PS-00126-2024

1/16  Expediente N.º: EXP202403841 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 27/07/2023, tuvo entrada en esta Agencia reclamación presentada por A.A.A. y B.B.B., (…), C.C.C. (en adelante, la parte reclamante), contra D.D.D. con NIF ***NIF.1 (en adelante, la parte reclamada), por un posible incumplimiento de la normativa de protección de datos de carácter personal. Los motivos en que basa la reclamación son los siguientes: La publicación en el canal de Telegram D.D.D., con fecha ***FECHA.1, de dos imágenes en las que aparece la parte reclamante, menor de edad (17 años) que no consintió el citado tratamiento. En las imágenes, la parte reclamante aparece (…). Sin embargo, en el comentario que acompaña a las imágenes se la identifica como 'amiga' del que es su padre. Junto con la reclamación se aportan diversas capturas de pantalla de la publicación objeto de reclamación, así como de los mensajes que se sucedieron al respecto por parte de usuarios que lo visualizaron. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 26/09/2023 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), se notificó mediante correo postal en la dirección ***DIRECCIÓN.1, resultando “Devuelto a Origen por Desconocido” el 06/10/2023. Posteriormente se realizó un nuevo intento el 09/10/2023 y su resultado fue “Devuelto a Origen por Dirección incorrecta” en fecha 08/11/2023. TERCERO: Con fecha 30/10/2023, de conformidad con el artículo 65.5 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. Con fecha 28/11/2023 se realizó un requerimiento de información a la parte reclamada, por vía postal al domicilio proporcionado por la Agencia Tributaria tras diligencia efectuada por esta Agencia Española de Protección de Datos (***DIRECCIÓN.2). El resultado de esta comunicación fue “Devuelto a Origen por sobrante” en fecha 08/01/2024. Con fecha 11/01/2024 se realiza un nuevo requerimiento de información por vía postal a la parte reclamada al domicilio que figura en el padrón municipal, resultado “Devuelto a Origen por Dirección incorrecta” en fecha 23/01/2024. Con fecha 29/01/2024 se reitera el requerimiento postal de información al domicilio proporcionado por la Agencia Tributaria con resultado “Devuelto a Origen por Sobrante (no retirado en oficina)” en fecha 15/02/2024. QUINTO: Consta en el expediente diversas referencias de prensa que se hacen eco de la actividad en redes sociales de la parte reclamada y que la identifica con el pseudónimo de D.D.D., titular del canal de Telegram en el que fue publicada la imagen objeto de reclamación. SEXTO: Figura en el expediente diligencia de fecha 03/05/2024 en la que se hace constar el resultado de la consulta realizada en el canal de Telegram de la parte reclamada (***URL.1) en el que figura la imagen objeto de reclamación. Además, el número de seguidores a esa fecha en el citado canal de Telegram es de (…). SÉPTIMO: Con fecha 06/05/2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 5.1.

1. c)del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificada en el artículo 83.5 del RGPD. Asimismo, el citado acuerdo de inicio ordenaba a la parte reclamada la adopción de la medida provisional consistente en la suspensión temporal del tratamiento de datos de carácter personal objeto de reclamación a través de la retirada del contenido publicado en el canal de Telegram de la parte reclamada (D.D.D.). Esta medida provisional debía adoptarse en el plazo máximo de diez días naturales desde la notificación del acuerdo de inicio del procedimiento sancionador. Dicho acuerdo de inicio, conforme a las normas establecidas en la LPACAP, se intentó notificar mediante correo postal en la dirección ***DIRECCIÓN.2 resultando el primer intento “Ausente” el 28/05/2024 y, el segundo, “Devuelto a origen por Desconocido” en fecha 31/05/2024. Finalmente, y de acuerdo con lo previsto en el artículo 44 de la LPACAP, se notificó mediante anuncio publicado en el BOE del 06/06/2024. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 OCTAVO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por parte de la parte reclamada. NOVENO: Transcurrido también el plazo para la adopción de la medida provisional acordada en fecha 26/06/2024, esta Agencia accedió al canal de Telegram de la parte reclamada (D.D.D.) y comprobó que la publicación objeto de reclamación continuaba accesible. Asimismo, el número de seguidores de su canal de Telegram (D.D.D.) había incrementado hasta los (…). DÉCIMO: Con fecha 08/07/2024, la instructora del procedimiento dictó propuesta de resolución en la que proponía imponer una multa de 5.000€ a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la infracción del artículo 5.1.
2. c)del RGPD, tipificada en el artículo 83.5.
3. a)del RGPD. Asimismo, en la citada propuesta de resolución se proponía elevar a definitiva la medida provisional consistente en la suspensión del tratamiento de datos de carácter personal objeto de reclamación a través de la retirada del contenido publicado en el canal de Telegram de la parte reclamada (D.D.D.). Dicha propuesta de resolución, conforme a las normas establecidas en la LPACAP, se intentó notificar mediante correo postal en la dirección ***DIRECCIÓN.3 el 26/07/2024, resultando “Devuelto a Origen por Desconocido”; y en la dirección ***DIRECCIÓN.2, resultando “Devuelto a Origen por Desconocido” el 13/08/2024. Finalmente, y de acuerdo con lo dispuesto en el artículo 44 de la LPACAP, se ha publicado en el BOE del 26/08/2024. UNDÉCIMO: Notificada la citada propuesta de resolución, conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada (D.D.D.). DUODÉCIMO: En fecha 11/09/2024, esta Agencia accedió al canal de Telegram de la parte reclamada (D.D.D.) y comprobó que la publicación objeto de reclamación continuaba accesible. Asimismo, el número de seguidores de su canal de Telegram (D.D.D.) había incrementado hasta los (…). De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 PRIMERO: La parte reclamada es titular de un canal de Telegram denominado D.D.D.. El ***FECHA.1 la parte reclamada publicó en dicho canal de Telegram el siguiente mensaje: “(…).” Junto con la noticia que identifica al padre de la parte reclamante, figuran dos fotografías con la imagen de ambos con una marca de agua (…). En las imágenes aparece el varón con un pantalón verde y una camisa azul y la mujer con una camiseta clara y un pantalón vaquero. En una de espaldas y, en otra, de frente. SEGUNDO: A fecha 03/05/2024, la publicación objeto de reclamación continuaba accesible en el canal de Telegram de la parte reclamada (D.D.D.) Asimismo, el número de seguidores a esa fecha en el citado canal de Telegram es de (…). TERCERO: Mediante acuerdo de inicio de procedimiento sancionador de fecha 06/05/2024 se ordena a la parte reclamada la adopción de la medida provisional consistente en la retirada del contenido publicado en su canal de Telegram objeto de reclamación. Esta medida provisional debía adoptarse en el plazo máximo de diez días naturales desde la notificación del acuerdo de inicio del procedimiento sancionador. CUARTO: A fecha 26/06/2024, transcurrido el plazo concedido para el cumplimiento de la indicada medida provisional, la publicación objeto de reclamación continuaba accesible en el canal de Telegram de la parte reclamada (D.D.D.). QUINTO: A fecha 26/06/2024, el número de seguidores del canal de Telegram de la parte reclamada (D.D.D.) era de (…). SEXTO: Tras la propuesta de resolución de fecha 08/07/2024, a fecha 11/09/2024, la publicación objeto de reclamación continuaba accesible en el canal de Telegram de la parte reclamada (D.D.D.). Asimismo, el número de seguidores de su canal de Telegram (D.D.D.) era de (…). FUNDAMENTOS DE DERECHO I Competencia y procedimiento De acuerdo con los poderes que el artículo 58.2 RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1 del RGPD define dato personal como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona” Por su parte, el apartado 2 del mismo precepto define el tratamiento de datos como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” Finalmente, el apartado 7 define al responsable del tratamiento o responsable como “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la parte reclamada ha difundido en su canal de Telegram (D.D.D.) la imagen de la parte reclamante. Asimismo, ha de señalarse que la parte reclamada realiza esta actividad en su condición de responsable de tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD por ser el canal de Telegram de su titularidad donde se ha producido el tratamiento de datos personales objeto de la presente reclamación. III Derecho a la protección de datos El presente procedimiento se inicia a través de la reclamación presentada por la parte reclamante debido a que la parte reclamada publicó en su canal de Telegram (D.D.D.) su imagen, tomada en un espacio público, e incluida en un chat en el que se vertieron diferentes descalificativos y asociaron su persona como amiga o acompañante de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 quien, en realidad, es su padre. Cabe destacar que, en el momento de los hechos, la parte reclamante era menor de edad y que las imágenes fueron tomadas sin su consentimiento. En primer lugar, cabe recordar que las personas tienen el poder de disposición sobre sus datos personales y su difusión, resultando, sin lugar a dudas, merecedora de protección la persona cuyos datos personales se difundan vulnerando el ordenamiento jurídico. Así, la STC 292/2000, de 30 de noviembre dispone que “el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos”. En este sentido, y con independencia de cuál sea la base jurídica legitimadora del tratamiento, todo responsable del tratamiento ha de respetar los principios del tratamiento recogidos en el artículo 5 del RGPD. Los principios relativos al tratamiento son, por un lado, el punto de partida y la cláusula de cierre del ordenamiento jurídico de protección de datos, constituyendo verdaderas reglas informadoras del sistema con una intensa fuerza expansiva. Por otro lado, al tener un alto nivel de concreción, son normas de obligado cumplimiento susceptibles de ser infringidas. Más en concreto, cabe destacar el principio recogido en el artículo 5.1.
4. c)del RGPD que establece que: “1. Los datos personales serán: (…)
5. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);” IV Equilibrio entre el derecho a la protección de datos de carácter personal y otros derechos y libertades fundamentales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 No obstante, el derecho fundamental a la protección de datos personales no es absoluto, puesto que, llegado el caso, puede ceder ante la prevalencia de otros derechos y libertades también constitucionalmente reconocidos y protegidos, como, por ejemplo, el derecho fundamental a la libertad de información o de expresión, ponderándose ello caso a caso. En este sentido, el Grupo del Trabajo del Artículo 29 en su Dictamen 06/2014 sobre el concepto de interés legítimo del responsable del tratamiento de los datos en virtud del artículo 7 de la Directiva 95/46/CE, al examinar la base jurídica del interés legítimo del artículo 7.1.
6. f)de la Directiva 95/46/CE, trasladable plenamente al actual art. 6.1.
7. f)del RGPD, incluye el derecho a la libertad de expresión o de información como uno de los supuestos en los que puede surgir la cuestión del interés legítimo aseverando que “sin perjuicio de si los intereses del responsable del tratamiento prevalecerán en último término sobre los intereses y los derechos de los interesados cuando se realice la prueba de sopesamiento”. Dicho lo anterior, los derechos fundamentales a la libertad de información o de expresión tampoco son absolutos. Podemos observar límites clarísimos establecidos por los tribunales en el ámbito civil, en relación con el derecho al honor, a la intimidad personal y familiar y a la propia imagen. Así, citaremos, la STS 50/2017, Sala Primera de lo Civil, de 27 de enero de 2017 (recurso 2139/2015) que indica: “En este sentido, es jurisprudencia reiterada (véase entre las más recientes, y a modo de síntesis doctrinal, la sentencia 605/2015, de 3 de noviembre ) que la prevalencia en abstracto de las libertades de expresión e información «solo puede revertirse en el caso concreto atendiendo al peso relativo del honor y de la intimidad según las concretas circunstancias concurrentes, siempre que las informaciones y opiniones que se divulguen se refieran a asuntos de interés general o relevancia pública (por las personas o por la materia), que se prescinda en su comunicación del uso o empleo innecesario de expresiones inequívocamente ofensivas o vejatorias y, en el caso de la libertad de información, siempre que sean veraces, precisándose en todo caso que en el ámbito de protección del derecho a la intimidad el criterio para determinar la legitimidad o ilegitimidad de las intromisiones no es el de la veracidad sino el de la relevancia pública del hecho divulgado, es decir, que su comunicación a la opinión pública, aun siendo verdadera, resulte necesaria en función de interés público del asunto sobre el que se informa” (el subrayado es nuestro). No se trata de dotar de prevalencia a un derecho fundamental sobre otro sino de encontrar un equilibrio entre ambos que permita la conciliación de ambos derechos; una conciliación a la que se refiere el propio legislador europeo en el artículo 85 del RGPD. Y uno de los elementos a tener en consideración es, precisamente, si la intromisión- en el caso que nos ocupa, el tratamiento de datos de carácter personal de una menor de edad- es o no necesaria para alcanzar la finalidad perseguida; en este caso concreto, con la publicación de la información. En este punto, ha de traerse a colación la jurisprudencia que analiza la relación entre la libertad de información y de expresión, por un lado, y el derecho de los afectados por contenidos de carácter informativo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 Así, el Tribunal Europeo de Derecho Humanos (TEDH), en su sentencia de 19 de junio 2012, dictada en el recurso 1593/2006, señala lo siguiente: “Aunque la prensa no debe sobrepasar ciertos límites, en particular en lo que se refiere a la reputación y los derechos de los demás o a la buena administración de la justicia, su deber es, no obstante, impartir, de manera coherente con sus obligaciones y responsabilidades, información e ideas sobre todos los asuntos de interés público (apartado 48) (…), la publicación de fotografías y artículos cuyo único propósito es satisfacer la curiosidad de un lector particular con respecto a los detalles de la vida privada de una figura pública no puede considerarse que contribuya a cualquier debate de interés general para la sociedad a pesar de que la persona sea conocida por el público. En tales condiciones, la libertad de expresión exige una interpretación más estricta (…). (apartado 50). (…) Al verificar si las autoridades han logrado un equilibrio justo entre dos valores protegidos garantizados por el Convenio que pueden entrar en conflicto entre sí en este tipo de casos -la libertad de expresión protegida por el artículo 10 y el derecho al respeto de la vida privada consagrado en el artículo 8-, el Tribunal de Justicia debe equilibrar el interés público en la publicación de la información y la necesidad de proteger la vida privada (véase Hachette Filipacchi Associés c. Francia, n.º 71111/01, § 43, CEDH 2007-VII).(Apartado 51). (El subrayado es nuestro) Por otro lado, y al ser de interés en el caso que nos ocupa, ha de mencionarse la sentencia 27/2020, de 24 de febrero, dictada por el Tribunal Constitucional en su recurso 1379/2017, en la que analiza los límites que han de imponerse en el uso de la imagen de una persona como recurso informativo. Así, tras señalar que hemos de volver a insistir en que el aspecto físico, en tanto que instrumento básico de identificación y proyección exterior y factor imprescindible para el propio reconocimiento como persona, constituye el primer elemento configurador de la esfera personal de todo individuo (SSTC 156/2001, FJ 6 y 99/1994, FJ 5) , concluye que la regla primera para lograr la protección de este derecho fundamental consiste en que para poder captar, reproducir y/o publicar la imagen de una persona es indispensable su consentimiento inequívoco, siendo excepcionales los supuestos en los que no se requiere dicha autorización (…)”.(el subrayado es nuestro) Y, a continuación, razona lo siguiente: "cuando el derecho a la propia imagen entre en colisión con otros bienes o derechos constitucionalmente protegidos, particularmente las libertades de expresión e información (art. 20.1.a y d CE) deberán ponderarse los diferentes intereses enfrentados y, atendiendo a las circunstancias concretas de cada caso, decidir qué interés merece mayor protección" (SSTC 105/1990, de 6 de junio; 72/2007, FJ 5 y 156/2001, FJ 6).(…) Como es fácilmente deducible, esto ocurre no solo en su confrontación con los derechos al honor y a la intimidad, sino también con el derecho fundamental a la propia imagen, por ejemplo, en aquellos casos en los que en la información se difundan fotografías o videoclips que solo puedan entenderse como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 meros instrumentos de satisfacción de la curiosidad ajena y hayan sido incluidos no con una función informativa, sino con la finalidad de saciar la expectación que, en aquellos términos, puede levantar una determinada noticia”.(el subrayado es nuestro) (…) la imagen de un particular anónimo o desconocido, o lo que es lo mismo, que no ejerce cargo público o una profesión de notoriedad, por más que sea captada en un lugar público, no puede utilizarse sin su expreso consentimiento, salvo en dos supuestos. En primer lugar, aquel en el que la persona aparezca en la fotografía de manera meramente accesoria e intrascendente, sin protagonismo alguno. En segundo término, en el caso de que la participación en el acontecimiento noticiable de la persona inicialmente anónima fuera principal o protagonista, en cuyo caso su derecho fundamental a la imagen deberá ceder frente al derecho a la información, precisamente debido al papel no accesorio que ha asumido el propio sujeto. (…) Aunque los riesgos de intromisión hayan aumentado exponencialmente con el uso masivo de las redes sociales, para ahuyentarlos debemos seguir partiendo del mismo principio básico que rige el entorno analógico y afirmar que el reconocimiento constitucional de los derechos fundamentales comprendidos en el art. 18 CE conlleva la potestad de la persona de controlar los datos que circulan en la red social y que le conciernen. Por consiguiente, reiteramos que, salvo que concurra una autorización inequívoca para la captación, reproducción o publicación de la imagen por parte de su titular, la injerencia en el derecho fundamental a la propia imagen debe necesariamente estar justificada por el interés público preponderante en tener acceso a ella y en divulgarla. (…) El consentimiento solo ampara aquello que constituye el objeto de la declaración de voluntad. El titular del derecho fundamental debe autorizar el concreto acto de utilización de su imagen y los fines para los que la otorga. El consentimiento prestado, por ejemplo, para la captación de la imagen no se extiende a otros actos posteriores, como por ejemplo su publicación o difusión. Teniendo en cuenta lo anterior, y quedando constatado que se ha producido un tratamiento de datos personales que supone una intromisión en el derecho fundamental de la parte reclamante a la protección de sus datos personales, ha de recordarse que la afectada por dicha vulneración era menor de edad en el momento de los hechos. En este sentido, ha de señalarse algunos de los numerosos pronunciamientos judiciales en los que se destaca la protección reforzada que cabe dispensar a los menores de edad frente a intromisiones ilegítimas en sus derechos fundamentales. Así, según indica el Tribunal Supremo, Sala Primera, de lo Civil, en su Sentencia 1003/2008 de 23 Oct. 2008, (Rec. 174/2005, Fundamento de Derecho segundo) La Constitución, en su artículo 18 , reconoce con carácter general el derecho al honor, a la intimidad personal y familiar y a la propia imagen y en el artículo 20.1 .
8. d)el derecho a comunicar o recibir libremente información veraz por cualquier medio de difusión, especificando que esta libertad encuentra su límite en el respeto a los derechos reconocidos en este título y «especialmente en el derecho al honor, a la intimidad, a la propia imagen y a la protección de la juventud y de la infancia». En consonancia con lo anterior, la especial protección que debe darse a datos relativos a menores ha tenido su acogida normativa en la Ley Orgánica 1/96, de 15 de enero de Protección Jurídica de Menor . C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 En la interpretación de estos derechos fundamentales, el Tribunal Constitucional ha venido señalando que para que el derecho a la intimidad pueda oponerse legítimamente como un límite al derecho a la libertad de recibir o transmitir información es preciso que las noticias difundidas carezcan de interés público o que, aun siendo de interés público, carezcan de veracidad, ya que en una sociedad democrática que proclama como uno de los principios que inspiran su convivencia el respeto a la dignidad de la persona, no debe tolerarse la divulgación de hechos que pertenecen a la intimidad de ciudadanos particulares ni tampoco se debe tolerar que las noticias que se difundan sean inveraces, no en el sentido de que las mismas coincidan exactamente con las acontecidas, sino en el sentido de que se haya desplegado por quien las publica la diligencia necesaria para cerciorarse de que lo que se divulga no es un simple rumor -Sentencias del Tribunal Constitucional 54/2004, de 15 de abril y 61/2004, de 19 de abril -. Sin embargo, en los supuestos en los que están implicados menores de edad, la doctrina constitucional ha otorgado un ámbito de superprotección que obliga a ser sumamente cautelosos en cuanto a la información que de los mismos se suministra, aunque ésta tenga interés público. Y, así, el Tribunal Constitucional ha señalado que el legítimo interés de un menor de que no se divulguen datos relativos a su vida familiar o personal "parece imponer un límite infranqueable tanto a la libertad de expresión como al derecho fundamental a comunicar libremente información veraz, sin que la supuesta veracidad de lo revelado exonere al medio de comunicación de responsabilidad por la intromisión en la vida privada de ambos menores", incluso, aunque la noticia merezca el calificativo de información neutral -Sentencia del Tribunal Constitucional de 15 de Julio de 1999 -.(el subrayado es nuestro) En esa misma línea, cabe señalar el pronunciamiento del Tribunal Supremo en su Sentencia 777/2021 de 11 Nov. 2021, (Sala Primera, de lo Civil, Rec. 6775/2020) La notoriedad de los padres no permite sin más transferir a sus hijos menores el factor modulador de la notoriedad pública en la tutela de los derechos a la intimidad y propia imagen ( sentencias de esta sala 792/2004, de 12 de julio, 123/2009, de 25 de febrero, y 456/2009, de 17 de junio; STC 134/1999, de 15 de julio). El ordenamiento dispensa una especial protección al interés del menor cuando se trata de la captación y difusión de imágenes de niños y adolescentes en los medios de comunicación social. En palabras de la STC 158/2009, de 29 de junio de 2009 (FJ 4): "Cabe recordar que, de conformidad con el art. 20.4 CE, las libertades de expresión e información tienen su límite en el respeto a los derechos reconocidos en el título I, en las leyes que lo desarrollan "y, especialmente, en el derecho al honor, a la intimidad, a la propia imagen y a la protección de la juventud y de la infancia". Asimismo, no deben dejar de ser tenidas en cuenta las normas internacionales de protección de la infancia (sobre cuyo valor interpretativo ex art. 10.2 CE no es necesario insistir), y, entre ellas, muy en particular, la Convención de la Naciones Unidas sobre los derechos del niño (ratificada por España por Instrumento de 30 de noviembre de 1990), que garantiza el derecho de los niños a la protección de la ley contra las injerencias arbitrarias o ilegales en su vida privada (art. 16), así como la Resolución del Parlamento Europeo relativa a la Carta europea de los derechos del niño, en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 que se establece que "todo niño tiene derecho a no ser objeto por parte de un tercero de intrusiones injustificadas en su vida privada, en la de su familia, ni a sufrir atentados ilegales a su honor" (apartado 29 del § 8 de la Resolución A 30172/92 de 8 de julio). "A su vez, la Ley Orgánica 1/1982, de 5 de mayo, sobre protección del derecho al honor, a la intimidad y a la propia imagen, tras establecer que no se apreciará intromisión ilegítima en el ámbito protegido cuando el titular del derecho hubiere prestado su consentimiento expreso al efecto (art. 2), precisa seguidamente en su art. 3, en cuanto a los menores de edad (e incapaces) que su consentimiento deberá ser prestado por ellos mismos, si sus condiciones de madurez lo permiten y, de no ser así, el consentimiento habrá de otorgarse mediante escrito por sus representantes legales, quienes estarán obligados a poner en conocimiento previo del Ministerio Fiscal el consentimiento proyectado, habiendo de resolver el Juez si en el plazo de ocho días el Ministerio Fiscal se opusiere. "Las previsiones del art. 3 de la Ley Orgánica 1/1982 se complementan, en cuanto a los menores, por lo dispuesto en el art. 4 de la Ley Orgánica 1/1996, de 15 de enero, de protección jurídica del menor, que, entre otros extremos, considera intromisión ilegítima en el derecho al honor, a la intimidad personal y familiar y a la propia imagen del menor "cualquier utilización de su imagen o su nombre en los medios de comunicación que pueda implicar menoscabo de su honra o reputación, o que sea contraria a sus intereses incluso si consta el consentimiento del menor o de sus representantes legales" (art. 4.3)". En definitiva, cuando se trata de la difusión de la imagen de menores en medios de comunicación, el consentimiento del menor maduro o de sus representantes es insuficiente para legitimar la intromisión si se aprecia el riesgo del daño al interés del menor. (El subrayado es nuestro) Finalmente, y por considerarlo de interés al tratarse de hechos similares a los analizados en la presente resolución de procedimiento sancionador, recordemos que esta Agencia ya ha llevado a cabo procedimientos sancionadores contra publicaciones de imágenes de menores de edad y cuyos argumentos han sido analizados por los Tribunales de Justicia. Así, por ejemplo, y si bien analiza la anterior normativa de aplicación, sus argumentos son plenamente aplicables al presente supuesto, cabe destacar la Sentencia de 20 Oct. 2011 de la Audiencia Nacional, Sala de lo Contencioso-administrativo (Rec.347/2009) por la que se desestima recurso presentado contra resolución sancionadora de la Agencia Española de Protección de Datos por la publicación de un video en YOUTUBE con imágenes captadas en la calle de menores de edad que permiten su identificación. La indicada sentencia desestima el recurso presentado por cuanto se sanciona por haber tratado las imágenes de los menores que aparecen en el citado video, y que permiten su identificación, que constituyen datos de carácter personal ex artículo 3.
9. a)de la LOPD, imágenes captadas en la vía pública y difundidas en YouTube sin su consentimiento En el caso concreto examinado, tal y como hemos indicado, la parte reclamada difundió a través de su canal de Telegram (D.D.D.) la imagen de la parte reclamante, menor de edad en el momento de la captación y publicación de dicha imagen. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 Asimismo, ha de tenerse en cuenta el alcance de la divulgación realizada, en atención a que la publicación ha estado, y continúa estándolo en el momento de la presente resolución de procedimiento sancionador, disponible para los más de (…) seguidores del canal de Telegram D.D.D. donde fueron y continúan publicadas las imágenes objeto de la reclamación. Por todo lo anterior, en el presente supuesto, el tratamiento llevado a cabo por la parte reclamada resulta excesivo, toda vez que la difusión de la imagen de la menor de edad era innecesaria para la finalidad de información que podría entenderse era perseguida por la parte reclamada. En consecuencia, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento de sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 5.1.
10. c)del RGPD. V Tipificación y calificación de la infracción del artículo 5.1.
11. c)del RGPD De conformidad con las evidencias de las que se dispone en el presente momento de resolución del procedimiento sancionador, se considera que la parte reclamada ha tratado datos que son excesivos al no ser necesarios para la finalidad para la que se trataban. Los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, del artículo 5.1.
12. c)del RGPD, con el alcance expresado en los Fundamentos de Derecho anteriores, lo que supone la comisión de la infracción tipificada en el artículo 83.5, apartado
13. a)del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
14. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
15. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VI Sanción por la infracción del artículo 5.1.
16. c)del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD:  La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a). En el caso que nos ocupa, la publicación de los datos personales —su imagen— de la parte reclamada supone la posibilidad de una difusión inmediata y de gran alcance del contenido, teniendo en consideración que el canal donde fue publicada dicha información cuenta en la actualidad con más de (…) suscriptores. Asimismo, ha de tenerse en cuenta que, tras la publicación, se han sucedido numerosos mensajes que cuestionaban la relación entre la parte reclamante y el que, en realidad, es su padre. Una circunstancia que implica una mayor gravedad en la conducta infractora debido a las consecuencias que dichos comentarios pueden tener en la parte reclamada.  La intencionalidad o negligencia en la infracción (apartado b). La publicación de los datos personales de la parte reclamante se realizó directamente por la parte reclamada, de forma intencionada, en el canal de Telegram de su titularidad.  La afectación a los derechos de los menores (artículo 76.2.
17. f)de la LOPDGDD en relación con el artículo 83.2
18. k)del RGPD). La parte reclamada trató datos personales pertenecientes a una menor de edad, por lo que, atendiendo a su especial vulnerabilidad, puede considerarse que una afectación a su derecho a la protección de datos personales tiene unas implicaciones y consecuencias especialmente significativas. El balance de las circunstancias contempladas, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.c), permite fijar una sanción de multa administrativa de 5.000 euros (cinco mil euros). VII Adopción de medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 La infracción en la materia que nos ocupan puede dar lugar a la imposición al responsable de la obligación de adoptar medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2.
19. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el artículo 83.2 del RGPD. En tal caso, esta Agencia podrá requerir al responsable para que, en el plazo que se determine, adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los Fundamentos de Derecho del presente acuerdo. En atención a las circunstancias analizadas en la presente resolución de procedimiento sancionador se entiende que la parte reclamada puede estar realizando tratamientos de datos personales excesivos especialmente por afectar a una menor de edad en el momento de realizarse la publicación. Por ello, se considera que la continuación del tratamiento podría comportar un menoscabo muy grave e irreparable para su derecho fundamental a la protección de datos personales. Debe recordarse que en el acuerdo de inicio del presente procedimiento sancionador se acordó imponer como medida provisional la suspensión del tratamiento de datos de carácter personal objeto de reclamación a través de la retirada del contenido publicado en el canal de Telegram de la parte reclamada (D.D.D.) para la que se le concedió un plazo máximo de 10 días naturales a partir del día de la notificación del acuerdo de inicio de procedimiento sancionador. Por tanto, a fin de salvaguardar y garantizar los derechos y libertades de la parte reclamante, se acuerda elevar a definitiva la medida provisional impuesta. La imposición de estas medidas es compatible imponer una multa administrativa, según lo dispuesto en el artículo 83.2 del RGPD. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a D.D.D., con NIF ***NIF.1, por una infracción del artículo 5.1.
20. c)del RGPD, tipificada en el artículo 83.5.
21. a)del RGPD, una multa de 5.000€ (cinco mil euros). SEGUNDO: CONFIRMAR, elevándola a definitiva, la medida provisional impuesta a D.D.D., con NIF ***NIF.1, cuyo cumplimiento deberá acreditarse al día siguiente de la notificación de la presente resolución de procedimiento sancionador: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16  La suspensión del tratamiento de datos de carácter personal objeto de reclamación a través de la retirada del contenido publicado en el canal de Telegram de la parte reclamada (D.D.D.). TERCERO: NOTIFICAR la presente resolución a D.D.D. con NIF ***NIF.1. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
22. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
23. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es