1/9 Expediente N.º: EXP202306836 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 10 de abril de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra UBRIQUE D&A, S.L. con NIF B72308224 (en adelante, UBRIQUE D&A). Los motivos en que basa la reclamación son los siguientes: La parte reclamante pone de manifiesto que, en la página de Facebook de una tienda de UBRIQUE D&A se habría publicado una imagen extraída del sistema de videovigilancia, dando a entender que la persona que aparece, que es el hijo de la parte reclamante, de 12 años de edad habría robado en el citado comercio. Junto a la notificación se aportan: - pantallazos de la conversación de la parte reclamante con la persona responsable de la página de FACEBOOK, en las que se puede leer: “Hola buenas noches, no se que ha pasado pero no sé porque ha puesto una foto de mi hijo. Si me puede explicar que ha pasado y espero que borre esa publicación.” “Espero que sea un error porque sino vamos a denunciarle” “no debe poner una foto de un menor” “quien les dijo que robaran” “robaron mucho juntos” “ya que alguien lo encontró, borraré la foto”. - tres fotografías publicadas. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a UBRIQUE D&A, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 24 de mayo de 2023 como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 10 de julio de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 1 de febrero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a UBRIQUE D&A, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD, en el que se le indicaba que tenía un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó a UBRIQUE D&A conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 2 de febrero de 2024, como consta en el acuse de recibo que obra en el expediente. QUINTO: Con fecha 14 de febrero de 2024, se recibe en esta Agencia, en tiempo y forma, escrito de UBRIQUE D&A en el que aducía alegaciones al acuerdo de inicio. En estas alegaciones, en síntesis, manifestaba que: 1. El motivo de la comisión de la infracción imputada en el presente expediente sancionador fue por un error humano. También quiere destacar que se procedió al borrado de las fotos con las imágenes del menor a requerimiento de la parte reclamante, tal y como ya se recoge en el acuerdo de inicio de procedimiento de apercibimiento de fecha 1 de febrero de 2024. 2. UBRIQUE D&A quiere señalar que ha procedido a la designación de la figura de un DPD a efectos de contar con un mejor asesoramiento en materia de Protección de Datos para evitar que se puedan repetir estas situaciones. Adjunta el justificante de registro de solicitud de designación de DPD ante esta Agencia, de fecha 8 de febrero de 2024. 3. UBRIQUE D&A ha decidido que llevará a cabo auditorías periódicas de protección de datos acompañada de asesor especializado en la materia y que concluirá con la elaboración de los correspondientes informes de detección de posibles deficiencias y propuestas correctoras. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 HECHOS PROBADOS PRIMERO: Consta que en la página de FACEBOOK de la tienda UBRIQUE D&A se han publicado unas fotografías con imágenes de un menor de edad. SEGUNDO: Dichas fotografías con las imágenes habían sido extraídas del sistema de videovigilancia de la tienda. TERCERO: Las fotografías con las imágenes del menor de edad ya han sido borradas del perfil de FACEBOOK de UBRIQUE D&A. CUARTO: UBRIQUE D&A ha reconocido la publicación de las imágenes en el perfil de FACEBOOK, y ha manifestado que se produjo por error. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Y el artículo 64 de la LOPDGDD que regula la “Forma de iniciación del procedimiento y duración”, en su apartado tercero dispone que: “3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo.” II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 Cuestiones previas El RGPD define datos personales en su artículo 4.1 como: “Toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” El RGPD define tratamiento de datos en el artículo 4.2 del RGPD: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción” En el presente caso, a tenor del artículo 4.1 del RGPD, la imagen física de una persona es un dato personal. De este modo, su inclusión en páginas webs, foros, publicaciones, que identifican o hacen identificable a una persona, supone un tratamiento de datos personales. Asimismo, UBRIQUE D&A es responsable del tratamiento, de conformidad con lo dispuesto en el artículo 4.7 del RGPD, que señala: “responsable del tratamiento o responsable: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;” III En relación con las alegaciones aducidas al acuerdo de inicio del presente procedimiento de apercibimiento, UBRIQUE D&A únicamente ha reconocido los hechos, y ha procedido a manifestar que la publicación de las imágenes se produjo por un error. Además, ha puesto de manifiesto la adopción de una serie de medidas en materia de protección de datos, como son: - designar a un delegado de protección de datos para contar con un mejor asesoramiento. - la realización de auditorías periódicas de protección de datos por un asesor especializado en la materia, con la elaboración de informes de detección de deficiencias y propuestas correctoras. IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 Licitud del tratamiento de los datos personales Los principios que han de regir el tratamiento se encuentran enumerados en el artículo 5 del RGPD. En este sentido, el apartado 1 letra a), señala que: “Los datos personales serán:
- a)Tratados de manera lícita, leal y transparente en relación con el interesado (licitud, lealtad y transparencia); (…)” El principio de licitud se regula, fundamentalmente, en el artículo 6 del RGPD. Los supuestos que permiten considerar lícito el tratamiento de los datos personales se enumeran en el artículo 6.1 del RGPD: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2.Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
- c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 3.La base del tratamiento indicado en el apartado 1, letras
- c)y e), deberá ser establecida por:
- a)el Derecho de la Unión, o
- b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.(…)” En este sentido, el Considerando 40 del RGPD señala que “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.” En el caso que nos ocupa, se considera que UBRIQUE D&A ha tratado los datos de terceras personas, en concreto de menores, al haber subido a la red social FACEBOOK imágenes obtenidas a través de las cámaras de video vigilancia del establecimiento, sin el consentimiento de los padres del menor, y sin que concurra alguna de las causas de licitud del tratamiento que exige el artículo 6.1 del RGPD. Por tanto, de conformidad con las evidencias de las que se dispone en el presente momento de resolución del procedimiento de apercibimiento, se considera que los hechos conocidos son constitutivos de una infracción, imputable a UBRIQUE D&A, por vulneración del artículo transcrito anteriormente. V Tipificación y calificación de la infracción del artículo 6.1 del RGPD Los hechos conocidos son constitutivos de una infracción imputable a UBRIQUE D&A, tipificada en el artículo 83.5 del RGPD bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, que dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…)” V Apercibimiento por la infracción del artículo 6.1 del RGPD Sin perjuicio de lo dispuesto en el apartado artículo 83 del RGPD, el citado Reglamento dispone en el apartado 2.
- b)del artículo 58 “Poderes” lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…)” El artículo 64 de la LOPDGDD que regula la “Forma de iniciación del procedimiento y duración”, en su apartado tercero dispone que: “3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo.” En el presente caso, una vez analizada toda la documentación que obra en el expediente, se considera conforme a derecho dirigir un apercibimiento a UBRIQUE D&A por la infracción del artículo 6.1 del RGPD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a UBRIQUE D&A, S.L., con NIF B72308224, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a UBRIQUE D&A, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1403-16012024 Mar España Martí C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es