← España

PS-00223-2019

1/8 * Procedimiento Nº: PS/00223/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante RND PATINAJE, S.L., en virtud de reclamación presentada por Dña. A.A.A. (en adelante la reclamante) y en base a los siguientes: ANTECEDENTES PRIMERO: La reclamante interpuso reclamación ante la Agencia Española de Protección de Datos el 19/10/2018. El escrito de reclamación se dirige contra RND PATINAJE, S.L., con NIF B88133236 (en adelante el reclamado). Los motivos en que basa la reclamación son, en síntesis, lo siguientes: que había gestionado la baja a su hija en el club de hockey en el que estaba inscrita; no obstante, al revisar en la aplicación del club la baja real descubrió que había fotos de su hija con el resto del equipo tanto en la aplicación como en la página web, sin haber otorgado su consentimiento expreso. Además, esta semana ha descubierto un vídeo en la página facebook del club, para lo cual tampoco ha dado autorización. Lo único al respecto sobre datos personales fue en el momento de la inscripción en el club mediante un enlace a las condiciones generales donde dice que autorizo a que se graben fotos y vídeos. SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: El 10/12/2018, reiterada el 15/01/2019, fue trasladada al reclamado el escrito interpuesto para su análisis y comunicación a la denunciante de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. En la misma fecha se le comunicaba a la reclamante la recepción de la reclamación y su traslado a la entidad reclamada. El reclamado no ha dado respuesta a ninguno de los requerimientos formulados por la Agencia Española de Protección de Datos. El 23/05/2019, de conformidad con el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la afectada contra el reclamado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 TERCERO: Con fecha 05/07/2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 5.1.

  1. f)del RGPD, tipificada en el Artículo 83.5 del RGPD. CUARTO: Notificado el acuerdo de inicio, el reclamado en escrito de alegaciones 25/09/2019 señalaba que: la reclamante había dado su consentimiento expreso recogido en el condicionado general de la entidad; que la reclamación interpuesta es de 19/10/2018 siendo el primero de los e-mails solicitando la retirada de las imágenes es posterior; que todas las imágenes fueron retiradas o editadas para que fuese imposible la identificación, siendo recibida la solicitud el 24/10/2018; que la buena fe ha de ser la vía para solución de conflictos por lo que si existieran más imágenes la reclamante puede realizar cuantas peticiones estime oportunas y se procederá a su eliminación como no podía ser menos; que es imposible que la reclamante base su reclamación en imágenes de fecha posterior al 26/10/2018; que la situación de indefensión del reclamado es absoluta, vulnerándose entre otros su derecho de defensa; que no se ha recibido ninguna notificación de la AEPD sobre la presente reclamación en las fechas que se indican en el acuerdo de inicio. QUINTO: Con fecha 08/10/2019 se inició un período de práctica de pruebas, acordándose las siguientes: Dar por reproducidos a efectos probatorios la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado. Solicitar a RND Patinaje SL: copia de la política de privacidad, contenidas en las Condiciones Generales donde se acepta formar parte del club por parte de los abonados, a través de la cual los datos deberán ser tratados conforme a los criterios y requisitos establecidos en el Reglamento General de Protección de Datos de las Unión Europea; acreditación documental, grafico o sonoro del consentimiento otorgado para la publicación de las fotografías de la hija de la reclamante y en el que figure claramente diferenciada cada una de las finalidades o asuntos para las que se demanda aquel; copia de los e-mails cruzados con la reclamante relacionados con la incidencia puesta de manifiesto en la reclamación. Solicitar a la reclamante la documentación que obre en su poder relacionada con procedimiento de referencia que por cualquier motivo no hubieran sido aportadas en el momento de la reclamación. El 16/10/2019 el reclamado dio respuesta a la prueba solicitada cuyo contenido obra en el expediente. SEXTO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 HECHOS PROBADOS PRIMERO. El 19/10/2018 tiene entrada en esta Agencia Española de Protección de Datos escrito de la reclamante, manifestando que había gestionado la baja a su hija en el club de hockey en el que estaba inscrita (RND PATINAJE, S.L.), sin embargo, al revisar la web del club descubrió que había fotos de su hija con el resto del equipo, sin que hubiera otorgado su consentimiento expreso; además, también había descubierto un vídeo en la página de facebook del club, para lo cual tampoco ha dado autorización; que el único momento en el que otorgó el consentimiento fue en el momento de la inscripción en el club mediante un enlace a las condiciones generales donde dice que autorizo a que se graben fotos y vídeos. SEGUNDO. Consta correo electrónico de la reclamante de fecha 20/10/2018, un día después de la reclamación interpuesta en la AEPD, dirigido al representante del reclamado conteniendo lo siguiente: “(…) He estado consultando su aplicación informatica, página web y Facebook, algo que no había hecho hasta ahora y he visto fotos y videos publicados tanto del equipo de Rollybear como de la escuela de hockey, donde aparece mi hija, Almudena Angulo. Como representante legal, dado que se trata de una menor de edad y no cuenta con permiso pare ello, le solicito realice la retirada inmediata de dichas fotos y videos de las paginas mencionadas. (…)” Respuesta del representante del reclamado de misma fecha: “Indícanos una a una cuales son identificando a B.B.B., por favor, y las retiraremos sin problema”. Además, constan con posterioridad intercambio de e-mails entre el representante del reclamado y la reclamante, provocados por la dificultad de identificar a la menor en las fotografías señaladas, quedando resuelta definitivamente la retirada de las imágenes el 26/10/2018. TERCERO. En las Condiciones Generales del reclamado consta el epígrafe Datos Personales, en el que se indica lo siguiente: “Serán tratados conforme a las leyes de protección de datos europeas, el Reglamento General de Protección de Datos de la Unión Europea y las presente condiciones generales. En virtud del RGPD y leyes nacionales, se le informa de que sus datos personales quedarán recogidos en los ficheros propiedad de RND Patinaje, con el fin de realizar su inscripción y participación. Sus datos podrán ser utilizaos para informarle de futuros eventos que organice RND Patinaje. RDN Patinaje podrá filmar y fotografías a los participantes durante el desarrollo de los eventos y actividades. De conformidad con lo previsto en la Ley Orgánica 1/1982, de 5 de mayo, del derecho al honor, a la intimidad personal y familiar y a la propia imagen, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 aceptando dichas condiciones manifiesta su consentimiento en ceder gratuitamente a RND Patinaje los derechos de imagen en relación o grabaciones que se realicen al participante. El participante, autoriza a RND Patinaje para utilizar estas imágenes y fotografías en los elementos publicitarios que puedan confeccionarse (encartes, folletos, cartelería, publicaciones informativas, catálogos y páginas web y en todo tipo de redes sociales y medios de internet. Así como, cualquier otro medio sin más limitaciones que las derivadas de la Ley de Protección de Datos de Carácter Personal y la Ley Orgánica de Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen. (…)” FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II El artículo 89, Propuesta de resolución en los procedimientos de carácter sancionador, de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en su apartado 1 establece que: “1. El órgano instructor resolverá la finalización del procedimiento, con archivo de las actuaciones, sin que sea necesaria la formulación de la propuesta de resolución, cuando en la instrucción procedimiento se ponga de manifiesto que concurre alguna de las siguientes circunstancias:
  2. a)La inexistencia de los hechos que pudieran constituir la infracción.
  3. b)Cuando los hechos no resulten acreditados.
  4. c)Cuando los hechos probados no constituyan, de modo manifiesto, infracción administrativa.
  5. d)Cuando no exista o no se haya podido identificar a la persona o personas responsables o bien aparezcan exentos de responsabilidad.
  6. e)Cuando se concluyera, en cualquier momento, que ha prescrito la infracción. III En el presente caso, los hechos reclamados se refieren a la insuficiencia de las condiciones del consentimiento establecidas en la solicitud de inscripción en el club para el ejercicio de las actividades, no cumpliendo con lo establecido en el RGPD. El artículo 6, Licitud del tratamiento, del RGPD que establece que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  7. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  8. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” Y el artículo 7, Condiciones para el consentimiento, del RGPD señala que: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato”. Por otra parte, el artículo 6, Tratamiento basado en el consentimiento del afectado, de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), señala que: “1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. 2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas. 3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual”. IV En primer lugar, llama la atención que sea el organismo federativo, Federación Madrileña de Patinaje, el que incumpla la normativa en materia de protección de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 datos; hay que señalar que la solicitud de tramitación de licencia de la Federación Madrileña de Patinaje de 04/08/2018 aportada por el reclamado en la que figuran los datos personales de la hija de la reclamante y firmada por el padre de la menor se está refiriendo a la LOPD, norma que fue derogada con la entrada en vigor del RGPD el 25/05/2018 y, aunque esto es cierto, no lo es menos que en el citado documento se señalaba que los datos facilitados en cualquier formato serian incorporados a los ficheros cuyo responsable es la Federación Madrileña de Patinaje (FMP); que los datos serían cedidos no solo a las Administraciones públicas, organismos oficiales deportivos nacionales e internacionales, sino también a empresas o entidades organizadoras de eventos deportivos y empresas aseguradoras que gestionan las coberturas; asimismo, autorizaba a que la imagen, voz y resultados obtenidos en las competiciones fueran publicados en la página web y el tablón de anuncios de la Federación, etc, declarando haber sido informado de la posibilidad de ejercer los derechos ARCO según el procedimiento vigente. En segundo lugar, en la propia página web del reclamado, el formulario de inscripción al club de patinaje conduce al Condicionado General, en cuyo apartado Datos Personales, tal y como se hace constar en los hechos probados, se establece que: “RDN Patinaje podrá filmar y fotografías a los participantes durante el desarrollo de los eventos y actividades. De conformidad con lo previsto en la Ley Orgánica 1/1982, de 5 de mayo, del derecho al honor, a la intimidad personal y familiar y a la propia imagen, aceptando dichas condiciones manifiesta su consentimiento en ceder gratuitamente a RND Patinaje los derechos de imagen en relación o grabaciones que se realicen al participante. El participante, autoriza a RND Patinaje para utilizar estas imágenes y fotografías en los elementos publicitarios que puedan confeccionarse (encartes, folletos, cartelería, publicaciones informativas, catálogos y páginas web y en todo tipo de redes sociales y medios de internet. Así como, cualquier otro medio sin más limitaciones que las derivadas de la Ley de Protección de Datos de Carácter Personal y la Ley Orgánica de Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen”. Por otra parte, sorprende que la fecha de entrada de la denuncia 19/10/2018 fuera anterior a la fecha en la que la reclamante solicitó la retirada de las fotografías de la web y de la red social Facebook el 20/10/2018; es decir, prácticamente sin dar tiempo al reclamado para incumplir en lo solicitado, procurándole y proporcionándole de esta manera los elementos necesarios para asegurar el éxito de su reclamación. Sin embargo, a la vista de los correos electrónicos aportados por el representante del reclamado una vez que la menor fue identificada en los soportes correspondientes, las imágenes fueron retiradas actuando con una razonable diligencia. Asimismo, el represente del reclamado manifiesta que no le consta ni figura entre la documentación del club la formulación de requerimiento informativo alguno por parte de la AEPD. En este orden de ideas, debe tenerse en cuenta que en el ámbito administrativo sancionador son de aplicación, con alguna matización, pero sin C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 excepciones, los principios inspiradores del orden penal, teniendo plena virtualidad el principio de presunción de inocencia, que debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetado en la imposición de cualesquiera sanciones. Esto, porque el ejercicio del ius puniendi, en sus diversas manifestaciones, está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido el Tribunal Constitucional, en Sentencia 76/1990, considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. Como ha precisado el Tribunal Supremo en STS de 26 de octubre de 1998 la vigencia del principio de presunción de inocencia “no se opone a que la convicción judicial en un proceso pueda formarse sobre la base de una prueba indiciaria, pero para que esta prueba pueda desvirtuar dicha presunción debe satisfacer las siguientes exigencias constitucionales: los indicios han de estar plenamente probados – no puede tratarse de meras sospechas – y tiene que explicitar el razonamiento en virtud del cual, partiendo de los indicios probados, ha llegado a la conclusión de que el imputado realizó la conducta infractora, pues, de otro modo, ni la subsunción estaría fundada en Derecho ni habría manera de determinar si el proceso deductivo es arbitrario, irracional o absurdo, es decir, si se ha vulnerado el derecho a la presunción de inocencia al estimar que la actividad probatoria pueda entenderse de cargo.” Por lo tanto, de acuerdo con lo señalado, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR a RND PATINAJE, S.L., con NIF B88133236, por la supuesta infracción del artículo 6.1.
  9. a)del RGPD, sancionada conforme a lo dispuesto en el artículo 83.5.
  10. a)del citado Reglamento. SEGUNDO: NOTIFICAR la presente resolución al RND PATINAJE, S.L. con NIF B88133236. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 114.1
  11. c)de la LPACAP, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  12. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.