1/32 Expediente N.º: EXP202309208 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha ***FECHA.2 interpuso dos reclamaciones ante la Agencia Española de Protección de Datos dirigidas contra los usuarios de la red social “Twitter” que se mencionan en las URL indicadas a dichas reclamaciones. Los motivos en que basa la reclamación son los siguientes: “Publicación de un vídeo privado en el que aparezco sin mi consentimiento. El vídeo se ha hecho viral y yo no he dado permiso ni al montaje del vídeo ni a su distribución. Eran tomas independientes para un fin laboral, no para su publicación en redes sociales sin mi consentimiento ya que ni siquiera he sido yo quien ha distribuido el vídeo. Hecho denunciado en Twitter y respuesta recibida sin que se hayan tomado medidas”. En la primera de las reclamaciones recibidas, se señala que el vídeo fue publicado en la red social “Twitter” en fecha ***FECHA.1 por parte del usuario “***USUARIO.1”. El vídeo consiste en un montaje de tomas sucesivas (…). Mediante la segunda reclamación, la parte reclamante “añade” documentación a la reclamación anterior. Según la parte reclamante, “se trata de más vídeos y montajes fotográficos tipo el publicado por la parte reclamada en dicho expdte (***USUARIO.1). En este caso otros usuarios de la red social Twitter han usado el mismo vídeo o imágenes de ese vídeo sin mi consentimiento. La descripción de los hechos es la misma que la enviada en anteriores reclamaciones”. En la reclamación se detallan las URL que conducen a las publicaciones denunciadas (22 vídeos y 2 imágenes). Junto a las reclamaciones se aporta, entre otra documentación, la siguiente: . Captura de pantalla correspondiente al perfil del usuario de “Twitter” “***USUARIO.1”, “***USUARIO.1”. Consta la fecha “***FECHA.1.”, el texto “(...)” y una imagen del video en cuestión que corresponde a una foto de la parte reclamante. Consta que el vídeo tiene una duración de 38 segundos y que ha tenido “1,7 M reproducciones”. . Capturas de pantalla correspondientes a los perfiles de usuarios de “Twitter” que divulgaron el vídeo o las imágenes. En la mayoría de ellos constan las fechas (…); textos como “(…)”; etc.; y una imagen del video en cuestión que corresponde a una foto de la parte reclamante. Consta la duración del vídeo (38 segundos) y el número de reproducciones en cada caso (desde 30 hasta 443,8 mil reproducciones). SEGUNDO: Con fecha ***FECHA.2, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la primera de las reclamaciones reseñadas en el Antecedente Primero. El Acuerdo de Admisión fue notificado a la parte reclamante en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/32 la misma fecha. TERCERO: Con fecha 06/09/2022, tuvieron entrada en la Agencia dos nuevas reclamaciones de la parte reclamante. Las reclamaciones se dirigen contra nuevos usuarios de “Twitter”, “Instagram” y “Youtube” que también divulgaron el vídeo en cuestión con comentarios similares a los reseñados anteriormente, los cuales se añaden a los incluidos en las reclamaciones anteriores, así como contra los responsables de las páginas web que se indican, en las que se insertó igualmente el vídeo en cuestión. Entre estos últimos, figura la entidad EL LEÓN DE EL ESPAÑOL PUBLICACIONES, S.A., con NIF A87115226 (en adelante, la parte reclamada o EL ESPAÑOL), responsable de la web “elespanol.com”. Respecto de la parte reclamada, por la Subdirección General de Inspección de Datos se accedió al contenido al que conducía la URL objeto de la reclamación, comprobando que se trataba de una información publicada el ***FECHA.2 en la web “elespanol.com”. Incluye una imagen de la parte reclamante capturada del vídeo al que se refieren las actuaciones y el texto que consta reproducido en el Hecho Probado Segundo. Dentro del propio artículo se inserta un enlace a la publicación del vídeo en “Twitter”, en el perfil correspondiente al usuario “***USUARIO.1”, con el texto “(...)”, las indicaciones “(…)”, y un botón para compartir el contenido. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. En el marco de dichas actuaciones previas de investigación, con fecha 09/09/2022, la AEPD dictó “Acuerdo de adopción de medida provisional” mediante el que se ordenó a EL ESPAÑOL la retirada del contenido objeto de la reclamación insertado en la web “elespanol.com”, accesible a través de la URL “***URL.1”. En este acuerdo, que fue notificado a EL ESPAÑOL en fecha 12/09/2022, se dispuso expresamente lo siguiente: “1. Requerir a EL LEÓN DE EL ESPAÑOL PUBLICACIONES S.A. para que, en el plazo máximo de 5 días naturales, proceda a retirar los contenidos antes señalados relativas al reclamante de las direcciones web desde las que sean accesibles, evitando en la medida en que el estado de la tecnología lo permita, la re-subida o re-carga de copias o réplicas exactas por el mismo u otros usuarios. 2. Requerir a EL LEÓN DE EL ESPAÑOL PUBLICACIONES S.A. para que la retirada o modificación de los contenidos se efectúe de tal modo que imposibilite su acceso y disposición del original por terceros, pero garantice su conservación, a efectos de custodiar las evidencias que puedan ser precisas en el curso de la investigación policial o administrativa o del proceso judicial que pudieren instruirse. 3. Requerir a EL LEÓN DE EL ESPAÑOL PUBLICACIONES S.A. para que, en el plazo máximo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/32 de 5 días naturales, informe a esta Agencia Española de Protección de Datos acerca de la ejecución de la medida”. En el Informe de Actuaciones Previas de investigación, los Servicios de Inspección de la AEPD destacan que el vídeo en cuestión se viralizó tras su publicación el pasado ***FECHA.1 en Twitter por parte del usuario “***USUARIO.1” y que, debido a esa amplia difusión, se encuentra en decenas de sitios y se podía localizar fácilmente con etiquetas como "(...)" o "(...)". Según indican los Servicios de Inspección, se trata de una réplica de los vídeos que se hicieron virales en las redes sociales desde el año 2021 con el asunto “(…)”, sobre los cuales pueden encontrar decenas de páginas de resultados en el motor de búsqueda “Google” empleando los términos señalados. Por otra parte, se indica en dicho informe que EL ESPAÑOL, mediante escrito de 14/09/2022, comunicó la retirada de la noticia, impidiendo su acceso tanto de manera externa como a través del buscador interno del periódico. En este escrito, EL ESPAÑOL añade lo siguiente: “A los efectos anteriormente señalados, cabe aclarar que la desindexación consiste en el proceso de eliminación del resultado objeto de los motores de búsqueda. En ningún caso EL ESPAÑOL tenía esta asociación en su motor de búsqueda interno. El nombre del vídeo es el empleado por otras redes, nombre por el que, se ha hecho viral en Internet y cuya relevancia motivó la publicación de la noticia por EL ESPAÑOL”. “Expuesto todo lo indicado, EL ESPAÑOL ha valorado y hecho prevalecer el derecho del interesado. En aras de evitar cualquier perjuicio irreparable para el reclamante, ha procedido a adoptar las medidas oportunas para evitar contribuir a la difusión del referido vídeo. EL ESPAÑOL, tal y como aconseja y solicita la AEPD, garantizará la conservación de la información a efectos de custodiar las evidencias que puedan ser precisas en el curso de la investigación policial o administrativa o del proceso judicial que pudieren instruirse”. El mismo día 14/09/2022, los Servicios de Inspección de la AEPD comprobaron que, a dicha fecha, había sido eliminado el contenido al que conducía la URL “***URL.1”. QUINTO: Con fecha 11/07/2023, por la Subdirección General de Inspección de Datos se accede a la información relativa a la parte reclamada en “Axesor” (“Informe monitoriza”). (…) SEXTO: Con fecha 25/07/2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a EL ESPAÑOL, por la presunta infracción del artículo 5.1.
- c)del RGPD, tipificada en el artículo 83.5.
- a)del RGPD y calificada como muy grave a efectos de prescripción en el artículo 72.1.
- a)de la LOPDGDD. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, sin perjuicio de lo que resulte de la instrucción, sería de 10.000 euros (diez mil euros) por la infracción indicada. Asimismo, se advertía que dicha infracción, de confirmarse, podrá conllevar la imposición de medidas, según el artículo 58.2
- d)del RGPD. Por otra parte, en dicho acuerdo se confirmó la medida provisional adoptada en fecha 09/09/2022, durante las actuaciones previas de investigación, ordenándose a EL C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/32 ESPAÑOL, de acuerdo con lo dispuesto en el art. 69 de la LOPDGDD y art. 56 de la LPACAP, que se abstuviese de seguir divulgando los datos personales de la parte reclamante a los que se refieren las presentes actuaciones. Se advertía, asimismo, que esta medida provisional deberá mantenerse hasta la resolución final del procedimiento, en que deberá ser confirmada, modificada o levantada, sin perjuicio de lo dispuesto en el art. 56.5 de la LPACAP. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, EL ESPAÑOL presentó escrito de alegaciones en el que solicita el archivo de las actuaciones en base a las consideraciones siguientes: 1. La divulgación del vídeo al que se refiere el procedimiento fue llevada a cabo en momentos previos al lanzamiento (…). De tal extremo se hicieron eco diversos medios de comunicación, tal como es el ***DIARIO.1”, resaltando en el texto informativo el nombre de “(...)”. Puede accederse a la referenciada noticia a través del siguiente enlace: “***URL.2”. En alguna de estas noticias publicadas se utiliza el video objeto de la controversia para ilustrar la noticia del lanzamiento (con las alegaciones se adjunta la información disponible en las webs “***URL.2” y “***URL.3”, que incluyen la noticia antes reseñada y lo que parece ser el vídeo objeto de la reclamación obtenido de la red social Tik Tok. Según consta en dichos enlaces, la información fue divulgada en fechas (…)). Además, utilizando motores de búsqueda se constata que, tras la viralización del video (…) con el sobrenombre casual de “(...)”, los usuarios seguidores de la red lo asociaron (…), logrando así el propósito aparente deseado con la divulgación del vídeo (la parte reclamada incorpora la información disponible en tres post de usuarios de Twitter que se hacen eco de la noticia publicada por “***DIARIO.2”, dos de los cuales incluyen el video en cuestión; y la disponible en el perfil de dicho diario en Facebook). Tanto es así, que la misma parte reclamante expresa en su reclamación que las tomas se crearon "para un fin laboral". 2. EL ESPAÑOL destaca que publicó el video debido a que se había vuelto tendencia en las diferentes plataformas sociales, especialmente en Twitter, recibiendo millones de visitas, siendo ampliamente comentado y compartido por miles de usuarios, convirtiéndose así en un tema de interés público y periodístico; así como por su dimensión social, ya que la parte reclamante participaba en un "challenge" (…), lo que supone un reto viral que se populariza en las redes sociales con la intención de que los usuarios muestren su experiencia personal. 3. La única intención detrás de la publicación fue informar a los lectores sobre un fenómeno relevante en las redes sociales y su impacto en la sociedad actual y ello desconociendo la verdadera finalidad comercial que aparentemente perseguía dicho “challenge”, conocida meses después. De ningún modo pretendió ser participe en la difusión del video objeto, ni comprometer C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/32 la intimidad ni la dignidad de la parte reclamante, sino hacer eco de la viralidad y el carácter humorístico que el "challenge" estaba generando en la comunidad virtual, reconocido por esta misma Agencia en su escrito, y por el interés público informativo de la noticia. El enfoque del artículo se centró en analizar la popularidad y las implicaciones sociales de esta tendencia en las redes, en lugar de ahondar en la vida privada o personal del reclamante. En ningún momento se realizó ningún tipo de juicio de valor ni se desvió la atención hacia aspectos personales sensibles. La labor del medio de comunicación es brindar a los lectores información actual y relevante y, en este caso, formaba parte de dicho objetivo capturar el fenómeno viral en línea, en tanto que fenómeno cultural relevante y habida cuenta del interés generalizado en dicha publicación. De hecho, la cobertura mediática de este fenómeno no fue exclusiva de EL ESPAÑOL, sino que numerosos medios de comunicación también se hicieron eco de la misma tendencia, lo que refuerza la noción de que nuestra actuación no fue aislada, sino parte de un esfuerzo colectivo por analizar y comprender esta tendencia en línea. 4. La medida provisional adoptada por la AEPD y dirigida a EL ESPAÑOL en fecha 09/09/2022 fue cumplida de manera inmediata eliminando el video y todo el contenido de la publicación asociada e imposibilitando su acceso, tal como queda probado. Esta acción fue llevada a cabo en un contexto de urgencia y con el objetivo primordial de preservar y hacer prevalecer el honor, la intimidad y la imagen de la parte reclamante, lo que demuestra la proactividad y buena fe en abordar la situación y en colaborar plenamente en la atención de este asunto. 5. En referencia al derecho a la libertad de información y los límites que lo circundan, es crucial destacar que la pérdida de disposición y control de los datos personales del interesado tuvo lugar con anterioridad a la publicación realizada y no a consecuencia de la misma, tal como se apunta en el acuerdo de inicio de procedimiento sancionador al establecer y graduar la sanción propuesta. Esta situación reviste importancia en el análisis de la presente controversia, debido a que se perfila como un elemento esencial para comprender la secuencia de eventos y determinar la responsabilidad de las partes involucradas en la divulgación de los datos en cuestión. Por otro lado, cabe destacar que la jurisprudencia citada por esta Agencia para respaldar un tratamiento de datos que pueda considerarse excesivo se ha centrado en reproducciones de imagen en contextos penales, en las cuales los tribunales han sostenido que las imágenes en cuestión carecen de relevancia para la información a transmitir. No obstante, en el presente supuesto, el video en cuestión y, por extensión, la imagen del interesado, son elementos centrales del hecho noticiable. Por tanto, la relevancia de la imagen del interesado es innegable en el contexto de la información que se busca difundir, sin que ello implique una extralimitación en el ejercicio del derecho a la libertad de información. 6. En ningún momento se incluyeron en el contenido publicado los datos identificativos del interesado junto a la imagen y vídeo del mismo, sino que únicamente se hizo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/32 alusión a un sobrenombre “(...)”, el cual expone el mismo interesado en su video, y el cual era manifiestamente público, habida cuenta de los millones de internautas que habían visualizado y compartido el video objeto. Consiguientemente y en concordancia con el principio fundamental de minimización de datos personales, EL ESPAÑOL destaca que no se utilizaron medios técnicos para impedir el reconocimiento de la imagen, debido a que el video en cuestión no fue originalmente subido ni alojado por esa parte, sino que se empleó la técnica de trasclusión, la cual se refiere a la inclusión de un video o documento de otro sitio web mediante la inserción del código correspondiente en la página web de EL ESPAÑOL. Mediante la técnica de trasclusión utilizada el contenido no se está transfiriendo a un público nuevo ni se divulga a través de una técnica específica diferente de la comunicación original, tal como interpretó el Tribunal de Justicia de la Unión Europea ha sostenido, en casos como el de Svensson. 7. A fecha de presentación del escrito de alegaciones, el referido vídeo sigue siendo visible en numerosos enlaces no controlados por EL ESPAÑOL, accesibles a través de una simple búsqueda en el motor Google introduciendo las palabras “ (...)”, arrojándose aproximadamente 28.000 resultados (aporta copia de los primeros resultados de esta búsqueda, que incluye enlaces a Youtube, Tik Tok, Twitter y otros, todos ellos relativos al vídeo objeto de la reclamación; las fechas que aparecen en dichos enlaces (…)). Asimismo, las redes sociales acumulan millones de visitas. Solo en TikTok, red social donde el vídeo en cuestión también ha sido ampliamente compartido, se acumulan 32 millones y medio de visualizaciones. Añade que este extremo puede observarse visitando el enlace: “(…)”. En un entorno digital caracterizado por la rápida propagación de contenidos, la influencia en la viralización de un video o cualquier otro contenido es un resultado conjunto de las acciones y reacciones de los usuarios en línea, lo que hace que la atribución como responsable a EL ESPAÑOL resulte inapropiada. La viralidad del video en cuestión no puede ser atribuida de manera directa ni exclusiva a EL ESPAÑOL. Se comprueba la información disponible en los sitios web indicados por EL ESPAÑOL, accesible a través de los enlaces siguientes: . “(…)”. A través de dicho enlace se accede a una noticia publicada en el diario “(…), en la que se menciona el nombre y primer apellido de las dos personas promotoras, siendo una de ellas la parte reclamante, además de una fotografía en la que se muestra a ambos en las instalaciones de la empresa. Dicha noticia lleva el rótulo “(…)”, y el texto siguiente: “(…)”. OCTAVO: Con fecha 15/04/2024, se formuló propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancione a EL ESPAÑOL, por una infracción del artículo 5.1.
- c)del RGPD, tipificada en el artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/32 83.5.
- a)del mismo Reglamento, y calificada como muy grave a efectos de prescripción en el artículo 72.1.
- a)de la LOPDGDD, con una multa de 10.000 euros (diez mil euros). Asimismo, se propuso que se eleve a definitiva la medida provisional acordada en fecha 09/09/2022, durante las actuaciones previas de investigación, y confirmada en el acuerdo de apertura del presente procedimiento sancionador, y que, en tal caso, se requiera a EL ESPAÑOL, para que, en el plazo que se determine, adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en el Fundamento de Derecho VII de la propuesta de resolución, y justifique ante esta Agencia Española de Protección de Datos la atención del correspondiente requerimiento. La notificación de esta propuesta de resolución fue debidamente entregada a la parte reclamada en fecha 16/04/2024 a través del servicio de Dirección Electrónica Habilitada Única (DEHÚ), concediéndosele plazo para formular alegaciones. NOVENO: Con fecha 30/04/2024, se recibió escrito de alegaciones a la propuesta de resolución en el que EL ESPAÑOL solicita el archivo del procedimiento o la reducción de la cuantía de la sanción. De lo expuesto en este escrito cabe destacar lo siguiente: 1. Tanto el RGPD como la jurisprudencia han establecido de forma pacífica que la normativa de protección de datos se encuentra limitada frente al ejercicio periodístico, dada la posición esencial que adquiere el derecho a la libertad de expresión e información en la formación y desarrollo de la sociedad. A este respecto, cita los Considerandos 4 y 153 y el artículo 85 del RGPD para destacar que, según expresa el propio RGPD, el derecho a la protección de datos personales no es absoluto, que debe conciliarse con las normas que rigen la libertad de expresión e información, incluida la expresión periodística, y la posibilidad de que los Estados miembros establezcan exenciones o excepciones de los dispuesto en el citado Reglamento para el tratamiento de datos con fines periodísticos, si son necesarias para conciliar los derechos mencionados. Y añade que conforme a lo declarado en Sentencia del Tribunal Constitucional 225/2009, de 9 de diciembre, la libertad de información “alcanza su máximo nivel cuando la libertad es ejercitada por los profesionales de la información a través de vehículo institucionalizado de formación de la opinión pública que es la prensa entendida en su máxima acepción”, entendiendo que estos profesionales, “al hallarse sometidos a mayores riesgos en el ejercicio de sus libertades de expresión e información, precisaban -y gozaban de- una protección específica”. En cambio, la AEPD, en su propuesta de resolución da a entender lo contrario, afirmando que las obligaciones de EL ESPAÑOL como responsable del tratamiento se ven ampliadas desde el momento en que su actividad está basada en el ejercicio del periodismo, afirmando que viene especialmente obligada a considerar los riesgos que supone la difusión de imágenes y voz a través de un medio de comunicación; o que debería haberse planteado si la finalidad de la información requería la difusión de la imagen y la voz de la parte reclamante; o la obligación de realizar un análisis de riesgos previo a la publicación de la noticia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/32 Advierte que ese análisis resulta inviable operativamente y supondría un elevado coste económico y humano, aunque señala que sí existe ese mecanismo de revisión previa para aquellas noticias o informaciones que puedan entrar en conflicto con el derecho a la intimidad, honor, propia imagen y protección de datos de los protagonistas de las noticias, cuando los periodistas consideran que pueda existir una posible vulneración de los derechos de los interesados. Para ello, informa que los periodistas reciben formaciones anuales en materia de derechos fundamentales, encontrándose en estos momentos en proceso un curso en materia de protección de datos. Si bien, señala que estos profesionales no pueden tener un amplísimo conocimiento legal a la hora de determinar qué datos son necesarios al ejercer su profesión. Más aún, en un caso como el presente, en el que el vídeo ya había sido viralizado, de modo que los datos del interesado ya habían escapado de su control. Por otro lado, se debe tener en cuenta el riesgo de autocensura derivado de este control previo, catalogado por la propia AEPD en la “Guía de gestión del riesgo y evaluación de impacto en el tratamiento de datos personales”, de junio de 2021, como un factor de riesgo colateral con impacto “Alto”. En definitiva, no se entiende que la AEPD considere necesario el análisis previo de todas las noticias que vayan a ser publicadas por el diario. 2. Los requisitos para la publicación de datos personales por parte de medios de comunicación vienen determinados por la relevancia pública y veracidad, según la propia AEPD consideró en su resolución de archivo de actuaciones número E/03409/2018, en la que se declara la posición preferente de la libertad de información y expresión cuando los hechos comunicados se consideren de relevancia pública y atendiendo a la veracidad de la información. La AEPD ha concluido en este caso que no estamos ante un personaje de relevancia pública, pero no menciona el requisito de veracidad, en tanto que resulta evidente teniendo en cuenta que la noticia está basada en la descripción de un vídeo viral protagonizado por la parte reclamante. En cuanto al requisito de relevancia pública. Se argumenta que la parte reclamante es una persona anónima y se apoya en numerosa jurisprudencia relativa a personas que han sido víctimas de un delito de carácter sexual. Sin embargo, en el presente caso no nos encontramos ante un vídeo que muestre la comisión de un delito y la viralización del vídeo en cuestión hace perder la condición de anónimo, especialmente cuando el propio reclamante reconoce que dicho vídeo tenía un fin laboral, para la promoción de una actividad, y fue difundido por el propio interesado o por su círculo cercano. Así, EL ESPAÑOL considera que la parte reclamante fue objeto de una “relevancia pública sobrevenida” derivada de la viralización del vídeo, algo que aún no se encuentra desarrolla jurisprudencialmente, pero que no puede obviarse. No obstante, añade que sí existen pronunciamientos que pueden servir para la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/32 valoración del caso, como la Sentencia del Tribunal Constitucional 27/2020, de 24 de febrero, en la que se declara que, en caso de utilización de la imagen de un particular anónimo o desconocido, el derecho fundamental a la imagen deberá ceder frente al derecho a la información cuando la participación en el acontecimiento noticiable de la persona inicialmente anónima fuera principal o protagonista. En este caso, a juicio de EL ESPAÑOL, la parte reclamante es el protagonista de una noticia que no se entendería de forma adecuada sin el vídeo y que goza de relevancia pública por el interés del que gozan los hechos. El vídeo no se hizo viral por la publicación de la noticia, sino que fue la viralización del vídeo la que motivó la noticia. Hecho este que fue considerado por la Audiencia Provincial de Salamanca en Sentencia 833/2020, de 10 de diciembre: “Sin pasar por alto, que la difusión de los dos vídeos a los que se refieren las noticias publicadas tuvieron una gran difusión a través de distintos WhatsApp y solo cuando los hechos que se recogen en los mismos habían tenido una repercusión social, es cuando el medio de comunicación sí hace eco de la noticia, sin añadir valoraciones o reelaborar la noticia” . En relación con este aspecto, se debe tener en cuenta también el concepto de actualidad de la noticia, al que se refiere la Sentencia de Tribunal Constitucional 58/2018, de 4 de junio, cuando declara que “el carácter noticiable también puede tener que ver con la «actualidad» de la noticia, es decir con su conexión, más o menos inmediata, con el tiempo presente”. Más aun cuando se trata de contenidos virales, que gozan de una duración en el tiempo muy corta, pero que adquieren un grado de relevancia extremo. Así, si bien es cierto que la parte reclamante no es una persona en el momento de la difusión inicial del vídeo, ya lo era en el momento de publicarse la noticia de EL ESPAÑOL pública. . Relativo al interés general. La AEPD entiende que deberían haberse aplicado técnicas de anonimización, como la difuminación de la imagen o la distorsión de la voz, de forma que la parte reclamante no resultara reconocible. Sin embargo, en este caso, la publicación de la noticia no podría ser entendida si no venía acompañada del vídeo, que es parte esencial e íntegra de la noticia. La AEPD no tiene en cuenta el concepto de accesoriedad asociado a los derechos de imagen y voz, que regula como una excepción legal intromisiva la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, en su artículo 8. Podría defenderse el argumento de la AEPD si el vídeo al que enlaza la noticia nada tuviera que ver con los hechos descritos informativamente. Pero era precisamente el vídeo el objeto de lo publicado, su motivo de relevancia. Era un vídeo viral realizado con el consentimiento del protagonista, difundido inicialmente con una finalidad laboral y que alcanzó cotas de viralidad y, por tanto, de relevancia pública e interés notorios y reconocidos. Con un tratamiento menos invasivo de los datos, como el difuminado de las imágenes y la distorsión de la voz, el vídeo habría perdido su interés informativo y calidad periodística, y colisionaría con el ejercicio del derecho a la libertad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/32 información. La STS 241/2003, de 14 de marzo, estableció que “El concepto de accesoriedad en la Ley (Art. 8.2,
- c)hace referencia a lo que es objeto principal de la noticia o reportaje fotográfico (SS 19 octubre 1992 [RJ 1992, 8079]; no concurriendo cuando no guarda relación con el contenido de la información escrita… La reproducción fotográfica tiene carácter accesorio respecto de la información escrita, la cual es veraz y con evidente transcendencia o interés pública. No resulta cuestionable la relación de la fotografía con la información, siendo irrelevante si se pudo poner esa u otra distinta”. En el supuesto analizado en la Sentencia del Tribunal Supremo 593/2022, de 28 de julio, relativa la publicación por parte de un medio de comunicación de imágenes recabadas de un vídeo subido a Youtube con el consentimiento del protagonista, se declara la prevalencia del derecho a la libertad de información, considerando, entre otros motivos, (
- i)que la información difundida está contrastada y alberga interés público, (
- ii)el demandante es una persona que goza de proyección pública, (iii) las fotos difundidas no se corresponden con momentos íntimos o especialmente privados y el interesado tolera que se hagan públicos por medio de la plataforma Youtube, (
- iv)las fotos no están desconectadas de la información difundida, (
- v)el tratamiento de la información es respetuoso con la persona y (
- vi)las fotografías difundidas fueron subidas a Youtube con la anuencia del interesado, de manera tal que cualquier persona puede tener acceso a ellas, aunque no consta que el interesado hubiera dado su consentimiento para su difusión en los programas de la demandada. Todos los requisitos identificados por el Tribunal Supremo concurren en el presente caso, de modo que la actuación de EL ESPAÑOL se ampara en el citado artículo 8.2 de la Ley Orgánica 1/1982. También se debe tener en cuenta lo reflejado por el Auto del Tribunal Constitucional núm. 176/2007 (Sala Primera, Sección 2), de 1 de marzo, en el que se declara lo siguiente: 2. (…) Pese a todo ello, y como no podía ser de otra manera, el derecho a la propia imagen cede ante otros bienes constitucionales. En especial “cuando la propia -y previa- conducta del titular o las circunstancias en las que se encuentre inmerso justifiquen el descenso de las barreras de reserva para que prevalezca el interés ajeno o el público que puedan colisionar con aquél” (STC 99/1994, de 11 de abril, FJ 5). A la vista de las circunstancias del caso, en esta ocasión tal interés resulta innegable, pues puede decirse que esta vez la noticia era la fotografía en sí misma. (…) Como dijimos en las SSTC 56/2004 y 57/2004, de 19 de abril, “la imagen enriquece notablemente el contenido del mensaje que se dirige a la formación de una opinión pública libre”, de tal manera que si todas las personas cuya imagen aparece reproducida de manera neutral en periódicos o televisiones pudieran exigir una especial trascendencia informativa, la información gráfica se volvería prácticamente imposible, menoscabando el derecho de los ciudadanos a recibir información veraz y el de los periodistas a elaborarla y difundirla. Aplicando este criterio al supuesto actual debemos llegar a la conclusión de que la fotografía era suficientemente noticiosa como para privar a su protagonista de las facultades de control sobre su reproducción gráfica que le atribuye el derecho a la propia imagen (…)”. Adicionalmente, señala EL ESPAÑOL que el análisis realizado por la AEPD sobre la efectiva necesidad de publicar datos personales contraviene resoluciones anteriores, como la dictada en las actuaciones número E/03409/2018, ya citadas, en la que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/32 consideró que valorar la proporcionalidad del tratamiento de datos personales con fines informativos podría resultar una suerte de censura administrativa. En definitiva, concluye que en el presente caso se ven cumplidos los requisitos de relevancia pública, veracidad y accesoriedad impuestos constitucionalmente, por lo que la AEPD no debería realizar apreciaciones acerca de la proporcionalidad de los datos publicados. 3. Sobre la determinación del importe de la sanción propuesto. Subsidiariamente, alega EL ESPAÑOL que la cuantía de la sanción no es proporcional en relación con los hechos analizados y solicita la reducción de su importe en base a los motivos siguientes: . La pérdida de disposición y control de los datos personales ya había ocurrido en el momento de la publicación de la noticia, con la difusión del vídeo en redes sociales y su viralización. . La actuación de EL ESPAÑOL no puede entenderse negligente, sino consecuente con el ejercicio del periodismo y con el derecho a la libertad de información y expresión, considerando que el contenido informativo de la noticia quedaría vacío si el vídeo hubiese sido editado para anonimizar los datos personales. Sin datos no existiría la noticia misma. . Entiende la parte reclamada que concurren otros factores atenuantes aplicables al caso: . La protección específica de los profesionales de la información que, no solo no se tiene en cuenta, sino que la AEPD parece exigir una diligencia mayor y desproporcionada tenido en cuenta los costes económicos y humanos, mediante la elaboración de un análisis de riesgos previo a la publicación de cada noticia. . La esencial labor para la sociedad llevada a cabo por el medio de comunicación. . El propósito perseguido por la parte reclamante con la reclamación era evitar que el vídeo se siguiera viralizando y, en este sentido, la noticia fue retirada tan pronto fue requerida por la AEPD. A este respecto, se debe tener en cuenta la resolución de archivo de actuaciones E/02643/2018, en la que se considera que la finalidad perseguida con la reclamación se había visto satisfecha. 4. Se ha procedido a la eliminación total del enlace objeto de la presente reclamación, de forma que no resulta accesible si quiera a través de los sistemas internos de EL ESPAÑOL. HECHOS PROBADOS PRIMERO: Con fecha ***FECHA.1, un usuario de la red social “Twitter” publicó en su perfil un vídeo consistente en un montaje de tomas sucesivas (…). La imagen y la voz de la parte reclamante se apreciaba con toda nitidez en dicha grabación. SEGUNDO: La parte reclamante ha declarada que la publicación del vídeo reseñado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/32 en el Hecho Probado Primero se realizó sin su consentimiento. TERCERO: Con fecha ***FECHA.2, la entidad EL ESPAÑOL publicó en su web “elespanol.com” una noticia sobre la divulgación en redes sociales del video reseñado en el Hecho Probado Primero. Esta noticia, que se encontraba accesible a través de la URL (“***URL.1”) incluía una imagen de la parte reclamante capturada de aquel vídeo y el texto siguiente: <<(fotografía capturada del vídeo, que corresponde a una imagen de la parte reclamante, con el pie de foto “ (...).) (…) CUARTO: Con fecha 14/09/2022, en cumplimiento de la medida provisional adoptada por la AEPD, EL ESPAÑOL retiró la noticia reseñada en el Hecho Probado Tercero, impidiendo su acceso tanto de manera externa como a través del buscador interno del periódico. QUINTO: Los Servicios de Inspección de la AEPD han constatado que el vídeo reseñado en el Hecho Probado Primero se viralizó tras su publicación el ***FECHA.1 en Twitter. Debido a esa amplia difusión, podía encontrarse en decenas de sitios y localizarse fácilmente con un motor de búsqueda utilizando etiquetas como "(...)" o "(...)". FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. II Respuesta a las alegaciones a la propuesta de resolución 1. Obligaciones de un medio de comunicación como responsable del tratamiento. Requisitos para la publicación de datos personales por parte de medios de comunicación. Comienza EL ESPAÑOL su escrito de alegaciones a la propuesta de resolución destacando que la normativa de protección de datos personales se encuentra limitada frente al ejercicio periodístico, por la posición esencial que para la sociedad adquiere C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/32 el derecho a la libertad de expresión e información, y que la jurisprudencia otorga a los profesionales de la información una protección específica al estar sometidos a mayores riesgos (STC 225/2009, de 9 de diciembre). Y continúa indicando que, por el contrario, la propuesta de resolución da a entender que las obligaciones de EL ESPAÑOL como responsable del tratamiento se ven ampliadas desde el momento en que su actividad está basada en el ejercicio del periodismo, afirmando que viene especialmente obligada a considerar los riesgos que supone la difusión de imágenes y voz a través de un medio de comunicación; o que debería haberse planteado si la finalidad de la información requería la difusión de la imagen y la voz de la parte reclamante; o la obligación de realizar un análisis de riesgos previo a la publicación de la noticia. No niega esta Agencia que el derecho fundamental a la protección de datos personales, como todos los derechos, se encuentre limitado por otros derechos fundamentales, en este caso por la libertad de expresión e información. Es esta circunstancia la que obliga, en cada caso concreto, a ponderar o conciliar los derechos en conflicto. Así se dispone, precisamente, en los Considerandos 4 y 153 y el artículo 85 del RGPD invocados por EL ESPAÑOL cuando señalan que el derecho a la protección de datos personales no es un derecho absoluto, sino que debe mantener el equilibrio con otros derechos fundamentales, como la libertad de expresión e información, incluida la expresión periodística. Hasta tal punto que el Considerando 153 y el artículo 85 del RGPD, no solo obligan a los Estados miembros a conciliar las normas que rigen estos otros derechos con el derecho a la protección de los datos personales con arreglo al RGPD, sino también a adoptar medidas legislativas que establezcan excepciones o exenciones de determinadas disposiciones de dicho Reglamento en relación con la cuestiones que se enumeran en estas disposiciones, entre ellas los principios generales, si así se requiere para conciliar tales derechos. Sí niega esta Agencia, en cambio, taxativamente, que el derecho a la libertad de información limite el derecho a la protección de datos en el sentido pretendido por EL ESPAÑOL, que viene a expresar que las normas sobre protección de datos personales no se aplican cuando los tratamientos de datos se realicen en el marco de la actividad periodística, por razón del sujeto. Llega a decir que no considera necesario el análisis previo de todas las noticias que vayan a ser publicadas. Se entienden oportunos y procedentes los argumentos defendidos en este acto, que reproducen los valorados en la propuesta de resolución, cuando se afirma que los medios de comunicación deben tener en cuenta los riesgos que conlleva el tratamiento de datos que realicen al difundir una noticia y que vienen obligados a prestar una atención especial y a establecer las cautelas necesarias para dar cumplimiento a las normas previstas para el respeto del derecho a la protección de datos personales. Se tiene en cuenta de manera especial la profesionalidad que se atribuye al medio de comunicación, reconocida por nuestra jurisprudencia para establecer un nivel de diligencia superior en el cumplimiento de la norma. A este respecto, la Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006) declaró que, partiendo de que se trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos, “… C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/32 el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. En todo caso, no es la AEPD, como señala EL ESPAÑOL, la que exige esta responsabilidad especial, sino que es la propia norma aplicable la que valora circunstancias tales como el riesgo o la profesionalidad, ya señaladas, el contexto o el estado de la técnica, entre otras. Aceptar la posición de EL ESPAÑOL sería tanto como vaciar de contenido el derecho a la protección de datos por el simple hecho de que el tratamiento se realice por un medio de comunicación institucionalizado o por un profesional de la información, no existiendo ninguna razón de tipo económico o humano que motive la no aplicación de la norma a un sujeto obligado, ni la falta de conocimiento legal de estos profesionales puede impedir que su actividad se vea sometida a las previsiones del RGPD y de la LOPDGDD. Tampoco puede hablarse de autocensura como una consecuencia de la aplicación de la norma, sino de cumplimiento una norma de general aplicación, que obliga también a medios de comunicación y a sus profesionales. Hasta tanto se adopten esas medidas legislativas que definan las excepciones o exenciones a las que se refiere el artículo 85 del RGPD, los límites en la aplicación de este Reglamento y de la LOPDGDD, deberán fijarse atendiendo a las previsiones normativas y criterios interpretativos que resulten de aplicación en cada caso para llevar a cabo la indicada ponderación o conciliación de los derechos en conflicto. Y entre estos criterios sirven los señalados por la entidad reclamada, como son la relevancia pública del sujeto interesado o su participación en el acontecimiento noticiable, la veracidad de lo publicado o su interés informativo. Pero sin olvidar, de forma prioritaria, los principios y reglas a los que se ven sometidos los tratamientos de datos personales según sus propias normas regulatorias. Este mismo acto acude a aquellos criterios interpretativos para analizar el caso y concluir la infracción, habiendo considerado, según se expondrá más adelante, que no existía interés informativo en la difusión de los datos personales de la parte reclamante y que se trata ésta de una persona anónima. Pero, sobre todo, aplica el principio de minimización de datos regulado en el artículo 5.1.
- c)del RGPD y valora el contexto en el que se produce el tratamiento de datos, su finalidad y proporcionalidad respecto del fin perseguido, todo ello conforme a las normas que regulan la protección de datos personales. Los mencionados criterios, a los que se refiere EL ESPAÑOL como requisitos para la publicación de datos personales por parte de medios de comunicación, están más relacionados con el derecho al honor, a la intimidad personal y familiar y a la propia imagen, regulado por la Ley Orgánica 1/1982, de 5 de mayo, en cuyos artículos 7 y 8 se establecen las actuaciones que se consideran intromisiones ilegítimas en el ámbito de protección delimitado por esta norma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/32 Al análisis de esta normativa responden aquellos criterios alegado por EL ESPAÑOL, sobre los que existe abundante jurisprudencia, a la que se puede acudir cuando se tratan aspectos de interés para decidir una cuestión en materia de protección de datos, en la medida en que ambos derechos protegen la intimidad y privacidad de las personas, pero teniendo presente siempre que se trata de criterios que sirven para orientar e informar sobre el aspecto de que se trate y cuya aplicación debe ceder frente a los principios recogidos en la normativa de protección de datos cuando se enjuicie un supuesto referido a esta materia. En definitiva, las circunstancias alegadas por EL ESPAÑOL no pueden ser las únicas valoradas, de tal modo que se excluyan las normas de protección de datos personales que resulten de aplicación. Por otra parte, sentada la consideración general anterior, en cuanto los “requisitos” que menciona EL ESPAÑOL, cabe indicar de contrario lo siguiente:
- a)La parte reclamante es un particular anónimo y esta condición no se ve modificada por el hecho de que el contenido audiovisual publicado por EL ESPAÑOL se hubiese viralizado en redes sociales, consecuencia esta que resulta de la actuación de terceros sin la intervención acreditada de la parte reclamante.
- b)La veracidad y actualidad de la información publicada no influyen, desde el punto de vista de la protección de datos, en el uso y difusión adecuada de la imagen de la parte reclamante. Alega la parte reclamada que la noticia no se entendería de forma adecuada sin el vídeo, pero no explica cómo afectaría a la noticia la divulgación de ese contenido después de haberlo sometido a un proceso de anonimización, tal y como se defiende en este acto, no por qué esta anonimización haría perder el interés periodístico y colisionaría con el derecho a la libertad de información. 2. Sobre la determinación del importe de la sanción propuesto. Por las mismas razones expuestas anteriormente, debe rechazarse la solicitud de reducción del importe de la multa solicitada por EL ESPAÑOL en base a la condición del sujeto infractor, atendiendo a la protección de los profesionales de la información y la labor social llevada a cabo por el medio de comunicación, y por otro, que el contenido informativo de la noticia hubiese quedado vacío con la anonimización del vídeo. Añade, por otra parte, que la pérdida de disposición y control de los datos personales ya había ocurrido en el momento de la publicación de la noticia, con la difusión del vídeo en redes sociales y su viralización. Circunstancia esta que no excluye que la actuación de EL ESPAÑOL tenga ese efecto y así pueda considerarse al evaluar la gravedad de la infracción. Finamente, considera la parte reclamada que concurre como atenuante el hecho de que la noticia fuese retirada tan pronto fue requerida por la AEPD. Cita como ejemplo la resolución dictada en el expediente E/02643/2018, en el que se resolvió el archivo de las actuaciones considerando que la finalidad de la reclamación se había visto satisfecha. Entiende esta Agencia que no son supuestos equiparables. En el presente caso, la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/32 retirada del contenido objeto de la reclamación fue ordenada por esta Agencia como medida provisional, de modo que el cumplimiento del requerimiento respectivo no se considera un factor atenuante en la graduación de la sanción. 3. Se ha procedido a la eliminación total del enlace objeto de la reclamación, de forma que no resulta accesible si quiera a través de los sistemas internos de EL ESPAÑOL. Como se indica en los Fundamentos que siguen, con la eliminación del vídeo EL ESPAÑOL simplemente da cumplimiento a la normativa y atiende las resoluciones de esta autoridad de control, de obligado cumplimiento, de modo que dicha eliminación no sirve para modificar su responsabilidad por los hechos analizados. III La imagen y la voz como dato personal y otras cuestiones previas La imagen física y la voz de una persona, a tenor del artículo 4.1 del RGPD, son un dato personal al hacerla identificable, y su protección, por tanto, es objeto de dicho RGPD: “«datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” El informe 139/2017 del Gabinete Jurídico de esta Agencia afirma que “la imagen así como la voz de una persona es un dato personal, al igual que lo será cualquier información que permita determinar, directa o indirectamente, su identidad (…)” La imagen física y la voz de una persona, a tenor del artículo 4.1 del RGPD, son datos personales y su protección, por tanto, es objeto de dicho Reglamento. Siendo así, el tratamiento de la imagen y la voz de una persona está sujeto a la normativa de protección de datos. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” La STJUE (Sala Segunda) de 14 de febrero de 2019, en el asunto C 345/17, Sergejs Buivids, declara al respecto lo siguiente: “Cabe considerar que publicar, en un sitio de Internet de vídeos en el que los usuarios pueden enviarlos, verlos y compartirlos, una grabación de audio, como el controvertido, que contiene datos personales, constituye un tratamiento total o parcialmente automatizado de esos datos, en el sentido de los artículos 2, letra b), y 3, apartado 1, de la Directiva 95/46”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/32 Por otra parte, interesa destacar que las personas tienen el poder de disposición sobre sus datos personales, así como sobre su difusión. Así, la STC 292/2000, de 30 de noviembre, declara que “el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos”. IV Obligación incumplida La inclusión de la imagen de una persona o de un vídeo que contenga su imagen y su voz en publicaciones periodísticas, en condiciones tales que la identifique o la haga identificable (sin aplicar sobre las mismas ninguna técnica que impida su identificación), en este caso, además, junto con su nombre, supone un tratamiento de datos personales. Por tanto, la entidad que efectúa este tratamiento está obligada a cumplir con los principios y obligaciones en materia de protección de datos que para el responsable del tratamiento se disponen en el RGPD y en la LOPDGDD. Tales principios y obligaciones no decaen por encontrarnos ante un responsable del tratamiento que sea un medio de comunicación. Es más, la entidad responsable viene especialmente obligada a considerar que la difusión a través de un medio de comunicación de la imagen y la voz de la parte reclamante y su nombre, posibilitando su identificación por terceros, implica un mayor riesgo para el interesado, siendo muy probable que pueda sufrir daños en sus derechos y libertades. Por ello, debe extremar las cautelas para que no pueda concluirse que dicho tratamiento de datos no es proporcional ni necesario en relación con las finalidades de información perseguidas. Así, con carácter general, deberá tener en cuenta el principio de responsabilidad proactiva, establecido en el artículo 5.2 del RGPD, la valoración de los riegos y la implementación de las medidas de seguridad adecuadas. Obligaciones que aún son más relevantes cuando el riesgo resulta especialmente sensible. En este sentido, y con independencia de cuál sea la base jurídica legitimadora del tratamiento, todo responsable del tratamiento ha de respetar los principios del tratamiento recogidos en el artículo 5 del RGPD. En lo que al presente caso se refiere, cabe destacar el principio de “minimización de datos” recogido en el artículo 5.1.
- c)del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/32 RGPD, que establece lo siguiente: “1. Los datos personales serán
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);” Se entiende que el tratamiento de datos personales ha de ser limitado a lo necesario para lograr el objetivo, es decir, cuando el propósito no puede lograrse razonablemente sin el tratamiento de esos datos personales. Se relaciona así con el principio de limitación de la finalidad del artículo 5.1.
- b)del RGPD, y solo conduce a resultados precisos si el propósito específico está bien definido por el responsable del tratamiento y se liga con la proporcionalidad y necesidad de dicho tratamiento. La pertinencia del dato remite a su imprescindibilidad para obtener el resultado, debiéndose revisar las opciones que se ofrecen al responsable para adecuarse a ese principio en cada operación de tratamiento. Cuando la entidad responsable sea un medio de comunicación, debe tener presente el citado principio de minimización de datos personales siempre que tenga prevista la utilización de datos personales en un artículo periodístico. El presente procedimiento se inicia porque la entidad EL ESPAÑOL publicó, en el sitio web “elespanol.com”, una noticia sobre la divulgación de vídeos en redes sociales en cuyo texto se hacía referencia al nombre de la parte reclamante (“(...)”) y se ilustraba con una fotografía también de la parte reclamante, tomada de un vídeo que fue publicado y ampliamente difundido a través de la red social “Twitter”. La imagen de la parte reclamante se apreciaba con toda nitidez en dicha fotografía. En el mismo artículo se insertan enlaces que conducen al vídeo en cuestión, en el que igualmente se muestra con toda nitidez la imagen y la voz de la parte reclamante, que no fueron debidamente anonimizadas mediante ninguna técnica adecuada para ello. Según consta reseñado en el Hecho Probado Primero, el vídeo consiste en un montaje de tomas sucesivas en las que la parte reclamante mira a cámara (…). A este vídeo en concreto se refiere la noticia publicada por EL ESPAÑOL. Se trata de una información publicada el ***FECHA.2 en la web “elespanol.com” acompañada del repetido vídeo y una captura de pantalla tomada del mismo (incluye un enlace a la publicación del vídeo en “Twitter”, en el perfil correspondiente al usuario “***USUARIO.1”, “***USUARIO.1”, con el texto “(...)”, las indicaciones “(…)”, y un botón para compartir el contenido). En este artículo, EL ESPAÑOL informa sobre (
- i)el contenido del vídeo, destacando alguno de los diálogos que se mantienen entre las personas que aparecen en el mismo; (
- ii)su amplia difusión en redes sociales, que considera producida por su carácter divertido; y (iii) los miles de comentarios a que ha dado lugar, alguno de los cuales se transcriben en el mismo artículo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/32 EL ESPAÑOL debería haberse planteado si la finalidad de la información requería la difusión de la imagen y la voz de la parte reclamante contenida en el vídeo en cuestión sin haber aplicado sobre la misma algún proceso de anonimización, o si la indicación del nombre en el texto del artículo publicado era realmente necesaria para el propósito pretendido; o si este propósito, por el contrario, era perfectamente alcanzable sin la identificación del titular de los datos personales. Esta Agencia entiende que la información que EL ESPAÑOL pretendió hacer llegar al público en general no requería esa utilización y difusión de los datos personales de la parte reclamante. En base a ello, resulta que se ha realizado un tratamiento de datos personales en clara vulneración del principio de minimización de datos. Conclusión esta que no es compartida por EL ESPAÑOL. Esta entidad, en sus alegaciones a la apertura del presente procedimiento, no discute el tratamiento de datos personales realizado, pero sí el hecho de que éste pueda ser considerado como constitutivo de infracción y, por tanto, ser objeto de sanción. En primer lugar, destaca la entidad reclamada que el vídeo en cuestión fue difundido un mes antes (…), la cual también fue objeto de atención periodística en otros medios. EL ESPAÑOL da a entender que la difusión de este contenido a través de internet fue intencionada y que con esa difusión la parte reclamante logró “el propósito aparente deseado”. Asimismo, destaca que el vídeo, en el que la propia parte reclamante alude a su nombre o sobrenombre “(...)”, se volvió tendencia en diferentes plataformas y redes sociales de seguimiento masivo (Twitter, Youtube, Tik Tok), siendo comentado y compartido por miles de usuarios, y continúa visible a través de miles de enlaces a los que puede accederse mediante un motor de búsqueda con el indicado sobrenombre como criterio. En base a ello, considera que la pérdida de disposición y control de los datos personales del interesado tuvo lugar con anterioridad a la publicación que ha dado lugar a las presentes actuaciones y no a consecuencia de la misma, cuestión esta que EL ESPAÑOL entiende esencial para determinar su responsabilidad. A este respecto, señala que la viralización de un contenido es un resultado conjunto de las acciones y reacciones de los usuarios en línea, por lo que no puede ser atribuida de manera directa ni exclusiva a EL ESPAÑOL. Por otra parte, en relación con el principio de minimización de datos y su consideración en el presente caso, alega EL ESPAÑOL que los datos utilizados en la noticia publicada eran manifiestamente públicos y que no se utilizaron medios técnicos para impedir el reconocimiento de la imagen, debido a que el video en cuestión no fue originalmente subido ni alojado por esa parte, sino que se empleó la técnica de trasclusión, la cual se refiere a la inclusión de un video o documento de otro sitio web mediante la inserción del código correspondiente en la página web de EL ESPAÑOL. Sin embargo, estas circunstancias, aunque se tomaran todas ellas como ciertas, no modifican la responsabilidad de EL ESPAÑOL por los hechos analizados, por cuanto ninguna de ellas excusa el cumplimiento de la normativa de protección de datos por parte de dicha entidad desde el mismo momento en que decide la recogida y utilización de los datos en cuestión. Tampoco el hecho de que puedan existir posibles responsabilidades de otros terceros, otras conductas sancionables, exime de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/32 responsabilidad a aquella entidad. La existencia de posibles incumplimientos previos de terceros no exime al medio de comunicación de la obligación de realizar un análisis de riesgos previo a la publicación de la noticia. EL ESPAÑOL, como medio de comunicación y en calidad de responsable del tratamiento, decide qué y cómo pública. Podría decidir publicar el vídeo tal cual, optar por no publicarlo o decidir distorsionar la imagen y la voz de la parte reclamante a fin de evitar que sea reconocible por terceros. Cualquier operación de tratamiento que se realice en el ámbito de la parte reclamada (en este caso la difusión de datos personales con ocasión de la noticia) debe imputarse solo a ella, con independencia de las operaciones de tratamiento que se hayan realizado previamente por otros sujetos y que, en ningún caso, le eximen de su responsabilidad. Los medios de comunicación, como responsables del tratamiento de múltiples datos que conocen dentro del ejercicio de su labor periodística, han de conocer y cumplir con la normativa en materia de protección de datos, aplicando, entre ellos, el principio de minimización de datos consagrado en el artículo 5.1.
- c)del RGPD. Debe señalarse, asimismo, que EL ESPAÑOL no tenía certeza de que el vídeo se hubiese difundido intencionadamente por la propia parte reclamante, dado que lo tomó de un usuario de la red social “Twitter” no identificado. Incluso, de haberse producido esa difusión intencionada, tampoco puede interpretarse en el sentido pretendido por EL ESPAÑOL en sus alegaciones. En supuestos como este, sólo al interesado corresponde decidir sobre el uso de sus datos personales, según ha quedado expuesto, y esto no cambia por el hecho de que los datos personales se encuentren accesibles a través de Internet, con independencia de su origen. En Sentencia núm. 91/2017, de fecha 15/02/2017, el Tribunal Supremo se ha pronunciado sobre un supuesto en el que la parte demandada (medio de comunicación) utilizó una fotografía tomada del perfil de Facebook del demandante para ilustrar una noticia publicada en la edición en papel de un diario. En esta Sentencia se considera que el derecho a la información legitima la actuación del medio de comunicación, que proporciona información veraz sobre los hechos o personas de relevancia pública, relevancia que se atribuye a la información sobre hechos de trascendencia penal. Sin embargo, sobre la utilización de aquella fotografía declara lo siguiente “Que en la cuenta abierta en una red social en Internet, el titular del perfil haya “subido” una fotografía suya que sea accesible al público en general, no autoriza a un tercero a reproducirla en un medio de comunicación sin el consentimiento del titular, porque tal actuación no puede considerarse una consecuencia natural del carácter accesible de los datos e imágenes en un perfil público de una red social en Internet. La finalidad de una cuenta abierta en una red social en Internet es la comunicación de su titular con terceros y la posibilidad de que esos terceros puedan tener acceso al contenido de esa cuenta e interactuar con su titular, pero no que pueda publicarse la imagen del titular de la cuenta en un medio de comunicación. El consentimiento del titular de la imagen para que el público en general, o un determinado número de personas, pueda ver su fotografía en un blog o en una cuenta abierta en la web de una red social no conlleva la autorización para hacer uso de esa fotografía y publicarla o divulgarla de una forma distinta…” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/32 “La exigencia de tutelar el derecho de información no puede significar que se dejen vacíos de contenido los derechos fundamentales de quienes resulten afectados por el ejercicio de aquél, que solo han de sacrificarse en la medida en que resulte necesario para asegurar la información libre en una sociedad democrática, tal como establece el art. 10.2 del Convenio europeo de derechos humanos (SSTC 171/1990, de 12 de noviembre, FJ 5, y 121/2002, de 20 de mayo, FJ 4). Y el interés público que suscitaba el suceso violento y que justificaba que el diario de la demandada informara sobre el mismo, incluso con identificación de los afectados por el suceso, no exigía ni justificaba que se publicara la imagen de la víctima del suceso, obtenida en su perfil de una red social, sin su consentimiento expreso”. De la misma forma, tampoco influye la técnica empleada para capturar o dar difusión al vídeo. A este respecto, EL ESPAÑOL ha manifestado que el video en cuestión no fue originalmente subido ni alojado por esa parte, sino que se empleó la técnica de trasclusión, la cual se refiere a la inclusión de un video o documento de otro sitio web mediante la inserción del código correspondiente en la página web de EL ESPAÑOL. Sobre esta cuestión, cabe indicar, por un lado, que la noticia publicada no solo incluyó el enlace que permitía acceder al vídeo en otro sitio web, sino que la noticia se ilustró con una fotografía de la parte reclamante tomada de dicho vídeo. Por otro lado, es preciso tener en cuenta que la inclusión de estos enlaces constituye un tratamiento de datos personales, conforme a la definición de tratamiento establecido en el artículo 4 del RGPD, que considera como tal cualquier operación o conjunto de operaciones realizadas sobre datos personales como la “comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión”. Sobre la utilización de esta técnica de trasclusión, señala también EL ESPAÑOL que el contenido no se transfiere a un público nuevo ni se divulga a través de una técnica específica diferente de la comunicación original, tal como interpretó el Tribunal de Justicia de la Unión Europea en Sentencia de 13/02/2014, dictada en el asunto C466/12 (conocida como Caso Svensson). No obstante, esta Sentencia se pronuncia sobre cuestiones relativa a la propiedad intelectual, de modo que las interpretaciones que realiza, sobre las consecuencias que se derivan de la incorporación en un sitio de Internet de enlaces que conducen a contenidos protegidos por derechos de aquella naturaleza alojados en otros sitios, no son trasladables al presente caso. De cualquier forma, de lo declarado en esa Sentencia en relación con la utilización de estos enlaces, interesa destacar lo siguiente: “20. De lo anterior se deduce que, en circunstancias como las del litigio principal, el hecho de facilitar enlaces sobre los que se puede pulsar y que conducen a obras protegidas debe calificarse de «puesta a disposición» y, en consecuencia, de «acto de comunicación» en el sentido de la referida disposición”. En otro orden, la entidad reclamada señala en sus alegaciones que ha demostrado su proactividad cumpliendo de manera inmediata la medida provisional ordenada por esta AEPD, eliminando el vídeo y todo el contenido de la publicación. Sin embargo, esta actuación, con la que EL ESPAÑOL simplemente da cumplimiento a la normativa y atiende las resoluciones de esta autoridad de control, de obligado cumplimiento, tampoco puede servir para modificar su responsabilidad por los hechos analizados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/32 V Derecho fundamental a la libertad de información EL ESPAÑOL, en sus alegaciones, pone de manifiesto que la popularización del vídeo se convirtió en un tema de interés público y periodístico, en tanto que fenómeno cultural y por su impacto social, motivando su única intención de informar a los lectores, sin comprometer la intimidad ni la dignidad de la parte reclamante y sin ahondar en su vida personal ni en aspectos personales sensibles y sin realizar ningún tipo de juicio de valor. Añade que el enfoque del artículo publicado se centró en la popularidad e implicaciones sociales de aquella tendencia en redes, brindando a los lectores información actual y relevante, en cumplimiento de la labor del medio de comunicación. Prueba de ello, según EL ESPAÑOL, es el hecho de que otros medidos también se hicieron eco de la misma tendencia. Considera, asimismo, que la imagen y el nombre de la parte reclamante son elementos centrales del hecho noticiable, en el contexto de la información que se busca difundir, sin que ello implique una extralimitación en el ejercicio del derecho a la libertad de información. Por otro lado, destaca que la jurisprudencia citada por esta Agencia para respaldar un tratamiento de datos que pueda considerarse excesivo se ha centrado en reproducciones de imagen en contextos penales, en las cuales los tribunales han sostenido que las imágenes en cuestión carecen de relevancia para la información a transmitir. Sin embargo, en el presente supuesto, como expondremos, el tratamiento llevado a cabo por EL ESPAÑOL en el marco de la libertad de información ha sido excesivo, al no existir un interés público informativo en la difusión de la imagen y la voz de la parte reclamante, con indicación de su nombre. Mantener dicha imagen y voz sin anonimizar (sin desenfocar la imagen y sin distorsionar la voz, por ejemplo) no aporta valor añadido alguno a la información, bajo cuyo pretexto parece que se han divulgado aquellos datos, que hacen claramente identificable a la persona, más aún si se especifica el nombre. Al ponderar los intereses enfrentados y, atendiendo a las circunstancias concurrentes de este caso, esto es, la naturaleza especialmente sensible de los datos personales y la afectación a la intimidad de la persona (la parte reclamante), merece mayor protección el interés del titular del derecho a la protección de sus datos personales y a que no se difundan frente al pretendido interés público en su difusión. Es cierto que nos encontramos ante un derecho fundamental, el de la protección de datos personales, que no es absoluto, puesto que llegado el caso puede ceder ante la prevalencia de otros derechos y libertades también constitucionalmente reconocidos y protegidos, como, por ejemplo, el derecho fundamental a la libertad de información, ponderándose ello caso a caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/32 En la pugna entre los derechos fundamentales a la libertad de información en relación con el derecho fundamental a la protección de datos personales, aun cuando se reconoce igual grado de protección de ambos derechos constitucionales, ordinariamente el primero suele ser dotado de prevalencia por nuestros tribunales, tras valorar y ponderar todos los elementos en juego. Ahora bien, preponderancia no significa prevalencia cuando, atendidas todas las circunstancias concurrentes en un supuesto concreto, se rebasen los límites fijados normativa y jurisprudencialmente. En este sentido, el Grupo del Trabajo del Artículo 29 en su Dictamen 06/2014 sobre el concepto de interés legítimo del responsable del tratamiento de los datos en virtud del artículo 7 de la Directiva 95/46/CE, al examinar la base jurídica del interés legítimo del artículo 7.1.
- f)de la Directiva 95/46/CE, trasladable plenamente al actual art. 6.1.
- f)del RGPD, incluye el derecho a la libertad de expresión o de información como uno de los supuestos en los que puede surgir la cuestión del interés legítimo aseverando que “sin perjuicio de si los intereses del responsable del tratamiento prevalecerán en último término sobre los intereses y los derechos de los interesados cuando se realice la prueba de sopesamiento”. . Límites al Derecho Fundamental a la Libertad de Información. Dicho lo anterior, el derecho fundamental a la libertad de información tampoco es absoluto. Podemos observar límites clarísimos establecidos por los tribunales en el ámbito civil, en relación con el derecho al honor, a la intimidad personal y familiar y a la propia imagen. Así, citaremos, por todas, la STC 27/2020, de 24 de febrero de 2020 (recurso de amparo 1369-2017) que dispone, en relación con la imagen de una persona, y partiendo del hecho incontrovertido de que la hace identificable, que “…la cuestión debatida se reduce a ponderar si la reproducción no consentida de la imagen de una persona anónima es decir, de alguien que no es personaje público, pero que adquiere repentina e involuntariamente un papel en el hecho noticiable, en este caso como víctima del fallido intento de homicidio por parte de su hermano y el posterior suicidio de este, supuso una intromisión ilegítima en su derecho fundamental a la propia imagen (art. 18.1 CE). […] …que los sucesos criminales son acontecimientos noticiables, incluso con independencia del carácter de sujeto privado de la persona afectada por la noticia. Sin embargo, el límite está en la individualización, directa o indirecta, de la víctima, pues este dato no es de interés público porque carece de relevancia para la información que se permite transmitir (SSTC 20/1992, de 20 de febrero; 219/1992, de 3 de diciembre; 232/1993, de 12 de julio; 52/2002, de 25 de febrero; 121/2002, de 20 de mayo, y 127/2003, de 30 de junio). Así, actualmente lo reconoce la Ley 4/2015, de 27 de abril, del estatuto de la víctima del delito, en vigor desde el 28 de octubre de 2015, cuando advierte de la necesidad «desde los poderes públicos [de ofrecer] una respuesta lo más amplia posible, no solo jurídica sino también social, a las víctimas, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/32 no solo reparadora del daño en el marco de un proceso penal, sino también minimizadora de otros efectos traumáticos en lo moral que su condición puede generar, todo ello con independencia de su situación procesal. Por ello, el presente Estatuto, en línea con la normativa europea en la materia y con las demandas que plantea nuestra sociedad, pretende, partiendo del reconocimiento de la dignidad de las víctimas, la defensa de sus bienes materiales y morales y, con ello, los del conjunto de la sociedad». En supuestos como los planteados en este recurso, este Tribunal debe otorgar relevancia a la prevalencia del derecho a la imagen de la víctima del delito frente a las libertades informativas, pues la información gráfica devenía ociosa o superflua por carecer la fotografía de la víctima de interés real para la transmisión de la información, en este caso la realización aparente de un homicidio y posterior suicidio” (el subrayado es nuestro). Añadiremos la STS, de su Sala Primera de lo Civil, 272/2011 de 11 de abril de 2011 (rec. 1747/2008), en la que, respecto de los datos necesarios para suministrar una información y los límites al interés público recoge que “
- b)La información trivial no se protege (ATC 75/2006), pero sí el hecho de facilitar datos no necesarios en un caso de violación (el nombre completo, las iniciales de los apellidos, el portal de la calle donde vivía la víctima) que no tienen relevancia comunitaria, no respetan la reserva, sólo buscan satisfacer la curiosidad, producen perturbaciones o molestias y desvelan de forma innecesaria aspectos de la vida personal y privada, permitiendo a los vecinos, personas próximas y familiares la plena identificación de la víctima y el conocimiento con lujo de detalles de un hecho gravemente atentatorio contra su dignidad (STC 185/2002) o sobre una enfermedad que no tiene interés público y afecta de manera directa al ámbito irreductible de la intimidad y que se revela al efecto de una pura broma o chanza (STC 232/1993);”. Igualmente, la STS, de su Sala Primera de lo Civil, Sentencia 661/2016 de 10 de noviembre 2016 (rec. 3318/2014), en relación con la captación y divulgación en juicio de la imagen de una víctima de violencia de género dispuso que “1.ª) No se discute el interés de la información cuestionada ni el derecho de la cadena televisiva demandada a emitir imágenes grabadas durante el acto del juicio oral de la causa penal, ya que no consta ninguna limitación al respecto acordada por el órgano judicial. 2.ª) El único punto controvertido es, por tanto, si la identificación de la demandante como víctima de los delitos enjuiciados en dicha causa penal, mediante primeros planos de su rostro y la mención de 31/03/2022 su nombre de pila y lugar de residencia, estaba también comprendida en el derecho fundamental de la cadena de televisión demandada a transmitir información veraz o, por el contrario, quedaba limitada por los derechos fundamentales de la demandante a su intimidad personal y a su propia imagen. 3.ª) Respecto de esta cuestión la jurisprudencia ha reconocido el interés general y la relevancia pública de la información sobre causas penales (sentencia 547/2011, de 20 de julio), que se acentúan en los casos de maltrato físico y psicológico (sentencias 128/2011, de 1 de marzo, y 547/2011, de 20 de julio), pero también ha puntualizado, en cuanto a la identificación de las personas que intervienen en el juicio, que el acusado y la víctima no se encuentran en un plano de igualdad, pues en cuanto a aquel sí cabe una identificación completa, y no solo por sus iniciales, debido a la naturaleza y trascendencia social de los delitos de malos tratos (sentencia 547/2011, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/32 de 20 de julio). […] 6.ª) En definitiva, la cadena de televisión demandada debió actuar con la prudencia del profesional diligente y evitar la emisión de imágenes que representaban a la recurrente en primer plano, bien absteniéndose de emitir las correspondientes tomas, bien utilizando procedimientos técnicos para difuminar sus rasgos e impedir su reconocimiento (sentencia 311/2013, de 8 de mayo). De igual modo, también debió evitar la mención de su nombre de pila, porque este dato, insuficiente por sí solo para constituir intromisión ilegítima, pasó a ser relevante al pronunciarse en pantalla simultáneamente con la imagen de la demandante y añadirse la mención de su localidad de residencia, datos todos ellos innecesarios para la esencia del contenido de la información, como demuestran las noticias sobre el mismo juicio publicadas al día siguiente en otros medios. 7.ª) La identificación de la demandante mediante su imagen y los datos personales indicados y su directa vinculación con un episodio de violencia de género y otros delitos graves, cuando era previsible la revelación simultánea o posterior de datos referidos a cómo se conocieron la víctima y su agresor y a la forma en que sucedieron los hechos delictivos, supone que la pérdida del anonimato vulnerase tanto el derecho de la demandante a su propia imagen, por la emisión de sus rasgos físicos, como su intimidad personal y familiar, en la medida en que unos datos reservados, pertenecientes a su vida privada (que acudió a Internet para iniciar una relación o el contenido íntimo de algunas de sus charlas), carentes de entidad ofensiva en una situación de anonimato, pasaron a tenerla desde el momento en que cualquier persona que viera esos programas informativos y que residiera en la localidad de la víctima podía saber a quién se referían, de modo que al daño psicológico inherente a su condición de víctima de los delitos se sumó el daño moral consistente en que se conocieran datos de su vida privada que no había consentido hacer públicos”. (el subrayado es nuestro). Como podemos comprobar, se hace una clara referencia al tratamiento excesivo de datos personales (algunos no son de naturaleza íntima) para suministrar la información, considerándolos innecesarios a todo punto en atención a las circunstancias concurrentes. En ocasiones los tribunales se refieren a datos íntimos, pero en ocasiones se trata de datos personales que no son íntimos, como, por ejemplo, la imagen de una persona física obtenida de una fotografía publicada en una red social o el nombre y los apellidos. . Equilibrio entre el derecho fundamental a la libertad de información y el derecho fundamental a la protección de datos de carácter personal. En el caso concreto examinado, tal y como hemos indicado, la entidad EL ESPAÑOL publicó, en el sitio web referido en los hechos, la imagen de la parte reclamante para ilustrar una noticia sobre redes sociales, en la que, además, se menciona su nombre, insertando enlaces que conducían al vídeo objeto la reclamación que ha motivado el presente procedimiento sancionador. Así, no se trata, como en otros supuestos jurisprudencialmente examinados, de dotar de prevalencia a un derecho fundamental sobre otro, debiendo elegir cuál tiene más peso en un supuesto específico, sino, más bien, de encontrar un equilibrio entre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/32 ambos para logar la consecución de la finalidad del primero sin desvirtuar el segundo. La conciliación de ambos derechos no es nada nuevo, puesto que el legislador europeo mandata tal conciliación en el artículo 85 del RGPD. Como hemos visto anteriormente, el derecho fundamental a la libertad de información no es ilimitado, puesto que la interpretación jurisprudencial al confrontarlo con otros derechos y libertades no permite en todo caso y con toda amplitud el mismo, sino que, no obstante, la prevalencia que suelen dotarle los tribunales puede verse limitado por otros derechos fundamentales que deben también ser respetados. Así se observa su limitación cuando los datos personales facilitados eran innecesarios para la esencia del contenido de la información. En este caso, la imagen de la parte reclamante y su voz, así como su nombre, sin constreñir el suministro de información, debe hacerse compatible con el principio de minimización de datos, aplicable sobre la forma, el medio en que se suministra y difunde la información por la afectación inmediata al dato personal y a la identificación de la persona. Precisamente porque no se niega el interés público informativo en la noticia, en este caso concreto, no se trata de hacer decaer el derecho fundamental a la libertad de información por la prevalencia del derecho fundamental a la protección de datos de carácter personal, sino de hacerlos plenamente compatibles para que ambos queden absolutamente garantizados. Esto es, no se pone en cuestión la libertad de información de los medios de comunicación sino la ponderación con el derecho a la protección de datos en base a la proporcionalidad y necesidad de publicar el concreto dato personal de la imagen o el nombre de la persona. Tal situación podría haberse resuelto con la utilización de procedimientos técnicos para impedir el reconocimiento de la imagen y la voz, medidas de seguridad ambas, aplicadas dependiendo del caso de forma ordinaria por los medios de comunicación, y con la no indicación del nombre de la parte reclamante. A mayores, hemos de significar que la parte reclamante es una persona anónima y nuestro Tribunal Constitucional, por todas STC 58/2018 de 4 de junio, afirma que las autoridades públicas, los funcionarios públicos y los personajes públicos o dedicados a actividades que conllevan notoriedad pública “aceptan voluntariamente el riesgo de que sus derechos subjetivos de personalidad resulten afectados por críticas, opiniones o revelaciones adversas y, por tanto, el derecho de información alcanza, en relación con ellos, su máximo nivel de eficacia legitimadora, en cuanto que su vida y conducta moral participan del interés general con una mayor intensidad que la de aquellas personas privadas que, sin vocación de proyección pública, se ven circunstancialmente involucradas en asuntos de trascendencia pública, a las cuales hay que, por consiguiente, reconocer un ámbito superior de privacidad, que impide conceder trascendencia general a hechos o conductas que la tendrían de ser referidos a personajes públicos”. La STJUE (Sala Segunda) de 14 de febrero de 2019, en el asunto C 345/17, Sergejs Buivids hace mención a diversos criterios para ponderar entre el derecho al respeto de la intimidad y el derecho a la libertad de expresión, entre los cuales se encuentran “la contribución a un debate de interés general, la notoriedad de la persona afectada, el objeto del reportaje, el comportamiento anterior del interesado, el contenido, la forma y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/32 las repercusiones de la publicación, la forma y las circunstancias en las que se obtuvo información y su veracidad (véase, en este sentido, la sentencia del TEDH de 27 de junio de 2017, Satakunnan Markkinapörssi Oy y Satamedia Oy c. Finlandia, CE:ECHR:2017:0627JUD000093113, apartado 165)”. Así, un asunto puede ser considerado de interés general, de relevancia pública, no sólo por la persona que intervenga, sino también por la materia a la que se refiere. Deben concurrir ambos requisitos. En el presente caso, (
- i)la parte reclamante no es una persona pública; más bien al contrario, es de interés que no sea reconocida por terceras personas, de tal forma que se garanticen plenamente sus derechos fundamentales; es decir, no estamos ante un personaje de relevancia pública, en el sentido de que tal relevancia sea suficiente para entender que supone, ex lege, una desposesión de su derecho fundamental a la protección de sus datos personales, y (
- ii)aunque estemos ante hechos “de relevancia pública”, en el sentido de que se revelen como “necesarios” para la exposición de las ideas u opiniones de interés público, esa necesidad no alcanza a que se faciliten datos que identifiquen a la parte reclamante Por ello, y como expresa el Tribunal Supremo en su sentencia (civil) 697/2019, de 19 de diciembre de 2019, la formación de una opinión pública libre no exige, ni justifica, que se afecte al derecho fundamental a la propia imagen [en este caso a la protección de datos personales] con esa gravedad y de un modo que no guarda la necesaria conexión con la identificación de la persona objeto de la información. VI Tipificación y calificación de la infracción a los efectos de la prescripción De conformidad con las evidencias expuestas, en el presente caso, se considera que EL ESPAÑOL ha tratado datos que eran excesivos al no ser necesarios para la finalidad para la que se trataban. Así, los hechos constatados son constitutivos de una infracción, imputable a EL ESPAÑOL, del artículo 5.1.
- c)del RGPD, con el alcance expresado en los Fundamentos de Derecho anteriores, lo que supone la comisión de la infracción tipificada en el artículo 83.5, apartado
- a)del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/32 A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica: Artículo 72. Infracciones consideradas muy graves. “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679”. VII Sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Respecto al apartado
- k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/32 apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En este caso, considerando la gravedad de la infracción constatada, atendiendo especialmente a las consecuencias que su comisión provoca en la parte reclamante, procede la imposición de multa, además de la adopción de medidas. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Así, se considera, con carácter previo, la condición de mediana empresa y el volumen de negocio de la parte reclamada (…). De acuerdo con los preceptos indicados, a efectos de fijar el importe de la multa a imponer en el presente caso, se considera que procede su graduación de acuerdo con los siguientes criterios que establecen los preceptos transcritos: - Artículo 83.2.
- a)del RGPD: Naturaleza, gravedad y duración de la infracción: la Agencia considera que la naturaleza de la infracción es muy grave puesto que acarrea a la persona una pérdida de disposición y control sobre los datos personales, al ser difundidos a través de internet sin restricciones. - Artículo 83.2.
- b)del RGPD. Intencionalidad o negligencia en la infracción: si bien la Agencia considera que no hubo intencionalidad por parte del medio de comunicación, se concluye que fue negligente al no asegurar un procedimiento que garantizase la protección de los datos personales en unas circunstancias tan sensibles. - Artículo 83.2.
- g)del RGPD. Categorías de datos personales afectados por la infracción: si bien no se han visto afectadas “Categorías especiales de datos personales”, según define el RGPD en el artículo 9, los datos personales a los que se refieren las actuaciones (imagen y voz de la parte reclamante) tiene una naturaleza especialmente sensible, por cuanto permite C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/32 la pronta identificación de la persona y aumenta los riesgos sobre su privacidad. Considerando los factores expuestos, la valoración que alcanza la multa por la infracción del artículo 5.1.
- c)del RGPD es de 10.000 euros (diez mil euros). VIII Adopción de medidas Las infracciones en la materia que nos ocupan pueden dar lugar a la imposición al responsable de la obligación de adoptar medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2.
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En tal caso, esta Agencia podrá requerir a la entidad responsable para que, en el plazo que se determine, adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los Fundamentos de Derecho del presente acuerdo. En el presente acto se establecen las infracciones cometidas y los hechos que dan lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, conviene aclarar que adecuar la actuación a la normativa impone el cese definitivo del tratamiento de datos personales al que se refiere el procedimiento, con la retirada definitiva de los mismos de la web “elespanol.com” (enlace al vídeo, fotografía y nombre). Esa adecuación puede realizarse con la retirada completa del contenido accesible a través de la URL mencionada en las actuaciones, o aplicando sobre el mismo los métodos que admita la tecnología para impedir la identificación de la parte reclamante, o bien suprimiendo sus datos personales (imagen, voz y nombre) del contenido publicado. Deberá efectuarse de tal modo que imposibilite el acceso a los datos personales, su difusión y disposición del original por terceros, evitando en la medida en que el estado de la tecnología lo permita, la resubida o recarga de copias o réplicas exactas por los usuarios de internet del contenido publicado. En todo caso, se garantizará su conservación, a efectos de custodia de las evidencias que puedan ser precisas en el curso de la investigación policial o administrativa o del proceso judicial que pudieren instruirse, incluidos los recursos que puedan interponerse contra la presente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/32 resolución. No obstante, debe recordarse que en el marco de las actuaciones previas de investigación desarrolladas por esta Agencia se acordó requerir el indicado cese de tratamiento a EL ESPAÑOL, como medida provisional posteriormente confirmada en el acuerdo de apertura del presente procedimiento. Por tanto, la medida que se propone equivale a elevar a definitiva la medida cautelar impuesta. No obstante, teniendo en cuenta que EL ESPAÑOL atendió la orden de adopción de medida provisional retirando definitivamente la noticia reseñada en el Hecho Probado Tercero, no procede efectuar en esta resolución ningún nuevo requerimiento de adopción de medidas de adecuación. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad EL LEÓN DE EL ESPAÑOL PUBLICACIONES, S.A., con NIF A87115226, por una infracción del artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5 del mismo Reglamento, y calificada como muy grave a efectos de prescripción en el artículo 72.1.
- a)de la LOPDGDD, una multa de 10.000 euros (diez mil euros). SEGUNDO: CONFIRMAR, elevándola a definitiva, la orden de adopción de medidas acordada en fecha 09/09/2022, durante las actuaciones previas de investigación, y confirmada en el acuerdo de apertura del presente procedimiento sancionador. Considerando que la entidad EL LEÓN DE EL ESPAÑOL PUBLICACIONES, S.A. atendió el requerimiento de adopción de medida provisional retirando definitivamente el contenido objeto de las actuaciones, el presente acuerdo no da lugar a ningún nuevo requerimiento de adopción de medidas de adecuación por parte dicha entidad. TERCERO: NOTIFICAR la presente resolución a EL LEÓN DE EL ESPAÑOL PUBLICACIONES, S.A. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/32 Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Esta suspensión cautelar se daría por finalizada si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación del presente acuerdo de adopción de medidas provisionales, o si interpuesto dicho recurso no se solicitará en el mismo trámite su suspensión cautelar al órgano judicial. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es