1/10 Expediente N.º: EXP202104917 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 24 de septiembre de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra SOPHIE ET VOILA, S.L. con NIF B95827952 (en adelante, la parte reclamada). El motivo en que basa la reclamación es que la parte reclamada ha publicado en Instagram una foto en la que figura la parte reclamante vestida con su traje de boda. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 29 de noviembre de 2021, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El 14 de enero de 2022, en respuesta al citado requerimiento, la parte reclamada indica que en ningún momento se identifica a los reclamantes, ya que, las fotografías solo mostraban las figuras de dos personas, hombre y mujer, con la cara totalmente tapada por un círculo negro que no hacía identificable a las mismas. Dicha entidad considera que para que exista una infracción de los derechos conferidos en el RGPD, deberá existir un tratamiento de los datos personales de los reclamantes, y la publicación de una fotografía, que ha sido deliberadamente modificada para no hacer reconocible a los integrantes de la misma, no puede considerarse un tratamiento ilícito, al revés, podría ser prueba de las medidas de seguridad adoptadas, en este caso, la anonimización de los datos y garantizar la confidencialidad de los mismos. Apoya sus manifestaciones alegando que el artículo 4 del citado RGPD bajo la rúbrica “Definiciones” entiende por dato personal “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/10 Se afirma que las imágenes anonimizadas de los reclamantes no pueden considerarse datos personales y, por tanto, su publicación no puede ser considerada un tratamiento sometido al RGPD. Asimismo considera que en el sorprendente caso de que se entendiera que las imágenes que aparecen en la fotografía son datos personales, serían de aplicación los términos y condiciones de la red social (Instagram) que contemplan la posibilidad de que un usuario pueda publicar fotos en los que aparecen terceros, ofreciendo una vía para reportar tales usos en caso de no estar de acuerdo con ellos, vía que los reclamantes no ejercitaron. Concluye señalando que las imágenes se publicaron durante menos de una hora, por lo que de nuevo en el caso de que se estimara la existencia de un tratamiento de datos personales contrario al RGPD, la infracción carecería de entidad suficiente y que, en cualquier caso, si se tuvieran en cuenta los argumentos de la reclamante, quizás convendría entrar a valorar el artículo 76.2.
- d)de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de derechos digitales. TERCERO: Con fecha 24 de diciembre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 1 de abril de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5 del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifiesta que la denunciante publicó su fotografía el día 29 de agosto y etiquetó a Sophie et Voilá. La entidad reclamada considera que el etiquetado por la reclamante a la entidad reclamada en Instagram, sin duda resulta una acción clara en la que la propia denunciante tiene interés en hacer público que nuestra representada es la responsable de la confección de su vestido. Como se puede apreciar en los hechos, Sophie et Voilá repostea la publicación de la denunciante el 29 de Agosto, sin que la denunciante haya mostrado ningún tipo de molestia, es más el 25 de septiembre nuevamente publica otra fotografía y también etiqueta a Sophie et Voilá, lo que demuestra su completa conformidad con el trabajo de mi representada y por supuesto con el reposteo de las mismas. Esta acción, es una acción afirmativa libre y en positivo por parte de la parte reclamante al etiquetar a mi representada que debe ser 11 considerado como un consentimiento en la publicación de las imágenes por parte de mi representada. SEXTO: Con fecha 25 de mayo de 2022, el instructor del procedimiento da por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados y se dan por reproducidos a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/10 efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por SOPHIE ET VOILA, S.L., y la documentación que a ellas acompaña. SEPTIMO: Con fecha 31 de mayo de 2022 se formuló propuesta de resolución, proponiendo que la Directora de la Agencia Española de Protección de Datos sancione a SOPHIE ET VOILA, S.L., con NIF B95827952, por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de 10.000€ (diez mil euros). De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Se ha publicado en Instagram una foto en la que figura la parte reclamante vestida con su traje de boda, por parte de la entidad que le confeccionó el vestido, para lograr que se procediese a su abono. Las imágenes publicadas por la parte reclamada si eran identificables, y el objetivo de su publicación era cobrar las ventas de los trajes de boda adquiridos. SEGUNDO: La entidad reclamada alega que dichas fotos fueron colgadas por la reclamante con carácter previo y que cuando la parte reclamada colgó a su vez tales imágenes pixeló su rostro. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II El artículo 4.11 del RGPD define el consentimiento del interesado como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/10 interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. En este sentido, el artículo 6.1 de la LOPDGDD, establece que “de conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. Por su parte el artículo 6 del RGPD, establece lo siguiente: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” III En el presente caso, la parte reclamante denuncia a la parte reclamada porque ha publicado en Instagram una foto en la que figuran los reclamantes vestidos con sus trajes de boda Según la parte reclamada, en la foto la parte reclamante tiene la cara totalmente tapada por un círculo negro. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/10 La reclamada manifiesta que publica sus diseños desde 2014 en Instagram y que la base que legitima el tratamiento es el interés legítimo. Además, afirma que la foto se publicó por un espacio de una hora y se retiró cuando la novia pagó finalmente su vestido de boda. La entidad reclamada manifiesta que el considerando 26 del RGPD establece lo siguiente: “Los principios de la protección de datos deben aplicarse a toda la información relativa a una persona física identificada o identificable. Los datos personales seudonimizados, que cabría atribuir a una persona física mediante la utilización de información adicional, deben considerarse información sobre una persona física identificable. Para determinar si una persona física es identificable, deben tenerse en cuenta todos los medios, como la singularización, que razonablemente pueda utilizar el responsable del tratamiento o cualquier otra persona para identificar directa o indirectamente a la persona física. Para determinar si existe una probabilidad razonable de que se utilicen medios para identificar a una persona física, deben tenerse en cuenta todos los factores objetivos, como los costes y el tiempo necesarios para la identificación, teniendo en cuenta tanto la tecnología disponible en el momento del tratamiento como los avances tecnológicos. Por lo tanto, los principios de protección de datos no deben aplicarse a la información anónima, es decir información que no guarda relación con una persona física identificada o identificable, ni a los datos convertidos en anónimos de forma que el interesado no sea identificable, o deje de serlo. En consecuencia, el presente Reglamento no afecta al tratamiento de dicha información anónima, inclusive con fines estadísticos o de investigación. “ Pues bien, aplicando dicha definición y el citado considerando, no podemos entender que las fotografías en las que se cubre el rostro de los que aparecen cumpla con ninguno de estos requisitos, ya que la vestimenta nupcial de ambos reclamantes no les hace identificables en ningún caso. Ha de tenerse en cuenta que la denunciante publicó en Instagram su fotografía el día 29 de agosto de 2020 y etiquetó a la entidad reclamada. El etiquetado de mi representada sin duda resulta una acción clara en la que la propia denunciante tiene interés en hacer público que nuestra representada es la responsable de la confección de su vestido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/10 Como se puede apreciar en los hechos, la entidad reclamada repostea la publicación de la denunciante el 29 de Agosto de 2020, sin que la denunciante haya mostrado ningún tipo de molestia, es más el 25 de septiembre de 2020 nuevamente publica otra fotografía y también etiqueta a la entidad reclamada, lo que demuestra su completa conformidad con el trabajo de mi representada y por supuesto con el reposteo de las mismas. Esta acción, que comentaremos más adelante, es una acción afirmativa libre y en positivo por parte del a reclamante al etiquetar a mi representada que debe ser considerado como un consentimiento en la publicación de las imágenes por parte de mi representada. En relación con la acción de anonimización de las imágenes o su pixelado, debemos tener en cuenta que en repetidas ocasiones la propia Agencia Española de Protección de Datos recomienda este tipo de técnicas para la publicación de las imágenes en los medios. Por ejemplo, recientemente la AEPD, coincidiendo con la situación de confinamiento, recordaba los riesgos de la difusión de las imágenes de personas en redes sociales y recomendaba que se utilicen parámetros digitales que impidan discernir rasgos faciales. La reclamada manifiesta que publica sus diseños desde 2014 en Instagram y que la base que legitima el tratamiento es el interés legítimo. Además, afirma que la foto se publicó por un espacio de una hora y se retiró cuando la novia pagó finalmente su vestido de boda. Esta Agencia considera que las imágenes publicadas por la parte reclamada si eran identificables y por eso fueron publicadas en Instagram por la reclamada con la finalidad de cobrar por las ventas efectuadas, En este sentido, ha de indicarse que la falta de pago no legitima a la parte reclamada a utilizar las imágenes de los reclamantes, si no cuenta con su consentimiento expreso, por lo tanto se ha incurrido en un tratamiento ilícito de datos personales. Además, no pueden ser objeto de tratamiento los datos personales obtenidos de una red social o de internet, sin que concurra alguna de las bases de legitimación previstas en el art. 6 del RGPD. Por lo tanto, se considera que estamos ante un tratamiento ilícito de datos personales, ya que en este caso la parte reclamada ni siquiera intentó obtener el consentimiento de los reclamantes para el uso de su imagen, dado que consideró que tenía interés legítimo para su tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/10 Su incumplimiento supone la infracción del artículo 6 del RGPD indicado en el fundamento de derecho II, ya que los datos personales han sido tratados sin contar con ningún tipo de legitimación. IV El artículo 72.1
- b)de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679, se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y en particular, las siguientes:
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.” V A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/10 particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
- k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer a SOPHIE ET VOILA, S.L. con NIF B95827952, como responsable de una infracción tipificada en el artículo 83.5.
- a)del RGPD, se estiman concurrentes en el presente caso, en calidad de agravantes, los siguientes factores: -ha habido intencionalidad, ya que indican que quitaron las imágenes al abonar el traje de novia, de conformidad con el artículo 83.2 b del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/10 Esta infracción puede ser sancionada con multa de 20 000 000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD. Con arreglo a dichos criterios, se estima adecuado imponer a la entidad reclamada una sanción de 10.000 euros (diez mil euros), por la infracción del artículo 6 del RGPD, respecto al tratamiento de datos personales, sin el consentimiento del afectado. A tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a SOPHIE ET VOILA, S.L., con NIF B95827952, por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 10.000 euros (diez mil euros). SEGUNDO: NOTIFICAR la presente resolución a SOPHIE ET VOILA, S.L. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/10 Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-050522 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es