← España

PS-00334-2023

1/18  Expediente N.º: EXP202309207 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 25 de julio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a EDICIONES PERIÓDICAS DEL NOROESTE, S.L. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: <<Expediente N.º: EXP202309207 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 05/09/2022 interpuso dos reclamaciones ante la Agencia Española de Protección de Datos dirigidas contra los usuarios de la red social “Twitter” que se mencionan en las URL indicadas a dichas reclamaciones. Los motivos en que basa la reclamación son los siguientes: “Publicación de un vídeo privado en el que aparezco sin mi consentimiento. El vídeo se ha hecho viral y yo no he dado permiso ni al montaje del vídeo ni a su distribución. Eran tomas independientes para un fin laboral, no para su publicación en redes sociales sin mi consentimiento ya que ni siquiera he sido yo quien ha distribuido el vídeo. Hecho denunciado en Twitter y respuesta recibida sin que se hayan tomado medidas”. En la primera de las reclamaciones recibidas, se señala que el vídeo fue publicado en la red social “Twitter” en fecha 02/09/2022 por parte del usuario “***USUARIO.1”. (…) Mediante la segunda reclamación, la parte reclamante “añade” documentación a la reclamación anterior. Según la parte reclamante, “se trata de más vídeos y montajes fotográficos tipo el publicado por la parte reclamada en dicho expdte (***USUARIO.1). En este caso otros usuarios de la red social Twitter han usado el mismo vídeo o imágenes de ese vídeo sin mi consentimiento. La descripción de los hechos es la misma que la enviada en anteriores reclamaciones”. En la reclamación se detallan las URL que conducen a las publicaciones denunciadas (22 vídeos y 2 imágenes). Junto a las reclamaciones se aporta, entre otra documentación, la siguiente: . Captura de pantalla correspondiente al perfil del usuario de “Twitter” “***USUARIO.1”. Consta la fecha “2 sept.”, el texto “***TEXTO.1” y una imagen del video en cuestión que corresponde a una foto de la parte reclamante. Consta que el vídeo tiene una duración de 38 segundos y que ha tenido “1,7 M reproducciones”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 . Capturas de pantalla correspondientes a los perfiles de usuarios de “Twitter” que divulgaron el vídeo o las imágenes. En la mayoría de ellos constan las fechas (…); textos como (…); etc.; y una imagen del video en cuestión que corresponde a una foto de la parte reclamante. Consta la duración del vídeo (38 segundos) y el número de reproducciones en cada caso (desde 30 hasta 443,8 mil reproducciones). SEGUNDO: Con fecha 05/09/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la primera de las reclamaciones reseñadas en el Antecedente Primero. El Acuerdo de Admisión fue notificado a la parte reclamante en la misma fecha. TERCERO: Con fecha 06/09/2022, tuvieron entrada en la Agencia dos nuevas reclamaciones de la parte reclamante. Las reclamaciones se dirigen contra nuevos usuarios de “Twitter”, “Instagram” y “Youtube” que también divulgaron el vídeo en cuestión con comentarios similares a los reseñados anteriormente, los cuales se añaden a los incluidos en las reclamaciones anteriores, así como contra los responsables de las páginas web que se indican, en las que se insertó igualmente el vídeo en cuestión. Entre estos últimos, figura la entidad EDICIONES PERIÓDICAS DEL NOROESTE, S.L. con NIF B52512464 (en adelante, la parte reclamada), responsable de la web “lavozdeasturias.es”. Respecto de la parte reclamada, por la Subdirección General de Inspección de Datos se accedió al contenido al que conducía la URL objeto de la reclamación, comprobando que se trataba de una información publicada el 06/09/2022 en la web “lavozdeasturias.es”. Incluye una imagen de la parte reclamante capturada del vídeo al que se refieren las actuaciones y el texto siguiente: CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. En el marco de dichas actuaciones previas de investigación, con fecha 09/09/2022, la AEPD dictó “Acuerdo de adopción de medida provisional” mediante el que se ordenó a la parte reclamada la retirada del contenido objeto de la reclamación insertado en la web “lavozdeasturias.es”, accesible a través de la URL “***URL.1”. En este acuerdo, que fue notificado a la parte reclamada en fecha 12/09/2022, se dispuso expresamente lo siguiente: “1.- Requerir a EDICIONES PERIÓDICAS DEL NOROESTE, S.L. para que, en el plazo máximo de 5 días naturales, proceda a retirar los contenidos antes señalados relativas al reclamante de las direcciones web desde las que sean accesibles, evitando en la medida en que el estado de la tecnología lo permita, la re-subida o re-carga de copias o réplicas exactas por el mismo u otros usuarios. 2.- Requerir a EDICIONES PERIÓDICAS DEL NOROESTE, S.L. para que la retirada o modificación de los contenidos se efectúe de tal modo que imposibilite su acceso y disposición del original por terceros, pero garantice su conservación, a efectos de custodiar las evidencias que puedan ser precisas en el curso de la investigación policial o administrativa o del proceso judicial que pudieren instruirse. 3.- Requerir a EDICIONES PERIÓDICAS DEL NOROESTE, S.L. para que, en el plazo máximo de 5 días naturales, informe a esta Agencia Española de Protección de Datos acerca de la ejecución de la medida”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 En el Informe de Actuaciones Previas de investigación, los Servicios de Inspección de la AEPD destacan que el vídeo en cuestión se viralizó tras su publicación el pasado 2 de septiembre de 2022 en Twitter por parte del usuario “***USUARIO.1” y que, debido a esa amplia difusión, se encuentra en decenas de sitios y se podía localizar fácilmente con etiquetas como "***ETIQUETA.1" o "***ETIQUETA.2". Según indican los Servicios de Inspección, se trata de una réplica de los vídeos que se hicieron virales en las redes sociales desde el año 2021 (…). Por otra parte, se indica en dicho informe que la parte reclamada, mediante escrito de 13/09/2022 comunicó la eliminación del contenido, que había solicitado a los buscadores de Google y Bing la desindexación de la noticia y había eliminado la publicación de sus perfiles de la red social Twitter y Facebook. En este escrito, la parte reclamada manifiesta que la eliminación del contenido se realizó de modo que la información no esté accesible a terceros, pero conservándola para el caso de que fueran solicitadas evidencias en el curso de cualquier investigación o proceso. En cuanto a la publicación en las redes sociales citadas, señala que se realizó el borrado total. Asimismo, informó que el vídeo sobre el que informa la noticia de “La Voz de Asturias” fue publicado por un tercero en una cuenta de Twitter (…) en la dirección referida (esto es, “La Voz de Asturias” incorporó el reproductor de vídeo de Twitter enlazando a esa cuenta, pero no lo subió como contenido propio ni en su web “lavozdeasturias.es” ni en ninguna de las cuentas de “La Voz de Asturias” en redes sociales). Un día después, el 14/09/2022, los Servicios de Inspección de la AEPD comprobaron que, a dicha fecha, había sido eliminado el contenido al que conducía la URL “***URL.1”. QUINTO: Con fecha 10/07/2023, por la Subdirección General de Inspección de Datos se accede a la información relativa a la parte reclamada en “Axesor” (“Informe monitoriza”). (…) FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II La imagen como dato personal La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal al hacerla identificable, y su protección, por tanto, es objeto de dicho RGPD: “«datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” El informe 139/2017 del Gabinete Jurídico de esta Agencia afirma que “la imagen así como la voz de una persona es un dato personal, al igual que lo será cualquier información que permita determinar, directa o indirectamente, su identidad (…)” La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. Siendo así, el tratamiento de la imagen de una persona está sujeto a la normativa de protección de datos. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” La inclusión de la imagen de una persona en publicaciones periodísticas, que la identifica o la hace identificable, supone un tratamiento de datos personales y, por tanto, la entidad que efectúa el mismo está obligado a cumplir con las obligaciones que para el responsable del tratamiento se disponen en el RGPD y en la LOPDGDD. III Derecho a la protección de datos El presente procedimiento se inicia porque la parte reclamada publicó, en el sitio web “lavozdeasturias.es”, una noticia sobre la divulgación de vídeos en redes sociales en cuyo texto se hacía referencia al nombre de la parte reclamante (“***ETIQUETA.1”) y que se ilustraba con una fotografía también de la parte reclamante, tomada de un vídeo que fue publicado y ampliamente difundido a través de la red social “Twitter”. La imagen de la parte reclamante se apreciaba con toda nitidez en dicha fotografía. Las personas tienen el poder de disposición sobre sus datos personales, incluyendo su imagen, así como sobre su difusión, resultando, sin lugar a dudas, merecedora de protección la persona cuyos datos personales se difundan vulnerando el ordenamiento jurídico. Así, la STC 292/2000, de 30 de noviembre dispone que “el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 En este sentido, y con independencia de cuál sea la base jurídica legitimadora del tratamiento, todo responsable del tratamiento ha de respetar los principios del tratamiento recogidos en el artículo 5 del RGPD. Destacaremos el artículo 5.1.

  1. c)del RGPD que establece que: “1. Los datos personales serán
  2. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);” No obstante, nos encontramos ante un derecho fundamental que no es absoluto, puesto que llegado el caso el Derecho Fundamental a la Protección de Datos puede ceder ante la prevalencia de otros derechos y libertades también constitucionalmente reconocidos y protegidos, como, por ejemplo, el Derecho Fundamental a la Libertad de Información, ponderándose ello caso a caso. Sin embargo, en el presente supuesto, como expondremos, se debe considerar que el tratamiento llevado a cabo por la parte reclamada en el marco de la libertad de información ha sido excesivo, al no existir un interés público informativo prevalente en la difusión de la imagen de la parte reclamante, con indicación de su nombre, que no aporten valor añadido alguno a la información el mantener dicha imagen (sin desenfocar la imagen, por ejemplo), bajo cuyo pretexto parece que se han divulgado aquellos datos; imagen que hace claramente identificable a la persona, más aún si se especifica el nombre. Al ponderar los intereses enfrentados y, atendiendo a las circunstancias concurrentes de este caso, esto es, la naturaleza especialmente sensible de los datos personales y la afectación a la intimidad de la persona (la parte reclamante), merece mayor protección el interés del titular del derecho a la protección de sus datos personales y a que no se difundan frente al pretendido interés público en su difusión. IV Derecho de información En la pugna entre los Derechos Fundamentales a la Libertad de Información en relación con el Derecho Fundamental a la Protección de Datos Personales, aun cuando se reconoce igual grado de protección de ambos derechos constitucionales, ordinariamente el primero suele ser dotado de prevalencia por nuestros tribunales, tras valorar y ponderar todos los elementos en juego. Ahora bien, preponderancia no significa prevalencia cuando, atendidas todas las circunstancias concurrentes en un supuesto concreto, se rebasen los límites fijados normativa y jurisprudencialmente. En este sentido, el Grupo del Trabajo del Artículo 29 en su Dictamen 06/2014 sobre el concepto de interés legítimo del responsable del tratamiento de los datos en virtud del artículo 7 de la Directiva 95/46/CE, al examinar la base jurídica del interés legítimo del artículo 7.1.
  3. f)de la Directiva 95/46/CE, trasladable plenamente al actual art. 6.1.
  4. f)del RGPD, incluye el derecho a la libertad de expresión o de información como uno de los supuestos en los que puede surgir la cuestión del interés legítimo aseverando que “sin perjuicio de si los intereses del responsable del tratamiento prevalecerán en último término sobre los intereses y los derechos de los interesados cuando se realice la prueba de sopesamiento”. V Límites al Derecho Fundamental a la Libertad de Información. Dicho lo anterior, el Derecho Fundamental a la Libertad de Información tampoco es absoluto. Podemos observar límites clarísimos establecidos por los tribunales en el ámbito civil, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 relación con el Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen. Así, citaremos, por todas, la STC 27/2020, de 24 de febrero de 2020 (recurso de amparo 13692017) que dispone, en relación con la imagen de una persona, y partiendo del hecho incontrovertido de que la hace identificable, que “…la cuestión debatida se reduce a ponderar si la reproducción no consentida de la imagen de una persona anónima es decir, de alguien que no es personaje público, pero que adquiere repentina e involuntariamente un papel en el hecho noticiable, en este caso como víctima del fallido intento de homicidio por parte de su hermano y el posterior suicidio de este, supuso una intromisión ilegítima en su derecho fundamental a la propia imagen (art. 18.1 CE). […] …que los sucesos criminales son acontecimientos noticiables, incluso con independencia del carácter de sujeto privado de la persona afectada por la noticia. Sin embargo, el límite está en la individualización, directa o indirecta, de la víctima, pues este dato no es de interés público porque carece de relevancia para la información que se permite transmitir (SSTC 20/1992, de 20 de febrero; 219/1992, de 3 de diciembre; 232/1993, de 12 de julio; 52/2002, de 25 de febrero; 121/2002, de 20 de mayo, y 127/2003, de 30 de junio). Así, actualmente lo reconoce la Ley 4/2015, de 27 de abril, del estatuto de la víctima del delito, en vigor desde el 28 de octubre de 2015, cuando advierte de la necesidad «desde los poderes públicos [de ofrecer] una respuesta lo más amplia posible, no solo jurídica sino también social, a las víctimas, no solo reparadora del daño en el marco de un proceso penal, sino también minimizadora de otros efectos traumáticos en lo moral que su condición puede generar, todo ello con independencia de su situación procesal. Por ello, el presente Estatuto, en línea con la normativa europea en la materia y con las demandas que plantea nuestra sociedad, pretende, partiendo del reconocimiento de la dignidad de las víctimas, la defensa de sus bienes materiales y morales y, con ello, los del conjunto de la sociedad». En supuestos como los planteados en este recurso, este Tribunal debe otorgar relevancia a la prevalencia del derecho a la imagen de la víctima del delito frente a las libertades informativas, pues la información gráfica devenía ociosa o superflua por carecer la fotografía de la víctima de interés real para la transmisión de la información, en este caso la realización aparente de un homicidio y posterior suicidio” (el subrayado es nuestro). Añadiremos la STS, de su Sala Primera de lo Civil, 272/2011 de 11 de abril de 2011 (rec. 1747/2008), en la que, respecto de los datos necesarios para suministrar una información y los límites al interés público recoge que “
  5. b)La información trivial no se protege (ATC 75/2006), pero sí el hecho de facilitar datos no necesarios en un caso de violación (el nombre completo, las iniciales de los apellidos, el portal de la calle donde vivía la víctima) que no tienen relevancia comunitaria, no respetan la reserva, sólo buscan satisfacer la curiosidad, producen perturbaciones o molestias y desvelan de forma innecesaria aspectos de la vida personal y privada, permitiendo a los vecinos, personas próximas y familiares la plena identificación de la víctima y el conocimiento con lujo de detalles de un hecho gravemente atentatorio contra su dignidad (STC 185/2002) o sobre una enfermedad que no tiene interés público y afecta de manera directa al ámbito irreductible de la intimidad y que se revela al efecto de una pura broma o chanza (STC 232/1993);”. Igualmente, la STS, de su Sala Primera de lo Civil, Sentencia 661/2016 de 10 de noviembre 2016 (rec. 3318/2014), en relación con la captación y divulgación en juicio de la imagen de una víctima de violencia de género dispuso que “1.ª) No se discute el interés de la información cuestionada ni el derecho de la cadena televisiva demandada a emitir imágenes grabadas durante el acto del juicio oral de la causa penal, ya que no consta ninguna limitación al respecto acordada por el órgano judicial. 2.ª) El único punto controvertido es, por tanto, si la identificación de la demandante como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 víctima de los delitos enjuiciados en dicha causa penal, mediante primeros planos de su rostro y la mención de 31/03/2022 su nombre de pila y lugar de residencia, estaba también comprendida en el derecho fundamental de la cadena de televisión demandada a transmitir información veraz o, por el contrario, quedaba limitada por los derechos fundamentales de la demandante a su intimidad personal y a su propia imagen. 3.ª) Respecto de esta cuestión la jurisprudencia ha reconocido el interés general y la relevancia pública de la información sobre causas penales (sentencia 547/2011, de 20 de julio), que se acentúan en los casos de maltrato físico y psicológico (sentencias 128/2011, de 1 de marzo, y 547/2011, de 20 de julio), pero también ha puntualizado, en cuanto a la identificación de las personas que intervienen en el juicio, que el acusado y la víctima no se encuentran en un plano de igualdad, pues en cuanto a aquel sí cabe una identificación completa, y no solo por sus iniciales, debido a la naturaleza y trascendencia social de los delitos de malos tratos (sentencia 547/2011, de 20 de julio). […] 6.ª) En definitiva, la cadena de televisión demandada debió actuar con la prudencia del profesional diligente y evitar la emisión de imágenes que representaban a la recurrente en primer plano, bien absteniéndose de emitir las correspondientes tomas, bien utilizando procedimientos técnicos para difuminar sus rasgos e impedir su reconocimiento (sentencia 311/2013, de 8 de mayo). De igual modo, también debió evitar la mención de su nombre de pila, porque este dato, insuficiente por sí solo para constituir intromisión ilegítima, pasó a ser relevante al pronunciarse en pantalla simultáneamente con la imagen de la demandante y añadirse la mención de su localidad de residencia, datos todos ellos innecesarios para la esencia del contenido de la información, como demuestran las noticias sobre el mismo juicio publicadas al día siguiente en otros medios. 7.ª) La identificación de la demandante mediante su imagen y los datos personales indicados y su directa vinculación con un episodio de violencia de género y otros delitos graves, cuando era previsible la revelación simultánea o posterior de datos referidos a cómo se conocieron la víctima y su agresor y a la forma en que sucedieron los hechos delictivos, supone que la pérdida del anonimato vulnerase tanto el derecho de la demandante a su propia imagen, por la emisión de sus rasgos físicos, como su intimidad personal y familiar, en la medida en que unos datos reservados, pertenecientes a su vida privada (que acudió a Internet para iniciar una relación o el contenido íntimo de algunas de sus charlas), carentes de entidad ofensiva en una situación de anonimato, pasaron a tenerla desde el momento en que cualquier persona que viera esos programas informativos y que residiera en la localidad de la víctima podía saber a quién se referían, de modo que al daño psicológico inherente a su condición de víctima de los delitos se sumó el daño moral consistente en que se conocieran datos de su vida privada que no había consentido hacer públicos”. (el subrayado es nuestro). Como podemos comprobar, se hace una clara referencia al tratamiento excesivo de datos personales (algunos no son de naturaleza íntima) para suministrar la información, considerándolos innecesarios a todo punto en atención a las circunstancias concurrentes. En ocasiones los tribunales se refieren a datos íntimos, pero en ocasiones se trata de datos personales que no son íntimos, como, por ejemplo, la imagen de una persona física obtenida de una fotografía publicada en una red social o el nombre y los apellidos. VI Equilibrio entre el Derecho Fundamental a la Libertad de Información y el Derecho Fundamental a la Protección de Datos de Carácter Personal. En el caso concreto examinado, tal y como hemos indicado, la parte reclamada publicó, en los sitios web referidos en los hechos, la imagen de la parte reclamante para ilustrar una noticia sobre redes sociales, en la que, además, se menciona el nombre de la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 Así, no se trata, como en otros supuestos jurisprudencialmente examinados, de dotar de prevalencia a un derecho fundamental sobre otro, debiendo elegir cuál tiene más peso en un supuesto específico. Si no, más bien, de encontrar un equilibrio entre ambos para logar la consecución de la finalidad del primero sin desvirtuar el segundo. La conciliación de ambos derechos no es nada nuevo, puesto que el legislador europeo mandata tal conciliación en el artículo 85 del RGPD. Como hemos visto anteriormente, el Derecho Fundamental a la Libertad de Información no es ilimitado, puesto que la interpretación jurisprudencial al confrontarlo con otros derechos y libertades no permite en todo caso y con toda amplitud el mismo, sino que, no obstante, la prevalencia que suelen dotarle los tribunales puede verse limitado por otros derechos fundamentales que deben también ser respetados. Así se observa su limitación cuando los datos personales facilitados eran innecesarios para la esencia del contenido de la información. En este caso, la imagen de la parte reclamante y su nombre, sin constreñir el suministro de información, debe hacerse compatible con el principio de minimización de datos, aplicable sobre la forma, el medio en que se suministra y difunde la información por la afectación inmediata al dato personal y a la identificación de la persona. Precisamente porque no se niega el interés público informativo en la noticia, en este caso concreto, no se trata de hacer decaer el Derecho Fundamental a la Libertad de Información por la prevalencia del Derecho Fundamental a la Protección de Datos de Carácter Personal, sino de hacerlos plenamente compatibles para que ambos queden absolutamente garantizados. Esto es, no se pone en cuestión la libertad de información de los medios de comunicación sino la ponderación con el derecho a la protección de datos en base a la proporcionalidad y necesidad de publicar el concreto dato personal de la imagen o el nombre de la persona. Tal situación podría haberse resuelto con la utilización de procedimientos técnicos para impedir el reconocimiento de la imagen, medidas de seguridad ambas, aplicadas dependiendo del caso de forma ordinaria por los medios de comunicación, y con la no indicación del nombre de la parte reclamante. A mayores hemos de significar que la parte reclamante es una persona anónima y nuestro Tribunal Constitucional, por todas STC 58/2018 de 4 de junio, afirma que las autoridades públicas, los funcionarios públicos y los personajes públicos o dedicados a actividades que conllevan notoriedad pública “aceptan voluntariamente el riesgo de que sus derechos subjetivos de personalidad resulten afectados por críticas, opiniones o revelaciones adversas y, por tanto, el derecho de información alcanza, en relación con ellos, su máximo nivel de eficacia legitimadora, en cuanto que su vida y conducta moral participan del interés general con una mayor intensidad que la de aquellas personas privadas que, sin vocación de proyección pública, se ven circunstancialmente involucradas en asuntos de trascendencia pública, a las cuales hay que, por consiguiente, reconocer un ámbito superior de privacidad, que impide conceder trascendencia general a hechos o conductas que la tendrían de ser referidos a personajes públicos”. La STJUE (Sala Segunda) de 14 de febrero de 2019, en el asunto C 345/17, Sergejs Buivids hace mención a diversos criterios para ponderar entre el derecho al respeto de la intimidad y el derecho a la libertad de expresión, entre los cuales se encuentran “la contribución a un debate de interés general, la notoriedad de la persona afectada, el objeto del reportaje, el comportamiento anterior del interesado, el contenido, la forma y las repercusiones de la publicación, la forma y las circunstancias en las que se obtuvo información y su veracidad (véase, en este sentido, la sentencia del TEDH de 27 de junio de 2017, Satakunnan Markkinapörssi Oy y Satamedia Oy c. Finlandia, CE:ECHR:2017:0627JUD000093113, apartado 165)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 En el presente caso, (
  6. i)ni estamos ante un personaje de relevancia pública, en el sentido de que tal relevancia sea suficiente para entender que supone, ex lege, una desposesión de su derecho fundamental a la protección de sus datos personales, y (
  7. ii)si estamos ante hechos “de relevancia pública”, en el sentido de que se revelen como “necesarios” para la exposición de las ideas u opiniones de interés público, esa necesidad no alcance a que se faciliten datos que identifiquen a la parte reclamante. Por ello, y como expresa el Tribunal Supremo en su sentencia (civil) 697/2019, de 19 de diciembre de 2019, la formación de una opinión pública libre no exige, ni justifica, que se afecte al derecho fundamental a la propia imagen [en este caso a la protección de datos personales] con esa gravedad y de un modo que no guarda la necesaria conexión con la identificación de la persona objeto de la información. VII Obligaciones en materia de protección de datos Todo responsable del tratamiento tiene conferidas obligaciones en materia de protección de datos, en los términos prescritos en el RGPD y en la LOPDGDD, pudiendo destacar, en cuanto a lo que nos interesa, la responsabilidad proactiva, artículo 5.2 del RGPD, la valoración de los riegos y la implementación de las medidas de seguridad adecuadas. Obligaciones que aún son más relevantes cuando el riesgo resulta especialmente sensible. Tales obligaciones no decaen por encontrarnos ante un responsable del tratamiento que sea un medio de comunicación. Considerando que la difusión de la imagen de la parte reclamante y su nombre, que la convierte en identificable pudiendo ser reconocida por terceros, se realiza a través de un medio de comunicación, existe un riesgo muy alto y es muy probable que pueda sufrir daños en sus derechos y libertades. Ello, cuando no es un tratamiento proporcional ni necesario en relación con las finalidades de información perseguidas. VIII Tratamiento de datos excesivos. Tipificación de la infracción De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que la parte reclamada ha tratado datos que eran excesivos al no ser necesarios para la finalidad para la que se trataban. Los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte reclamada, del artículo 5.1.
  8. c)del RGPD, con el alcance expresado en los Fundamentos de Derecho anteriores, lo que, de confirmarse, podría suponer la comisión de la infracción tipificada en el artículo 83.5, apartado
  9. a)del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  10. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9”. A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica: Artículo 72. Infracciones consideradas muy graves. “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  11. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”. IX Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  12. a)a
  13. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  14. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  15. b)la intencionalidad o negligencia en la infracción;
  16. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  17. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  18. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  19. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  20. g)las categorías de los datos de carácter personal afectados por la infracción;
  21. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  22. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  23. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  24. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Respecto al apartado
  25. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  26. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  27. a)El carácter continuado de la infracción.
  28. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  29. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  30. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  31. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  32. f)La afectación a los derechos de los menores.
  33. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  34. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En este caso, considerando la gravedad de la infracción constatada, atendiendo especialmente a las consecuencias que su comisión provoca en la parte reclamante, procede la imposición de multa, además de la adopción de medidas, en su caso. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Así, se considera, con carácter previo, la condición de microempresa y el volumen de negocio de la parte reclamada (426.381 euros en el año 2021). De acuerdo con los preceptos indicados, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de las sanciones a imponer en el presente caso, se considera que procede graduar las sanciones de acuerdo con los siguientes criterios que establecen los preceptos transcritos: En una valoración inicial, se estiman concurrentes los criterios de graduación siguientes: - Artículo 83.2.
  35. a)del RGPD: Naturaleza, gravedad y duración de la infracción: La Agencia considera que la naturaleza de la infracción es muy grave puesto que acarrea una pérdida de disposición y control sobre los datos personales a la persona al ser difundidos a través de internet sin restricciones. - Artículo 83.2.
  36. b)del RGPD. Intencionalidad o negligencia en la infracción: Si bien la Agencia considera que no hubo intencionalidad por parte del medio de comunicación, la Agencia concluye que fue negligente al no asegurar un procedimiento que garantizase la protección de los datos personales en unas circunstancias tan sensibles. - Artículo 83.2.
  37. g)del RGPD. Categorías de datos personales afectados por la infracción: si bien no se han visto afectadas “Categorías especiales de datos personales”, según define el RGPD en el artículo 9, los datos personales a los que se refieren las actuaciones (imagen de la parte reclamante) tiene una naturaleza especialmente sensible, por cuanto permite la pronta identificación de la persona y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 aumenta los riesgos sobre su privacidad. Considerando los factores expuestos, la valoración inicial que alcanza la multa por la infracción del artículo 5.1.
  38. c)del RGPD es de 10.000 euros (diez mil euros), sin perjuicio de lo que resulte de la instrucción del procedimiento. X Adopción de medidas De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  39. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. XI Medida provisional El artículo 69.1 y 2 de la LOPDGDD, señala lo siguiente: “Artículo 69. Medidas provisionales y de garantía de los derechos. 1. Durante la realización de las actuaciones previas de investigación o iniciado un procedimiento para el ejercicio de la potestad sancionadora, la Agencia Española de Protección de Datos podrá acordar motivadamente las medidas provisionales necesarias y proporcionadas para salvaguardar el derecho fundamental a la protección de datos y, en especial, las previstas en el artículo 66.1 del Reglamento (UE) 2016/679, el bloqueo cautelar de los datos y la obligación inmediata de atender el derecho solicitado. 2. En los casos en que la Agencia Española de Protección de Datos considere que la continuación del tratamiento de los datos personales, su comunicación o transferencia internacional comportara un menoscabo grave del derecho a la protección de datos personales, podrá ordenar a los responsables o encargados de los tratamientos el bloqueo de los datos y la cesación de su tratamiento y, en caso de incumplirse por estos dichos mandatos, proceder a su inmovilización”. Por otra parte, el artículo 56 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en cuanto resulte de aplicación, señala lo siguiente: “1. Iniciado el procedimiento, el órgano administrativo competente para resolver, podrá adoptar, de oficio o a instancia de parte y de forma motivada, las medidas provisionales que estime oportunas para asegurar la eficacia de la resolución que pudiera recaer, si existiesen elementos de juicio suficientes para ello, de acuerdo con los principios de proporcionalidad, efectividad y menor onerosidad. 2. Antes de la iniciación del procedimiento administrativo, el órgano competente para iniciar o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 instruir el procedimiento, de oficio o a instancia de parte, en los casos de urgencia inaplazable y para la protección provisional de los intereses implicados, podrá adoptar de forma motivada las medidas provisionales que resulten necesarias y proporcionadas. Las medidas provisionales deberán ser confirmadas, modificadas o levantadas en el acuerdo de iniciación del procedimiento, que deberá efectuarse dentro de los quince días siguientes a su adopción, el cual podrá ser objeto del recurso que proceda. En todo caso, dichas medidas quedarán sin efecto si no se inicia el procedimiento en dicho plazo o cuando el acuerdo de iniciación no contenga un pronunciamiento expreso acerca de las mismas. 3. De acuerdo con lo previsto en los dos apartados anteriores, podrán acordarse las siguientes medidas provisionales, en los términos previstos en la Ley 1/2000, de 7 de enero, de Enjuiciamiento Civil: (…)
  40. i)Aquellas otras medidas que, para la protección de los derechos de los interesados, prevean expresamente las leyes, o que se estimen necesarias para asegurar la efectividad de la resolución. 4. No se podrán adoptar medidas provisionales que puedan causar perjuicio de difícil o imposible reparación a los interesados o que impliquen violación de derechos amparados por las leyes. 5. Las medidas provisionales podrán ser alzadas o modificadas durante la tramitación del procedimiento, de oficio o a instancia de parte, en virtud de circunstancias sobrevenidas o que no pudieron ser tenidas en cuenta en el momento de su adopción. En todo caso, se extinguirán cuando surta efectos la resolución administrativa que ponga fin al procedimiento correspondiente”. En el presente caso, en el marco de las actuaciones previas de investigación reseñadas en el Antecedente Cuarto, se acordó requerir a la parte reclamada para que, como medida cautelar, procediera a retirar de su web “lavozdeasturias.es” el contenido al que se refiere la reclamación. Los hechos analizados suponen un alto riesgo para las garantías y libertades de los afectados, de tal modo que la continuación del tratamiento comporta un menoscabo muy grave e irreparable para los derechos de los ciudadanos afectados. Por tanto, la suspensión del tratamiento es la única medida susceptible de ser adoptada para salvaguardar el Derecho Fundamental a la Protección de Datos, resultando ser, además, la menos lesiva, onerosa y proporcional para la parte reclamada. Desde estas premisas y a fin de reestablecer y garantizar los derechos y libertades de los afectados, se estima procedente confirmar la medida provisional acordada durante la fase previa de investigación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a EDICIONES PERIÓDICAS DEL NOROESTE, S.L., con NIF B52512464, por la presunta infracción del artículo 5.1.
  41. c)del RGPD, tipificada en el artículo 83.5.
  42. a)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18 SEGUNDO: CONFIRMAR la medida provisional acordada en fecha 09/09/2022, durante las actuaciones previas de investigación, y ordenar a EDICIONES PERIÓDICAS DEL NOROESTE, S.L., de acuerdo con lo dispuesto en el art. 69 de la LOPDGDD y art. 56 de la LPACAP, que se abstenga de divulgar los datos personales de la parte reclamante a los que se refieren las presentes actuaciones. La medida provisional deberá mantenerse hasta la resolución final del procedimiento, en que deberá ser confirmada, modificada o levantada, sin perjuicio de lo dispuesto en el art. 56.5 de la LPACAP. TERCERO: NOMBRAR como instructor a R.R.R. y, como secretario, a S.S.S., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). CUARTO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. QUINTO: QUE a los efectos previstos en el art. 64.2
  43. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de 10.000 euros (diez mil euros), sin perjuicio de lo que resulte de la instrucción. SEXTO: NOTIFICAR el presente acuerdo a EDICIONES PERIÓDICAS DEL NOROESTE, S.L., con NIF B52512464, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de expediente que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  44. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000 euros (ocho mil euros), resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000 euros (ocho mil euros) y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 6.000 euros (seis mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18 En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (8.000 euros o 6.000 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-290523 Mar España Martí Directora de la Agencia Española de Protección de Datos>>. SEGUNDO: En fecha 3 de agosto de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 6000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. Mediante escrito de la misma fecha, la parte reclamada ha comunicado a esta Agencia dicho reconocimiento de la responsabilidad y aportado el correspondiente justificante de pago de la sanción, manifestando su desistimiento o renuncia a cualquier acción o recurso. Asimismo, ha manifestado que no fue su intención afectar a la parte reclamante y que tomó la decisión de publicar la información al considerar que no implicaba a menores y en la creencia de que se había publicado con la anuencia de la parte reclamante, desconociendo la editora el propósito real (al que alude la parte reclamante) con el que habrían sido realizados los vídeos. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  45. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el Acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Adopción de medidas Confirmada la infracción, procede imponer a la parte reclamada la obligación de adoptar medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  46. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En el texto del acuerdo de inicio de procedimiento sancionador transcrito se establece cuál ha sido la infracción cometida y los hechos que dan lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y el enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, procede requerir a la parte reclamada para que, en el plazo que se determina en la parte dispositiva, cese en el tratamiento de datos personales de la parte reclamante, absteniéndose de divulgar los datos personales a los que se refiere las presentes actuaciones, lo que conlleva la retirada definitiva de su web “lavozdeasturias.com” del contenido al que se refiere la reclamación o bien, en caso de que dicho contenido vuelva a ser publicado en dicha web u otro canal, la aplicación sobre el vídeo y/o fotografías en cuestión de los procedimientos que el estado de la tecnología permite para que la parte reclamante no pueda ser identificada ni resulte identificable y se evite la re-subida o re-carga de copias o réplicas exactas por otros usuarios, excluyendo, además, la indicación del nombre de la parte reclamante. El vídeo y/o fotografías deberán conservarse como evidencias que puedan ser precisas en el curso de una posible investigación policial o administrativa o del proceso judicial que pudiera instruirse. Debe recordarse que en el marco de las actuaciones previas de investigación desarrolladas por esta Agencia se acordó requerir a la parte reclamada, como medida cautelar posteriormente confirmada en el acuerdo de apertura del presente procedimiento, para que cesara en la conducta descrita. Por tanto, la medida que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 impone equivale a elevar a definitiva la medida cautelar impuesta. Finalmente, se advierte que no atender a los requerimientos de este organismo puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202309207, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: ELEVAR A DEFINITIVA LA MEDIDA PROVISIONAL acordada en fecha 12 de septiembre de 2022, durante las actuaciones previas de investigación, y confirmada en el acuerdo de apertura del presente procedimiento sancionador. En consecuencia, se requiere a EDICIONES PERIÓDICAS DEL NOROESTE, S.L., con NIF B52512464, para que, en el plazo que un mes a contar desde la notificación del presente acto, adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en el Fundamento de Derecho III, y justifique en el mismo plazo ante esta Agencia Española de Protección de Datos la atención del presente requerimiento. TERCERO: NOTIFICAR la presente resolución a EDICIONES PERIÓDICAS DEL NOROESTE, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  47. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1259-121222 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.