E-06209-2020

1/4  Procedimiento Nº: E/06209/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO Con fecha de 29 de mayo de 2019 la Directora de la Agencia Española de Protección de Datos acuerda lo siguiente: “Como consecuencia de las numerosas noticias aparecidas en la prensa relativas a la difusión de un vídeo de una trabajadora de la empresa IVECO a terceros, y al objeto de determinar si se ha podido infringir lo establecido en el Reglamento General de Protección de Datos, se insta a la Subdirección General de Inspección de Datos a que inicie de oficio Actuaciones Previas de Investigaciones tendentes a acreditar estos hechos”. Las iniciales de nombre y apellidos de la trabajadora son A.A.A.. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: Los representantes de IVECO manifiestan que para esclarecer las circunstancias en las que se ha difundo el vídeo se ha solicitado la colaboración de un despacho de abogados externo que ha realizado una instrucción detallada. Para ello ha mantenido numerosas entrevistas con los grupos sindicales y con aproximadamente 17 trabajadores próximos a la persona afectada por la difusión del vídeo. En relación a las conclusiones finales de la instrucción externa, los representes de la entidad indican que objeto del informe realizado por la instructora externa era el de esclarecer los hechos acaecidos en los días previos al fallecimiento de A.A.A., dentro del marco del entorno laboral de ésta. Las conclusiones finales de la instructora son las siguientes: "Se desconoce quién pudo reenviar o difundir el vídeo íntimo de A.A.A.". Esta afirmación se reitera en varias ocasiones a lo largo del informe. "Resulta transcendente el dato de que a día de hoy no consta probado quién fue la persona que inició la difusión del video íntimo de A.A.A.". De las anteriores manifestaciones se puede extraer que la instructora no cuenta con información y/o documentación que permita determinar o identificar a la persona o personas que pudieron haber difundido el vídeo dentro del entorno laboral de la trabajadora. No existe, por tanto, documentación en el expediente aportado por IVECO que permita determinar a las personas responsables de la difusión del video. En el informe también se deja constancia de que:  Los operarios de producción de Iveco no tienen teléfonos móviles (smartphone) de empresa.  En la planta de Iveco en ***LOCALIDAD.1 hay carteles en los que se prohíbe C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 expresamente hacer fotos o grabar vídeos. Desde el día inmediatamente siguiente a haber conocido la existencia del vídeo íntimo de la trabajadora, IVECO adoptó medidas, en coordinación con los Sindicatos y la propia trabajadora, en interés de ésta. Por otro lado, se realizó una investigación sobre la posibilidad de que se hubiese producido un accidente laboral y fue descartado tras un informe exhaustivo. TERCERO: En relación con estos hechos, la AEPD tuvo conocimiento de que se estaban realizando diligencias policiales y judiciales. Se requirió información a la Comisaría de la Policía Nacional de ***LOCALIDAD.2 en relación con la difusión del vídeo de A.A.A., indicado que la investigación se encontraba bajo la Autoridad del Juzgado de Instrucción 5 de ***LOCALIDAD.3, quién instruye las Diligencias Previas ***DILIGENCIAS.1, declaradas secretas. El Inspector de Datos solicitó información al Juzgado de Instrucción 5 de ***LOCALIDAD.3 referida a la persona que difundió el vídeo objeto de este expediente; el mencionado Juzgado contestó, en fecha 28 de noviembre de 2019, indicando que no se había identificado al autor de la difusión del vídeo ni a los redifusores. Añadieron que, en cuanto dispusieran de la información, la trasladarían. En fecha 27 de mayo de 2020, se solicitó nuevamente información sobre los autores de la difusión del vídeo al Juzgado de Instrucción 5 de ***LOCALIDAD.3, sin que hasta la fecha se haya recibido información al respecto. CUARTO: Con fecha 29 de mayo de 2020, se declaró la caducidad de las actuaciones previas de investigación que se estaban realizando al no haber podido identificar al autor de la difusión del vídeo, en el período de un año establecido en el artículo 67 de la LOPDGGG. Dado que la presunta infracción no estaba prescrita, se iniciaron nuevas actuaciones de investigación. QUINTO: Se requirió a IVECO que aportase la sentencia dictada por el Juzgado de Instrucción 5 de ***LOCALIDAD.3, sobre los autores de la difusión del vídeo, si la tenía información. Contestaron indicando que no habían tenido acceso a la Sentencia ya que no eran parte en el procedimiento. SEXTO: Con fecha 27 de julio de 2020, se recibe en esta Agencia, oficio del Juzgado de Instrucción 5 de ***LOCALIDAD.3, en el que informan que se ha dictado auto de sobreseimiento, ya declarado firme, conteniendo en la parte dispositiva lo que sigue: “Se decreta el sobreseimiento por falta de condición objetiva de procedibilidad respecto al delito del artículo 197 del Código Penal y por falta de autor conocido respecto del delito del artículo 173 del citado texto legal” FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), reconoce a cada Autoridad de Control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que: «Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.» II La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El incluir imágenes, que identifican o hacen identificable a una persona, y difundirlas supone un tratamiento de datos personales y, por tanto, la persona que lo hace tiene que ampararse en alguna de las causas legitimadoras señaladas en el artículo 6 del RGPD. . En estos supuestos, como en el caso analizado, la única causa legitimadora suele ser el consentimiento, en general. Y es la persona que graba y/o sube las imágenes a un sitio web la que debe demostrar que cuenta con ese consentimiento. Para que se pueda llevar a cabo lícitamente ese tratamiento tiene que cumplirse lo establecido en el artículo 6.1 del RGPD, que indica: <<1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 guidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.>>. III En el supuesto presente, tras la realización de las actuaciones previas de investigación no se ha podido identificar a la persona que difundió el vídeo de A.A.A. entre otros trabajadores del centro donde trabajaba. Tampoco ha conseguido su identificación el Juzgado en el que se realizaron diligencias para ello y su posible condena. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es