1/6 Procedimiento Nº: PS/00310/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: PRIMERO: Dña. A.A.A. (en adelante, la reclamante) con fecha 26 de febrero de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra DMS Transporte de Viajeros, S.L. con NIF B88358668 (en adelante, el reclamado). La reclamante manifiesta en su reclamación que la peluquería en la que trabaja ha elaborado y distribuido un folleto publicitario en el cual se ha incorporado su imagen sin su consentimiento. Aporta la publicidad con su imagen. SEGUNDO: De conformidad con el artículo 65.4 de la LOPGDD, que ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se formulen ante la AEPD, consistentes en trasladarlas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, a los efectos previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubiere designado, se dio traslado de la reclamación a la entidad reclamada para que procediese a su análisis y diera respuesta a la parte reclamante y a esta Agencia en el plazo de un mes. TERCERO: Con fecha de 3 de junio de 2020 se solicitó a la reclamada que aportara a esta Agencia la siguiente información: 1. La decisión adoptada a propósito de esta reclamación. 2. En el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, acreditación de la respuesta facilitada al reclamante. 3. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. 4. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. 5. Cualquier otra que considere relevante. El escrito se notificó al reclamado electrónicamente siendo la fecha de aceptación de la notificación el 5 de junio del 2020, tal como acredita el certificado expedido por la FNMT que obra en el expediente. Transcurrido el plazo concedido al reclamado sin que hubiera respondido a la solicitud de información, de conformidad con lo dispuesto en el artículo 65.2 de la LOPDGDD, se firma con fecha 17 de septiembre de este año el acuerdo de admisión a trámite de la presente reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 CUARTO: Con fecha 16 de octubre de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. Dicho acuerdo fue notificado electrónicamente el mismo día, mes y año al reclamado. CUARTO: Notificado formalmente el acuerdo de inicio, el reclamado al tiempo de la presente resolución no ha presentado escrito de alegaciones, por lo que es de aplicación lo señalado en el artículo 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que en su apartado
- f)establece que en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, por lo que se procede a dictar Resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: Con fecha 26 de febrero de 2020, la reclamante manifiesta que en la peluquería en la que trabaja ha elaborado y distribuido un folleto publicitario en el cual se ha incorporado su imagen sin su consentimiento. SEGUNDO: Consta en la documentación que acompaña a su reclamación la publicidad con su imagen. TERCERO: El 16 de octubre de 2020 se inició este procedimiento sancionador por la presunta infracción del artículo 6.1) del RGPD, siendo notificado el 16 de octubre de 2020. No habiendo efectuado alegaciones, el reclamado, al acuerdo de inicio. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se imputa al reclamado la comisión de una infracción por vulneración del Artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” III Los apartados b),
- d)e
- i)del artículo 58.2 del RGPD disponen lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...) “
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” “
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” La infracción se tipifica en el Artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves” dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 (…)
- a)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” IV La documentación que obra en el expediente ofrece evidencias de que el reclamado, vulneró el artículo 6.1 del RGPD, toda vez que realizó el tratamiento de la imagen de la reclamante, trabajadora del reclamado, para fines publicitarios, sin que tuviese ninguna legitimación para ello. Es de destacar, que requerida información sobre estos hechos al reclamado, aunque consta que fue entregada la notificación el 5 de junio de 2020, no ha contestado a esta Agencia. Asimismo, el 16 de octubre de 2020 se inició este procedimiento sancionador por la presunta infracción del artículo 6.1) del RGPD, siendo notificado el 16 de octubre de 2020. No habiendo efectuado alegaciones, el reclamado, al acuerdo de inicio. Sin embargo, y esto es lo esencial, el reclamado no acredita la legitimación para el tratamiento de los datos de la reclamante. V Los hechos expuestos constituyen, por parte del reclamado, una infracción a lo dispuesto en el artículo 6.1
- a)del RGPD. Esta infracción sancionada con apercibimiento, de acuerdo con el artículo 58.2.
- b)del RGPD, al recogerse a través de dicho folleto publicitario la imagen de la reclamante y considerar que la multa administrativa que pudiera recaer con arreglo a lo dispuesto en el artículo 83.5.
- b)del RGPD constituiría una carga desproporcionada para el reclamado, cuya actividad principal no está directamente vinculada al tratamiento de datos personales, ya que no consta la comisión de ninguna infracción anterior en materia de protección de datos. Asimismo, de acuerdo con lo establecido en el citado artículo 58.2.
- d)del RGPD, podrá ordenarse al reclamado, como responsable del tratamiento, la adopción de las medidas necesarias para que se retire dichos folletos publicitarios donde aparece la imagen de la reclamante, de conformidad con lo establecido en el artículo 6.1 a), así como la aportación de medios de prueba acreditativos del cumplimiento de lo requerido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a DMS TRANSPORTE DE VIAJEROS, S.L., con NIF B88358668, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento. SEGUNDO: REQUERIR a DMS TRANSPORTE DE VIAJEROS, S.L., con NIF B88358668, para que en el plazo de un mes acredite ante este organismo el cumplimiento de que proceda a: la adopción de las medidas necesarias para que se retire dichos folletos publicitarios donde aparece la imagen de la reclamante, de conformidad con lo establecido en el artículo 6.1 a), así como la aportación de medios de prueba acreditativos del cumplimiento de lo requerido. SEGUNDO: NOTIFICAR la presente resolución a DMS TRANSPORTE DE VIAJEROS, S.L., con NIF B88358668 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-300320 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es