E-11417-2019

1/7  Procedimiento Nº: E/11417/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por Doña A.A.A. (en adelante la reclamante) tiene entrada con fecha 23 de noviembre de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra una menor de 13 años llamada B.B.B., que, a juicio de la reclamante, puede ser la responsable. Los motivos en que basa la reclamación son que han llegado fotos íntimas de su hija menor a su teléfono; fotos que ella envió a su novio. La persona que se las envió le ha indicado que lo ha hecho una antigua amiga de su hija por venganza. Que hace un año le robaron una cuenta de Instagram ***CUENTA.1 y se están haciendo pasar por ella. Esa cuenta no ha sido cancelada. Acompaña documentos con las fotos recibidas y de la cuenta robada. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación: - En primer lugar, se dictó una medida cautelar dirigida a Facebook, para que procediese a suprimir, con la mayor inmediatez posible, la cuenta de Instagram ***CUENTA.1 con todos sus contenidos, evitando en la medida en que el estado de la tecnología lo permita, la re-subida o re-carga de copias o réplicas exactas por el mismo u otros usuarios. - El Inspector de Datos responsable de estas actuaciones previas realizó diligencia en la que hacia constar que en fecha 2 de diciembre de 2019, la cuenta de Instagram ***CUENTA.1 ya no estaba disponible. - Se informó a la reclamante de la retirada de la cuenta de Instagram denunciada. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 de Datos. II El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Por tanto, incluir fotografías en una plataforma, sitio web, foros… supone un tratamiento de datos personales. Para que se pueda llevar a cabo lícitamente ese tratamiento tiene que cumplirse lo establecido en el artículo 6.1 del RGPD, que indica: <<1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

1. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
2. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
3. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
4. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
5. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
6. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
7. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.>> El incluir imágenes, que identifican o hacen identificable a una persona, en las redes sociales, en páginas web, etc… supone un tratamiento de datos personales y, por tanto, la persona que lo hace tiene que ampararse en alguna de las legitimaciones señaladas en el artículo 6 del RGPD. En estos supuestos, como el denunciado, la única causa legitimadora es el consentimiento, en general. Y es la persona que incluye la foto la que debe demostrar que cuenta con ese consentimiento. III El artículo 7 de la LOPDGDD establece lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 “1. El tratamiento de los datos personales de un menor de edad únicamente podrá fundarse en su consentimiento cuando sea mayor de catorce años. Se exceptúan los supuestos en que la ley exija la asistencia de los titulares de la patria potestad o tutela para la celebración del acto o negocio jurídico en cuyo contexto se recaba el consentimiento para el tratamiento. 2. El tratamiento de los datos de los menores de catorce años, fundado en el consentimiento, solo será lícito si consta el del titular de la patria potestad o tutela, con el alcance que determinen los titulares de la patria potestad o tutela.” Por un lado, la menor cuyas imágenes fueron tratadas no pudo dar el consentimiento para ese tratamiento, lo tendrían que haber dado los titulares de la patria potestad, en este caso sus padres, sin que conste dicho consentimiento. IV Por otra parte, la reclamante indica que la persona que trató las fotos de su hija, era una niña de 13 años. De conformidad con la normativa actualmente en vigor, no se le puede hacer responsable de una infracción en materia de protección de datos. En este sentido el artículo 3 de la Ley 39/2015 otorga capacidad de obrar a los menores de edad “para el ejercicio y defensa de aquellos de sus derechos e intereses cuya actuación esté permitida por el ordenamiento jurídico sin la asistencia de la persona que ejerza la patria potestad, tutela o curatela”. En lo que aquí nos interesa, la edad para otorgar consentimiento para el tratamiento de datos personales, así como para ejercer los derechos en materia de protección de datos, sin la asistencia del titular de la patria potestad, es de 14 años, por tanto, en este caso la menor de edad carece de esa capacidad de obrar y, en consecuencia, tampoco se le puede imputar una infracción de la normativa de protección de datos. En este sentido, el Tribunal Administrativo de Navarra, en su RESOLUCIÓN número 00743/15, 24 de marzo de 2015 señala lo siguiente en el Fundamento de Derecho segundo: <<SEGUNDO.- Imputabilidad de los menores por infracciones administrativas. Los recurrentes invocan la doctrina contenida en la Resolución número 949, de 31 de marzo de 2014, de este Tribunal. No obstante, como alega el Ayuntamiento, la misma se refería a un menor de 14 años. En dicha resolución se hacían las siguientes consideraciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 «En efecto, el Derecho penal vigente fija una edad por debajo de la cual la persona es inimputable (14 años), y establece un tramo de edad desde los 14 y menores de 18 años, respectivamente, a los que no debe aplicarse el Código Penal de los adultos, sino uno específico promulgado para ellos, con un fin claramente educativo, y un tercer tramo o escalón desde los 18 años cumplidos y menores de 21, considerados totalmente imputables, a todos los efectos, pero que según la gravedad de los hechos cometidos, y dada su juventud, su madurez recién adquirida, falta de experiencia vital, prolongación de la adolescencia, por razones de política criminal, en algunos supuestos deban ser considerados en el tramo anterior (desde los 14 a los 18 años) para aplicarles el mismo Código o ley penal. Y es que, como explica la Ley Orgánica 5/2000, de 12 de enero, de Responsabilidad Penal de los Menores, en su Exposición de Motivos, "4. El artículo 19 del vigente Código Penal, aprobado por la Ley Orgánica 10/1995, de 23 de noviembre, fija efectivamente la mayoría de edad penal en los dieciocho años y exige la regulación expresa de la responsabilidad penal de los menores de dicha edad en una Ley independiente. También para responder a esta exigencia se aprueba la presente Ley Orgánica, si bien lo dispuesto en este punto en el Código Penal debe ser complementado en un doble sentido. En primer lugar, asentando firmemente el principio de que la responsabilidad penal de los menores presenta frente a la de los adultos un carácter primordial de intervención educativa que trasciende a todos los aspectos de su regulación jurídica y que determina considerables diferencias entre el sentido y el procedimiento de las sanciones en uno y otro sector, sin perjuicio de las garantías comunes a todo justiciable. En segundo término, la edad límite de dieciocho años establecida por el Código Penal para referirse a la responsabilidad penal de los menores precisa de otro límite mínimo a partir del cual comience la posibilidad de exigir esa responsabilidad y que se ha concretado en los catorce años, con base en la convicción de que las infracciones cometidas por los niños menores de esta edad son en general irrelevantes y que, en los escasos supuestos en que aquéllas pueden producir alarma social, son suficientes para darles una respuesta igualmente adecuada en los ámbitos familiar y asistencial civil, sin necesidad de la intervención del aparato judicial sancionador del Estado". Y añade, más adelante, lo siguiente: "10. Conforme a los principios señalados, se establece, inequívocamente, el límite de los catorce años de edad para exigir este tipo de responsabilidad sancionadora a los menores de edad penal y se diferencian, en el ámbito de aplicación de la Ley y de la graduación de las consecuencias por los hechos cometidos, dos tramos, de catorce a dieciséis y de diecisiete a dieciocho años, por presentar uno y otro grupo diferencias características que requieren, desde un punto de vista científico y jurídico, un tratamiento diferenciado, constituyendo una agravación específica en el tramo de los mayores de dieciséis años la comisión de delitos que se caracterizan por la violencia, intimidación o peligro para las personas". Y, por ello, el artículo 1 de dicha Ley Orgánica, titulado "Declaración general", prescribe lo que sigue: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 "1. Esta Ley se aplicará para exigir la responsabilidad de las personas mayores de catorce años y menores de dieciocho por la comisión de hechos tipificados como delitos o faltas en el Código Penal o las leyes penales especiales. 2. Las personas a las que se aplique la presente Ley gozarán de todos los derechos reconocidos en la Constitución y en el ordenamiento jurídico, particularmente en la Ley Orgánica 1/1996, de 15 de enero, de Protección Jurídica del Menor, así como en la Convención sobre los Derechos del Niño de 20 de noviembre de 1989 y en todas aquellas normas sobre protección de menores contenidas en los Tratados válidamente celebrados por España". Pues bien, con base en lo expuesto, se considera que, trasladando los principios del derecho penal al derecho administrativo sancionador, no puede considerarse responsable de un ilícito administrativo a una persona de 13 años (un "niño", en palabras de la Exposición de Motivos de la referida Ley Orgánica)»… A diferencia de lo que sucede en el ámbito penal, no hay un derecho administrativo sancionador propio de los menores de edad. Aunque la doctrina viene reclamando un nuevo derecho administrativo sancionador para los menores de edad que adopte la dogmática jurídico penal en la medida de lo posible y que contemple sanciones adecuadas para los menores, sanciones más eficaces con un fin claramente educativo como ya se prevé en el ámbito penal, de momento las leyes y reglamentos que tipifican infracciones administrativas y establecen las correspondientes sanciones no suelen hacer distinción entre mayores y menores de edad. Con carácter general, pues, hemos de entender que los mayores de 14 años pueden ser imputados por tales infracciones, salvo norma que tácita o expresamente disponga lo contrario… Existen en nuestro ordenamiento jurídico algunas otras leyes que dan por supuesta la responsabilidad de los menores. Así, los artículos 24, 25 y 26 de la Ley Orgánica 3/2013, de 20 de junio, de protección de la salud del deportista y lucha contra el dopaje en la actividad deportiva, establecen las sanciones por infracciones muy graves pero añaden que "cuando en las referidas conductas esté involucrado un menor de edad, o en caso de reincidencia, la sanción pecuniaria únicamente podrá tener carácter accesorio y se sancionará con multa de 40.000 a 400.000 euros". El artículo 50.3 de la Ley 11/2007, de 26 de octubre, de Bibliotecas del País Vasco y el artículo 54.3 de la Ley 16/2003, de 22 de diciembre, del Sistema Andaluz de Bibliotecas y Centros de Documentación, atribuyen a los padres, tutores o personas que ejerzan la guarda del usuario menor de edad la responsabilidad subsidiaria de las sanciones pecuniarias que le sean impuestas. La Sentencia del Tribunal Superior de Justicia de Madrid de 3 de julio de 2001 (JUR 2001/307309) hace al respecto las siguientes consideraciones: "La primera alegación de fondo de la parte actora es que se trataba de un menor de 18 años, y mayor de 16, en el momento de cometer la infracción, por lo que existe una causa de inimputabilidad administrativa, y a este respecto cabe decir que el artículo 30 de la Ley 30/1992, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común determina que los menores de edad tienen capacidad de obrar ante dichas Administraciones Públicas para la defensa de sus intereses, por lo que también, por lo tanto, están capacitados para asumir la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 responsabilidad administrativa que se derive de sus actos; el hecho de que la mayoría de edad penal esté fijada en los 18 años, no priva que la responsabilidad administrativa, que no tiene carácter punitivo sino de tutela de los intereses públicos, tenga que ser asumida por aquellos que tienen capacidad de obrar también ante la Administración. La responsabilidad administrativa, sea a título de dolo o culpa, e incluso de simple negligencia, está reconocida ampliamente por nuestra jurisprudencia, e incluso expresamente en el artículo 130.1 de la citada Ley 30/ 1992, bastando la simple inobservancia". La Ordenanza municipal sobre protección de los espacios públicos y conductas cívicas de Zizur Mayor no contiene ninguna limitación al respecto. Su artículo 40, sobre personas responsables, dispone que "serán responsables directos de las infracciones a esta Ordenanza los autores materiales de las mismas", y añade en su apartado 3: "Con carácter general, serán responsables solidarios de los daños las personas físicas o jurídicas de carácter privado sobre las que recaiga el deber legal de prevenir las infracciones administrativas que otros puedan cometer. En el caso de que el responsable sea menor de edad o concurra en aquél alguna causa legal de inimputabilidad, responderán los padres, tutores o quienes tengan confiada la custodia legal". Por lo tanto, hemos de considerar que la responsabilidad por la comisión de las infracciones que tipifica la Ordenanza es exigible a partir de los 14 años y que, únicamente a efectos de responder sobre los daños cometidos por menores de 18 años, cabe exigir la responsabilidad solidaria de sus padres o tutores. En el caso presente, el acto impugnado es la imposición de una sanción administrativa y no se incluye la exigencia de responsabilidad por los daños que, en su caso, el Ayuntamiento podría exigir en expediente separado. Por lo tanto, resulta ajustado a derecho que se haya impuesto la sanción a su autor.>> Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a la reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
8. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados poC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 drán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es