1/13 Procedimiento Nº: PS/00172/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 28 de octubre de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra POSADA LAS ANIMAS VIGO SPAIN, S.L. con NIF B27793926 (en adelante, el reclamado) por unos hechos que podrían estar vulnerando la legislación sobre protección de datos personales. Los motivos principales en que basa la reclamación son los siguientes: “El pasado 21/09/2019, han hecho público un vídeo de mi persona donde se visualiza perfectamente mi cara y la de otras personas en las instalaciones del PRESUNTO RECLAMADO. Este vídeo, es grabado dentro del local y publicado en la red social INSTAGRAM en el perfil oficial del establecimiento: "la_posada_vigo". Dispongo de capturas de pantalla y testigos que pueden corroborar esta publicación. Además, el vídeo ha sido editado con elementos gráficos a tenor de la situación que se está grabando, la cual es mi persona besando a otra persona. En el video, el cual tiene una duración aproximada de 20 segundos, se ve perfectamente mi cara y el acto. Cuando me dan traslado de esta publicación, la cual desconocía en el momento que fue grabada, pues me habían reconocido desde Internet, trato de ponerme en contacto con el PRESUNTO RECLAMADO en el teléfono de contacto que figura en su perfil de INSTAGRAM, indicándole que retirara de manera inmediata esos contenidos, a lo que me contesta "quien entra en su local está expuesto a ser grabado". Esta conversación telefónica no ha sido grabada. En consecuencia, he sufrido un daño moral importante, ya que la persona con la que me besaba no era mi pareja en aquel momento. Solicito que se aplique la sanción correspondiente contempla la ley, ante un acto de divulgación de imágenes personales sensibles, sin mi consentimiento, así se tenga en cuenta la edición de los contenidos como gravamen de la imagen difundida […]» Junto a la reclamación aporta varios fotogramas del supuesto video grabado. SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, se trasladó al reclamado, de conformidad con lo establecido en el artículo 65.4 la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 El día 03/12/2019 tuvo entrada en esta Agencia escrito de contestación de LA POSADA DE LAS ÁNIMAS VIGO SPAIN S.L, en el que señala lo siguiente: “1. En el acceso al establecimiento de hostelería figura una comunicación expresa del hecho de que el local se hacen fotografías y vídeos de ambiente, realizados no de forma automatizada sino por un/una fotógrafa. 2. También se indica que ante cualquier duda se pongan en contacto con la dirección. 3. Como el mismo reclamante indica, no se solicitó la retirada del video de forma escrita, sino telefónicamente y sin éxito. 4. Que existen vías de comunicación mediante correo electrónico o escrito disponible en el local, abierto de lunes a viernes desde las 20:30. En todo caso las fotografías e imágenes de ambiente son borradas y sustituidas por otras con carácter semanal teniendo cualquier cliente derecho, al ser informado previo el acceso a dirigirse a la dirección. En el caso de que la fotografía o el video fuese realizada sin ser consciente de ello, existen mecanismos para solicitar la retirada inmediata del mismo.” Adjunta imagen del cartel que figura en la entrada del establecimiento. TERCERO: La reclamación fue admitida a trámite mediante resolución de 2 de junio de 2020. CUARTO: Con fecha 17 de julio de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por las presuntas infracciones del artículo 6.1 y 7 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD) tipificadas en el artículo 83.5 de la citada norma, concediendo un plazo de diez días para presentar alegaciones. QUINTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones en el que manifestaba que: “[…] se omite el hecho de que son fotografías y videos de ambiente las que se realizan tal y como especifica el cartel que ocupa un 25%del marco superior de la única puerta de acceso al local. Es por tanto que es indefectiblemente necesario que todo cliente que tenga acceso al local tenga en su campo visual el cartel C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 1. En el acceso al establecimiento de hostelería figura una comunicación expresa del hecho de que el local se hacen fotografías y vídeos de ambiente, realizados no de forma automatizada sino por un/una fotógrafa. Aparte de este hecho, como también se indica en la contestación, las fotografías y pequeños clips (videos) se realizan de forma manual por una fotógrafa. Siendo posible en cualquier momento, al tratarse de una cámara digital de solicitar su eliminación o incluso el pedir que no se capte su imagen. De acuerdo con el artículo 4 del RGPD deberá ser una «manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración, o una clara acción afirmativa, el tratamiento de los datos persones que le conciernen» El hecho de que el cartel informativo ocupe un lugar destacado en la única vía de acceso, junto con que la persona que capta las imágenes esta accesible en todo momento en opinión de la mercantil “La posada de las animas” dan respuesta a la necesidad de una clara acción afirmativa, mediante el acceso al establecimiento y el no comunicar impedimento alguno a la persona que realiza las fotografías. En lo que respecta a la responsabilidad de retirar la imagen , es evidente que corresponde al propio interesado , de forma desproporcionada, en lo que corresponde a esta calificación se considera desde la mercantil que no corresponde a la realidad , ya que no solo podía haber comunicada a la fotógrafa que borrase el clip de video , sino que en cuanto quiso se pudo poner en contacto telefónico con el establecimiento , también podría haberlo realizado mediante correo electrónico , en todo caso las imágenes y clips de video se borran por defecto con carácter semanal. Es por ello se solicita se tenga por presentado el presente escrito y se proceda a cerrar el expediente abierto contra la POSADA LAS ANIMAS VIGO SPAIN SL.” SEXTO: Con fecha 3 de septiembre de 2020, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por reproducidos, a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por la Subdirección General de Inspección de Datos y las alegaciones presentadas por el reclamado. SÉPTIMO: Con fecha 13 de octubre de 2020 se formuló propuesta de resolución, proponiendo que se impusiera al reclamado una sanción de apercibimiento, por sendas infracciones de los artículos 6.1 y 7 del RGPD, tipificadas en el artículo 83.5 de la misma norma. En esta propuesta se condecía un plazo de 10 días para que el reclamado pudiera alegar cuanto considerase en su defensa así como presentar los documentos e informaciones que considerase pertinentes, de acuerdo con el artículo 89.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP). El día 30 de octubre, el reclamado presentó escrito de alegaciones en el que manifestaba lo siguiente: “[…] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 1- La propuesta de resolución se basa en “El hecho de que la mera existencia de un cartel informativo no garantiza que todos los clientes que acceden al local sean conscientes de la posible captación de su imagen física” esto según se indica les impide cumplir los dispuesto en el artículo 7.1 del RGPD “Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales” 2- No existiendo normativa específica acerca de la señalización en materia de protección de datos habría que extrapolar esa normativa de las dos únicas normativas existentes en la materia y de las cuales se extrapola toda la base legal de otro tipo de señales no contempladas en ellas. el Real Decreto Legislativo 339/1990 de 2 de Marzo por el que se aprueba el texto articulado de la ley sobre tráfico, circulación de Vehículos a motor y señalización vial y el otro el RD 485 de señalización en materia de seguridad y salud. En ambos casos se establece un sistema de señalización mediante paneles de diferente índole (Prohibición, advertencia obligación, etc.) donde Todos los usuarios de las vías objeto de esta Ley están obligados a obedecer las señales de la circulación que establezcan una obligación o una prohibición y a adaptar su comportamiento al mensaje del resto de las señales reglamentarias que se encuentren en las vías por las que circulan.( art 53.1 del Reglamento) Este párrafo junto con la amplia y abundante jurisprudencia es lo que lleva al hecho de que si una señal informativa de panel en una empresa privada (RD485/97) o en vía pública (RD 339/1990) indica que la velocidad máxima es de 20 KM y accedo a la vía estoy aceptando que dicha velocidad máxima es de 20 Km hora. Sin tener efecto liberatorio el hecho de que la señal fuese vista o no (siempre que exista). Este principio extrapolado a todo tipo de señalización es que crea señales tan dispares como Unas llevan el color azul de obligación, otras el rojo de emergencia, sin embargo ninguna esta estandarizada ya que no es para regular la circulación vial ni las condiciones de acceso y seguridad en el trabajo. Tampoco la señal de advertencia de la mercantil, la posada de las animas Vigo Spain lo está, sin embargo deja clara la advertencia “Se realizan fotografías de ambiente que se suben a las redes sociales”. Esta señalización al estar colocada en la única puerta de acceso, cumple perfectamente los requisitos de una señalización de advertencia. Pudiendo la persona que no desee consentir el no acceder. El hecho de que no se pueda garantizar la lectura de la señal de advertencia no la inválida ni el cumplimiento de los requisitos que extrapolando de la abundante jurisprudencia en señales de panel tan solo podría ser por alguno de estos motivos. - Que la señal no esté tapada o oculta de tal forma que se impida su visualización. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 - Que sea legible - Que anteceda a la obligación, zona de peligro, etc - Que en concurrencia con otras señales sea contradictoria. Ninguno de estos motivos se da y por tanto el reclamante accede al interior del local pudiendo estar informado o no, pero en ningún momento se le ha negado el derecho a la información y por tanto su consentimiento al acceder de forma expresa al establecimiento es libre y consciente. El imponer un apercibimiento por esta cuestión elimina la validez de las señales de panel informativas en cualquier campo ya que en todos se basa en la misma normativa de referencia. En lo que respecta a la facilidad (Simetría) art 7.3 ,de oponerse a ser grabado o fotografiado vuelvo al art 7.1 ya comentado del consentimiento expreso demostrado al acceder al local , pudiendo estar debidamente informado y como lo cual aceptando de forma expresa y voluntaria la posibilidad de estar siendo grabado o fotografiado.” A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: El reclamante presentó un escrito el día 28 de octubre de 2019 ante la Agencia de Protección de Datos que el que pone de manifiesto que el día 21 de septiembre de 2019 el establecimiento POSADA DE LAS ÁNIMAS VIGO publicó en la red social Instagram un vídeo de su persona mientras se encontraba en el interior de dicho establecimiento, vídeo que habría sido grabado sin su consentimiento (y presuntamente editado). Aporta al respecto capturas de pantalla. SEGUNDO: El establecimiento hostelero realiza fotografías y videos de ambiente de algunos de sus clientes. Dichas fotografías y videos son tomados por una fotógrafa y publicados en el perfil del establecimiento en una red social durante un período temporal de una semana. TERCERO: El reclamado tiene colocado un cartel en la entrada del establecimiento en el que se avisa de que en el interior se realizan fotografías y vídeos de ambiente para su publicación en la página oficial y que con la entrada al establecimiento se presume el consentimiento del cliente. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se imputa al reclamado la comisión de una infracción por vulneración del artículo 6.1 del RGPD, que señala que: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Asimismo, se imputa una infracción del artículo 7 del mismo texto legal, que dispone que: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud del consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello Será tan fácil retirar el consentimiento como darlo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento de datos personales que no son necesarios para la ejecución de dicho contrato.” Las infracciones se tipifican en el artículo 83.5 del RGPD: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; […]” A efectos del plazo de prescripción de las infracciones, las señaladas en el párrafo anterior se consideran muy grave y prescriben a los tres años, conforme al artículo 72.1 de la LOPDGDD, que establece que: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: […]
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.
- c)El incumplimiento de los requisitos exigidos por el artículo 7 del Reglamento (UE) 2016/679 para la validez del consentimiento […]” III El presente procedimiento tiene su origen en la consideración como infractora de la política actual de grabación de imágenes y vídeos de clientes del establecimiento de hostelería y ocio POSADA LAS ÁNIMAS VIGO para su posterior difusión en redes sociales o página web. El reclamado fundamenta la base legítima del tratamiento en el consentimiento de los interesados. El RGPD regula las diferentes bases legítimas del tratamiento de datos personales en su artículo 6.1, y sobre esta cuestión de la licitud del tratamiento, incide asimismo el Considerando 40 del mencionado RGPD, cuando dispone que “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 De acuerdo con lo manifestado por el reclamado, este ha basado el tratamiento de datos objeto del procedimiento en el consentimiento de los interesados y a este respecto, es necesario que el mismo esté vinculado a los fines concretos del tratamiento de sus datos. En relación con la definición de consentimiento, el artículo 4.11 del RGPD supone un cambio de paradigma respecto al esquema vigente con anterioridad a la citada norma, por cuanto hace desaparecer de la realidad jurídica el denominado “consentimiento presunto”. Así, esta definición señala que se considera consentimiento del interesado aquella “manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración, o una clara acción afirmativa, el tratamiento de los datos persones que le conciernen». Respecto a la forma del consentimiento, según el Considerando 32 «El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le concierten, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud de medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta.” Y abundando en esta necesidad de declaración clara e inequívoca, el Considerando 42 establece que: “Cuando el tratamiento se lleva a cabo con el consentimiento del interesado, el responsable del tratamiento debe ser capaz de demostrar que aquel ha dado su consentimiento a la operación de tratamiento. En particular en el contexto de una declaración por escrito efectuada sobre otro asunto, debe haber garantías de que el interesado es consciente del hecho de que da su consentimiento y de la medida en que lo hace. De acuerdo con la Directiva 93/13/CEE del Consejo [de 5 de abril de 1993, sobre las cláusulas abusivas en los contratos celebrados con consumidores], debe proporcionarse un modelo de declaración de consentimiento elaborado previamente por el responsable del tratamiento con una formulación inteligible y de fácil acceso que emplee un lenguaje claro y sencillo, y que no contenga cláusulas abusivas. Para que el consentimiento sea informado, el interesado debe conocer como mínimo la identidad del responsable del tratamiento y los fines del tratamiento a los cuales están destinados los datos personales. El consentimiento no debe considerarse libremente prestado cuando el interesado no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno”. Asimismo, el artículo 7 del RGPD enumera las condiciones que deben concurrir para el otorgamiento del consentimiento y en nuestro ordenamiento, la LOPDGDD señala en su artículo 6, que lleva como rúbrica “Tratamiento basado en el consentimiento del afectado” lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13 “1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, y asea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. 2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas. 3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual.” De acuerdo, por tanto, con lo establecido en el artículo 6.1 del RGPD, en relación con los Considerandos 32 y 42, cuando el tratamiento se base en el consentimiento del afectado, para considerar válido dicho consentimiento este deberá ser informado, referirse de manera específica a finalidades concretas, prestarse de manera libre y ser inequívoco. Sobre esta cuestión, las Directrices 5/2020, adoptadas por el Comité Europeo de Protección de Datos, ofrecen unos mecanismos para ayudar a la interpretación de estos criterios y a su cumplimiento por los responsables de los tratamientos. En relación con la necesidad de que el consentimiento sea informado, habrá que acudir al artículo 13 del RGPD, artículo que determina la información que habrá de facilitarse cuando los datos se obtengan del interesado. Para lograr este fin, el artículo 11 de la LOPDGDD articula la forma de ofrecer la información del artículo 13 del RGPD, estableciendo qué información básica ha de facilitarse, al menos, de manera directa, y sin perjuicio de la debida indicación del medio o lugar donde se podrá acceder a la información completa que ha de ofrecerse en virtud del mencionado artículo 13 del RGPD. Los elementos que conforman la información a proporcionar en el supuesto de que el consentimiento se erija en la base legitimadora del tratamiento han de alcanzar a: la identidad del responsable, los fines del tratamiento o tratamientos, qué tipo de datos se recaban, la existencia del derecho a retirar el consentimiento, información de si los datos serán objeto de decisiones automatizadas y de los posibles riesgos en el supuesto de que esté prevista una transferencia internacional de datos en ausencia de una decisión de adecuación y de las correspondientes salvaguardas. El requisito de especificidad se vincula íntimamente con el requisito del consentimiento informado y hace referencia a que el consentimiento se presta únicamente para la finalidad para la que está establecido y en el supuesto de que sean varias las finalidades, el consentimiento deberá estar diferenciado para cada una de ellas. Este requisito consentimiento, deberá, lógicamente, basarse en la información específica proporcionada previamente. Un consentimiento prestado libremente significa que el interesado ha de tener una opción real para no otorgarlo. En consecuencia, no puede considerarse otorgado el consentimiento libremente cuando el sujeto no puede negar su otorgamiento sin sufrir C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 algún tipo de consecuencia negativa, extremo que deberá probar el responsable del tratamiento.. Por último, respecto a la no equivocidad, este requisito se manifestaría en que el interesado acepta de un modo indubitado el tratamiento de sus datos a través de una acción deliberadamente afirmativa y con carácter previo al comienzo del tratamiento de los datos. El RGPD no prescribe una forma concreta de registrar el consentimiento prestado y por lo tanto, corresponderá al responsable determinar aquella, en línea con el principio de responsabilidad proactiva establecido por el artículo 4.2 del RGPD, de tal manera que pueda probar que el interesado ha prestado de manera válida el citado consentimiento, es decir, que este es informado, libre, específico, y prestado de manera inequívoca. En relación con lo expuesto y de acuerdo con los hechos probados puestos de relieve en el presente procedimiento, el reclamado lleva a cabo un tratamiento de datos consistente en la toma de fotografías de los clientes del establecimiento para su posterior difusión en las redes sociales basándose en el consentimiento, que no es conforme con la normativa de protección de datos por las siguientes razones. Así, en aquellos supuestos en los que las fotografías captadas afectan a personas identificables y que no son conscientes del momento en que esas fotografías están siendo tomadas, no puede considerarse que el consentimiento recabado sea válido ya que: 1. No se posible acreditar que las personas objeto de las imágenes han sido debidamente informadas. El hecho, por sí solo, de disponer de un cartel de dimensiones adecuadas a la entrada del local (ocupa más de un 25% del marco de entrada al local), aun cuando recoja al menos la información básica dispuesta en el artículo 11 de la LOPDGDD y señale una dirección donde acudir para conocer el resto de la información que se debe proporcionar a los interesados no es suficiente para aquellos tratamientos de datos cuya base legitimadora sea el consentimiento ya que no permite acreditar que todas y cada una de las personas cuyos datos van a ser tratados, han leído el cartel y han sido informadas. Cuestión diferente resultaría, por ejemplo, del tratamiento de datos llevado a cabo por razones de seguridad a través de una cámara de videovigilancia, tratamiento de datos cuya base legitimadora es el interés público y no el consentimiento, y donde el requisito de del deber de información se entiende cumplido con la disposición de un cartel que reúna los requisitos mínimos. 2. No puede considerarse que las personas que son captadas sin ser conscientes de su grabación hayan consentido indubitadamente la toma de una fotografía o vídeo de su imagen física por cuanto es posible que ni siquiera sepan que están siendo objeto de ese tratamiento. Como se ha señalado anteriormente, el consentimiento presunto ha dejado de tener validez en el marco de la normativa de protección de datos surgida a partir de la aprobación del RGPD, debiendo ser expreso. Por su parte, en aquellas fotografías en las que el cliente aparece mirando directa e intencionalmente a la cámara, sí sería posible concluir, a diferencia del supuesto anterior, que el consentimiento es inequívoco. Ahora bien, es importante señalar que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13 en estos casos, debe cumplirse, de todas las maneras, todos los requisitos que se han mencionado anteriormente como necesarios para la prestación de un consentimiento válido, lo que implica, por tanto, la necesidad de que el consentimiento sea además informado para todas y cada una de las finalidades (en este caso, la captación de la imagen y su posterior difusión a través de redes sociales) y libre, debiendo estar el responsable debe en condiciones de acreditar que estos extremos se han cumplido en todos los casos. Teniendo en cuenta lo anterior, no pueden acogerse, por tanto, las alegaciones del reclamado ya que estas se asientan sobre la base de que el reclamado proporciona una información claramente visible a la entrada del establecimiento y que recaería en la esfera de responsabilidad de los clientes el hecho de leerla o no; como se ha señalado, el marco que configura el RGPD para los tratamientos de datos personales cuya base legitimadora sea el consentimiento de los interesados exige una clara acción afirmativa en la prestación de dicho consentimiento que deberá cumplir todas y cada una de las condiciones a que se ha hecho referencia más arriba, eliminando de esta forma el denominado consentimiento tácito o presunto. Por ende, para cumplir con la normativa de protección de datos cuando la base legitimadora del tratamiento la constituya el consentimiento del interesado, la sola puesta a disposición de este de una información —cuya lectura en este caso ni siguiera puede ser acreditada— se configura como un presupuesto necesario pero no suficiente. Por otra parte, se indica que, frente a la afirmación de la ausencia de normativa de señalización en materia de protección de datos, aunque es cierto que no existen disposiciones acerca del tipo de señales informativas, los artículos 13 y 14 del RGPD recogen la información que el responsable está obligado a suministrar en función de si los datos se obtienen o no del interesado y el artículo 11 de la LOPDGDD ofrece un medio de cumplimiento de esta obligación a través del denominado sistema de capas (en las que se distingue entre información básica que debe ser facilitada inmediatamente y la información complementaria que puede ser ofrecida en una segundo momento). La forma de cumplimiento de este deber de información dependerá, lógicamente del tipo de tratamiento en concreto, siendo responsabilidad del responsable el diseño y ofrecimiento de esa información. IV Sin perjuicio de lo establecido en el artículo 83.5, apartados
- a)y b), del RGPD, su art. 58.2
- b)dispone la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 En el presente caso, al decidir la sanción que corresponde imponer, se han tenido en cuenta los siguientes elementos: Que se trata de una mercantil cuya actividad principal no está vinculada con el tratamiento de datos personales. Que no se aprecia reincidencia ni reiteración, por no constar la comisión de infracciones anteriores en materia de protección de datos. Por todo ello, se considera que la sanción que correspondería imponer es de apercibimiento, de acuerdo con lo establecido en el artículo 58.2
- b)del RGPD, en relación con lo señalado en el Considerando 148, antes citados. Por otra parte, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá «ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado […]”, el responsable deberá adoptar las medidas necesarias para acreditar que el consentimiento prestado por los interesados es informado, específico, libre e indubitado. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a POSADA LAS ANIMAS VIGO SPAIN, S.L., con NIF B27793926, por sendas infracciones de los artículos 6.1 y 7 del RGPD, tipificadas en el artículo 83.5 de la citada norma, una sanción de APERCIBIMIENTO. SEGUNDO: ORDENAR a POSADA LAS ANIMAS VIGO SPAIN, S.L para que acredite, en el plazo máximo de UN MES desde la notificación de esta resolución, la adopción de las medidas necesarias para acreditar que el consentimiento prestado por los interesados es informado, específico, libre e indubitado. TERCERO: NOTIFICAR la presente resolución a POSADA LAS ANIMAS VIGO SPAIN, S.L. e informar al reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es