1/11 Procedimiento Nº PS/00325/2018 RESOLUCIÓN: R/00110/2019 En el procedimiento sancionador PS/00325/2018, instruido por la Agencia Española de Protección de Datos a la entidad A.A.A., vista la denuncia presentada por la DIRECCION GENERAL DE LA POLICIA, JEFATURA SUPERIOR DE POLICIA DE CASTILLA Y LEON, y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha YY/YY/2018 tiene entrada en esta Agencia un escrito en el que la Brigada Provincial de Seguridad Ciudadana de la Jefatura Superior de Policía de Castilla y León remite una denuncia suscrita por dos funcionarios del CNP, por posible infracción a la LOPD. En la denuncia exponen que el día 7/03/2018 cuando se encontraban prestando servicio de radio patrulla, fueron requeridos por la sala de operaciones 091 para acudir a la ***DIRECCION.1, a la altura del ***COLEGIO.1 donde, según “una trabajadora del centro educativo, un hombre que se encontraba dentro de un vehículo aparcado junto al patio parecía estar tomando imágenes de las alumnas.” Que una vez en el lugar identifican a D. A.A.A. quien manifiesta que “ha tomado una fotografía y un vídeo del patio del centro educativo, cuando las alumnas estaban ocupando ese espacio.” “Que muestra la fotografía a los agentes en la que se puede ver y reconocer, a un grupo de alumnas con el uniforme del colegio, a continuación, muestra un video en el que se observa al mismo grupo de chicas.” Que las imágenes obtenidas no son una visión general de las instalaciones sino de imágenes centradas en el grupo de niñas. Que el filiado manifiesta carecer de permiso del centro para tomar imágenes de las alumnas, hecho constatado por los funcionarios de policía mediante consulta a la dirección del colegio. Que manifiesta carecer de acreditación profesional que le permita obtener esas imágenes. Que manifiesta carecer de permiso por parte de los padres, madres o tutores legales de las menores para recabar esas imágenes. Que manifiesta carecer de fichero dado de alta en la A.E.P.D. Que manifiesta no haber informado a los afectados de su derecho al acceso, rectificación, oposición y cancelación de los datos recabados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 Que de esta intervención se abrió atestado policial número XXXX/2018 de la Oficina de Denuncias y Atención al Ciudadano de la Comisaría de Delicias de ***LOCALIDAD.1.” Finalizan indicando que “Dado que el comportamiento descrito no constituye infracción penal, ni infracción administrativa recogida en la LO protección de seguridad ciudadana SEGUNDO: Con fecha 3/10/2018, la directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a A.A.A. por una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- b)de dicha norma. La sanción inicial a efectos del artículo 64.2.
- b)de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue de 5.000 euros, sin perjuicio de lo que resultara de la instrucción de este. Se indicaba: “De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera, de conformidad con el art. 45.5 LOPD, que procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en la que se integra la considerada en el presente caso, por la concurrencia del supuesto previsto en el punto 45.5
- a)del citado artículo que establece: “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A este respecto puede apreciarse la concurrencia de los siguientes criterios:
- a)El carácter continuado de la infracción, que en esta ocasión no concurre porque se trató de un hecho puntual.
- b)El volumen de los tratamientos efectuados. Se considera que no se trata de un elevado volumen de tratamiento de datos. Se considera, además, que se han de tener en cuenta dentro de la asignación de la cantidad de la sanción a imponer, en función del artículo 45.4 de la LOPD, que no existe especial vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal (45.4.c LOPD) y no figura que tenga infracciones previas en materia de LOPD (45.4 g LOPD). En este caso no se desprende la vinculación de este con la realización habitual de tratamientos de datos de carácter personal. Procede graduar la sanción a imponer a D. A.A.A. y fijarla en la cuantía de 5.000 € por la infracción del artículo 6.1 de la LOPD.” TERCERO: Con fecha 29/10/2018, el denunciado formula las siguientes alegaciones: 1) Antes de este procedimiento, se ha incoado, tramitado y resuelto otro con los mismos hechos, el PS/00189/2018. Relata el iter cronológico que dio lugar a que el acuerdo de inicio se notificó a una dirección incorrecta dando como resultado desconocido, remitiéndose a BOE con un NIF que resultaba incorrecto. Tras la publicación de dicho NIF no correcto, se mandó un nuevo escrito a la Policía para confirmar los datos del denunciado, contestó el 26/05//2018 en el que variaban tanto el número del DNI como el domicilio. Finalmente se envió al BOE de XX/XX/2018 los datos actualizados dados por la Policía a efectos de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 publicar la reseña del acuerdo de inicio. El procedimiento se archivó por no haberse notificado al domicilio obtenido, y acudir directamente al BOE. En la resolución del procedimiento sancionador, de 7/09/2018, se disponía el archivo del procedimiento, y en el fundamento de derecho III que se podría abrir de nuevo al no haber transcurrido un año desde la fecha de entrada de la denuncia, YY/YY/2018. Con este fundamento solicita que se aclare la nulidad/anulabilidad del procedimiento por: a. En el PS/00189/2018 se indicaba que se abría procedimiento sancionador firmándose el 3/05/2018, por unos hechos que se “están volviendo a reproducir” en el presente expediente. La declaración del archivo por el error debe conllevar una consecuencia por parte de la Administración. Por dicho error no puede acordarse un archivo e iniciarse un nuevo procedimiento por los mismos hechos, por entender que la infracción no está prescrita. Argumenta que el error en la notificación no puede dar lugar a un archivo para luego volver a abrir otro, pues es un fraude de Ley, de lo que deriva la nulidad. b. A fecha en que se notifica el acuerdo de inicio del presente procedimiento, 3/10/2018 el artículo que se imputa, 6.1 y del 43 al 49 de la LOPD estaban derogados por el Real Decreto Ley 5/2018 de medidas urgentes para la adaptación del derecho español a la Unión europea en materia de protección de datos, considerando además la disposición transitoria primera que distingue los procedimientos ya iniciados a la entrada en vigor de este RDL, que se regirán por la normativa anterior, salvo que el régimen establecido en el mismo contenga disposiciones más favorables para el interesado. c. Nulidad de la resolución al ser “irregular la acumulación” de las diligencias “previas practicadas y concluidas en el expediente sancionador declarado, finalizado y archivado”. No se esa realizando con la mera incorporación investigación alguna, no se pueden emplear en un procedimiento sancionador distinto. 2) Se niega la afirmación de que la foto está centrada en captar a un grupo de alumnas del colegio, que la intención era tomar fotos de las alumnas. 3) Colaboró y mostró el contenido del teléfono y niega que captara imagen alguna de las niñas, y que no puede identificarse a las personas captadas, si bien manifiesta que las imágenes fueron borradas, aludiendo al principio de presunción de inocencia y no hay prueba de cargo o las que pueda haber, no reúnen las garantías procesales suficientes, existiendo dudas racionales sobre la existencia de elementos objetivos y subjetivos. No existe constancia de que se hayan captado imágenes de personas identificadas o identificables. Las fotos no captan sino una imagen global, que no se percibe el rostro identificado o identificable de ninguna persona en concreto. 4) Alude a su falta de ingresos, que reside con su madre pensionista solicita sea considerado el apercibimiento en vez de la sanción CUARTO: Con fecha 20/11/2018 se acuerda abrir periodo de práctica de pruebas, según lo dispuesto en el artículo 77 de la Ley 39/2015, de 1/10 del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 Se acuerda practicar las siguientes pruebas: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por DIRECCION GENERAL DE LA POLICIA, JEFATURA SUPERIOR DE POLICIA DE CASTILLA Y LEON y su documentación, que forman parte del expediente. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00325/2018 presentadas por A.A.A., y la documentación que a ellas acompaña. 3. Se dan por reproducidos los documentos que forman parte del PS/00189/2018: 3.1 Denuncia de YY/YY/2018 de la Jefatura Superior de Policía de Castilla y León. 3.2 Acuerdo de inicio de procedimiento sancionador PS/00189/2018 firmado el 3/05/2018. Copia del envío del citado acuerdo, con fecha 4/05 a ***DIRECCION.2, intento de entrega el 10/05/2018, resultado ausente, y devuelto por desconocido el 15/05/2018. 3.3 Publicación den BOE de ZZ/ZZ/2018de extracto del acuerdo de inicio conteniendo las iniciales del denunciado A.A.A. y el DNI completo tal como había sido informado por la Policía en su denuncia. Petición a la Policía de confirmación de datos del denunciado el 7/06/2018. 3.4 Respuesta de la Policía de 25/06/2018 proporcionando el DNI correcto y variando la dirección ***DIRECCION.3. 3.5 Publicación de nuevo en BOE de extracto del acuerdo de inicio, en fecha XX/XX/2018 conteniendo las iniciales y el DNI completo. 3.6 Resolución de archivo del PS/00189/2018 de 7/09/2018 al haberse obviado antes del segundo envío al BOE la notificación del acuerdo de inicio por la vía ordinaria, esto es a la dirección última que proporciona la Policía. En la misma, y siendo la denuncia de YY/YY/2018 se indica que la presunta infracción no aparece prescrita, se indica que próximamente se iniciará nuevo acuerdo sancionador. La resolución aparece entregada en el domicilio del denunciado que la Policía proporcionó el 25/06/2018. Además, se decide solicitar: 1 A la Policía actuante, policías del CNP, de la Jefatura Superior de Castilla y León, Comisaria provincial de ***LOCALIDAD.1, Brigada Provincial de Seguridad Ciudadana, sobre los hechos que remitieron a esta AEPD: Se les solicita que, en el plazo de diez días, informen sobre los hechos que pusieron de manifiesto en su denuncia ante esta Agencia, en concreto: A1) Si cuando encontraron a A.A.A. se hallaba en el interior del vehículo realizando fotografías o en las inmediaciones del espacio que fotografió (patio del colegio). ¿Si las fotografías las realizó con un teléfono móvil? Con fecha 11/12/2018 indican que se hallaba en el interior del vehículo, estacionado en ***CALLE.1 de ***LOCALIDAD.1, junto a la valla del patio del ***COLEGIO.1, y portaba un teléfono móvil en sus manos, si bien en ese mismo instante no estaba realizando ninguna fotografía o grabación. A2) Remitan copia del atestado XXXX/2018 de la oficina de denuncias y atención al ciudadano de la comisaria de Delicias de ***LOCALIDAD.1. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 En el atestado, de 7/03/2018, 13 h 14 min, se indica que dan cuenta de lo acontecido en la citada Avenida describiéndose el vehículo y marca y matricula, y que personados se localiza a un individuo dentro, al que identifican como el denunciado, que lleva un teléfono móvil en sus manos, y preguntado porque motivo se encuentra en ese lugar, manifiesta que está allí grabando el patio del colegio, por lo que se “le requiere para que muestre a los actuantes los videos e imágenes que tenga en el dispositivo móvil a lo cual este accede mostrando un video de unas niñas menores jugando en el patio así como una foto de las mismas las cuales tienen fecha de 6/03/2018”. Preguntado si tiene permiso para la realización de esas grabaciones, y más concretamente cuando los niños se encuentran en el patio, así como si esa si esa persona acreditada para realizarlas responde que no. Entrevistados los agentes con la empleada del colegio, manifiesta que el grupo de niñas ha acudido a ella puesto que han observado al antes filiado en el interior del vehículo con un móvil en la mano que igualmente comunica que “estos mismos hechos sucedieron en el día de ayer que el mismo grupo de menores observó a este individuo grabándolas con una Tablet mientras estaban en el patio del colegio, habiendo llamado al 092, pero que a la llegada del indicativo de policía local, este individuo ya no es encontraba en el lugar” “Que los datos de las menores quedan reflejados en el parte de intervención de los actuantes así como en el centro escolar por si fuese necesario a requerimiento de la autoridad judicial competente” A3) En su escrito de denuncia, indican que, preguntado por el motivo de su presencia en dicho lugar, manifestó que “tomando una fotografía y un video del patio del centro educativo, cuando las alumnas estaban ocupando ese espacio”. Se les solicita si ese fue el literal que pronunció el Sr. A.A.A., y si figura algún escrito o copia en la que el firmara esta manifestación y que constan en los hechos narrados. Indican que cuando fueron alertados fue por la presencia en el lugar realizando grabaciones a las niñas del colegio en la hora del recreo y que en el día anterior también le habían localizado en la misma actitud, los agentes preguntan al filiado sobre le motivo de su presencia en el lugar, manifestando el literalmente: “grabando el patio del colegio”. Se le requirió para que si no tenía inconveniente mostrase las fotografías o grabaciones que hubiera tomado del patio del colegio, a lo que voluntariamente accedió, mostrando a los agentes un video de unas niñas menores de edad jugando en el patio, así como una fotografía de estas con fecha 6/03/2018. Manifiestan que “a la pregunta de los agentes de si tenía permiso para realizar las grabaciones contestó literalmente “sé que está mal grabar a las niñas, pero es un impulso que no puedo evitar” A4) Si saben que el Sr. A.A.A. borrara las fotos en su presencia, respondieron que en “su presencia no borró las grabaciones ni las fotografías que había en su móvil”. QUINTO: Con fecha 8/02/2019 se remite propuesta de resolución al denunciado del literal: “PRIMERO: Declarar el ARCHIVO de la infracción imputada a A.A.A., por resunta infracción del artículo 6.1 de la LOPD tipificada como grave en el artículo 44.3.
- b)de la citada LOPD.” Frente a la misma no se han recibido alegaciones. HECHOS PROBADOS 1. La presente denuncia se origina por las actuaciones que dos policías realizaron el 7/03/2018 al acudir por una llamada de una empleada, al ***COLEGIO.1, en ***LOCALIDAD.1. La empleada del colegio indicaba en la llamada que había un C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 individuo que estaba grabando a los menores. En la denuncia que firman los policías indican que dado que “el comportamiento descrito no constituye infracción penal ni infracción de la Ley seguridad ciudadana se pone en conocimiento de la AEPD por si fuera infracción de la LOPD”, indicando que abrieron atestado de la oficina de denuncias, aunque en un primer momento no lo remiten con su denuncia, se solicitó en pruebas. Añaden que no se levantó acta de las declaraciones del denunciado que hacen constar en su denuncia y en el atestado. 2. Los denunciantes indican que el denunciado se hallaba en el interior de un vehículo con un móvil en las manos y tras su identificación, contestó que se hallaba haciendo fotografías del patio del colegio. 3. Los policías solicitaron al denunciado, si les podía mostrar las imágenes, accediendo. En el atestado se indica que muestra “un video de unas niñas menores jugando en el patio, así como una foto de las mismas, las cuales tienen fecha 6/03/2018”, es decir del día anterior. 4. En la denuncia, los policías indican que “Se puede ver y reconocer a un grupo de alumnas con el uniforme del colegio” y en el video “se muestra al mismo grupo de chicas” Añaden que “las imágenes obtenidas no se tratan de una visión general de las instalaciones sino de imágenes centradas en el grupo de niñas”. En el atestado no se incluyen dichos términos sino el genérico de que se ve en el video “unas niñas menores jugando en el patio, así como una foto de estas”. No figura en la denuncia ni en el atestado copia de la fotografía o video captado por el denunciado. 4 El atestado policial, obtenido en el periodo de pruebas, distinto de la denuncia de los Policías que dio origen al presente procedimiento indica que “los datos de las menores quedan reflejados en el parte de intervención de los actuantes, así como en el centro escolar por si fueran necesarios a requerimiento de la autoridad judicial competente”, aunque no se alude a si esas menores son las que estaban en la fotografía y el video. En la denuncia no se hace referencia a dicho parte de intervención. 5 En el atestado no figuran los datos de las alumnas/os que pudieran figurar en la foto y el video, de modo que no se colige la identificación o identificabilidad plena e indubitada de los menores con la fotografía y el video que visionan. Además, figura en la denuncia de los policías que se registró en esta AEPD que “Se puede ver y reconocer a un grupo de alumnas con el uniforme del colegio” y en el video “se muestra al mismo grupo de chicas” mientras que en el atestado consta: “mostrando un video de unas niñas menores jugando en el patio, así como una foto de las mismas. “ 6) No se ha llegado a conocer que la foto y el video pudieran haber sido difundidos de algún modo y el denunciado manifestó en alegaciones que había borrado las imágenes. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II La Constitución española señala en su artículo 18: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 “1. Se garantiza el derecho al honor, a la intimidad personal y familiar y a la propia imagen. 2. El domicilio es inviolable. Ninguna entrada o registro podrá hacerse en él sin consentimiento del titular o resolución judicial, salvo en caso de flagrante delito. 3. Se garantiza el secreto de las comunicaciones y, en especial, de las postales, telegráficas y telefónicas, salvo resolución judicial. 4. La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos.” El derecho a la propia imagen atribuye a su titular la facultad de disponer de la representación de su aspecto físico que permita su identificación, lo que conlleva tanto el derecho a determinar la información gráfica generada por los rasgos físicos que le hagan reconocible que puede ser captada o tener difusión pública, como el derecho a impedir la obtención, reproducción o publicación de su propia imagen por un tercero no autorizado. A título adicional, resulta indubitado que la recogida de fotografías sin consentimiento de los afectados, incluso en lugar público (Sentencia del Tribunal supremo, sala de lo civil de 19/11/2008 núm. recurso 793/2005) es contraria a los derechos al honor, a la intimidad y a la propia imagen. Desde la sentencia del Tribunal Constitucional 241/1991 de 16/12 se viene aceptando que cuando se producen intromisiones ilegítimas en estos derechos existe la opción por los afectados de acudir ante la Jurisdicción civil (Ley Orgánica 1/1982, de 5/05 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen) o a la penal, indistintamente. En consecuencia, cabe entender que el interesado puede acudir ante una u otra Jurisdicción cuando la transgresión se genere por otros medios, como pueden ser Internet o el teléfono móvil. Además, la Ley orgánica 1/1996, de 15/01, de protección jurídica del menor, después de reconocer el derecho al honor, a la intimidad personal y a la propia imagen, de los menores (artículo 4.1) prevé la intervención del Ministerio Fiscal frente aquellos actos que como el que aquí se analiza, puedan constituir intromisión ilegítima en esos derechos. Su artículo 4.2 indica que «se considera intromisión ilegítima en el derecho al honor, a la intimidad personal y familiar y a la propia imagen del menor, cualquier utilización de su imagen o su nombre en los medios de comunicación que pueda implicar menoscabo de su honra o reputación, o que sea contraria a sus intereses incluso si consta el consentimiento del menor o de sus representantes legales». Dicho lo cual, tratándose de menores y siendo titulares de los derechos fundamentales protegidos por la Constitución en el artículo 18 , con plena capacidad jurídica, ha de partirse de la base de que siempre que no medie el consentimiento de los padres o representantes legales de los menores con la anuencia del Ministerio Fiscal, la difusión de cualquier imagen de éstos ha de ser reputada contraria al ordenamiento jurídico. A mayor abundamiento, aún en el supuesto de que se cuente con el beneplácito paterno o tutelar, si la imagen difundida atenta o menoscaba la honra, la intimidad personal y familiar y la imagen del menor, la utilización de la misma constituye un atentado al derecho a la imagen de su titular. III La configuración del derecho a la protección de datos de acuerdo con el artículo 1 de la LOPD indica: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar.” Actualmente, el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); establece en su artículo 1. Objeto: “1. El presente Reglamento establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las normas relativas a la libre circulación de tales datos. 2. El presente Reglamento protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales.” La Sentencia del Tribunal Constitucional, pleno, 292/2000 de 30/11 señalaba entre otros aspectos de este derecho: “De este modo, el objeto de protección del derecho fundamental a la protección de datos no se reduce sólo a los datos íntimos de la persona, sino a cualquier tipo de dato personal, sea o no íntimo, cuyo conocimiento o empleo por terceros pueda afectar a sus derechos, sean o no fundamentales, porque su objeto no es sólo la intimidad individual, que para ello está la protección que el art. 18.1 CE otorga, sino los datos de carácter personal.” “También por ello, el que los datos sean de carácter personal no significa que sólo tengan protección los relativos a la vida privada o íntima de la persona, sino que los datos amparados son todos aquellos que identifiquen o permitan la identificación de la persona, pudiendo servir para la confección de su perfil ideológico, racial, sexual, económico o de cualquier otra índole, o que sirvan para cualquier otra utilidad que en determinadas circunstancias constituya una amenaza para el individuo .” “persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derecho del afectado.” IV En el momento en que suceden los hechos, 7/03/2018, el artículo 3 de la LOPD indica: A los efectos de la presente Ley Orgánica se entenderá por:
- a)Datos de carácter personal: cualquier información concerniente a personas físicas identificadas o identificables.
- c)Tratamiento de datos: operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
- d)Responsable del fichero o tratamiento: persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.
- e)Afectado o interesado: persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
- c)del presente artículo. El artículo 5.1 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21/12, recoge en sus aparatados
- f)y
- o)las definiciones de “datos de carácter personal” y “persona identificable”. Así, se considera “datos de carácter personal”: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables” y “persona identificable”: “toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionadas”. En el mismo sentido se pronuncia, el artículo 2.
- a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Asimismo, el Considerando 26 de esta Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. Una fotografía suele ser dato de carácter personal siempre que en la imagen se pueda identificar a la persona, o bien sea identificable. El grupo de protección de datos del artículo 29 creado en virtud del artículo 29 de la Directiva 95/46/CE, órgano consultivo europeo independiente, señala en su dictamen 4/2017 de 20/6 punto tercero, sobre persona identificada-identificable “…De modo general, se puede considerar «identificada» a una persona física cuando, dentro de un grupo de personas, se la «distingue» de todos los demás miembros del grupo. Por consiguiente, la persona física es «identificable» cuando, aunque no se la haya identificado todavía, sea posible hacerlo (que es el significado del sufijo «ble»). Así pues, esta segunda alternativa es, en la práctica, la condición suficiente para considerar que la información entra en el ámbito de aplicación del tercer componente. La identificación se logra normalmente a través de datos concretos que podemos llamar «identificadores» y que tienen una relación privilegiada y muy cercana con una determinada persona.” “Esta idea se aclara aún más en los comentarios a los artículos de la propuesta modificada de la Comisión, en donde se afirma que «una persona puede ser identificada directamente por su nombre y apellidos o indirectamente por un número de teléfono, la matrícula de un coche, un número de seguridad social, un número de pasaporte o por una combinación de criterios significativos (edad, empleo, domicilio, etc.),que haga posible su identificación al estrecharse el grupo al que pertenece.» Los términos de esta declaración indican claramente que el que determinados identificadores se consideren suficientes para lograr la identificación es algo que depende del contexto de la situación de que se trate. “ “El considerando 26 de la Directiva presta una atención particular al término «identificable» al decir que «para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona, para identificar a dicha persona». Esto significa que la mera e hipotética posibilidad de singularizar a un individuo no es suficiente para considerar a la persona como «identificable». Si, teniendo en cuenta «el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona», no existe esa posibilidad o es insignificante, la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 persona no debe ser considerada como «identificable» y la información no debe catalogarse como «datos personales» El criterio del «conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona» debe tener especialmente en cuenta todos los factores en juego. Lo costoso de la identificación es un factor, pero no el único. La finalidad del tratamiento, la manera en que el tratamiento está estructurado, el rédito que espera obtener el responsable del tratamiento, los intereses individuales en juego, así como el riesgo de que se produzcan disfunciones organizativas (por ejemplo, un quebrantamiento del deber de confidencialidad) y los fracasos técnicos son todos ellos elementos que deben tenerse en cuenta. Por otra parte, se trata de una prueba dinámica, por lo que debe tenerse en cuenta el grado de avance tecnológico en el momento del tratamiento y su posible desarrollo en el período durante el cual se tratarán los datos. Puede que la identificación no sea factible hoy con el conjunto de los medios que puedan ser razonablemente utilizados en la actualidad. Si lo previsto es que los datos se conserven durante un mes, puede que no sea factible adelantar la identificación para que esté terminada dentro del «período de vida» de la información y, por lo tanto, esa información no debe considerarse como datos personales. Ahora bien, si el período de conservación previsto es de diez años, el responsable del tratamiento debe barajar la posibilidad de que la identificación pueda producirse al cabo de nueve años, con lo que adquiriría en ese momento la categoría de datos personales. Es preciso que el sistema sea capaz de adaptarse a los progresos tecnológicos a medida que éstos se produzcan y que introduzca las medidas técnicas y organizativas apropiadas a su debido tiempo.” En el presente supuesto, si se hubiera obtenido evidencia física directa de la imagen y del video, se podría haber llegado a saber si existía identificabilidad de los componentes de los mismos, derivando la conclusión de si nos hallamos o no ante datos de carácter personal. La misma circunstancia detallada por los agentes en el atestado en el sentido que correlacionara indubitadamente imágenes con personas identificadas, sería evidencia de que se trata de datos que hacían posible la identificación de los menores, circunstancias que no se han dado en el presente caso. V Por otro lado, el concepto de "tratamiento de datos personales" desde la perspectiva la Directiva 95/46, del Parlamento Europeo y del Consejo, de 24/10/1995 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, señala, que el concepto de "tratamiento" no puede depender de la técnica utilizada para el manejo de los datos, de ahí que incluya tanto el tratamiento automatizado como el manual (considerando 27 de su Preámbulo). Así, lo relevante para que estemos ante un "tratamiento de datos personales" es la realización de determinadas actuaciones en relación con los mismos, actuaciones que en su descripción son muy amplias y variadas. Desarrollando este principio el artículo 2 de la Directiva describe las actuaciones que aplicadas a los datos personales constituyen "tratamiento": "cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales, como la recogida, registro, organización, conservación, elaboración o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexión, así como su bloqueo, supresión o destrucción". Dados los amplios términos que se contienen en el concepto de tratamiento de datos, hay que tener en cuenta que si se produjera en este supuesto cualquier uso o transmisión de datos de carácter personal con origen en una fotografía o video en la que se reconoce la identidad de personas integrantes o resulten identificables, se estaría C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 produciendo un tratamiento de datos sin consentimiento, y por tanto ilícito de acuerdo con el artículo 6 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD). Por tanto, trasladar a un tercero, exponer o publicar dichas imágenes con origen en un consentimiento no obtenido, subir a cualquier tipo de web o red social, podría suponer un tratamiento de datos sin consentimiento. Esta infracción aparece tipificada en el artículo 83.5 del RGPD. La sanción establecida para dicha infracción, en persona física, tiene una suma máxima de 20. 000. 000 de euros, considerando en este caso la cualificada protección que los menores merecen como categoría de datos diferenciada de otro tipo, así como advirtiendo una especifica intencionalidad teniendo en cuenta la propia declaración del denunciado de que no puede evitar tomar dicho tipo de imágenes. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR el ARCHIVO de la infracción imputada a A.A.A. con NIF ***DNI.1, por una infracción del artículo 6.1 de la LOPD de la LOPD, tipificada como grave en el artículo 44.3.
- b)de la LOPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30/12, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22/12, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21/12. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es