PS-00199-2022

1/44  Expediente N.º: PS/00199/2022 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante), con fecha ***FECHA.1, interpuso reclamación ante la Agencia Española de Protección de Datos (en adelante, AEPD). La reclamación se dirige, entre otros, contra SOCIEDAD ESPAÑOLA DE RADIODIFUSIÓN, S.L., con NIF B28016970 (en adelante, la parte reclamada o la SER). Los motivos en que basa la reclamación son los siguientes: La parte reclamante informaba de que varios medios de comunicación publicaron en sus sitios web el audio de la declaración ante el juez de una víctima de una violación múltiple, para ilustrar la noticia relativa a la celebración del juicio en un caso que fue muy mediático. La parte reclamante facilitaba los enlaces a las noticias publicadas en los sitios web de los medios reclamados, siendo el relativo a la parte reclamada: ***URL.1 Con fecha de ***FECHA.2 se recibió nuevo escrito remitido por la parte reclamante manifestando que había podido comprobar que había medios que habían eliminado esa información, si bien acompañaba publicaciones realizadas por algunos medios de comunicación en Twitter en los que seguía estando disponible. SEGUNDO: Con fecha ***FECHA.3, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Durante las actuaciones de investigación se encontraron publicaciones donde se podía oír la voz de la víctima sin distorsionar. Respecto a la parte reclamada se encontró la siguiente publicación: ***URL.1 Con fecha de ***FECHA.4 se notificó a la parte reclamada medida cautelar de retirada urgente de contenido o distorsionado de la voz de la interviniente de forma que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/44 resultara inidentificable en las direcciones web desde las que fuera accesible este contenido. El mismo día de la mencionada notificación se recibió en la AEPD escrito remitido por esta entidad informando de: - Que ese mismo día se ha procedido a distorsionar la voz de la víctima “incluida en el extracto de la noticia, así como en el programa íntegro de “Hoy por Hoy”.” Asimismo, “ha almacenado una copia no alterada del programa para garantizar su conservación, a efectos de custodiar las evidencias que pudieran ser precisas en el curso de la investigación policial, judicial o administrativa que pudieren instruirse.” - Que, adicionalmente, ha puesto en conocimiento de las plataformas con las que la SER tiene relación el cambio realizado como consecuencia del requerimiento de la AEPD, solicitándoles que procedan a actualizar los contenidos a la mayor brevedad posible. - Que considera que no se ha incurrido en una infracción del RGPD con la publicación del audio objeto del requerimiento, “sino que ha hecho uso del derecho constitucional a la información en un caso de interés general, en el que, además, ha tratado de salvaguardar en todo momento los derechos e intereses de la Afectada.” Se comprobó que el podcast tenía la voz de la víctima distorsionada pareciendo masculina. CUARTO: Con fecha 5 de mayo de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 5.1.

1. c)del RGPD, tipificada en el artículo 83.5 del RGPD. El citado acuerdo de inicio fue notificado a la parte reclamada, conforme a las normas establecidas en la LPACAP, el 6 de mayo de 2022. QUINTO: Con fecha de entrada en registro de 10 de mayo de 2022, la parte reclamada solicitó copia del expediente así como ampliación de plazo para presentar alegaciones. El 11 de mayo de 2022, se remitió a la parte reclamada el expediente, concediendo al mismo tiempo un nuevo plazo para presentar alegaciones. SEXTO: Con fecha de entrada en registro de 18 de mayo de 2022, la parte reclamada presentó escrito en el que solicitaba el envío de los documentos anexos a las solicitudes presentadas por D. A.A.A. con fecha ***FECHA.1 y ***FECHA.2, sean los textos de las reclamaciones en sí, sean documentos de finalidad probatoria acompañados por el reclamante, así como ampliación de plazo para presentar alegaciones. El 23 de mayo de 2022 se remitió a la parte reclamada escrito en el que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/44 - Se adjuntaba el justificante completo del registro de entrada nº O00007128e2100015794 relativo a la reclamación presentada por D. A.A.A. el ***FECHA.1, - Se le indicaba que el resto de la documentación anexada a las citadas reclamaciones que no se acompañó al envío del expediente remitido el 11 de mayo de 2022, se refiere a enlaces de otros medios de comunicación que no son de la SER, los cuales no sólo no los necesita para ejercer su derecho a la defensa, sino que implicaría tener acceso a documentación correspondiente a otros expedientes en los que no tiene la condición de interesado. - Se concedía un nuevo plazo para presentar alegaciones. SÉPTIMO: La parte reclamada presentó escrito de alegaciones el 2 de junio de 2022, en el que, en síntesis, manifestaba: 1.- Nulidad de pleno derecho por falta absoluta del procedimiento por la ausencia de legitimación activa del reclamante, ya que éste “en ningún momento ha tratado de justificar con qué legitimación activa actúa, ya que no es titular de los derechos e intereses que se dicen afectados, ni tampoco ha acreditado actuar en su representación.”, por lo que considera actos nulos de pleno derecho tanto la admisión a trámite de la reclamación como el posterior acuerdo de inicio de expediente sancionador del que deriva. Critica la falta de motivación acerca de la legitimación del reclamante en la resolución de admisión de la reclamación de ***FECHA.3, así como que el acuerdo de inicio del procedimiento hable sin ambages de “parte reclamante” y “parte reclamada”. Señala que “el procedimiento que se ha iniciado es consecuencia de lo que se ha dado en llamar reclamación, que es un procedimiento específico regulado en el Reglamento europeo de protección de datos. No se trata de una denuncia genérica, que como reconoce el artículo 62 5 de la Ley 39/2015 de procedimiento administrativo común de las Administraciones Públicas no atribuye por sí sola la condición de interesado al denunciante, sino que se le ha atribuido nada menos que la condición de parte al reclamante, abriéndose un expediente sancionador en el que, paradójicamente, no se ha dado audiencia a la víctima, que es quien en su caso tendría derecho a ello, conforme al artículo 63.3 de la LOPDGDD (…)” Considera que “la admisión de la reclamación tal y como ha sido formulada implica una indefensión que es insubsanable y que no se salva por la posibilidad de alegar, ya que, sin perjuicio del derecho de la AEPD a actuar de oficio una vez conozca ciertos hechos, si los considera merecedores de ello, lo cierto es que la admisión de la reclamación efectuada por quien carece de legitimación produce efectos irreversibles en la tramitación del procedimiento sancionador para el encartado, salvo que el expediente sea archivado y declarado nulo de pleno derecho todo lo actuado: 1) Condiciona el objeto del expediente, ya que se parte de la existencia de una concreta reclamación, sobre cuyos hechos versará dicho expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/44 2) Interfiere en el régimen de prescripción de las posibles infracciones, interrumpiendo los plazos establecidos, cuando no concurren las condiciones legales para ello. 3) Atribuye la condición de parte interesada a quien no debe tenerlo, con facultad de formular recursos al término del expediente, o alegar ante los presentados por el sancionado, conforme a lo dispuesto en los artículos 112 y 118 de la Ley 39/2015.” 2.- No ha incurrido en infracción del artículo 5.1.
2. c)del RGPD, dado que entiende que el tratamiento que ha realizado es adecuado, pertinente y limitado con su finalidad informativa, que no era otra que trasladar a la opinión pública y denunciar el incisivo interrogatorio al que la víctima había sido sometida por el fiscal. Critica el juicio de ponderación entre el derecho fundamental a la libertad de información y el derecho fundamental a la protección de datos de carácter personal que realiza el acuerdo de inicio porque: - El derecho a la información ostenta una posición prevalente cuando se cumplen los requisitos de interés general y la debida veracidad. Critica que el acuerdo de inicio considere que el interés general haya de concurrir tanto en la persona que interviene como en la materia a la que se refiere el asunto, a pesar de que la jurisprudencia, indica la parte reclamada, tiene claramente establecido que se trata de requisitos alternativos, no acumulativos, citando al respecto la STS del Pleno de la Sala de lo Civil de 15 de octubre de 2015. - (…) desde la celebración del juicio y la publicación las informaciones resultantes, no hay ninguna constancia de que la víctima se mostrara disconforme con el tratamiento de las noticias sobre su caso o que considerara haberse visto expuesta a una cobertura mediática no deseada.” Añadiendo que los padres de la víctima acudieron a un programa de televisión para hablar sobre el caso, difuminándoles el rostro pero sin distorsionarles la voz, lo que implica un grado de exposición pública voluntaria que debe tenerse en cuenta respecto a los actos propios. - Aunque no se niega que la voz constituya un dato personal conforme a lo previsto en el artículo 4 del RGPD, considera que son escasas las posibilidades de identificar a una persona a través de la voz, limitadas al entorno familiar y afectivo más próximo, conocedores ya de la situación. - “La grabación provino de una fuente oficial, por señal habilitada a los medios por la Oficina de Comunicación del TSJ de ***CCAA.1 en la plataforma Webex (…), sin que por parte de dicho gabinete de prensa se efectuara advertencia alguna en materia de datos personales conforme al Protocolo de Comunicación de la Justicia, al no considerarse que hubiera motivo para tener que hacerlo.” 3.- Incorrecta calificación de la supuesta infracción, pues considera que la calificación como infracción muy grave por aplicación del artículo 72.1.
3. a)de la LOPDGDD resulta absolutamente genérica y vulnera el principio de tipicidad en relación con el de especialidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/44 Entiende que, “a efectos dialécticos, de existir alguna infracción, lo que descartamos, sería meramente grave, conforme al artículo 73 letra d)” de la LOPDGDD: “
4. d)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para aplicar de forma efectiva los principios de protección de datos desde el diseño, así como la no integración de las garantías necesarias en el tratamiento, en los términos exigidos por el artículo 25 del Reglamento (UE) 2016/679.” A tal efecto, aparte de transcribir el mencionado artículo 25 del RGPD, señala la parte reclamada que “no sería en ningún caso un incumplimiento absoluto o genérico de las normas o principios del tratamiento de datos personales, sino en términos dialécticos, un incumplimiento parcial y específico, en relación con las medidas técnicas precisas para evitar el tratamiento de un aspecto de los datos personales de la víctima, cuya corrección -técnica también- es precisamente lo que como medida provisional se le solicitó (…)” Indica que la consecuencia de la distinta calificación es que la sanción máxima aplicable, conforme al artículo 83.4.
5. a)del RGPD, es un 50% inferior respecto a la prevista para las infracciones muy graves que se recogen en el artículo 83.5.
6. a)del RGPD. 4.- Crítica de agravantes y omisión de atenuantes del acuerdo de inicio. Critica que el acuerdo de inicio aplique como agravante el artículo 83.2.
7. a)del RGPD, pues “ni la mera reproducción de la voz de la víctima, desprovista de cualquier otro daño colateral, hizo que fuera reconocible por tercero, ni tampoco ésta se ha mostrado disconforme con el tratamiento informativo sobre el caso, en ningún momento.” Añade que “el audio sin distorsión permaneció accesible durante escaso tiempo y, además, no se puede obviar se trató de un elemento accesorio al texto de la información, por lo que sólo una mínima parte de los lectores de la noticia en el sitio web reprodujeron también el fragmento de la grabación”. Considera que no actuó con negligencia, “dado que la discrepancia radica en la ponderación de derechos fundamentales en conflicto en el proceso de transmisión de la información, en cuyos términos podrá estarse o no de acuerdo, cuestión muy distinta a que se actuara inconscientemente o de forma negligente, lo cual no fue el caso.” A tal efecto, insiste en el interés noticiable específico del contenido del audio para denunciar el trato inadecuado dispensado a la víctima por parte del fiscal y pone de manifiesto que la práctica totalidad de los principales medios de comunicación del país también llevaron a cabo su tratamiento informativo con apoyo en la grabación de la vista con la voz de los intervinientes en el juicio. Critica que el acuerdo de inicio, al referirse al agravante del artículo 83.2.
8. g)del RGPD, vuelve a aludir a “la posibilidad cierta de reconocer a la víctima de un delito como del que informa la noticia”, así como que se vuelva a aludir a que los datos son muy sensibles, cuestiones ambas que considera ya se formularon en la primera de las agravantes. Echa en falta que no se hayan tenido en cuenta las siguientes atenuantes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/44 - Artículo 83.2.
9. c)del RGPD: “cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados”. - Artículo 83.2.
10. f)del RGPD: “el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción”. Lo motiva en que el mismo día que recibió el requerimiento de la AEPD de retirada de la noticia o distorsión de la voz de la víctima, “procedió a distorsionar la voz de la información publicada y a comunicar a esa AEPD la ejecución de la medida solicitada, que proactivamente comunicó a todas aquellas plataformas online con las que la cadena comparte contenidos, para que aplicasen la misma medida (ya que la SER no puede hacerlo) y por tanto fuese de máxima efectividad. Del mismo modo, en aquel escrito ya se manifestaba la seria discrepancia con la calificación indiciaria de los hechos como vulneración de la normativa de protección de datos, dada la necesaria ponderación del derecho a la información ejercitado en su tratamiento.” Por todo ello, considera que hay una falta de motivación del importe de la sanción provisionalmente propuesta en 50.000 euros que justifique su proporcionalidad en relación con las circunstancias concurrentes, “a la vista de los distintos derechos fundamentales implicados, el debate jurídico que su protección simultánea implica, el carácter generalizado del tratamiento similar de estos mismos datos por muchos otros medios de comunicación relevantes, y la conducta colaborativa, fulgurante y diligente de esta mercantil ante el requerimiento formulado.” OCTAVO: Con fecha 30 de septiembre de 2022 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancione a SOCIEDAD ESPAÑOLA DE RADIODIFUSION, S.L., con NIF B28016970, por una infracción del artículo 5.1.
11. c)del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa de 50.000 € (cincuenta mil euros). Así como que por la Directora de la Agencia Española de Protección de Datos se confirmen las siguientes medidas provisionales impuestas a SOCIEDAD ESPAÑOLA DE RADIODIFUSION, S.L.: - Retirada o distorsión de la voz de la víctima de sus direcciones web, evitando, en la medida en que el estado de la tecnología lo permita, la re-subida o re-carga de copias o réplicas exactas por el mismo u otros usuarios. - Retirada o modificación de los contenidos de tal modo que imposibilite su acceso y disposición del original por terceros, pero garantice su conservación, a efectos de custodiar las evidencias que puedan ser precisas en el curso de la investigación policial o administrativa o del proceso judicial que pudieren instruirse. NOVENO: Notificada la propuesta de resolución conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones el 17 de octubre de 2022 en el que, en síntesis, manifestaba lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/44 1.- Reiteración de la nulidad de pleno derecho por falta absoluta del procedimiento por la ausencia de legitimación activa del reclamante, debido a la ausencia de legitimación activa del reclamante. Considera la parte reclamada que la propuesta de resolución yerra al señalar lo siguiente: “Al respecto hay que indicar que el presente procedimiento sancionador ha sido iniciado de oficio el 5 de mayo de 2022, de conformidad con el artículo 63 de la LPACAP y el artículo 68 de la LOPDGDD, no habiendo sido dictado prescindiendo total y absolutamente del procedimiento legalmente establecido. Cuestión distinta es si la admisión de la reclamación, acto ajeno y previo al procedimiento que ahora se está tramitando, es nula de pleno derecho y si tal nulidad contamina al acuerdo de inicio del procedimiento sancionador, como pretende la parte reclamada, toda vez que deriva de lo anterior.” Entiende la parte reclamada que es incorrecto porque: 1.- “El acuerdo de inicio puede derivar bien de la admisión a trámite de una reclamación (…) bien de la propia iniciativa de la AEPD. Pero si hay admisión a trámite de reclamación ya no puede hablarse de actuación de oficio, porque se está atendiendo a una reclamación que ha determinado el nacimiento del proceso.” 2.- “No es un acto ajeno y previo porque es esa admisión la que determina la iniciación del expediente”. La parte reclamada se reitera en que la “indebida admisión a trámite de la reclamación condiciona todo lo que viene después: por una parte, los hechos sobre los que gira el expediente son los que pone de manifiesto el reclamante, que simplemente luego han sido examinados por la Agencia; por otra parte dan lugar a actuaciones previas que de otra forma no sabemos en su caso cuándo y en qué términos se hubiesen realizado; facilita y acelera la interrupción de la prescripción de cualquier posible infracción, al margen de que esa interrupción tenga lugar con la inicio de expediente y da lugar, finalmente, de modo inmediato y causal, a la adopción de medidas provisionales que de otro modo no se hubieran adoptado, al no haber actuación de oficio alguna previa a la reclamación.” Critica la parte reclamada que la propuesta de resolución indique que “de haber tramitado la reclamación como una mera denuncia al amparo del artículo 62.5 de la Ley 39/2015, de 1 de octubre, del Procedimiento administrativo Común de las Administraciones Públicas, las actuaciones de investigación hubieran sido las mismas; dejando de un lado el hecho de que se trata de una mera hipótesis o especulación, en un procedimiento sancionador, al que son de aplicación los principios generales del derecho penal, no es una respuesta admisible”. Lo anterior lo basa la parte reclamada en que “el margen de actuación de la agencia ante la mera denuncia y ante la reclamación admitida a trámite es radicalmente distinto, según Ley”: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/44 - “Porque la admisión a trámite implica, salvo decisión expresa de archivo (…) motivada y una vez concluidas las actuaciones previas en su caso, el acuerdo de inicio del procedimiento sancionador.” - Mientras que en el caso de una denuncia, “si no hay perjuicio patrimonial para una Administración Pública, el no iniciar el procedimiento es discrecional para la Administración, que no tiene por qué motivarlo.” Por lo expuesto, la parte reclamada se reitera “tanto en la calificación jurídica, no negada, de ausencia de legitimación, que debiera haber dado lugar a la inadmisión de la reclamación por abusiva, como en la consecuencia de nulidad de pleno derecho, ya que el procedimiento sancionador resulta absolutamente viciado por ese inicio tan sumamente ilegal.” 2.- Se reitera en que no ha incurrido en infracción del artículo 5.1.
12. c)del RGPD, dado que entiende que el tratamiento que ha realizado es adecuado, pertinente y limitado con su finalidad informativa, que no era otra que trasladar a la opinión pública y denunciar el incisivo interrogatorio al que la víctima había sido sometida por el fiscal. Considera que “la propuesta de resolución omite por completo el necesario juicio de ponderación, asumiendo una posición maximalista de cara a la protección de derecho a la protección de datos por encima de cualquier consideración.” Entiende la parte reclamada que “de mismo modo que la jurisprudencia exime al información de la obligación de una “exigencia de precisión absoluta en la expresión de datos difíciles de obtener” (STS 97/2013), dado que ello disuadiría de la necesaria cobertura informativa de asuntos de interés general, tampoco parece razonable exigir una rigurosa minimización de datos y un análisis de riesgos previo a la difusión de cada una de las centenares o miles de noticias que se difunden a diario con la inmediatez, urgencia y amplitud demandada por la opinión pública. Si fuera así, se constreñiría los cauces de la información de modo injustificado en un Estado democrático de Derecho.” Considera que, a pesar del gran volumen de informaciones anteriores a la publicación de la noticia objeto del presente procedimiento, no puede darse por sentado, como hace la propuesta de resolución, “que previamente se hubiera suministrado “información sobre la víctima” que después coadyuvara la identificación de la víctima a través de su voz”. Señala que “a la víctima no se la identificó, y lo que la propuesta de resolución denomina “riesgo materializado” no dejan de ser hipótesis remotas que no se han llegado a concretar.” Critica que en la propuesta de resolución se aduce “que no cabe apreciar doctrina de actos propios tratándose de los padres, pero es poco discutible que esos hechos forman parte del contexto de la noticia, y que el derecho a la intimidad tiene legalmente reconocida una vertiente no solo personal sino también familiar, por lo que no es intrascendente que los padres de la víctima acudieran a la televisión.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/44 Se reitera en que “La grabación provino de una fuente oficial, por señal habilitada a los medios por la Oficina de Comunicación del TSJ de ***CCAA.1 en la plataforma Webex (…), sin que por parte de dicho gabinete de prensa se efectuara advertencia alguna en materia de datos personales conforme al Protocolo de Comunicación de la Justicia, al no considerarse que hubiera motivo para tener que hacerlo.” 3.- Se reitera en la incorrecta calificación de la supuesta infracción, pues considera que la calificación como infracción muy grave por aplicación del artículo 72.1.
13. a)de la LOPDGDD resulta absolutamente genérica y vulnera el principio de tipicidad en relación con el de especialidad. Critica las argumentaciones de la propuesta de resolución, “ya que se defiende que la tipificación sugerida por esta parte es como si no existiera, por estar enunciada en la Ley Orgánica y no en el Reglamento Europeo. Señala la propuesta que dicho artículo 73 se refiere exclusivamente a los plazos prescriptivos de cada infracción, en función de su gravedad, pero no a tipos infractores, por lo que solamente cae recurrir a los tipos del reglamento en su artículo 83.” Señala que con la aplicación del “artículo 73 (de la LOPDGDD) no se están desconociendo ni mucho menos los tipos del artículo 83 del Reglamento. (…) negar la virtualidad de una ley orgánica que tipifica infracciones con referencia y respeto al Reglamento europeo es una facultad de la que se ha arrogado la Instrucción, de manera particularmente arbitraria.” Indica que “no se trata de que la narración de la propia víctima fuese un dato que no pudiera conocerse, sino de que en el peor de los casos no se aplicaron las medidas técnicas necesarias para descartar aquella eventualidad. Por eso la infracción nunca puede ser la más grave, ya que escuchar a la víctima era importante, sino que en el peor de los casos, no se adoptó una cautela técnica en el tratamiento de un dato que sí era relevante y susceptible de ser publicado.” 4.- Se remite a lo expuesto en el escrito de alegaciones al acuerdo de inicio en relación con su crítica a las agravantes invocadas y a la omisión de determinados atenuantes. Critica que la propuesta de resolución no tenga en cuenta los atenuantes invocados por la parte reclamada: - En el caso del artículo 83.2.
14. c)del RGPD, porque las medidas que adoptó para paliar los supuestos daños no fueron “espontáneas”. - En el caso del artículo 83.2.
15. f)del RGPD, porque, si bien la actuación de la parte reclamada derivó de un requerimiento de la Agencia, el grado de diligencia en la respuesta al mismo puede ser muy diferente. Por todo ello, considera que hay una falta de motivación del importe de la sanción. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/44 HECHOS PROBADOS PRIMERO: Con fecha ***FECHA.1, la parte reclamante interpuso reclamación ante la AEPD denunciando que varios medios de comunicación, entre ellos la parte reclamada, publicaron en sus sitios web el audio de la declaración ante el juez de una víctima de una violación múltiple, para ilustrar la noticia relativa a la celebración del juicio en un caso que fue muy mediático, facilitando los enlaces a las noticias publicadas en los sitios web de los medios reclamados, siendo el relativo a la parte reclamada: ***URL.1 Con fecha de ***FECHA.2 se recibió nuevo escrito remitido por la parte reclamante manifestando que había podido comprobar que había medios que habían eliminado esa información, si bien acompañaba publicaciones realizadas por algunos medios de comunicación en Twitter en los que seguía estando disponible. SEGUNDO: La Subdirección General de Inspección de Datos, en el ejercicio de sus actividades de investigación, encontró una publicación de la parte reclamada donde se podía oír la voz de la víctima sin distorsionar en la siguiente dirección: ***URL.1 TERCERO: En el marco de las actuaciones previas de investigación, con fecha de ***FECHA.4, se notificó a la parte reclamada medida cautelar de retirada urgente de contenido o distorsionado de la voz de la interviniente de forma que resultara inidentificable en las direcciones web desde el que fuera accesible este contenido, en concreto de: ***URL.1 CUARTO: Con fecha de ***FECHA.4 se recibió en la AEPD escrito remitido por esta entidad informando de: - Que ese mismo día había procedido a distorsionar la voz de la víctima “incluida en el extracto de la noticia, así como en el programa íntegro de “Hoy por Hoy”.” Asimismo, “ha almacenado una copia no alterada del programa para garantizar su conservación, a efectos de custodiar las evidencias que pudieran ser precisas en el curso de la investigación policial, judicial o administrativa que pudieren instruirse.” - Que, adicionalmente, había puesto en conocimiento de las plataformas con las que la SER tiene relación el cambio realizado como consecuencia del requerimiento de la AEPD, solicitándoles que procedieran a actualizar los contenidos a la mayor brevedad posible. - Que considera que no se ha incurrido en una infracción del RGPD con la publicación del audio objeto del requerimiento, “sino que ha hecho uso del derecho constitucional C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/44 a la información en un caso de interés general, en el que, además, ha tratado de salvaguardar en todo momento los derechos e intereses de la Afectada.” QUINTO: Consta probado en el informe de actuaciones previas de investigación de fecha 24 de enero de 2022 que se comprobó que en el link ***URL.1 se ha distorsionado la voz de la víctima, pareciendo masculina. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del RGPD otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Con carácter previo alega la parte reclamada la nulidad de pleno derecho por falta absoluta del procedimiento por la ausencia de legitimación activa del reclamante, ya que éste, según indica en sus alegaciones al acuerdo de inicio, “en ningún momento ha tratado de justificar con qué legitimación activa actúa, ya que no es titular de los derechos e intereses que se dicen afectados, ni tampoco ha acreditado actuar en su representación.” Continúa indicando la parte reclamada en sus alegaciones al acuerdo de inicio que “el procedimiento que se ha iniciado es consecuencia de lo que se ha dado en llamar reclamación, que es un procedimiento específico regulado en el Reglamento europeo de protección de datos. No se trata de una denuncia genérica, que como reconoce el artículo 62 5 de la Ley 39/2015 de procedimiento administrativo común de las Administraciones Públicas no atribuye por sí sola la condición de interesado al denunciante, sino que se le ha atribuido nada menos que la condición de parte al reclamante, abriéndose un expediente sancionador en el que, paradójicamente, no se ha dado audiencia a la víctima, que es quien en su caso tendría derecho a ello, conforme al artículo 63.3 de la LOPDGDD (…)” Al respecto hay que indicar que el presente procedimiento sancionador ha sido iniciado de oficio el 5 de mayo de 2022, de conformidad con el artículo 63 de la LPACAP y el artículo 68 de la LOPDGDD, no habiendo sido dictado prescindiendo total y absolutamente del procedimiento legalmente establecido. No obstante, lo expuesto ha sido criticado por la parte reclamada en su escrito de alegaciones a la propuesta de resolución, indicando que “el acuerdo de inicio puede derivar bien de la admisión a trámite de una reclamación (…) bien de la propia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/44 iniciativa de la AEPD. Pero si hay admisión a trámite de reclamación ya no puede hablarse de actuación de oficio.” A la vista de lo anterior se desprende que la parte reclamada confunde lo que es el acuerdo de inicio de un procedimiento sancionador con las actuaciones anteriores a tal acuerdo de inicio: - No se puede obviar que los mencionados artículos 63.1 de la LPACAP y 68 de la LOPDGDD señalan que el acuerdo de inicio de todos los procedimientos sancionadores se adopta siempre de oficio. - Cuestión distinta es el cauce por el que la AEPD tiene conocimiento de una supuesta infracción de la normativa de protección de datos, porque no solamente puede ser a través de una reclamación, sino también por cualquier otra vía, entre ellas la denuncia tal y como viene regulada en el artículo 62 de la LPACAP, la cual da lugar a que la AEPD actúe, con anterioridad a la adopción del acuerdo de inicio del procedimiento sancionador, “por propia iniciativa”, la cual viene definida en el artículo 59 de la LPACAP como “la actuación derivada del conocimiento directo o indirecto de las circunstancias, conductas o hechos objeto del procedimiento por el órgano que tiene atribuida la competencia de iniciación.” De hecho, las actuaciones previas de investigación, no solamente se realizan cuando se ha admitido a trámite una reclamación, sino siempre que sean necesarias para una mejor determinación de los hechos y circunstancias, tal y como señala el artículo 67 de la LOPDGDD: “Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación (…)” (el subrayado es nuestro). En definitiva, la admisión a trámite de la reclamación, tal y como se indicó en la propuesta de resolución, es un acto ajeno y previo al procedimiento sancionador, si bien la parte reclamada no comparte esta idea en sus alegaciones a la propuesta de resolución. Y no la comparte porque, entiende, que la “admisión a trámite de la reclamación condiciona todo lo que viene después: por una parte, los hechos sobre los que gira el expediente son los que pone de manifiesto el reclamante, que simplemente luego han sido examinados por la Agencia; por otra parte dan lugar a actuaciones previas que de otra forma no sabemos en su caso cuándo y en qué términos se hubiesen realizado; facilita y acelera la interrupción de la prescripción de cualquier posible infracción, al margen de que esa interrupción tenga lugar con la inicio de expediente y da lugar, finalmente, de modo inmediato y causal, a la adopción de medidas provisionales que de otro modo no se hubieran adoptado, al no haber actuación de oficio alguna previa a la reclamación.” Como ya se expuso en la propuesta de resolución, si la AEPD hubiera tramitado los escritos presentados por D. A.A.A. como denuncias al amparo del artículo 62.5 de la LPACAP, igualmente hubiera realizado las actuaciones previas de investigación que ha llevado a cabo al amparo del artículo 67 de la LOPDGDD, tras las cuales se verificó C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/44 que la parte reclamada había publicado la voz de la víctima sin distorsionar, adoptando las correspondientes medidas provisionales. Lo anterior lo critica la parte reclamada en su escrito de alegaciones a la propuesta de resolución porque considera que “el margen de actuación de la agencia ante la mera denuncia y ante la reclamación admitida a trámite es radicalmente distinto, según Ley”: - “La admisión a trámite implica, salvo decisión expresa de archivo (…) motivada y una vez concluidas las actuaciones previas en su caso, el acuerdo de inicio del procedimiento sancionador.” - Mientras que en el caso de una denuncia, “si no hay perjuicio patrimonial para una Administración Pública, el no iniciar el procedimiento es discrecional para la Administración, que no tiene por qué motivarlo.” No podemos compartir los argumentos de la parte reclamada toda vez que, tal y como señala el artículo 47 de la LOPDGDD, “Corresponde a la Agencia Española de Protección de Datos supervisar la aplicación de esta ley orgánica y del Reglamento (UE) 2016/679 y, en particular ejercer las funciones establecidas en el artículo 57 y las potestades previstas en el artículo 58 del mismo reglamento, en la presente ley orgánica y en sus disposiciones de desarrollo.” Es decir, que si la AEPD tiene conocimiento de una supuesta infracción de la normativa en materia de protección de datos, no puede dejar de actuar, motivo por el que si recibe una denuncia ha de realizar las correspondientes actuaciones previas de investigación para determinar si los hechos y circunstancias denunciados justifican la tramitación de un procedimiento sancionador, e incluso, si procede, podrá adoptar las medidas provisionales que considere oportunas. En todo caso significar que la Agencia Española de Protección de Datos, como autoridad de control, tiene como misión “supervisar la aplicación del presente Reglamento, con el fin de proteger los derechos y las libertades fundamentales de las personas físicas en lo que respecta al tratamiento y de facilitar la libre circulación de datos personales en la Unión”, conforme dispone el artículo 51 del RGPD y desarrolla más específicamente el artículo 57 del mismo texto legal, comprendiendo las funciones de las autoridades de control. Se concreta, de esta forma, cuál es el bien jurídico garantizado por las autoridades de control. A la vista de ello no podemos sino desterrar que el “perjuicio patrimonial para una Administración Pública” alegado por la parte reclamada sea en ningún caso el bien jurídico protegido por la Agencia Española de Protección de Datos ni lo que determine, en su caso, el inicio de oficio de un procedimiento sancionador. En conclusión, no es una mera hipótesis o especulación, como entiende la parte reclamada, que la propuesta de resolución señale que “si la AEPD hubiera tramitado los escritos presentados por D. A.A.A. como denuncias al amparo del artículo 62.5 de la LPACAP, igualmente hubiera realizado las actuaciones previas de investigación que ha llevado a cabo al amparo del artículo 67 de la LOPDGDD, tras las cuales se verificó que la parte reclamada había publicado la voz de la víctima sin distorsionar.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/44 Toda vez que queda sentado que el presente procedimiento sancionador ha sido iniciado de oficio el 5 de mayo de 2022, de conformidad con el artículo 63 de la LPACAP y el artículo 68 de la LOPDGDD, y, por tanto, no ha sido dictado prescindiendo total y absolutamente del procedimiento legalmente establecido, así como que la admisión de la reclamación es un acto ajeno y previo al procedimiento que ahora se está tramitando, queda determinar si tal admisión de la reclamación es nula de pleno derecho y si tal nulidad contamina al acuerdo de inicio del procedimiento sancionador, como pretende la parte reclamada. A tal efecto, la parte reclamada señala en su escrito de alegaciones al acuerdo de inicio que la admisión de la reclamación es nula de pleno derecho porque “implica una indefensión que es insubsanable y que no se salva por la posibilidad de alegar” porque condiciona el objeto del expediente, interfiere en el régimen de prescripción de las posibles infracciones y atribuye la condición de parte interesada a quien no debe tenerlo. Mientras que en el escrito de alegaciones a la propuesta de resolución indica la parte reclamada que al procedimiento sancionador le son aplicables los principios generales del derecho penal, de tal modo que “se trata de un derecho a la tutela judicial efectiva del artículo 24 CE en su vertiente administrativa, que por falta del debido cuidado y precisión jurídica en la tramitación del expediente, se ha vulnerado, con efectiva indefensión porque se ha situado a mi mandante en una situación como parte reclamada, que no hubiera sido la misma que si hubiese sido mera parte denunciada.” Hay que señalar que los principios de la potestad sancionadora se encuentran regulados en el Capítulo III del Título Preliminar de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. Mientras que, por otro lado, la jurisprudencia de manera reiterada ha señalado que “los principios inspiradores del orden penal son de aplicación, con ciertos matices, al Derecho Administrativo sancionador, dado que ambos son manifestaciones del ordenamiento punitivo del Estado” (Sentencias del Tribunal Supremo de 29 de septiembre, y 4 y 10 de noviembre de 1980; Sentencia del Tribunal Constitucional 18/1981, entre otras. El subrayado es nuestro), es decir, que la asimilación del Derecho Administrativo sancionador al Derecho penal no es absoluta. Así, en relación con lo que supone la indefensión material efectiva a los efectos de determinar la nulidad de un acto administrativo, la jurisprudencia es clara al respecto. Por todas, la Sentencia del Tribunal Constitucional 25/2011, de 14 de marzo, o la Sentencia del Tribunal Constitucional 62/2009, de 9 de marzo, nos recuerdan que la indefensión constituye una noción material que se caracteriza por suponer una privación o minoración sustancial del derecho de defensa; un menoscabo sensible de los principios de contradicción y de igualdad de las partes que impide o dificulta gravemente a una de ellas la posibilidad de alegar y acreditar en el proceso su propio derecho, o de replicar dialécticamente la posición contraria en igualdad de condiciones con las demás partes procesales. Es decir que “para que pueda estimarse una indefensión con relevancia constitucional, que sitúe al interesado al margen de toda posibilidad de alegar y defender en el proceso sus derechos, no basta con una vulneración meramente formal, sino que es necesario que de esa infracción formal se derive un efecto material de indefensión, con real menoscabo del derecho de defensa y con el consiguiente perjuicio real y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/44 efectivo para los intereses del afectado” (STC 185/2003, de 27 de octubre y STC 164/2005, de 20 de junio). Este criterio se ratifica en la Sentencia de la Audiencia Nacional de su Sala de lo Contencioso-Administrativo, Sección 1ª, de 25 de junio de 2009 (rec. 638/2008) al determinar que “esta Sala ha reiterado en numerosísimas ocasiones (SAN 8-3-2006, Rec. 319/2004 , por todas), haciéndose eco de la doctrina del Tribunal Constitucional, para que el defecto procedimental comporte la nulidad del acto recurrido, es preciso que no se trate de meras irregularidades procedimentales, sino de defectos que causen una situación de indefensión de carácter material, no meramente formal, esto es, que las mismas hayan originado al recurrente un menoscabo real de su derecho de defensa, causándole un perjuicio real y efectivo (SSTC 155/1988, de 22 de julio, 212/1994, de 13 de julio y 78/1999, de 26 de abril)”. Es decir, que para que el interesado se vea, en efecto, en una situación de indefensión, es preciso que la indefensión sea material y no meramente formal (Sentencias del Tribunal Constitucional 90/1988, 181/1994, 314/1994, 15/1995, 126/1996, 86/1997 y 118/1997, entre otras), lo que implica que el citado defecto haya causado un perjuicio real y efectivo para el demandado en sus posibilidades de defensa (Sentencias del Tribunal Constitucional 43/1989, 101/1990, 6/1992 y 105/1995, entre otras). O, en términos de la Sentencia del Tribunal Supremo de 1 febrero 1992, "como tiene declarado esta Sala ... no todos los vicios o infracciones cometidos en la tramitación de un procedimiento administrativo tienen entidad jurídica suficiente para amparar una pretensión anulatoria por causa formal, dado que sólo los defectos muy graves que impidan al acto final alcanzar su fin o que produzcan indefensión de los interesados podrán determinar la anulabilidad; constituyendo esta una doctrina jurisprudencial que ha ido reduciendo progresivamente los vicios de forma determinante de invalidez para limitarlos a aquellos que suponen una disminución efectiva, real y transcendente de garantías" (STS de 15 abril 1996, RA 3276)". En el supuesto examinado no se ha producido una minoración en el ejercicio del derecho de defensa de la parte reclamada, pues ha podido alegar y probar a lo largo del procedimiento sancionador lo que a su derecho ha convenido. A mayor abundamiento, no se puede compartir la motivación que realiza la parte reclamada respecto a la indefensión insubsanable porque: - En primer lugar, como dijimos anteriormente, si la AEPD hubiera tramitado los escritos presentados por D. A.A.A. como denuncias al amparo del artículo 62.5 de la LPACAP, igualmente hubiera realizado las actuaciones previas de investigación que ha llevado a cabo al amparo del artículo 67 de la LOPDGDD, tras las cuales se verificó que la parte reclamada había publicado la voz de la víctima sin distorsionar. - En segundo lugar, la prescripción de las infracciones no se interrumpe por la admisión a trámite de una reclamación, sino cuando se dicta el acuerdo de inicio del procedimiento sancionador, tal y como indica el artículo 75 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/44 - En tercer lugar, la admisión a trámite de una reclamación no confiere la condición de interesado al reclamante, pues solamente podrá tener aquella consideración quien cumpla con lo establecido en el artículo 4 de la LPACAP. Por lo expuesto, la admisión de la reclamación, independiente del procedimiento sancionador, no adolece de nulidad de pleno derecho que pueda contaminar al acuerdo de inicio del procedimiento sancionador. III La parte reclamada considera que no ha incurrido en infracción del artículo 5.1.
16. c)del RGPD, dado que entiende que el tratamiento que ha realizado es adecuado, pertinente y limitado con su finalidad informativa, que no era otra que trasladar a la opinión pública y denunciar el incisivo interrogatorio al que la víctima había sido sometida por el fiscal. Actualmente, la parte reclamada mantiene en su diario digital un podcast en formato audio de un programa de radio en el que la presentadora del mismo y una periodista informan sobre el interrogatorio al que había sido sometida la víctima por parte del fiscal, criticando la actuación de éste. A la mencionada información, se acompañan fragmentos del citado interrogatorio en el que la voz de la víctima está distorsionada mientras que la del fiscal se mantiene sin distorsionar. A la vista del audio, se hace evidente que no es necesaria la voz de la víctima para conseguir transmitir al oyente la falta de empatía del fiscal, basta con oír las preguntas que éste realiza a la víctima así como la información que añaden la presentadora y la periodista, que son quienes realmente conducen al oyente a empatizar con la víctima y preguntarse sobre su revictimización. A mayor abundamiento hemos de significar que es indiferente que la finalidad del medio de comunicación al publicar el audio con la voz de la víctima sin distorsionar fuera la de denunciar la actuación del fiscal, porque lo cierto es que con la difusión de la voz de aquella se la identifica, poniéndola en un riesgo cierto de ser identificada por personas que desconocían su condición de víctima, riesgo que debía haber sido valorado por el medio de comunicación y del que es responsable. Las víctimas de agresiones sexuales, como una violación múltiple, tienen que afrontar el reto de retomar su vida una vez que el juicio ha concluido, tratando de superar las secuelas físicas y psicológicas derivadas de la experiencia traumática que han sufrido. En este sentido, su entorno juega un papel decisivo. Por desgracia, aún hoy se producen situaciones en las cuales son estigmatizadas a pesar de haber sido las víctimas, llegando, en ocasiones, a verse forzadas a cambiar de lugar de residencia. Por este motivo, es fundamental tratar con el mayor celo cualquier dato personal que permita desvelar su identidad, evitar que sea reconocida como víctima en su entorno, entendido en un sentido amplio. Aquí juega un papel decisivo el medio de comunicación, ya que el análisis de riesgos que ha de realizar con carácter previo a la publicación, y que en el presente caso no nos consta, es la última garantía con la que cuenta la víctima. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/44 A pesar de lo anteriormente expuesto, la parte reclamada considera en su escrito de alegaciones a la propuesta de resolución que “de mismo modo que la jurisprudencia exime al información de la obligación de una “exigencia de precisión absoluta en la expresión de datos difíciles de obtener” (STS 97/2013), dado que ello disuadiría de la necesaria cobertura informativa de asuntos de interés general, tampoco parece razonable exigir una rigurosa minimización de datos y un análisis de riesgos previo a la difusión de cada una de las centenares o miles de noticias que se difunden a diario con la inmediatez, urgencia y amplitud demandada por la opinión pública. Si fuera así, se constreñiría los cauces de la información de modo injustificado en un Estado democrático de Derecho.” No obstante, la citada STS 97/2013, al mismo tiempo que no exige “precisión absoluta en la expresión de datos difíciles de obtener”, exige “una razonable diligencia por parte del informador para contrastar la noticia de acuerdo con pautas profesionales ajustándose a las circunstancias del caso”. Del mismo modo, en materia de protección de datos, se exige a los medios de comunicación ser especialmente diligentes en el cumplimiento de la normativa al respecto por tratarse de entidades que de manera constante y abundante manejan datos de carácter personal (Sentencia de la Audiencia Nacional de 17 de octubre de 2007). La gestión del cumplimiento normativo del RGPD comprende concebir y planificar un tratamiento de datos personales, lo que obliga, entre otras cuestiones, a incorporar ab initio la gestión del riesgo en materia de protección de datos dentro de la organización por parte del responsable del tratamiento (artículo 24.1 del RGPD). Y ello en base a la privacidad desde el diseño y por defecto (artículo 25 del RGPD) y para cumplir con los principios del tratamiento (artículo 5 del RGPD). En este sentido, tal y como establece la Guía de Gestión del riesgo y evaluación de impacto en tratamientos de datos personales de la AEPD, “La gestión de riesgo está formada por un conjunto de acciones ordenadas y sistematizadas con el propósito de controlar las posibles (probabilidad) consecuencias (impactos) que una actividad puede tener sobre un conjunto de bienes o elementos (activos) que han de ser protegidos. … El RGPD demanda la identificación, evaluación y mitigación, realizadas de una forma objetiva, del riesgo para los derechos y libertades de las personas en los tratamientos de datos personales”, Constituye una obligación más de las atribuidas legalmente al responsable del tratamiento, de entre otras muchas que normativamente le vienen impuestas dentro de la protección de datos o ajenas a la misma y que debe cumplir con idéntica diligencia. Por otro lado, la parte reclamada, en sus alegaciones al acuerdo de inicio, critica el juicio de ponderación entre el Derecho Fundamental a la Libertad de Información y el Derecho Fundamental a la Protección de Datos Personales que realiza el mencionado acuerdo de inicio por diversos motivos: - En primer lugar expone la parte reclamada que el derecho a la información ostenta una posición prevalente cuando se cumplen los requisitos de interés general y la debida veracidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/44 Por ello, continúa la parte reclamada criticando que el acuerdo de inicio considere que el interés general ha de concurrir tanto en la persona que interviene como en la materia a la que se refiere el asunto, a pesar de que la jurisprudencia, indica la parte reclamada, tiene claramente establecido que se trata de requisitos alternativos, no acumulativos, citando al respecto la STS del Pleno de la Sala de lo Civil de 15 de octubre de 2015. La mencionada sentencia, en su fundamento de derecho sexto, señala que “Ciertamente, los sucesos delictivos son noticiables por su propia naturaleza, con independencia de la condición de sujeto privado de la persona o personas afectadas por la noticia (SSTC 178/1993, de 31 de mayo, FJ 4; 320/1994, de 28 de noviembre, FJ 5; 154/1999, de 14 de septiembre, FJ 4). En general, reviste interés público la información tanto sobre los resultados de las investigaciones policiales, el desarrollo del proceso y el contenido de la sentencia, como sobre todos aquellos datos, aun no directamente vinculados con el ejercicio del “ius puniendi” [facultad sancionadora] del Estado, <<que permiten una mejor comprensión de su perfil humano o, más sencillamente, de su contenido vital>> de la persona que participa en el hecho delictivo (STC 154/1999). Asimismo, esta Sala, en sus sentencias núm. 946/2008, de 24 de octubre, y 547/2011, de 20 de julio, ha considerado justificada la publicación de datos de identidad de los implicados en hechos delictivos.” (el subrayado es nuestro), Si acudimos a las sentencias subrayadas, encontramos que: - En el caso de la STC 154/1999, de 14 de septiembre, los datos que se habían publicado eran los de una persona inculpada en un delito de abusos sexuales, respecto a la cual, se indicaba “que, si bien no afectaban a una persona con proyección pública como el profesor Sr. J. R., sí habían alcanzado pública notoriedad y constituían objeto de una investigación policial y de enjuiciamiento en causa penal, con trascendencia social evidente, dado que se imputaban a dicha persona conductas delictivas tales como la supuesta violación y abusos deshonestos de alumnas deficientes mentales, escolarizadas en la Escuela de Educación Especial "San Francisco", de la ciudad de Vigo, centro donde el imputado impartía la disciplina de logopedia.” - En el caso de la STS nº 946/2008, de 24 de octubre, los datos publicados se referían a una persona detenida por pertenecer a una red de narcotráfico desmantelada: “En el caso, la naturaleza del delito (tráfico de drogas) de extraordinaria importancia y transcendencia social (STC 158/2.003, de 15 de septiembre ), y tanto más si se tiene en cuenta la envergadura de la operación de desarticulación de una red u organización internacional (se intervinieron ocho mil pastillas de éxtasis, cinco mil dosis de speed, una pistola y cincuenta cartuchos y tampones y sellos para falsificar documentación, y gran cantidad de dinero en moneda española y divisas), justifican no sólo el interés público especial de la información, sino incluso el que se expresen los datos de identidad de los detenidos, en lugar de las simples letras iniciales de su nombre y apellidos.” - Por último, la STS nº 547/2011, de 20 de julio, se refiere a la publicación de datos de un acusado de un delito de lesiones y malos tratos, sentencia que se remite a la anterior: “Como ya dijo esta Sala en su sentencia de 24 de octubre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/44 de 2008, RC n. º 651/2003 , la naturaleza del delito (en este caso se trataba de tráfico de drogas) de extraordinaria importancia y trascendencia social justifican no solo el interés público especial de la información, sino incluso el que se expresen los datos de identidad de los detenidos, en lugar de las simples letras iniciales de su nombre y apellidos.” Es decir, que los supuestos en los que la jurisprudencia ha considerado justificada la publicación de datos de personas sin relevancia pública cuando el hecho noticiable sí tiene interés público, es cuando se trata de personas que han sido detenidas, inculpadas o acusadas de un delito con trascendencia social. Sin perjuicio de su examen más pormenorizado en el Fundamento de Derecho IX de esta resolución, las víctimas de delitos no están en el mismo plano de igualdad que las personas que los han cometido, tal y como exponía el Fundamento de Derecho V del acuerdo de inicio. De entre las sentencias a las que se refiere el antecitado fundamento de derecho, destacaremos la Sentencia del Tribunal Supremo, de su Sala Primera de lo Civil, 661/2016, de 10 de noviembre (rec. 3318/2014), que en relación con la captación y divulgación en juicio de la imagen de una víctima de violencia de género dispuso que “3.ª) Respecto de esta cuestión la jurisprudencia ha reconocido el interés general y la relevancia pública de la información sobre causas penales (sentencia 547/2011, de 20 de julio), que se acentúan en los casos de maltrato físico y psicológico (sentencias 128/2011, de 1 de marzo, y 547/2011, de 20 de julio), pero también ha puntualizado, en cuanto a la identificación de las personas que intervienen en el juicio, que el acusado y la víctima no se encuentran en un plano de igualdad, pues en cuanto a aquel sí cabe una identificación completa, y no solo por sus iniciales, debido a la naturaleza y trascendencia social de los delitos de malos tratos (sentencia 547/2011, de 20 de julio).” (el subrayado es nuestro). Por lo expuesto, no se puede compartir la interpretación que realiza la parte reclamada respecto a que en el presente caso se cumple el requisito de interés general, y por tanto, que haya una prevalencia del Derecho Fundamental a la Libertad de Información sobre el Derecho Fundamental a la Protección de Datos Personales de la víctima, pues la prevalencia no es ni absoluta ni general y requiere, en todo caso, de una ponderación que no nos consta que haya realizado el medio de comunicación. - Continúa la parte reclamante exponiendo que ha “transcurrido (…) desde la celebración del juicio y la publicación las informaciones resultantes, no hay ninguna constancia de que la víctima se mostrara disconforme con el tratamiento de las noticias sobre su caso o que considerara haberse visto expuesta a una cobertura mediática no deseada.” No obstante, hay que recordar que, aún sin manifestación de disconformidad por parte de la víctima, la parte reclamada tiene la obligación de respetar los principios relativos al tratamiento de datos personales contemplados en el artículo 5 del RGPD, entre los que se encuentra el principio de minimización de datos, y ser capaz de demostrarlo en base al principio de responsabilidad proactiva (artículo 5.2 del RGPD). En consecuencia, la ausencia de disconformidad no implica que el Derecho Fundamental a la Libertad de Información prevalezca sobre el Derecho Fundamental a la Protección de Datos Personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/44 - Señala la parte reclamada que los padres de la víctima acudieron a un programa de televisión para hablar sobre el caso, difuminándoles el rostro pero sin distorsionarles la voz, lo que implica un grado de exposición pública voluntaria que debe tenerse en cuenta respecto a los actos propios. Tal tesis no se puede compartir, toda vez que es clara la voluntad de tales personas de que no se les identifique de ninguna de las maneras, pues en caso contrario, su imagen no hubiera estado difuminada. Además, la teoría de los actos propios se aplica en relación sólo con un sujeto que muestra su voluntad a través de actos exteriorizados, cuya conducta posterior ha de ser coherente con actos anteriores. Esto es, que en aplicación de la teoría de los actos propios resulta indiferente la actuación de terceros. En palabras del propio Tribunal Constitucional, la doctrina de los actos propios “significa la vinculación del autor de una declaración de voluntad, generalmente de carácter tácito […] y la imposibilidad de adoptar después un comportamiento contradictorio” (STC 73/1988, de 21 de abril). En el caso examinado, la actuación de los progenitores de la víctima (terceros) es ajena e independiente a las actuaciones de la propia víctima y no puede ser utilizada para aplicar la teoría de los actos propios. No obstante, lo anterior es criticado por la parte reclamada en sus alegaciones a la propuesta de resolución porque “es poco discutible que esos hechos forman parte del contexto de la noticia, y que el derecho a la intimidad tiene legalmente reconocida una vertiente no solo personal sino también familiar, por lo que no es intrascendente que los padres de la víctima acudieran a la televisión.” Al respecto hay que indicar que, a diferencia de lo que sucede con el derecho a la intimidad, el Derecho Fundamental a la Protección de Datos de Carácter Personal no tiene tal vertiente familiar, de tal modo que el hecho de que los padres de la víctima fueran a un programa televisivo no tiene por qué implicar que la víctima no merezca que se protejan sus datos personales cuando se realizan tratamientos como el enjuiciado en el presente expediente y, por tanto, que haya de prevalecer el Derecho Fundamental a la Libertad de Información sobre el Derecho Fundamental a la Protección de Datos Personales. - La parte reclamada no niega que la voz constituya un dato personal conforme a lo previsto en el artículo 4 del RGPD, si bien considera que son escasas las posibilidades de identificar a una persona a través de la voz, limitadas al entorno familiar y afectivo más próximo, conocedores ya de la situación, motivo por el que debe prevalecer el Derecho Fundamental a la Libertad de Información sobre el Derecho Fundamental a la Protección de Datos Personales. Tampoco se puede compartir esta afirmación, toda vez que el entorno de una persona puede tener muy diversos ámbitos (familiar cercano, familiar lejano, educativo, social…), de tal modo que no puede deducirse que toda aquella persona que esté en condiciones de reconocer la voz, conociera previamente su condición de víctima de una violación múltiple, circunstancia, tal y como se ha dicho anteriormente, es fundamental para la víctima que siga siendo desconocida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/44 A mayor abundamiento, la voz puede permitir identificar a la víctima a un segmento mayor de la población si se combina con otros datos, incluso con información adicional, atendiendo al contexto de que se trate. En el supuesto examinado, existe una mayor facilidad de hacer identificable a la víctima a través de su voz en atención a las circunstancias del suceso y al contexto en el que ésta se hace pública: en el marco de un procedimiento judicial muy mediático, seguido de manera continua por diversos medios de comunicación que suministran información al respecto de la víctima, de su entorno, de los violadores, y de la violación sufrida (lo que conforma información adicional). No obstante, la parte reclamada considera en su escrito de alegaciones a la propuesta de resolución, que, a pesar de existir un gran volumen de informaciones anteriores a la publicación de la noticia objeto del presente procedimiento, no puede darse por sentado “que previamente se hubiera suministrado “información sobre la víctima” que después coadyuvara la identificación de la víctima a través de su voz”. Al respecto hay que traer a colación el Dictamen 4/2007 sobre el concepto de datos personales del Grupo de Trabajo del Artículo 29, el cual señala que “En los casos en que, a primera vista, los identificadores disponibles no permiten singularizar a una persona determinada, ésta aún puede ser «identificable», porque esa información combinada con otros datos (tanto si el responsable de su tratamiento tiene conocimiento de ellos como si
17. no)permitirá distinguir a esa persona de otras”. (el subrayado es nuestro). Es decir, es irrelevante si esa información adicional es anterior o posterior a la publicación de la noticia, así como si no la ha difundido la parte reclamada o la desconoce. Y es que para que una persona sea identificable no es necesario que toda la información que permita identificar al interesado deba encontrarse en poder de una sola persona, tal y como señala la Sentencia del TJUE de 19 de octubre de 2016, en el asunto C-582/14, en el procedimiento entre Patrick Breyer y Bundesrepublik Deutschland: “para que un dato pueda ser calificado de «dato personal», en el sentido del artículo 2, letra a), de dicha Directiva, no es necesario que toda la información que permita identificar al interesado deba encontrarse en poder de una sola persona.” (el subrayado es nuestro). En conclusión, la publicación del dato personal de la voz de la víctima por sí solo y sin distorsionar la puso en un riesgo cierto de ser identificada por personas que desconocían su condición de víctima, a pesar de que la parte reclamada en su escrito de alegaciones a la propuesta de resolución indica que lo que ésta “denomina “riesgo materializado” no dejan de ser hipótesis remotas que no se han llegado a concretar”. Con independencia de que la propuesta de resolución nunca se ha referido a “riesgo materializado”, sino a que “El riesgo se materializa con el hecho de que una sola persona pueda identificar a la víctima”, lo cual es muy diferente, lo importante no es si tal riesgo se ha materializado o no, sino si existe el riesgo de que alguien que escuche la voz de la víctima sin distorsionar, la identifique. Es decir, es indiferente que alguien haya identificado o no a la víctima a través de su voz, porque lo cierto es que existía el riesgo cierto de que alguien la identificara, lo cual es un hecho especialmente grave en un suceso como el que da lugar a la noticia, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/44 por lo que no puede, en este caso y con estas circunstancias, existir una prevalencia absoluta del Derecho Fundamental a la Libertad de Información sobre el Derecho Fundamental a la Protección de Datos Personales de la víctima. - La última alegación que formula la parte reclamada para motivar que en el presente caso debe prevalecer el Derecho Fundamental a la Libertad de Información sobre el Derecho Fundamental a la Protección de Datos Personales de la víctima, es que “La grabación provino de una fuente oficial, por señal habilitada a los medios por la Oficina de Comunicación del TSJ de ***CCAA.1 en la plataforma Webex (…), sin que por parte de dicho gabinete de prensa se efectuara advertencia alguna en materia de datos personales conforme al Protocolo de Comunicación de la Justicia, al no considerarse que hubiera motivo para tener que hacerlo.” Con carácter previo, hemos de aclarar cuál es el tratamiento de datos que se está analizando en el presente procedimiento. A estos efectos, el RGPD define en su artículo 4.2 el tratamiento de datos personales: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. (el subrayado es nuestro). Y es la difusión de la voz de la víctima que ha realizado la parte reclamada la que es objeto de este procedimiento, no entrando dentro del ámbito de éste otros tratamientos, como el llevado a cabo por parte del Tribunal. Una vez delimitado cuál es tratamiento a analizar, debemos identificar quién es el responsable del mismo. El artículo 4.7) del RGPD establece que es “«responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;”. Tal y como se establece en las Directrices 07/2020 del Comité Europeo de Protección de Datos sobre los conceptos de responsable del tratamiento y encargado en el RGPD, el concepto cuenta con cinco componentes principales: “la persona física o jurídica, autoridad pública, servicio u otro organismo”, “determine”, “sólo o junto con otros”, “los fines y medios” y “del tratamiento”. Además, el concepto de responsable de tratamiento es un concepto amplio, que trata de procurar una protección eficaz y completa a los interesados. Así lo ha determinado la jurisprudencia del Tribunal de Justicia de la Unión Europea. Por todas citaremos la Sentencia del TJUE en el asunto Google-Spain de 13 de mayo de 2014, C-131/12, la cual considera en un sentido amplio al responsable del tratamiento para garantizar “una protección eficaz y completa de los interesados”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/44 Es claro que la parte reclamada es responsable del tratamiento, al decidir sobre los fines y medios del tratamiento, pues ostenta el poder para hacerlo al disponer de una influencia decisiva sobre mismos. De esta forma la finalidad es la informativa y los medios abarcan el poder de decisión desde la forma en que se distribuye o pone a disposición del público la información, hasta el contenido de ésta. El medio de comunicación dispone, a los efectos de cumplir con su finalidad, una vez que en el ejercicio de su labor periodística ha recabado toda la información precisa, qué información suministra y por qué medio, en qué términos y con qué datos personales. Así, las Directrices 07/2020 sobre los conceptos de responsable del tratamiento y encargado en el RGPD precisan que “el responsable del tratamiento es la parte que determina por qué tiene lugar el tratamiento (esto es, «con qué fin» o «para qué») y cómo se alcanzará este objetivo (es decir, qué medios se emplearán para lograrlo)”. El órgano jurisdiccional, que tal y como se ha indicado lleva a cabo un tratamiento distinto que no es objeto del presente expediente sancionador, facilita a los medios de comunicación la información disponible en su totalidad, para que éstos, posteriormente, puedan ejercer el Derecho Fundamental a la Libertad de Información. Cuando la información llega al medio de comunicación éste, en calidad de responsable del tratamiento, en el ejercicio de su responsabilidad proactiva, debe de acreditar que ha cumplido, que cumple y que va a cumplir con la normativa en materia de protección de datos. Que la Oficina de Comunicación del TSJ de ***CCAA.1 no efectuara advertencia alguna en materia de protección de datos conforme al Protocolo de Comunicación de la Justicia no puede suponer que haya una prevalencia del Derecho Fundamental a la Libertad de Información sobre el Derecho Fundamental a la Protección de Datos Personales, pues la advertencia que puede hacer el tribunal es una mera recomendación, no un mandato. Tal y como se ha indicado, corresponde al medio de comunicación, en calidad de responsable del tratamiento, decidir qué y cómo pública. Podría decidir publicar la información a pesar de la advertencia recibida, optar por no publicar o decidir distorsionar la voz de la víctima a fin de evitar que sea reconocida, aún en el caso de no haber recibido ninguna advertencia en este sentido. Cabe concluir que la advertencia no impide la publicación de los datos personales, de igual modo que la ausencia de la misma no legitima a publicar todos los datos personales. Tampoco le exime de la obligación de realizar un análisis de riesgos previo a la publicación de la noticia. En caso de seguir la interpretación que defiende la parte reclamada, el tratamiento que lleva a cabo el medio de comunicación estaría totalmente subordinado o condicionado por las indicaciones que recibe del órgano judicial, no siendo este el caso. Esta última línea argumentativa de la parte reclamada, no se compadece con el apartado 6 del Protocolo de Comunicación de la Justicia 2020, relativo a la protección de datos de carácter personal, que hace referencia a la transmisión, por parte de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/44 Oficinas de Comunicación, del texto de la resolución judicial a los medios de comunicación social. En dicho apartado figura el texto de una advertencia sobre la responsabilidad del medio de comunicación en la difusión de datos personales contenidos en el texto de la resolución judicial, que ha de incluirse de forma obligatoria en todos los envíos a los medios de comunicación: “Esta comunicación no puede ser considerada como la publicación oficial de un documento público. La comunicación de los datos de carácter personal contenidos en la resolución judicial adjunta, no previamente disociados, se realiza en cumplimiento de la función institucional que el artículo 54.3 del Reglamento 1/2000, de 26 de julio, de los órganos de gobierno de los tribunales, atribuye a esta Oficina de Comunicación, a los exclusivos efectos de su eventual tratamiento con fines periodísticos en los términos previstos en el artículo 85 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales. En todo caso será de aplicación lo dispuesto en la normativa de protección de datos de carácter personal al tratamiento que los destinatarios de esta información lleven a cabo de los datos personales que contenga la resolución judicial adjunta, que no podrán ser cedidos ni comunicados con fines contrarios a las leyes.” (el subrayado es nuestro). En conclusión, en el supuesto examinado no ha de existir una prevalencia del Derecho Fundamental a la Libertad de Información sobre el Derecho Fundamental de Protección de Datos Personales de la víctima. Lo cual no significa, tal y como ha interpretado la parte reclamada en su escrito de alegaciones a la propuesta de resolución, que se adopte “una posición maximalista de cara a la protección de datos personales por encima de cualquier consideración. Porque, tal y como expuso el Fundamento de Derecho VI del acuerdo de inicio y en el Fundamento de Derecho V de la propuesta de resolución, lo que ha de existir es un equilibrio entre ambos derechos para logar la consecución del Derecho Fundamental a la Libertad de Información sin desvirtuar el Derecho Fundamental de Protección de Datos Personales de la víctima, conciliación entre ambos derechos que no es nueva, puesto que el legislador europeo mandata tal conciliación en el artículo 85 del RGPD. Debe recordarse que el presente expediente no se ha abierto porque se considere que la información no debía ser publicada, sino porque, en aplicación del principio de minimización de datos regulado en el artículo 5.1.
18. c)del RGPD, se debió realizar la publicación adoptando las precauciones necesarias para que no quedaran afectados los derechos de la víctima, al tiempo que se informaba sobre el desarrollo del proceso judicial en cuestión. A tal efecto, la parte reclamada debería haber realizado una ponderación previa a la publicación de la información, así como un análisis de riesgos con carácter previo a tal publicación, el cual no ha sido realizado por la parte reclamada, a tenor de lo expuesto en su escrito de alegaciones a la propuesta de resolución. Tal análisis le hubiera permitido identificar cuáles eran los riesgos que se derivaban de la publicación de la voz de la víctima sin distorsionar, tratando de evitar que existieran o reduciéndoles a la mínima expresión, lo que a la postre hubiera supuesto haber dado debido cumplimiento al artículo 5.1.
19. c)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/44 IV La parte reclamante considera que la calificación de la infracción como muy grave por aplicación del artículo 72.1.
20. a)de la LOPDGDD resulta absolutamente genérica y vulnera el principio de tipicidad en relación con el de especialidad, entendiendo que “de existir alguna infracción, lo que descartamos, sería meramente grave, conforme al artículo 73 letra d)” de la LOPDGDD: “
21. d)La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para aplicar de forma efectiva los principios de protección de datos desde el diseño, así como la no integración de las garantías necesarias en el tratamiento, en los términos exigidos por el artículo 25 del Reglamento (UE) 2016/679.” Al respecto hay que indicar que las infracciones en materia de protección de datos están tipificadas en los apartados 4, 5 y 6 del artículo 83 del RGPD. Es una tipificación por remisión, admitida plenamente por nuestro Tribunal Constitucional. En este sentido, también el artículo 71 de la LOPDGDD realiza una referencia a las mismas al señalar que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. En este sentido, el Dictamen del Consejo de Estado de 26 de octubre de 2017, relativo al Anteproyecto de Ley Orgánica de Protección de Datos de Carácter Personal, dispone que “El Reglamento Europeo sí tipifica, por más que lo haga en un sentido genérico, las conductas constitutivas de infracción: en efecto, los apartados 4, 5 y 6 de su artículo 83 arriba transcritos contienen un catálogo de infracciones por vulneración de los preceptos de la norma europea que en tales apartados se indican. El artículo 72 del Anteproyecto asume, no en vano, la existencia de dicho catálogo, cuando dispone que “constituyen infracciones los actos y conductas que supongan una vulneración del contenido de los apartados 4, 5 y 6 del Reglamento Europeo y de la presente ley orgánica”.” Las infracciones fijadas en los artículos 72, 73 y 74 de la LOPDGDD lo son sólo a los efectos de la prescripción, tal y como reza el inicio de todos y cada uno de estos preceptos. Esta necesidad surgió en nuestro Estado al no existir en el RGPD referencia alguna a la prescripción relativa a las infracciones, dado que este instituto jurídico no es propio de todos los Estados miembros de la UE. No obstante, la parte reclamada en su escrito de alegaciones a la propuesta de resolución critica tal argumentación porque, entiende, “que la tipificación sugerida por esta parte es como si no existiera, por estar enunciada en la Ley Orgánica y no en el Reglamento Europeo. Señala la propuesta que dicho artículo 73 se refiere exclusivamente a los plazos prescriptivos de cada infracción, en función de su gravedad, pero no a tipos infractores, por lo que solamente cae recurrir a los tipos del reglamento en su artículo 83.” Señalando a continuación que con la aplicación del “artículo 73 (de la LOPDGDD) no se están desconociendo ni mucho menos los tipos del artículo 83 del Reglamento. (…) negar la virtualidad de una ley orgánica que tipifica infracciones con referencia y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/44 respeto al Reglamento europeo es una facultad de la que se ha arrogado la Instrucción, de manera particularmente arbitraria.” No podemos compartir tal afirmación porque, como ya se indicó en la propuesta de resolución, el RGPD es una norma jurídica directamente aplicable, que ha sido desarrollada por la LOPDGDD sólo en aquello que le permite el primero. El RGPD tipifica las infracciones y la LOPDGDD las califica a los solos efectos de la prescripción. Así, la exposición de motivos de la citada ley orgánica señala que ésta “procede a describir las conductas típicas; estableciendo la distinción entre infracciones muy graves, graves y leves, tomando en consideración la diferenciación que el Reglamento general de protección de datos establece al fijar la cuantía de las sanciones. La categorización de las infracciones se introduce a los solos efectos de determinar los plazos de prescripción, teniendo la descripción de las conductas típicas como único objeto la enumeración de manera ejemplificativa de algunos de los actos sancionables que deben entenderse incluidos dentro de los tipos generales establecidos en la norma europea. La Ley orgánica regula los supuestos de interrupción de la prescripción partiendo de la exigencia constitucional del conocimiento de los hechos que se imputan a la persona”. (el subrayado es nuestro). Esto es, resulta de la aplicación e interpretación del RGPD, y no de la LOPDGDD, la determinación de la gravedad de una infracción atendiendo a una serie de condicionantes previstos en el mismo. Mientras que la clasificación ejemplificativa de las infracciones a los efectos de la prescripción de la LOPDGDD no tiene virtualidad en cuanto a la determinación de la gravedad de la infracción a los efectos del RGPD ni respecto de la imposición de las multas correspondientes en su caso. El presente procedimiento sancionador se ha iniciado a la parte reclamada, tal y como indica el acuerdo de inicio, “por la presunta infracción del artículo 5.1.
22. c)del RGPD, tipificada en el artículo 83.5.
23. a)del RGPD.” La referencia que realiza tal acto administrativo al artículo 72 de la LOPDGDD es solamente a efectos de la prescripción de la infracción. A mayor abundamiento hay que indicar que: - En el presente caso sí hay una vulneración del artículo 5.1.
24. c)del RGPD, ya que no se minimizaron los datos a publicar, obligación concreta recogida de manera precisa en el mencionado precepto, por lo que no puede resultar de aplicación el artículo 83.4 del RGPD, en el que no está comprendida la tipificación del precepto vulnerado. - El artículo 25 del RGPD comprende obligaciones concretas del responsable del tratamiento en relación con la privacidad desde el diseño y por defecto, debiendo considerar a los efectos de adoptar las medidas que sean precisas, la aplicación efectiva de todos los principios del tratamiento recogidos en el artículo 5 del RGPD. Al fin y al cabo, las Directrices 4/2019 del Comité Europeo de Protección de Datos sobre el artículo 25 del RGPD señalan que “En la aplicación del artículo 25, hay que tener en cuenta que el objetivo principal del diseño es que la aplicación efectiva de los principios (del artículo 5 del RGPD) y la protección de los derechos de los interesados se integren en las medidas adecuadas del tratamiento.” Sin perjuicio de lo anterior, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/44 este supuesto concreto y en atención a los hechos probados, lo que acontece es que se ha infringido el artículo 5.1.
25. c)del RGPD, por mor del principio de especialidad, que impone la obligación concreta al responsable del tratamiento de tratar los datos personales "adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados.” No obstante, lo anterior no es compartido por la parte reclamada en su escrito de alegaciones a la propuesta de resolución, señalando que “no se trata de que la narración de la propia víctima fuese un dato que no pudiera conocerse, sino de que en el peor de los casos no se aplicaron las medidas técnicas necesarias para descartar aquella eventualidad. Por eso la infracción nunca puede ser la más grave, ya que escuchar a la víctima era importante, sino que en el peor de los casos, no se adoptó una cautela técnica en el tratamiento de un dato que sí era relevante y susceptible de ser publicado.” En primer lugar hay que señalar que “la narración de la propia víctima” no es un dato de carácter personal de conformidad con la definición que establece el artículo 4 del RGPD. El dato de carácter personal que es objeto del presente procedimiento sancionador es la voz de la víctima, independiente del contenido de su declaración ante el órgano judicial. Una vez sentado lo anterior, y a la vista de las manifestaciones realizadas por la parte reclamada, cabe preguntarse sobre qué es lo que es importante escuchar: la narración de la víctima o su voz sin distorsionar. Y claramente, lo que es importante escuchar es el contenido de la declaración de la víctima, que se encuentra protegido por el Derecho Fundamental de Libertad de Información del medio de comunicación. Cuestión distinta es la voz de la víctima sin distorsionar, la cual, como ya se ha indicado, no es necesaria para conocer el contenido de la narración y, por tanto, para que el medio consiga cumplir con su finalidad informativa. El artículo 5.1.
26. c)del RGPD no limita el exceso de datos, sino la necesidad. Es decir, los datos personales serán, “adecuados, pertinentes y limitados a la necesidad” para la que fueron recabados, de tal manera que si el objetivo perseguido puede alcanzarse sin realizar un tratamiento excesivo de datos, así debe hacerse en todo caso. Igualmente, el considerando 39 del RGPD indica que: “Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios.” Por tanto, únicamente se tratarán los datos que sean, “adecuados, pertinentes y no excesivos en relación con el fin para el que se obtienen o tratan”. Como ya se indicó en el Fundamento de Derecho III de esta resolución, si la parte reclamada hubiera realizado un análisis de riesgos con carácter previo a la publicación de la información, hubiera concluido: - Que existía riesgo de que alguien que oyera la voz de la víctima sin distorsionar, pudiera identificarla. - Que escuchar la voz de la víctima con toda nitidez no es necesario para la finalidad informativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/44 En conclusión, se ha vulnerado el principio de minimización de datos regulado en el artículo 5.1.
27. c)del RGPD, lo cual es una infracción de la normativa en materia de protección de datos de conformidad con el artículo 84.5.
28. a)del RGPD. V Realiza la parte reclamada una serie de críticas a los agravantes a los que se refiere tanto el acuerdo de inicio como la propuesta de resolución: - Artículo 83.2.
29. a)del RGPD: Considera la parte reclamada que tal agravante no se debería haber aplicado porque “ni la mera reproducción de la voz de la víctima, desprovista de cualquier otro daño colateral, hizo que fuera reconocible por terceros, ni tampoco ésta se ha mostrado disconforme con el tratamiento informativo sobre el caso, en ningún momento.”, añadiendo que “el audio sin distorsión permaneció accesible durante escaso tiempo y, además, no se puede obviar se trató de un elemento accesorio al texto de la información, por lo que sólo una mínima parte de los lectores de la noticia en el sitio web reprodujeron también el fragmento de la grabación”. Toda vez que en el Fundamento de Derecho III ya nos hemos referido a que la voz sí hace identificable a la víctima respecto a personas que desconocían tal condición, así como que sí había una voluntad real de que no se la identificara, nos vamos a referir en este momento a las consideraciones que realiza la parte reclamada sobre el tiempo que estuvo disponible el audio con la voz de la víctima sin distorsionar así como sobre el número de personas que han reproducido tal grabación. Respecto al “escaso tiempo” que, según la parte reclamada, estuvo el audio con la voz de la víctima sin distorsionar hay que indicar que, analizando el caso, encontramos que el vídeo se publicó el ***FECHA.5, teniéndose conocimiento de la eliminación del mismo y de la distorsión de la voz en el diario digital de la parte reclamada el ***FECHA.4, día en que se la notificó la orden de retirada urgente de contenido. Es decir, el vídeo con la voz de la víctima sin distorsionar estuvo disponible durante un mes y unos días. Teniendo en cuenta que el tiempo es un concepto relativo, en el presente caso no se puede compartir el alegato de que el contenido estuviera poco tiempo publicado, pues el vídeo con la voz sin distorsionar de la víctima se publicó el mismo día que tuvo lugar el hecho noticiable, estando disponible hasta que la AEPD notificó a la parte reclamada el antecitado requerimiento, lo que pone de manifiesto que la medida de retirada del contenido no derivó de una actuación espontánea de la parte reclamada. Por otro lado, respecto a la alegación relativa a “que sólo una mínima parte de los lectores de la noticia en el sitio web reprodujeron también el fragmento de la grabación” hay que indicar que es irrelevante el número de personas que hayan escuchado el vídeo del relato de la víctima con su voz sin distorsionar. Por un lado, porque la finalidad del Derecho Fundamental a la Protección de Datos Personales es proteger a las personas sin ambages y sin excepción, más aún en este caso, dado que lo que se ha producido es la difusión de un relato de una víctima de una violación múltiple. Por otro lado, porque el tratamiento realizado por la parte reclamada se caracteriza: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/44 - Por su perdurabilidad en el tiempo, pues una vez publicada la noticia, permanece en la red, siendo posible acceder a su contenido (y, en este caso, a la voz de la víctima) tanto a través de las hemerotecas como a través de los motores de búsqueda, tantas veces como se desee y sin limitación temporal. - Por su efecto amplificador: al tratarse de un medio de comunicación que facilita la información a través de internet, haciendo accesible el conocimiento de esa información de manera exponencial y ubicua. En este sentido la STJUE de 1 de agosto de 2022 en el asunto C-184/20 (OT y Vyriausioji tarnybinės etikos komisija) expone el efecto amplificador de internet indicando que “102 Por otro lado, consta que ese tratamiento conduce a que esos datos personales sean libremente accesibles en Internet por el conjunto del público en general y, como resultado, por un número de personas potencialmente ilimitado”. La información, incluyendo la voz de la víctima, se ha puesto a disposición de un gran número de personas, permitiendo el acceso a la misma a través de cualquier tipo de dispositivo electrónico, las veinticuatro horas del día y por tiempo ilimitado. En consecuencia, el riesgo que corre la víctima de poder ser reconocida se ha visto incrementado de forma exponencial. La cuestión, es que detrás de esa voz que se ha decidido publicar, hay una persona vulnerable, debido a la experiencia sufrida. Por lo expuesto, sí se puede aplicar la circunstancia regulada en el artículo 83.2.
30. a)del RGPD como agravante, pues la naturaleza de la infracción del artículo 5.1.
31. c)del RGPD es de tal gravedad, que ha supuesto la pérdida de disposición y control sobre el dato personal de la voz a una persona que ha sido víctima de un delito violento y contra la integridad sexual, y que al difundir dicho dato personal existía un riesgo cierto de que pudiera ser reconocida por terceros, con los graves daños y perjuicios que esto le ocasionaría. - Artículo 83.2.
32. b)del RGPD: Considera la parte reclamada que no actuó con negligencia, “dado que la discrepancia radica en la ponderación de derechos fundamentales en conflicto en el proceso de transmisión de la información, en cuyos términos podrá estarse o no de acuerdo, cuestión muy distinta a que se actuara inconscientemente o de forma negligente, lo cual no fue el caso.” Al respecto hay que recordar que la jurisprudencia de manera reiterada considera que del elemento culpabilista se desprende “...que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable” (STS de 16 y 22 de abril de 1991). Señalando el mismo Tribunal que “no basta... para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso probar “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia” (STS 23 de enero de 1998). Conectada con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/44 protección de datos puede citarse la Sentencia de la Audiencia Nacional de 17 de octubre de 2007 (rec. 63/2006), la cual indica, en relación con entidades cuya actividad lleva aparejado un continuo tratamiento de datos de clientes, que: “(...) el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. En el presente caso, la parte reclamada no ha actuado con la diligencia exigible, pues los medios de comunicación son responsables del tratamiento de datos de carácter personal que de manera habitual distorsionan la voz con la finalidad de que no se reconozca a la persona que habla. Por ello el acuerdo de inicio en su Fundamento de Derecho IX indica que la parte reclamada “fue negligente al no asegurar un procedimiento que garantizase la protección de los datos personales en unas circunstancias tan sensibles”. De nada sirve alegar el interés noticiable específico del contenido del audio para denunciar el trato inadecuado dispensado a la víctima por parte del fiscal, finalidad para la que no era necesaria la difusión de la voz de la víctima sin distorsionar, tal y como se indicó en el Fundamento de Derecho III. Tampoco puede tenerse en cuenta el alegato que realiza la parte reclamada respecto a que la práctica totalidad de los principales medios de comunicación del país llevaran a cabo su tratamiento informativo con apoyo en la grabación de la vista con la voz de los intervinientes, pues no cabe la igualdad en la ilegalidad (SSTC 40/1989, 21/1992, 115/1995, 144/1999, 25/2022, entre otras). Porque lo cierto es que a una mujer (...), víctima de un delito violento y contra la integridad sexual, se la ha puesto en un riesgo cierto de ser identificada por personas que desconocían su condición de víctima, riesgo que debía haber sido analizado con carácter previo a la publicación de la información por el medio de comunicación y del que es responsable. - Artículo 83.2.
33. g)del RGPD: Critica la parte reclamada que el acuerdo de inicio vuelva a aludir en este momento a “la posibilidad cierta de reconocer a la víctima de un delito como del que informa la noticia”, así como a que los datos son muy sensibles, pues entiende que estas cuestiones ya se formularon en la primera de las agravantes. No puede compartirse la afirmación que realiza la parte reclamada, pues mientras que la primera circunstancia regulada por el RGPD como agravante se refiere a la naturaleza muy grave de la infracción valorada en su conjunto, la circunstancia regulada en el artículo 83.2.
34. g)del RGPD como agravante atiende específicamente a que la categoría de datos personales afectados por la infracción es muy sensible. Son cuestiones totalmente diferentes. Por otro lado, la parte reclamada señala que el mismo día que recibió el requerimiento de la AEPD de retirada de la noticia o distorsión de la voz de la víctima, “procedió a distorsionar la voz de la información publicada y a comunicar a esa AEPD la ejecución de la medida solicitada, que proactivamente comunicó a todas aquellas plataformas online con las que la cadena comparte contenidos, para que aplicasen la misma C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/44 medida (ya que la SER no puede hacerlo) y por tanto fuese de máxima efectividad.” Por tal motivo considera que se han de tener en cuenta las siguientes atenuantes: - Artículo 83.2.
35. c)del RGPD: “cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados”. La medida de retirada del contenido no derivó de una actuación espontánea de la parte reclamada dirigida a paliar, de manera efectiva, el daño y perjuicio sufrido por la víctima, sino de una orden de retirada urgente y obligatoria de la AEPD, por lo que no puede considerarse en el presente caso como un atenuante, si bien el hecho de que tal actuación no fuera “espontánea” es criticado por la parte reclamada en su escrito de alegaciones a la propuesta de resolución. A tal efecto hay que tener en consideración las Directrices 04/2022 del Comité Europeo de Protección de Datos sobre el cálculo de las multas administrativas con arreglo al RGPD, en su versión de 12 de mayo de 2022, sometidas a consulta pública, las cuales señalan que “Las medidas adoptadas deben evaluarse, en particular, en relación con el elemento de oportunidad, es decir, el momento en que son aplicadas por el responsable o encargado del tratamiento, y su eficacia. En este sentido, es más probable que las medidas aplicadas espontáneamente antes del inicio de la investigación de la autoridad de control sean conocidas por el responsable o el encargado del tratamiento que las medidas que se hayan aplicado después de ese momento.” Tampoco puede considerarse un atenuante la comunicación que la parte reclamada haya enviado a las plataformas online con las que comparte contenidos para que modificaran tal contenido, pues tal conducta es propia de un responsable del tratamiento que actúa en base al principio de responsabilidad proactiva, de conformidad con el artículo 5.2 y el artículo 19 del RGPD. - Artículo 83.2.
36. f)del RGPD: “el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción”. El grado de cooperación con la AEPD tampoco puede considerarse un atenuante toda vez que las órdenes de retirada que ésta emite son de obligado cumplimiento conforme a lo dispuesto en el artículo 69 de la LOPDGDD. La consideración de la cooperación con la AEPD como atenuante, tal y como pretende la parte recurrente, no está ligada a ninguno de los supuestos en los que pueda existir una colaboración o cooperación o requerimiento por mor de un mandato legal, cuando las actuaciones son debidas y obligadas por la Ley, como en el caso que nos ocupa, siendo indiferente el grado de diligencia en la respuesta a los requerimientos, a pesar de lo que indica la parte reclamada en su escrito de alegaciones a la propuesta de resolución. A tal efecto hay que tener en consideración las Directrices del Grupo de Trabajo del Artículo 29 sobre la aplicación y la fijación de multas administrativas a efectos del Reglamento 2016/679, aprobadas el 3 de octubre de 2017, en las que se asevera que “Dicho esto, no sería apropiado tener en cuenta por añadidura la cooperación que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/44 ley exige; por ejemplo, en todo caso se exige a la entidad permitir a la autoridad de control acceso a las instalaciones para realizar auditorías o inspecciones”. En idéntico sentido, las Directrices 04/2022 del Comité Europeo de Protección de Datos sobre el cálculo de las multas administrativas con arreglo al RGPD, en su versión de 12 de mayo de 2022, sometidas a consulta pública, señalan que “debe considerarse que el deber ordinario de cooperación es obligatorio y, por tanto, debe considerarse neutro (y no un factor atenuante).” Por ello podemos concluir que no puede entenderse como “cooperación” aquello que es exigido o de obligado cumplimiento por mor de la Ley para el responsable del tratamiento, como sucedió en este caso. Por lo expuesto, la sanción provisionalmente propuesta estaba debidamente motivada, pues en el acuerdo de inicio, así como en la propuesta de resolución, se recogían y explicitaban debidamente las circunstancias que se han tenido en cuenta para la cuantificación de la sanción. VI La voz de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal al hacerla identificable, y su protección, por tanto, es objeto de dicho RGPD: “«datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” La voz es un atributo personal propio e individual de cada persona física que se define por su altura, intensidad y timbre. Dotada de rasgos distintivos únicos y singulares que la individualizan de manera directa, asociándola a un individuo concreto, es moldeada al hablar, pudiendo conocer, a través de ella la edad, el sexo, el estado de salud del individuo, su manera de ser, su cultura, su origen, su estado hormonal, emocional y psíquico. Elementos de la expresión, el idiolecto o la entonación, también son datos de carácter personal considerados conjuntamente con la voz. Por ello, el informe 139/2017 del Gabinete Jurídico de esta Agencia afirma que “la imagen así como la voz de una persona es un dato personal, al igual que lo será cualquier información que permita determinar, directa o indirectamente, su identidad (…)” De hecho, la Sentencia de la Audiencia Nacional de fecha 19 de marzo de 2014 (rec. 176/2012) dice que “la voz de una persona constituye dato de carácter personal, tal y como se deduce de la definición que del mismo ofrece el artículo 3.
37. a)de la LOPD, como «cualquier información concerniente a personas físicas identificadas o identificables», cuestión ésta que no resulta controvertida.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/44 El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” La inclusión de la voz de una persona en publicaciones periodísticas, que identifica o hace identificable a una persona, supone un tratamiento de datos personales y, por tanto, el responsable del tratamiento que efectúa el mismo está obligado a cumplir con las obligaciones que para el responsable del tratamiento se disponen en el RGPD y en la LOPDGDD. VII El presente procedimiento se inició porque la parte reclamada publicó, en el sitio web referido en los hechos, el audio de la declaración ante el juez de una víctima de una violación múltiple, para ilustrar la noticia relativa a la celebración del juicio en un caso que fue muy mediático. La voz de la víctima se apreciaba con toda nitidez al relatar con toda crudeza de detalles la violación múltiple sufrida. Todo ello, constituye un tratamiento de datos personales de la víctima. Las personas tienen el poder de disposición sobre sus datos personales, incluyendo su voz, así como sobre su difusión, resultando, sin lugar a dudas, merecedora de protección la persona cuyos datos personales se difundan vulnerando el ordenamiento jurídico. Así, la STC 292/2000, de 30 de noviembre, dispone que “el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos”. En este sentido, y con independencia de cuál sea la base jurídica legitimadora del tratamiento, todo responsable del tratamiento ha de respetar los principios del tratamiento recogidos en el artículo 5 del RGPD. Destacaremos el artículo 5.1.
38. c)del RGPD que establece que: “1. Los datos personales serán C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/44
39. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);” No obstante, nos encontramos ante un derecho fundamental que no es absoluto, puesto que llegado el caso el Derecho Fundamental a la Protección de Datos puede ceder ante la prevalencia de otros derechos y libertades también constitucionalmente reconocidos y protegidos, como, por ejemplo, el Derecho Fundamental a la Libertad de Información, ponderándose ello caso a caso. Sin embargo, en el presente supuesto, como expondremos, se debe considerar que el tratamiento llevado a cabo por la parte reclamada en el marco de la libertad de información ha sido excesivo, al no existir un interés público informativo prevalente en la difusión de la voz de la víctima -sin que aporte valor añadido alguno a la información el mantener la voz real de la víctima (sin distorsionar, por ejemplo)-, bajo cuyo pretexto parece que se han divulgado aquellos datos; voz que, sumado al hecho de tratarse de un caso muy mediático, hace claramente identificable a la víctima. Al ponderar los intereses enfrentados y, atendiendo a las circunstancias concurrentes de este caso, esto es, la naturaleza especialmente sensible de los datos personales y la intensa afectación a la intimidad de la víctima, merece mayor protección el interés de la titular del derecho a la protección de sus datos personales y a que no se difundan frente al pretendido interés público en su difusión. VIII En la pugna entre los Derechos Fundamentales a la Libertad de Información en relación con el Derecho Fundamental a la Protección de Datos Personales, aun cuando se reconoce igual grado de protección a ambos derechos constitucionales, ordinariamente el primero suele ser dotado de prevalencia por nuestros tribunales, tras valorar y ponderar todos los elementos en juego. Ahora bien, preponderancia no significa prevalencia cuando, atendidas todas las circunstancias concurrentes en un supuesto concreto, se rebasen los límites fijados normativa y jurisprudencialmente. En este sentido, el Grupo de Trabajo del Artículo 29 en su Dictamen 06/2014 sobre el concepto de interés legítimo del responsable del tratamiento de los datos en virtud del artículo 7 de la Directiva 95/46/CE, al examinar la base jurídica del interés legítimo del artículo 7.1.
40. f)de la Directiva 95/46/CE, trasladable plenamente al actual art. 6.1.
41. f)del RGPD, incluye el derecho a la libertad de expresión o de información como uno de los supuestos en los que puede surgir la cuestión del interés legítimo aseverando que “sin perjuicio de si los intereses del responsable del tratamiento prevalecerán en último término sobre los intereses y los derechos de los interesados cuando se realice la prueba de sopesamiento”. IX Dicho lo anterior, el Derecho Fundamental a la Libertad de Información tampoco es absoluto. Podemos observar límites clarísimos establecidos por los tribunales en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/44 ámbito civil, en relación con el Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen. Así, citaremos, por todas, la STC 27/2020, de 24 de febrero (recurso de amparo 13692017) que dispone, en relación con la imagen de una persona, y partiendo del hecho incontrovertido de que la hace identificable, que “…la cuestión debatida se reduce a ponderar si la reproducción no consentida de la imagen de una persona anónima es decir, de alguien que no es personaje público, pero que adquiere repentina e involuntariamente un papel en el hecho noticiable, en este caso como víctima del fallido intento de homicidio por parte de su hermano y el posterior suicidio de este, supuso una intromisión ilegítima en su derecho fundamental a la propia imagen (art. 18.1 CE). […] …que los sucesos criminales son acontecimientos noticiables, incluso con independencia del carácter de sujeto privado de la persona afectada por la noticia. Sin embargo, el límite está en la individualización, directa o indirecta, de la víctima, pues este dato no es de interés público porque carece de relevancia para la información que se permite transmitir (SSTC 20/1992, de 20 de febrero; 219/1992, de 3 de diciembre; 232/1993, de 12 de julio; 52/2002, de 25 de febrero; 121/2002, de 20 de mayo, y 127/2003, de 30 de junio). Así, actualmente lo reconoce la Ley 4/2015, de 27 de abril, del estatuto de la víctima del delito, en vigor desde el 28 de octubre de 2015, cuando advierte de la necesidad «desde los poderes públicos [de ofrecer] una respuesta lo más amplia posible, no solo jurídica sino también social, a las víctimas, no solo reparadora del daño en el marco de un proceso penal, sino también minimizadora de otros efectos traumáticos en lo moral que su condición puede generar, todo ello con independencia de su situación procesal. Por ello, el presente Estatuto, en línea con la normativa europea en la materia y con las demandas que plantea nuestra sociedad, pretende, partiendo del reconocimiento de la dignidad de las víctimas, la defensa de sus bienes materiales y morales y, con ello, los del conjunto de la sociedad». En supuestos como los planteados en este recurso, este Tribunal debe otorgar relevancia a la prevalencia del derecho a la imagen de la víctima del delito frente a las libertades informativas, pues la información gráfica devenía ociosa o superflua por carecer la fotografía de la víctima de interés real para la transmisión de la información, en este caso la realización aparente de un homicidio y posterior suicidio” (el subrayado es nuestro). Añadiremos la STS, de su Sala Primera de lo Civil, 272/2011 de 11 de abril (rec. 1747/2008), en la que, respecto de los datos necesarios para suministrar una información y los límites al interés público recoge que “
42. b)La información trivial no se protege (ATC 75/2006), pero sí el hecho de facilitar datos no necesarios en un caso de violación (el nombre completo, las iniciales de los apellidos, el portal de la calle donde vivía la víctima) que no tienen relevancia comunitaria, no respetan la reserva, sólo buscan satisfacer la curiosidad, producen perturbaciones o molestias y desvelan de forma innecesaria aspectos de la vida personal y privada, permitiendo a los vecinos, personas próximas y familiares la plena identificación de la víctima y el conocimiento con lujo de detalles de un hecho gravemente atentatorio contra su dignidad (STC 185/2002) o sobre una enfermedad que no tiene interés público y afecta de manera C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/44 directa al ámbito irreductible de la intimidad y que se revela al efecto de una pura broma o chanza (STC 232/1993);”. Igualmente, la STS, de su Sala Primera de lo Civil, 661/2016, de 10 de noviembre (rec. 3318/2014), en relación con la captación y divulgación en juicio de la imagen de una víctima de violencia de género dispuso que “1.ª) No se discute el interés de la información cuestionada ni el derecho de la cadena televisiva demandada a emitir imágenes grabadas durante el acto del juicio oral de la causa penal, ya que no consta ninguna limitación al respecto acordada por el órgano judicial. 2.ª) El único punto controvertido es, por tanto, si la identificación de la demandante como víctima de los delitos enjuiciados en dicha causa penal, mediante primeros planos de su rostro y la mención de su nombre de pila y lugar de residencia, estaba también comprendida en el derecho fundamental de la cadena de televisión demandada a transmitir información veraz o, por el contrario, quedaba limitada por los derechos fundamentales de la demandante a su intimidad personal y a su propia imagen. 3.ª) Respecto de esta cuestión la jurisprudencia ha reconocido el interés general y la relevancia pública de la información sobre causas penales (sentencia 547/2011, de 20 de julio), que se acentúan en los casos de maltrato físico y psicológico (sentencias 128/2011, de 1 de marzo, y 547/2011, de 20 de julio), pero también ha puntualizado, en cuanto a la identificación de las personas que intervienen en el juicio, que el acusado y la víctima no se encuentran en un plano de igualdad, pues en cuanto a aquel sí cabe una identificación completa, y no solo por sus iniciales, debido a la naturaleza y trascendencia social de los delitos de malos tratos (sentencia 547/2011, de 20 de julio). […] 6.ª) En definitiva, la cadena de televisión demandada debió actuar con la prudencia del profesional diligente y evitar la emisión de imágenes que representaban a la recurrente en primer plano, bien absteniéndose de emitir las correspondientes tomas, bien utilizando procedimientos técnicos para difuminar sus rasgos e impedir su reconocimiento (sentencia 311/2013, de 8 de mayo). De igual modo, también debió evitar la mención de su nombre de pila, porque este dato, insuficiente por sí solo para constituir intromisión ilegítima, pasó a ser relevante al pronunciarse en pantalla simultáneamente con la imagen de la demandante y añadirse la mención de su localidad de residencia, datos todos ellos innecesarios para la esencia del contenido de la información, como demuestran las noticias sobre el mismo juicio publicadas al día siguiente en otros medios. 7.ª) La identificación de la demandante mediante su imagen y los datos personales indicados y su directa vinculación con un episodio de violencia de género y otros delitos graves, cuando era previsible la revelación simultánea o posterior de datos referidos a cómo se conocieron la víctima y su agresor y a la forma en que sucedieron los hechos delictivos, supone que la pérdida del anonimato vulnerase tanto el derecho de la demandante a su propia imagen, por la emisión de sus rasgos físicos, como su intimidad personal y familiar, en la medida en que unos datos reservados, pertenecientes a su vida privada (que acudió a Internet para iniciar una relación o el contenido íntimo de algunas de sus charlas), carentes de entidad ofensiva en una situación de anonimato, pasaron a tenerla desde el momento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/44 en que cualquier persona que viera esos programas informativos y que residiera en la localidad de la víctima podía saber a quién se referían, de modo que al daño psicológico inherente a su condición de víctima de los delitos se sumó el daño moral consistente en que se conocieran datos de su vida privada que no había consentido hacer públicos”. (el subrayado es nuestro). Como podemos comprobar, se hace una clara referencia al tratamiento excesivo de datos personales (algunos no son de naturaleza íntima) para suministrar la información, considerándolos innecesarios a todo punto en atención a las circunstancias concurrentes. En ocasiones los tribunales se refieren a datos íntimos, pero en ocasiones se trata de datos personales que no son íntimos, como, por ejemplo, la imagen de una persona física obtenida de una fotografía publicada en una red social o el nombre y los apellidos. X En el caso concreto examinado, tal y como hemos indicado, la parte reclamada publicó, en el sitio web referido en los hechos, el audio de la declaración ante el juez de una víctima de una violación múltiple, para ilustrar la noticia de un caso muy mediático. Así, no se trata, como en otros supuestos jurisprudencialmente examinados, de dotar de prevalencia a un derecho fundamental sobre otro, debiendo elegir cuál tiene más peso en un supuesto específico. Si no, más bien, de encontrar un equilibrio entre ambos para logar la consecución de la finalidad del primero sin desvirtuar el segundo. La conciliación de ambos derechos no es nada nuevo, puesto que el legislador europeo mandata tal conciliación en el artículo 85 del RGPD. Como hemos visto anteriormente, el Derecho Fundamental a la Libertad de Información no es ilimitado, puesto que la interpretación jurisprudencial al confrontarlo con otros derechos y libertades no permite en todo caso y con toda amplitud el mismo, sino que, no obstante, la prevalencia que suelen dotarle los tribunales puede verse limitado por otros derechos fundamentales que deben también ser respetados. Así se observa su limitación cuando los datos personales facilitados eran innecesarios para la esencia del contenido de la información. Hemos de considerar las especiales circunstancias presentes en el supuesto examinado. Se trata de una mujer (...) que ha sufrido una violación múltiple. En la grabación publicada se la escucha relatar, con una gran carga emocional, la agresión sexual sufrida con toda crudeza, (…). Además, no podemos perder de vista la condición de víctima de la mujer cuya voz, con todos los matices expuestos, se ha difundido. Recordemos, a los efectos meramente ilustrativos, que la Ley 4/2015, de 27 de abril, del Estatuto de la víctima del delito, así como la reciente Ley Orgánica 10/2022, de 6 de septiembre, de garantía integral de la libertad sexual, prevén una especial necesidad de protección a las víctimas de los delitos contra la libertad sexual o la indemnidad sexual. A mayores, el mencionado Estatuto de la víctima del delito también prevé una especial protección a las víctimas de delitos violentos. Y en el supuesto examinado concurren ambas circunstancias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/44 En este caso ha de considerarse la situación de la víctima (que no se encuentra en el mismo plano de igualdad que los acusados) y lo que supone la difusión de su voz con todos sus matices, así como la especial protección que debe procurarla el ordenamiento jurídico que, sin constreñir el suministro de información, debe hacerse compatible con el principio de minimización de datos, aplicable sobre la forma, el medio en que se suministra y difunde la información por la afectación inmediata al dato personal y a la identificación de la víctima. Precisamente porque no se niega el evidente interés público informativo en la noticia, dado el interés general en las causas penales, en este caso concreto, no se trata de hacer decaer el Derecho Fundamental a la Libertad de Información por la prevalencia del Derecho Fundamental a la Protección de Datos de Carácter Personal, sino de hacerlos plenamente compatibles para que ambos queden absolutamente garantizados. Esto es, no se pone en cuestión la libertad de información de los medios de comunicación sino la ponderación con el derecho a la protección de datos en base a la proporcionalidad y necesidad de publicar el concreto dato personal de la voz. Tal situación podría haberse resuelto con la utilización de procedimientos técnicos para impedir el reconocimiento de la voz, tales como, por ejemplo, la distorsión de la voz de la víctima o la transcripción del relato de la violación múltiple, medidas de seguridad ambas, aplicadas dependiendo del caso de forma ordinaria por los medios de comunicación. A mayores hemos de significar que la víctima es una persona anónima y nuestro Tribunal Constitucional, por todas, la STC 58/2018, de 4 de junio, afirma que las autoridades públicas, los funcionarios públicos y los personajes públicos o dedicados a actividades que conllevan notoriedad pública “aceptan voluntariamente el riesgo de que sus derechos subjetivos de personalidad resulten afectados por cr