PS-00130-2020

1/13  Procedimiento Nº: PS/00130/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la reclamante) con fecha 14/01/2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AYUNTAMIENTO DE ***LOCALIDAD.1, (en adelante, el reclamado). La reclamante indica que el reclamado, con ocasión de la celebración de sus fiestas patronales en agosto, publicó en papel un programa de fiestas, que repartió por los buzones para todos los vecinos por la localidad, y visitantes, con dos fotos en las que se representan sus imágenes sin su consentimiento (“en la primera hoja figuran hasta dos fotografías de la denunciante”). Añade que además aparecen fotos suyas junto a las de su hermano fallecido (indica el pasado 24/04). Manifiesta que realizadas indagaciones, ha podido advertir que las fotografías fueron obtenidas de la red social FACEBOOK y que no fue informada de los derechos qué le asisten como el de la información en su recogida y tratamiento. Indica que, aunque se pueda alegar que las fotos estaban en FACEBOOK, aporta como referencia una sentencia del Tribunal Supremo, sala de lo civil de 15/02/2017 sin más identificativos, sobre el uso de fotos en la red social o en un blog, en un perfil público, relacionado con el uso, publicación y divulgación de una forma distinta no conlleva la autorización de cualquier uso. Podría tratarse de Sentencia núm. 90/2017, de 15 de febrero RJ/2017/ 302, “XXXXXXXX”, al coincidir los párrafos que reproduce en la reclamación como el del fundamento de derecho QUINTO, 3. Con fecha 13/02/2019, expediente E/1745/2019 se acordó por la Directora de la AEPD la inadmisión a trámite, y la reclamante, con fecha 21/03/2019, interpuso recurso de reposición RR/211/2019 en el que se indica que “en consideración a que junto a su hermano fallecido aparece su imagen por lo cual resulta de aplicación la normativa sobre Protección de Datos ya que indicó que su imagen fue recogida sin consentimiento”, “en el documento aportado junto a la reclamación el cuál había sido distribuido al parecer por el Ayuntamiento junto al programa de festejos figuran varias fotografías entre ellas dos en las que el fallecido aparece acompañado de una joven, a la vista de las alegaciones se podría desprender que el tratamiento de los datos no se encontraría amparado legalmente la normativa de Protección de Datos”, estimando el recurso con fecha 29/04/2019. Junto a la reclamación aportó: -Copia del programa de fiestas ***LOCALIDAD.1, de 9 al 12 de agosto del 2018 y en una de las hojas figura a color, (folios 10 y ss.) perfectamente identificables, una fotografía de cintura para arriba de una chica junto a otro chico; otra fotografía de cuerpo entero aparentemente del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 mismo chico, con una chica, sin saber ni deducirse por la distancia si es la misma que la anterior; una tercera fotografía retrato de un chico con gafas de sol, que puede ser el mismo de las otras dos imágenes. Dos fotos debajo, una de ellas con un chico montado en un tractor-carretilla y otra de un grupo junto a una hormigonera en una obra sin que se distingan muy bien sus integrantes Junto, a ello, el literal “estás aquí en tu pueblo como te gustaba con nosotros”. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por la reclamante la Subdirección General de Inspección de Datos procedió el 12/03/2020 a la realización de petición de información al reclamado sobre las imágenes del folleto, más en concreto de la reclamante y: Con fecha 5/06/2020, indica el reclamado lo siguiente: 1. Motivo por el que preparó y difundió el folleto incluyendo las mencionadas fotografías. Se trata de una población de 229 habitantes y editaron 150 programas, en formato papel, sin transmisión electrónica, circulando exclusivamente entre sus vecinos que constituyen una comunidad a la que la denunciante pertenece desde su nacimiento. Las imágenes aparecieron con la finalidad de homenajear al vecino fallecido B.B.B. cuya familia tiene un fuerte arraigo en la comunidad y cuya empresa realizaba obras públicas para el Ayuntamiento. 2. Origen de las fotografías utilizadas en dicho folleto. Manifiesta que se relaciona con el hecho de que han “aparecido y aparecen en redes sociales, e incluso una de ellas es la imagen del perfil de WhatsApp que corresponde a su madre”. “Son imágenes que no se refieren al ámbito privado de la denunciante ya que están tomadas en espacios públicos claramente con su consentimiento puesto que posan expresamente para la captación de las imágenes. Dichas fotografías no circulan por medios electrónicos quedando reducida su difusión a folletos entregados a los vecinos del Ayuntamiento, todos ellos perfectos conocedores de la vida personal de la denunciante intensamente ligada junto a su familia a la localidad.” 3. Acreditación de la obtención del consentimiento de la reclamante para la inclusión de sus fotografías en el folleto. Señala que la imagen se obtuvo de “la cuenta de FACEBOOK del fallecido”, no de la de la denunciante, quedando la cuestión fuera del ámbito de la normativa de Protección de Datos según indica el artículo 3 de la LOPDGDD. Indica que la base del tratamiento no es el consentimiento, sino que “su tratamiento es necesario para el cumplimiento de una misión realizada en interés público o el ejercicio de poderes públicos conferidos al responsable del tratamiento del artículo 6.1

1. e)del RGPD.” Indica que el Ayuntamiento tiene competencias genéricas que le atribuye la Ley para llevar a cabo acciones de homenaje a sus vecinos como las que se derivan del artículo 4. 1 a. de la Ley 7/85 de bases del régimen local, y del Real decreto 2568/86 de 28/11 que aprueba el reglamento de organización y funcionamiento del régimen jurídico de entidades locales, donde existe un apartado en la sección quinta de honores y distinciones. Indica que las dos fotografías en la cabecera de la reclamante no pueden aislarse del resto de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 imágenes y expresiones de afecto de la comunidad que aparece en el folleto informativo y su inclusión no resulta desproporcionada sin que se considere que se menoscabe la privacidad. Menciona que interpretando la sentencia de la sala segunda del TCo, n 27/2020, de 24/02/2020, ratificaría la actuación del reclamado, pues en aquel caso coincide en que se trata de obtención de imágenes de investigación periodística, siendo distinto pues tenía un público amplio e indiferenciado, mientras que aquí se habla de una comunidad reducida de la que forma parte la interesada, y solo se facilitó su imagen, lo que reduciría la intensidad de la intromisión. 4. Cualquier otra información que considere relevante. Para supuestos próximos, similares, se ha determinado por el Ayuntamiento que “cuando vayan a utilizarse datos personales de ciudadanos en situaciones análogas deberá darse audiencia a los interesados para que puedan informar al Ayuntamiento acerca de la conveniencia o no de la difusión e inclusión” TERCERO: Con fecha 17/06/2020, la Directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR al AYUNTAMIENTO DE ***LOCALIDAD.1, por la presunta infracción del artículo 6.1 del RGPD, de conformidad con el artículo 83.5
2. a)del RGPD.” CUARTO: Se recibe, en fecha 3/07/2020, escrito de alegaciones del reclamado, en el que manifiesta: -No se le dio trámite en la estimación del recurso de reposición que abrió la vía de la admisión de la reclamación y luego de este procedimiento, perjudicando su posición procedimental. Cuando se le trasladó la reclamación no se indicaron estos antecedentes. -Eventual prescripción de la infracción, los hechos datan de las fechas 9 a 12 de agosto del 2018 y el primer requerimiento de información se hizo el 12/03/2020. De acuerdo con el artículo 78 de la Ley Orgánica 3/2018 de 5/12. -La imputación de la infracción situación del artículo 6.1 del RGPD es “demasiado amplia y genérica”. QUINTO: Con fecha 29/01/2021 se emite la propuesta de resolución con el literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a AYUNTAMIENTO DE ***LOCALIDAD.1, con NIF P5011700A, por una infracción del artículo 6.1 del RGPD, de conformidad con el artículo 83.5
3. a)del RGPD, con apercibimiento. “ No se recibieron alegaciones. HECHOS PROBADOS 1) La reclamante indica que el reclamado, publicó en papel un programa de fiestas de la localidad a celebrar del 9 al 12/08/2018 y se repartió por los buzones y a los visitantes de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 localidad, que según el reclamado cuenta con 229 habitantes, y, que para la ocasión, editó 150 programas. La reclamante manifestó que en el citado programa aparecen dos fotografías en las que aparece junto a su hermano fallecido el 24/04/2018 y que trabajaba en ***LOCALIDAD.1. 2) El programa lleva en la contraportada la reseña de organizador de los eventos, el reclamado. En una de las hojas figura a color, (folios 10 y ss.) perfectamente identificables, una fotografía modo retrato de una chica junto a otro chico, otra de cuerpo entero, aparentemente del mismo chico, con una chica, una tercera fotografía retrato de un chico con gafas de sol, y dos fotos debajo, una de ellas con el chico montado en un tractor-carretilla. Junto, a ello, el literal “estás aquí en tu pueblo como te gustaba con nosotros”. La reclamante manifiesta que las dos fotografías citadas son de ella con su hermano fallecido y que las imágenes se cogieron de redes sociales, FACEBOOK exponiendo sus datos sin su consentimiento. 3) Según el reclamado, la reclamante nació en ***LOCALIDAD.1 y la imagen muestra “al vecino fallecido que pertenecía a una familia con arraigo en la localidad y apreciado por la misma” y que la finalidad del uso de las imágenes “era homenajear a su hermano”. 4) Manifestó el reclamado, que las fotos se cogieron de FACEBOOK del fallecido, añadiendo que la exposición del dato de la reclamante en las fotos en inseparable de la finalidad buscada, y que se ampara en normativa vigente de sus competencias de acordar creación de medallas emblemas, condecoraciones u otras distinciones honorificas, a fin de premiar especiales merecimientos o servicios extraordinarios, RD 2568/1986 de 28/11. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II La STC 292/2000 señala que "... el contenido del derecho fundamental de protección de datos consiste en un poder de disposición y control sobre los datos personales que faculta a la persona para decidir cuáles de sus datos proporciona a un tercero (...) estos poderes de disposición y control sobre los datos personales, que constituyen parte del derecho fundamental a la protección de datos se concreta jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular", es decir a saber quién, porque y que datos se van a tratar. Ello permite al afectado, en este caso la reclamante ejercer el control sobre sus datos de carácter personal (la autodeterminación informativa). La idea de la que se debe partir al determinar el contenido esencial del derecho que consagra el artículo 18.4 de la Constitución Española es que si la legislación reconoce unas determinadas garantías vinculadas al derecho fundamental a la protección de datos de carácter personal, en este caso, se deberá respetar el dato identificativo de la imagen de la reclamante que es utilizado junto a su hermano, en las mismas fotos. Aunque el reclamado indique que los datos de fallecidos no entran en el ámbito de protección de los datos personales, en este caso se identiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 fica plenamente a la reclamante y el reclamado ha de acreditar que el uso de sus datos obedece a una base legitimadora determinada en el RGPD. Igualmente, si existiera dicha habilitación debería ir acompañada de los derechos y garantías asociados a dicho tratamiento, como pueden ser a título enunciativo, la información del origen de los datos, la finalidad, y el derecho a oponerse a dicho uso, como parte del contenido de la autodeterminación informativa. III El RGPD define como datos personales en su artículo 4.1” Toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” Los datos de la reclamante contenidos en las fotografías del programa de fiestas del reclamado son datos de carácter personal ya que permiten identificar la identidad de dicha persona sin grandes esfuerzos. Sobre la alegación de que la cuestión se regula por los derechos de imagen cabe indicar que el uso de la imagen de una persona sin su autorización puede vulnerar el derecho a la intimidad, el derecho a la propia imagen comprende el derecho a controlar la difusión de la imagen y es una parte esencial del individuo. La protección de la propia imagen en la Ley Orgánica 1/1982 reconoce a la persona la facultad de excluir la captación reproducción o publicación de su imagen por cualquier medio o procedimiento, considerándose el uso concreto de la imagen sin su consentimiento una intromisión ilegítima en ese derecho fundamental. La protección de la imagen de las personas pretende salvaguardar la intimidad y el poder de decisión sobre los fines a los que hayan de aplicarse de las manifestaciones de la persona a través de su imagen. Está regulado autónomamente en el artículo 18.1 de la Constitución. Sin embargo, el artículo 18.4 de la Constitución extiende la protección a los derechos de los ciudadanos en lo que se refiere al tratamiento de sus datos de carácter personal, y en ese supuesto las imágenes de la fotografía permiten identificar a la reclamante por lo que está dentro del ámbito de aplicación de la normativa de Protección de Datos. El derecho fundamental a la protección de datos de carácter personal, reconocido legislativamente y por la jurisprudencia del Tribunal Constitucional, es el derecho que tiene cualquier persona para decidir el uso de sus datos de carácter personal, entendiendo por dato personal cualquier información concerniente a personas físicas identificadas o identificables. Se hace mención de que aquí no se discuten las fotos que aparecen de su hermano, el interés en remarcar su persona ya fallecida, que es sobre lo que el reclamado centra gran parte de sus alegaciones en el traslado de la reclamación, obviando en gran medida los derechos de la reclamante, titular también de parte de la imagen utilizada, procedente de FACEBOOK. La reclamante es la que reclama por el uso de su imagen y sobre ella es sobre la que debe acreditarse que se cumplen las bases legitimadoras y los principios y garantías que prevé la normativa de protección de datos. En el artículo se 4.2 define del tratamiento como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 sión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” En cuanto a la consideración hecha por el reclamado de que los datos en redes sociales tienen el carácter de públicos debe tenerse en cuenta que la normativa de protección de datos no efectúa una distinción entre datos públicos y privados, permitiendo, sin más, el uso de datos que los afectados hayan hecho públicos, sino que otorga con carácter general una protección a los datos personales determinando aquéllos supuestos en que dicho tratamiento resulta conforme a la misma. Así en lo que a datos personales tratados en el marco de las redes sociales se refiere, el Grupo de Trabajo del artículo 29, órgano consultivo independiente de la UE sobre protección de los datos y la vida privada, creado en virtud de lo previsto en el citado artículo de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, en su Dictamen 5/2009 relativo a las redes sociales en línea señala que cuando una persona se convierte en usuaria de una red social, tiene “una expectativa legítima de que los datos personales que revelan sean tratados de acuerdo con la legislación europea y nacional relativa a la protección de datos y de la intimidad” En este sentido ya el Memorándum de Roma, adoptado en marzo de 2008 por el Grupo de Trabajo internacional de Berlín sobre protección de datos en las telecomunicaciones pone de manifiesto que los datos personales contenidos en las redes sociales no constituyen datos de libre uso al señalar que “Social Networks sites are not –while the term “social” may suggest otherwise- public utilities.” En el Dictamen 5/2009 el Grupo de Trabajo del 29 muestra su preocupación por la difusión y utilización de la información disponible en los servicios de redes sociales con fines secundarios, de ahí que se recomiende a los servicios de redes sociales el establecimiento por defecto de parámetros respetuosos con la intimidad. No obstante, ello no siempre ocurre por lo que, en muchas ocasiones, los usuarios no tienen efectivo conocimiento de las implicaciones que conlleva no establecer restricciones de acceso a sus datos. Esta cuestión es especialmente relevante respecto de los menores de edad que, aun siendo mayores de 14 años, pueden tener dificultades para comprender los términos en que se formulan las políticas de privacidad en las redes sociales y los riesgos que la difusión de determinadas informaciones puede comportar para ellos en el futuro. A ello debe añadirse que es frecuente que en las redes sociales aparezcan informaciones o fotografías de terceros no usuarios puestas en línea sin su consentimiento por un usuario de redes sociales, lo que en ningún caso puede considerarse un dato hecho público por el interesado. Por consiguiente, no existiendo en el marco regulador de la protección de datos tal distinción entre datos públicos y privados, el tratamiento de los datos suministrados voluntariamente a una red social que resulten accesibles a todos los miembros de la misma con una finalidad distinta de aquellas para las que el usuario ha prestado su consentimiento informado debe encontrar un fundamento en el RGPD, siendo contraria a la misma en otro caso. En este supuesto la fotografía de la reclamante fue recogida sin consentimiento de ésta, según el reclamado, del perfil de FACEBOOK de su hermano fallecido, y expuesta en un programa de fiestas, formato en papel en el que era perfectamente identificable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 La responsabilidad de dichos hechos corresponde al reclamado como responsable del tratamiento que queda definido en el artículo 4.7 del RGPD que indica “responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;” Según el reclamado, al proceder la imagen de una red social, de la cuenta del hermano ya fallecido, y ser la imagen compartida pues aparece la reclamante y su hermano, no se pueden separar, la reclamación queda fuera del ámbito de la normativa de Protección de Datos, según indica, es aplicable el artículo 3 de la LOPDGDD que determina:” Datos de las personas fallecidas” 1. Las personas vinculadas al fallecido por razones familiares o de hecho, así como sus herederos podrán dirigirse al responsable o encargado del tratamiento al objeto de solicitar el acceso a los datos personales de aquella y, en su caso, su rectificación o supresión. Como excepción, las personas a las que se refiere el párrafo anterior no podrán acceder a los datos del causante, ni solicitar su rectificación o supresión, cuando la persona fallecida lo hubiese prohibido expresamente o así lo establezca una ley. Dicha prohibición no afectará al derecho de los herederos a acceder a los datos de carácter patrimonial del causante. 2. Las personas o instituciones a las que el fallecido hubiese designado expresamente para ello podrán también solicitar, con arreglo a las instrucciones recibidas, el acceso a los datos personales de este y, en su caso su rectificación o supresión. Mediante real decreto se establecerán los requisitos y condiciones para acreditar la validez y vigencia de estos mandatos e instrucciones y, en su caso, el registro de los mismos. 3. En caso de fallecimiento de menores, estas facultades podrán ejercerse también por sus representantes legales o, en el marco de sus competencias, por el Ministerio Fiscal, que podrá actuar de oficio o a instancia de cualquier persona física o jurídica interesada.” En caso de fallecimiento de personas con discapacidad, estas facultades también podrán ejercerse, además de por quienes señala el párrafo anterior, por quienes hubiesen sido designados para el ejercicio de funciones de apoyo, si tales facultades se entendieran comprendidas en las medidas de apoyo prestadas por el designado.” Sin embargo, se acredita que junto a la foto del fallecido aparece la de la reclamante, y la manifestación de que no se puede separar una de otra, además de no ser proporcional ni necesario el hecho de que para los fines de que se homenajeé a una persona, tengan que salir los datos de otra, un tercero, que, aunque sea familiar es titular de sus derechos individuales, y no es protagonista de la pretendida acción de homenaje o recuerdo de dicha persona. En este caso la foto que figurase lo sería en su día con el consentimiento de la reclamante, pero la constancia en dicha red social no permite un uso de su imagen como dato personal sin base legitimadora. El reclamado podría haber conseguido su objetivo del mismo modo, sin sacar la imagen de la reclamante, pixelando la imagen, por ejemplo, con un resultado similar a los efectos de anonimizar datos personales de una resolución, que se indican de un modo en que no resulta identificable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 IV La base alegada por el reclamado es la del artículo 6.1.
4. e)del RGPD.
5. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; Entiende con ello que se incluye con esa referencia, la realización de homenajes a personas o personalidades de especial significado para el municipio. Con ello el reclamado refiere una base legitimadora para un tipo de tratamiento, el del fallecido, para poder rendir homenaje a una persona por ser significativa en el municipio, con una base legitimadora establecida para los casos en que se tratan datos de carácter personal, que se rigen por el ámbito de aplicación de la normativa, y el del hermano fallecido de la reclamante no es dato de carácter personal en el sentido que el reclamado pretende, ni aquí se valora ese dato sino el de la reclamante, para la que no aporta base legitima de tratamiento. Se considera que, si los datos del fallecido aparecen excluidos del ámbito de aplicación del RGPD, no así los de la reclamante, y sin entrar a valorar profundamente si se cumple o no la misma base legitimadora, a simple vista se aprecia que la reclamante al no ser la persona que se quiere recordar, no le sería aplicable dicha base que la reclamada considera se desprenden de sus competencias y funciones públicas. A tal efecto, conviene recordar que cualquier tratamiento de datos precisa de una base jurídica, junto a una especificación de un propósito legítimo en todas las circunstancias en que se traten datos personales, tanto en el sector privado como en el público. Por ello, se acredita la comisión de la infracción imputada del artículo 6.1 del RGPD, que indica: 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
6. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
7. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
8. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
9. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
10. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
11. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13 Lo dispuesto en la letra
12. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Cada base legitimadora depende de su propósito y su relación con el individuo. Al no existir en este caso una base legitima para el tratamiento, es por lo que se declara la infracción. V Sobre la sentencia que menciona la reclamante, podría tratarse de la Sentencia núm. 90/2017 de 15/02 RJ/2017/ 302, “XXXXXXXX” exposición al coincidir los párrafos que reproduce en la reclamación. Entre otros extremos la sentencia indica en el fundamento de derecho QUINTO, 3: “Esta sala ha declarado en reiteradas ocasiones ( sentencias 1225/2003, de 24 de diciembre (RJ 2004, 138) , 1024/2004, de 18 de octubre (RJ 2004, 6571) , 1184/2008, de 3 de diciembre (RJ 2008, 6942) , 311/2010, de 2 de junio (RJ 2010, 2666) ) que el consentimiento dado para publicar una imagen con una finalidad determinada (en este caso, como imagen del perfil de Facebook ) no legitima su publicación con otra finalidad distinta (en este caso, ilustrar gráficamente el reportaje sobre el suceso violento en que se vio envuelto el demandante). En la sentencia 746/2016, de 21 de diciembre (RJ 2016, 5997), afirmamos que, aunque hubiera sido cierto que la fotografía publicada por el medio de información hubiera sido "subida" a Facebook por la persona que en ella aparece, «[...] esto no equivaldría a un consentimiento que [...] tiene que ser expreso y, además, revocable en cualquier momento». El fallo mantiene el pronunciamiento que declara la intromisión en el derecho a la propia imagen del demandante, figurando la reproducción de su imagen obtenida de una red social sin su consentimiento expreso. Precisamente un punto de las alegaciones del reclamado menciona la revisión por el TCO de esta sentencia, número 27/2020, que desestimó el amparo interpuesto promovido por la mercantil La Opinión de Zamora, S.A. para centrarse en la intensidad de los efectos del uso de la foto en la intimidad de la reclamante En relación con ello, no se trata de medir la intensidad de los perjuicios de uno u otro tipo, ni el grado de intensidad de la “intimidad” que manifiesta el reclamado se presume escaso dado el ámbito en el que se repartió el programa, sino del respeto al derecho fundamental y a sus garantías. Cuestión distinta por ejemplo se hubiera suscitado si se hubiera pedido el permiso a la reclamante que aparece en la foto utilizada. Evidentemente, aunque se use en un ámbito que se conozca a la reclamante, se está hurtando su derecho a que no figure su foto, y no figure junto a su hermano y para dicho fin, tanto por motivos personales como de otro tipo, siendo esto indiferente a efectos de protección de su derecho. Sobre la prescripción de la infracción contando con que se cometiera en las fechas que señala el reclamado, el acuerdo de inicio se firmó el 17/06/2020, por lo que desde la fecha de comisión de la infracción 9 a 12/08/2018 hasta la fecha en que fue notificado el acuerdo de inicio, añadiendo el plazo de suspensión del confinamiento por la COVID-19, no habrían transcurrido ni siquiera dos años desde la comisión de la infracción, sin que en ningún caso como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 manifiesta el reclamado el plazo de prescripción sea de un año, pues el articulo 78 al que alude es el de las sanciones impuestas, es decir el periodo en el que pueden ser exigibles en caso de ser impuestas. Hay que añadir que en este caso no hay sanción económica sino apercibimiento. La prescripción de las infracciones y el grado de las mismas se recoge para este caso en el artículo 72.1 b), que determina: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
13. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.” En cuanto a que no se le dio conocimiento cuando se trasladó la reclamación de la estimación del recurso de reposición sobre admisión a trámite, señalar que esta admisión solo tuvo el efecto de admitir la reclamación que siguió su curso con el traslado al afectado, cumpliendo el literal del trámite de las reclamaciones que se señala en la LOPDGDD, articulo 64.2 LOPDGDD y no ha surtido efectos de indefensión para el reclamado. VI El RGPD, señala en su artículo 5.2:” El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 (principios del tratamiento entre los que se encuentra el modo en que han de ser tratados los datos, “de manera lícita, leal y transparente”) y capaz de demostrarlo («responsabilidad proactiva»). En el cumplimiento de dicho precepto, y sin que se contenga un listado especifico de actividades concretas a llevar a cabo sobre las tareas para acreditar el cumplimiento, bajo el principio de proactividad debe desplegar el responsable apropiadas medidas técnicas y organizativas con el fin de cumplir dicho principio (artículo 24 del RGPD), encontrándose dentro del mismo además y entre otras, la de tomar medidas para poder ser capaz de demostrar el cumplimiento del RGPD y las medidas que garantizan el respeto de la normativa de protección de datos sobre los que se es responsable. Entre las tareas que se pueden citar, se pueden entender incluidas, que el tratamiento de datos que lleva a cao se adecua a la legalidad, es lícito, y porque base de legitimación lo es. A estas bases se refiere el artículo 6.1 del RGPD. En el presente supuesto se imputa al reclamado la comisión de la infracción del artículo 6.1 del RGPD al no acreditar que concurra alguna base de las señaladas como título legitimador de la exposición de la imagen de la reclamante. VII El artículo 83.5
14. a)del RGPD indica: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
15. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13 El artículo 58.2 del RGPD indica: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
16. a)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
17. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado”. El artículo 83.7 del RGPD indica: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro” El ordenamiento jurídico español ha optado por no sancionar con multa a las entidades públicas, sino con apercibimiento, tal como se indica en el artículo 77. 2., de la LOPDDGG. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 ble o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” En cuanto a la medida que indica el reclamado que adoptaría para supuestos, similares, de “dar audiencia a los interesados para que puedan informar al Ayuntamiento acerca de la conveniencia o no de la difusión e inclusión” si bien dar audiencia se pueda conectar con el consentimiento, deberán concretarse los requisitos y la información a proporcionar para la prestación del mismo, y se prevé que podría contener dificultades si no se conoce a la persona ni su domicilio para requerirle, solo la imagen, considerando que las fotografías figuran en la red para una finalidad concreta que puede no coincidir con la que como autoridad pública en función de las competencias y base legitimadora aplicable pudiera concurrir. Por lo tanto, de acuerdo con la legislación aplicable, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a AYUNTAMIENTO DE ***LOCALIDAD.1, con NIF P5011700A, por una infracción del artículo 6.1 del RGPD, de conformidad con el artículo 83.5
18. a)del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a AYUNTAMIENTO DE ***LOCALIDAD.1. TERCERO: COMUNICAR la presente resolución al DEFENSOR DEL PUEBLO, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. CUARTO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
19. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la ciC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 tada Ley 39/2015, de 1/10. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es