1/14 Expediente N.º: EXP202406402 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 14/03/2024, tuvo entrada en esta Agencia un escrito presentado por A.A.A. (en adelante, la parte reclamante), mediante el que formula reclamación contra B.B.B. con NIF ***NIF.1 (en adelante, la parte reclamada), por un posible incumplimiento de la normativa de protección de datos de carácter personal. Los motivos en que basa la reclamación son los siguientes: La parte reclamada difundió en su (…) de (***CANAL.1), (B.B.B.) una publicación que incluye imágenes (…) (…) de la parte reclamante y (…) (…)(C.C.C.), así como (…) y (…). Los documentos figuran en una publicación de fecha ***FECHA.1 referida a (…). Al final (…) se señala (…). Junto a la reclamación se aporta la siguiente documentación: Capturas de pantalla del mensaje publicado en (…) ***CANAL.1 (…) (B.B.B.) con (…). En la publicación figuran los siguientes documentos: • (…), expedido para A.A.A. y C.C.C. y en el que figuran datos personales (…). • (…) celebrado entre A.A.A. y C.C.C. en el que, entre otros, figuran sus datos personales de filiación, fecha de nacimiento, domicilio y DNI, así como (…) (…), incluidos sus DNIs. • (…), dictada por el (…). • (…). SEGUNDO: En fecha (***FECHA.2), esta Agencia accedió (…) (***CANAL.1) (…) (B.B.B.) y comprobó que la publicación objeto de reclamación continuaba accesible. Junto a la publicación aparecen (…) imágenes que recogen los documentos enumerados anteriormente (…). TERCERO: Consta en el expediente diversas informaciones publicadas en prensa recogidas por esta Agencia en fecha ***FECHA.2 sobre (…). CUARTO: Con fecha 24/04/2024, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 QUINTO: Esta Agencia accedió (…) (***CANAL.1) (…) (B.B.B.) y comprobó que (…). SEXTO: Con fecha 30/04/2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), a fin de imponerle una multa de 5.000€ por la presunta infracción del artículo 5.1.
- c)del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), tipificada en el artículo 83.5.
- a)del RGPD. Asimismo, el citado acuerdo de inicio ordenaba a la parte reclamada la adopción de la medida provisional consistente en suspender el tratamiento de datos de carácter personal objeto de reclamación a través de la retirada del contenido publicado en (…) (***CANAL.1) (…) (B.B.B.). Esta medida provisional debía adoptarse en el plazo máximo de diez días hábiles desde la notificación del acuerdo de inicio del procedimiento sancionador. Dicho acuerdo de inicio, conforme a las normas establecidas en la LPACAP, se intentó notificar mediante correo postal en la dirección C/ ***DIRECCIÓN.1, resultando el primer intento “Ausente” el 23/05/2024 y, el segundo, “Devuelto a origen por Dirección incorrecta” en fecha 24/05/2024. Finalmente, y de acuerdo con lo previsto en el artículo 44 de la LPACAP, se notificó mediante anuncio publicado en el BOE del 30/05/2024. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por parte de la parte reclamada. OCTAVO: Transcurrido también el plazo para la adopción de la medida provisional acordada, en fecha 14/06/2024, esta Agencia accedió (…) (…) (…) (B.B.B.) y comprobó que la publicación objeto de reclamación continuaba accesible. Asimismo, (…) (***CANAL.1) (B.B.B.) había incrementado hasta los XXX.XXX. NOVENO: Con fecha 21/06/2024, la instructora del procedimiento dictó propuesta de resolución en la que proponía imponer una multa de 5.000€ a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la infracción del artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5.
- a)del RGPD. Asimismo, en la citada propuesta de resolución se proponía elevar a definitiva la medida consistente en la suspensión del tratamiento de datos de carácter personal objeto de reclamación a través de la retirada del contenido publicado en (…) (***CANAL.1) (…) (B.B.B.). Dicha propuesta de resolución, conforme a las normas establecidas en la LPACAP, se intentó notificar mediante correo postal en la dirección ***DIRECCIÓN.2 el 18/07/2024, resultando “Devuelto a Origen por Desconocido”; y en la ya mencionada dirección ***DIRECCIÓN.1, resultando “Devuelto a Origen por Desconocido” el 08/08/2024. Finalmente, y de acuerdo con lo dispuesto en el artículo 44 de la LPACAP, se ha publicado en el BOE del 23/08/2024. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 DÉCIMO: Con fecha 02/07/2024, la Directora de la Agencia Española de Protección de Datos dictó un acuerdo de adopción de medida provisional en el que se requería a (…) para que, de forma inmediata, retirara temporalmente la publicación objeto de reclamación, ante el incumplimiento de la medida provisional impuesta a la parte reclamada en el acuerdo de inicio del presente procedimiento sancionador. UNDÉCIMO: En fecha 23/07/2024, esta Agencia accedió (…) (***CANAL.1) (…) (B.B.B.) y comprobó que la publicación objeto de reclamación había sido retirada. Asimismo, (…) (***CANAL.1) había incrementado a XXX.XXX. DUODÉCIMO: Notificada la citada propuesta de resolución, conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada (B.B.B.). A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La parte reclamada es titular de (…) (***CANAL.1) (…) (B.B.B.). El ***FECHA.1 la parte reclamada publicó en (…) (***CANAL.1) (el siguiente mensaje): (…). Junto a la publicación figuran (…) la siguiente documentación: (…), expedido para A.A.A. y B.B.B. y en el que figuran datos personales de ambos como la identidad de sus progenitores (…) y fecha de nacimiento y lugar (…). o (…). o (…). o (…). o (…). (…). Son legibles los siguientes datos personales: - (…), dictada por el (…), entre (…). - (…). Son legibles, entre otros, los siguientes datos personales: o Nombre y apellidos, fecha de nacimiento y lugar: (…). o Datos (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 o Datos (…). - (…). Son legibles, entre otros, los siguientes datos personales: o Nombre y apellidos, fecha de nacimiento y lugar: (…). o Nombre y apellidos, fecha de nacimiento y lugar: (…). o Datos (…). o Datos (…). SEGUNDO: A fecha 22/04/2024 la publicación objeto de reclamación continuaba accesible (…) (***CANAL.1) (…) (B.B.B.). TERCERO: En fecha 29/04/2024 (…) (***CANAL.1) (…) (B.B.B.) contaba con XXX.XXX (…). CUARTO: Mediante acuerdo de inicio de procedimiento sancionador de fecha 30/04/2024 se ordena a la parte reclamada la adopción de la medida provisional consiste en la retirada del contenido publicado (…) (***CANAL.1) objeto de reclamación. Esta medida provisional debía adoptarse en el plazo máximo de diez días hábiles desde la notificación del acuerdo de inicio del procedimiento sancionador. A fecha 14/06/2024, transcurrido el plazo concedido para el cumplimiento de la indicada medida provisional, la publicación objeto de reclamación continuaba accesible (…) (***CANAL.1 (…) (B.B.B.). QUINTO: A fecha 14/06/2024, (…) (***CANAL.1) (…) (B.B.B.) es de XXX.XXX. SEXTO: Mediante acuerdo de adopción de medida provisional de fecha 02/07/2024 en se requiere a (…) para que, de forma inmediata, retire temporalmente la publicación objeto de reclamación, ante el incumplimiento de la medida provisional de fecha 30/04/2024 impuesta a la parte reclamada. SÉPTIMO: A fecha 23/07/2024 la publicación objeto de reclamación había sido retirada (…) (***CANAL.1) (…) (B.B.B.). OCTAVO: En fecha 23/07/2024 (…) (***CANAL.1) (…) (B.B.B.) contaba con XXX.XXX (…). FUNDAMENTOS DE DERECHO I Competencia y procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1 del RGPD define como dato personal “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona” Por su parte, el apartado 2 del mismo precepto define el tratamiento de datos como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” Finalmente, el apartado 7 define al responsable del tratamiento o responsable como “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la parte reclamada ha difundido, entre otros, los siguientes datos personales de personas físicas: nombre y apellidos, fecha de nacimiento, DNI o domicilio. Asimismo, ha de señalarse que la parte reclamada realiza esta actividad en su condición de responsable de tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD por ser (…) (***CANAL.1) de su titularidad donde se ha producido el tratamiento de datos personales objeto de la presente reclamación. III Derecho a la protección de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 El presente procedimiento se inicia a través de la reclamación presentada por la parte reclamante debido a que la parte reclamada publicó (…) (***CANAL.1), (B.B.B.) un mensaje en el que adjuntaba (…) documentos que contienen datos personales de la parte reclamante, (…) y (…); tal y como se indica en el apartado Hechos Probados (…). En la documentación son legibles los siguientes datos personales: - Nombre y apellidos, fecha y lugar de nacimiento, D.N.I., y domicilio (…). Nombre y apellidos, fecha y lugar de nacimiento, D.N.I., domicilio y aspectos relativos al nacimiento de (…). - Nombre y apellidos, fecha y lugar de nacimiento y D.N.I. de (…). Nombre y apellidos, fecha y lugar de nacimiento, D.N.I., domicilio y aspectos relativos al nacimiento de (…). - Nombre y apellidos, fecha y lugar de nacimiento y domicilio de (…). En primer lugar, cabe recordar que las personas tienen el poder de disposición sobre sus datos personales y su difusión, resultando, sin lugar a dudas, merecedora de protección la persona cuyos datos personales se difundan vulnerando el ordenamiento jurídico. Así, la STC 292/2000, de 30 de noviembre dispone que “el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos”. En este sentido, y con independencia de cuál sea la base jurídica legitimadora del tratamiento, todo responsable del tratamiento ha de respetar los principios del tratamiento recogidos en el artículo 5 del RGPD. Los principios relativos al tratamiento son, por un lado, el punto de partida y la cláusula de cierre del ordenamiento jurídico de protección de datos, constituyendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 verdaderas reglas informadoras del sistema con una intensa fuerza expansiva; por otro lado, al tener un alto nivel de concreción, son normas de obligado cumplimiento susceptibles de ser infringidas. Más en concreto, cabe destacar el principio recogido en el artículo 5.1.
- c)del RGPD que establece que: “1. Los datos personales serán: (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);” IV Equilibrio entre el derecho a la protección de datos de carácter personal y otros derechos y libertades fundamentales No obstante, el derecho fundamental a la protección de datos personales no es absoluto, puesto que, llegado el caso, puede ceder ante la prevalencia de otros derechos y libertades también constitucionalmente reconocidos y protegidos, como, por ejemplo, el derecho fundamental a la libertad de expresión, ponderándose ello caso a caso. En este sentido, el Grupo del Trabajo del Artículo 29 en su Dictamen 06/2014 sobre el concepto de interés legítimo del responsable del tratamiento de los datos en virtud del artículo 7 de la Directiva 95/46/CE, al examinar la base jurídica del interés legítimo del artículo 7.1.
- f)de la Directiva 95/46/CE, trasladable plenamente al actual art. 6.1.
- f)del RGPD, incluye el derecho a la libertad de expresión o de información como uno de los supuestos en los que puede surgir la cuestión del interés legítimo aseverando que “sin perjuicio de si los intereses del responsable del tratamiento prevalecerán en último término sobre los intereses y los derechos de los interesados cuando se realice la prueba de sopesamiento”. Dicho lo anterior, el derecho fundamental a la libertad de información tampoco es absoluto. Podemos observar límites clarísimos establecidos por los tribunales en el ámbito civil, en relación con el Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen. Así, citaremos, la STS 50/2017, Sala Primera de lo Civil, de 27 de enero de 2017 (recurso 2139/2015) que indica: “En este sentido, es jurisprudencia reiterada (véase entre las más recientes, y a modo de síntesis doctrinal, la sentencia 605/2015, de 3 de noviembre ) que la prevalencia en abstracto de las libertades de expresión e información «solo puede revertirse en el caso concreto atendiendo al peso relativo del honor y de la intimidad según las concretas circunstancias concurrentes, siempre que las informaciones y opiniones que se divulguen se refieran a asuntos de interés general o relevancia pública (por las personas o por la materia), que se prescinda en su comunicación del uso o empleo innecesario de expresiones inequívocamente ofensivas o vejatorias y, en el caso de la libertad de información, siempre que sean veraces, precisándose en todo caso que en el ámbito de protección del derecho a la intimidad el criterio para determinar la legitimidad o ilegitimidad de las intromisiones no es el de la veracidad sino el de la relevancia pública del hecho divulgado, es decir, que su comunicación a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 la opinión pública, aun siendo verdadera, resulte necesaria en función de interés público del asunto sobre el que se informa” (el subrayado es nuestro). No se trata de dotar de prevalencia a un derecho fundamental sobre otro, debiendo elegir cuál tiene más peso en un supuesto específico. Si no, más bien, de encontrar un equilibrio entre ambos para logar la consecución de la finalidad del primero sin desvirtuar el segundo. La conciliación de ambos derechos no es nada nuevo, puesto que el legislador europeo mandata tal conciliación en el artículo 85 del RGPD. Como hemos visto anteriormente, el derecho fundamental a la libertad de expresión no es ilimitado, puesto que la interpretación jurisprudencial al confrontarlo con otros derechos y libertades no permite en todo caso y con toda amplitud su reconocimiento, sino que, no obstante, puede verse limitado por otros derechos fundamentales que deben también ser respetados. Así, se observa su limitación cuando los datos personales facilitados son innecesarios para alcanzar la finalidad perseguida con la publicación de la información. En este punto, ha de tratarse a colación la jurisprudencia que analiza la relación entre la libertad de información, por un lado, y el derecho de los afectados por contenidos de carácter informativo. Así, el Tribunal Europeo de Derecho Humanos (TEDH), en su sentencia de 19 de junio 2012, dictada en el recurso 1593/2006, señala lo siguiente: “Aunque la prensa no debe sobrepasar ciertos límites, en particular en lo que se refiere a la reputación y los derechos de los demás o a la buena administración de la justicia, su deber es, no obstante, impartir, de manera coherente con sus obligaciones y responsabilidades, información e ideas sobre todos los asuntos de interés público (apartado 48) (…), la publicación de fotografías y artículos cuyo único propósito es satisfacer la curiosidad de un lector particular con respecto a los detalles de la vida privada de una figura pública no puede considerarse que contribuya a cualquier debate de interés general para la sociedad a pesar de que la persona sea conocida por el público. En tales condiciones, la libertad de expresión exige una interpretación más estricta (…). (apartado 50). (…) Al verificar si las autoridades han logrado un equilibrio justo entre dos valores protegidos garantizados por el Convenio que pueden entrar en conflicto entre sí en este tipo de casos -la libertad de expresión protegida por el artículo 10 y el derecho al respeto de la vida privada consagrado en el artículo 8-, el Tribunal de Justicia debe equilibrar el interés público en la publicación de la información y la necesidad de proteger la vida privada (véase Hachette Filipacchi Associés c. Francia, n.º 71111/01, § 43, CEDH 2007-VII).(Apartado 51) Y concluye que, al no ser las partes afectadas por la noticia figuras públicas, no puede considerarse que la divulgación de su identidad fuera esencial para comprender los detalles del caso (apartado 57). Por otro lado, la ya mencionada sentencia de 30 de noviembre de 2000, dictada por el Tribunal Constitucional en su recurso 292/2000, razona lo siguiente: “el derecho fundamental a la protección de datos extiende su garantía no sólo a la intimidad en su dimensión constitucionalmente protegida por el art. 18.1 CE, sino a lo que en ocasiones este Tribunal ha definido en términos más amplios como esfera de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 los bienes de la personalidad que pertenecen al ámbito de la vida privada, inextricablemente unidos al respeto de la dignidad personal ( STC 170/1987, de 30 de octubre , FJ 4), como el derecho al honor, citado expresamente en el art. 18.4 CE, e igualmente, en expresión bien amplia del propio art. 18.4 CE, al pleno ejercicio de los derechos de la persona. El derecho fundamental a la protección de datos amplía la garantía constitucional a aquellos de esos datos que sean relevantes para o tengan incidencia en el ejercicio de cualesquiera derechos de la persona, sean o no derechos constitucionales y sean o no relativos al honor, la ideología, la intimidad personal y familiar a cualquier otro bien constitucionalmente amparado. De este modo, el objeto de protección del derecho fundamental a la protección de datos no se reduce sólo a los datos íntimos de la persona, sino a cualquier tipo de dato personal, sea o no íntimo, cuyo conocimiento o empleo por terceros pueda afectar a sus derechos, sean o no fundamentales, porque su objeto no es sólo la intimidad individual, que para ello está la protección que el art. 18.1 CE otorga, sino los datos de carácter personal. Por consiguiente, también alcanza a aquellos datos personales públicos, que por el hecho de serlo, de ser accesibles al conocimiento de cualquiera, no escapan al poder de disposición del afectado porque así lo garantiza su derecho a la protección de datos. También por ello, el que los datos sean de carácter personal no significa que sólo tengan protección los relativos a la vida privada o íntima de la persona, sino que los datos amparados son todos aquellos que identifiquen o permitan la identificación de la persona, pudiendo servir para la confección de su perfil ideológico, racial, sexual, económico o de cualquier otra índole, o que sirvan para cualquier otra utilidad que en determinadas circunstancias constituya una amenaza para el individuo. Conviene también traer a colación la sentencia 27/2020, de 24 de febrero, dictada por el Tribunal Constitucional en su recurso 1379/2017, en la que razona lo siguiente: "cuando el derecho a la propia imagen entre en colisión con otros bienes o derechos constitucionalmente protegidos, particularmente las libertades de expresión e información (art. 20.1.a y d CE) deberán ponderarse los diferentes intereses enfrentados y, atendiendo a las circunstancias concretas de cada caso, decidir qué interés merece mayor protección" (SSTC 105/1990, de 6 de junio; 72/2007, FJ 5 y 156/2001, FJ 6).(…) Como es fácilmente deducible, esto ocurre no solo en su confrontación con los derechos al honor y a la intimidad, sino también con el derecho fundamental a la propia imagen, por ejemplo, en aquellos casos en los que en la información se difundan fotografías o videoclips que solo puedan entenderse como meros instrumentos de satisfacción de la curiosidad ajena y hayan sido incluidos no con una función informativa, sino con la finalidad de saciar la expectación que, en aquellos términos, puede levantar una determinada noticia” (el subrayado es nuestro). Expuesto lo anterior, ha de recordarse que la información que se difunde en la publicación objeto de reclamación, al igual que la imagen, objeto de análisis en buena parte de la jurisprudencia recaída en este ámbito, contiene datos de carácter personal y, por lo tanto, ha de aplicarse todas las salvaguardas y garantías de tal forma que se garantice el derecho fundamental a la protección de datos personales de los afectados. En el caso concreto examinado, tal y como hemos indicado, la parte reclamada difundió a través de (…) (***CANAL.1), (B.B.B.) (…) documentos que contienen numerosos datos personales de la parte reclamante, (…) y (…); (…) (nombre y apellidos, DNI, entre otros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14 Así, tal y como se refleja en los Hechos Probados de la presente resolución, los datos personales existentes en los documentos publicados por la parte reclamada en (…) (***CANAL.1) —a los que, por lo tanto, pudieron tener acceso los más de XXX.XXX (…) con los que contaba (…) en el momento en que fue retirada la publicación por parte de (…), (…) que, hasta entonces, pudieron acceder al contenido publicado— corresponden (…). A lo anterior cabe añadir que la publicación abarca a determinados datos personales que no aportan un valor añadido a la información, bajo la que parece ampararse la publicación de estos datos. En concreto, los siguientes: - Nombre y apellidos, fecha y lugar de nacimiento, D.N.I., y domicilio (…). Nombre y apellidos, fecha y lugar de nacimiento, D.N.I., domicilio y aspectos relativos al nacimiento de (…). - Nombre y apellidos, fecha y lugar de nacimiento y D.N.I. de (…). Nombre y apellidos, fecha y lugar de nacimiento, D.N.I., domicilio y aspectos relativos al nacimiento de (…). - Nombre y apellidos, fecha y lugar de nacimiento y domicilio de (…). A este respecto, ha de recordarse que los considerandos 51 y 75 del RGPD distinguen un grupo de datos personales que, por su naturaleza, son particularmente sensibles por razón del importante riesgo que pueden entrañar, en el contexto de su tratamiento, para los derechos y libertades fundamentales. El común denominador de todos ellos es que su tratamiento comporta un riesgo importante para los derechos y las libertades fundamentales pues puede llegar a provocar daños y perjuicios físicos, materiales o inmateriales. En este grupo o categoría de datos particularmente sensibles se incluyen las categorías especiales de datos que regula el artículo 9 del RGPD -considerando 51 del RGPD- y, además, otros muchos datos no regulados en ese precepto. Así, el considerando 75 menciona con detalle los datos personales cuyo tratamiento puede entrañar un riesgo, de gravedad y probabilidad variables, para los derechos y libertades de las personas físicas como consecuencia de que pueden provocar daños y perjuicios físicos, materiales o inmateriales. Entre ellos menciona aquellos cuyo tratamiento “pueda dar lugar a problemas de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico o social significativo;” El Real Decreto 1553/2005, de 23 de diciembre, por el que se regula la expedición del Documento Nacional de Identidad y sus certificados de firma electrónica, establece en su artículo 1: “1. El Documento Nacional de Identidad es un documento personal e intransferible emitido por el Ministerio del Interior que goza de la protección que a los documentos públicos y oficiales otorgan las leyes. Su titular C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 estará obligado a la custodia y conservación del mismo. 2. Dicho Documento tiene suficiente valor, por sí solo, para acreditar la identidad y los datos personales de su titular que en él se consignen, así como la nacionalidad española del mismo. 3. A cada Documento Nacional de Identidad, se le asignará un número personal que tendrá la consideración de identificador numérico personal de carácter general. (...)” (El subrayado es nuestro). Esta cualidad del número del DNI/NIF lo convierte en un dato particularmente sensible en tanto en cuanto, si el tratamiento de este dato no va acompañado de las medidas técnicas y organizativas necesarias para garantizar que quien se identifica con él es realmente su titular, un tercero puede suplantar la identidad de una persona física con los riesgos que ello entraña para la privacidad, el honor y el patrimonio del suplantado. En el presente caso, estimamos que el hecho de que el tratamiento ilícito de la parte reclamada de los datos de la parte reclamante hubiera recaído sobre un dato particularmente sensible, el DNI/NIF de la parte reclamante, incide en la gravedad de la conducta presuntamente infractora. Al igual que lo hace que se vean afectados datos de terceros (…) y pertenecientes a la esfera íntima o privada, como los relacionados con (…). V Tipificación y calificación de la infracción del artículo 5.1.
- c)del RGPD De conformidad con las evidencias de las que se dispone en el presente momento de resolución del procedimiento sancionador, se considera que la parte reclamada ha tratado datos que eran excesivos al no ser necesarios para la finalidad para la que se trataban. Los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, del artículo 5.1.
- c)del RGPD, con el alcance expresado en los Fundamentos de Derecho anteriores, lo que supone la comisión de la infracción tipificada en el artículo 83.5, apartado
- a)del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” VI Sanción por la infracción del artículo 5.1.
- c)del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (apartado a). En el caso que nos ocupa, la publicación de documentación que contiene varios datos personales de la parte reclamante, (…) (…) (***CANAL.1) (…) (B.B.B.) supone la posibilidad de una difusión inmediata y de gran alcance del contenido, teniendo en consideración que (…) contaba en el momento de la adopción del acuerdo de inicio del presente procedimiento sancionador con (…), viéndose incrementados hasta casi XXX.XXX en el momento en que el contenido fue retirado. La intencionalidad o negligencia en la infracción. La difusión de los documentos con los datos personales de la parte reclamante, así como de (…), se realizó directamente por la parte reclamada, de forma intencionada, tal y como demuestra que dicha publicación haya venido acompañada de ciertas consideraciones de carácter valorativo por parte de la parte reclamada. - Las categorías de los datos de carácter personal afectados por la infracción (apartado g). Como hemos indicado, la documentación publicada contiene datos relativos al (…), de terceros y, también, los DNI de diversas personas relacionadas con la parte reclamante. Teniendo en cuenta la consideración de especialmente sensible que tiene este último, cabe concluir que su publicación incide en la gravedad de la conducta infractora debiendo apreciar la concurrencia en calidad de agravante de la circunstancia del apartado
- g)del artículo 83.2 del RGPD. El balance de las circunstancias contempladas, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.c), permite fijar una sanción de multa administrativa de 5.000€ (cinco mil euros). VII Adopción de medidas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 La infracción en la materia que nos ocupan puede dar lugar a la imposición al responsable de la obligación de adoptar medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2.
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el artículo 83.2 del RGPD. En tal caso, esta Agencia podrá requerir a la entidad responsable para que, en el plazo que se determine, adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los Fundamentos de Derecho del presente acuerdo. En atención a las circunstancias analizadas en la presente resolución de procedimiento sancionador se entiende que la parte reclamada estaría realizando tratamientos de datos personales excesivos, especialmente en atención a la naturaleza de los datos objeto de tratamiento. Por ello, se considera que la continuación del tratamiento podría comportaría un menoscabo muy grave e irreparable para los derechos los potenciales afectados. Debe recordarse que en el acuerdo de inicio del presente procedimiento sancionador se acordó imponer como medida provisional la suspensión del tratamiento de datos de carácter personal objeto de reclamación a través de la retirada del contenido publicado en (…) (***CANAL.1) (…) (B.B.B.). Y, por tanto, a fin de salvaguardar y garantizar los derechos y libertades de la parte reclamante, se acuerda elevar a definitiva la medida provisional impuesta. La imposición de estas medidas es compatible imponer una multa administrativa, según lo dispuesto en el artículo 83.2 del RGPD. Se advierte que no atender la adopción de medidas impuestas por este organismo en la resolución que ponga fin al presente procedimiento podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a B.B.B., con NIF ***NIF.1, por una infracción del artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5.
- a)del RGPD, una multa de 5.000,00 euros (cinco mil euros). SEGUNDO: CONFIRMAR, elevándola a definitiva, la medida provisional impuesta a B.B.B., con NIF ***NIF.1, cuyo cumplimiento deberá acreditarse al día siguiente de la notificación de la presente resolución de procedimiento sancionador: La suspensión del tratamiento de datos de carácter personal objeto de reclamación a través de la retirada del contenido publicado en (…) (***CANAL.1) (…) (B.B.B.). TERCERO: NOTIFICAR la presente resolución a B.B.B., con NIF ***NIF.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: XXXXXXXXXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es