PS-00410-2020

1/13  Procedimiento Nº: PS/00410/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Doña A.A.A. (en adelante, la parte reclamante), con fecha 25 de septiembre de 2020, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra Don B.B.B., con NIF ***NIF.1, (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: Publicar en el sitio web ***URL.1 datos personales de la reclamante sin su autorización o consentimiento entre los que se incluyen fotografías, notas personales y referencia a sus relaciones sexuales mantenidas con el reclamado. Aporta datos del posible responsable de este sitio web con el que se encuentra en proceso de divorcio. Que según el denunciante tuvieron lugar a fecha de: entre el 11 de marzo de 2020 y el momento de la reclamación SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante / de los hechos y documentos de los que ha tenido conocimiento esta Agencia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Como resultado de las actuaciones de investigación practicadas, se constata que el responsable del tratamiento es la parte reclamada. Como resultado de las actuaciones de investigación practicadas, se constata que el responsable del tratamiento es el reclamado.  Con fecha 16 de octubre de 2020 se constatan los extremos denunciados encontrándose en el sitio web numerosas fotografías diseminadas por todo el sitio, muchas notas personales de la reclamada y referencias a su actividad sexual. Se genera diligencia con impresión de pantalla de las páginas “Portada”, “Comienzos”, “Sus notas” y algunas fotos de la Galería. Con fecha de 19 de octubre de 2020 se acuerda por esta Agencia notificar a la entidad de alojamiento Internet del sitio web medida cautelar de retirada del contenido reclamado.  Con fecha de 20 de octubre se notifica a esta entidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13    Con fecha de 21 de octubre de 2020 se comprueba que el sitio web ha sido cerrado. No existe ninguna página ni documento en este sitio web donde se especifique el responsable del sitio. No obstante, se realiza una búsqueda mediante la herramienta WHOIS obteniendo resultado coincidente en nombre y apellidos con el reclamado, como titular del dominio “***URL.1”. Realizado requerimiento de información de los datos completos de la titularidad del dominio “***URL.1” a la entidad pública empresarial RED.ES, con fecha de 28 de octubre de 2020 se recibe en esta Agencia escrito de contestación remitido por RED.ES informando de los datos del titular del dominio resultando ser coincidentes con los datos del reclamado. TERCERO: Con fecha 25 de febrero de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Art 6.1.

1. a)del RGPD, tipificada en el Art 83.5 del RGPD. CUARTO: Notificado el citado acuerdo de inicio, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifiesta lo siguiente: 1. Que desde el mes de marzo de 2020 es titular del dominio ***URL.1; en ese dominio se han incluido textos y fotografías de la relación mantenida durante 7 años con la parte reclamante, los dos últimos ya casados. El proceso de divorcio, que le resultó muy doloroso, le llevó a crear la página mencionada con la esperanza de recordar los buenos momentos y reconciliarse. Ello lo acredita que no hay reproches ni insultos. La página no tenía la finalidad de ser visitada, sino que iba dirigida a una única destinataria, como así fue; carecía de interés para terceras personas. Por lo que se aplicaría la excepción del artículo 4.
2. a)de la LOPDGDD, al tratarse de algo personal y doméstico. La normativa europea se diseñó para las grandes corporaciones o empresas que hacen uso masivo de datos. La parte reclamante puede solicitar la retirada de una información al responsable de su publicación, pero no cabe sancionarlo por ello. Solo podría denunciarse ante los Tribunales civiles por vulneración de la intimidad y el honor. 2. Recoge en el acuerdo de inicio la Agencia, el artículo 4, apartados 1 y 2 del RGPD, olvidando que en la publicación no se incluyen los apellidos de la reclamante, solo su nombre de pila, por lo que es algo anónimo. En la publicación aparecen 44 fotografías, 36 en las que están juntos o con otras personas y 8 en las que aparece ella sola, pero con el rostro pixelado. En cualquier caso, tratándose de fotografías del círculo íntimo, han de considerarse domésticas. Las imágenes no identifican ni hacen identificable a la parte reclamante. 3. Si se considerase que se podría haber vulnerado el artículo 6 del RGPD, acompaña un contrato suscrito entre ambas partes en el año 2013, en el que consiente en la difusión de imágenes, fotografías o vídeos en cualquier modalidad o formato. Así se recoge en el punto 10 del contrato. La página ha estado operativa hasta que se dictó la sentencia de divorcio; y en ningún momento se diriC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 gió a solicitar su cancelación. 4. Se han tenido en consideración a la hora de imponer la sanción los siguientes agravantes:
3. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido; naturaleza y gravedad que valora subjetivamente la agencia, debiendo tener en cuenta la duración, que ha sido breve, el alcance limitado ya que no se ha difundido, el propósito que era la reconciliación. La parte reclamada no ha indicado que daños y perjuicios se han ocasionado. En cuanto a la intencionalidad o negligencia, ha de valorarse que se han pixelado las imágenes para evitar el reconocimiento por terceros. Muestra su disconformidad con los agravantes aplicados. El documento acreditativo que aporta la parte reclamada para demostrar que contaba con el consentimiento de la parte reclamante, se denomina “Contrato de sumisión BDSM”, en el que la parte reclamante, en uso de las facultades y dándole valor contractual, se entrega a su amo, dueño, señor y maestro (el reclamado), como esclava/sumisa, cediéndole todos los derechos sobre su persona. De otra parte, el reclamado toma posesión del cuerpo y mente de la reclamante, considerándola de su propiedad. En el apartado 10 se indica lo siguiente: “Renuncio a todo derecho de intimidad u ocultamiento. Si mi amo decide exhibirme ante otras personas me mostrare ante ellas en los términos que se me indique, asumiendo que incluso pueda ser a cara descubierta. Esta renuncia incluye fotografías y videos míos o de mi persona en cualquier situación o forma, aceptando que mi Amo y Señor pueda mostrarlos. Si mi Amo y Señor decide hacer públicas imágenes de mí (fotografías o videos), en todos mis actos como su sumisa/esclava, lo consideraré un honor. También es potestad de mi Amo y Señor castigarme, poseerme y someterme públicamente para gozar de mi plena sumisión” En el “Contrato de sumisión BDSM”, aparece un apartado de “Terminación del Contrato de Sumisión” en el que se indica: Este Contrato puede darse por terminado en cualquier momento por cualquiera de ambas partes. QUINTO: Con fecha 22 de marzo de 2021, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/08354/2020, así como los documentos aportados por el reclamado, en fecha 18 de marzo de 2021. SEXTO: Con fecha 3 de abril de 2021 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancionase a la parte reclamada con una multa de 10.000 euros, por una infracción del Artículo 6.1.
4. a)del RGPD, tipificada en el Artículo 83.5 del RGPD, y calificada de infracción muy grave, a efectos de prescripción, por el artículo 72.1.
5. b)de la LOPDGDD. La parte reclamada presentó escrito de alegaciones, en el que señala lo siguiente: “El Sr. Instructor entiende que no es aplicable al caso la causa legitimadora del trataC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 miento de datos contenida en el artículo 6.1.
6. b)del RGPD argumentando para ello que, aunque el contrato firmado entre las partes (documento núm. 1 aportado en anterior escrito de alegaciones) pudiese considerarse válido para el tratamiento de imágenes, dicho contrato quedó resuelto por la propia reclamante al solicitar el divorcio del reclamado. Hay que suponer que para llegar a esa conclusión se entiende de aplicación el artículo 102 Código Civil que estipula que uno de los efectos de la admisión de la demanda de nulidad, separación o divorcio es la revocación de los consentimientos y poderes que cualquiera de los cónyuges hubiera otorgado al otro… De acuerdo con el apartado 2 del artículo 2 de la Ley Orgánica 15/1.999, de 13 de diciembre (LOPD), el régimen de protección de los datos de carácter personal que se establece en la Ley Orgánica no será de aplicación: A los ficheros mantenidos por personas físicas en el ejercicio de actividades exclusivamente personales o domésticas. Pues bien, en el presente caso no hay más datos personales de la reclamante que una serie de fotografías pixeladas, y eso implica que no existen apellidos, direcciones, actividades, referencias o cualquier otro elemento susceptible de conocimiento o empleo por terceros, lo que impide que sus derechos se puedan ver afectados de ninguna manera. Por otro lado, se trata de ficheros mantenidos por una persona física "particular", de modo que no ha existido un tratamiento profesional, mercantil o industrial, no ha intervenido empresa alguna, y el tratamiento se ha realizado en el ámbito exclusivo de una actividad personal o doméstica. Como bien señala el Sr. Instructor, el artículo 83.2 del RGPD dispone que al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrán en cuenta los factores agravantes y atenuantes que se relacionan en dicho artículo, así como cualquier otro que pueda resultar aplicable a las circunstancias del caso. Respecto a los agravantes fundamentos de derecho de la aplicados al expediente, en los propuesta de sanción se incide en primer lugar, y en forma literal, a la duración de la infracción, pero el RGPD habla más específicamente del "carácter continuado de la infracción", es decir, alude al número de ocasiones en las que el reclamado haya realizado la infracción y, es el caso, que el reclamado efectuó una única y exclusiva publicación sin añadiduras ni otras intervenciones ulteriores, por lo que la actuación tuvo una carácter aislado con independencia de que ras fotografías permanecieran en la página durante los siete meses que estuvo vigente. En cuanto a la intencionalidad, no parece que el Reglamento aluda a que el infractor lo haya hecho con una u otra finalidad, tal y como interpreta el Instructor, sino a la exis tencia o no de negligencia, de modo que, aunque el desconocimiento de la Ley no exima de su cumplimiento, se haya de tener en cuenta si el presunto infractor es una persona física que no trata datos habitualmente. La misma indeterminación cabe apreciar respecto ar criterio de gravedad de la infracción y, más aún si, como indica el instructor, dicha gravedad está en función de lo daños y perjuicios sufridos por la reclamante, ya que en el expediente no parece constar la menor acreditación al respecto. En cualquier caso, la sanción propuesta incumple lo previsto en los artículos 83.3 y 83.2 del RGPD en tanto prescinde totalmente del principio de proporcionalidad y atiende exclusivamente a un mero afán recaudatorio en el que se omite un mínimo y pruC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 dente examen de las circunstancias económicas del presunto infractor. El reclamado dispone como únicos ingresos de lo que obtiene a través de su trabajo asalariado que, como se aprecia a través de las nóminas que se acompañan como documento núm. 1, apenas supera los 1.000,00 euros mensuales. HECHOS PROBADOS PRIMERO: Con fecha 25 de septiembre de 2020, la reclamante interpuso reclamación ante la Agencia Española de Protección de Datos, dirigida contra el reclamado. El motivo es la publicación en el sitio web ***URL.1, de datos personales de la reclamante sin su autorización o consentimiento, entre los que se incluyen fotografías, notas personales y referencia a sus relaciones sexuales mantenidas con el reclamado. Aporta datos del posible responsable de este sitio web con el que se encuentra en proceso de divorcio contencioso. Que según la reclamante tuvieron lugar a fecha de: entre el 11 de marzo de 2020 y el momento de la reclamación. SEGUNDO: Con fecha 16 de octubre de 2020 se constatan los extremos denunciados encontrándose en el sitio web numerosas fotografías diseminadas por todo el sitio, muchas notas personales de la reclamada y referencias a su actividad sexual. Se genera diligencia con impresión de pantalla de las páginas “Portada”, “Comienzos”, “Sus notas” y algunas fotos de la Galería. En las capturas de pantalla se constata que, aunque se ha intentado en algunas fotografías su pixelado, la imagen de la reclamante es absolutamente identificable. TERCERO: Con fecha de 19 de octubre de 2020, se acordó por esta Agencia notificar a la entidad de alojamiento Internet del sitio web medida cautelar de retirada del contenido reclamado. Con fecha de 20 de octubre se notifica y con fecha de 21 de octubre de 2020 se comprueba que el sitio web ha sido cerrado. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), reconoce a cada Autoridad de Control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13 II La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” La grabación y difusión de imágenes, que identifican o hacen identificable a una persona, en las redes sociales o sitios web, supone un tratamiento de datos personales y, por tanto, la persona que lo hace tiene que ampararse en alguna de las causas legitimadoras señaladas en el artículo 6 del RGPD. En estos supuestos, como en el caso objeto de reclamación, la única causa legitimadora suele ser el consentimiento, en general. Y es la persona que graba y sube las imágenes a una página web la que debe demostrar que cuenta con ese consentimiento. Para que se pueda llevar a cabo lícitamente ese tratamiento tiene que cumplirse lo establecido en el artículo 6.1 del RGPD, que indica: <<1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
7. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
8. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
9. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
10. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
11. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
12. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
13. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.>>. El artículo 7 del RGPD establece, en su primer apartado lo siguiente: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/13 Por otro lado, el apartado primero del artículo 7 de la LOPDGDD especifica como ha de ser este consentimiento: “1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen.” III De conformidad con las acreditaciones de las que se dispone en el presente momento del procedimiento sancionador, se considera que el reclamado no obtuvo un consentimiento válido de la reclamante para el tratamiento de sus datos personales que se ha constatado que se produjo al publicarse en el sitio web ***URL.1 fotografías, notas personales y referencia a sus relaciones sexuales mantenidas con el reclamado de la reclamante, una vez que se había producido la separación e iniciado el proceso de divorcio contencioso; ni tampoco estaba legitimado por la relación contractual que mantenían a partir del momento de la ruptura de la pareja. Los hechos conocidos podrían ser constitutivos de una infracción, imputable al reclamado, por vulneración del art 6.1 reseñado, al no haber consentimiento para el tratamiento de los datos efectuado ni ninguna otra causa que legitimase dicho tratamiento. En relación con el documento acreditativo que aporta la parte reclamada para demostrar que contaba con el consentimiento de la parte reclamante, debemos partir del artículo 10 de la Constitución Española, que afirma, en su apartado primero que “La dignidad de la persona, los derechos inviolables que le son inherentes, el libre desarrollo de la personalidad, el respeto a la ley y a los derechos de los demás son fundamento del orden político y de la paz social” mientras que el apartado segundo añade que “Las normas relativas a los derechos fundamentales y a las libertades que la Constitución reconoce se interpretarán de conformidad con la Declaración Universal de Derechos Humanos y los tratados y acuerdos internacionales sobre las mismas materias ratificados por España”. En este sentido, el artículo 1 de la Carta de los Derechos Fundamentales de la Unión Europea afirma que “La dignidad humana es inviolable. Será respetada y protegida”. El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que mediante derecho fundamental a la protección de datos se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados. Previamente, en su Sentencia 57/1994, de 28 de febrero, el Tribunal Constitución había afirmado que “la regla del art. 10.1 C.E., proyectada sobre los derechos individuales, implica que la dignidad ha de permanecer inalterada cualquiera que sea la situación en que la persona se encuentre, constituyendo, en consecuencia, un minimum invulnerable que todo estatuto jurídico debe asegurar, de modo que las limitaciones que se impongan en el disfrute de derechos individuales no conlleven un menosprecio para la estima que, en cuanto ser humano, merece la persona”. Por tanto, la dignidad humana, inviolable, y los derechos fundamentales que le son inherentes, entre los que encontramos el de protección de datos personales, son fundamento del orden político. En relación con el contrato aportado por la parte reclamada, en el que la reclamante renuncia a “su intimidad” y a la protección de su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 imagen y, en general, a “todos los derechos sobre su persona”, entregándose como “esclava/sumisa”, debemos concluir que el mismo carece de cualquier validez contractual. En este sentido, el artículo 6 del Código Civil establece que la exclusión voluntaria de la Ley aplicable y la renuncia a los derechos en ella reconocidos sólo serán válidas cuando no contraríen el interés o el orden público ni perjudiquen a terceros. En atención a lo ya manifestado, la renuncia a estos derechos fundamentales se reputa contraria al orden público, lo que conlleva su falta de validez. En cuanto a las alegaciones de la parte reclamada referidas, en primer lugar, a que no se aplica el RGPD ya que se aplica a la realización del tratamiento la excepción doméstica, según lo establecido en el artículo 2.2 del RGPD y artículo 2.2.
14. a)de la LOPDGDD, hay que señalar lo siguiente: dice al artículo 2.2 del RGPD: “2. El presente Reglamento no se aplica al tratamiento de datos personales:
15. c)efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas”. Esta Agencia, en cambio, considera que la actuación de la persona reclamada no puede incluirse en esta excepción. Para definir qué ha de considerarse como tratamiento de carácter exclusivamente personal o doméstico, aunque puede descartarse en este caso la aplicación de aquellos preceptos sin necesidad de entrar en ese análisis, es conveniente tener en cuenta la doctrina del TJUE declarada en las sentencias Lindqvist, Rynes y Testigos de Jehová (STJUE de 10 de julio de 2018, C-25/17). De acuerdo con estas sentencias, cabe considerar que el TJUE entiende, con carácter general, que la excepción de actividades de carácter exclusivamente personal o doméstico ha de ser interpretada en sentido estricto, tan solo cuando el tratamiento de datos afecte “incidentalmente” a la vida privada o intimidad de “otras personas”, distintas del responsable que trata los datos personales. También se dice por parte del Tribunal que el carácter de actividades personales o domésticas no se define exclusivamente por oposición a la difusión de los datos, sino que esa difusión implica que un tratamiento de datos personales relativo a la vida privada o familiar de los particulares no pueda ser considerado excluido de la normativa protectora, de modo que puede haber otros casos en que aun tratándose datos personales de carácter personal o doméstico, este no pudiera entenderse incluido dentro de la excepción prevista en el artículo 2.2
16. c)del RGPD. No cabe perder de vista cuál es el tratamiento de datos personales que se realiza en el presente caso consiste en la publicación y difusión de imágenes y notas privadas en un sitio web que podía ser accedido por terceros. Como puede verse, en este caso no es que la vida privada o la intimidad de otra persona quede “incidentalmente” afectada, sino que el objeto mismo de este tratamiento de datos es, precisamente, la imagen de la reclamada. Es decir, el tratamiento de los datos personales de la reclamada cuya imagen se esta difundiendo contra su voluntad no es una mera molestia “incidental” dentro de un tratamiento de datos más general, sino que el uso de sus datos personales es precisamente el objetivo del tratamiento. Luego no cabe considerar en ningún caso que dicho tratamiento de datos de la parte reclamante es meramente incidental, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13 sino que se trata de un tratamiento “principal”. La STJUE de 10 de julio de 2018, C-25/17, Testigos de Jehová, establece una interpretación acerca del concepto de actividades exclusivamente personales o domésticas y dice así: 42 Como ha declarado el Tribunal de Justicia, el artículo 3, apartado 2, segundo guion, de la Directiva 95/46 debe interpretarse en el sentido de que contempla únicamente las actividades que se inscriben en el marco de la vida privada o familiar de los particulares. A este respecto, no procederá considerar que una actividad es exclusivamente personal o doméstica, a efectos de dicho precepto, cuando tenga por objeto permitir a un número indeterminado de personas el acceso a datos personales o cuando la actividad se extienda, aunque sea en parte, al espacio público y esté por tanto dirigida hacia el exterior de la esfera privada de la persona que procede al tratamiento de los datos (véanse, en este sentido, las sentencias de 6 de noviembre de 2003, Lindqvist, C-101/01, EU:C:2003:596, apartado 47; de 16 de diciembre de 2008, Satakunnan Markkinapörssi y Satamedia, C-73/07, EU:C:2008:727, apartado 44, y de 11 de diciembre de 2014, Ryneš, C-212/13, EU:C:2014:2428, apartados 31 y 33). La Sentencia del TJUE de 6/11/2003, “Lindqvist” se refiere al supuesto de una persona física, que trabajaba como voluntaria en una iglesia como catequista en Suecia. Esta persona había creado una página web propia en internet, abierta a cualquiera, en la que en un tono humorístico hacía referencia a sus compañeros de voluntariado en la iglesia, revelando sus nombres, números de teléfono, aficiones, y en algún caso comentó que una compañera suya estaba de baja por una herida o enfermedad en un pie, lo que fue considerado como un dato de salud. Y se refiere a si este tipo de actuaciones estarían excluidas de la aplicación de la normativa de protección de datos si se consideran actividades exclusivamente personales o domésticas, indicando: “30. La Sra. Lindqvist sostiene que un particular que, en el ejercicio de su libertad de expresión, crea diversas páginas web en el marco de una actividad sin ánimo de lucro o en su tiempo de ocio, no realiza una actividad económica y, por tanto, su conducta no está sujeta al Derecho comunitario… 31. El Gobierno sueco alega que, al adaptar el Derecho interno a la Directiva 95/46, el legislador sueco considero que el tratamiento, por una persona física, de datos personales que consiste en transmitir dichos datos a un número indeterminado de destinatarios, por ejemplo, por medio de Internet, no puede calificarse de ≪actividades exclusi vamente personales o domesticas≫ en el sentido del artículo 3, apartado 2, segundo guion, de la Directiva 95/46… 45. Pues bien, las actividades voluntarias o religiosas como las que realiza la Sra. Lindqvist no pueden equipararse a las actividades citadas en el primer guion del artículo 3, apartado 2, de la Directiva 95/46 y, por tanto, no están comprendidas en dicha excepción. 46 En cuanto a la excepción prevista en el segundo guion del artículo 3, apartado 2, de la Directiva 95/46, en el duodécimo considerando de esta última, relativo a dicha excepción, se citan como ejemplos de tratamiento de datos efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domesticas la corresC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13 pondencia y la llevanza de un repertorio de direcciones. Esta excepción debe interpretarse en el sentido de que contempla únicamente las actividades que se inscriben en el marco de la vida privada o familiar de los particulares; evidentemente, no es este el caso de un tratamiento de datos personales consistente en la difusión de dichos datos por Internet de modo que resulten accesibles a un grupo indeterminado de personas.” Por tanto, a la actividad realizada por la parte reclamante le es plenamente aplicable el RGPD, ya que no puede considerarse una actividad personal o doméstica. En segundo lugar, alega la parte reclamante que pixeló las imágenes para que no se identificase a la reclamada. En la documentación que forma parte del procedimiento, se han obtenido las imágenes tal y como aparecían publicadas en el sitio web reclamado, comprobándose que la reclamada es absolutamente identificable en las fotografías publicadas. IV La vulneración del artículo 6.1 del RGPD se encuentra tipificada en el artículo 83 del RGPD que, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, señala: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Euros como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
17. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La LOPDGDD en su artículo 72.1.
18. b)califica esta infracción, a efectos de prescripción, como infracción muy grave. En la determinación de la multa administrativa que correspondería imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
19. a)a
20. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
21. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
22. b)la intencionalidad o negligencia en la infracción; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13
23. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
24. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
25. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
26. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
27. g)las categorías de los datos de carácter personal afectados por la infracción;
28. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
29. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
30. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
31. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
32. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, establece: “2. De acuerdo a lo previsto en el artículo 83.2.
33. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
34. a)El carácter continuado de la infracción.
35. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
36. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
37. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
38. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
39. f)La afectación a los derechos de los menores.
40. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
41. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” A efectos de fijar el importe de la sanción de multa que procede proponer que se imponga al reclamado por la a infracción del RGPD que se le atribuye, se aprecia que concurren los siguientes factores que operan agravando la antijuridicidad de su conducta o su culpabilidad: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 turaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido; - La intencionalidad o negligencia en la infracción; Se aprecia en calidad de atenuante la circunstancia de la falta de vinculación de la actividad del infractor con la realización de tratamientos de datos personales. En relación a las alegaciones de la parte reclamada sobre los agravantes aplicados, no cabe ninguna duda acerca de la duración de la misma: desde el mes de marzo de 2020, hasta octubre del mismo año, momento en que un Inspector de Datos de la Inspección de la Agencia Española de Protección de Datos se dirige al a la entidad de alojamiento Internet del sitio web para pedir su supresión. La gravedad de la infracción se debe apreciar desde el objetivo de la reclamante, no del reclamado, quedando acreditado los daños y perjuicios sufridos. Por otra parte, se trata de una actuación intencionada, como indica la parte reclamada, al señalar que su intención era revertir la situación de la separación y recuperar a la reclamante. Acompaña la parte reclamada, las nóminas de algunos meses del año 2021. Se constata que el salario neto es de alrededor de 1.300 euros mensuales. Por proporcionalidad se suele entender, coloquialmente, la reducción de la sanción impuesta. Sin embargo, ello no ha de ser necesariamente así: proporcionalidad significa adecuación, mesura, ponderación y equilibrio. Por tanto, se vulnera este principio no sólo cuando se mantiene el exceso cometido, sino también cuando aquélla se reduce injustificadamente más de lo debido pues en este caso se llegaría a la inoperancia de la sanción, privándola de los efectos persuasivos que la misma puede ofrecer. Es por ello que el artículo 29.3 de la Ley 40/2015, al regular el principio de proporcionalidad, utiliza la expresión “debida idoneidad y necesidad de la sanción a imponer y su adecuación a la gravedad del hecho constitutivo de la infracción”. De conformidad con el salario de la parte reclamada, la cuantía impuesta puede considerarse desproporcionada, por lo que en aplicación del principio de proporcionalidad es adecuado reducirla a la cuantía de 1.500 euros, para mantener el carácter proporcionado y a la vez disuasorio que ha de garantizarse con la imposición de las multas administrativas. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a Don B.B.B., con NIF ***NIF.1, por una infracción del Artículo 6.1.
42. a)del RGPD, tipificada en el Artículo 83.5 del RGPD, y calificada de infracción muy grave, a efectos de prescripción, por el artículo 72.1.
43. b)de la LOPDGDD una multa de 1.500 € (mil quinientos euros). SEGUNDO: NOTIFICAR la presente resolución a Don B.B.B.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
44. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
45. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es