PS-00304-2024

1/28  Expediente N.º: EXP202313543 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha ***FECHA.1 “11.41”, figura una noticia publicada en el diario www.elespanol.com ***URL.1, y con el título: “***TÍTULO.1” quedando diligenciado como evidencia por la AEPD. En la noticia figura “(…)”. En el video que se ve, figura como característica que, insertado en la página, en el post de la ***PLATAFORMA.1, se ve el nombre de “***PERFIL.1” “@PERFIL.1” “11:38 ***FECHA.2”. Si se da al símbolo del play, se ve el video en el que, en el interior (…), aparece un joven hablando con una persona mayor, y se escucha preguntar al joven, (…) y responder a la persona mayor: (…). El mismo video figura también en las páginas de la ***PLATAFORMA.1, ***URL.2 con el post de “El Español”, “@elespanolcom””1:22 pm. ***FECHA.5 14,7 mil reproducciones”, y en ***PLATAFORMA.2 del mismo diario, ***URL.3, a fecha ***FECHA.1, con 59 likes, 122 comentarios. En estos últimos no se ve el nombre “***PERFIL.1” “@PERFIL.1” y se informa (…) que no señalaba la noticia, quedando evidencia por la AEPD. Con fecha ***FECHA.1, se obtiene por la AEPD en la ***PLATAFORMA.1 un post en el perfil de “***PERFIL.1” 11:38 ***FECHA.2 con el literal “(…)…” y se ven las imágenes de un video que, en el interior de (…), aparece un joven hablando con una persona mayor, (…) y responder a la persona mayor: (…). A través del perfil de la ***PLATAFORMA.1 “@PERFIL.1”, con post publicado en fecha ***FECHA.2 a las 11:38 am, se ve el citado video, con 2,3 M de reproducciones, quedando como evidencias en la AEPD de las citadas publicaciones. Con fecha de ***FECHA.3, la Directora de la Agencia Española de Protección de Datos insta el inicio de oficio de actuaciones previas de investigación en relación con el conocimiento a través de los medios de comunicación de una posible infracción en el tratamiento de datos personales relativa a la difusión de un video. Según la información publicada se trataría de (…) grabada por una tercera persona y difundida posteriormente a través de distintos medios y redes sociales de internet. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/28 de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, -En fecha ***FECHA.3, se insta la adopción de medidas cautelares del contenido de los videos que se halla en las direcciones que se especifican, dirigidas al responsable: EL LEÓN DE EL ESPAÑOL PUBLICACIONES SA (en adelante, EE), para “retirar los contenidos antes señalados de las direcciones web desde la que sean accesibles”. En fecha ***FECHA.4, previo escrito de EE informando que ha procedido a la “retirada de la noticia impidiendo su acceso tanto de manera externa como a través del buscador interno del periódico”, se comprueba por el Inspector que el contenido ha sido eliminado de los distintos medios utilizados por EE. Se diligencia la evidencia de la eliminación del contenido y se documenta en el expediente. TERCERO: De acuerdo con el informe recogido de la herramienta AXESOR la entidad EL LEÓN DE EL ESPAÑOL PUBLICACIONES, S.A. es una PYME constituida en el año 2014, con una cifra de negocios de 19.443.719 euros en el año 2023. CUARTO: Con fecha 1/04/2025, se acordó por el Presidente de la AEPD: “PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a EL LEÓN DE EL ESPAÑOL PUBLICACIONES, S.A (EL ESPAÑOL), con NIF A87115226, por la presunta infracción del artículo 5.1.

1. c)del RGPD, de conformidad con el artículo 83.5.
2. a)del RGPD y calificada a los efectos de prescripción como muy grave en el artículo 72.1.a). SEGUNDO: CONFIRMAR la medida provisional impuesta a EL LEÓN DE EL ESPAÑOL PUBLICACIONES, S.A (EL ESPAÑOL), con NIF A87115226 toda vez que se considera que la continuación de los tratamientos analizados podrían acentuar aún más los riesgos irreversibles para la privacidad de la víctima y el agresor- menor de edad(protección de la dignidad de las personas, amenazas personales, pérdida de control del poder de autodeterminación y disponibilidad de los datos ), pudiendo sufrir perjuicios de difícil o imposible reparación. La medida provisional deberá mantenerse hasta la resolución final del procedimiento, en que deberá ser confirmada, modificada o levantada. “ QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), con fecha 15/04/2025, EE presentó escrito de alegaciones en el que, en síntesis, manifestaba: 1-La supuesta sanción por publicación de datos innecesarios en una información es desproporcionada, actuando como censura administrativa, considerando además que las actuaciones fueron iniciadas de oficio, sin reclamación de parte, la incuestionable viralidad de lo publicado y que aquella fue provocada por el propio protagonista de los hechos, de relevancia penal. Alude al caso de archivo de actuaciones E/03409/2018 sobre necesidad de publicar los datos personales y que contraviene los de este procedimiento. 2-Además, existen procedimientos judiciales, tanto en vía civil como en vía penal, que garantizan la efectiva protección del derecho a la intimidad y propia imagen de los afectados por la publicación de informaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/28 “la defensa del derecho a la protección de datos pretendida por esta Agencia, se enmarca en argumentos más propios de la pretendida protección del derecho a la propia imagen garantizada por la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, al tratarse de imagen y voz de los interesados, aludiéndose sin mayor fundamentación al derecho a la protección de datos vulnerado, sin que se exprese razón alguna o fundamento de tal pronunciamiento”. 3-Alude a la primacía dada por la jurisprudencia del derecho a la libertad de información sobre la normativa de protección de datos, principio que no se ha aplicado por la AEPD que no considera la realidad social en que debe ser aplicada la norma, en la que no se puede desconocer que la viralidad de contenidos informativos de por sí, es un motivo de relevancia e interés público en razón de los mismos, expresión de la relevancia comunitaria de los mismos, inequívoca en este caso, al tratarse de actos de contenido penal”. Manifiesta EE que concurren los requisitos de relevancia pública y veracidad en tanto que el vídeo objeto del presente expediente evidencia que los hechos informados sucedieron tal y como son narrados, por lo que no resulta necesario un análisis pormenorizado de dicho criterio. Cita, una cuenta-@PERFIL.2 en la que se produjo el ***FECHA.2 la publicación, que “a fecha de realización del presente escrito” tiene 6 millones de visualizaciones, indicando el enlace y en la copia que aporta se puede ver la cara (…) con el literal, “(…)”, también aporta otra publicación realizada por otra cuenta, indicando el enlace y que alcanza las 500 mil visualizaciones (documentos 1.1 y 1.2).” Igualmente, señala, que la cuenta de un reconocido (…) en su canal de ***PLATAFORMA.3, aportando imagen parcial del video con el literal “(…) …” y en otro post posterior constan los nombres (…) (documentos 1.3 y 1.4). Aporta la noticia en otros medios, sin citar a todos, como ejemplo, “***EMISORA.1”, junto al enlace de un video de @***PERFIL.3, de “20 minutos”, con el enlace visible de la noticia a ***FECHA.2 y una imagen de espaldas (…) informando que ha sido identificado (…) o en otros medios fotogramas del video. De ello, indica la reclamada que “queda demostrada la relevancia pública que adquirió el video, objeto de información y republicación en medios de comunicación de todo el país”. “Obviar como pretende la propuesta de sanción que el video alcanzó una amplísima difusión por todo el país tanto en redes sociales como en medios de comunicación tradicionales, conlleva indefensión al no tomar una decisión contextualizada y conexa a la realidad social, provocando una injerencia indebida en el derecho a la libertad de información y expresión ejercido por El Español”. En este caso, considera la reclamada que es el protagonista de la noticia el que a través de la agresión observada dio pie a la elaboración de la misma, siendo el video en sí mismo la noticia, debiendo como dice la sentencia, “ceder frente al derecho a la información debido al papel no accesorio que ha asumido el propio sujeto”. Considera EE que el video no se volvió viral a raíz de la publicación de la noticia, sino que la noticia fue publicada por su diario a raíz de la viralización del video, hecho que debe ser C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/28 considerado. Añade que, además, el video ya era ampliamente conocido y viral en el momento de la publicación de la noticia y de ahí que EE se hiciera eco del mismo como noticia relevante que era. Manifiesta EE que el video resulta accesorio a la información proporcionada durante la noticia, toda vez que describe en imágenes los hechos, el video es la noticia. Menciona la sentencia del TS 241/2003 de 14/03, que entre otras cuestiones, alude al concepto de “accesoriedad” considerando su relación con el contenido de la información escrita (conflicto entre derecho a la propia imagen e información) en un supuesto referido a una persona “ejercitando un cargo público”, complementado por la sentencia del TS 593/2022 de 28/07, sobre la publicación por parte de un medio de comunicación de imágenes recabadas de un video subido a YouTube con el consentimiento del protagonista. 4-“Relativo a la condición de menor del agresor” Considera la reclamada que en el presente caso, tanto el agresor como la persona que graba el video, sin perjuicio de su minoría de edad, son plenamente conscientes del acto que han cometido y de su gravedad, motivo por el que escapan del lugar, así como la gestualidad desafiante e intimidatoria del agresor contra una persona débil e indefensa, actitudes que no hacen sino evidenciar que a pesar del hecho de ser menor, aunaba condiciones de madurez suficientes para entender la magnitud de sus actos y en consecuencia también para ser susceptible de ser protagonista de una noticia relativa a dicha actuación, aspecto que la Agencia no ha tenido en cuenta al valorar la supuesta infracción del principio de minimización de datos, cuando es indiscutible que el menor es conocedor de que se está grabando y otorga su consentimiento para ello. 5-“Relativo a la tipificación y calificación de la supuesta infracción y la cuantía de la sanción” -Tanto el video como la identidad del menor ya habían sido ampliamente difundidos previamente. La afirmación de que la publicación de la noticia supuso al reclamante una pérdida de disposición y control sobre los datos personales, al ser difundidos a través de internet sin restricciones, no tuvo en cuenta que esa pérdida de disposición y control ya había ocurrido en el momento en el que el video se viraliza, actuación no achacable a ella. No es posible considerar que su actuación produzca el mismo efecto. -Sobre la supuesta actuación negligente, refiriendo el artículo 83.2.
3. b)del RGPD, señala la reclamada que, sin el video, el contenido informativo de la noticia quedaría vacío caso de que el video hubiera sido editado a efectos de anonimizar los datos personales del reclamante, los datos del video sirven para dar a entender a los lectores el contexto de la noticia. “de nuevo bajo la premisa de la concurrencia de los requisitos de relevancia pública y veracidad, no es posible considerar que la actuación resulte negligente desde el momento en que el periodista que publicó la información sopesó dichos criterios y determinó su simultaneidad.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/28 -En cuanto la aplicación del artículo 83.2.
4. g)del RGPD, la condición de especial vulnerabilidad del menor debe ser valorada conforme a las condiciones de madurez mostradas por su actuación, siendo evidente que conocía los hechos que estaba acometiendo, su sentida superioridad física frente al agredido, por lo que en este caso concreto, no era precisamente el menor el que se encontraba en una situación de especial vulnerabilidad. En la solicitud final insta a que se archive la infracción y subsidiariamente a que se rebaje la cuantía de la sanción. SEXTO: Con fecha 25/02/2026, el Instructor emitió propuesta de resolución del literal: “PRIMERO: Que por la Presidencia de la Agencia Española de Protección de Datos se sancione a EL LEÓN DE EL ESPAÑOL PUBLICACIONES, S.A., con NIF A87115226, por una infracción del artículo 5.1.
5. c)del RGPD, tipificada en el artículo 83.5.
6. a)del RGPD, con una multa de 20.000 euros. SEGUNDO: Que por la Presidencia de la Agencia Española de Protección de Datos se eleve a definitiva la medida provisional acordada durante las actuaciones previas de investigación, y confirmada en el acuerdo de apertura del presente procedimiento sancionador. En tal caso, deberá requerirse a EE, para que, en el plazo que se determine, adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado y justifique ante esta Agencia Española de Protección de Datos la atención del correspondiente requerimiento TERCERO: Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a EL LEÓN DE EL ESPAÑOL PUBLICACIONES, S.A., que en virtud del artículo 58.2.
7. d)del RGPD, en el plazo máximo de 3 meses, contado desde la ejecutividad de la resolución que se dicte, acredite haber adoptado las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el artículo 5.1.
8. c)del RGPD, evitando la publicación o difusión excesiva de datos personales y, en particular, de menores de edad.” SÉPTIMO: Con fecha 11/03/2026 se reciben alegaciones a la propuesta, indicando: PREVIA-Manifiesta un peligro para los medios de comunicación y la sociedad que se impongan sanciones derivadas de la supuesta publicación de datos no proporcionales para un fin informativo aun cuando los afectados no han iniciado actuación alguna al no sentir vulnerados sus derechos. Reitera que el ejercicio del derecho a la libertad de información puede conllevar la pérdida de control de datos personales por los protagonistas de las informaciones, y en este caso resulta proporcionalmente necesario al ejercicio del derecho a la libertad de información, con la merma del derecho a la protección de datos e intimidad de los afectados. PRIMERA-:-Reitera que para garantizar el derecho a la propia imagen existen procedimientos judiciales, siendo los argumentos de la AEPD más propios de la pretendida protección del derecho a la propia imagen garantizada por la Ley Orgánica 1/1982. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/28 Considera que la respuesta dada de que son bienes jurídicos distintos no es acertada, pues estima que el derecho a la protección de datos y de la propia imagen si protegen el mismo bien jurídico, que no es otro que el poder de disposición de una persona sobre su imagen y otras características personales como la voz. Reitera la resolución de archivo de actuaciones E/03409/2018 en una parte de razonamientos que señalan que el derecho a la información implica el tratamiento de datos que no necesita el consentimiento previo del titular del dato afectado, aunque existen límites, y señala la vía de protección de la citada Ley Orgánica 1/1982. -Afirma que el rostro del menor ni siquiera llega a apreciarse en su totalidad, ya que el diario cortó el único momento en el que veía su cara completa, en el video publicado tan solo se puede visualizar la parte posterior de la cabeza del menor, como mucho la parte lateral de la misma. Considera, que la posibilidad de que con inteligencia artificial se cree a partir de lo publicado una reconstrucción de identidad, se generen perfiles detallados o simulaciones es imposible por la calidad del video. SEGUNDA-Reitera que el objeto de la publicación de la noticia era el propio video, habiéndose alegado la accesoriedad del video publicado con respecto a la información que no obtuvo respuesta. TERCERA-Señala que la protección especial que dispensa el ordenamiento jurídico para los menores edad sobre sus derechos a la protección de datos, honor, intimidad y propia imagen deben siempre valorarse según las condiciones de madurez demostradas por el propio menor y en este caso eran conscientes de la grabación del video y la gravedad de los hechos, revelando condiciones y madurez suficientes para comprender la magnitud de los hechos y por tanto susceptible de ser protagonista de una noticia relativa a dicha actuación. Solicita que ello sea tenido en cuenta pues es indiscutible que el menor es conocedor de que se está grabando y otorga su consentimiento para ello, teniendo ánimo de difundirlo tal y como acabó haciendo. -Manifiesta en cuanto al interés superior del menor, que el artículo 7 de la LOPDGDD establece como edad válida para otorgar el consentimiento en 14 años, considerando que a la misma ya cuentan con suficiente madurez para conocer las implicaciones que acarrea. CUARTA-Sobre la cuantía, la considera desproporcionada, por el tipo de derecho que entra en conflicto, que es una garantía institucional y cualquier medida que lo restrinja como la sanción debe ser interpretada de manera restrictiva junto a criterios de necesidad y proporcionalidad. Refiere que, en el momento de la publicación realizada por el diario, el video ya contaba con millones de visualizaciones, siendo las visualizaciones derivadas de la noticia mínimas en comparación, hecho que se ha de tener en cuenta en la cuantía de la supuesta sanción. OCTAVO: De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/28 PRIMERO: Con fecha ***FECHA.1 “11.41”, figura una noticia publicada en el diario www.elespanol.com ***URL.1, y con el título: “***TÍTULO.1”. En la noticia figura: “(…)”. En el contenido de la publicación, figura un video relativo al suceso, en el que puede verse a la víctima de la agresión (…), así como al agresor (…), sin la utilización de ninguna técnica que impida la identificación de estas personas. El mismo video figura también en las páginas de la ***PLATAFORMA.1, ***URL.2 con el post de: “El Español”, “@elespanolcom””1:22 pm. ***FECHA.5 14,7 mil reproducciones”, y en ***PLATAFORMA.2 del mismo diario, ***URL.3, a fecha ***FECHA.1, con 59 likes, 122 comentarios, y se informa (…) que no señalaba la noticia, quedando evidencia en actuaciones previas por la AEPD. SEGUNDO: En fecha ***FECHA.3, esta Agencia remitió medida cautelar dirigida al responsable de tratamiento EE, solicitando la retirada inmediata del video publicado en las direcciones especificadas en el hecho probado anterior. TERCERO: En fecha ***FECHA.4, previo escrito de EE informando que ha procedido a la “retirada de la noticia impidiendo su acceso tanto de manera externa como a través del buscador interno del periódico “, esta Agencia verificó que el contenido del vídeo objeto del presente procedimiento sancionador ya no existe en las citadas direcciones web, extremo acreditado conforme al informe de actuaciones previas de investigación. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/28 identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El considerando 4 señala: “El tratamiento de datos personales debe estar concebido para servir a la humanidad. El derecho a la protección de los datos personales no es un derecho absoluto, sino que debe considerarse en relación con su función en la sociedad y mantener el equilibrio con otros derechos fundamentales, con arreglo al principio de proporcionalidad. El presente Reglamento respeta todos los derechos fundamentales y observa las libertades y los principios reconocidos en la Carta conforme se consagran en los Tratados, en particular el respeto de la vida privada y familiar, del domicilio y de las comunicaciones, la protección de los datos de carácter personal, la libertad de pensamiento, de conciencia y de religión, la libertad de expresión y de información, la libertad de empresa, el derecho a la tutela judicial efectiva y a un juicio justo, y la diversidad cultural, religiosa y lingüística.” El artículo 4.7 del RGPD define al responsable del tratamiento como “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”, sujeto a responsabilidad sancionadora por la LOPDGDD, artículo 70.1.a). En el presente caso, se publica una noticia que incluye datos personales de las personas aludidas, como la edad o el municipio de residencia, acompañada de un vídeo en el que puede verse a las dos personas protagonistas, haciendo posible su identificación, lo que supone un tratamiento de datos personales y, por tanto, el responsable del tratamiento que efectúa el mismo está obligado a cumplir con las obligaciones que se disponen en el RGPD y en la LOPDGDD. EE es un prestador de servicios de comunicación que realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD que define «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. El responsable del tratamiento, EE determina los fines del tratamiento, es decir ¿por qué?, ¿qué abarca?, ¿con que fin?, ¿cómo?, y el ¿para qué? Los fines del tratamiento serían previsiblemente como medio de información, exponer e informar sobre noticias de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/28 actualidad, en este caso, sucesos. La actividad concreta que se valora en este supuesto afecta a los derechos y libertades fundamentales de las personas físicas, sobre todo de su derecho a la vida privada respecto al tratamiento de los datos personales por parte de EE, como entidad que determina los fines y los medios de esta actividad de tratamiento, y debe garantizar, en el marco de sus responsabilidades, de sus competencias y de sus posibilidades, que dicha actividad satisfaga las exigencias del RGPD y la LOPDGDD para que las garantías establecidas en ella puedan tener pleno efecto y pueda llevarse a cabo una protección eficaz y completa de los afectados, en particular, de tales derechos. III Respuesta a las alegaciones En respuesta a las alegaciones aducidas en el presente procedimiento sancionador, se debe señalar lo siguiente: En cuanto a la alegación frente a la propuesta (previa) se debe señalar que la Constitución española en su artículo 20 prevé expresamente ciertos límites a la libertad de información, como el al honor, a la intimidad, a la propia imagen y a la protección de la juventud y de la infancia. No obstante, también hay que tener en cuenta, como ya se señalaba en el acuerdo de inicio, en la propuesta de resolución y en la presente resolución, la libertad de información y expresión no es absoluta, como tampoco lo es el derecho fundamental a la protección de datos personales. Son derechos que han de ser equilibrados en su aplicación, sin que quepa pretender señalar la supremacía de uno frente a otro. No se discute en este supuesto la legitimidad del tratamiento sino la necesidad y proporcionalidad de los datos personales para acompañar una información detallada sobre los hechos sucedidos varios meses antes, habiéndose localizado al menor agresor que aparece como protagonista Procede traer a colación, por su interés en este caso, la SAN de 19 de noviembre de 2024, Rec. 1241/2022, siguiendo la Jurisprudencia Constitucional sobre el derecho a la protección de datos de carácter personal, razona que “(…) el derecho fundamental a la protección de datos consagrado en el artículo 18.4 de la Constitución Española, a diferencia del derecho a la intimidad del art. 18.1 CE, con quien comparte el objetivo de ofrecer una eficaz protección constitucional de la vida privada personal y familiar, excluyendo del conocimiento ajeno y de las intromisiones de terceros en contra de su voluntad, persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derechos del afectado. El derecho a la protección de datos tiene, por tanto, un objeto más amplio que el del derecho a la intimidad ya que el derecho fundamental a la protección de datos extiende su garantía no sólo a la intimidad en su dimensión constitucionalmente protegida por el art. 18.1 CE, sino a la esfera de los bienes de la personalidad que pertenecen al ámbito de la vida privada, inseparablemente unidos al respeto de la dignidad personal, como el derecho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/28 al honor, y al pleno ejercicio de los derechos de la persona. El derecho fundamental a la protección de datos amplía la garantía constitucional a aquellos de esos datos que sean relevantes o tengan incidencia en el ejercicio de cualesquiera derechos de la persona, sean o no derechos. En tal sentido, se ha de indicar que en el video se aprecia como mira a la cámara y se le puede identificar directa o indirectamente, además la información que se ofrece en la noticia ayuda a obtener más elementos para cercar la búsqueda y considerarle identificable. Del mismo modo, tal como la misma reclamada ha manifestado, el video expuesto se corresponde con otros que circulan por la web, así que tanto directa como indirectamente el agresor y el agredido pueden identificarse o ser identificables, lo que ha de considerarse como tatos personales. El derecho de protección de datos personales salvaguarda la imagen y voz de las personas que aparecen en el video, requiriendo que la difusión basada en la libertad de información cumpla los requisitos para ello en cuanto a legitimidad y principios de la normativa, entre los cuales se encuentra el principio de minimización. Respecto a la alegación de la viralidad del video, desconociéndose si realmente el primer video que dio lugar a la diseminación de su contenido efectivamente fue puesto en circulación por el agresor, la viralización masiva no ha de conducir por ello a una justificación de su publicación integra. No se discute en este supuesto la legitimidad del tratamiento sino la necesidad y proporcionalidad de los datos personales para acompañar una información detallada sobre los hechos sucedidos varios meses antes, habiéndose localizado al menor agresor que aparece como protagonista. Esta necesidad y proporcionalidad en la valoración del conflicto de derechos entre el de información y el de la protección de la vida privada y los datos personales de un menor que y una persona vulnerable, se han de atener en este caso al interés de estos últimos, considerando las repercusiones que pueda tener la difusión de sus imágenes e en ninguna de sus alegaciones la reclamada ha mencionad. El conflicto en este caso, no se ha de salvar con la prevalencia o primacía del derecho de información sino con la conciliación del mismo con el de protección de datos, bajo la premisa de prevalencia del interés superior del menor que se acreditará concurre en este supuesto. El derecho de protección de datos personales, el tratamiento los datos publicados que haya podido tener lugar cumpla los requisitos para ello en cuanto a legitimidad y principios, y en este caso, no solo se trata de la protección de la imagen, sino de la difusión de la misma por un medio al que cualquier persona con conexión a internet podría haber tenido acceso (medio digital y redes sociales. Todo ello sin que se discuta en este procedimiento la legitimidad sino el alcance del contenido de los datos que se utilizan como instrumento que acompaña a la noticia que no se pueden revelar prevalentes para el derecho de libertad de información. Sobre la alegación frente a la propuesta que los afectados no ejercieron derecho alguno, se ha de señalar que ello no es exigible para la protección del derecho para cuyo ejercicio la AEPD ostenta competencias explicitas. Sobre la relevancia pública de los hechos por la viralidad del video, se ha de indicar de nuevo que la reclamada es un medio audiovisual de información enmarcado en la sociedad de la información y habituada hace tiempo al tratamiento de datos personales. Sus medios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/28 empleados y dedicados al tratamiento y su conocimiento que se prevé tienen de estos colectivos en su labor informadora, ha de conciliar el especial respecto que la normativa sobre menores de edad y medios digitales le resulta de aplicación como salvaguarda de la dignidad de los menores y de personas vulnerables. Sobre el procedimiento que se archivó E/03409/2018 que alega la reclamada se ha de significar que la resolución precisa del predominio del derecho de información bajo unos requisitos y parámetros que intervienen en ese caso, llegándose a indicar: “Por tanto, ha de tenerse en cuenta que la jurisprudencia establece una prevalencia del derecho a la información, sobre el derecho a la protección de datos, cuando concurran para el caso concreto las circunstancias referidas a la veracidad de la información trasmitida y la relevancia pública de la misma.” Se ha de tener en cuenta que en el presente supuesto existen elementos diferenciadores, En el caso del archivo alegado se refería a una persona de notoriedad pública, un político, no intervenía en modo alguno una persona menor de edad o vulnerable (agredido), por lo que el juicio de ponderación ha de resultar considerablemente disimilar al del alegado supuesto. Así pues, las alegaciones efectuadas no pueden ser tenidas en cuenta. -En cuanto a la preponderancia o primacía del derecho a la información conteniendo la difusión del video con los datos personales, se ha de indicar que la reclamada no incorpora al análisis del conflicto de derechos para su ponderación los derechos e intereses de los intervinientes, vulnerables ambos, (…), Los citados considerandos 153, así como el artículo 85 determinan aplicación de exenciones o excepciones que ha de establecer el Estado miembro, solo si son necesarias para conciliar el derecho a la protección de los datos personales con la libertad de expresión e información. Los artículos citados por la reclamada referidos al tratamiento de datos personales llevado a cabo con finalidades periodísticas que podrían suponer exenciones o excepciones, entre otros a los principios del tratamiento de datos se limitan a “solo si son necesarias”, y solo “para conciliar el derecho a la privacidad con los derechos de libertad de información.” En el presente supuesto, no se discute la relevancia del asunto o que sean de interés público los hechos, dignos de ser noticiables, sino los límites que han de contenerse en la valoración de la ponderación entre derechos. Igual que en la noticia no se indicaba el nombre y apellidos que según la reclamada ya eran conocidos y se habían publicado en las redes, no resultaba necesario mostrar la imagen de los intervinientes ni el sonido para poder difundir la noticia La injerencia que supone en términos de no respetar el derecho a la protección de datos de los sujetos supone que no puede prevalecer el derecho de información, en la forma en que defiende al reclamada, si bien si se puede conciliar y no vaciar de contenido el mismo, a través de determinadas herramientas. La aplicación de herramientas que impidan el reconocimiento de los intervinientes del video acredita que existe alternativa garantizando igualmente el derecho de información. Así pues, las alegaciones efectuadas no pueden ser tenidas en cuenta. -Sobre la indiscutible información de que el autor de la agresión es menor, no cabe como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/28 pretende la reclamada estimar ni que el video se difunde por el proprio agresor, extremo no acreditado, ni que era consciente de lo que hacía y tenía suficiente madurez en el conocimiento de sus acciones. Por otro lado, la citada ponderación del interés superior del menor no ha sido considerada en modo alguno en las alegaciones de la reclamada, lo que es muestra de que tampoco la tuvo en cuenta a la hora de implementar el tratamiento de datos personales que encarna la identidad del menor, y que se analiza en este supuesto. Es el interés superior del menor el que en todo caso debería prevalecer y conlleva la adecuación del tratamiento de los datos personales con el fin de que no se sigan produciendo efectos nocivos en los intervinientes, dada la intromisión que supone la difusión universal de los medios digitales y los daños que ello supone junto a los riesgos para el menor principalmente. La alegación tercera hecha en la propuesta sobre la madurez que otorga tener más de 14 años para poder consentir el tratamiento no guarda relación con el hecho concreto que se le imputa a la reclamada, ni presupone una merma en el interés digno de protección de los menores. De ahí también la importancia del cumplimiento y previsión que contiene el artículo 25 del RGPD, titulado «Protección de datos desde el diseño y por defecto», establece en su apartado 2: «El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. […]», debiendo adaptarse estas medidas al riesgo del tratamiento considerando los medios del tratamiento. Así pues, las alegaciones efectuadas no pueden ser tenidas en cuenta. - Sobre la gravedad de la infracción, considerando el artículo 83.2.
9. a)del RGPD considera la reclamada que ya circulaban previamente por las redes. Frente a ello, se debe indicar que aunque ello sea cierto, cada difusión contribuye más a dicha difusión y amplía sus efectos, considerando además que permaneció el video hasta 27/02/2025, fecha en que se pusieron las herramientas técnicas para impedir la identificación. Sobre el desacuerdo en el señalamiento de la concurrencia del artículo 83.2.
10. b)denotando actuación negligente, afirmando que el contenido informativo del video era necesario para entender el contexto, sopesando la relevancia pública y veracidad, ya se ha indicado previamente que esos dos elementos en este caso no son determinantes ni suficientes en la conciliación de los derechos, al figurar bajo la vulnerabilidad social del agredido y la minoría de edad del agresor. La reclamada además se trata de una sociedad mercantil profesional de la información pública y audiovisual que se supone cuenta con una trayectoria en la que el tratamiento de datos y sus especificidades como la de los vulnerables no le puede ser ajena. Cabe recordar que la reclamada actúa como responsable de tratamiento de la noticia publicada junto con el vídeo en cuestión. En conexión con el grado de diligencia que el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/28 responsable del tratamiento está obligado a tener para cumplir con las obligaciones impuestas por la normativa de protección de datos de carácter personal, resulta muy ilustrativa la Sentencia de la Audiencia Nacional, de 17 de octubre de 2007 (rec. 63/2006), la cual indica, en relación con entidades cuya actividad lleva aparejado un continuo tratamiento de datos de cliente, que: “(…) el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Así, negar la concurrencia de una actuación negligente por parte de DMP equivaldría a reconocer que su conducta —por acción u omisión— ha sido diligente. Obviamente, no se comparte esta perspectiva de los hechos. En cuanto a la alegación hecha en propuesta de que es una sanción de cuantía desproporcionada constituyendo una medida restrictiva del derecho, se vuelve a señalar que no tiene tal sentido, sino que es conciliadora de derechos fundamentales pudiendo coexistir con la libertad de información, máxime considerando el interés superior de los menores que se contienen entre otras normas como en la Ley Orgánica 1/1996 de protección jurídica del menor, y en la Ley Orgánica 8/2021, de protección y que debería conducir a tenerlo en cuenta en su medida en cualquier decisión que involucre datos de estos, con especial cautela para su tratamiento en medios digitales como es el de este diario y redes sociales. Sobre la comparación de la cuantía sancionadora con la obtenida en algunos procesos judiciales que aporta en alegaciones a la propuesta, se ha de indicar que en cuanto a la comparación con las eventuales sanciones, correspondería en su caso comparar con las que haya podido dicta esta AEPD, respecto a lo cual se debe precisar que en el año 2023 figuran varias a medios de comunicación por el mismo principio infringido y exposición en abierto de datos de carácter personal. Así pues, las alegaciones efectuadas no pueden ser tenidas en cuenta. IV Derecho a la protección de datos El presente procedimiento se inicia porque EE publicó un video en las redes sociales ***PLATAFORMA.2 y ***PLATAFORMA.3, y en su diario digital, donde aparecía (…) lo que constituye un tratamiento de los datos personales de ambos. Sentado lo anterior, en primer lugar, cabe recordar que las personas tienen el poder de disposición sobre sus datos personales, así como sobre su difusión, resultando, sin lugar a dudas, merecedora de protección la persona cuyos datos personales se difundan vulnerando el ordenamiento jurídico. Así, la STC 292/2000, de 30/11, dispone que “el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/28 permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos”. Los principios relativos al tratamiento son, por un lado, el punto de partida y la cláusula de cierre del ordenamiento jurídico de protección de datos, constituyen verdaderas reglas informadoras del sistema con una intensa fuerza expansiva. Por otro lado, al tener un alto nivel de concreción, son normas de obligado cumplimiento susceptibles de ser infringidas. Más en concreto, cabe destacar el principio recogido en el artículo 5.1.
11. c)del RGPD que establece que: “1. Los datos personales serán: (…)
12. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);” El cumplimiento de este principio precisa como premisa de una evaluación del cumplimiento de la necesidad y proporcionalidad de las operaciones de tratamiento con respecto a su finalidad, teniendo en cuenta si los fines perseguidos pueden alcanzarse o no de manera menos intrusiva, así como los riesgos para la protección de los derechos y libertades fundamentales de las personas. El artículo 5.1.
13. c)del RGPD se relaciona con el considerando 39 del RGPD, que señala que “(…) los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios” Como se deduce del citado considerando, este requisito de la necesidad no se cumple cuando el objetivo perseguido puede alcanzarse razonablemente de manera tan eficaz por otros medios con menos riesgo en relación con los derechos y libertades de los interesados, en particular respecto de los derechos al respeto de la vida privada y de protección de los datos personales, garantizados por los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la UE, puesto que las excepciones y restricciones al derecho de protección de dichos datos deben establecerse sin sobrepasar los límites de lo estrictamente necesario (véase, en este sentido, la sentencia de 11 de diciembre de 2019, Asociaţia de Proprietari bloc M5A-ScaraA, C-708/18, EU:C:2019:1064, apartados 46 y 47). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/28 En cualquier caso, la configuración predeterminada o por defecto, no debe incluir la recopilación de datos personales que no sean necesarios para el fin específico del tratamiento. En otras palabras, si ciertas categorías de datos personales son innecesarias o si no se necesitan datos detallados porque son suficientes datos menos granulares, entonces no se deben recopilar datos personales. En este caso, si otra implementación de tratamiento podría lograr el mismo objetivo y está disponible según los términos descritos o si no se precisa tratar datos personales para obtener el mismo fin, se puede prescindir de tratar dichos datos personales, o se puedan tratar con menos extensión e intensidad de uso de esos datos, será preferible esta vía y supondrá que no es necesario llevar a cabo tratamiento alguno de datos, y subsidiariamente, que la recogida de datos sea necesaria para la finalidad establecida o pretendida y si lo fuera, que sea proporcional. El artículo 5.1.
14. c)del RGPD, refleja el principio de proporcionalidad (véase la sentencia de 11/12/2019, Asociaţia de Proprietari bloc M5A-ScaraA, C-708/18, EU:C:2019:1064, apartado 48), en el sentido de que, si existieran alternativas para cumplir la misma finalidad pretendida por el reclamado, se ha de optar por la menos invasiva. Principio que además se relaciona con el de necesidad del tratamiento, principios ambos, que se han de atender desde el momento en que con el uso de datos personales se restringen los derechos y libertades, como sería el de protección de datos, al tratar esos datos, y en este caso también el derecho a la dignidad de la persona que resulta abofeteada y del menor de edad. V Equilibrio entre el derecho a la protección de datos de carácter personal y otros derechos y libertades fundamentales No obstante, el derecho fundamental a la protección de datos personales no es absoluto, puesto que, llegado el caso, puede ceder ante la prevalencia de otros derechos y libertades también constitucionalmente reconocidos y protegidos, como, por ejemplo, el derecho fundamental a la libertad de información o de expresión, ponderándose ello caso a caso. En este sentido, el Grupo del Trabajo del Artículo 29 en su Dictamen 06/2014 sobre el concepto de interés legítimo del responsable del tratamiento de los datos en virtud del artículo 7 de la Directiva 95/46/CE, al examinar la base jurídica del interés legítimo del artículo 7.1.
15. f)de la Directiva 95/46/CE, trasladable plenamente al actual art. 6.1.
16. f)del RGPD, incluye el derecho a la libertad de expresión o de información como uno de los supuestos en los que puede surgir la cuestión del interés legítimo aseverando que “sin perjuicio de si los intereses del responsable del tratamiento prevalecerán en último término sobre los intereses y los derechos de los interesados cuando se realice la prueba de sopesamiento”. Dicho lo anterior, los derechos fundamentales a la libertad de información o de expresión tampoco son absolutos. Podemos observar límites clarísimos establecidos por los tribunales en el ámbito civil, en relación con el derecho al honor, a la intimidad personal y familiar y a la propia imagen. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/28 Así, citaremos, la STS 50/2017, Sala Primera de lo Civil, de 27 de enero de 2017 (recurso 2139/2015) que indica: “En este sentido, es jurisprudencia reiterada (véase entre las más recientes, y a modo de síntesis doctrinal, la sentencia 605/2015, de 3 de noviembre ) que la prevalencia en abstracto de las libertades de expresión e información «solo puede revertirse en el caso concreto atendiendo al peso relativo del honor y de la intimidad según las concretas circunstancias concurrentes, siempre que las informaciones y opiniones que se divulguen se refieran a asuntos de interés general o relevancia pública (por las personas o por la materia), que se prescinda en su comunicación del uso o empleo innecesario de expresiones inequívocamente ofensivas o vejatorias y, en el caso de la libertad de información, siempre que sean veraces, precisándose en todo caso que en el ámbito de protección del derecho a la intimidad el criterio para determinar la legitimidad o ilegitimidad de las intromisiones no es el de la veracidad sino el de la relevancia pública del hecho divulgado, es decir, que su comunicación a la opinión pública, aun siendo verdadera, resulte necesaria en función de interés público del asunto sobre el que se informa” (el subrayado es nuestro). No se trata de dotar de prevalencia a un derecho fundamental sobre otro sino de encontrar un equilibrio entre ambos que permita la conciliación de ambos derechos; una conciliación a la que se refiere el propio legislador europeo en el artículo 85 del RGPD. Y uno de los elementos a tener en consideración es, precisamente, si la intromisión que supone el tratamiento de datos personales que se sanciona es o no necesaria para alcanzar la finalidad perseguida; en este caso concreto, con la publicación de la noticia. En este punto, ha de traerse a colación la jurisprudencia que analiza la relación entre la libertad de información y de expresión, por un lado, y el derecho de los afectados por contenidos de carácter informativo. Así, el Tribunal Europeo de Derechos Humanos (TEDH), en su sentencia de 19 de junio 2012, dictada en el recurso 1593/2006, señala lo siguiente: Aunque la prensa no debe sobrepasar ciertos límites, en particular en lo que se refiere a la reputación y los derechos de los demás o a la buena administración de la justicia, su deber es, no obstante, impartir, de manera coherente con sus obligaciones y responsabilidades, información e ideas sobre todos los asuntos de interés público (apartado 48) (…), la publicación de fotografías y artículos cuyo único propósito es satisfacer la curiosidad de un lector particular con respecto a los detalles de la vida privada de una figura pública no puede considerarse que contribuya a cualquier debate de interés general para la sociedad a pesar de que la persona sea conocida por el público. En tales condiciones, la libertad de expresión exige una interpretación más estricta (…). (apartado 50) (el subrayado es nuestro) (…) Al verificar si las autoridades han logrado un equilibrio justo entre dos valores protegidos garantizados por el Convenio que pueden entrar en conflicto entre sí en este tipo de casos -la libertad de expresión protegida por el artículo 10 y el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/28 derecho al respeto de la vida privada consagrado en el artículo 8-, el Tribunal de Justicia debe equilibrar el interés público en la publicación de la información y la necesidad de proteger la vida privada (véase Hachette Filipacchi Associés c. Francia, n.º 71111/01, § 43, CEDH 2007-VII).(Apartado 51) Y concluye que, al no ser las partes afectadas por la noticia figuras públicas, “no puede considerarse que la divulgación de su identidad fuera esencial para comprender los detalles del caso (apartado 57)” así como que, “no cabe duda de que la preservación de la esfera más íntima de la vida de un menor que se había convertido en víctima de una disputa de custodia y no había entrado en la esfera pública merecía una protección particular debido a su posición vulnerable. (apartado 59)” (el subrayado es nuestro). En este sentido, y atendiendo a las circunstancias del caso analizado, en el que se han difundido datos personales —voz e imagen— que forman parte de un contenido informativo que EE dirige a sus lectores, ha de entenderse que son de aplicación los límites señalados por la jurisprudencia en cuanto a la necesaria salvaguarda de los derechos fundamentales de los afectados. Hay que traer a colación, la STC 27/2020, de 24/02/2020 (recurso de amparo 1379-2017) que se pronunciaba sobre la ilicitud de ilustrar una crónica periodística sobre un acontecimiento violento con una imagen de la víctima que había sido tomada de ***PLATAFORMA.2 sin recabar el consentimiento de su titular. en la que, tras señalar que “hemos de volver a insistir en que el aspecto físico, en tanto que instrumento básico de identificación y proyección exterior y factor imprescindible para el propio reconocimiento como persona, constituye el primer elemento configurador de la esfera personal de todo individuo (SSTC 156/2001, FJ 6 y 99/1994, FJ 5), concluye que “la regla primera para lograr la protección de este derecho fundamental consiste en que para poder captar, reproducir y/o publicar la imagen de una persona es indispensable su consentimiento inequívoco, siendo excepcionales los supuestos en los que no se requiere dicha autorización (…)” Llegados a este punto, conviene hacer referencia a la sentencia 117/1994, de 25 de abril (RTC 1994\117), que razona lo siguiente: "cuando el derecho a la propia imagen entre en colisión con otros bienes o derechos constitucionalmente protegidos, particularmente las libertades de expresión e información (art. 20.1.a y d CE) deberán ponderarse los diferentes intereses enfrentados y, atendiendo a las circunstancias concretas de cada caso, decidir qué interés merece mayor protección" (SSTC 105/1990, de 6 de junio; 72/2007, FJ 5 y 156/2001, FJ 6).(…) Como es fácilmente deducible, esto ocurre no solo en su confrontación con los derechos al honor y a la intimidad, sino también con el derecho fundamental a la propia imagen, por ejemplo, en aquellos casos en los que en la información se difundan fotografías o videoclips que solo puedan entenderse como meros instrumentos de satisfacción de la curiosidad ajena y hayan sido incluidos no con una función informativa, sino con la finalidad de saciar la expectación que, en aquellos términos, puede levantar una determinada noticia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/28 (…) la imagen de un particular anónimo o desconocido, o lo que es lo mismo, que no ejerce cargo público o una profesión de notoriedad, por más que sea captada en un lugar público, no puede utilizarse sin su expreso consentimiento, salvo en dos supuestos. En primer lugar, aquel en el que la persona aparezca en la fotografía de manera meramente accesoria e intrascendente, sin protagonismo alguno. En segundo término, en el caso de que la participación en el acontecimiento noticiable de la persona inicialmente anónima fuera principal o protagonista, en cuyo caso su derecho fundamental a la imagen deberá ceder frente al derecho a la información, precisamente debido al papel no accesorio que ha asumido el propio sujeto. (…) Aunque los riesgos de intromisión hayan aumentado exponencialmente con el uso masivo de las redes sociales, para ahuyentarlos debemos seguir partiendo del mismo principio básico que rige el entorno analógico y afirmar que el reconocimiento constitucional de los derechos fundamentales comprendidos en el art. 18 CE conlleva la potestad de la persona de controlar los datos que circulan en la red social y que le conciernen. Por consiguiente, reiteramos que, salvo que concurra una autorización inequívoca para la captación, reproducción o publicación de la imagen por parte de su titular, la injerencia en el derecho fundamental a la propia imagen debe necesariamente estar justificada por el interés público preponderante en tener acceso a ella y en divulgarla. (…) El consentimiento solo ampara aquello que constituye el objeto de la declaración de voluntad. El titular del derecho fundamental debe autorizar el concreto acto de utilización de su imagen y los fines para los que la otorga. El consentimiento prestado, por ejemplo, para la captación de la imagen no se extiende a otros actos posteriores, como por ejemplo su publicación o difusión.” Teniendo en cuenta lo anterior, y quedando constatado que se ha producido un tratamiento de datos personales que supone una intromisión en el derecho fundamental a la protección de los datos personales de los participantes que aparecen en el mencionado vídeo, ha de recordarse que uno de los afectados por dicha vulneración era menor de edad en el momento de los hechos. En este sentido, ha de señalarse algunos de los numerosos pronunciamientos judiciales en los que se destaca la protección reforzada que cabe dispensar a los menores de edad frente a intromisiones ilegítimas en sus derechos fundamentales. Así, según indica el Tribunal Supremo, Sala Primera, de lo Civil, en su Sentencia 1003/2008 de 23 Oct. 2008, (Rec. 174/2005, Fundamento de Derecho segundo): “La Constitución, en su artículo 18, reconoce con carácter general el derecho al honor, a la intimidad personal y familiar y a la propia imagen y en el artículo 20.1.
17. d)el derecho a comunicar o recibir libremente información veraz por cualquier medio de difusión, especificando que esta libertad encuentra su límite en el respeto a los derechos reconocidos en este título y «especialmente en el derecho al honor, a la intimidad, a la propia imagen y a la protección de la juventud y de la infancia». En consonancia con lo anterior, la especial protección que debe darse a datos relativos a menores ha tenido su acogida normativa en la Ley Orgánica 1/96, de 15 de enero de Protección Jurídica de Menor. En la interpretación de estos derechos fundamentales, el Tribunal Constitucional ha venido señalando que para que el derecho a la intimidad pueda oponerse legítimamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/28 como un límite al derecho a la libertad de recibir o transmitir información es preciso que las noticias difundidas carezcan de interés público o que, aun siendo de interés público, carezcan de veracidad, ya que en una sociedad democrática que proclama como uno de los principios que inspiran su convivencia el respeto a la dignidad de la persona, no debe tolerarse la divulgación de hechos que pertenecen a la intimidad de ciudadanos particulares ni tampoco se debe tolerar que las noticias que se difundan sean inveraces, no en el sentido de que las mismas coincidan exactamente con las acontecidas, sino en el sentido de que se haya desplegado por quien las publica la diligencia necesaria para cerciorarse de que lo que se divulga no es un simple rumor -Sentencias del Tribunal Constitucional 54/2004, de 15 de abril y 61/2004, de 19 de abril -. Sin embargo, en los supuestos en los que están implicados menores de edad, la doctrina constitucional ha otorgado un ámbito de superprotección que obliga a ser sumamente cautelosos en cuanto a la información que de los mismos se suministra, aunque ésta tenga interés público. Y, así, el Tribunal Constitucional ha señalado que el legítimo interés de un menor de que no se divulguen datos relativos a su vida familiar o personal "parece imponer un límite infranqueable tanto a la libertad de expresión como al derecho fundamental a comunicar libremente información veraz, sin que la supuesta veracidad de lo revelado exonere al medio de comunicación de responsabilidad por la intromisión en la vida privada de ambos menores", incluso, aunque la noticia merezca el calificativo de información neutral -Sentencia del Tribunal Constitucional de 15 de Julio de 1999 -.(el subrayado es nuestro). En esa misma línea, cabe señalar el pronunciamiento del Tribunal Supremo en su Sentencia 777/2021 de 11 Nov. 2021, (Sala Primera, de lo Civil, Rec. 6775/2020): “En palabras de la STC 158/2009, de 29 de junio de 2009 (FJ 4): "Cabe recordar que, de conformidad con el art. 20.4 CE, las libertades de expresión e información tienen su límite en el respeto a los derechos reconocidos en el título I, en las leyes que lo desarrollan "y, especialmente, en el derecho al honor, a la intimidad, a la propia imagen y a la protección de la juventud y de la infancia". Asimismo, no deben dejar de ser tenidas en cuenta las normas internacionales de protección de la infancia (sobre cuyo valor interpretativo ex art. 10.2 CE no es necesario insistir), y, entre ellas, muy en particular, la Convención de la Naciones Unidas sobre los derechos del niño (ratificada por España por Instrumento de 30 de noviembre de 1990), que garantiza el derecho de los niños a la protección de la ley contra las injerencias arbitrarias o ilegales en su vida privada (art. 16), así como la Resolución del Parlamento Europeo relativa a la Carta europea de los derechos del niño, en la que se establece que "todo niño tiene derecho a no ser objeto por parte de un tercero de intrusiones injustificadas en su vida privada, en la de su familia, ni a sufrir atentados ilegales a su honor" (apartado 29 del § 8 de la Resolución A 3- 0172/92 de 8 de julio). "A su vez, la Ley Orgánica 1/1982, de 5 de mayo, sobre protección del derecho al honor, a la intimidad y a la propia imagen, tras establecer que no se apreciará intromisión ilegítima en el ámbito protegido cuando el titular del derecho hubiere prestado su consentimiento expreso al efecto (art. 2), precisa seguidamente en su art. 3, en cuanto a los menores de edad (e incapaces) que su consentimiento deberá ser prestado por ellos mismos, si sus condiciones de madurez lo permiten y, de no ser así, el consentimiento habrá de otorgarse mediante escrito por sus representantes legales, quienes estarán C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/28 obligados a poner en conocimiento previo del Ministerio Fiscal el consentimiento proyectado, habiendo de resolver el Juez si en el plazo de ocho días el Ministerio Fiscal se opusiere. (…)” Por lo tanto, los medios de comunicación realizan tratamientos de datos personales en el ejercicio de la libertad de información y son responsables de ello. Como responsables del tratamiento deben cumplir con las obligaciones previstas en el RGPD de las que destacaremos, entre otras, la constatación de la existencia de base jurídica que legitime el tratamiento de datos personales, la aplicación de los principios relativos al tratamiento o la realización de análisis de riesgos (artículo 24 del RGPD) y la realización de evaluaciones de impacto de protección de datos cuando fuera preciso (artículo 35 del RGPD). Y es que en todo tratamiento de datos personales hay presentes riesgos en los derechos y libertades de las personas físicas derivados de dicho tratamiento que el responsable del tratamiento debe de identificar, valorar y evaluar, a los efectos de implementar medidas técnicas y organizativas de todo tipo, para evitar o mitigar que los riesgos citados se materialicen. Se ha de tener en consideración que, en ocasiones, la materialización de los riesgos puede tener un impacto muy importante en los derechos y libertades de los interesados y los daños pueden ser irreversibles e irreparables. Y que en el análisis de los riesgos se ha de considerar el contexto claramente tecnológico actual. En el contexto tecnológico actual, marcado por el desarrollo exponencial de la inteligencia artificial y su capacidad para analizar, identificar y asociar voces e imágenes con una precisión sin precedentes, se refuerza la necesidad de extremar la cautela en el tratamiento de estos datos personales. La inteligencia artificial permite, incluso a partir de fragmentos mínimos de imagen, reconstruir identidades, generar perfiles detallados o crear simulaciones hiperrealistas, lo que incrementa significativamente los riesgos para los derechos y libertades de las personas físicas. Y todo ello amén del respeto al principio de minimización de datos aplicable sobre la forma, el medio en que se suministra y difunde la información por la afectación inmediata al dato personal de una persona física. De esta forma se valorará por el responsable del tratamiento, con carácter previo a llevar a término el tratamiento, que la difusión de los datos personales sea la menos intrusiva posible, analizando e implementando, en su caso, otras formas de suministrar la información (medidas alternativas) que suponga un menor riesgo para el derecho a la protección de datos de carácter personal, incluso para el respeto a la vida privada. Es por ello por lo que el responsable del tratamiento, antes de llevar a término el tratamiento, por mor de su responsabilidad proactiva (artículo 5.2 del RGPD), debe de realizar desde el inicio no solo un análisis activo de medidas para el diseño del tratamiento con el fin del respeto a los principios del RGPD, (uno de ellos el de minimización) sino también un análisis de riesgos y documentarlo para el concreto supuesto de que se trate, aplicando asimismo el principio de minimización de datos, a los efectos de adoptar, si fueran precisas en atención a las situación de una persona física, las medidas técnicas y organizativas apropiadas para hacer compatible el derecho fundamental a la libertad de información con el derecho fundamental a la protección de datos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/28 A este respecto hay que señalar que la tecnología actual permite publicar información, bien sea un vídeo, bien un audio, sin que se puedan hacer identificables a los intervinientes por lo que un medio de comunicación podría facilitar la información siendo respetuoso con la normativa de protección de datos. Medidas técnicas consistentes en la utilización de procedimientos técnicos para impedir el reconocimiento e identificación de las personas afectadas, lo que deberá ser valorado en todo caso por el responsable del tratamiento. Como vemos no se trata de dotar de prevalencia a un derecho fundamental sobre otro, debiendo elegir cuál tiene más peso en un supuesto específico. Si no, más bien, de encontrar un equilibrio entre ambos para lograr la consecución de la finalidad del primero sin desvirtuar el segundo y siempre caso por caso. La conciliación de ambos derechos está recogida por el legislador europeo en el artículo 85 del RGPD. VI Obligación incumplida. Minimización de datos Todo responsable del tratamiento tiene conferidas obligaciones en materia de protección de datos, en los términos prescritos en el RGPD y en la LOPDGDD, en especial como se ha indicado, la valoración de la necesidad y proporcionalidad del tratamiento de datos, la responsabilidad proactiva contenida en el artículo 5.2 del RGPD, y la valoración de los riesgos para los derechos y libertades fundamentales que implica el tratamiento de datos personales, y la implementación de las medidas de seguridad adecuadas. Tales obligaciones no decaen por encontrarnos ante un responsable del tratamiento que es un medio de comunicación. El considerando 79 del RGPD señala “La protección de los derechos y libertades de las personas físicas con respecto al tratamiento de datos personales exige la adopción de medidas técnicas y organizativas apropiadas con el fin de garantizar el cumplimiento de los requisitos del presente Reglamento. A fin de poder demostrar la conformidad con el presente Reglamento, el responsable del tratamiento debe adoptar políticas internas y aplicar medidas que cumplan en particular los principios de protección de datos desde el diseño y por defecto. Dichas medidas podrían consistir, entre otras, en reducir al máximo el tratamiento de datos personales, seudonimizar lo antes posible los datos personales, dar transparencia a las funciones y el tratamiento de datos personales”, que se relaciona con el artículo 25 del RGPD, que establece la protección de datos en el diseño y por defecto, en las que el responsable del tratamiento ha de incorporar medias técnicas y organizativas que sean capaces de preservar efectivamente el cumplimiento de los principios que refiere el artículo 5 del RGPD. Así, el párrafo primero del citado artículo prevé la protección de datos por diseño, indicando que: “1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/28 medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados.” Para ello, se tendrán en cuenta los mayores riesgos que se podrían producir, según prevé el artículo 28.2 de la LPODGDD, y que señala: () “b. Cuando el tratamiento pudiese privar a los afectados de sus derechos y libertades o pudiera impedirles el ejercicio del control sobre sus datos personales” (…) “
18. e)Cuando se lleve a cabo el tratamiento de datos de grupos de afectados en situación de especial vulnerabilidad y, en particular, de menores de edad y personas con discapacidad”. Ambos supuestos se dan en el presente caso. Cobra especial relevancia en esa fase de determinación de los medios de tratamiento la implementación de las medidas, tanto técnicas como organizativas adecuadas en el diseño de los procesos de tratamientos de datos y a lo largo de los mismos. En el segundo párrafo del artículo 25 del RGPD, se describen los principios de protección de datos por defecto, señalando que: “2. El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas.” Este párrafo se relaciona directamente con la obligación del responsable del tratamiento de implementar apropiadas medidas técnicas y organizativas que aseguren que, por defecto, solo los datos personales necesarios para la finalidad especifica sean los que se traten, estableciendo una explicita conexión con los principios de minimización de datos y limitación de finalidad. En este caso, si unimos la difusión del vídeo que muestra a la víctima y a su agresor (con todos sus matices), pudiendo ser reconocidos por terceros, con el relato fáctico que realiza la noticia y que permanece un extenso tiempo expuestos, con posibilidades de reenviar o de copiar el video, es claro que existe un riesgo muy alto y muy probable de que los afectados puedan sufrir daños en sus derechos y libertades. La manifestación de los eventuales fines que pudieran darse en el tratamiento de la noticia junto a los videos han de centrarse no en la legitimidad de informar, sino en la de resaltar por todo lo señalado que, en este caso, la defensa de los derechos de la víctima y del agresor, por figurar los videos no parece que deban quedar pospuestos a los intereses propugnados por EE, a través de las tres difusiones de los videos junto a la noticia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/28 Se estima que aun cuando la finalidad de EE fuera dar cuenta de la actitud violenta de la agresión, ilustrando el contenido del mensaje que se dirige a la formación de una opinión publica libre, se produce una vulneración en los datos personales del agresor y de la víctima, al resultar identificados o poder serlo, no concurriendo la debida necesidad y proporcionalidad entre el ejercicio del derecho de libertad de información, atendiendo a su contenido, fines y contexto, con el respeto a los datos propios del agresor y de la víctima lesionando su derecho a la protección de datos. En consecuencia, se considera que los hechos conocidos son constitutivos de una infracción, imputable a EE, por vulneración del artículo 5.1.
19. c)del RGPD VII Tipificación de la infracción del artículo 5.1.
20. c)del RGPD y calificación a efectos de prescripción Los hechos conocidos son constitutivos de una infracción, imputable al reclamado, del artículo 5.1.
21. c)del RGPD, con el alcance expresado en los Fundamentos de Derecho anteriores, lo que, de confirmarse, podría suponer la comisión de la infracción tipificada en el artículo 83.5,
22. a)del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
23. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
24. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. VIII Sanción por la infracción del artículo 5.1.
25. c)del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/28 con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
26. a)a
27. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
28. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
29. b)la intencionalidad o negligencia en la infracción;
30. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
31. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
32. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
33. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
34. g)las categorías de los datos de carácter personal afectados por la infracción;
35. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
36. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
37. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
38. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
39. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
40. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
41. a)El carácter continuado de la infracción.
42. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
43. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
44. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
45. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
46. f)La afectación a los derechos de los menores.
47. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
48. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/28 En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, corresponde la imposición de multa, además de la adopción de medidas. La multa que se imponga debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Así, se considera, con carácter previo, el volumen de negocio de EE (19.443.719 € en el año 2023). A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de acuerdo con los hechos probados, procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. -Artículo 83.2.
49. a)del RGPD: “Naturaleza, gravedad y duración de la infracción teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;” La Agencia considera que la naturaleza de la infracción es muy grave puesto que acarrea a las personas una pérdida de disposición y control sobre los datos personales, al ser difundidos a través de internet sin restricciones en el diario digital y en dos redes sociales. En este sentido la STJUE de 1/08/2022 en el asunto C-184/20 (OT y Vyriausioji tarnybinés etikos komisija) expone el efecto amplificador de internet indicando que “102 Por otro lado, consta que ese tratamiento conduce a que esos datos personales sean libremente accesibles en Internet por el conjunto del público en general y, como resultado, por un número de personas potencialmente ilimitado”, con efectos en los daños y perjuicios importantes si se mantuviera el citado tratamiento. -Artículo 83.2.
50. b)del RGPD. “Intencionalidad o negligencia en la infracción”: Se considera que la actuación de EE fue negligente al no asegurar un procedimiento que garantizase la protección de los datos personales en unas circunstancias tan sensibles, máxime cuando existen técnicas que permiten que no se reconozcan a las personas físicas que parecen en el vídeo objeto de las actuaciones. -Artículo 83.2.
51. g)del RGPD. Categorías de datos personales afectados por la infracción: si bien no se han visto afectadas “Categorías especiales de datos personales”, según define el RGPD en el artículo 9, los datos personales a los que se refieren las actuaciones tienen una naturaleza especialmente sensible, dada la vulnerabilidad de la víctima y la especial situación de los menores que deben ser objeto de protección, por cuanto se permite fácilmente la pronta identificación de las personas junto al resto de la noticia y aumentan para ambos los riesgos sobre su privacidad. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes:  La afectación a los derechos de los menores (artículo 76.2, letra f), de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/28 LOPDGDD). EE trató datos personales pertenecientes a un menor de edad, por lo que, atendiendo a su especial vulnerabilidad, puede considerarse que una afectación a su derecho a la protección de datos personales tendría unas implicaciones y consecuencias especialmente significativas. La cuantía de la multa que corresponde es de 20.000 € (veinte mil euros). IX Medidas correctivas Se acuerda, además, imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
52. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En el presente caso, dichas medidas consisten en requerir a EE para que, en el plazo de TRES MESES, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: Acreditar la adopción de las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el artículo 5.1.
53. c)del RGPD, para evitar la publicación o difusión excesiva de datos personales y, en particular, de menores de edad. En este caso, la adecuación de la actuación a la normativa impone el cese definitivo del tratamiento al que se refiere el procedimiento, con la retirada definitiva de la web de la entidad del contenido al que se refiere la reclamación. Deberá efectuarse de tal modo que imposibilite el acceso a los datos personales, su difusión y disposición del original por terceros, evitando en la medida en que el estado de la tecnología lo permita, la resubida o recarga de copias o réplicas exactas por los usuarios de internet del contenido publicado. En todo caso, se garantizará su conservación, a efectos de custodia de las evidencias que puedan ser precisas en el curso de la investigación policial o administrativa o del proceso judicial que pudieren instruirse. No obstante, debe recordarse que en el marco de las actuaciones previas de investigación desarrolladas por esta Agencia se acordó requerir el indicado cese de tratamiento a EE, como medida cautelar posteriormente confirmada en el acuerdo de apertura del presente procedimiento. Por tanto, la medida que se ordena equivale a elevar a definitiva la medida cautelar impuesta. Finalmente, se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/28 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a EL LEÓN DE EL ESPAÑOL PUBLICACIONES, S.A., con NIF A87115226, por una infracción del Artículo 5.1.
54. c)del RGPD, tipificada en el Artículo 83.5.
55. a)del RGPD, una multa de 20.000 euros. SEGUNDO: ORDENAR a EL LEÓN DE EL ESPAÑOL PUBLICACIONES, S.A., con NIF A87115226, que en virtud del artículo 58.2.
56. d)del RGPD, en el plazo máximo de tres meses desde que la presente resolución sea firme y ejecutiva, acredite adoptado las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el artículo 5.1.
57. c)del RGPD, evitando la publicación o difusión excesiva de datos personales y, en particular, de menores de edad, de acuerdo con lo indicado en la presente Resolución. TERCERO: NOTIFICAR la presente resolución a EL LEÓN DE EL ESPAÑOL PUBLICACIONES, S.A.. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
58. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/28 contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
59. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPCAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es