← España

PS-00265-2024

1/14  Expediente N.º: EXP202403991 (PS/00265/2024) RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 16 de enero de 2024 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CLUB BALONCESTO TELDE con NIF G35220821 (en adelante BALONCESTO TELDE). Los motivos en que basa la reclamación son los siguientes: La parte reclamante, (...) años en régimen de custodia compartida con su madre, manifiesta que el Club de Baloncesto Telde, al que pertenece su hijo, ha publicado a fecha ***FECHA.1, imágenes en redes sociales ((...)) en las que aparece (…). Según indica la parte reclamante, denegó el consentimiento para el tratamiento de los datos de su hijo con esta finalidad. Junto a la reclamación se aporta imágenes del documento de obtención del consentimiento para el tratamiento, así como de la publicación de las fotografías en las redes sociales (...) en las que aparece la imagen del menor. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 19/03/2024 como consta en el acuse de recibo que obra en el expediente. No se recibió respuesta a este escrito de traslado. TERCERO: Con fecha 16 de abril de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 24 de julio de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a BALONCESTO TELDE, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el Artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/14 83.5.

  1. a)del RGPD, en el que se le indicaba que tenía un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó a BALONCESTO TELDE conforme a las normas establecidas en la LPACAP fue recogido en fecha 6 de septiembre de 2024, como consta en el acuse de recibo que obra en el expediente. QUINTO: Con fecha 23 de septiembre de 2024, se recibe en esta Agencia, en tiempo y forma, escrito de BALONCESTO TELDE en el que aduce las siguientes alegaciones al acuerdo de inicio: Manifiesta que desconocía ninguna sentencia acerca de la supuesta separación ni de la supuesta custodia compartida de los progenitores del menor, solicita que se aporten los documentos originales y también el original de las imágenes aportadas por la parte reclamante que, según BALONCESTO TELDE, han sido manipuladas. SEXTO: Con fecha 22 de noviembre de 2024, se acordó la apertura de un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que acompaña. - Solicitar a la parte reclamante para que aporte justificante del vínculo paternofilial entre la parte reclamante y el menor de edad cuya imagen fue objeto de tratamiento por BALONCESTO TELDE. - Solicitar a BALONCESTO TELDE justificante (…). Con fecha 9 de diciembre de 2024 la parte reclamante dio respuesta a la prueba practicada cuyo contenido obra en el expediente. Este período de prueba, que se notificó a BALONCESTO TELDE conforme a las normas establecidas en la LPACAP fue recogido en fecha 16 de diciembre de 2024, como consta en el acuse de recibo que obra en el expediente En el momento procedimental de la propuesta de resolución, no consta que la parte reclamada hubiera presentado escrito de respuesta al requerimiento de información formulado por esta Agencia. SÉPTIMO: Con fecha 21 de febrero de 2024, el órgano instructor del procedimiento dictó propuesta de resolución en la que se proponía imponer una multa de 1000 euros a BALONCESTO TELDE, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la infracción del art. 6.1 del RGPD y se le indicaba que tenía un plazo de diez días para presentar alegaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/14 Esta propuesta de resolución, que se notificó a BALONCESTO TELDE conforme a las normas establecidas en la LPACAP, fue recogida en fecha 24 de febrero de 2025, como consta en el acuse de recibo que obra en el expediente. OCTAVO: Notificada la citada propuesta de resolución conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por parte de BALONCESTO TELDE. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Consta en el expediente la imagen de los siguientes documentos, todos ellos con la rúbrica de la parte reclamante, fotografiados con fecha 12 de septiembre de 2021, entre las 15:21 y las 15:22 horas, aportados junto a la reclamación, con el siguiente contenido: - Documento 1 (sin título): “Nombre y Apellidos: A.A.A. DNI: ***NIF.1 En nombre y representación del menor: B.B.B. En su condición de: (…) […] le comunicamos que los datos que usted nos facilite quedarán incorporados y serán tratados en los ficheros titularidad del CLUB BALONCESTO TELDE con el fin de mantenerle informado sobre cuestiones relativas, poderle prestar nuestros servicios, así como para la actividad del club y sus servicios […]” - Documento 2: “Régimen interno” - Documento 3: “Consentimiento explícito para el tratamiento de imágenes: “Telde, a 12 de septiembre de 2023 […] Comunicación de los datos: El interesado puede autorizar o no el tratamiento señalando con una “x” en la casilla correspondiente de SI (doy el consentimiento) o NO (no doy el consentimiento […]”. A continuación, puede verse en el documento una casilla con un “NO”, que ha sido marcada con una cruz. A la derecha de esta casilla, hay un texto en el que se dice lo siguiente: “NO, doy el consentimiento al Club Baloncesto Telde a publicar las imágenes en las que aparezca, individual o colectivamente, en las publicaciones de todo tipo que realice el Club, ya sean impresas o en formato digital (redes sociales, página web del Club, revistas deportivas, etc.)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/14 Al final del documento, se han completado los campos “Nombre” y “NIF” con los datos de la parte reclamante y en los campos “Representante legal de… con NIF” consta el nombre y el DNI del hijo menor de edad de la parte reclamante. SEGUNDO: En las evidencias recogidas por esta Agencia con fecha 8 de marzo de 2024 a las 8:35 horas, se comprueba que existen tres fotos publicadas en la red social (...) por la cuenta “C.B. Telde” en las siguientes páginas web: - ***URL.1 ***URL.2 ***URL.3 En estas fotos puede observarse la imagen de los miembros de un equipo en una cancha de baloncesto. Uno de los componentes del equipo fue identificado por la parte reclamante como su hijo en las fotos obrantes en esas páginas webs. TERCERO: Consta en el expediente la imagen de los siguientes documentos, todos ellos con la rúbrica - Consentimiento explícito para el tratamiento de imágenes: Telde, a 13 de septiembre de 2023 […] Comunicación de los datos: El interesado puede autorizar o no el tratamiento señalando con una “x” en la casilla correspondiente de SI (doy el consentimiento) o NO (no doy el consentimiento […]”. A continuación, puede verse en el documento una casilla con un “SÍ”, que ha sido marcada con una cruz. A la derecha de esta casilla, hay un texto en el que se dice lo siguiente: “SÍ, doy el consentimiento al Club Baloncesto Telde a publicar las imágenes en las que aparezca, individual o colectivamente, en las publicaciones de todo tipo que realice el Club, ya sean impresas o en formato digital (redes sociales, página web del Club, revistas deportivas, etc.)” Al final del documento, se han completado los campos “Nombre” con los siguientes nombre y apellidos: “C.C.C.” y “NIF”, con el número “***NIF.2”; en los campos “Representante legal de… con NIF” consta el nombre y el DNI del hijo menor de edad de la parte reclamante, y, por último, el campo “Firma” del impreso aparece firmado. CUARTO: Durante el período de práctica de la prueba a que se refiere el Antecedente de Hecho Sexto, la parte reclamante acreditó el vínculo paternofilial con el menor de edad cuya imagen fue objeto de tratamiento por CLUB BALONCESTO TELDE, habiendo aportado: 1.-Copia del DNI de la parte reclamante. 2.- Copia del DNI del menor, hijo de la parte reclamante 3.- Copia del Libro de Familia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/14 4.- Copia del modelo de consentimiento para el tratamiento de imágenes DEL C.B. TELDE. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Cuestiones previas El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Por su parte, el artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente caso, de acuerdo con lo establecido en el artículo 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que BALONCESTO TELDE realiza la recogida y difusión de, entre otros, los siguientes datos personales de personas físicas: la imagen, entre otros tratamientos. BALONCESTO TELDE realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/14 III Contestación a las alegaciones presentadas al acuerdo de inicio Con relación a las alegaciones aducidas por BALONCESTO TELDE al acuerdo de inicio, se procede a dar respuesta a las mismas según el orden en que se exponen en su escrito: “2.- DEL CONSENTIMIENTO EXPLÍCITO PARA EL TRATAMIENTO DE IMÁGENES.” En esta alegación BALONCESTO TELDE sostiene que la madre del menor dio consentimiento explícito para el tratamiento de imágenes de su hijo el pasado 13 de septiembre de 2023. Según BALONCESTO TELDE, la parte reclamante no ha acreditado que sea el padre del menor y, de ser cierto que sea el padre del menor, que esté separado de la madre del mismo y que tengan ambos la custodia compartida, no implica que tenga la patria potestad sobre el menor. Por último, la reclamada afirma no conocer, porque no le ha sido trasladada, ninguna sentencia acerca de la supuesta separación ni de la supuesta custodia compartida Sin embargo, según lo expuesto en el Hecho Probado Cuarto, en el período de prueba practicado por el instructor del presente procedimiento, la parte reclamante ha acreditado el vínculo paterno filial con el menor cuya imagen fue publicada en redes sociales por BALONCESTO TELDE, y, por su parte, la parte reclamada no ha atendido el requerimiento documental que se le formulaba en dicho período de prueba, el cual consistía en justificar que el impreso concediendo el consentimiento para el tratamiento de la imagen del menor era auténtico, acreditando que la firma del documento pertenecía a la madre del menor. Aún en el caso de que se acreditase que el modelo en el que la madre prestó el consentimiento fuese auténtico, BALONCESTO TELDE, ante la existencia de dos modelos de consentimientos contradictorios, debió adoptar medidas para verificar la validez de estos. Así, el artículo 8, apartado 2, del RGPD añade, en particular, que «El responsable del tratamiento hará esfuerzos razonables para verificar en tales casos que el consentimiento fue dado o autorizado por el titular de la patria potestad o tutela sobre el niño, teniendo en cuenta la tecnología disponible». Por todo lo expuesto, se desestima la presente alegación. “3.- DE LA DOCUMENTACIÓN APORTADA POR LA PARTE RECLAMANTE.” BALONCESTO TELDE formula los siguientes argumentos frente a los documentos aportados por la parte reclamante junto a la reclamación: “A) Respecto al “Consentimiento Explícito para el Tratamiento de Imágenes” enviado por el Club Baloncesto Telde.” En esta alegación BALONCESTO TELDE solicita que se aporten los documentos originales de aquellos que la parte reclamante ha presentado junto con la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/14 Cabe señalar que los documentos aportados son acreditativos del contenido expresado en los mismos, así ha quedado de manifiesto en la incoación del procedimiento, y BALONCESTO TELDE no justifica ninguna circunstancia acerca de la falsedad de dichos documentos. Por todo lo expuesto, se desestima la presente alegación. “B) Respecto al “documento PDF con las URL's de las imágenes publicadas, capturas de pantalla de dichas URL’s y foto del DNI de mi hijo para que puedan cotejar con las capturas de pantalla.” BALONCESTO TELDE señala que “impugnamos las mismas solicitando la expurgación de las mismas del presente Expediente instando a requerir al reclamante la aportación de los documentos originales para poder realizar esta parte el correspondiente análisis de los metadatos de las supuestas fotografías.” No obstante, tal y como se reproduce en el Hecho Probado Segundo, consta en el expediente (págs. 13 a 17) evidencias recogidas por esta Agencia, en las que se prueba que las fotos con la imagen del menor cuyo progenitor denegó el consentimiento para el tratamiento en cuestión, fueron publicadas en el perfil de las redes sociales de BALONCESTO TELDE, lo que acredita la veracidad de los enlaces a que se refiere la parte reclamante en su reclamación. Por todo lo expuesto, se desestima la presente alegación. IV La imagen como dato personal La imagen de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal al hacerla identificable, y su protección, por tanto, es objeto de dicho RGPD: “«datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” Por tanto, la inclusión de las imágenes de una persona en cualquier tipo de documento audiovisual que identifique o que la pueda hacer identificable supone un tratamiento de datos personales y, por tanto, el responsable del mismo está obligado a cumplir con las obligaciones que se disponen en el RGPD y en la LOPDGDD. V Obligación incumplida. Licitud del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/14 El primer apartado del artículo 6 del RGPD, “Licitud del tratamiento”, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  2. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  3. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  4. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  5. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  6. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  7. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  8. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " Asimismo el Considerando 40 del mencionado RGPD, cuando dispone que «Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.» Por otra parte, el artículo 4 del RGPD, Definiciones, en su apartado 11, señala que: “1) (…) 11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. En el presente caso, BALONCESTO TELDE, el 8 de enero de 2024, ha difundido la imagen del menor representado por la parte reclamante en las redes sociales (...), sin contar con el consentimiento del representante del menor de edad, como puede observarse claramente en el documento “Consentimiento explícito para el tratamiento de imágenes” de BALONCESTO TELDE, de fecha de 12 de septiembre de 2023, aportado por la parte reclamante, en el que había marcado que no daba el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/14 consentimiento a publicar las imágenes en las que el menor aparezca individual o colectivamente. El Grupo de Trabajo del Artículo 29, órgano consultivo independiente de la UE sobre protección de los datos y la vida privada, creado en virtud de lo previsto en el citado artículo de la Directiva 95/46/CE relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, actualmente sustituido por el Comité Europeo de Protección de Datos, cuyos dictámenes sobre la interpretación de la Directiva 95/46/CE pueden considerarse vigentes, en el Dictamen 2/2009 de 11 de febrero, sobre la protección de los datos personales de los niños, realizó una serie de recomendaciones del tratamiento de datos personales de los niños, si bien referidas al ámbito escolar, pero extrapolables a otros ámbitos. Según el GT 29, debe prestarse una especial atención a la publicación por parte de los colegios de fotos de sus alumnos en Internet, debiendo hacerse siempre una evaluación del tipo de foto, la pertinencia de su publicación y su objetivo. Hace referencia a que incluso en aquellos casos en que se tomen fotografías colectivas que no permitan una fácil identificación de los alumnos, que podrían no estar sujetas a la normativa de protección de datos, las escuelas deben informar a los niños y a sus padres de que se van a tomar fotografías y cómo van a utilizarse, dándoles la oportunidad de rehusar su inclusión en dicha foto. En consecuencia, BALONCESTO TELDE no tenía legitimación que exige el artículo 6.1 del RGPD para realizar el tratamiento de la imagen del representado por la parte reclamante. Por tanto, de conformidad con las evidencias de las que se dispone en esta resolución, se considera que los hechos conocidos son constitutivos de una infracción, imputable a BALONCESTO TELDE, por vulneración del artículo 6.1 del RGPD. VI Tipificación de la infracción del artículo 6.1 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  9. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/14 A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  10. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679." VII Sanción a imponer A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  11. a)a
  12. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  13. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  14. b)la intencionalidad o negligencia en la infracción;
  15. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  16. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  17. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  18. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  19. g)las categorías de los datos de carácter personal afectados por la infracción;
  20. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  21. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  22. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/14
  23. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  24. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  25. a)El carácter continuado de la infracción.
  26. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  27. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  28. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  29. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  30. f)La afectación a los derechos de los menores.
  31. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  32. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En este caso, considerando la gravedad de la infracción constatada, atendiendo especialmente a las consecuencias que su comisión provoca en la parte reclamante, procede la imposición de multa, además de la adopción de medidas, en su caso. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en la presente resolución, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  33. a)de dicha norma, permite imponer una sanción de multa administrativa de cuantía 1.000,00 € (mil euros). VIII Poderes correctivos El artículo 58.2.
  34. f)del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/14 “
  35. f)imponer una limitación temporal o definitiva del tratamiento, incluida su prohibición; […]” La imposición de estas medidas es compatible entre sí y con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. BALONCESTO TELDE no ha cumplido con medida provisional acordada en el acuerdo de inicio del presente procedimiento, consistente en la suspensión temporal del tratamiento, al no haber retirado la publicación de las imágenes en redes sociales ((...)) en las que aparece el menor representado por la parte reclamante. En el tratamiento de datos analizado, se apreció de forma indubitada al momento de iniciar el procedimiento el alto riesgo que supone para los derechos y libertades del menor afectado, de tal modo que la continuación del tratamiento comporta un menoscabo muy grave e irreparable para los derechos del menor. Por tanto, la suspensión temporal del tratamiento era la única medida susceptible de ser adoptada para salvaguardar el Derecho Fundamental a la Protección de Datos, resultando ser, además, la menos lesiva, onerosa y proporcional para BALONCESTO TELDE. Desde estas premisas y a fin de garantizar los derechos y libertades del menor afectado, se estima procedente, de acuerdo con lo dispuesto en el art. 58.2.
  36. f)del RGPD, elevar a definitiva aquella suspensión temporal que evite la continuación del tratamiento de los datos personales, retirando las fotografías con la imagen del menor de las redes sociales donde había sido publicada. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a CLUB BALONCESTO TELDE, con NIF G35220821, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
  37. a)del RGPD, una multa de 1.000,00 euros (mil euros). SEGUNDO: CONFIRMAR, elevando a definitiva, en virtud del artículo 58.2.
  38. f)del RGPD, la orden de suspensión temporal acordada en el acuerdo de inicio de fecha 24 de julio de 2024, por la que se requiere a CLUB BALONCESTO TELDE, con NIF G35220821, que evite la continuación del tratamiento de los datos personales, retirando las fotografías con la imagen del menor de las redes sociales donde había sido publicada. Al no haber sido atendido dicho requerimiento, se ordena a CLUB C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/14 BALONCESTO TELDE en el plazo de 10 días desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de la retirada de la publicación de las imágenes en redes sociales ((...)) en las que aparece el menor representado por la parte reclamante. TERCERO: NOTIFICAR la presente resolución a CLUB BALONCESTO TELDE. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  39. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  40. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/14 web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-100325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.