A-00116-2016

1/6 Procedimiento Nº: A/00116/2016 RESOLUCIÓN: R/01088/2016 En el procedimiento A/00116/2016, instruido por la Agencia Española de Protección de Datos a la entidad MUGUE NOVIAS, S.L., vista la denuncia presentada por Dña. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: En fecha 30 de septiembre de 2015 tiene entrada en la Agencia un escrito de doña A.A.A. (en lo sucesivo la denunciante) en el que denuncia la publicación, en la red social Facebook, de varias fotografías realizadas durante la elaboración de su traje de novia en julio de 2014. Aporta acta notarial de 10 de octubre de 2014, acreditativa de la publicación de las fotografías en el perfil “ D.D.D.”. SEGUNDO: En fecha 6 de octubre por la Inspección de Datos se solicita a la denunciante que subsane la denuncia aportando, en su caso, documentación acreditativa de que hubiera ejercitado su derecho de cancelación ante la denunciada, administradora de la sociedad MUGUE NOVIAS, S.L. (en lo sucesivo la denunciada). De la documentación aportada por la denunciante se desprende la existencia de un desacuerdo entre las partes, en relación con el encargo de elaboración del vestido de novia. Se ha aportado copia del decreto de 25 de febrero de 2015 del Juzgado de 1ª instancia nº2 de C.C.C., que dio por intentado sin efecto el acto de conciliación entre la denunciante y la denunciada, al no haber comparecido esta sociedad, sin manifestar causa justa para no concurrir. En la papeleta de conciliación la denunciante se refiere expresamente a la difusión pública, sin su consentimiento, de las fotografías en la red social, publicitando el día, hora y lugar de la ceremonia. Por la Inspección de Datos se ha constatado que en fecha 6 de octubre de 2015 resultaban aún accesibles en el perfil denunciado, para cualquier usuario de la red social Facebook, varias de las fotografías referidas. TERCERO: Con fecha 2 de marzo de 2016, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00116/2016, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD) tipificada como grave en el art. 44.3.

1. b)de dicha norma y de acuerdo con el art. 45.6. Dicho acuerdo fue notificado a la denunciante y a la denunciada el 7 de marzo de 2016. El plazo concedido a la denunciada para formular alegaciones previas a la resolución del procedimiento de apercibimiento transcurrió sin que en esta Agencia se haya recibido escrito alguno. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 CUARTO: La denunciante por su parte, presentó escrito en el que solicita, entre otros: “Se proceda a la apertura de EXPEDIENTE SANCIONADOR frente a MUGUE NOVIAS, S.L.” QUINTO:Con fecha 28/04/2016 por esta Agencia de Datos se ha constatado que resultaban aún accesibles en el perfil denunciado para cualquier usuario de la red social Facebook, varias de las fotografías referidas. HECHOS PROBADOS PRIMERO: En fecha 30 de septiembre de 2015 tiene entrada en la Agencia un escrito de la denunciante en el que denuncia la publicación, en la red social Facebook, de varias fotografías realizadas durante la elaboración de su traje de novia en julio de 2014. Aporta acta notarial de 10 de octubre de 2014, acreditativa de la publicación de las fotografías en el perfil “ D.D.D.” (folios 1 a 22). SEGUNDO: En fecha 6 de octubre por la Inspección de Datos se solicita a la denunciante que subsane la denuncia aportando, en su caso, documentación acreditativa de que hubiera ejercitado su derecho de cancelación ante la denunciada, administradora de la sociedad denunciada (folio 40). De la documentación aportada por la denunciante se desprende la existencia de un desacuerdo entre las partes, en relación con encargo de elaboración del vestido de novia. Se ha aportado copia del decreto de 25 de febrero de 2015 del Juzgado de 1ª instancia nº 2 de C.C.C., que dio por intentado sin efecto el acto de conciliación entre la denunciante y la denunciada, al no haber comparecido esta sociedad, sin manifestar causa justa para no concurrir. En la papeleta de conciliación la denunciante se refiere expresamente a la difusión pública, sin su consentimiento, de las fotografías en la red social, publicitando el día, hora y lugar de la ceremonia (folios 41 a 54). Por la Inspección de Datos se ha constatado que en fecha 6 de octubre de 2015 resultaban aún accesibles en el perfil denunciado, para cualquier usuario de la red social Facebook, varias de las fotografías referidas (folios 25 a 31). TERCERO: En el Registro Mercantil Central figura Dña. B.B.B. como Administradora única de la entidad denunciada (folios 32, 33, 86 y 87). CUARTO: Con fecha 28/04/2016 por esta Agencia de Datos se ha constatado que en fecha 28 de abril de 2016 resultaban aún accesibles en el perfil denunciado, para cualquier usuario de la red social Facebook, varias de las fotografías referidas (folios 74 a 85). FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II Los hechos expuestos suponen por parte de la denunciada, una infracción del artículo 6.1 de la LOPD, que regula: “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. El artículo 6.2, por su parte, establece que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” La citada infracción está tipificada como grave en el artículo 44.3.
3. b)de la LOPD, que considera como tal “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Dicha infracción podría ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de la LOPD. III Para determinar si la actuación de la denunciada constituye un tratamiento o no de datos, debe tenerse en cuenta el criterio de la sentencia del TJUE de 6 de noviembre de 2003, en el asunto C-101/01. Así lo ponen de manifiesto su apartado 20, en el que se hace referencia al concepto de dato personal, considerando incluido en el mismo “toda información sobre una persona física identificada o identificable”, añadiendo que “este concepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones”. Así mismo establece la sentencia citada en su apartado 27 que: “Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 de trabajo y a sus aficiones, constituye un tratamiento total o parcialmente automatizado de datos personales” en el sentido del artículo 3, apartado 1, de la Directiva 95/46.” En el presente caso se ha verificado por la Agencia que los documentos donde figuran los datos personales de la denunciante (fotografías) resultaban públicamente accesibles en internet, a través de un perfil identificado con el nombre y apellidos de la administradora de la sociedad investigada. IV No obstante, la disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
4. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
5. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
6. a)y
7. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado, teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. Por otra parte, la denunciada no ha comunicado a esta Agencia la adopción de ninguna medida correctora, por lo que procede requerir a la misma para que adopte las que impidan que siga produciéndose una infracción de lo dispuesto en el artículo 6.1 de la LOPD. V La denunciante ha solicitado que el procedimiento se resuelva con la imposición de la oportuna sanción. A este respecto, cabe señalar que el procedimiento sancionador se inicia siempre de oficio y es competencia exclusiva de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 Protección de Datos valorar si existen responsabilidades administrativas que han de ser depuradas en un procedimiento sancionador y, en consecuencia, la decisión sobre su apertura. Del mismo modo, corresponde al órgano sancionador ponderar la aplicación de lo establecido en el apartado 6 del artículo 45 de la LOPD, atendidas las circunstancias concurrentes y los presupuestos contenidos en dicho artículo mencionado. En el presente supuesto se cumplen los requisitos recogidos en los apartados
8. a)y
9. b)del citado apartado 6 y se estimó aplicable la previsión contenida en el mismo. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00116/2016) a MUGUE NOVIAS, S.L. con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, en relación con la denuncia por infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
10. b)de la citada Ley Orgánica, y de conformidad con lo establecido en los artículos 36 y 37.a),
11. f)y
12. n)de la LOPD, que atribuye la competencia a la Directora de la Agencia Española de Protección de Datos. 2.- REQUERIR a MUGUE NOVIAS, S.L. de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 6.1 de la LOPD. En concreto se insta a la denunciada a adoptar, de manera efectiva, las medidas técnicas y organizativas que impidan el tratamiento de datos de la denunciante, mediante la publicación de las fotografías realizadas durante la elaboración de un traje de novia, en el perfil de “ D.D.D.” de la red social Facebook. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido en el apartado anterior, aportando aquellos documentos en los que se ponga de manifiesto dicho cumplimiento. Se le advierte de que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación E/02327/2016, podría incurrir en una infracción del artículo 37.1.
13. f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
14. f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
15. i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 3.- NOTIFICAR el presente Acuerdo a MUGUE NOVIAS, S.L. 4.- NOTIFICAR el presente Acuerdo a Dña. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es