← España

PS-00090-2023

1/6  Expediente N.º: EXP202213779 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 20/11/2022, tuvo entrada en esta Agencia un escrito presentado por A.A.A. (en adelante, la parte reclamante), mediante el que formula reclamación contra RACING BOUTIQUE, S.L. con NIF B87380093 (en adelante, RACING BOUTIQUE, S.L.), por un posible incumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal. Los motivos en que basa la reclamación son los siguientes: “El día 27 de octubre de 2022, me dispongo a entrar en el establecimiento (…), y mi sorpresa es que me encuentro una fotografía mía recogida por las cámaras de seguridad del establecimiento junto con las de tres personas más, impresas en papel colgadas junto a la puerta de entrada a la tienda. Anteriormente en los meses de agosto y julio a las que corresponden las imágenes, visité la tienda por primera y única vez como cualquier cliente normal, ese día al parecer según me dice el responsable del establecimiento, sustrajeron un artículo de la tienda, pido explicaciones al responsable de cuáles son las pruebas que tienen en las que yo salga por la puerta con algún artículo del establecimiento, y por qué exponen las imágenes las cuales son personales, respondiéndome, que ese día en el que sucedieron los hechos yo me encontraba dentro de la tienda y me consideran sospechoso, publicando las fotografías expuestas en la entrada a la tienda para que las puedan ver todo el público”. Junto a la reclamación se aporta reportaje fotográfico de la tienda física “RACING BOUTIQUE” y de las fotografías objeto de reclamación. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 30/12/2022 se dio traslado de dicha reclamación a RACING BOUTIQUE, S.L., para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 conforme a lo previsto en el artículo 43.2 de la LPACAP en fecha 10/01/2023, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo, se envió una copia por correo postal que resultó “Devuelto a origen por Dirección incorrecta” el 25/01/2023. Asimismo, se intentó practicar nuevamente la notificación por medios electrónicos, poniéndola a disposición de RACING BOUTIQUE, S.L. el 30/01/2023 y entendiéndose rechazada conforme a lo previsto en el artículo 43.2 de la LPACAP el 10/02/2023. No se ha recibido respuesta a los escritos de traslado. TERCERO: Con fecha 20/02/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 31/05/2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a RACING BOUTIQUE, S.L., con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.

  1. a)del RGPD. Además, se ordenó, como medida provisional, la retirada de las fotografías objeto de reclamación. Este acuerdo se intentó notificar conforme a las normas establecidas en la LPACAP mediante notificación postal, resultando “Devuelto a Origen por Desconocido” el 08/06/2023, según el acuse emitido por Correos. De este modo, la notificación se produjo mediante anuncio publicado en el Boletín Oficial del Estado el 16/06/2023. No formuló alegaciones al acuerdo de inicio. QUINTO: Con fecha 06/09/2023, el órgano instructor elaboró una propuesta de resolución en la que se proponía sancionar con una multa de 2.000€ a RACING BOUTIQUE, S.L., por la infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.a). También, se confirmaba la medida provisional de retirada de las fotografías objeto de reclamación impuesta en el acuerdo de inicio del presente procedimiento sancionador. La propuesta de resolución se notificó el 06/10/2023 por comparecencia ante el servicio de Dirección Electrónica Habilitada Única (en adelante, DEHÚ) de B.B.B., con NIF ***NIF.1, en representación de RACING BOUTIQUE, S.L. Con fecha 06/10/2023, B.B.B., presentó escrito de alegaciones ante esta Agencia, en representación de RACING BOUTIQUE S.L., en el que señalaba lo siguiente: “Muy señores míos, tras recibir notificación con número de expediente EXP202213779, les informo que mi empresa ni ha tenido ni tiene actividad alguna en el Centro Comercial que hacen referencia, ni es propiedad de la tienda que mencionan en dicho documento. Entiendo que habrá sido un error por parte del denunciante, por lo que solicito que dicho Expediente sea cancelado y dado por finalizado en su totalidad.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: En la reclamación de 20/11/2022 se pone de manifiesto la exposición de 4 fotografías en el interior de la tienda “RACING BOUTIQUE”, sita en el Centro Comercial (…); en las que, bajo el título “(…)”, se aprecian el rostro de cuatro varones, entre los que se encuentra la parte reclamante. Este extremo queda probado con el reportaje fotográfico aportado por la parte reclamante. SEGUNDO: Consta que B.B.B., con NIF ***NIF.1, en representación de RACING BOUTIQUE, S.L., ha manifestado que la citada entidad ni es propietaria de la tienda “RACING BOUTIQUE”, ubicada en mencionado Centro Comercial, ni desarrolla actividad alguna en el mismo. FUNDAMENTOS DE DERECHO I Competencia y procedimiento De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4 “Definiciones” del RGPD define los siguientes términos a efectos del Reglamento: "1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” En el presente caso, a tenor del artículo 4.1 del RGPD, la imagen física de una persona es un dato personal. De este modo, la exposición de fotografías en las que se aprecia el rostro de personas supone un tratamiento de datos personales, toda vez que las identifica y permite su identificación. III Licitud del tratamiento de los datos personales Los principios que han de regir el tratamiento se encuentran enumerados en el artículo 5 del RGPD. En este sentido, el apartado 1 letra a), señala que: “Los datos personales serán:
  2. a)Tratados de manera lícita, leal y transparente en relación con el interesado (licitud, lealtad y transparencia); (…)” El principio de licitud se regula, fundamentalmente, en el artículo 6 del RGPD. Los supuestos que permiten considerar lícito el tratamiento de los datos personales se enumeran en el artículo 6.1 del RGPD: 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  4. a)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  5. b)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  6. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6
  7. d)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  8. e)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” En este sentido, el Considerando 40 del RGPD señala que “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.” En el presente caso, consta que en el interior de la tienda “RACING BOUTIQUE”, ubicada en el Centro Comercial (…), se expusieron 4 fotografías bajo el título “(…)”. En el reportaje fotográfico aportado por la parte reclamante se observa que en las imágenes aparecen el rostro de 4 varones, entre los que se encontraría la parte reclamante. A partir de esa información, todas las actuaciones de esta Agencia se remitieron a la empresa RACING BOUTIQUE, S.L., creyendo que se trataba de la entidad responsable de la tienda física “RACING BOUTIQUE”, sita en el Centro Comercial (…). Sin embargo, el 06/10/2023 tuvo entrada en esta Agencia un escrito de B.B.B. que, en representación de RACING BOUTIQUE, S.L., señalaba que la citada entidad ni era propietaria de la tienda donde estaban expuestas las fotografías, ni tuvo actividad alguna en ese Centro Comercial. En consecuencia, examinada la documentación que obra en el expediente administrativo, no existen evidencias suficientes que permitan atribuir la responsabilidad a RACING BOUTIQUE, S.L.; en la medida en que no se ha podido constatar que, efectivamente, es la propietaria de la tienda “RACING BOUTIQUE” situada en el Centro Comercial (…). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el presente procedimiento sancionador contra RACING BOUTIQUE, S.L., con NIF B87380093. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 SEGUNDO: NOTIFICAR la presente resolución a RACING BOUTIQUE, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el artículo 90.3
  10. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.