AI-00229-2022

1/7  Expediente N.º: EXP202203200 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Doña A.A.A. (en adelante, la parte reclamante), con fecha 10 de febrero de 2022, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra TINSEY HOUSE INVERSIONES, S.L. con NIF B31487432 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: Se han difundido imágenes de la parte reclamante, sin su consentimiento, en un grupo de Whatssap. Las imágenes parecen proceder del sistema de videovigilancia de la empresa reclamada. Documentación relevante aportada por la parte reclamante: - Copia de la denuncia ante el juzgado, en la que se incluyen dos capturas del citado vídeo en las que se puede ver a la afectada y que, a juzgar por el ángulo de captación, parecen proceder de un sistema de videovigilancia. No se aporta captura del mensaje de WhatsApp. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada/ALIAS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 22 de marzo de 2022, como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 10 de mayo de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Examinada la reclamación, se constata que carece de evidencias formales sobre la difusión del video. La parte reclamante no aporta justificación de dicha difusión, aunque sí capturas de la imagen del video. La parte reclamante anexa a su escrito de reclamación la copia de la denuncia ante el Juzgado de Instrucción de Santander, en la que se incluyen dos capturas del citado vídeo en las que se puede ver a la afectada y que (presumiblemente) parecen proceder de un sistema de videovigilancia, pero no aporta captura del mensaje de WhatsApp en el que se ha difundido el video. Tanto en el escrito de reclamación presentado en la Agencia como en la denuncia ante el Juzgado, la parte reclamante especifica en dos ocasiones una dirección inexistente: - […]se encontraba la denunciante en la sala de juegos de Estella (Navarra) sita 39006 Pamplona, c/ Monte Astobizkar nº 5, […] - […] La denunciante recibe el vídeo dos horas después de permanecer en el citado centro (39006 Pamplona, c/ Monte Astobizkar nº 5), y comprueba sin lugar a duda que es ella quien aparece en un video grabado por las cámaras de seguridad del salón de juegos de Estella. […] Analizando la dirección proporcionada por la parte reclamante: - El código postal 39006 es incorrecto. Los códigos postales en Navarra comienzan por 31. - En Estella no existe ninguna calle con ese nombre. - En Pamplona existe una calle con ese nombre, pero no hay ningún salón de juegos en esa ubicación (verificado presencialmente). Con fecha 6 de junio de 2022 se realiza requerimiento de información adicional a la parte reclamante en el que se solicita, entre otras cosas, confirmación de la dirección del salón de juegos y “captura de pantalla de la conversación de WhatsApp en la que la parte reclamante recibió el vídeo, donde aparezca la imagen del vídeo recibido”. La notificación electrónica consta como expirada. Con fecha de 22 de junio de 2022 se mantiene una conversación telefónica con el despacho B.B.B. ABOGADOS, representante de la parte reclamante, para confirmar que el correo electrónico de dicho despacho es ***EMAIL.1. Con fecha de 22 de junio de 2022 se realiza de nuevo requerimiento de información adicional al representante de la parte reclamante en el que se solicita, entre otras cosas, confirmación de la dirección del salón de juegos y “captura de pantalla de la conversación de WhatsApp en la que la parte reclamante recibió el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 vídeo, donde aparezca la imagen del vídeo recibido”. El requerimiento es notificado con fecha 22 de junio de 2022. Con fecha de 13 de julio de 2022 el representante de la parte reclamante remite a esta agencia la siguiente información y manifestaciones: “Persona que hizo llegar el video: C.C.C. compañero de A.A.A. que a su vez se lo mandó un amigo, ese amigo es el que estaba en el grupo que se difundió. (…):. El propietario reconoce que le dio las grabaciones a otra persona u esa persona lo difundió en el grupo” La parte reclamante no proporciona evidencias de la difusión del video en su respuesta al requerimiento. Respecto a la dirección facilitada por la parte reclamante, se comprueba mediante Googlemaps (y posteriormente de manera presencial) que en dicha dirección tampoco hay ubicado ningún salón de juegos. En el escrito de reclamación presentado en la Agencia y en la denuncia ante el Juzgado se facilita el número de teléfono del compañero de trabajo que, tal como se especifica en la denuncia, envió el vídeo a la reclamante a través de WhatsApp. Con la intención de recabar la información de contacto de esta persona para conseguir evidencias de la difusión, se consulta a Telefónica Móviles España por el titular de esa numeración. Con fecha 22 de julio de 2022, se recibe respuesta en esta Agencia indicando que la línea telefónica está a nombre de la empresa MERKUR SLOT, S.L. Consultado AXESOR sobre dicha empresa, se observa que su actividad es 9200 - Actividades de juegos de azar y apuestas. Con fecha de 22 de julio de 2022 se realiza de nuevo requerimiento de información adicional tanto a la parte reclamante como a su representante. En este requerimiento se solicita específicamente: - Confirmación de la ubicación del salón de juegos donde se grabó el vídeo. No existe ningún salón de juegos en la dirección aportada en la anterior respuesta al requerimiento de información. - Acreditación de la difusión por WhatsApp del vídeo recibido por la reclamante: Capturas de pantalla de la conversación de WhatsApp en la que la reclamante recibió el vídeo, en las que aparezca la imagen del vídeo recibido y la fecha de envío de éste. - Datos de contacto del compañero de trabajo de la reclamante que le envió el vídeo (D. C.C.C.), que incluyan NIF y dirección postal. El requerimiento es notificado al representante de la parte reclamante, con fecha 22 de julio de 2022, y consta como expirada la notificación a la parte reclamante. No se ha recibido ningún escrito de respuesta a estos requerimientos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),

1. f)y
2. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
3. a)la seudonimización y el cifrado de datos personales;
4. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
5. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
6. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." III Principios relativos al tratamiento La letra
7. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." IV Hechos objeto de reclamación Los hechos objeto de reclamación son la difusión de imágenes de la parte reclamante, sin su consentimiento, en un grupo de Whatssap. Las imágenes parecen proceder del sistema de videovigilancia de la empresa reclamada. Tanto en el escrito de reclamación presentado ante la Agencia Española de Protección de Datos como en la denuncia ante el Juzgado, la parte reclamante especifica en ambas ocasiones una dirección inexistente: código postal 39006 incorrecto y localidad ambigua (en Estella no existe ninguna calle con ese nombre; en Pamplona existe una calle con ese nombre, pero no hay ningún salón de juegos en esa ubicación). Se requiere información adicional a la parte reclamante para aclarar este hecho y para recabar evidencias de la difusión del video. En su respuesta al requerimiento, facilita una dirección en la que tampoco hay ubicado ningún salón de juegos (confirmado mediante Googlemaps y posteriormente de manera presencial) y, de nuevo, no proporciona ninguna evidencia de la difusión de dicho video. Se realiza nuevamente un requerimiento de información adicional tanto a la parte reclamante como a su representante, al que consta como notificado. No se ha recibido ningún escrito de respuesta a estos requerimientos. En el supuesto presente, la parte reclamante indica que se han difundido sus datos, su imagen, que provenía de la cámara de una entidad dedicada al juego. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 Tras las actuaciones previas de investigación efectuadas, no se han podido recabar evidencias de la difusión del video. Los hechos denunciados no están acreditados, como se ha indicado en los hechos y fundamentos de la resolución. El principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo acreditativa de los hechos que motivan la imputación o de la intervención en los mismos del presunto infractor. Aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinado, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional en su Sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio. Conforme a este principio, no puede imponerse sanción alguna en razón de la culpabilidad del imputado si no existe una actividad, de cargo, que, en la apreciación de las autoridades u órganos llamados a resolver, destruya esta presunción (TCo Auto 3-12-81). V Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a Doña A.A.A. y TINSEY HOUSE INVERSIONES, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
9. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es