A-00382-2017

1/8 Procedimiento Nº: A/00382/2017 RESOLUCIÓN: R/00046/2018 En el procedimiento A/00382/2017, instruido por la Agencia Española de Protección de Datos a la entidad ARF VITORIA-GASTEIZ, S.L.U., vista la denuncia presentada por ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓN FACUA y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 11/04/2017 tiene entrada en esta Agencia una denuncia presentada por ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓN FACUA (en lo sucesivo el denunciante), en el que denuncia a LAST TOUR y a ARF VITORIA-GASTEIZ, S.L.U. (en lo sucesivo ARF-VITORIA), por lo siguientes hechos:  Que la entidad denunciada es la empresa organizadora del festival de música “AZKENA ROCK FESTIVAL” que tuvo lugar los días 23 y 24 de junio de 2017.  Que entre las condiciones generales publicadas en el sitio web de compra de entradas para el festival figura la siguiente clausula: “11. El acceso al recinto del evento comporta el consentimiento a ser tomado en fotografías y otros medios de grabación y/o reproducción sin derecho a compensación alguna por ello cualquiera que fuera su utilización posterior. El público asistente podrá aparecer en imágenes tomadas por diferentes medios para su posterior difusión promocional”.  Que el festival ofrece además un servicio de alojamiento de camping para pernoctación en las propias instalaciones.  Que de lo anteriormente dicho se deduce que cabe la posibilidad de que se recaben imágenes que desvelen datos personales especialmente protegidos (artículo 7 de la ley orgánica 15/1999).  Que no consta que se haya recabado el consentimiento expreso de los afectados para la gestión de las imágenes que pudieran recogerse.  Que los afectados no han sido informados de sus derechos ARCO conforme al artículo 5 de la ley orgánica 15/1999 (LOPD). SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita al denunciante información adicional: - Con fecha 12/05/2017 se accede al sitio web de una de las entidades denunciadas, comprobando que el apartado correspondiente a la política de datos y aviso legal (***URL.1) contiene el siguiente texto:  “La tenencia de cualquiera de nuestras entradas entrañará la aceptación de las siguientes condiciones: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 […] 11. El acceso al recinto del evento comporta el consentimiento a ser tomado en fotografías y otros medios de grabación y/o reproducción sin derecho a compensación alguna por ello cualquiera que fuera su utilización posterior. El público asistente podrá aparecer en imágenes tomadas por diferentes medios para su posterior difusión promocional”.  “De conformidad con la legislación vigente en materia de protección de datos de carácter personal y en particular, la Ley Orgánica 15/1999 de 13 de Diciembre de Protección de Datos de Carácter Personal y su Reglamento de Desarrollo 1720/2007, de 21 de diciembre (la “LOPD”), así como toda la normativa europea y española aplicable a esta materia, los datos que voluntariamente facilite el Usuario en el Formulario de Registro, serán incorporados para su tratamiento a un fichero debidamente inscrito en la Agencia Española de Protección de Datos y titularidad de LAST TOUR con la finalidad de poder identificarle y contactarle para posibilitar la correcta prestación de los servicios, así como facilitarle cualquier información que solicite. Asimismo, los datos de carácter personal podrán ser accedidos por el personal de LAST TOUR, así como por aquellos terceros que presten servicios a LAST TOUR relacionados con las finalidades antedichas. El Usuario podrá ejercer sus derechos de acceso, rectificación, cancelación y oposición en cumplimiento de lo establecido en la LOPD, teniendo en cuenta que el ejercicio de los mismos es personalísimo, por lo que será necesario que el afectado acredite su identidad. El ejercicio de estos derechos deberá realizarse por escrito firmado por el titular de los datos, con indicación de su domicilio, adjuntando copia de su Documento Nacional de Identidad u otro documento acreditativo, dirigiéndose a LAST TOUR, al correo electrónico ***EMAIL.1 (mailto:***EMAIL.1), enviando comunicación escrita a la siguiente dirección postal: ***DIRECCIÓN.1. - Con fecha 21/06/2017 la AEPD requiere a LAST TOUR que aporte documentación acreditativa del cumplimiento del artículo 5 de la LOPD. - ARF-VITORIA, en su escrito de fecha de registro 26/07/2017 (número de registro ***REG.1) ha contestado al requerimiento de información anterior remitiendo la siguiente información:  En su escrito expone que, en la medida en que ha sido la entidad ARFVITORIA la encargada de organizar y promover el festival musical “Azkena Rock Festival”, LAST TOUR le ha trasladado el requerimiento de información de la AEPD a fin de dar respuesta al mismo.  Señala también que puso en conocimiento de los asistentes al evento con carácter previo a su celebración la posibilidad de que fuesen fotografiados y/o grabados mientras se encontraban dentro del recinto en el que tiene lugar el evento, incluyendo tanto en las condiciones generales del bono como en las entradas adquiridas la cláusula que se indica a continuación: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 “El acceso al evento comporta el consentimiento a ser tomado en fotografías y otros medios de grabación y/o reproducción sin derecho a compensación alguna por ello cualquiera que fuera su utilización posterior. El Público asistente podrá aparecer en imágenes tomadas por diferentes medios para su posterior difusión promocional”  Manifiesta asimismo que “tras recibir la Solicitud remitida por parte de la AEPD y, una vez analizados los requisitos de información previstos en la normativa aplicable en materia de protección de datos de carácter personal, se ha detectado por parte de ARP la necesidad de completar y reforzar la información facilitada a los asistentes en la referida cláusula”. Añade que, “por consiguiente, con carácter inmediato y de cara a la organización de próximos eventos en los se pueda proceder a la obtención de fotografías y/o captación de imágenes, ARF ha procedido a adoptar las medidas que se detallan a continuación, a efectos de dar pleno cumplimiento a los requisitos de información previstos en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (“LOPD”) y su normativa de desarrollo:” o Declaración del fichero. Según manifiesta ha procedido a la solicitud de inscripción en el Registro General de Protección de Datos de un fichero relativo al tratamiento de las imágenes de los asistentes a los eventos que promueva.  Adjunta (documento anexo 2) copia de la solicitud de inscripción de creación de fichero ante la AEPD.  Con fecha 23/8/2017 se comprueba que consta inscripción del fichero denominado “IMÁGENES DE LOS ASISTENTES AL FESTIVAL” con fecha 29/7/2017 en el Registro General de Protección de Datos (RGPD). En dicha inscripción figura consignado el nivel básico de los datos recogidos en el fichero y los propios interesados o sus representantes legales como origen de los datos.  Se adjunta al expediente, a través de la correspondiente diligencia, el contenido de dicha inscripción. o Incorporación de una cláusula de protección de datos en las entradas y las condiciones generales de las compras. Manifiesta que se está trabajando en la redacción de una cláusula (cuyo borrador se adjunta como documento anexo 3) al objeto de garantizar la plena información prevista en el artículo 5 de la LOPD a todos aquellos que adquieran la entrada tanto en soporte papel como a través de internet. Añade que, concluidos los trámites oportunos, se incorporará sin demora a las condiciones generales de compra y en las “entradas/bonos”. El borrador de la cláusula incluye el siguiente texto: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 “A los efectos de lo previsto en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (“LOPD”) y su normativa de desarrollo, se le informa de que al asistir al evento usted autoriza expresamente que sus datos de carácter personal, incluidos los relativos a su imagen y voz, sean incorporados para su tratamiento estrictamente confidencial en un fichero cuyo responsable es ARFVITORIA cuyo domicilio se encuentra ubicado en ***DIRECCIÓN.2, con fines de prospección comercial y corporativa. Asimismo, se le informa de que al asistir al evento objeto de la presente comunicación usted autoriza expresamente a que los indicados datos de carácter personal puedan ser cedidos por el responsable para su uso y tratamiento por las empresas del sector audiovisual que en cada caso tenga contratadas, incluyendo su publicación en la web corporativa, medios de comunicación, catálogos comerciales, publicaciones internas, siempre respetando la finalidad para la que fueron recogidos. Usted puede ejercitar los derechos de acceso, rectificación, cancelación y oposición de sus datos personales, mediante carta dirigida a la dirección anteriormente indicada o por email a ***EMAIL.1, indicando su nombre, apellidos, domicilio a efectos de notificaciones, derecho que se ejerce, y aportando fotocopia del DNI o documento acreditativo de su identidad, de acuerdo con lo previsto en la LOPD y sus disposiciones reglamentarias de desarrollo.” Y entre las finalidades figuran “captación, reproducción, distribución y publicación de las fotografías y/o imágenes, incluso para fines publicitarios y a través del cualquier medio, incluidos los medios electrónicos”. Añade que también “se ha optado por disponer en las entradas al recinto correspondiente y/o puntos de información de los próximos eventos promovidos por ARF, de copias impresas de la cláusula” descrita anteriormente “para que, en caso de que algún asistentes interesado lo solicite, se le pueda hacer entrega de una copia”. o Instalación de carteles o distintivos informativos lo suficientemente visibles en la entrada al recinto de los próximos eventos en los que se pretenda captar imágenes. Al respecto expone que “ha estimado conveniente incluir en estos carteles o distintivos un contenido semejante al exigido para los distintivos informativos de videovigilancia previstos en la Instrucción 1/2006 de la AEPD. Por tanto, los mismos identificarán explícitamente a ARP como el responsable ante el cual pueden ejercitarse los derechos de acceso, rectificación, cancelación y oposición de los interesados”.  Adjunta (documento anexo 4) copia del borrador del cartel a instalar. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 o Medidas complementarias. Añade que, “como medida complementaria, se ha considerado oportuno reforzar los conocimientos y formación del personal del Promotor en materia de protección de datos de carácter personal de forma que, con carácter previo a la celebración de próximos eventos, se adoptarán las acciones formativas necesarias a tal fin”. TERCERO: Con fecha 31/10/2017, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00382/2017, a ARF-VITORIA con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, por infracción de su artículo 5 tipificada como leve en el artículo 44.2.

1. c)de la misma norma. CUARTO: el 09/11/2017 FACUA presento escrito en el que se oponía al citado acuerdo de audiencia previa y se iniciara expediente sancionador por la comisión de infracción grave contra la empresa LAST TOUR. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
2. g)en relación con el artículo 36 de la LOPD. II En el presente caso, se atribuye a ARF-VITORIA la comisión de la infracción del artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD), que señala que: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
3. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
4. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
5. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
6. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
7. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de trámite, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 Infracción tipificada como leve en el artículo 44.2
8. c)de dicha norma, que considera como tal “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. III El artículo 45.6 de la LOPD, dispone lo siguiente: “6. Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
9. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
10. b)que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en las letras
11. a)y
12. b)del citado apartado 6 del artículo 45 de la LOPD. IV En el presente caso, tras la práctica de las diligencias de inspección referenciadas en el antecedente segundo, de la presente resolución, se ha verificado que ARF-VITORIA, ha introducido cambios tras el requerimiento de la AEPD adoptando medidas a fin de dar cumplimiento a los principios de información contenidos en el art. 5 de la LOPD, completando y reforzando los requisitos de información previstos en la normativa aplicable en materia de protección de datos de carácter personal, a fin de evitar que no se vuelvan a producir hechos como los denunciados. Por lo expuesto debe tenerse en cuenta que el apercibimiento que correspondería de acuerdo con el artículo 45.6 de la LOPD, no tendría aparejado requerimiento o medida alguna a adoptar por la entidad denunciada, pues como se ha puesto de manifiesto ARF-VITORIA, ya se ha adaptado a la normativa citada. En este sentido conviene traer a colación lo dispuesto en las Sentencia de la Audiencia Nacional 455/2011 de fecha 29/11/2013 Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando éstas ya hubieran sido adoptadas, lo procedente en Derecho es acordar el archivo de las actuaciones. V FACUA en fecha 17/11/2017 presento escrito de oposición mostrando su disconformidad con el procedimiento de apercibimiento iniciado ya que a su juicio debería haberse procedido a la apertura de un procedimiento sancionador por posible infracción del artículo 7 de la LOPD, contra la empresa LAST TOUR. No obstante, las manifestaciones vertidas en el citado escrito no pueden ser aceptadas: En primer lugar, hay que señalar que los interesados pueden interponer recurso en el momento procedimental adecuado con el propósito de que la resolución que se dicte pueda ser impugnada y se revise, si existe interés suficiente y legítimo para ello. Sin embargo en este caso la impugnación no se realiza en el momento procedimental oportuno. Pese a lo anterior debe indicarse que no consta, en este caso, ningún indicio del que pueda inferirse que el denunciado ha tratado datos especialmente protegidos. En segundo lugar, que el procedimiento de apercibimiento se incoa conforme a los presupuestos establecidos en la normativa vigente. De conformidad con lo indicado en el acuerdo de inicio, se cumplían los dos requisitos recogidos en los apartados
13. a)y
14. b)del artículo 45.6 de la LOPD. Por otra parte, la aplicación del mencionado precepto, de carácter excepcional, se estimó pertinente en consideración al resto de circunstancias concurrentes. Además, corresponde al órgano sancionador ponderar la aplicación del artículo 45.6 de la LOPD, atendidas las circunstancias concurrentes, ya sean las indicadas en el artículo 45 de dicha norma o cualquier otra que permita valorar su excepcionalidad. Por último, hay que indicar que la condición de denunciante no otorga por sí la de interesado, y tanto la LOPD como su Reglamento de desarrollo no se refieren a interesado, sino al afectado, señalando que se le comunique la resolución final. Además, la línea jurisprudencial del Tribunal Supremo, Sala de lo Contencioso, sección: 6, recurso: 4712/2005, de 6/10/2009 determina que “El argumento crucial en esta materia es que el denunciante, incluso cuando se considere a sí mismo "víctima" de la infracción denunciada, no tiene un derecho subjetivo ni un interés legítimo a que el denunciado sea sancionado. El poder punitivo pertenece únicamente a la Administración que tiene encomendada la correspondiente potestad sancionadora -en este caso, la Agencia Española de Protección de Datos - y, por consiguiente, sólo la Administración tiene un interés tutelado por el ordenamiento jurídico en que el infractor sea sancionado”. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 SE ACUERDA: I ARCHIVAR EL PROCEDIMIENTO (A700382/2017) a ARF VITORIAGASTEIZ, S.L.U., con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, con relación a la denuncia por infracción del artículo 5, tipificada como leve en el artículo 44.2
15. c)de la LOPD. II NOTIFICAR la presente Resolución a ARF VITORIA-GASTEIZ, S.L.U. y ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓN - FACUA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es