PS-00376-2024 | Europaius

1/23  Expediente N.º: EXP202408724 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos (en adelante, AEPD) y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 7 de mayo de 2024 se interpusieron dos reclamaciones ante la Agencia Española de Protección de Datos por una posible infracción imputable a PINKGREEN BARCELONA, S.L. con NIF B70641733 (en adelante, PINKGREEN o parte reclamada). Los hechos que se ponen en conocimiento de esta autoridad son los siguientes: Las partes reclamantes alegan que, tras realizar dos reseñas negativas contra la entidad reclamada en su perfil profesional de Google “Pink Green”, esta respondió en ambos casos revelando sus datos personales y los de terceras personas. Indican que presentaron una reclamación a Google. Respecto a la entidad reclamada, afirman que les fue imposible contactar. De este modo, la parte reclamante 1 ponía de manifiesto que, tras haber estado en el restaurante PINKGREEN, realizó una reseña en Google maps, puntuando al establecimiento con estrellas y sin realizar ningún comentario. Indica que su perfil de Google solo incluía su nombre; sin apellidos, ni foto identificativa de su perfil. Tras publicar esta reseña, la propiedad del restaurante respondió a su reseña filtrando su nombre completo, universidad en la que estudió, orientación sexual y el nombre de su pareja, así como otros datos que identifican a su pareja (…). Además, la parte reclamante 1 indica que, en esta contestación, PINKGREEN incluye los nombres de dos personas que le acompañaban el día que visitó el restaurante. Junto a su reclamación aporta: - Archivo de imagen en el que puede verse la reseña que publicó uno de sus acompañantes (la parte reclamante 2) y la contestación de PINKGREEN. - Archivo de imagen en el que se muestra la reseña publicada por la parte reclamante 1 en la que se puede observar su nombre y que ha marcado una estrella, y la respuesta de PINK GREEN, dos horas después, en la que se puede leer: “(…). (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/23 (…). (…). (…).” La parte reclamante 2 presenta el día 7 de mayo de 2024 una reclamación en la que pone de manifiesto que realizó una reseña en Google maps del establecimiento de restauración PINKGREEN, ubicado en la ciudad de Barcelona, con el enlace de la reseña. Continúa manifestando que. “2. En el momento de publicar la reseña (…) mi perfil de Google solo mostraba mi nombre (…) sin mi segundo apellido ni foto identificativa del perfil, en la descripción de mi perfil tampoco hay información personal sobre mí. 3. A los tres días, la propiedad responde a mi reseña de una forma totalmente desproporcionada, retándome a qué mostrara mi foto, (…), así como datos identificativos de su persona como (…). Se hace mención además a que su pareja (…), cosa que ahora mismo está en vía judicial, y acusaciones falsas sobre que él es quien ha ordenado realizar esas reseñas (cosa falsa) y atentando contra su honor. (…)”. Junto a su reclamación presenta impresión de pantalla de su reseña en la que se puede observar el nombre y un apellido de la parte reclamante 2 con una valoración de una estrella y con el siguiente texto: “(…).” Así como la contestación del propietario en la que se lee: “(…). (…). (…). (…).” Asimismo, aporta la contestación de PINKGREEN a la reseña de la parte reclamante 1 antes detallada. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a PINKGREEN, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/23 Común de las Administraciones Públicas (en adelante, LPACAP), no fue recogida por la parte reclamada, constando rechazada por caducidad el 13 de junio de 2024. La notificación se reiteró por correo postal certificado en fecha 27 de junio de 2024 y fue devuelta a su origen por desconocido el 12 de julio de 2024. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 7 de agosto de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: Con fecha 19/03/2025, por la AEPD se accede al perfil de empresa de PINKGREEN en “Google.com” comprobándose que las dos reseñas objeto de las reclamaciones que han dado lugar al presente procedimiento continúan publicadas. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, se comprueba que no hay disponible información económica o financiera respecto de la entidad PINKGREEN. Es una microempresa constituida el 30/01/2024, que tiene por objeto social “Restaurantes y puestos de comidas, restaurantes y cafeterías tradicionales y otros”. SEXTO: Con fecha 26 de marzo de 2025 la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6 del RGPD y del Artículo 9 del RGPD, ambas tipificadas en el Artículo 83.5 del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que: 1. Existencia de indefensión. La parte reclamada realiza esta afirmación manifestando que al domicilio social de PINKGREEN no llegó ninguna comunicación anterior al 15 de mayo de 2025, en contra de lo que se afirma en el acuerdo de inicio en su antecedente de hecho segundo. La parte reclamada entiende que esta omisión procedimental se considera un grave defecto que supone indefensión. 2. Los datos personales que son objeto de la reclamación ya obran en la página de FACEBOOK de los reclamantes. Los datos que se recogen en el acuerdo de inicio son: Nombre y apellidos de las partes reclamantes Universidad en la que estudió C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/23 En el apartado de amigos aparecen sus nombres y dos apellidos los nombres de las dos personas a que se refiere la contestación a la reseña negativa. A continuación, aporta capturas de pantalla de la página web de la red social FACEBOOK en los que se puede ver: Imagen1 es un recorte de la página de FACEBOOK de A.A.A., en la que se indica la universidad en la que estudió, y que cuenta con 550 amigos. A continuación, PINKGREEN indica que, en el apartado de amigos, aparecen las dos personas citadas en la reseña. Imagen 2, es un recorte de la página de FACEBOOK de B.B.B., en la que se indica la universidad en la que estudió, y que cuenta con 427 amigos. Imagen 3, es un recorte de la página de FACEBOOK de C.C.C., en la que se indica la universidad en la que estudió y que cuenta con 1.230 amigos. A continuación, PINKGREEN indica que tomó los datos de páginas públicas en las que el interesado puede delimitar la privacidad que quiere darle a sus datos personales y a los datos personales de sus amigos. Con relación a la cuarta persona cuyos datos aparecen en la reclamación, indica que no se producen en el marco de tratamiento de datos personales sino en el ámbito de una relación personal. Además, asegura que en el caso de “otro de los amigos que aparece en la denuncia los datos personales de él no se producen en el marco de tratamiento de datos personales sino en el ámbito de una relación personal”. Por todo ello, quiere indicar que no se ha producido ninguna infracción de la legislación en materia de protección de datos, y solicita el archivo del expediente. OCTAVO: En fecha 26 de septiembre de 2025 se accede a la página web de GOOGLE MAPS y se comprueba que los comentarios publicados por PINK GREEN a las reseñas de las partes reclamantes continúan accesibles, incorporándose al expediente mediante diligencia de esta misma fecha. NOVENO: Con fecha 22 de octubre de 2025 se formuló propuesta de resolución, proponiendo: - que por la Presidencia de la Agencia Española de Protección de Datos se sancione a PINKGREEN BARCELONA, S.L., con NIF B70641733: -por una infracción del artículo 9 del RGPD, tipificada en el artículo 83.5.

a)del RGPD, con una sanción de 2.500 euros. -por una infracción del artículo 6 del RGPD, tipificada en el artículo 83.5 del RGPD, con una sanción de 1.500 euros. Lo anterior supone un total de 4.000,00 € (cuatro mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/23 -Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a PINKGREEN BARCELONA, S.L., con NIF B70641733, que en virtud del artículo 58.2.
d)del RGPD, en el plazo máximo de 10 días, acredite haber procedido al cese en el tratamiento de datos, procediendo a la eliminación de los datos personales, así como datos identificativos, recogidos en la contestación a las reseñas presentadas por las partes reclamantes. DÉCIMO: Notificada la propuesta de resolución conforme a las normas establecidas en la LPACAP, y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. HECHOS PROBADOS PRIMERO: La parte reclamante 1, tras haber estado en el restaurante PINKGREEN (parte reclamada), puntuó al establecimiento en Google con 1 estrella y sin realizar ningún comentario. Al realizar la reseña únicamente constaba su nombre de pila. La parte reclamante 2 realizó una reseña en Google maps en el establecimiento de restauración PINKGREEN, en el que valoraba al restaurante con una estrella y con el siguiente texto: “(…).” SEGUNDO: La entidad reclamada contestó a estas reseñas recogiendo, para la parte reclamante 1 “(…). (…). (…). (…). (…).” TERCERO: La entidad reclamada contestó lo siguiente a la reseña presentada por la parte reclamante 2: “(…). (…). (…). (…).” CUARTO: El 29 de mayo de 2025, en escrito dirigido a la AEPD, PINKGREEN reconoce los hechos y asegura que los datos objeto de publicación (nombre y apellidos, universidad en la que estudió y los nombres de sus amigos) fueron extraídos del perfil de Facebook de la parte reclamante 1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/23 QUINTO: A 26 de septiembre de 2025 las reseñas y las contestaciones de PINKGREEN continúan publicadas. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Contestación a las alegaciones al acuerdo de inicio 1. Existencia de indefensión. Considera PINKGREEN que se le ha producido indefensión porque figura en el acuerdo de inicio, en los antecedentes de hecho, que se había realizado el traslado de la reclamación presentada contra la entidad cuando, asegura, no se ha recibido en el domicilio social de la empresa ninguna comunicación desde esta Agencia con anterioridad al 15 de mayo de 2025. En primer lugar, conviene resaltar que la comunicación a la que hace referencia la parte reclamada se corresponde con las actuaciones potestativas de traslado de la reclamación recogidas en el artículo 65.4 de la LOPDGDD: “Antes de resolver sobre la admisión a trámite de la reclamación (…) La Agencia Española de Protección de Datos podrá igualmente remitir la reclamación al responsable o encargado del tratamiento cuando no se hubiera designado un delegado de protección de datos ni estuviera adherido a mecanismos de resolución extrajudicial de conflictos, en cuyo caso el responsable o encargado deberá dar respuesta a la reclamación en el plazo de un mes. Si como consecuencia de dichas actuaciones de remisión, el responsable o encargado del tratamiento demuestra haber adoptado medidas para el cumplimiento de la normativa aplicable, la Agencia Española de Protección de Datos podrá inadmitir a trámite la reclamación.” En este sentido, conviene realizar una diferenciación entre las actuaciones destinadas a determinar la admisión a trámite de una reclamación, de conformidad con el artículo 65 de la LOPDGDD (entre las que se incluyen las actuaciones de traslado previstas en el artículo 65.4) y la apertura de un procedimiento sancionador por medio de un acuerdo de inicio en los términos exigidos en el artículo 68 de la LOPDGDD y conforme a lo previsto por el artículo 64 de la misma norma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/23 Las actuaciones de traslado son aquellas que la norma permite a esta Agencia, sin que tengan carácter obligatorio, antes de la admisión a trámite de la reclamación. Dicho lo anterior, y contrariamente a lo señalado por la parte reclamada, en el presente caso, se realizaron actuaciones de traslado en fecha 13 de junio de 2024 con la puesta a disposición a la entidad PINKGREEN a través de la Dirección Electrónica Habilitada Única (DEHU), constando como rechazada por caducidad, de conformidad con lo previsto en el artículo 43.2 de la LPACAP, el día 24 de junio de 2024, al haberse superado el plazo establecido para la comparecencia. Sin perjuicio de la obligación de las personas jurídicas a relacionarse electrónicamente con la Administración recogida en el artículo 14 de la LPACAP, en fecha 27 de junio de 2024, se procedió al envío por correo postal a la dirección ***DIRECCIÓN.1 figurando un primer intento en fecha 10/07/2024 con el resultado de “ausente”, y figurando como “devuelto a ORIGEN por desconocido”, el día 12 de julio de 2024. En cualquier caso, se subraya que la apertura del presente procedimiento sancionador se realizó mediante un acuerdo de inicio de 26 de marzo de 2025, que fue debidamente notificado a PINKGREEN el 15 de mayo de 2025, en el que se le imputaba la presunta infracción de los artículos 6 y 9 del RGPD - tipificadas ambas en el artículo 83.5 de la misma norma-, se fijaba una sanción inicial de un total de 4.000 euros (1.500 euros por la presunta infracción del artículo 6 del RGPD y 2.500 euros por la presunta infracción del artículo 9 del RGPD) y se otorgaba a PINKGREEN plazo para presentar alegaciones. Todo ello sin perjuicio de lo que se determine durante la instrucción del mismo. En definitiva, en el marco de este procedimiento, PINKGREEN ha podido solicitar las pruebas que ha considerado oportunas y formular alegaciones, sin que, por tanto, se aprecie la existencia de indefensión Por todo lo expuesto, procede rechazar la presente alegación. 2. Los datos personales que son objeto de la reclamación ya obran en la página de FACEBOOK de los reclamantes. Otros datos publicados han sido obtenidos como consecuencia de una relación personal. En la reclamación presentada por la parte reclamante 1 se ponía de manifiesto que, tras publicar la reseña en Google maps, la propiedad del restaurante había contestado a la misma filtrando su nombre completo, universidad en la que estudió, orientación sexual y el nombre de su pareja, así como otros datos que identifican a su pareja ((…)), así como los nombres de dos personas que le acompañaban el día que visitó el restaurante. Por su parte, la parte reclamante 2 manifestaba que, tras la publicación de la reseña, la propiedad del restaurante respondió “(…), así como datos identificativos de su persona como (…).” En relación con esta cuestión, conviene insistir en que todo tratamiento de datos personales debe contar con una base de legitimación de las previstas en el artículo 6 del RGPD para que sea válido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/23 Asimismo, ha de precisarse, igualmente, que toda operación sobre los datos personales supone un “tratamiento de datos personales” en los términos determinados por el artículo 4.2 del RGPD. El mencionado artículo 4.2 del RGPD establece como ejemplos expresos de tratamiento, entre otros la “recogida”, “registro”, “conservación” o “comunicación”, sin que en ningún caso deba entenderse como un numerus clausus. Tal y como se establece en la STJUE de 4 de mayo de 2023, en el asunto C-487/21, el concepto de tratamiento del RGPD ha de entenderse en sentido amplio, de tal forma que las operaciones citadas en el artículo 4.2) del RGPD no han de entenderse como una lista tasada: “27 En este contexto, es preciso añadir que el legislador de la Unión quiso dar al concepto de «tratamiento», tal como se define en el artículo 4, punto 2, del RGPD, un alcance amplio, al emplear una enumeración de operaciones no exhaustiva [véase, en este sentido, la sentencia de 24 de febrero de 2022, Valsts ieņēmumu dienests (Tratamiento de datos personales con fines fiscales), C 175/20, EU:C:2022:124, apartado 35]”. Por tanto, la publicación de los datos personales de los reclamantes realizada -y reconocida- por PINKGREEN, en su contestación a las reseñas dejadas en Google por éstos es un tratamiento de datos personales y habrá de contar, en consecuencia, con una base de legitimación de las previstas en el artículo 6 del RGPD. El hecho de que estos datos figuren en las redes sociales de las partes reclamantes no implica que cualquiera pueda recopilar datos de internet y publicarlos sin que medie ninguna base legitimadora para ello. El considerando 40 del RGPD señala que “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.” Así, el tratamiento consistente en la publicación de los datos personales de los reclamantes (nombre y apellidos, universidad de estudio, pareja y orientación sexual) que ha realizado PINKGREEN no cuenta con legitimación para ello, con independencia de que algunos de los datos – no todos- ya figuren en el perfil de FACEBOOK de las personas que han interpuesto reclamación y pudieran ser visibles para sus amigos o se hubieran obtenido, como asegura, “como consecuencia de una relación personal”. De esta manera, no consta que la publicación cuente con ninguna de las bases legitimadoras del mencionado artículo 6 del RGPD, en la medida en que los interesados no han dado su consentimiento para el tratamiento de sus datos personales, el tratamiento no es necesario para la ejecución de un contrato en el que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/23 el interesado sea parte o para la aplicación de medidas precontractuales, el tratamiento no es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, el tratamiento no es necesario para proteger intereses vitales del interesado o de otra persona física, el tratamiento tampoco es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, y el tratamiento no es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento. Por otra parte, debe subrayarse que los datos personales de la parte reclamante 1 relativos a su orientación sexual, indicando incluso quién es su pareja, y dando información relevante que permitiría identificar a estas dos personas, no figura entre la información que se facilitaba el perfil de Facebook al que alude la parte reclamada. Esos datos, en concreto, son datos de categoría especial de los previstos en el artículo 9 del RGPD, cuyo tratamiento se encuentra prohibido salvo que exista alguna de las excepciones a la prohibición de tratamiento de las previstas en el artículo 9.2 del RGPD. Así, si bien el artículo 9.2.
e)del RGPD incluye como excepción que levantaría la prohibición del tratamiento de estos datos “que el tratamiento se refiera a datos personales que el interesado haya hecho manifiestamente públicos”, esta circunstancia no se encuentra en el presente supuesto. Sin que, además, se aprecie ninguna otra de las circunstancias que permitirían el levantamiento de la prohibición del tratamiento previstas en el artículo 9.2 del RGPD, puesto que: - el interesado no ha dado su consentimiento explícito para el tratamiento de dichos datos personales. -no es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del derecho laboral y de la seguridad social. - el tratamiento no es necesario para proteger intereses vitales del interesado o de otra persona física no capacitada para dar su consentimiento. - el tratamiento no es efectuado en el ámbito de actividades legítimas y con garantías debidas, por una fundación, asociación u organismo sin ánimo de lucro. - el tratamiento no es necesario para la formulación, ejercicio o defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial. -el tratamiento no es necesario por razones de interés público esencial. - el tratamiento no es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social. - el tratamiento no es necesario por razones de interés público en el ámbito de la salud pública. - el tratamiento no es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos. Por lo tanto, procede rechazar esta alegación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/23 III Cuestiones previas El artículo 4.1 del RGPD define dato personal como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona” Por su parte, el apartado 2 del mismo precepto define el tratamiento de datos como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” Finalmente, el apartado 7 define al responsable del tratamiento o responsable como “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que PINKGREEN ha llevado a cabo la difusión de los datos personales de las partes reclamantes mediante una publicación de, entre otros, sus nombres y apellidos, en contestación a unas reseñas en Google. PINKGREEN realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. IV Obligación incumplida. Tratamiento de categorías especiales de datos personales El artículo 9 del RGPD, que regula el tratamiento de categorías especiales de datos personales, establece lo siguiente: "1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/23
a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/23
j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud." Por su parte, la STJUE de 1 de agosto de 2022, en el asunto, C-184/20, OT, específicamente en cuanto a la determinación del concepto de dato “de categoría especial” y de dato “relativo” a la vida sexual determina que: “120 En estas circunstancias, es preciso determinar si unos datos que pueden revelar, mediante un ejercicio intelectual de relación o deducción, la orientación sexual de una persona física, están comprendidos en las categorías especiales de datos personales en el sentido del artículo 8, apartado 1, de la Directiva 95/46 y del artículo 9, apartado 1, del RGPD. 121. Sobre este particular, según reiterada jurisprudencia, a los efectos de la interpretación de una disposición del Derecho de la Unión, ha de tenerse en cuenta no solo el tenor de esta, sino también su contexto y los objetivos perseguidos por la normativa de la que forma parte (sentencia de 21 de diciembre de 2021, Bank Melli Iran, C-124/20, EU:C:2021:1035, apartado 43 y jurisprudencia citada). 122. El artículo 8, apartado 1, de la Directiva 95/46 dispone que los Estados miembros deben prohibir el tratamiento de datos personales que «revelen» el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas, la pertenencia a sindicatos, así como el tratamiento de los datos «relativos» a la salud o de los datos «relativos» a la sexualidad. En cuanto al artículo 9, apartado 1, del RGPD, dispone que quedan prohibidos, entre otros, el tratamiento de los datos personales que «revelen» el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical y el tratamiento de datos «relativos» a la salud o datos «relativos» a la vida sexual o la orientación sexual de una persona física. 123. Como señaló, en esencia, el Abogado General en el punto 85 de sus conclusiones, aunque el empleo, en las citadas disposiciones, del verbo «revelar» enlaza con la toma en consideración de un tratamiento que no solo tiene por objeto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/23 datos intrínsecamente sensibles, sino también datos que desvelan indirectamente, mediante un ejercicio intelectual de deducción o de cruce de datos, informaciones de esta naturaleza, el adjetivo «relativo» parecen implicar, en cambio, la existencia de un vínculo más directo e inmediato entre el tratamiento y los datos en cuestión, considerados por su naturaleza intrínseca. 125. Además, una interpretación amplia de los conceptos de «categorías especiales de datos personales» y de «datos sensibles» se ve respaldada por el objetivo de la Directiva 95/46 y del RGPD, a que se ha hecho mención en el apartado 61 de la presente sentencia, de asegurar un alto nivel de protección de las libertades y de los derechos fundamentales de las personas físicas, en particular, de su intimidad, en relación con el tratamiento de los datos personales que las afectan. 126. Más aún, la interpretación contraria se opondría a la finalidad del artículo 8, apartado 1, de la Directiva 95/46 y del artículo 9, apartado 1, del RGPD, que consiste en garantizar una mayor protección frente a tales tratamientos, que, en atención a la particular sensibilidad de los datos objeto de ellos, pueden constituir, como se desprende del considerando 33 de la Directiva 95/46 y del considerando 51 del RGPD, una injerencia especialmente grave en los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales, garantizados por los artículos 7 y 8 de la Carta.” En el presente caso, ha quedado constatado que PINKGREEN, tras una reseña negativa de las partes reclamantes 1 y 2, ha contestado a dichas reseñas haciendo mención a la orientación sexual de una de ellas, con el siguiente contenido: “(…). (Reseña de la parte reclamante 1) “(…).” (Reseña de la parte reclamante 2.) Los datos relativos a la orientación sexual, por su naturaleza, pertenecen a categorías especiales de datos, reguladas en el artículo 9 del RGPD, que establece una prohibición general de su tratamiento. Así pues, su tratamiento requiere la concurrencia de alguna de las circunstancias recogidas en el apartado 2 del citado artículo que levante la prohibición general de tratamiento. No obstante, no consta en las actuaciones, y tampoco ha sido justificado por la parte reclamada, que reconoce, por otra parte, la mencionada publicación que concurra alguna de las circunstancias que salven la prohibición de tratamiento de tales datos personales. Por tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a PINKGREEN, por vulneración del artículo 9 del RGPD. V Tipificación de la infracción del artículo 9 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/23 administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
e)El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas en dicho precepto y en el artículo 9 de esta ley orgánica." VI Sanción por la infracción del artículo 9 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
a)a
h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b)la intencionalidad o negligencia en la infracción;
c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/23
d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g)las categorías de los datos de carácter personal afectados por la infracción;
h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
a)El carácter continuado de la infracción.
b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
f)La afectación a los derechos de los menores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/23
g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, corresponde la imposición de multa, además de la adopción de medidas. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Lo anterior, significa, tal y como señalan las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, que existen tres elementos como punto de partida para la imposición de una multa: el volumen de negocios en el caso de las personas jurídicas, la categorización de las infracciones según su propia naturaleza (es decir, si son infracciones del 83.4, 83.5 u 83.6 del RGPD) y el nivel de gravedad de la infracción atendiendo a las circunstancias previstas en el artículo 83.2 a),
b)y
g)del RGPD. En el presente caso, a efectos de determinar el nivel de gravedad de la infracción, se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2.
a)del RGPD): La publicación de datos relativos a la orientación sexual de una de las partes reclamantes, junto con el nombre de su pareja, se ha realizado en abierto, a través de “Google”, de gran implantación y cuyo alcance supera el ámbito nacional. Por tanto, si bien la publicación tiene dos afectados, el medio utilizado permite el acceso a la información por terceros sin restricción alguna, provocando una pérdida del control sobre sus datos por parte de los afectados. • Intencionalidad/ Negligencia en la infracción (artículo 83.2.
b)del RGPD): de la lectura de la contestación a la reseña se deduce claramente la intencionalidad de publicar dichos datos relativos a la orientación sexual para, en palabras de la parte reclamada “(…)” a la parte reclamante que le había realizado, a su juicio, una mala reseña. Así, con carácter previo a la publicación de ese dato, puede leerse: “(…)”. • Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2.
g)del RGPD): las Directrices 04/2022 del Comité Europeo de Protección de Datos, sobre el cálculo de las multas bajo el RGPD, adoptadas el 24 de mayo de 2023, en su apartado 57, señalan lo siguiente en cuanto al requisito de tener en cuenta las categorías de los datos personales afectados: “(…)el RGPD destaca claramente los tipos de datos que merecen una protección especial y, por tanto, una respuesta más estricta en lo que respecta a las multas. Esto se refiere, como mínimo, a los tipos de datos a que se refieren C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/23 los artículos 9 y 10 del RGPD y a los datos fuera del ámbito de aplicación de estos artículos cuya difusión provoque daños y perjuicios inmediatos al interesado (por ejemplo, datos de localización, datos sobre comunicación privada, números de identificación nacionales o datos financieros, como resúmenes de transacciones o números de tarjetas de crédito”). En el presente caso, se han visto expuestos datos relativos a la orientación sexual de la parte reclamante y de su pareja que son datos de categoría especial. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD con respecto a la infracción cometida al vulnerar lo establecido en el artículo 9 del RGPD, permite fijar una sanción de multa administrativa de 2.500,00 euros. VII Obligación incumplida. Licitud del tratamiento El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/23 3. La base del tratamiento indicado en el apartado 1, letras
c)y e), deberá ser establecida por:
a)el Derecho de la Unión, o
b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." El considerando 40 del RGPD señala que “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/23 parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.” En el presente caso, ha quedado constatada la publicación -reconocida por la parte reclamada- de los datos como el nombre y dos apellidos de la parte reclamante 1, parte reclamante 2, la pareja de una de las partes reclamantes y una cuarta persona, haciendo mención, además a otros datos identificativos personales detallados en los antecedentes, como (…), entre otros, sin que medie alguna de las bases legitimadoras previstas en el artículo 6. Por tanto, se considera que los hechos conocidos son constitutivos de una infracción, imputable a PINKGREEN, por vulneración del artículo 6 del RGPD. VIII Tipificación de la infracción del artículo 6 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679." IX Sanción por la infracción del artículo 6 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, así como lo previsto en el artículo 76.2 de la LOPDGG, preceptos anteriormente reproducidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/23 En el presente caso, considerando la gravedad de la infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Con carácter previo, a efectos de determinar el nivel de gravedad de la infracción, se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2.
a)del RGPD): La publicación del nombre y los dos apellidos de la parte reclamante 1, parte reclamante 2, de la pareja de uno de ellos y de una cuarta persona, así como la universidad a la que acudieron, o (…) en la contestación a la reseña publicada por las partes reclamantes supone la pérdida de control de los afectados sobre sus datos. Así, esta difusión permite el acceso a los datos personales por terceros sin restricción alguna, al realizarse a través de “Google”, de gran implantación y cuyo alcance supera el ámbito nacional. • Intencionalidad/ Negligencia en la infracción (artículo 83.2.
b)del RGPD): de la lectura de la contestación a la reseña se deduce claramente la intencionalidad de publicar dichos datos para, en palabras de la parte reclamada “(…)” a las partes reclamantes que le habían realizado, a su juicio, una mala reseña. Así, con carácter previo a la publicación de ese dato, puede leerse: “(…)”. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6 del RGPD, permite fijar una sanción de multa administrativa de 1.500,00 euros. X Medidas correctivas Confirmada la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del Artículo 6 del RGPD y Artículo 9 del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/23 En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, se requiere a PINKGREEN para que, en el plazo de 10 días, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: - Cesar en el tratamiento de los datos personales de los reclamantes, procediendo a la eliminación de sus datos personales, recogidos y publicados en la contestación a las reseñas presentadas por las partes reclamantes. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a PINKGREEN BARCELONA, S.L., con NIF B70641733, -por una infracción del Artículo 9 del RGPD, tipificada en el artículo 83.5.
a)del RGPD, una multa administrativa de cuantía 2.500 euros (dos mil quinientos euros). -por una infracción de Artículo 6 del RGPD, tipificada en el Artículo 83.5
a)del RGPD, una multa una multa administrativa de cuantía 1.500 euros euros (mil quinientos euros). SEGUNDO: ORDENAR a PINKGREEN BARCELONA, S.L., con NIF B70641733, que en virtud del artículo 58.2.
d)del RGPD, en el plazo máximo de 10 días desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cese en el tratamiento de datos, procediendo a la eliminación de los datos personales, así como datos identificativos, recogidos en la contestación a las reseñas presentadas por las partes reclamantes. TERCERO: NOTIFICAR la presente resolución a PINKGREEN BARCELONA, S.L. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/23 CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/23 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.