar lesiones físicas o psicológicas graves a dicha persona» (artículo 7.d). Sus considerandos lo llaman doxing por su nombre. La pena máxima debe ser de al menos un año, y protege a cualquier víctima, sea cual sea su género. El plazo para transponerla vence el 14 de junio de 2027.
Dos matices. La Directiva solo obliga a castigar el doxing hecho para incitar a otros a causar un daño grave; no obliga a castigar la publicación de un domicilio sin ese propósito, aunque cada Estado puede ir más lejos, y Países Bajos, Alemania y Francia ya tienen delitos propios más amplios. Y España debe legislar, no «va a»: a fecha de publicación no hay texto de transposición. Cuando lo haya, revisaré esta nota.
El contexto europeo, en una frase: el RGPD ya te protege hoy en toda la Unión frente a quien publica tus datos, y la Directiva añadirá, desde 2027, un suelo penal común para los casos más graves.
Qué hacer en las primeras horas
El orden importa. Casi todo el mundo hace primero lo último.
Si hay cualquier amenaza para ti o para tu familia, llama al 112. Una dirección publicada con una llamada a actuar es un problema de seguridad antes que un problema legal. Cuenta exactamente qué se ha publicado y dónde, y guarda el número de la denuncia. Lo demás puede esperar una hora.
Guarda todo antes de que se mueva. Capturas con la URL y la fecha visibles, el nombre de la cuenta, el número de veces compartido, las respuestas que añaden amenaza. El contenido de doxing se borra, se edita y se vuelve a publicar en minutos, y la versión que vale ante un juez es la primera que viste. No confíes en que la plataforma la conserve.
Denúncialo en la plataforma con las palabras correctas. No como «privacidad» ni como «spam». Di que son datos personales publicados sin base legal y, si va con amenazas o es parte de una campaña, que es acoso. La categoría que marcas decide qué equipo lo lee y a qué velocidad.
Decide entre policía y AEPD según lo que haya pasado. Si hay amenaza, reiteración, imágenes íntimas o datos sacados de donde no debían, denuncia en comisaría, y descríbelo como acoso o amenazas, no como «doxing», que no existe como delito. Si es la publicación de tus datos sin más, la reclamación ante la AEPD es la vía que hoy da resultado. Las dos son compatibles.
No respondas en público. Ni al autor, ni a quienes comparten, ni con un comunicado. Cada respuesta confirma que el contenido ha funcionado y amplía la audiencia. Escribí una nota entera sobre por qué pelear un contenido en público suele extenderlo: el efecto Streisand.
Averigua qué más hay. Quien te doxea rara vez inventa datos: los recoge. La dirección salió de algún sitio que todavía puedes arreglar, y la siguiente publicación usará lo que quede. Una auditoría de exposición digital es el mejor punto de partida, y es la única prevención real: lo que no se puede encontrar no se puede publicar.
Qué se puede quitar y qué no
La respuesta honesta depende de dónde esté el dato, no de qué dato sea. La misma dirección se retira en una hora de un sitio y no se retira nunca de otro. Para cualquier contenido hay tres vías: la eliminación en origen, la desindexación de los buscadores y el desplazamiento para que deje de aparecer donde la gente mira. Cuál se aplica, y en qué orden, lo decide quien aloja el dato.
Buscadores. Google tiene una política específica para datos de contacto y contenido de doxing, y quitar un resultado del buscador no borra la página a la que apunta. Todo el mecanismo lo explico en ¿Se puede borrar una noticia de Google? Para un post de un foro o un perfil funciona igual que para una noticia.
Redes sociales y foros. En las grandes plataformas es donde más ayuda la ley: los datos personales publicados sin base legal son retirables por el RGPD, y una plataforma con establecimiento en Europa está obligada a responder. Los foros y las webs pequeñas son otra cosa: puede no haber departamento legal, ni dirección, ni interés. Si el responsable es identificable, hay vía; si la web es anónima o está alojada fuera, lo cuento más abajo. En un caso que llevamos, varios foros publicaron los datos de la familia de un empresario junto a comentarios difamatorios, y se retiró todo en origen desde el primer día porque los foros tenían un responsable identificable, que es la condición que hace posible esa vía. Lo cuento en este caso de éxito.
Mensajería y grupos privados. Es el hueco del que nadie te avisa. Ni la AEPD ni una orden a una plataforma alcanzan lo que circula dentro de canales de Telegram, grupos de WhatsApp o servidores de Discord. A quien lo difundió se le puede sancionar o denunciar; el mensaje, en general, no se puede recuperar. Lo que sí puedes hacer es que el dato deje de servir: cambiar lo que se pueda cambiar y asegurarte de que no aparece en ningún otro sitio donde se pueda comprobar.
Directorios de personas. Infobel y los directorios españoles de empresas y autónomos publican direcciones y teléfonos a partir de registros públicos y guías antiguas. A menudo es de ahí de donde salió el dato. Cada uno tiene su procedimiento de baja, y el RGPD te da derecho a pedirla. Limpiarlos es tan parte de un caso de doxing como quitar la publicación, porque la publicación se puede rehacer desde ellos en minutos.
Webs alojadas fuera de la Unión Europea. Cuando el servidor está en un país que no reconoce la protección de datos europea, la eliminación en origen puede no ser posible y quedan la desindexación y el desplazamiento; lo trato en la versión inglesa de esta nota.
Si los datos ya están fuera y quieres que alguien se ocupe en lugar de que te lo expliquen, para eso es la eliminación de contenido de Nítida AI. Cada caso se estudia por sus circunstancias.
Preguntas frecuentes
¿Se escribe doxing, doxxing o doxear?
Las tres se usan. «Doxing», con una equis, es la forma que emplean la Directiva europea y la mayoría de los textos jurídicos, y la que uso aquí. «Doxxing», con dos, es la más habitual en inglés. «Doxear» es el verbo que ya se ha formado en español: a alguien le doxean, o lo doxean. Significan lo mismo.
¿Es delito publicar la dirección de alguien en España?
Por sí solo, no. Pasa a ser delito cuando forma parte de un acoso insistente y reiterado, cuando va acompañada de una amenaza, cuando el dato era reservado y se sacó de un fichero al que no se debía acceder, o cuando se hace por un motivo discriminatorio. Una sola publicación de una dirección, sin más, no suele ser delito; sí es una infracción de protección de datos que la AEPD puede sancionar, y la plataforma está obligada a retirarla si se lo pides bien.
Mis datos ya eran públicos, ¿puedo hacer algo?
Sí. Que un dato esté en un registro o en tu propio perfil no autoriza a nadie a reunirlo con otros y publicarlo para exponerte. Para el RGPD, el que lo publica sigue necesitando una base legal y no la tiene. Para el Código Penal, en cambio, que el dato fuera accesible cierra la vía del artículo 197, así que la respuesta penal dependerá de si hay acoso o amenaza. Y en los dos casos puedes pedir la retirada a la plataforma y la baja en los directorios de donde salió.
¿Denuncio en la policía o reclamo a la AEPD?
Depende de lo que haya pasado, y las dos vías son compatibles. Policía si hay amenaza, reiteración, imágenes íntimas o datos sacados de donde no debían, y descríbelo como acoso o amenazas, no como doxing. AEPD si es la publicación de tus datos sin esos añadidos: es la vía que hoy da resultado frente a una publicación aislada. Si hay riesgo físico, el 112 antes que cualquiera de las dos.
¿Necesito un abogado?
Para algunas cosas, sí: una querella, una demanda civil por intromisión en tu intimidad, o una denuncia que quieras plantear bien desde el principio. Para otras, no: denunciar el contenido en la plataforma, pedir a Google que retire tus datos de contacto de los resultados o reclamar ante la AEPD son cosas que puedes hacer tú o con un especialista como yo, sin abogado. Si hay una amenaza, la primera llamada es a la policía, no al abogado.
Fuentes:
Ley Orgánica 10/1995, del Código Penal, texto consolidado, arts. 169, 172 ter, 173, 197 y 510 (BOE)
Ley Orgánica 10/2022, de garantía integral de la libertad sexual, disposición final cuarta (BOE)
Fiscalía General del Estado, Memoria 2020, capítulo V, apartado 2.4 (fiscal.es)
Tribunal Supremo, Sala Segunda: STS 324/2017 (Pleno); STS 344/2020 (Pleno); STS 538/2021
Consejo General del Poder Judicial, nota de 5 de febrero de 2026 sobre la sentencia del Tribunal Superior de Justicia del País Vasco (poderjudicial.es)
Tribunal de Justicia de la Unión Europea, Lindqvist (C-101/01) y Buivids (C-345/17)
Agencia Española de Protección de Datos, PS/00010/2023 (aepd.es) y guía «Paso a paso: cómo solicitar la retirada de contenido sexual o violento» (2023) (aepd.es)
Directiva (UE) 2024/1385, de 14 de mayo de 2024, arts. 7.d), 10.4 y 49 (DOUE, en el BOE)
Google, «Eliminar información personal identificable o contenido de doxxing de la Búsqueda de Google» (support.google.com)
Esta nota se revisará cuando España transponga la Directiva 2024/1385 (plazo: 14 de junio de 2027).