PS-00191-2022

(26)Los principios de la protección de datos deben aplicarse a toda la información relativa a una persona física identificada o identificable. Los datos personales seudonimizados, que cabría atribuir a una persona física mediante la utilización de información adicional, deben considerarse información sobre una persona física identificable. Para determinar si una persona física es identificable, deben tenerse en cuenta todos los medios, como la singularización, que razonablemente pueda utilizar el responsable del tratamiento o cualquier otra persona para identificar directa o indirectamente a la persona física. Para determinar si existe una probabilidad razonable de que se utilicen medios para identificar a una persona física, deben tenerse en cuenta todos los factores objetivos, como los costes y el tiempo necesario para la identificación, teniendo en cuenta tanto la tecnología disponible en el momento del tratamiento como los avances tecnológicos. Por lo tanto, los principios de protección de datos no deben aplicarse a la información anónima, es decir, información que no guarda relación con una persona física identificada o identificable, ni a los datos convertidos en anónimos de forma que el interesado no sea identificable, o deje de serlo. En consecuencia, el presente Reglamento no afecta al tratamiento de dicha información anónima, inclusive con fines estadísticos o de investigación. Concluye de lo anterior que la mera e hipotética posibilidad de singularizar a un individuo no es suficiente para considerar a la persona como identificable, y que, si teniendo en cuenta el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona no existe esa posibilidad o es insignificante, la persona no debe ser considerada como identificable y la información no debe catalogarse como datos personales, como sucede en el presente caso. Por otro lado, considera que la fundamentación que hace el acuerdo de inicio a la sentencia del Tribunal Supremo, de la Sala Primera de lo Civil (sentencia 661/2016 rec. 3318/2014-) no puede ser empleada para valorar correctamente su actuar toda vez que en aquel caso, la captación y divulgación que realizó una cadena televisiva respecto a un juicio de una víctima de violencia de género se refirió a la emisión de primeros planos de la víctima, su nombre de pila y su lugar de residencia, lo cual son identificadores suficientes para singularizar a la víctima hasta el punto de que pueda ser razonablemente identificada por un tercero, mientras que en el presente caso, la parte reclamada se limitó a divulgar una voz típica y normal de una mujer joven española, sin ningún acento particular ni características que la definan. Concluye indicando que toda vez que la voz no resulta suficiente para singularizar a la víctima hasta el punto de identificarla, no hay tratamiento de datos personales, por lo que no procede la aplicación de ninguno de los principios consagrados en el RGPD, en particular el principio de minimización del tratamiento. 2.- Hay que tener en cuenta el origen de la información, pues fue el Juzgado que instruye la causa el que distribuyó el material informativo, incluyendo el testimonio de la víctima con su propia voz, entre la generalidad de los medios de comunicación del país. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/32 Considera este elemento de trascendental importancia a la hora de valorar y calificar los hechos analizados, toda vez que la Sentencia del Tribunal de Justicia de la Unión Europea de 14 de febrero de 2019 (Asunto C 345/17, Sergejs Buivids), que también invoca el acuerdo de inicio de este procedimiento, “hace mención a diversos criterios para ponderar entre el derecho al respeto de la intimidad y el derecho a la libertad de expresión”, entre los que se encuentran, “la forma y las circunstancias en las que se obtuvo la información y su veracidad”. Presume que, al poner el Juzgado tal información a disposición de los medios de comunicación, éste habría considerado que el mismo iba a ser publicado tal y como lo había distribuido, y que esta distribución no atentaría contra los derechos de la víctima, pues en caso contrario o no lo hubiera distribuido o lo hubiera hecho con la voz distorsionada o con instrucciones claras de proceder a su distorsión, lo cual no ha sucedido. Termina diciendo que esta circunstancia es la que provocó que no se aplicaran los filtros y controles que normalmente se aplican en casos como el que nos ocupa, pues se produjo una “confianza legítima” en que el material proporcionado por el Juzgado se podía publicar sin más, lo que considera una indudable eximente. 3.- Se ha realizado una incorrecta valoración de la multa, pues se han tenido en cuenta una serie de agravantes pero ningún atenuante, en concreto: - La ausencia de antecedentes de infracciones cometidas con anterioridad. - El grado de cooperación con la AEPD con el fin de poner remedio a la supuesta infracción y mitigar los efectos adversos de la infracción, pues inmediatamente recibió la adopción de medida provisional, procedió a eliminar la noticia y dar cumplimiento íntegro a los requerimientos practicados. - La adhesión al Pacto Digital para la protección de las personas. - El carácter único y aislado de la supuesta infracción. Por otro lado, respecto al agravante de intencionalidad o negligencia, no está de acuerdo con que la AEPD considere que la parte reclamada haya sido negligente al no asegurar un procedimiento que garantizase la protección de los datos personales, pues lo que ha sucedido es que se ha emitido el audio tal cual fue difundido por el propio Juzgado, de tal modo que si existe negligencia, está en el lado del propio Juzgado. SEXTO: Con fecha 24 de mayo de 2022 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a CONECTA5 TELECINCO, S.A.U., con NIF A82432279, por una infracción del artículo 5.1.

1. c)del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de 50.000 € (cincuenta mil euros). SÉPTIMO: Notificada la propuesta de resolución conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones el 6 de junio de 2022 en el que, en síntesis, manifestaba que: 1.- Respecto a que la voz es un dato de carácter personal: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/32
2. a)Niega que la difusión de la voz de la víctima haya supuesto el riesgo cierto de que la misma haya podido ser identificada por personas que desconocían su condición de víctima, entendiendo la parte reclamada por “riesgo cierto” “el riesgo materializado, en contraposición a riesgo potencial o hipotético.” Considera que no se ha materializado tal riesgo al no constarla que la víctima haya sido identificada por personas que desconocían tal condición, pues no ha recibido ninguna reclamación al respecto. Entiende la parte reclamada que “si la víctima hubiera sido identificada por personas de su entorno que desconocían su condición de tal debido a la difusión de su declaración (voz) por CONECTA5, ésta persona habría sido la primera en ejercitar cualesquiera derechos y acciones legales que le pudieran asistir.”
3. b)Se pregunta qué información adicional ha difundido o existía a disposición de “ese segmento mayor de la población” al que alude la propuesta de resolución para poder identificar a la víctima más allá de que se trata de una mujer joven y que se encontraba en ***LOCALIDAD.1 el día que fue víctima de una agresión sexual.
4. c)Reitera que la voz de la víctima, junto con el resto de información que se encontraba disponible por la población, no son identificadores suficientes para poder singularizar a la víctima hasta el punto de identificarla.
5. d)No niega que la voz tenga rasgos que la hacen única, pero niega que tal voz pueda singularizar a la víctima entre todas las mujeres jóvenes que estaban en ***LOCALIDAD.1 el día de los hechos.
6. e)Reitera la crítica que hizo en las alegaciones al acuerdo de inicio relativa a la invocación a la Sentencia del Tribunal Supremo, de la Sala Primera de lo Civil, sentencia 661/2016 (rec. 3318/2014). 2.- Reitera las alegaciones relativas a que el origen de la información fue el Juzgado. Indica que “en otros casos sí hemos recibido instrucciones claras por parte de las oficinas de comunicación de los juzgados con en cuanto al tratamiento de la información distribuida. Lo cual no se produjo en el presente caso.” Invoca la letra
7. e)del epígrafe 5 del Protocolo de Comunicación de la Justicia 2020, relativo a los criterios para la grabación de imágenes de las partes intervinientes en el juicio oral, donde, indica la parte reclamada, “Ninguna mención se hace a la necesidad de aplicar tratamiento alguno a la voz, por considerar, entendemos, que no es suficiente en términos generales para identificar a la víctima.” 3.- Da por reproducidas las alegaciones realizadas en su anterior escrito, de manera subsidiaria, contra la graduación de la multa. Señala que, a pesar de lo que indica la propuesta de resolución, se ha de aplicar como atenuante la adhesión al Pacto Digital para la protección de las personas, toda vez que “se abstuvo de identificar a la víctima y no difundió información alguna que, con carácter general, hubiese servido para identificarle”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/32 De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha ***FECHA.1, la parte reclamante interpuso reclamación ante la Agencia Española de Protección de Datos denunciando que varios medios de comunicación habían publicado en sus sitios web el audio de la declaración ante el juez de una víctima de una violación múltiple, para ilustrar la noticia relativa a la celebración del juicio en un caso que fue muy mediático, facilitando los enlaces a las noticias publicadas en los sitios web de los medios reclamados. Con fecha de ***FECHA.2 se recibió nuevo escrito remitido por la parte reclamante manifestando que había podido comprobar que había medios que habían eliminado esa información, si bien acompañaba publicaciones realizadas por algunos medios de comunicación en Twitter en los que seguía estando disponible. SEGUNDO: Con fecha ***FECHA.3, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. TERCERO: La Subdirección General de Inspección de Datos, en el ejercicio de sus actividades de investigación, encontró una publicación de la parte reclamada donde se podía oír la voz de la víctima sin distorsionar en la siguiente dirección: ***URL.1 CUARTO: Con fecha de ***FECHA.4, se notificó a la parte reclamada medida cautelar de retirada urgente de contenido o distorsionado de la voz de la víctima de forma que resultara inidentificable en las direcciones web desde el que fuera accesible este contenido, en concreto de: ***URL.1 QUINTO: Con fecha de ***FECHA.5 se recibió en esta Agencia escrito remitido por esta entidad informando de que se ha procedido a dar inmediato e íntegro cumplimiento a los requerimientos practicados. SEXTO: Consta probado en el informe de actuaciones previas de investigación de fecha 24 de enero de 2022 que se comprobó lo manifestado por la parte reclamada en su escrito de ***FECHA.5, esto es, se constató que la noticia ya no está disponible en esta dirección: ***URL.1 FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/32 De acuerdo con los poderes que el artículo 58.2 del RGPD otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Respecto a las diversas consideraciones que realiza la parte reclamada respecto a la consideración de la voz como dato personal, hay que señalar que la voz de una persona es un dato personal y la identifica o la hace identificable de manera unívoca, con independencia del número de personas que puedan reconocerla y de los datos adicionales que haya en el supuesto. Efectivamente, la voz encaja a la perfección en la definición de lo que es un dato de carácter personal del artículo 4.1) del RGPD: “«datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” La voz es un atributo personal propio e individual de cada persona física que se define por su altura, intensidad y timbre. Dotada de rasgos distintivos únicos y singulares que la individualizan de manera directa, asociándola a un individuo concreto, es moldeada al hablar, pudiendo conocer, a través de ella la edad, el sexo, el estado de salud del individuo, su manera de ser, su cultura, su origen, su estado hormonal, emocional y psíquico. Elementos de la expresión, el idiolecto o la entonación, también son datos de carácter personal considerados conjuntamente con la voz. La voz se produce cuando el aire pasa desde los pulmones, por las vías respiratorias (tráquea) y a través de la laringe, provocando que las cuerdas vocales vibren, creando el sonido. Sonido que se convierte en palabras gracias a los músculos que controlan el paladar blando, la lengua y los labios, sin olvidarnos de la cavidad donde se encuentran estos músculos, que actúa de caja de resonancia. Como se puede apreciar, son diversos los órganos que intervienen en el habla, diferentes en cada una de las personas, de hecho, y a modo de ejemplificación, las cuerdas vocales de los hombres son más largas y gruesas que las de las mujeres y niños, razón por la que la voz de aquellos es más grave que la de éstas, al igual que el sonido de un contrabajo es más grave que el de un violín. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/32 Pero aun así, no todas las cuerdas vocales de los hombres son igual de largas, motivo por el que hay hombres con la voz más o menos grave, al igual que sucede con las de las mujeres, motivo por el que hay mujeres con la voz más o menos aguda. Además, ya hemos visto que no sólo intervienen en la producción de la voz las cuerdas vocales, sino muchos más órganos que, dependiendo de su fuerza y estructura harán que cada voz sea única y diferente. Por ello, podemos identificar a las personas que conocemos por la voz sin necesidad de verlas (por ejemplo, cuando mantenemos una conversación telefónica con alguien de nuestro entorno o escuchamos a alguien conocido por la radio). De hecho, la parte reclamada reconoce en su escrito de alegaciones a la propuesta de resolución que somos “capaces de recordar no más de unas pocas decenas de voces”, lo que implica que podemos identificar a esas personas. Por ello, cualquier persona que conozca a la víctima puede identificarla al escuchar su voz. La aseveración que realiza la parte reclamada diciendo que la voz de la víctima es la “típica y normal de una mujer joven española”, y por tanto, no se la puede identificar entre todas las mujeres jóvenes que se encontraban el día de autos en ***LOCALIDAD.1 es subjetiva y generalista, tanto como decir que las mujeres jóvenes españolas tienen la misma imagen. Si es obvio que no todo ese segmento de la población tiene la misma imagen, toda vez que es claramente visible que cada persona tiene unos rasgos que la hacen única, lo mismo sucede con la voz, debido a que la morfología de los órganos que intervienen en su producción, son diferentes en cada una de ellas. En esta misma línea, el informe 139/2017 del Gabinete Jurídico de esta Agencia afirma que “la imagen, así como la voz de una persona es un dato personal, al igual que lo será cualquier información que permita determinar, directa o indirectamente, su identidad (…)” De hecho, la Sentencia de la Audiencia Nacional de fecha 19 de marzo de 2014 (rec. 176/2012) dice que “la voz de una persona constituye dato de carácter personal, tal y como se deduce de la definición que del mismo ofrece el artículo 3.
8. a)de la LOPD, como «cualquier información concerniente a personas físicas identificadas o identificables», cuestión ésta que no resulta controvertida.” La voz de la víctima la identifica de forma directa en su entorno (entendido en un sentido amplio, englobando el familiar y el social), ya que, tal y como se determina en el Dictamen 4/2007 del Grupo de Trabajo del Artículo 29, “se puede considerar «identificada» a una persona física cuando, dentro de un grupo de personas, se la «distingue» de todos los demás miembros del grupo”. Es claro que la voz de cualquier persona, con independencia de que sus rasgos sean más o menos marcados, puede hacer que la misma sea identificada como mínimo por los que se integran en el círculo más cercano a la víctima o puedan conocerla de cualquier manera. Imaginemos a familiares o compañeros de trabajo o de estudios, actividades sociales, etc. Por ello, la difusión de la voz de la víctima ha supuesto el riesgo cierto de que la misma haya podido ser identificada por personas que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/32 desconocían su condición de víctima. Lo cual es un hecho especialmente grave en un suceso como el que da lugar a la noticia. No se puede compartir la interpretación que realiza la parte reclamada sobre lo que se ha de entender por “riesgo cierto”, que, según su criterio, es aquel riesgo que se ha materializado, en contraposición a riesgo potencial o hipotético. En el ámbito de protección de datos, las Directrices del Grupo de Trabajo del Artículo 29 sobre la evaluación de impacto relativa a la protección de datos (EIPD) y para determinar si el tratamiento «entraña probablemente un alto riesgo» a efectos del Reglamento (UE) 2016/679, adoptadas el 4 de abril de 2017 y revisadas por última vez y adoptadas el 4 de octubre de 2017, define qué es un riesgo: “Un «riesgo» es un escenario que describe un acontecimiento y sus consecuencias, estimado en términos de gravedad y probabilidad”. En consonancia con lo anterior el considerando 75 del RGPD dispone que “Los riesgos para los derechos y libertades de las personas físicas, de gravedad y probabilidad variables, pueden deberse al tratamiento de datos que pudieran provocar daños y perjuicios físicos, materiales o inmateriales …”, poniendo de manifiesto que el riesgo es una circunstancia que puede dar lugar a daños y perjuicios de todo tipo, sin necesidad de que se materialice. Asimismo, si acudimos al Diccionario de la Lengua Española, encontraremos que “riesgo” viene definido como “contingencia o proximidad de un daño.” Y “cierto” como “conocido como cierto, seguro e indubitable.” Considerar que “riesgo cierto” es, solo y exclusivamente, aquel riesgo que se ha materializado, y por tanto, ha causado un daño, implicaría excluir del concepto a aquellas contingencias que, siendo ciertas, seguras e indubitables, se han neutralizado y no han llegado a causar daño alguno. Por tanto, “riesgo cierto” es aquel que es “cierto, seguro e indubitable”, aquel que existe, con independencia de si finalmente ha causado daño o no. Lo que se traduce, en el presente caso, en que es indiferente que alguien haya identificado o no a la víctima a través de su voz, porque lo cierto es que existía el riesgo de que alguien la identificara. También es irrelevante la consideración que realiza la parte reclamada relativa a que “si la víctima hubiera sido identificada por personas de su entorno que desconocían su condición de tal debido a la difusión de su declaración (voz) por CONECTA5, ésta persona habría sido la primera en ejercitar cualesquiera derechos y acciones legales que le pudieran asistir.”, porque lo cierto es que, aún en ausencia de reclamaciones, la parte reclamada tiene la obligación de respetar los principios relativos al tratamiento de datos personales contemplados en el artículo 5 del RGPD y ser capaz de demostrarlo en base al principio de responsabilidad proactiva (art. 5.2 del RGPD). Por otro lado, la voz también hace identificable a la víctima de forma indirecta para un segmento mayor de la población si se combina con otros datos, incluso con información adicional, atendiendo al contexto de que se trate. De nuevo el Dictamen 4/2007 aquilata que “En los casos en que, a primera vista, los identificadores C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/32 disponibles no permiten singularizar a una persona determinada, ésta aún puede ser «identificable», porque esa información combinada con otros datos (tanto si el responsable de su tratamiento tiene conocimiento de ellos como si
9. no)permitirá distinguir a esa persona de otras”. (el subrayado es nuestro). Que el responsable del tratamiento, en este caso el medio de comunicación, no sea capaz de identificar a la víctima a través de su voz, no quiere decir que no sea identificada por personas de su entorno e identificable por terceros, incluido el medio de comunicación con elementos adicionales que pueden además obtener de su función periodística. Tengamos además en consideración que, en el supuesto examinado, existe una mayor facilidad de hacer identificable a la víctima a través de su voz en atención a las circunstancias del suceso y al contexto en el que ésta se hace pública: en el marco de un procedimiento judicial muy mediático, seguido de manera continua por diversos medios de comunicación que suministran información al respecto de la víctima, de su entorno, de los violadores, y de la violación sufrida (lo que conforma información adicional). En este sentido, el considerando 26 del RGPD determina que “…Para determinar si una persona física es identificable, deben tenerse en cuenta todos los medios, como la singularización, que razonablemente pueda utilizar el responsable del tratamiento o cualquier otra persona para identificar directa o indirectamente a la persona física. Para determinar si existe una probabilidad razonable de que se utilicen medios para identificar a una persona física, deben tenerse en cuenta todos los factores objetivos, como los costes y el tiempo necesarios para la identificación, teniendo en cuenta tanto la tecnología disponible en el momento del tratamiento como los avances tecnológicos…” Recordemos que la finalidad del Derecho Fundamental a la Protección de Datos Personales es proteger a las personas sin ambages y sin excepción: tal protección no debe decaer en este caso en atención al número mayor o menor de personas que puedan reconocer, o hayan reconocido, a la víctima, o las consideraciones subjetivas sobre su identificabilidad del responsable del tratamiento, más aún en este caso, dado que lo que se ha producido es la difusión de un relato de una víctima de una violación múltiple. En conclusión, cabe identificar a una persona por su voz. La publicación del dato personal de la voz de la víctima por sí solo y sin distorsionar la puso en un riesgo cierto de ser identificada por personas que desconocían su condición de víctima. Las víctimas de agresiones sexuales, como una violación múltiple, tienen que afrontar el reto de retomar su vida una vez que el juicio ha concluido, tratando de superar las secuelas físicas y psicológicas derivadas de la experiencia traumática que han sufrido. En este sentido, su entorno juega un papel decisivo. Por desgracia, aún hoy se producen situaciones en las cuales son estigmatizadas a pesar de haber sido las víctimas, llegando, en ocasiones, a verse forzadas a cambiar de lugar de residencia. Por este motivo, es fundamental tratar con el mayor celo cualquier dato personal que permita desvelar su identidad, evitar que sea reconocida como víctima en su entorno, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/32 entendido en un sentido amplio. Aquí juega un papel decisivo el medio de comunicación, ya que el análisis de riesgos que ha de realizar con carácter previo a la publicación, y que en el presente caso no nos consta, es la última garantía con la que cuenta la víctima. III La parte reclamada reitera la crítica que hizo en las alegaciones al acuerdo de inicio relativa a la invocación a la Sentencia del Tribunal Supremo, de la Sala Primera de lo Civil 661/2016 (rec. 3318/2014), ya que esta sentencia se refiere a la captación y divulgación, en el desarrollo de un juicio de una víctima de violencia de género, de primeros planos de la víctima junto con su nombre de pila y lugar de residencia, lo que permite la identificación de la persona, a diferencia de lo que sucede en el presente caso, en el que la parte reclamada se ha limitado a divulgar “una voz típica y normal de una mujer joven española, sin ningún acento particular ni características que la definan.” Con independencia de que, como ya se indicó en la propuesta de resolución, la invocación a tal sentencia en el Fundamento de Derecho V del acuerdo de inicio se realizó para fundamentar que el Derecho Fundamental a la Libertad de Información no es absoluto, no podemos compartir la opinión de la parte reclamada relativa a que no es aplicable al presente asunto tal sentencia. A tal efecto, pasaremos a examinar la mencionada sentencia: “1.ª) No se discute el interés de la información cuestionada ni el derecho de la cadena televisiva demandada a emitir imágenes grabadas durante el acto del juicio oral de la causa penal, ya que no consta ninguna limitación al respecto acordada por el órgano judicial.” Lo mismo se podría aplicar al presente asunto, es decir, no se discute el interés de la información cuestionada ni el derecho del medio de comunicación a difundir la declaración de la víctima durante el acto del juicio oral de la causa penal, ya que no consta ninguna limitación al respecto acordada por el órgano judicial. “2.ª) El único punto controvertido es, por tanto, si la identificación de la demandante como víctima de los delitos enjuiciados en dicha causa penal, mediante primeros planos de su rostro y la mención de su nombre de pila y lugar de residencia, estaba también comprendida en el derecho fundamental de la cadena de televisión demandada a transmitir información veraz o, por el contrario, quedaba limitada por los derechos fundamentales de la demandante a su intimidad personal y a su propia imagen.” En el caso que ha dado origen al presente procedimiento sancionador, el punto controvertido es si la identificación de la interviniente como víctima de un delito contra la integridad sexual mediante la difusión de la voz sin distorsionar, está también comprendida en el derecho fundamental de la parte reclamada a transmitir información veraz o, por el contrario, quedaba limitada por el Derecho Fundamental a la Protección de Datos de Carácter Personal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/32 “3.ª) Respecto de esta cuestión la jurisprudencia ha reconocido el interés general y la relevancia pública de la información sobre causas penales (sentencia 547/2011, de 20 de julio), que se acentúan en los casos de maltrato físico y psicológico (sentencias 128/2011, de 1 de marzo, y 547/2011, de 20 de julio), pero también ha puntualizado, en cuanto a la identificación de las personas que intervienen en el juicio, que el acusado y la víctima no se encuentran en un plano de igualdad, pues en cuanto a aquel sí cabe una identificación completa, y no solo por sus iniciales, debido a la naturaleza y trascendencia social de los delitos de malos tratos (sentencia 547/2011, de 20 de julio). […] 6.ª) En definitiva, la cadena de televisión demandada debió actuar con la prudencia del profesional diligente y evitar la emisión de imágenes que representaban a la recurrente en primer plano, bien absteniéndose de emitir las correspondientes tomas, bien utilizando procedimientos técnicos para difuminar sus rasgos e impedir su reconocimiento (sentencia 311/2013, de 8 de mayo). De igual modo, también debió evitar la mención de su nombre de pila, porque este dato, insuficiente por sí solo para constituir intromisión ilegítima, pasó a ser relevante al pronunciarse en pantalla simultáneamente con la imagen de la demandante y añadirse la mención de su localidad de residencia, datos todos ellos innecesarios para la esencia del contenido de la información, como demuestran las noticias sobre el mismo juicio publicadas al día siguiente en otros medios. En el caso que estamos analizando, la parte reclamada debió actuar con la prudencia del profesional diligente, identificar el riesgo, valorarlo y adoptar medidas de seguridad adecuadas, evitando la difusión de la voz de la víctima utilizando procedimientos técnicos para distorsionar la voz e impedir su reconocimiento, como responsable del tratamiento, en el marco del Derecho Fundamental a la Protección de Datos de Carácter Personal. A mayor abundamiento, en el presente caso también hay información adicional, tal y como se expuso en el Fundamento de Derecho II, que facilita aún más la identificación de la víctima a través de su voz, ya que nos estamos refiriendo a un procedimiento judicial muy mediático, seguido de manera continua por diversos medios de comunicación que suministran información al respecto de la víctima, de su entorno, de los violadores y de la violación sufrida. De hecho, la propia parte reclamada reconoce que los datos que han trascendido capaces de atribuirse a la víctima, aparte de su voz, son su condición como tal, su sexo, y el lugar, fecha y algunos detalles de la violación múltiple. “7.ª) La identificación de la demandante mediante su imagen y los datos personales indicados y su directa vinculación con un episodio de violencia de género y otros delitos graves, cuando era previsible la revelación simultánea o posterior de datos referidos a cómo se conocieron la víctima y su agresor y a la forma en que sucedieron los hechos delictivos, supone que la pérdida del anonimato vulnerase tanto el derecho de la demandante a su propia imagen, por la emisión de sus rasgos físicos, como su intimidad personal y familiar, en la medida en que unos datos reservados, pertenecientes a su vida privada (que acudió a Internet para iniciar una relación o el contenido íntimo de algunas de sus charlas), carentes de entidad ofensiva en una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/32 situación de anonimato, pasaron a tenerla desde el momento en que cualquier persona que viera esos programas informativos y que residiera en la localidad de la víctima podía saber a quién se referían, de modo que al daño psicológico inherente a su condición de víctima de los delitos se sumó el daño moral consistente en que se conocieran datos de su vida privada que no había consentido hacer públicos”. En el presente caso, la identificación de la víctima mediante la difusión de su voz sin distorsionar, la información adicional anteriormente expuesta y su directa vinculación con un delito contra la integridad sexual, supone la pérdida del anonimato de la víctima en la medida en que tales datos permiten identificarla desde el momento en que cualquier persona que la conozca, oiga el vídeo difundido por la parte reclamada. Y ello partiendo del hecho indubitado que la voz, por sí misma, ya la identifica. IV La parte reclamada también reitera las alegaciones relativas a que el origen de la información fue el Juzgado, quien distribuyó la grabación entre todos los medios de comunicación sin aplicar ningún procedimiento previo de distorsión de la voz ni dar instrucción alguna a este respecto. Con carácter previo, hemos de aclarar cuál es el tratamiento de datos que se está analizando en el presente procedimiento. A estos efectos, el RGPD define en su artículo 4.2 el tratamiento de datos personales: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. (el subrayado es nuestro). Y es la difusión de la voz de la víctima que ha realizado la parte reclamada la que es objeto de este procedimiento, no entrando dentro del ámbito de éste otros tratamientos, como puede ser el envío que hace el Juzgado a los medios de comunicación del material difundido por la parte reclamada. Una vez delimitado cuál es tratamiento a analizar, debemos identificar quién es el responsable del mismo. El artículo 4.7) del RGPD establece que es “«responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;”. Tal y como se establece en las Directrices 07/2020 del Comité Europeo de Protección de Datos sobre los conceptos de responsable del tratamiento y encargado en el RGPD, el concepto cuenta con cinco componentes principales: “la persona física o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/32 jurídica, autoridad pública, servicio u otro organismo”, “determine”, “sólo o junto con otros”, “los fines y medios” y “del tratamiento”. Además, el concepto de responsable de tratamiento es un concepto amplio, que trata de procurar una protección eficaz y completa a los interesados. Así lo ha determinado la jurisprudencia del Tribunal de Justicia de la Unión Europea. Por todas citaremos la Sentencia del TJUE en el asunto Google-Spain de 13 de mayo de 2014, C-131/12, la cual considera en un sentido amplio al responsable del tratamiento para garantizar “una protección eficaz y completa de los interesados”. Es claro que la parte reclamada es responsable del tratamiento, al decidir sobre los fines y medios del tratamiento, pues ostenta el poder para hacerlo al disponer de una influencia decisiva sobre mismos. De esta forma la finalidad es la informativa y los medios abarcan el poder de decisión desde la forma en que se distribuye o pone a disposición del público la información, hasta el contenido de ésta. El medio de comunicación dispone, a los efectos de cumplir con su finalidad, una vez que en el ejercicio de su labor periodística ha recabado toda la información precisa, qué información suministra y por qué medio, en qué términos y con qué datos personales. Así, las Directrices 07/2020 sobre los conceptos de responsable del tratamiento y encargado en el RGPD precisan que “el responsable del tratamiento es la parte que determina por qué tiene lugar el tratamiento (esto es, «con qué fin» o «para qué») y cómo se alcanzará este objetivo (es decir, qué medios se emplearán para lograrlo)”. La cesión del vídeo de la vista con la voz sin distorsionar de la víctima por parte del Juzgado a los medios de comunicación es otro tratamiento de datos diferente al que se está analizando. Por ello, que el origen de la información haya sido el Juzgado no es suficiente para eximir a la parte reclamada de su responsabilidad, porque lo que se está enjuiciando no es el suministro de la información por parte del Juzgado a los medios de comunicación, sino el tratamiento del que es responsable la parte reclamada, como es la difusión de un dato personal como la voz de la víctima. En cuanto la información llega al medio de comunicación éste, como responsable del tratamiento, es responsable de cumplir con la normativa de protección de datos, sin poder amparar el incumplimiento de la misma en el hecho de que el Juzgado le remitió así la información, dando por supuesto que tal previsión le permite publicarlo sin atender a las prescripciones del RGPD y de la LOPDGDD. Indica la parte reclamada en su escrito de alegaciones a la propuesta de resolución que “en otros casos sí hemos recibido instrucciones claras por parte de las oficinas de comunicación de los juzgados con en cuanto al tratamiento de la información distribuida. Lo cual no se produjo en el presente caso.”. Asimismo, se refiere a la letra
10. e)del epígrafe 5 del Protocolo de Comunicación de la Justicia 2020, relativo a las pautas para la grabación de imágenes. Tal apartado indica que “Con el objetivo de conciliar el derecho a la información con el derecho al honor, la intimidad y la propia imagen de las partes que intervienen en el proceso, se recomienda seguir estas pautas para la grabación de imágenes:” (el subrayado es nuestro). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/32 Y es que las oficinas de comunicación de los juzgados no pueden realizar mandatos a los medios de comunicación, sino advertencias, recomendaciones. A tal efecto, hay que acudir al epígrafe 6 del Protocolo de Comunicación de la Justicia 2020, relativo a la protección de datos de carácter personal, que hace referencia a la transmisión, por parte de las oficinas de comunicación, del texto de la resolución judicial a los medios de comunicación. En dicho apartado figura el texto de una advertencia sobre la responsabilidad del medio de comunicación en la difusión de datos personales contenidos en el texto de la resolución judicial que ha de incluirse de forma obligatoria en todos los envíos a los medios de comunicación: “Esta comunicación no puede ser considerada como la publicación oficial de un documento público. La comunicación de los datos de carácter personal contenidos en la resolución judicial adjunta, no previamente disociados, se realiza en cumplimiento de la función institucional que el artículo 54.3 del Reglamento 1/2000, de 26 de julio, de los órganos de gobierno de los tribunales, atribuye a esta Oficina de Comunicación, a los exclusivos efectos de su eventual tratamiento con fines periodísticos en los términos previstos en el artículo 85 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales. En todo caso será de aplicación lo dispuesto en la normativa de protección de datos de carácter personal al tratamiento que los destinatarios de esta información lleven a cabo de los datos personales que contenga la resolución judicial adjunta, que no podrán ser cedidos ni comunicados con fines contrarios a las leyes.” (el subrayado es nuestro). En conclusión, corresponde al medio de comunicación, en calidad de responsable del tratamiento, decidir qué y cómo publica. Podría decidir publicar la información a pesar de la recomendación recibida, optar por no publicar o decidir distorsionar la voz de la víctima a fin de evitar que sea reconocida, aún en el caso de no haber recibido ninguna advertencia en este sentido. Es decir, que la advertencia que puede hacer el juzgado no impide la publicación de los datos personales, de igual modo que la ausencia de la misma no legitima a publicar todos los datos personales. Y es que, si se sigue la interpretación que defiende la parte reclamada, el tratamiento que lleva a cabo el medio de comunicación estaría totalmente subordinado o condicionado por las indicaciones que recibe del órgano judicial, no siendo este el caso. A la vista de lo expuesto cabe afirmar: 1. Los tratamientos de datos que llevan a cabo el órgano judicial y el medio de comunicación son diferentes, no siendo objeto del presente procedimiento el primero de ellos. 2. No cabe defender que el tratamiento que realiza el medio de comunicación se encuentre subordinado o totalmente condicionado por las decisiones, que, en materia de protección de datos, haya adoptado previamente el órgano judicial. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/32 3. Lo que el medio de comunicación, en este caso la parte reclamada, haga posteriormente con la información no es responsabilidad del Tribunal, sino del medio de comunicación en calidad de responsable del tratamiento. En todo caso, el RGPD ha supuesto un cambio trascendental en la forma de entender el derecho a la protección de datos de carácter personal, siendo una de las novedades más relevantes la responsabilidad proactiva, contemplada en el artículo 5.2 de dicho Reglamento: “2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” La responsabilidad proactiva implica que el responsable de tratamiento es responsable del tratamiento de datos que lleva a cabo. No solo ha de cumplir los principios consagrados en el artículo 5.1, sino que ha de ser capaz de demostrarlo. Esa responsabilidad lleva implícita la necesidad de adoptar decisiones -determinación de los fines y los medios del tratamiento que va a llevar a cabo-, así como de rendir cuentas por las decisiones adoptadas. En este sentido, el considerando 74 del RGPD prevé lo siguiente: “Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como el riesgo para los derechos y libertades de las personas físicas.” (el subrayado es nuestro). En aquellos supuestos en los que exista una “cadena de tratamiento”, esto es, tratamientos distintos y subsecuentes efectuados por diferentes responsables del tratamiento, cada responsable responderá por las decisiones que adopte en su ámbito correspondiente respecto a su tratamiento. No pudiendo ampararse para eximirse de su responsabilidad en lo que hizo el responsable del tratamiento anterior, al igual que no se le va a exigir responsabilidad por las decisiones que adopte el responsable del tratamiento que se encuentre a continuación en la cadena. En este sentido, cabe citar la Sentencia del Tribunal de Justicia de la Unión Europea en el asunto Fashion ID, C-40/17, ECLI:EU:2018:1039, la cual falla sobre un caso en el que una empresa de comercio electrónico insertó en su sitio de internet el módulo social “me gusta” de la red social Facebook, lo que implicaba que a ésta se transmitían datos personales de los visitantes del sitio de internet de la empresa de comercio electrónico con independencia de si los visitantes eran miembros de la mencionada red social o si clicaron en el botón “me gusta” de Facebook. En su apartado 74 establece que “En cambio, y sin perjuicio de una eventual responsabilidad civil prevista en el Derecho nacional al respecto, dicha persona física o jurídica no puede ser considerada responsable, en el sentido de dicha disposición, de las operaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/32 anteriores o posteriores de la cadena de tratamiento respecto de las que no determine los fines ni los medios”. En consecuencia, cualquier operación de tratamiento que se realice en el ámbito del reclamado (en este caso la difusión de un dato personal con ocasión de la noticia) debe imputarse solo al medio de comunicación, con independencia de las operaciones de tratamiento que se hayan realizado previamente por otros sujetos y que, en ningún caso, le eximen de su responsabilidad. En definitiva, no se puede tener en cuenta la alegación de que la ausencia de mención alguna por parte del juzgado de realizar tratamiento alguno a la voz le permitía difundir el material sin más porque, tal y como se ha expuesto, el medio de comunicación actuaba en calidad de responsable del tratamiento y, como tal, tenía que cumplir con la normativa en materia de protección de datos, aplicando, entre otros, con el principio de minimización de datos consagrado en el artículo 5.1.
11. c)del RGPD. V La parte reclamada invoca, en su escrito de alegaciones al acuerdo de inicio, la Sentencia del Tribunal de Justicia de la Unión Europea de 14 de febrero de 2019 (Asunto C 345/17, Sergejs Buivids), que “hace mención a diversos criterios para ponderar entre el derecho al respeto de la intimidad y el derecho a la libertad de expresión”, entre los que destaca la parte reclamada “la forma y las circunstancias en las que se obtuvo la información y su veracidad”. Tal sentencia fue citada en el acuerdo de inicio para poner de manifiesto que los medios de comunicación, para la consecución de los fines que le son propios y la conformación de una opinión pública libre en una sociedad democrática, pueden obtener todo tipo de información en el ejercicio de su función periodística para poderla suministrar posteriormente a la ciudadanía. La lectura que realiza ahora la parte reclamada de la anterior sentencia es parcial, toda vez que se refiere a uno de los criterios de ponderación entre el derecho al respeto de la intimidad y el derecho a la libertad de expresión, obviando el resto, a los que sí hace referencia el acuerdo de inicio: “la contribución a un debate de interés general, la notoriedad de la persona afectada, el objeto del reportaje, el comportamiento anterior del interesado, el contenido, la forma y las repercusiones de la publicación,” además de “la forma y las circunstancias en las que se obtuvo información y su veracidad”. Lo que implica que no solamente se ha de tener en cuenta el origen y veracidad de la información, sino otras circunstancias concurrentes, como, en el presente asunto, el interés general y la notoriedad de la persona afectada. Ya se ha indicado en el acuerdo de inicio que, para que un asunto sea considerado de interés general, de relevancia pública, lo será no sólo por la persona que intervenga, sino también por la materia a la que se refiere. Deben concurrir ambos requisitos, resultando, a mayor abundamiento de lo significado en el apartado anterior, que en el supuesto examinado la víctima no es una persona pública; más bien al contrario, es de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/32 gran interés que no sea reconocida por terceras personas, por lo que puede suponer una nueva penalidad a la ya sufrida. La víctima es una persona anónima y debe seguir siéndolo, de tal forma que se garanticen plenamente sus derechos fundamentales. En el presente caso, (
12. i)ni estamos ante un personaje de relevancia pública, en el sentido de que tal relevancia sea suficiente para entender que supone, ex lege, una desposesión de su derecho fundamental a la protección de sus datos personales, y (
13. ii)si bien estamos ante hechos “de relevancia pública”, en el sentido de que se revelen como “necesarios” para la exposición de las ideas u opiniones de interés público, esa necesidad no alcance a que se faciliten datos que identifiquen a la víctima. En todo caso, ésto no significa, tal y como ha expuesto el acuerdo de inicio, de dotar de prevalencia a un derecho fundamental sobre otro, debiendo elegir cuál tiene más peso en un supuesto específico, sino, más bien, de encontrar un equilibrio entre ambos para logar la consecución del Derecho Fundamental a la Libertad de Información sin desvirtuar el Derecho Fundamental a la Protección de Datos de Carácter Personal. De hecho, en el presente supuesto la parte reclamada procedió, a raíz del requerimiento realizado por la AEPD el ***FECHA.4, a eliminar la noticia del link ***URL.1. Pero podía haber optado, tal y como indicaba el mencionado requerimiento, a haber distorsionado la voz de la víctima, sin perjuicio de lo cual la información hubiera seguido estando disponible y se seguiría suministrando con toda su amplitud, lo que pone de manifiesto que para suministrar esta concreta información no era necesario, en los términos del art. 5.1.
14. c)del RGPD dar difusión a la voz de la víctima. VI Termina la parte reclamada dando por reproducidas las alegaciones realizadas, de manera subsidiaria, en su escrito de alegaciones al acuerdo de inicio, contra la graduación de la multa, en el que criticaba que no se habían tenido en cuenta los siguientes atenuantes: - La ausencia de antecedentes de infracciones cometidas con anterioridad. - El grado de cooperación con la AEPD con el fin de poner remedio a la supuesta infracción y mitigar los efectos adversos de la infracción, pues inmediatamente recibió la adopción de medida provisional, procedió a eliminar la noticia y dar cumplimiento íntegro a los requerimientos practicados. - La adhesión al Pacto Digital para la protección de las personas, toda vez que “se abstuvo de identificar a la víctima y no difundió información alguna que, con carácter general, hubiese servido para identificarle”. - El carácter único y aislado de la supuesta infracción. En primer lugar, en cuanto a la ausencia de antecedentes de infracciones cometidas con anterioridad, la Sentencia de la Audiencia Nacional, de 5 de mayo de 2021, rec. 1437/2020, nos suministra la contestación: “Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
15. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/32 agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”. En segundo lugar, el grado de cooperación con la Agencia tampoco puede considerarse un atenuante toda vez que las órdenes de retirada que ésta emite son de obligado cumplimiento conforme a lo dispuesto en el artículo 69 de la LOPDGDD. La consideración de la cooperación con la Agencia como atenuante, tal y como pretende la parte recurrente, no está ligada a ninguno de los supuestos en los que pueda existir una colaboración o cooperación o requerimiento por mor de un mandato legal, cuando las actuaciones son debidas y obligadas por la Ley, como en el caso que nos ocupa. En tercer lugar, la voz es un dato personal que identifica o hace identificable a una persona de manera unívoca, tal y como señalamos en el Fundamento de Derecho II, por lo que no se puede considerar como circunstancia atenuante que la parte reclamada esté adherida al Pacto Digital para la protección de las personas toda vez que lo que ha sucedido es un claro incumplimiento del punto 1º del mismo: "Los firmantes de la Carta se abstendrán de identificar de forma alguna a las víctimas de agresiones, hechos violentos o de contenido sexual en sus informaciones o de publicar información de la que, con carácter general, pueda inferirse su identidad cuando se trate de personas sin relevancia pública. Todo ello sin perjuicio de que las personas no públicas puedan verse involucradas en hechos noticiables, en cuyo caso la cobertura informativa será la necesaria para dar adecuado cumplimiento al derecho a la información, atendiendo a las peculiaridades de cada caso". Por otro lado, la parte reclamada en su escrito de alegaciones al acuerdo de inicio también discrepaba de que haya negligencia por su parte, pues ha emitido el audio tal cual fue difundido por el propio Juzgado, de tal modo que, si existe negligencia, está en el lado del propio Juzgado. No se puede estar más en desacuerdo con tal afirmación. Por un lado, porque, como se ha expuesto en el Fundamento de Derecho IV, lo que se está analizando en el presente procedimiento es la difusión de la voz de la víctima sin distorsionar por la parte reclamada. Y por otro lado, porque los medios de comunicación son responsables del tratamiento que de manera habitual distorsionan la voz con la finalidad de que no se reconozca a la persona que habla, tal y como indica el acuerdo de inicio cuando se refiere a la negligencia de la parte reclamada al no asegurar un procedimiento que garantizase la protección de los datos personales en unas circunstancias tan sensibles, ya que nos estamos refiriendo a una mujer (...) víctima de un delito violento y contra la integridad sexual. Por todo lo expuesto, se desestiman todas las alegaciones formuladas por la parte reclamada tanto al acuerdo de inicio como a la propuesta de resolución. VII La voz de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal al hacerla identificable, y su protección, por tanto, es objeto de dicho RGPD: “«datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/32 un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” La voz es un atributo personal propio e individual de cada persona física que se define por su altura, intensidad y timbre. Dotada de rasgos distintivos únicos y singulares que la individualizan de manera directa, asociándola a un individuo concreto, es moldeada al hablar, pudiendo conocer, a través de ella la edad, el sexo, el estado de salud del individuo, su manera de ser, su cultura, su origen, su estado hormonal, emocional y psíquico. Elementos de la expresión, el idiolecto o la entonación, también son datos de carácter personal considerados juntamente con la voz. Por ello, el informe 139/2017 del Gabinete Jurídico de esta Agencia afirma que “la imagen así como la voz de una persona es un dato personal, al igual que lo será cualquier información que permita determinar, directa o indirectamente, su identidad (…)” De hecho, la Sentencia de la Audiencia Nacional de fecha 19 de marzo de 2014 (rec. 176/2012) dice que “la voz de una persona constituye dato de carácter personal, tal y como se deduce de la definición que del mismo ofrece el artículo 3.
16. a)de la LOPD, como «cualquier información concerniente a personas físicas identificadas o identificables», cuestión ésta que no resulta controvertida.” El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” La inclusión de la voz de una persona en publicaciones periodísticas, que identifica o hace identificable a una persona, supone un tratamiento de datos personales y, por tanto, el responsable del tratamiento que efectúa el mismo está obligado a cumplir con las obligaciones que para el responsable del tratamiento se disponen en el RGPD y en la LOPDGDD. VIII El presente procedimiento se inicia porque la parte reclamada publicó, en el sitio web referido en los hechos, el audio de la declaración ante el juez de una víctima de una violación múltiple, para ilustrar la noticia relativa a la celebración del juicio en un caso que fue muy mediático. La voz de la víctima se apreciaba con toda nitidez al relatar con toda crudeza de detalles la violación múltiple sufrida. Todo ello, constituye un tratamiento de datos personales de la víctima. Las personas tienen el poder de disposición sobre sus datos personales, incluyendo su voz, así como sobre su difusión, resultando, sin lugar a dudas, merecedora de protección la persona cuyos datos personales se difundan vulnerando el ordenamiento jurídico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/32 Así, la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, dispone que “el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos”. En este sentido, y con independencia de cuál sea la base jurídica legitimadora del tratamiento, todo responsable del tratamiento ha de respetar los principios del tratamiento recogidos en el artículo 5 del RGPD. Destacaremos el artículo 5.1.
17. c)del RGPD que establece que: “1. Los datos personales serán
18. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);” No obstante, nos encontramos ante un derecho fundamental que no es absoluto, puesto que llegado el caso el Derecho Fundamental a la Protección de Datos puede ceder ante la prevalencia de otros derechos y libertades también constitucionalmente reconocidos y protegidos, como, por ejemplo, el Derecho Fundamental a la Libertad de Información, ponderándose ello caso a caso. Sin embargo, en el presente supuesto, como expondremos, se debe considerar que el tratamiento llevado a cabo por la parte reclamada en el marco de la libertad de información ha sido excesivo, al no existir un interés público informativo prevalente en la difusión de la voz de la víctima -sin que aporte valor añadido alguno a la información el mantener la voz real de la víctima (sin distorsionar, por ejemplo)-, bajo cuyo pretexto parece que se han divulgado aquellos datos; voz que, sumado al hecho de tratarse de un caso muy mediático, hace claramente identificable a la víctima. Al ponderar los intereses enfrentados y, atendiendo a las circunstancias concurrentes de este caso, esto es, la naturaleza especialmente sensible de los datos personales y la intensa afectación a la intimidad de la víctima, merece mayor protección el interés de la titular del derecho a la protección de sus datos personales y a que no se difundan frente al pretendido interés público en su difusión. IX En la pugna entre los Derechos Fundamentales a la Libertad de Información en relación con el Derecho Fundamental a la Protección de Datos Personales, aun C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/32 cuando se reconoce igual grado de protección a ambos derechos constitucionales, ordinariamente el primero suele ser dotado de prevalencia por nuestros tribunales, tras valorar y ponderar todos los elementos en juego. Ahora bien, preponderancia no significa prevalencia cuando, atendidas todas las circunstancias concurrentes en un supuesto concreto, se rebasen los límites fijados normativa y jurisprudencialmente. En este sentido, el Grupo de Trabajo del Artículo 29 en su Dictamen 06/2014 sobre el concepto de interés legítimo del responsable del tratamiento de los datos en virtud del artículo 7 de la Directiva 95/46/CE, al examinar la base jurídica del interés legítimo del artículo 7.1.
19. f)de la Directiva 95/46/CE, trasladable plenamente al actual art. 6.1.
20. f)del RGPD, incluye el derecho a la libertad de expresión o de información como uno de los supuestos en los que puede surgir la cuestión del interés legítimo aseverando que “sin perjuicio de si los intereses del responsable del tratamiento prevalecerán en último término sobre los intereses y los derechos de los interesados cuando se realice la prueba de sopesamiento”. X Dicho lo anterior, el Derecho Fundamental a la Libertad de Información tampoco es absoluto. Podemos observar límites clarísimos establecidos por los tribunales en el ámbito civil, en relación con el Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen. Así, citaremos, por todas, la Sentencia del Tribunal Constitucional 27/2020, de 24 de febrero de 2020 (recurso de amparo 1369-2017) que dispone, en relación con la imagen de una persona, y partiendo del hecho incontrovertido de que la hace identificable, que “…la cuestión debatida se reduce a ponderar si la reproducción no consentida de la imagen de una persona anónima es decir, de alguien que no es personaje público, pero que adquiere repentina e involuntariamente un papel en el hecho noticiable, en este caso como víctima del fallido intento de homicidio por parte de su hermano y el posterior suicidio de este, supuso una intromisión ilegítima en su derecho fundamental a la propia imagen (art. 18.1 CE). […] …que los sucesos criminales son acontecimientos noticiables, incluso con independencia del carácter de sujeto privado de la persona afectada por la noticia. Sin embargo, el límite está en la individualización, directa o indirecta, de la víctima, pues este dato no es de interés público porque carece de relevancia para la información que se permite transmitir (SSTC 20/1992, de 20 de febrero; 219/1992, de 3 de diciembre; 232/1993, de 12 de julio; 52/2002, de 25 de febrero; 121/2002, de 20 de mayo, y 127/2003, de 30 de junio). Así, actualmente lo reconoce la Ley 4/2015, de 27 de abril, del estatuto de la víctima del delito, en vigor desde el 28 de octubre de 2015, cuando advierte de la necesidad «desde los poderes públicos [de ofrecer] una respuesta lo más amplia posible, no solo jurídica sino también social, a las víctimas, no solo reparadora del daño en el marco de un proceso penal, sino también minimizadora de otros efectos traumáticos en lo moral que su condición puede generar, todo ello con independencia de su situación procesal. Por ello, el presente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/32 Estatuto, en línea con la normativa europea en la materia y con las demandas que plantea nuestra sociedad, pretende, partiendo del reconocimiento de la dignidad de las víctimas, la defensa de sus bienes materiales y morales y, con ello, los del conjunto de la sociedad». En supuestos como los planteados en este recurso, este Tribunal debe otorgar relevancia a la prevalencia del derecho a la imagen de la víctima del delito frente a las libertades informativas, pues la información gráfica devenía ociosa o superflua por carecer la fotografía de la víctima de interés real para la transmisión de la información, en este caso la realización aparente de un homicidio y posterior suicidio” (el subrayado es nuestro). Añadiremos la Sentencia del Tribunal Supremo, de su Sala Primera de lo Civil, 272/2011, de 11 de abril (rec. 1747/2008), en la que, respecto de los datos necesarios para suministrar una información y los límites al interés público recoge que “
21. b)La información trivial no se protege (ATC 75/2006), pero sí el hecho de facilitar datos no necesarios en un caso de violación (el nombre completo, las iniciales de los apellidos, el portal de la calle donde vivía la víctima) que no tienen relevancia comunitaria, no respetan la reserva, sólo buscan satisfacer la curiosidad, producen perturbaciones o molestias y desvelan de forma innecesaria aspectos de la vida personal y privada, permitiendo a los vecinos, personas próximas y familiares la plena identificación de la víctima y el conocimiento con lujo de detalles de un hecho gravemente atentatorio contra su dignidad (STC 185/2002) o sobre una enfermedad que no tiene interés público y afecta de manera directa al ámbito irreductible de la intimidad y que se revela al efecto de una pura broma o chanza (STC 232/1993);”. Igualmente, la Sentencia del Tribunal Supremo, de su Sala Primera de lo Civil, Sentencia 661/2016, de 10 de noviembre (rec. 3318/2014), en relación con la captación y divulgación en juicio de la imagen de una víctima de violencia de género dispuso que “1.ª) No se discute el interés de la información cuestionada ni el derecho de la cadena televisiva demandada a emitir imágenes grabadas durante el acto del juicio oral de la causa penal, ya que no consta ninguna limitación al respecto acordada por el órgano judicial. 2.ª) El único punto controvertido es, por tanto, si la identificación de la demandante como víctima de los delitos enjuiciados en dicha causa penal, mediante primeros planos de su rostro y la mención de su nombre de pila y lugar de residencia, estaba también comprendida en el derecho fundamental de la cadena de televisión demandada a transmitir información veraz o, por el contrario, quedaba limitada por los derechos fundamentales de la demandante a su intimidad personal y a su propia imagen. 3.ª) Respecto de esta cuestión la jurisprudencia ha reconocido el interés general y la relevancia pública de la información sobre causas penales (sentencia 547/2011, de 20 de julio), que se acentúan en los casos de maltrato físico y psicológico (sentencias 128/2011, de 1 de marzo, y 547/2011, de 20 de julio), pero también ha puntualizado, en cuanto a la identificación de las personas que intervienen en el juicio, que el acusado y la víctima no se encuentran en un plano de igualdad, pues en cuanto a aquel sí cabe una identificación completa, y no solo por sus iniciales, debido a la naturaleza y trascendencia social de los delitos de malos tratos (sentencia 547/2011, de 20 de julio). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/32 […] 6.ª) En definitiva, la cadena de televisión demandada debió actuar con la prudencia del profesional diligente y evitar la emisión de imágenes que representaban a la recurrente en primer plano, bien absteniéndose de emitir las correspondientes tomas, bien utilizando procedimientos técnicos para difuminar sus rasgos e impedir su reconocimiento (sentencia 311/2013, de 8 de mayo). De igual modo, también debió evitar la mención de su nombre de pila, porque este dato, insuficiente por sí solo para constituir intromisión ilegítima, pasó a ser relevante al pronunciarse en pantalla simultáneamente con la imagen de la demandante y añadirse la mención de su localidad de residencia, datos todos ellos innecesarios para la esencia del contenido de la información, como demuestran las noticias sobre el mismo juicio publicadas al día siguiente en otros medios. 7.ª) La identificación de la demandante mediante su imagen y los datos personales indicados y su directa vinculación con un episodio de violencia de género y otros delitos graves, cuando era previsible la revelación simultánea o posterior de datos referidos a cómo se conocieron la víctima y su agresor y a la forma en que sucedieron los hechos delictivos, supone que la pérdida del anonimato vulnerase tanto el derecho de la demandante a su propia imagen, por la emisión de sus rasgos físicos, como su intimidad personal y familiar, en la medida en que unos datos reservados, pertenecientes a su vida privada (que acudió a Internet para iniciar una relación o el contenido íntimo de algunas de sus charlas), carentes de entidad ofensiva en una situación de anonimato, pasaron a tenerla desde el momento en que cualquier persona que viera esos programas informativos y que residiera en la localidad de la víctima podía saber a quién se referían, de modo que al daño psicológico inherente a su condición de víctima de los delitos se sumó el daño moral consistente en que se conocieran datos de su vida privada que no había consentido hacer públicos”. (el subrayado es nuestro). Como podemos comprobar, se hace una clara referencia al tratamiento excesivo de datos personales (algunos no son de naturaleza íntima) para suministrar la información, considerándolos innecesarios a todo punto en atención a las circunstancias concurrentes. En ocasiones los tribunales se refieren a datos íntimos, pero en ocasiones se trata de datos personales que no son íntimos, como, por ejemplo, la imagen de una persona física obtenida de una fotografía publicada en una red social o el nombre y los apellidos. XI En el caso concreto examinado, tal y como hemos indicado, la parte reclamada publicó, en el sitio web referido en los hechos, el audio de la declaración ante el juez de una víctima de una violación múltiple, para ilustrar la noticia de un caso muy mediático. Así, no se trata, como en otros supuestos jurisprudencialmente examinados, de dotar de prevalencia a un derecho fundamental sobre otro, debiendo elegir cuál tiene más peso en un supuesto específico. Si no, más bien, de encontrar un equilibrio entre ambos para logar la consecución de la finalidad del primero sin desvirtuar el segundo. La conciliación de ambos derechos no es nada nuevo, puesto que el legislador europeo mandata tal conciliación en el artículo 85 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/32 Como hemos visto anteriormente, el Derecho Fundamental a la Libertad de Información no es ilimitado, puesto que la interpretación jurisprudencial al confrontarlo con otros derechos y libertades no permite en todo caso y con toda amplitud el mismo, sino que, no obstante, la prevalencia que suelen dotarle los tribunales puede verse limitado por otros derechos fundamentales que deben también ser respetados. Así se observa su limitación cuando los datos personales facilitados eran innecesarios para la esencia del contenido de la información. Hemos de considerar las especiales circunstancias presentes en el supuesto examinado. Se trata de una mujer (…) que ha sufrido una violación múltiple. En la grabación publicada se la escucha relatar, con una gran carga emocional, la agresión sexual sufrida con toda crudeza, narrando (…). Además, no podemos perder de vista la condición de víctima de la mujer cuya voz, con todos los matices expuestos, se ha difundido. Recordemos, a los efectos meramente ilustrativos, que la Ley 4/2015, de 27 de abril, del Estatuto de la víctima del delito, así como la reciente Ley Orgánica 10/2022, de 6 de septiembre, de garantía integral de la libertad sexual, prevén una especial necesidad de protección a las víctimas de los delitos contra la libertad sexual o la indemnidad sexual. A mayores, el mencionado Estatuto de la víctima del delito también prevé una especial protección a las víctimas de delitos violentos. Y en el supuesto examinado concurren ambas circunstancias. En este caso ha de considerarse la situación de la víctima (que no se encuentra en el mismo plano de igualdad que los acusados) y lo que supone la difusión de su voz con todos sus matices, así como la especial protección que debe procurarla el ordenamiento jurídico que, sin constreñir el suministro de información, debe hacerse compatible con el principio de minimización de datos, aplicable sobre la forma, el medio en que se suministra y difunde la información por la afectación inmediata al dato personal y a la identificación de la víctima. Precisamente porque no se niega el evidente interés público informativo en la noticia, dado el interés general en las causas penales, en este caso concreto, no se trata de hacer decaer el Derecho Fundamental a la Libertad de Información por la prevalencia del Derecho Fundamental a la Protección de Datos de Carácter Personal, sino de hacerlos plenamente compatibles para que ambos queden absolutamente garantizados. Esto es, no se pone en cuestión la libertad de información de los medios de comunicación sino la ponderación con el derecho a la protección de datos en base a la proporcionalidad y necesidad de publicar el concreto dato personal de la voz. Tal situación podría haberse resuelto con la utilización de procedimientos técnicos para impedir el reconocimiento de la voz, tales como, por ejemplo, la distorsión de la voz de la víctima o la transcripción del relato de la violación múltiple, medidas de seguridad ambas, aplicadas dependiendo del caso de forma ordinaria por los medios de comunicación. A mayores hemos de significar que la víctima es una persona anónima y nuestro Tribunal Constitucional, por todas la STC 58/2018, de 4 de junio, afirma que las autoridades públicas, los funcionarios públicos y los personajes públicos o dedicados a actividades que conllevan notoriedad pública “aceptan voluntariamente el riesgo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/32 que sus derechos subjetivos de personalidad resulten afectados por críticas, opiniones o revelaciones adversas y, por tanto, el derecho de información alcanza, en relación con ellos, su máximo nivel de eficacia legitimadora, en cuanto que su vida y conducta moral participan del interés general con una mayor intensidad que la de aquellas personas privadas que, sin vocación de proyección pública, se ven circunstancialmente involucradas en asuntos de trascendencia pública, a las cuales hay que, por consiguiente, reconocer un ámbito superior de privacidad, que impide conceder trascendencia general a hechos o conductas que la tendrían de ser referidos a personajes públicos". La Sentencia del Tribunal de Justicia de la Unión Europea (Sala Segunda), de 14 de febrero de 2019, en el asunto C 345/17, Sergejs Buivids, hace mención a diversos criterios para ponderar entre el derecho al respeto de la intimidad y el derecho a la libertad de expresión, entre los cuales se encuentran “la contribución a un debate de interés general, la notoriedad de la persona afectada, el objeto del reportaje, el comportamiento anterior del interesado, el contenido, la forma y las repercusiones de la publicación, la forma y las circunstancias en las que se obtuvo información y su veracidad (véase, en este sentido, la sentencia del TEDH de 27 de junio de 2017, Satakunnan Markkinapörssi Oy y Satamedia Oy c. Finlandia, CE:ECHR:2017:0627JUD000093113, apartado 165)”. De tal forma, que para que un asunto sea considerado de interés general, de relevancia pública, lo serán no sólo por la persona que intervenga, sino también por la materia a la que se refiere. Deben concurrir ambos requisitos, resultando, a mayor abundamiento de lo significado en el apartado anterior, que en el supuesto examinado la víctima no es una persona pública; más bien al contrario, es de gran interés que no sea reconocida por terceras personas, por lo que puede suponer una nueva penalidad a la ya sufrida. La víctima es una persona anónima y debe seguir siéndolo, de tal forma que se garanticen plenamente sus derechos fundamentales. En el presente caso, (
22. i)ni estamos ante un personaje de relevancia pública, en el sentido de que tal relevancia sea suficiente para entender que supone, ex lege, una desposesión de su derecho fundamental a la protección de sus datos personales, y (
23. ii)si bien estamos ante hechos “de relevancia pública”, en el sentido de que se revelen como “necesarios” para la exposición de las ideas u opiniones de interés público, esa necesidad no alcance a que se faciliten datos que identifiquen a la víctima. Por ello, y como expresa el Tribunal Supremo en su sentencia (civil) 697/2019, de 19 de diciembre, la formación de una opinión pública libre no exige, ni justifica, que se afecte al derecho fundamental a la propia imagen [en este caso a la protección de datos personales] con esa gravedad y de un modo que no guarda la necesaria conexión con la identificación de la persona objeto de la información. Cabe hacer mención del incumplimiento del punto 1º del Pacto Digital para la protección de las personas, firmado por las entidades involucradas, que establece que "Los firmantes de la Carta se abstendrán de identificar de forma alguna a las víctimas de agresiones, hechos violentos o de contenido sexual en sus informaciones o de publicar información de la que, con carácter general, pueda inferirse su identidad cuando se trate de personas sin relevancia pública. Todo ello sin perjuicio de que las personas no públicas puedan verse involucradas en hechos noticiables, en cuyo caso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/32 la cobertura informativa será la necesaria para dar adecuado cumplimiento al derecho a la información, atendiendo a las peculiaridades de cada caso". XII Todo responsable del tratamiento tiene conferidas obligaciones en materia de protección de datos, en los términos prescritos en el RGPD y en la LOPDGDD, pudiendo destacar, en cuanto a lo que nos interesa, la responsabilidad proactiva, artículo 5.2 del RGPD, la valoración de los riegos y la implementación de las medidas de seguridad adecuadas. Obligaciones que aún son más relevantes cuando, como en el caso que estamos examinando, éste resulta especialmente sensible. Tales obligaciones no decaen por encontrarnos ante un responsable del tratamiento que sea un medio de comunicación. Si unimos la difusión de la voz de la víctima (con todos sus matices), que la convierte en identificable pudiendo ser reconocida por terceros, con el relato fáctico que realiza en relación con la violación sufrida, existe un riesgo muy alto y muy probable de que pueda sufrir daños en sus derechos y libertades. Así ha acontecido en otros supuestos de difusión de datos personales de víctimas de delitos de violación. Y ello, amén de que con la difusión de la voz de la víctima se la está volviendo a condenar a que pueda ser reconocida por terceros, cuando no es un tratamiento proporcional ni necesario en relación con las finalidades de información perseguidas. XIII La parte reclamada ha tratado datos que eran excesivos al no ser necesarios para la finalidad para la que se trataban, lo que es constitutivo de una infracción del artículo 5.1.
24. c)del RGPD. La infracción que se atribuye a la parte reclamada se encuentra tipificada en el artículo 83.5, apartado
25. a)del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
26. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/32 Artículo 72. Infracciones consideradas muy graves. “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
27. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” XIV A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
28. a)a
29. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
30. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
31. b)la intencionalidad o negligencia en la infracción;
32. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
33. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
34. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
35. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
36. g)las categorías de los datos de carácter personal afectados por la infracción;
37. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
38. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/32 previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
39. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
40. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
41. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
42. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
43. a)El carácter continuado de la infracción.
44. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
45. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
46. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
47. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
48. f)La afectación a los derechos de los menores.
49. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
50. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” En el presente caso se estiman concurrentes los criterios de graduación siguientes:  Agravantes: - Artículo 83.2.
51. a)del RGPD: Naturaleza, gravedad y duración de la infracción: Se considera que la naturaleza de la infracción es muy grave puesto que acarrea una pérdida de disposición y control sobre el dato personal de su voz a una persona que ha sido víctima de un delito violento y contra la integridad sexual y que al difundir dicho dato personal existía un riesgo cierto de que pudiera ser reconocida por terceros, con los graves daños y perjuicios que esto le ocasionaría. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/32 - Artículo 83.2.
52. b)del RGPD. Intencionalidad o negligencia en la infracción: Si bien la Agencia considera que no hubo intencionalidad por parte del medio de comunicación, la Agencia concluye que fue negligente al no asegurar un procedimiento que garantizase la protección de los datos personales en unas circunstancias tan sensibles, máxime cuando en muchas ocasiones se distorsiona la voz en las noticias con la finalidad de que no se reconozca a la persona que habla. - Artículo 83.2.
53. g)del RGPD. Categorías de datos personales afectados por la infracción: La posibilidad cierta de reconocer a la víctima de un delito como del que informa la noticia, muy grave, violento y contra la integridad sexual (violación múltiple), supone un grave perjuicio para la afectada, ya que lo sucedido está vinculado a su vida sexual. XV En el texto de la resolución se establecen cuál ha sido la infracción cometida y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y el enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a CONECTA5 TELECINCO, S.A.U., con NIF A82432279, por una infracción del artículo 5.1.
54. c)del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 50.000,00 euros (CINCUENTA MIL euros). SEGUNDO: Confirmar las siguientes medidas provisionales impuestas a CONECTA5 TELECINCO, S.A.U.: - Retirada o distorsión de la voz de la víctima de sus direcciones web, evitando, en la medida en que el estado de la tecnología lo permita, la re-subida o re-carga de copias o réplicas exactas por el mismo u otros usuarios. - Retirada o modificación de los contenidos de tal modo que imposibilite su acceso y disposición del original por terceros, pero garantice su conservación, a efectos de custodiar las evidencias que puedan ser precisas en el curso de la investigación policial o administrativa o del proceso judicial que pudieren instruirse. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/32 TERCERO: NOTIFICAR la presente resolución a CONECTA5 TELECINCO, S.A.U.. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
55. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3.
56. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-120722 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/32 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es