1/8 Procedimiento Nº: PS/00335/2019 938-051119 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: AYUNTAMIENTO DE ***LOCALIDAD.1 - POLICIA LOCAL (*en adelante, el reclamante) con fecha 9 de julio de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos, motivada por el tratamiento de datos realizado a través de cámaras de un sistema de videovigilancia cuyo titular es identificado como A.A.A. con NIF ***NIF.1 (*en adelante el reclamado) instaladas en Móvil reclamado. Los motivos en que basa la reclamación son “captación de fotografías de mujeres en la zona de la playa cercana al rio ***RÍO.1” con fines de carácter sexual. Junto a la reclamación aporta prueba documental (Anexo I) que acredita la captación de las imágenes de bañistas sin su consentimiento, tal y como están en el disco duro del dispositivo móvil. Los fotogramas aportados permiten identificar a las bañistas, todas ellas adolescentes, que están disfrutando de un día de playa, todas ellas en bañador y desde diversos ángulos sin que en ningún momento sean conocedoras de estar siendo fotografiadas/grabadas por un tercero ajeno a las mismas. Fotografía nº1. Chica paseando por la playa paseando, toma frontal nítida. Fotografía nº2. Chica de espaldas paseando por la playa. Fotografía nº3. Chica sentada en poyete mirando su móvil. Fotografía nº4. Chica corriendo en bañador por la zona de playa. Fotografía nº5. Chica en actitud de ocio sentada. SEGUNDO: A la vista de los hechos denunciados, de conformidad con las evidencias de que se dispone, la Inspección de Datos de esta Agencia Española de Protección de Datos considera que el tratamiento de los datos personales que se realiza por el denunciado a través de las cámaras a las que se refiere la denuncia, no cumple las condiciones que impone la normativa sobre protección de datos, por lo que procede la apertura del presente procedimiento sancionador. TERCERO: Con fecha 4 de octubre de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1.
- a)del RGPD, tipificada en el Artículo 83.5 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 CUARTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones en el que, en síntesis, manifestaba que las personas fotografiadas eran sus “primas” que las Fuerzas y Cuerpos de Seguridad del Estado no le dejaron explicarse en modo alguno. QUINTO: Con fecha 28/11/19 el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/08045/2019. En concreto se le solicitó la aportación de pruebas fehacientes que acreditaran la relación de parentesco que esgrimía en su escrito de defensa, dejando libertad al mismo para acreditar tal extremo. SEXTO: Se acompaña como anexo relación de documentos obrantes en el procedimiento, recordando al denunciado que en caso de requerirlo tiene pleno acceso al expediente administrativo. SÉPTIMO: En fecha 07/01/19 se emite propuesta de resolución, en dónde se dan por probados los hechos trasladados a este organismo, al quedar acreditado el “tratamiento de datos” de terceros sin el consentimiento informado a sus titulares, fuera de los casos permitidos por las Leyes, proponiendo una sanción de 4000€ por la infracción del contenido del art. 6.1 RGPD. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II En el presente caso, se procede a examinar la reclamación de fecha 09/07/2019 trasladada por el Ayuntamiento de Valladolid (Policía Local) por medio de la cual se pone en conocimiento de esta Agencia la “captación de fotografías de bañistas” sin su consentimiento con una finalidad de carácter sexual. El artículo 6.1 RGPD dispone lo siguiente: “El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones.
- a)El interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 Las imágenes (dato personal) son obtenidas por el denunciado de manera subrepticia, esto es, sin contar con el consentimiento de las afectadas, que eran ajenas en todo momento a la grabación de su imagen. El artículo 18 CE dispone “Se garantiza el derecho al honor, a la intimidad personal y familiar y a la propia imagen”. El Tribunal Constitucional (STC 292/2000, 30 de noviembre) BOE núm. 4, de 04 de enero de 2001) ha declarado que el art. 18.4 CE contiene, en los términos de la STC 254/1993, un instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los restantes derechos de los ciudadanos que, además, es en sí mismo "un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos, lo que la Constitución llama 'la informática'", lo que se ha dado en llamar "libertad informática" (FJ 6, reiterado luego en las SSTC 143/1994, FJ 7, 11/1998, FJ 4, 94/1998, FJ 6, 202/1999, FJ 2). “Este derecho fundamental a la protección de datos, a diferencia del derecho a la intimidad del art. 18.1 CE, con quien comparte el objetivo de ofrecer una eficaz protección constitucional de la vida privada personal y familiar, atribuye a su titular un haz de facultades que consiste en su mayor parte en el poder jurídico de imponer a terceros la realización u omisión de determinados comportamientos cuya concreta regulación debe establecer la Ley, aquella que conforme al art. 18.4 CE debe limitar el uso de la informática, bien desarrollando el derecho fundamental a la protección de datos (art. 81.1 CE), bien regulando su ejercicio (art. 53.1 CE). La peculiaridad de este derecho fundamental a la protección de datos respecto de aquel derecho fundamental tan afín como es el de la intimidad radica, pues, en su distinta función, lo que apareja, por consiguiente, que también su objeto y contenido difieran” (*el subrayado pertenece a esta AEPD). Como ha manifestado el Tribunal Supremo el derecho a la propia imagen es un derecho de la personalidad, reconocido como derecho fundamental en el art. 18.1 de la Constitución y como derecho fundamental autónomo por el Tribunal Constitucional, y que, en su faceta negativa o excluyente, otorga la facultad de impedir la obtención, reproducción o publicación de su propia imagen por un tercero sin el consentimiento expreso del titular. Es este sentido La Sentencia del Tribunal Supremo de 28 de mayo de 2007 reconoce que: “La protección del derecho a la imagen ex art. 7.5 de la LO 1/1982 se extiende a los supuestos en que se capte la fotografía en una playa o en otro lugar público, sin consentimiento de la persona fotografiada”. El hecho de que las imágenes se obtengan en un espacio público, no implica la “eliminación” del derecho subjetivo y la renuncia a la libertad en espacios de ocio, así como de las actividades que en estos espacios se realizan acordes a la naturaleza de los mismos (vgr. tomar el sol, bañarse, pasear o incluso hacer top-less, etc). No es inhabitual en los tiempos actuales, en los que prácticamente todos los ciudadanos disponen de dispositivos móviles, que se obtengan imágenes de espacios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 públicos, que posteriormente son difundidas bien en redes sociales o son transmitidas entre particulares a través de sistemas de mensajería (vgr. whatsapp). En el presente caso, las fotografías obtenidas no son fruto de la casualidad, sino que existe una conducta activa del denunciado en seguir a sus potenciales víctimas de manera furtiva, para sin su consentimiento obtener imágenes de las mismas mientras realizan actividades acordes a la naturaleza de este tipo de espacios (vgr. pasear, tomar el sol, ducharse, etc). La facilidad a la hora de obtener una fotografía con este tipo de dispositivos no admite discusión, habiendo supuesto en la práctica, que cualquiera puede convertirse en un “reportero” gráfico de hechos y noticias en tiempo real. Lo anterior, sin embargo, no puede suponer una eliminación a efectos prácticos del derecho a la imagen, de manera que podamos ser grabados por cualquiera sin nuestro consentimiento en espacios públicos a los que acudimos por motivos de ocio, descanso, disfrute, esparcimiento, etc. En la mayoría de los casos las víctimas de estos ataques a la intimidad son mujeres o adolescentes, que se ven afectadas en el núcleo de su intimidad, coartando su libertad, al ser objeto de fotografías en bañador, bikini, etc con una finalidad lasciva en unos casos o de mofa, crítica injustificada, broma etc en otros. Por tanto, es necesario reforzar la protección del tratamiento de la imagen como dato personal, para luchar contra los peligros derivados de un uso invasivo de las nuevas tecnologías, las cuales entre otras cosas facilitan la toma de imágenes sin que la persona afectada pueda percatarse de ello, así como su difusión a amplios segmentos del público. III El artículo 6.1 del RGPD (Licitud del tratamiento) establece los supuestos concretos bajo los cuales se considera lícito el tratamiento de los datos personales de los interesados. En este caso, de la documentación obrante en el procedimiento, se extrae que el denunciado ha utilizado su dispositivo móvil, para obtener imágenes nítidas de bañistas adolescentes en una zona pública, sin contar con el “consentimiento” expreso de las mismas con una finalidad a priori lasciva. Las imágenes obtenidas no son casuales, pues las pruebas documentales aportadas por la fuerza actuante (Anexo I) permiten constatar un seguimiento de las afectadas, existiendo una clara intencionalidad de obtener imágenes de las mismas, para posteriormente disfrutar de estas, sin causa o motivo aparente alguno. El artículo 77 apartado 5º de la Ley 39/2015 (1 octubre) dispone lo siguiente: “Los documentos formalizados por los funcionarios a los que se reconoce la condición de autoridad y en los que, observándose los requisitos legales correspondientes se recojan los hechos constatados por aquéllos harán prueba de éstos salvo que se acredite lo contrario”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 Lo anterior supone una conducta de “tratamiento” sin consentimiento de los titulares de los datos, que se ven afectadas en su derecho a la imagen, el cual se ve afectado por este tipo de conductas, que son realizadas de manera furtiva, sin que las mismas sepan que están siendo grabadas por un tercero ajeno a las mismas. A mayor abundamiento, las imágenes son guardadas en la memoria del dispositivo móvil, lo que en su caso permitiría la difusión no consentida de las mismas en redes sociales, dificultando la protección del derecho afectado que podría ser objeto de divulgación a mayor escala, agravando la antijuridicidad del hecho. IV El Tribunal Supremo (Sentencias de 16 y 22 de abril de 1991) considera que del elemento de la culpabilidad se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El Tribunal Supremo (Sentencias de 5 de julio de 1998 y 2 de marzo de 1999) viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. Diligencia cuyo grado de exigencia se determinará en atención a las circunstancias concurrentes en cada caso, tales como el especial valor del bien jurídico protegido o la profesionalidad exigible al infractor. En este sentido, la citada Sentencia de 5 de junio de 1998 exige a los profesionales del sector “un deber de conocer especialmente las normas aplicables”. Aplicando la anterior doctrina, la Audiencia Nacional exige a las entidades que operan en el mercado de datos una especial diligencia a la hora de llevar a cabo el uso o tra tamiento de tales datos o la cesión a terceros. Y ello porque siendo el de la protección de datos un derecho fundamental (Sentencia del Tribunal Constitucional 292/2000), los depositarios de estos datos debe ser especialmente diligente y cuidadoso a la hora de operar con ellos y deben optar siempre por la interpretación más favorable a la protección de los bienes jurídicos protegidos por la norma. En este sentido, entre otras, Sentencias de la Audiencia Nacional de fechas 14 de febrero y 20 de septiembre de 2002 y 13 de abril y 18 de mayo de 2005). La mera comisión de una infracción administrativa—tipo objetivo—no es suficiente a la hora de proceder a imponer una sanción administrativa. La culpabilidad como reprochabilidad al sujeto activo de la lesión del bien jurídico protegido, resulta evidente cuando el sujeto realiza voluntariamente la conducta típica dirigida intencionalmente a la obtención del resultado antijurídico, que es procurado y querido Habrá de concurrir, pues, una conducta dolosa o negligente, ya sea negligencia grave o leve o simple, según en grado de desatención. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 V De conformidad con las evidencias obtenidas en el presente procedimiento sancionador, se considera probado que el denunciado ha procedido a grabar en su dispositivo móvil imágenes de bañistas sin su consentimiento de manera furtiva, procediendo a “tratar los datos personales” de estas sin su consentimiento. Los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por vulneración del art. 6.1 RGPD, sin que se den ninguna de las circunstancias reflejadas en el mismo, para “tratar los datos”, menos aún el consentimiento de las afectadas que desconocen la conducta descrita. El artículo 83.5 RGPD dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;(…). A la hora de motivar la sanción se tienen en cuenta los siguientes criterios: -El hecho de obtener imágenes (dato personal) sin contar con el consentimiento de las titulares, afectando con ello a un derecho reconocido constitucionalmente (art. 83.2
- a)RGPD). -la intencionalidad de utilizar las imágenes con fines lascivos, realizando una utilización inapropiada de su dispositivo móvil en dónde guarda las mismas (art. 83.2 b RGPD). - la traslación de los hechos por las Fuerzas y Cuerpos de Seguridad del Estado, al ser requeridos por la ciudadanía que denuncian la presencia de un hombre realizándose “tocamientos sexuales” en zona pública y obtenido imágenes de terceros sin su consentimiento (art. 83.2h) RGPD). Por todo ello se impone una sanción cifrada en la cuantía de 4.000 € (Cuatro Mil Euros) por la infracción del contenido del art. 6.1 RGPD, al “tratar datos de terceros” mediante la obtención de fotografías, sin contar con el consentimiento de los mismos (as), con una clara intencionalidad alejada de los usos normales. Por el denunciado no se ha ofrecido explicación coherente alguna, y menos aún aportado pruebas objetivas que corroboren lo manifestado en su escrito de alegaciones. Por consiguiente, han de ser rechazadas las alegaciones del denunciado, al quedar constatada la concurrencia de tipicidad y culpabilidad en su conducta infractora. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a Don A.A.A., con NIF ***NIF.1, por una infracción del artículo 6.1.
- a)del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 4.000 € (Cuatro Mil Euros), al haber tratado datos de terceros sin su consentimiento, infracción tipificada en el artículo 83.5
- a)RGPD, siendo sancionable de conformidad con el art. 58.2 RGPD. SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es