1/18 Expediente N.º: EXP202300016 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 03/01/2023, tuvo entrada en esta Agencia un escrito presentado por A.A.A. (en adelante, la parte reclamante), mediante el que formula reclamación contra KENAI MEDIA, S.L. con NIF B67684514 (en adelante, KENAI), por un posible incumplimiento de la normativa de protección de datos de carácter personal. Los motivos en que basa la reclamación son los siguientes: “Buenos días, escribo porque hace unos días un amigo me llamó para alertarme de que aparecía en un vídeo de una página de contenido para adultos. Tras asegurarme de que realmente era yo descubrí que el vídeo aparecía en varias páginas diferentes. Escribí a todas ellas solicitando la retirada del mismo y, al parecer, están pendientes de revisión y en las páginas de momento no se pueden ver, aunque los enlaces siguen estando. Esta mañana mi amigo me volvió a llamar porque ha encontrado el vídeo en el servidor, una página española que supuestamente lo enlaza con las internacionales. En el vídeo (…), (…). El vídeo se localiza buscando "(…)" en internet, pero si le cambian el nombre será muy difícil volver a localizarlo porque hay millones de vídeos. (…) Les adjunto algunas webs en las que encontré el vídeo, las webs que contestaron a mis mensajes, los enlaces de la página en la que sigo apareciendo y captura de pantalla de la conversación. ***URL.1” Junto a la reclamación aporta la siguiente documentación: - Captura de pantalla de una secuencia del vídeo en cuestión publicado en la página web ***URL.1. La descripción del vídeo señala lo siguiente: “(…)” - Captura de pantalla del portal web ***URL.2 en la que aparece la frase “video is unavaible pending review”. - Captura de pantalla del portal web ***URL.3 en el que aparece la frase “video is unavaible pending review”. - Captura de pantalla del portal web ***URL.4 en el que aparece la frase “This video has been Flagged for review”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 SEGUNDO: Con comprobaciones: fecha 03/01/2023, esta Agencia realizó las siguientes - En la URL ***URL.5 figura (traducción no oficial del inglés): “Este vídeo ha sido marcado para revisión”. - En la URL ***URL.6 figura (traducción no oficial del inglés): “Vídeo no disponible pendiente de revisión”. - En la URL ***URL.7 figura (traducción no oficial del inglés): “Vídeo no disponible pendiente de revisión”. - En la URL ***URL.1 figura una secuencia un vídeo de género pornográfico con la siguiente descripción: “(…)”. TERCERO: Con fecha 04/01/2023, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1) En fecha 04/01/2023, esta Agencia envía orden de retirada urgente al responsable de tratamiento KENAI, referente a la difusión del video denunciado y publicado en la URL ***URL.1. Según la Política de Privacidad del citado sitio web, esta persona jurídica es la responsable de los tratamientos de datos personales que en este se realizan. Consta como fecha de acuse de recibo de esta orden el 11/01/2023. 2) En fecha 11/01/2023, esta Agencia recibe, con número de registro de entrada ***REFERENCIA.1, escrito de contestación de KENAI en el que manifiesta: “Hemos procedido a la retirada de la escena requerida y aclararles que tenemos todas las autorizaciones pertinentes firmada por la persona que hace la reclamación a su disposición. Contestamos por esta vía porque no hemos sabido encontrar otra forma”. 3) En fecha 12/01/2023, esta Agencia recibe nuevo escrito por parte de KENAI, con número de registro de entrada ***REFERENCIA.2, en el que aporta la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 - Un documento con nombre “***DOCUMENTO.1” que incluye una digitalización del DNI de B.B.B. y una segunda página con el siguiente contenido: “(…)”, adjuntándose la firma. - Documento con nombre “***DOCUMENTO.2” que almacena una digitalización del DNI de A.A.A. (parte reclamante) y un texto con el siguiente contenido: “(…)”, adjuntándose la firma. - Documento con nombre “***DOCUMENTO.3” con el siguiente contenido: Un contrato firmado por las partes C.C.C. (***NIF.1) y D.D.D., en representación de INTERSELECCION SL (en adelante, INTERSELECCION) acordando: o o o o o o Se adjunta una copia digitalizada del DNI de C.C.C.. Se adjunta en este documento los siguientes textos de cesión de derechos firmados: o - Que C.C.C. es el legítimo propietario de todos los derechos de la producción audiovisual de género pornográfico titulada provisionalmente: NO APARECE EL NOMBRE. Que INTERSELECCIÓN está interesada en adquirir todos los derechos de la mencionada producción, en exclusiva, a perpetuidad y para todo el mundo. Que C.C.C. manifiesta que asume las responsabilidades de cualquier índole en las que pudiera recaer por reclamaciones de terceros, relacionada directa o indirectamente con la titularidad de los derechos de la producción audiovisual anteriormente mencionada, por lo que INTERSELECCION declina cualquier responsabilidad en los eventuales litigios que pudieran suscitarse. Que C.C.C. cede a INTERESELECCION todos los derechos de la producción audiovisual en exclusiva, a perpetuidad y para todo el mundo. Que INTERSELECCION pagará el importe total de compraventa que asciende a ***CANTIDAD.1, podrá comercializar la producción audiovisual del modo que crea oportuno, incluso fraccionado… Las partes dan formal y terminante renuncia de su propio fuero de ser otro, se someten a la competencia y jurisdicción de los Juzgados y Tribunales de justicia de Barcelona. (…) Documento con nombre “***DOCUMENTO.4" y con el siguiente contenido: “(…)” 4) Con fecha 27/01/2023, se incorpora a las actuaciones de inspección diligencia realizada por esta Agencia, en fecha 13/01/2023, en la que se acredita la retirada del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 contenido por parte de KENAI en relación con la medida cautelar de 04/01/2023, vinculada al contenido publicado en ***URL.1. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad KENAI MEDIA, S.L. es (…). SEXTO: Con fecha 19/12/2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a KENAI, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
- a)del RGPD. Este acuerdo de inicio, conforme a las normas establecidas en la LPACAP, fue notificado a KENAI en fecha 20/12/2023, como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: Con fecha 27/12/2023, KENAI presentó, en tiempo y forma, escrito de alegaciones en el que reiteraba lo manifestado en el marco de las actuaciones previas de investigación (punto tercero del apartado “Antecedentes”) y aportaba la misma documentación. A mayores, adjuntó al escrito los siguientes documentos: - Doc. “***DOCUMENTO.5”. Según KENAI, corresponde a un “certificado acreditativo de que la escena denominada inicialmente “***TITULO.1” es la misma que la denominada posteriormente “(...)” que fue adquirida por la entidad reclamada. - Doc. “***DOCUMENTO.6”. Contrato firmado entre C.C.C. y ***EMPRESA.1, en fecha 26/06/2012, para la adquisición de esta última de “la producción audiovisual de género pornográfico titulada provisionalmente ***TITULO.1 (título manuscrito)” OCTAVO: Con fecha 20/11/2024, la instructora del procedimiento dictó propuesta de resolución en la que imponía una multa de 10.000€ a KENAI, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD, en la que se le indicaba que tenía un plazo de diez días para presentar alegaciones. Asimismo, se ordenaba a KENAI que, en virtud del artículo 58.2.
- d)del RGPD, acreditara al día siguiente de la notificación de resolución de procedimiento sancionador haber adoptado las medidas necesarias para que la imagen de la parte reclamante no fuera objeto de tratamiento ni difusión si no concurría una de las bases de legitimación del artículo 6 del RGPD o, en su caso, haber suspendido el tratamiento de datos de carácter personal objeto de reclamación a través de la retirada del contenido publicado en ***URL.1. Esta propuesta de resolución, que se notificó a KENAI conforme a las normas establecidas en la LPACAP, fue recogida en fecha 20/11/2024, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 NOVENO: Con fecha 26/11/2024, se recibe en esta Agencia, en tiempo y forma, escrito de KENAI en el que aducía alegaciones a la propuesta de resolución. En estas alegaciones, en síntesis, manifestaba que: - - KENAI está legitimada para la publicación del vídeo objeto del presente procedimiento sancionador en virtud del artículo 6.1.
- b)del RGPD, puesto que la parte reclamante firmó un contrato por el que, no solo cedía sus derechos de imagen derivados de la película “***TITULO.1” a C.C.C., sino que también le autorizaba a cederlos a terceros. KENAI entiende que se puede tratar de una cuestión civil. KENAI alega que la parte reclamante dio su consentimiento a la cesión de sus derechos de imagen de la escena en cuestión y, por consiguiente, autorizó el tratamiento de sus datos personales. KENAI señala que ha retirado la escena pornográfica titulada (...), tras el requerimiento de esta Agencia. KENAI considera que, atendiendo a lo dispuesto en el RGPD, la sanción máxima a imponer ascendería a ***CANTIDAD.2, toda vez que su volumen de facturación en el ejercicio 2022 fue de ***CANTIDAD.3. Adjunta certificado acreditativo de su inscripción. KENAI aporta el siguiente documento: Doc. “Depósito cuentas 2022”. En su contenido figura, entre otra, la siguiente información: REGISTRO MERCANTIL DE BARCELONA. Nº ENTRADA: 99/154963 FECHA: 31/07/2023 DIARIO:1278 ASIENTO: 2988 KENAI MEDIA S.L. NIF B67684514 Datos registrales: Ha depositado las cuentas anuales Propias correspondientes al ejercicio cerrado el 31/12/2022 con el número de archivo 43126339 Tomo 48034 Folio 98 Hoja número B-570161 A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: En fecha 03/01/2023, el vídeo de género pornográfico objeto de reclamación estaba disponible en la siguiente dirección electrónica: ***URL.1. La descripción era la siguiente: “(…)”. SEGUNDO: Tras el acuerdo de adopción de medida provisional de retirada, de fecha 04/01/2023, emitido a KENAI, a fecha 13/01/2023, el vídeo en cuestión había sido retirado de la dirección electrónica señalada anteriormente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 TERCERO: Con fecha 12/01/2023, KENAI presenta escrito ante esta Agencia en el que aporta la siguiente documentación: - Documento “***DOCUMENTO.1”. Incluye una digitalización del DNI de B.B.B. y una segunda página con el siguiente contenido: “(…)”, adjuntándose la firma manuscrita. - Documento “***DOCUMENTO.2”. Incluye una digitalización del DNI de A.A.A. (parte reclamante) y un texto con el siguiente contenido: “(…)”, adjuntándose la firma manuscrita. - Documento “***DOCUMENTO.3” con el siguiente contenido: Un contrato, de fecha 26/06/2012 y firmas manuscritas, celebrado entre C.C.C. (***NIF.1) y D.D.D., en representación de INTERSELECCION acordando: o Que C.C.C. es el legítimo propietario de todos los derechos de la producción audiovisual de género pornográfico titulada provisionalmente: (vacío). o Que INTERSELECCIÓN está interesada en adquirir todos los derechos de la mencionada producción, en exclusiva, a perpetuidad y para todo el mundo. o Que C.C.C. manifiesta que asume las responsabilidades de cualquier índole en las que pudiera recaer por reclamaciones de terceros, relacionada directa o indirectamente con la titularidad de los derechos de la producción audiovisual anteriormente mencionada, por lo que INTERSELECCION declina cualquier responsabilidad en los eventuales litigios que pudieran suscitarse. o Que C.C.C. cede a INTERESELECCION todos los derechos de la producción audiovisual en exclusiva, a perpetuidad y para todo el mundo. o Que INTERSELECCION pagará el importe total de compraventa que asciende a ***CANTIDAD.1, podrá comercializar la producción audiovisual del modo que crea oportuno, incluso fraccionado (…). o Las partes dan formal y terminante renuncia de su propio fuero de ser otro, se someten a la competencia y jurisdicción de los Juzgados y Tribunales de justicia de Barcelona. Se adjunta una copia digitalizada del DNI de C.C.C.. Se adjunta en este documento los siguientes textos de cesión de derechos, en fecha 21/06/2012 y firmados manualmente: o C/ Jorge Juan, 6 28001 – Madrid (…) www.aepd.es sedeagpd.gob.es 7/18 - Documento “***DOCUMENTO.4", de manuscritas, con el siguiente contenido: fecha 22/09/2022 y con firmas “(…) CUARTO: Con fecha 27/12/2023, en el escrito de alegaciones al acuerdo de inicio del presente procedimiento sancionador, KENAI aporta: - Doc.”***DOCUMENTO.5”. Según KENAI, corresponde a un “certificado acreditativo de que la escena denominada inicialmente “***TITULO.1” es la misma que la denominada posteriormente “(...)” que fue adquirida por la entidad reclamada. - Doc. “***DOCUMENTO.6”. Contrato firmado entre C.C.C. y ***EMPRESA.1, en fecha 26/06/2012, para la adquisición de esta última de “la producción audiovisual de género pornográfico titulada provisionalmente ***TITULO.1 (título manuscrito)”. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con los poderes que el artículo 58.2 RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4 “Definiciones” del RGPD define los siguientes términos a efectos del Reglamento: "1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen.” En el presente caso, a tenor del artículo 4.1 del RGPD, la imagen física de una persona es un dato personal. Así pues, la publicación de un vídeo de contenido para adultos en el que se aprecia el rostro y cuerpo desnudo de la parte reclamante supone un tratamiento de datos personales, toda vez que permite su identificación o la hace identificable. KENAI realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. En la Política de Privacidad del portal ***URL.8 figuran sus datos de contacto como responsable del tratamiento de los datos personales que en este se realicen. III Alegaciones aducidas En relación con las alegaciones aducidas a la propuesta de resolución del presente procedimiento sancionador, se procede a dar respuesta a las mismas según el orden expuesto por KENAI: Alega KENAI que estaba legitimada para la publicación del vídeo objeto del presente procedimiento sancionador en virtud del artículo 6.1.
- b)del RGPD, en tanto en cuanto, al haberse producido una cesión de contrato, no era necesario que la parte reclamante firmara el contrato de cesión de derechos que suscribió KENAI con INTERSELECCIÓN. Pues, la parte reclamante ya había firmado un contrato en virtud del cual, no solo cedía sus derechos de imagen derivados de la película “***TITULO.1” a C.C.C., sino que también le autorizaba a cederlos a terceros. De este modo, C.C.C. celebró un contrato con INTERSELECCIÓN y esta entidad, con posterioridad, con KENAI. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 No obstante, añade que “El fondo de este procedimiento es una cuestión civil más que una cuestión propia de la normativa relativa a la protección de datos; si civilmente la cesión de un contrato pactada entre las partes es posible, está claro que mi representada no ha cometido ninguna infracción en el tratamiento de los datos de la denunciante; si dicha cesión no es posible, mi mandante ha cometido una infracción al tratar unos datos obtenidos ilegítimamente.” Al respecto, esta Agencia desea señalar que dentro de su marco competencial no se encuentra determinar la validez de un contrato, pero sí analizar si concurre o no la existencia de base legitimadora que ampare el tratamiento de datos personales realizado, en el presente caso, por KENAI. Expuesto lo anterior, ha de indicarse que el documento aportado por KENAI en el que INTERSELECCIÓN certificaría que el contenido de la escena pornográfica titulada “***TITULO.1” es el mismo que el de “(...)”, no prueba que la afirmación realizada por esta última se corresponda con la realidad. Y, es más, aun si lo fuera, esta Agencia se reitera en que para que concurra el supuesto previsto en el artículo 6.1.
- b)del RGPD es necesario que el interesado, cuyos datos personales son objeto de tratamiento, sea parte del contrato. En el presente caso, no ha quedado acreditado que la parte reclamante forme parte del contrato suscrito entre INTERSELECCIÓN y KENAI en el año 2022 o, al menos, que (...) haya firmado algún contrato con KENAI. La Agencia no entra a valorar la validez del contrato llevado a cabo entre INTERSELECCIÓN y KENAI, únicamente analiza si el tratamiento de la imagen de (...) realizado por KENAI puede ampararse en alguna base de legitimación del artículo 6.1 del RGPD, pues no puede olvidarse que la imagen de una persona física es un dato de carácter personal y que la protección que dispensa el derecho fundamental a la protección de datos se extiende a todos los datos personales de una persona física sean conocidos por terceros o no. En el supuesto presente, la parte reclamante habría cedido los derechos de imagen en la película titulada “***TITULO.1” a favor de C.C.C. a quien habría autorizado también para venderlos a terceros, lo que realizó C.C.C. a favor de INTERSELECCIÓN. Pero INTERSELECCIÓN cedió los derechos de imagen de la parte reclamante a favor de KENAI, sin que la parte reclamante fuera parte en tal contrato y sin que hubiera autorizado a INTERESELECCIÓN a realizar tal venta. Por tanto, el tratamiento que realiza KENAI en este caso no puede basarse en la causa de legitimación prevista en el artículo 6.1.
- b)del RGPD por cuanto exige expresamente que el tratamiento sea necesario para la ejecución de un contrato en el que el interesado es parte, lo que no ocurre en este caso. KENAI considera que, a la vista del documento firmado por la parte reclamante en el año 2012, no cabe duda de que (...) dio su consentimiento a la cesión de sus derechos de imagen de la escena en cuestión. Y, por tanto, el consentimiento a la cesión de sus derechos de imagen comporta la autorización al tratamiento de sus datos personales. Al respecto, esta Agencia se reitera en que el tratamiento realizado por KENAI tampoco queda amparado en el consentimiento de (...), por cuanto la declaración que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 se aporta firmada (…) no cumple los requisitos exigidos en el artículo 4.11 del RGPD para que el consentimiento sea válido. Por último, remarca KENAI haber retirado la escena pornográfica titulada (...), tras el requerimiento de esta Agencia. Añade que, “El artículo 83.2 del RGPD establece que en caso de infracciones derivadas del art. 6 del RGPD, tratándose de una empresa, la cuantía de la sanción ascenderá, como máximo, al 4% de la facturación del volumen de negocio anual del ejercicio anterior” y, por tanto, en vista de que su volumen de facturación en el ejercicio 2022 fue de ***CANTIDAD.3, la sanción máxima a imponer ascendería a ***CANTIDAD.2. Adjunta certificado acreditativo de su inscripción. Al respecto, esta Agencia desea señalar que el apartado del artículo 83 del RGPD que resulta de aplicación en el presente caso es el quinto, no el segundo. Dicho esto, ha de señalarse que KENAI en el extracto del artículo 83 del RGPD que hace omite un dato muy relevante, y es que, cuando el sujeto infractor es una empresa, la cuantía de la multa administrativa no puede superar 20.000.000€ o la cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, debiendo optarse por la de mayor cuantía. Por tanto, la multa administrativa de 10.000€ que se propuso imponer a KENAI se encuentra dentro de los límites legales, toda vez que el máximo a tener en cuenta en este caso es el de los 20 millones de euros, por ser superior a la cuantía que resulta de aplicar el 4% al volumen de negocios de KENAI en el ejercicio 2022. Por lo expuesto, se desestiman las presentes alegaciones. IV Licitud del tratamiento de los datos personales Los principios que han de regir el tratamiento se encuentran enumerados en el artículo 5 del RGPD. En este sentido, el apartado 1 letra a), señala que: “Los datos personales serán:
- a)Tratados de manera lícita, leal y transparente en relación con el interesado (licitud, lealtad y transparencia); (…)” Los supuestos que permiten considerar lícito el tratamiento de los datos personales se enumeran en el artículo 6.1 del RGPD: 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18
- b)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- d)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- e)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Asimismo, el Considerando 40 del mencionado RGPD, dispone que “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.” En el presente supuesto, tal y como se ha indicado en los Hechos probados, el 21/06/2012 la parte reclamante firmó una declaración por la que cedía sus derechos de imagen en la película “***TITULO.1” al productor C.C.C. y le autorizaba a venderlos a terceros. Con posterioridad, la entidad INTERSELECCIÓN suscribió un contrato con este productor por el que adquirió todos los derechos de la producción audiovisual de género pornográfico titulada “***TITULO.1”. Por su parte, el 22/09/2022 KENAI adquirió de INTERSELECCION los derechos de explotación de la escena pornográfica “(...)” incluida en la película titulada “(…)”. El vídeo en cuestión se publicó en ***URL.8, concretamente, en la URL ***URL.1, bajo el título “(...)”, y con la siguiente descripción: “(…)”. En la captura de pantalla del vídeo aportada por la parte reclamante, se aprecia con claridad el rostro y cuerpo desnudo de la parte reclamante mientras mantiene relaciones sexuales (…). Si bien es cierto que KENAI aportó junto al escrito de alegaciones al acuerdo de inicio un documento en el que INTERSELECCIÓN asegura que el contenido de las escenas pornográficas anteriormente citadas es el mismo, no ha quedado probada la concurrencia de ninguna de las bases legitimadoras del artículo 6 del RGPD que ampare el tratamiento de la imagen de la parte reclamante por parte de KENAI. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 Es la parte reclamada la que ha de acreditar que el tratamiento de datos personales que realiza es lícito. KENAI no puede basar el tratamiento de la imagen de (...) en la existencia del consentimiento de (...). Para que el consentimiento pueda entenderse válidamente dado es necesario que concurran los elementos recogidos en el artículo 4.11 del RGPD, es decir que el consentimiento consista en una manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. Como aclara la Audiencia Nacional en su sentencia, de 14 de febrero de 2023, rec. 463/2020, “la normativa de protección de datos excluye en la actualidad el consentimiento tácito y exige que el mismo sea explícito. Considera la Sala, por tanto, que solo resultará válido el consentimiento expreso, que debe otorgarse a través de un acto afirmativo claro que evidencie una declaración de voluntad libre, específica, informada e inequívoca del titular de los datos de carácter personal, en el sentido de que no exista la más mínima duda de que ha habido voluntad manifiesta por parte de dicho afectado”. (el subrayado es nuestro). En este caso, la parte reclamante habría firmado un documento con el siguiente contenido: DIGO YO, (…). En Madrid a fecha 21/06 de 2012”, Sin embargo, esta declaración no cumple con los requisitos que ha de reunir un consentimiento válido. El considerando 42 del RGPD indica que “(…) en el contexto de una declaración por escrito efectuada sobre otro asunto, debe haber garantías de que el interesado es consciente del hecho de que da su consentimiento y de la medida en que lo hace. (…). Garantías que no puede afirmarse que existieran en este caso, pues ni siquiera se advierte a (...) que la cesión de los derechos de imagen implica el consentimiento para el tratamiento de sus datos personales, por lo que (...) no fue consciente de que estaba dando su consentimiento para el tratamiento de sus datos personales. En particular, el consentimiento ha de ser específico y el interesado ha de haber dado su consentimiento para uno o varios fines específicos para que el tratamiento de los datos pueda basarse en el artículo 6.1.
- a)del RGPD Como afirma el Comité Europeo de Protección de Datos (en lo sucesivo CEPD) en las “Directrices 5/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679. versión 1.1 “El requisito de que el consentimiento deba ser «específico» tiene por objeto garantizar un nivel de control y transparencia para el interesado”. Así considera que para cumplir con el carácter de «específico» el responsable del tratamiento debe aplicar: i la especificación del fin como garantía contra la desviación del uso, ii la disociación en las solicitudes de consentimiento, y iii una clara separación entre la información relacionada con la obtención del consentimiento para las actividades de tratamiento de datos y la información relativa a otras cuestiones. (párrafo 55) En relación con estos requisitos el CEPD afirma que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 “56 Ad. i): De conformidad con el artículo 5, apartado 1, letra b), del RGPD, la obtención del consentimiento válido va siempre precedida de la determinación de un fin específico, explícito y legítimo para la actividad de tratamiento prevista. La necesidad del consentimiento específico en combinación con la noción de limitación de la finalidad que figura en el artículo 5, apartado 1, letra b), funciona como garantía frente a la ampliación o difuminación gradual de los fines para los que se realiza el tratamiento de los datos una vez que un interesado haya dado su autorización a la recogida inicial de los datos. Este fenómeno, también conocido como desviación del uso, supone un riesgo para los interesados ya que puede dar lugar a un uso imprevisto de los datos personales por parte del responsable del tratamiento o de terceras partes y a la pérdida de control por parte del interesado. 57 Si el responsable del tratamiento se basa en el artículo 6, apartado 1, letra a), los interesados deberán siempre dar su consentimiento para un fin específico para el tratamiento de los datos. En consonancia con el concepto de limitación de la finalidad, con el artículo 5, apartado 1, letra b), y con el considerando, el consentimiento puede abarcar distintas operaciones, siempre que dichas operaciones tengan un mismo fin. Huelga decir que el consentimiento específico solo puede obtenerse cuando se informa expresamente a los interesados sobre los fines previstos para el uso de los datos que les conciernen. 58. Sin perjuicio de las disposiciones sobre la compatibilidad de los fines, el consentimiento debe ser específico para cada fin. Los interesados darán su consentimiento entendiendo que tienen control sobre sus datos y que estos solo serán tratados para dichos fines específicos. Si un responsable trata datos basándose en el consentimiento y, además, desea tratar dichos datos para otro fin, deberá obtener el consentimiento para ese otro fin, a menos que exista otra base jurídica que refleje mejor la situación. (…) 60. Ad. ii): Los mecanismos de consentimiento no solo deben estar separados con el fin de cumplir el requisito de consentimiento «libre», sino que también deben cumplir con el de consentimiento «específico». Esto significa que un responsable del tratamiento que busque el consentimiento para varios fines distintos debe facilitar la posibilidad de optar por cada fin, de manera que los usuarios puedan dar consentimiento específico para fines específicos. 61. Ad. iii): Finalmente, los responsables del tratamiento deben facilitar, con cada solicitud de consentimiento separada, información específica sobre los datos que se tratarán para cada fin, con el objeto de que los interesados conozcan la repercusión de las diferentes opciones que tienen. De este modo, se permite a los interesados dar un consentimiento específico. Esta cuestión se solapa con el requisito de que los responsables faciliten información clara, tal y como se ha expuesto anteriormente en la sección 3.3” Pues bien, resulta evidente, en este caso, que no se obtuvo un consentimiento especifico de (...) que autorizara el tratamiento de sus datos. No se facilitó a (...) información sobre el fin específico, explícito y legítimo para el que iban a ser tratados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18 sus datos personales, de modo que fuera consciente del concreto uso al que se destinarían sus datos personales, a fin de evitar usos no queridos. Tampoco se obtuvo un consentimiento informado de (...), pues para que el consentimiento sea informado, el interesado debe conocer como mínimo la identidad del responsable del tratamiento y los fines del tratamiento a los cuales están destinados los datos personales (considerando 42 RGPD). Explica el CEPD en las citas Directrices que “el requisito de transparencia es uno de los principios fundamentales, estrechamente relacionado con los principios de lealtad y licitud. Facilitar información a los interesados antes de obtener su consentimiento es esencial para que puedan tomar decisiones informadas, comprender qué es lo que están autorizando y, por ejemplo, ejercer su derecho a retirar su consentimiento. Si el responsable no proporciona información accesible, el control del usuario será ilusorio y el consentimiento no constituirá una base válida para el tratamiento de los datos” (párrafo 62). Y en este caso esa información faltó. El documento aportado por KENAI no contiene ninguna información relacionada con el tratamiento de datos personales. Por tanto, no se facilitó a (...) ninguna información sobre el uso de sus datos personales, ni de los fines, ni de los cesionarios, ni del uso que iban a dar a sus datos tales cesionarios, ni de cómo ejercer sus derechos. Ni siquiera la parte reclamante fue informada de su derecho a retirar el consentimiento. El artículo 7, apartado 3), del RGPD establece que el responsable del tratamiento debe garantizar que el interesado pueda retirar su consentimiento en cualquier momento y que será tan fácil retirarlo como lo fue darlo. El CEPD sobre esta cuestión interpreta que “el responsable debe informar al interesado del derecho a retirar el consentimiento antes de que preste dicho consentimiento. Asimismo, como parte de la obligación de transparencia, el responsable debe informar a los interesados sobre cómo ejercer sus derechos” y añade que “el requisito de que la retirada del consentimiento sea sencilla se describe en el RGPD como un aspecto necesario para un consentimiento válido. Si el derecho de retirada no cumple los requisitos del RGPD, entonces el mecanismo del responsable del tratamiento no cumple con el RGPD”. En definitiva, la parte reclamada no ha obtenido el consentimiento de (...) conforme al RGPD. Finalmente, debe reiterarse que el tratamiento de los datos de la parte reclamante tampoco puede basarse en la causa de legitimación del artículo 6.1.
- b)del RGPD, pues para ello es necesario que el interesado, cuyos datos personales son objeto de tratamiento, sea parte del contrato. Y en este caso, como se ha indicado, se trataría de un contrato celebrado sin intervención de la parte reclamante que además le ocasiona perjuicios para sus derechos y libertades, Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18 son constitutivos de una infracción, imputable a KENAI, por vulneración del artículo 6.1 del RGPD. V Tipificación y calificación de la infracción del artículo 6.1 del RGPD La citada infracción del artículo 6.1 del RGPD supone la comisión de la infracción tipificada en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A efectos del plazo de prescripción, el artículo 72.1 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679; (…)” VI Sanción por la infracción del artículo 6.1 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Se tienen en cuenta las siguientes circunstancias: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el nivel de los daños y perjuicios que hayan sufrido; KENAI difundió públicamente un vídeo de contenido sexual donde aparece el rostro y cuerpo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 desnudo de la parte reclamante, sin su consentimiento, permitiendo su identificación (artículo 83.2.
- a)del RGPD). - El tipo de datos tratados, la imagen de la parte reclamante en un vídeo de contenido sexual (artículo 83.2.
- g)RGPD). - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales; KENAI es una entidad cuya actividad lleva aparejado un continuo tratamiento de datos personales, como la imagen (artículo 76.2.
- b)de la LOPDGDD). El balance de las circunstancias contempladas permite fijar una multa de 10.000,00€ (diez mil euros) por la infracción del artículo 6.1 del RGPD. VII Adopción de medidas De acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”, se requiere a KENAI para que al día siguiente de la notificación de resolución de procedimiento sancionador acredite: - Haber adoptado las medidas necesarias para que la imagen de la parte reclamante no sea objeto de tratamiento ni difusión si no concurre una de las bases de legitimación del artículo 6 del RGPD o, en su caso, haber suspendido el tratamiento de datos de carácter personal objeto de reclamación a través de la retirada del contenido publicado en ***URL.1. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a KENAI MEDIA, S.L., con NIF B67684514, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
- a)del RGPD, una multa de 10.000,00€ (diez mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 SEGUNDO: ORDENAR a KENAI MEDIA, S.L., con NIF B67684514, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de al día siguiente de la notificación de resolución de procedimiento sancionador acredite: - Haber adoptado las medidas necesarias para que la imagen de la parte reclamante no sea objeto de tratamiento ni difusión si no concurre una de las bases de legitimación del artículo 6 del RGPD o, en su caso, haber suspendido el tratamiento de datos de carácter personal objeto de reclamación a través de la retirada del contenido publicado en ***URL.1. TERCERO: NOTIFICAR la presente resolución a KENAI MEDIA, S.L. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es