1/8 Expediente N.º: EXP202207270 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Don A.A.A. (en adelante, la parte reclamante) con fecha 9 de junio de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra DIGIMAN ALICANTE, S.L. con NIF B53246906 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: “LES ADJUNTO LA RESOLUCIÓN DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS DONDE LA EMPRESA SERVICIOS E INTERVENCIONES EN EDIFICACION DEL MEDITERRÁNEO, S.L. CONFIRMA QUE DIGIMAN ALICANTE SL DIÓ SU CONSENTIMIENTO PARA QUE PUBLICARAN LA IMAGEN SIN MI AUTORIZACIÓN. TAMBIÉN LES ADJUNTO LA STS_5073_2004 DONDE SE CREA JURISPRUDENCIA SOBRE EL RECONOCIMIENTO DE UNA PERSONA Y POR LO TANTO SU DATO PERSONAL. ES EVIDENTE QUE CUALQUIER PERSONA DE LA EMPRESA Y CUALQUIER PERSONA DE MI ENTORNO SABE QUIEN ES LA PERSONA QUE APARECE SENTADO EN UN SOFÁ DETRÁS DE UN CRISTAL CON VINILOS.” SEGUNDO: El 8 de abril de 2022, la parte reclamante interpuso una reclamación contra la empresa SERVICIOS E INTERVENCIONES EN EDIFICACION DEL MEDITERRANEO, S.L., porque había ejercido el derecho de acceso tal como marca el artículo 15 del Reglamento UE 2016/679, General de Protección de Datos (RGPD), por la publicación en su día de una imagen donde era reconocible y no le había contestado. TERCERO: Cuando la reclamación anterior fue trasladada a SERVICIOS E INTERVENCIONES EN EDIFICACION DEL MEDITERRANEO, S.L., alegó que había realizado obras de construcción en una nave de la parte reclamada y al objeto de publicar en su página web imágenes del resultado del trabajo realizado, tomó imágenes de la página web de la parte reclamada las fotografías donde se veían, con el conocimiento de dicha empresa. CUARTO: Con fecha 6 de julio de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 19.1 de la LOPDGDD, tipificada en el Artículo 83.5 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: “Esta parte entiende que existe un error de base en el planteamiento de la reclamación formulada por el Sr. D. A.A.A., toda vez que:
- a)no existe tratamiento de datos personales del reclamante con ocasión de la publicación de la fotografía que nos ocupa.
- b)mi representada en ningún caso autorizó la utilización de la fotografía objeto del presente procedimiento, ni comunicó ningún dato personal del reclamante a la empresa SERVICIOS E INTERVENCIONES EN EDIFICACION DEL MEDITERRÁNEO, S.L. (…) Debemos negar de forma rotunda que mi representada autorizara a SERVICIOS E INTERVENCIONES EN EDIFICACIÓN DEL MEDITERRÁNEO, S.L. la utilización de dicha fotografía ni de ninguna otra de las publicadas en el sitio web de DIGIMAN ALICANTE, S.L. SERVICIOS E INTERVENCIONES EN EDIFICACIÓN DEL MEDITERRÁNEO, S.L. descargó dichas fotografías de la web de mi representada, sin autorización de ésta, obviamente cuando el reclamante todavía no había solicitado a mi representada la retirada de las mismas. Debe dejarse claro también, que mi representada nunca remitió ningún archivo a dicha mercantil con la fotografía objeto del presente procedimiento (ni de ninguna otra) o de forma expresa le comunicó a SERVICIOS E INTERVENCIONES EN EDIFICACIÓN DEL MEDITERRÁNEO, S.L. que podía utilizar tal fotografía (ni ninguna otra).” Añade que la imagen no identifica a la persona. SEXTO: Con fecha 1 de agosto de 2022, el instructor del procedimiento acordó practicar las siguientes pruebas: 1. Dar por reproducidos a efectos probatorios la reclamación interpuesta por Don A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por DIGIMAN ALICANTE, S.L. SÉPTIMO: Con fecha 1 de agosto de 2022 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se procediese ordenar el ARCHIVO del procedimiento al no constatarse la comisión de infracción administrativa en el marco de la protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 Notificada la propuesta de resolución en fecha 2 de agosto de 2022, no se han recibido alegaciones a la misma. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: SERVICIOS E INTERVENCIONES EN EDIFICACION DEL MEDITERRANEO, S.L., realizó obras de construcción en una nave de la parte reclamada y, al objeto de publicar en su página web imágenes del resultado del trabajo realizado, tomó imágenes de la página web de la parte reclamada; en concreto, usó unas fotografías donde se veía el resultado de la obra, con el conocimiento de dicha empresa. En una de esas fotografías se puede apreciar a tres personas, una de ellas la parte reclamada, tras una puerta de cristal con cuadrados de colores pegados en la misma. SEGUNDO: La entidad SERVICIOS E INTERVENCIONES EN EDIFICACION DEL MEDITERRANEO, S.L., no ha alegado nunca que contase con el consentimiento de la parte reclamada para la publicación de la fotografía en que la parte reclamante aparece sentada tras un cristal con cuadrados de colores pegados ocultando parte de su rostro y cuerpo; ni que la parte reclamada le hubiese facilitado esa imagen. TERCERO: La parte reclamada niega que autorizara a SERVICIOS E INTERVENCIONES EN EDIFICACIÓN DEL MEDITERRÁNEO, S.L. la utilización de dicha fotografía ni de ninguna otra de las publicadas en el sitio web de DIGIMAN ALICANTE, S.L. Añade que no remitió ningún archivo a dicha mercantil con la fotografía objeto del presente procedimiento (ni de ninguna otra). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II La imagen como dato personal C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 La imagen de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal al hacerla identificable, y su protección, por tanto, es objeto de dicho RGPD: “«datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” La imagen es un atributo personal propio e individual de cada persona física que se define por su altura, complexión, forma de sentarse, vestirse. Dotada de rasgos distintivos únicos y singulares que la individualizan de manera directa, asociándola a un individuo concreto, pudiendo conocer, a través de ella la edad, el sexo, el color de la piel, su manera de ser por la forma de sentarse... lo que facilita la identificación del individuo. Por ello, el informe 139/2017 del Gabinete Jurídico de esta Agencia afirma que “la imagen, así como la voz de una persona es un dato personal, al igual que lo será cualquier información que permita determinar, directa o indirectamente, su identidad (…)” El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” La inclusión de la imagen de una persona en páginas web, foros, publicaciones, que identifica o hace identificable a una persona, supone un tratamiento de datos personales y, por tanto, el responsable del tratamiento que efectúa el mismo está obligado a cumplir con las obligaciones que para el responsable del tratamiento se disponen en el RGPD y en la LOPDGDD. III Derecho a la protección de datos El presente procedimiento se inicia porque la parte reclamada publicó, en su página web la imagen de la parte reclamante, presuntamente autorizando a la entidad SERVICIOS E INTERVENCIONES EN EDIFICACIÓN DE MEDITERRÁNEO, S.L., a su utilización La imagen no permite ver por completo a la persona, pero sí se le ve en parte. Esto unido al hecho de que aparece vinculado a la parte recamada, donde trabajaba, que es otra información adicional, hacen identificable a esa persona. Todo ello, constituye un tratamiento de datos personales de la parte reclamante. Las personas tienen el poder de disposición sobre sus datos personales, incluyendo su imagen, así como sobre su difusión, resultando, sin lugar a dudas, merecedora de protección la persona cuyos datos personales se difundan vulnerando el ordenamiento jurídico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 Así, la STC 292/2000, de 30 de noviembre dispone que “el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos”. La Sentencia del Tribunal Supremo, Sala de lo Civil, de fecha 12 de julio de 2004, número de recurso 1702/200, indica lo siguiente en relación a la imagen: <<La sentencia recurrida funda su pronunciamiento absolutorio en no ser identificable la demandante en la fotografía razonando que <como se observa en la referida fotografía, el “rostro” de la persona que aparece desnuda no es “visible”; de otro lado, la “silueta” no ofrece signos especiales, singulares, específicos, que en la normal convivencia y relación pública ciudadana permitan su atribución a una concreta y determinada persona… En el presente caso ha de tacharse de ilógica y arbitraria la conclusión a que llega la Sala de apelación de no ser identificable la actora en la citada fotografía, siendo así que los testigos que declararon en la instancia, todos los cuales conocían a la Srª Lina desde hacía varios años, identificaron la fotografía como reproducción de la figura de la misma, siendo indiferente que el círculo de conocidos de esa señora sea mayor o menor. Se impone, por tanto, la estimación del motivo, con la consecuencia de tener como hecho probado que la fotografía de la mujer que aparece en la fotografía publicada en la portada del ejemplar del 28 de junio de 1998 reproduce la imagen de la demandante… Declarado probado que la fotografía publicada corresponde a la demandante recurrente y no existiendo controversia alguna sobre la circunstancia de haber sido tomada y publicada sin el consentimiento de la fotografía, no siendo ésta personaje público, tal publicación constituyó una intromisión ilegítima en el derecho a la propia imagen, prevista en el art. 7.5 de la Ley Orgánica 1/1982 , no concurriendo en el caso nin guna de las circunstancias de justificación recogidas en el art. 8.2 de la propia Ley . >> IV Obligación de comunicar la supresión de datos a otras entidades El RGPD establece una obligación relacionada con el derecho de supresión en su artículo 19, que indica lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 “Obligación de notificación relativa a la rectificación o supresión de datos personales o la limitación del tratamiento “El responsable del tratamiento comunicará cualquier rectificación o supresión de datos personales o limitación del tratamiento efectuada con arreglo al artículo 16, al artículo 17, apartado 1, y al artículo 18 a cada uno de los destinatarios a los que se hayan comunicado los datos personales, salvo que sea imposible o exija un esfuerzo desproporcionado. El responsable informará al interesado acerca de dichos destinatarios, si este así lo solicita.” De conformidad con las evidencias aportadas al procedimiento presente y las recogidas de procedimientos de Derechos anteriores (supresión de imágenes de la parte reclamada en las páginas web de la parte reclamada), no se ha podido acreditar que la parte reclamada facilitase a SERVICIOS E INTERVENCIONES EN EDIFICACION DEL MEDITERRANEO, S.L., las imágenes de la parte reclamante objeto de controversia ni que consintiese en su publicación. Dado que no se ha acreditado que la parte reclamada comunicase los datos de la parte reclamante a la entidad SERVICIOS E INTERVENCIONES EN EDIFICACION DEL MEDITERRANEO, S.L., no puede imputarse la infracción de lo establecido en el artículo 19 del RGPD. V Conclusión El principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y constatado una prueba de cargo acreditativa de los hechos que motivan la imputación o de la intervención en los mismos del presunto infractor. Aplicando el principio “in dubio pro reo” en caso de duda respecto de un hecho concreto y determinado, que obliga en todo caso a resolver dicha duda del modo más favorable al interesado. La presunción de inocencia debe regir sin excepciones en el ordenamiento sancionador y ha de ser respetada en la imposición de cualesquiera sanciones, pues el ejercicio del ius puniendi en sus diversas manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. En tal sentido, el Tribunal Constitucional en su Sentencia 76/1990, de 26/04, considera que el derecho a la presunción de inocencia comporta: “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio.” La presunción de inocencia rige sin excepciones en el Ordenamiento sancionador y ha de ser respetada en la imposición de cualquier sanción, ya sea penal o administrativa (TCo 13/1981), pues el ejercicio del derecho sancionador en cualquiera de sus manifestaciones está condicionado al juego de la prueba y a un procedimiento contradictorio en el que puedan defenderse las propias posiciones. Conforme a este principio, no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 puede imponerse sanción alguna en razón de la culpabilidad del imputado si no existe una actividad probatoria de cargo, que, en la apreciación de las autoridades u órganos llamados a resolver, destruya esta presunción (TCo Auto 3-12-81). De acuerdo a lo expuesto, no se ha acreditado que la parte reclamada facilitase las imágenes de la parte reclamante a la entidad SERVICIOS E INTERVENCIONES EN EDIFICACION DEL MEDITERRANEO, S.L. Esta última indicó que la parte reclamada conocía su utilización, pero no acredita ni el medio ni la forma en que lo hizo, motivo que se considera suficiente para proponer el Archivo del presente procedimiento, ya que al no acreditarse esa comunicación de los datos de la parte reclamante tampoco existe la obligación de la parte reclamada de comunicar su supresión. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ORDENAR el ARCHIVO del presente procedimiento al no quedar acreditada la comisión de la infracción administrativa objeto de reclamación. SEGUNDO: NOTIFICAR la presente resolución a DIGIMAN ALICANTE, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-120722 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es