1/9 Procedimiento Nº PS/00421/2012 RESOLUCIÓN: R/01609/2016 En el procedimiento sancionador PS/00421/2012, instruido por la Agencia Española de Protección de Datos a D. C.C.C., vista la denuncia presentada por Dña. A.A.A. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 22 de mayo de 2012 tiene entrada un escrito de la Regidoria d’Igualtat del Ayuntamiento de ***LOCALIDAD.1, por el que se pone en conocimiento de la Agencia la publicación en internet de datos de doña A.A.A. (en lo sucesivo la denunciante). En el escrito se refiere que don B.B.B. (en lo sucesivo el denunciado), expareja de la denunciante, ha publicado en su propio perfil de la red social Facebook un informe sanitario emitido el DD de MM de AA como consecuencia de ............ El escrito hace referencia a la sentencia firme dictada ese mismo día por el Tribunal XXXXX, que ............ Se aporta copia de la denuncia presentada por la denunciante ante la Guardia Civil el 15 de mayo de 2012, en la que se denuncia la publicación en internet del documento. En fechas posteriores se reciben en la Agencia otros cuatro escritos en los que se reiteran los hechos y se pone de manifiesto la difusión posterior del mismo documento por otros usuarios de la misma red social, que han compartido este contenido. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información al denunciado, teniendo conocimiento de que:
- a)Por la Inspección de Datos se comprobó el DD de MM de AA que en el muro del perfil del denunciado de Facebook figuraba, de forma accesible para todos los usuarios de la red social, una anotación realizada el 15 de mayo de 2012 por el propio titular del perfil con el texto: “XXXXXXX…” y una fotografía del informe al que hace referencia la denuncia, donde se detallan ................ y se incluye una valoración realizada por la Médico Forense: “En el reconocimiento médico forense se aprecia inicialmente ................................................................”
- b)Por la Inspección de Datos se ha verificado el 10 de julio de 2012 que el documento seguía siendo accesible en el perfil del denunciado para todos los usuarios de Facebook, sin restricciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 TERCERO: Con fecha 24 de julio de 2012, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador al denunciado, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de **/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.
- b)de dicha norma, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada vigente redacción de la LOPD. CUARTO: Notificado el acuerdo de inicio, el denunciado mediante escrito que tiene entrada el 16/08/2012 en esta Agencia Española de Protección de Datos, comunica que: “…A mayor abundamiento de lo expuesto y en el acto del juicio de faltas n° ****/2012, por parte del Ministerio Fiscal se interpuso recurso de reforma contra el Auto de incoación del mismo, solicitando la apertura de Procedimiento Abreviado, por un posible delito de revelación de secretos. El recurso del fiscal fue desestimado, al considerar el Juzgador que no se había violado la intimidad de la Denunciante ni ningún secreto judicial alguno, ya que no había declaración previa de confidencialidad de la causa penal, según lo prevenido en los artículos 301 y 302 de la Lecrim. El procedimiento se encuentra a la espera de pronunciamiento por la estancia judicial superior. Por tanto, siendo la jurisdicción penal prevalente, debe de estarse a lo que se decida en el procedimiento penal arriba reseñado. Acompaño como documento UNO, copia del Recurso de Reforma del Ministerio Fiscal y como documento DOS, Acta de Juicio de Faltas de DD/MM/AA, desestimando el Recurso de Reforma interpuesto por el Ministerio Fiscal (…) El documento (Informe Forense) 10 único que desvela es la comisión de varios delitos por doña A.A.A. y por los que esta parte ha interpuesto DENUNCIA ante los Juzgados Ordinarios (razón de más, para que se abstenga la Agencia de Protección de Datos). Acompaño como documento TRES copia de la Denuncia interpuesta contra doña A.A.A. por su actuar falsario ante la Autoridad Judicial…” QUINTO: Con fechas 28/08 y 10/09/2012, la Instructora del procedimiento sancionador solicita información al Juzgado de XXXXX y al Juzgado de ###### respectivamente, sobre la identidad de sujeto, hecho y fundamento entre la presunta infracción administrativa y la infracción penal que pudiera corresponder. SEXTO: Con fecha 4/10/2012 el Director de la Agencia Española de Protección de Datos dicta acuerdo de suspensión del procedimiento PS/00421/2012 incoado al denunciado, al estarse tramitando el Juicio de Faltas ****/2012 en el Juzgado de XXXXX y las Diligencias Previas ****/2012 en Juzgado de ######, todo ello de conformidad con lo preceptuado en el artículo 7 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora. Dicho Acuerdo de suspensión fue trasladado a los citados Juzgados y a los denunciados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 SÉPTIMO: Con fecha 17 de junio de 2013 se solicitó al citado Juzgado de Instrucción de Denia información sobre las diligencias previas ****/2012, remitiendo el mismo escrito de 5/07/2013 en el que comunica: <<…poner en su conocimiento que el procedimiento Diligencias Previas ****/12 se sigue por un presunto delito de simulación de delito, siendo parte denunciante C.C.C. y parte imputada A.A.A., habiendo recaído en el mismo auto de sobreseimiento provisional, el cual no es firme puesto que pende de recurso de apelación, por todo lo que cual, no existe identidad de sujetos, puesto que la parte denunciante/denunciada es la misma pero en posiciones contrarias en cada procedimiento, tampoco se trata del mismo hecho delictivo, ni se cometió en la misma fecha…>> OCTAVO: Solicitada periódicamente información al citado Juzgado de XXXXX, se recibe escrito de 1/09/2014 en el que comunica: <<…Que, el procedimiento Juicio de Faltas n° **/12, por estimación del recurso de apelación con número de rollo ***/12 por la Sección Primera de la Audiencia Provincial de ***PROVINCIA.1, se vino a transformar en procedimiento Diligencias Previas n° **/13 que fue inhibido por incompetencia objetiva para su conocimiento por el Juzgado de ......., correspondiendo actualmente su conocimiento al Juzgado de ###### como Procedimiento Abreviado n° ***/13, de lo que doy fe…>> NOVENO: Solicitada periódicamente información al Juzgado de ............, con fecha 2/03/2016 comunica: “…el Juicio Oral ****/2014 fue celebrado el dia DD-MM-AA, se dictó Sentencia **/2016 el día ........ de dos mil dieciséis, dicha Sentencia es FIRME desde el mismo día DD-MM-AA…” En los hechos probados de la misma se recoge: <<…El acusado B.B.B., mayor de edad, de nacionalidad ...... y con .............publicó en internet, a través de la red social Facebook, un informe de sanidad de la misma, emitido por el Médico Forense el día DD de MM de AA, en las Diligencias Urgentes **/2012, del Juzgado de XXXXX, en las que resultó ..............................…>> DÉCIMO: A la vista de la citada sentencia firme, la Directora de la Agencia Española de Protección de Datos en fecha 17/03/2016 acordó levantar la suspensión del presente procedimiento sancionador. Dicho acuerdo fue notificado a la denunciante. Igualmente se intentó la notificación al denunciado, en fechas 21 y 22 de marzo de 2016, siendo devuelta por el Servicio de Correos, haciendo constar “ausente”, por lo que se remitió al Boletín Oficial del Estado, publicándose en este último en fecha DD/MM/2016. UNDÉCIMO: Con fecha 25/04/2016 se acordó iniciar el período de práctica de pruebas. Se intentó la notificación de dicho acuerdo al denunciado, en fechas 29 de abril y 4 de mayo de 2016, siendo devuelta por el Servicio de Correos, haciendo constar “Ausente”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 DUODÉCIMO: Con fecha 3/06/2016 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se archive el presente procedimiento. Dicho escrito fue notificado al denunciado y a la denunciante. HECHOS PROBADOS PRIMERO: Con fecha de 22 de mayo de 2012 tiene entrada un escrito de la Regidoria d’Igualtat del Ayuntamiento de ***LOCALIDAD.1, por el que se pone en conocimiento de la Agencia la publicación en internet de datos de la denunciante. En el escrito se refiere que el denunciado, expareja de la denunciante, ha publicado en su propio perfil de la red social Facebook un informe sanitario emitido el DD de MM de AA como consecuencia de ............ El escrito hace referencia a la sentencia firme dictada ese mismo día por el Tribunal XXXXX, que ............ Se aporta copia de la denuncia presentada por la denunciante ante la Guardia Civil el 15 de mayo de 2012, en la que se denuncia la publicación en internet del documento. En fechas posteriores se reciben en la Agencia otros cuatro escritos en los que se reiteran los hechos y se pone de manifiesto la difusión posterior del mismo documento por otros usuarios de la misma red social, que han compartido este contenido (folios 12 a 29, 34 a 40 y 43 a 55). SEGUNDO: Por la Inspección de Datos se comprobó el DD de MM de AA que en el muro del perfil del denunciado de Facebook figuraba, de forma accesible para todos los usuarios de la red social, una anotación realizada el 15 de mayo de 2012 por el propio titular del perfil con el texto: “XXXXXXX…” y una fotografía del informe al que hace referencia la denuncia, donde se detallan ................ y se incluye una valoración realizada por la Médico Forense: “En el reconocimiento médico forense se aprecia inicialmente ...................................................................................................................” (folios 30 a 33). TERCERO: El Juzgado de ............, con fecha 2/03/2016 comunica: “…el Juicio Oral ****/2014 fue celebrado el dia DD-MM-AA, se dictó Sentencia **/2016 el día ........ de dos mil dieciséis, dicha Sentencia es FIRME desde el mismo día DD-MM-AA…” (folio 275). En la misma se recogen como hechos probados que: “El acusado B.B.B., mayor de edad, de nacionalidad ...... y con .............publicó en internet, a través de la red social Facebook, un informe de sanidad de la misma, emitido por el Médico Forense el día DD de MM de AA, en las Diligencias Urgentes **/2012, del Juzgado de XXXXX, en las que resultó ..............................” Y en fundamento de derecho primero: “Los hechos declarados probados son constitutivos de un delito de descubrimiento y revelación de secretos, previsto y penado en el artículo 197.2 y 4 del Código Penal” (folios 270 a 272). FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II El artículo 6.1 de la LOPD señala: “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. El artículo 6.2, por su parte, establece que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia de 30 de noviembre de 2000, consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...) (F.J. 7 primer párrafo). Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El Grupo de Autoridades Europeas de Protección de Datos (GT29), órgano consultivo europeo independiente establecido en virtud del artículo 29 de la Directiva 95/46/CE, adoptó el 12 de junio de 2009 el Dictamen 5/2009, sobre las redes sociales en línea. Este documento se centra en cómo el funcionamiento de los servicios de redes sociales (SRS) puede satisfacer los requisitos de la legislación sobre protección de datos de la Unión Europea. En particular, en el documento se destaca cómo muchos usuarios de las redes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 sociales se mueven dentro de una esfera puramente personal, poniéndose en contacto con gente como parte de la gestión de sus asuntos personales, familiares o domésticos. Según destaca el GT29, la citada Directiva no impone las obligaciones de un responsable de datos a un individuo que procesa datos personales "en el transcurso de actividades estrictamente personales o domésticas". Siguiendo este precepto, el GT29 estima que, con carácter general, en la mayor parte de las actividades realizadas por los usuarios de un SRS debe aplicarse lo que denomina "exención doméstica", en lugar de la normativa de protección de datos. Ahora bien, en el Dictamen se especifican así mismo tres supuestos en los que tales actividades no estarían cubiertas por la "exención doméstica". El primer supuesto se refiere a los casos en los que se utiliza el SRS como plataforma de colaboración para una asociación o una empresa. Si un usuario de SRS actúa en nombre de una sociedad o asociación, o utiliza el SRS principalmente como una plataforma para conseguir objetivos comerciales, políticos o benéficos, la exención no se aplica. En este caso, el usuario asume todas las obligaciones de un responsable de datos que está revelando datos personales a otro responsable de datos (el SRS) y a terceros (otros usuarios del SRS o, potencialmente, otros responsables de datos con acceso a los mismos). En estas circunstancias, el usuario necesita el consentimiento de las personas concernidas o algún otro fundamento legítimo dispuesto en la Directiva de Protección de Datos. El GT29 expone que los prestadores del SRS deben garantizar la instauración de configuraciones por defecto gratuitas y que respeten la privacidad, restringiendo el acceso a los contactos seleccionados. En estas condiciones, cuando el acceso a la información del perfil se amplía hasta más allá de los contactos seleccionados, como cuando se facilita el acceso al perfil a todos los miembros del SRS o cuando los datos son indexables por motores de búsqueda, el acceso se sale de la esfera personal o doméstica. De igual manera, si un usuario toma una decisión informada de ampliar el acceso más allá de los "amigos" seleccionados, las responsabilidades inherentes a un responsable de datos se activan. Efectivamente, se aplicará el mismo régimen legal que cuando cualquier persona utiliza otras plataformas tecnológicas para divulgar datos personales en Internet. En varios Estados Miembros, la falta de restricciones de acceso (y así el carácter público) significa que la Directiva de Protección de Datos se aplica en el sentido de que el usuario de Internet adquiere responsabilidades de un responsable de datos. No obstante, el GT29 hace constar que, aunque la exención doméstica no se aplique, el usuario de SRS puede beneficiarse de otras exenciones como la exención con fines periodísticos o de expresión literaria o artística. En dichos casos, se ha de llegar a un equilibrio entre la libertad de expresión y el derecho a la privacidad. Finalmente, el GT29 aborda un tercer escenario en que la “exención doméstica” no sería aplicable. Se trata de aquellos supuestos en los que es preciso garantizar los derechos de terceros, particularmente en relación con datos sensibles. No obstante, se hace constar que, aun cuando se aplique la “exención doméstica”, un usuario podría ser responsable de acuerdo con las disposiciones generales de la legislación civil o penal nacional en cuestión (por ejemplo, por difamación, responsabilidad civil extracontractual por suplantación de personalidad, responsabilidad penal). En el Dictamen se aclara el concepto de “datos sensibles”. Así, los datos que revelan el origen racial o étnico, opiniones políticas, creencias religiosas o filosóficas, la pertenencia a un sindicato o datos relativos a la salud o a la vida sexual se consideran C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 sensibles. Los datos personales sensibles solo se pueden publicar en Internet con el consentimiento explícito del sujeto de datos o si el sujeto de datos ha hecho que los datos sean manifiestamente públicos él mismo. En consecuencia, de conformidad con el criterio interpretativo mantenido por el GT29, es preciso que concurra alguno de los escenarios expuestos, en los que la “exención doméstica” no resulta de aplicación, para que sean aplicables los requisitos previstos en la LOPD. En el presente caso no concurre ninguna de las excepciones expuestas, siendo por tanto plenamente aplicable la normativa de protección datos a la publicación de datos personales en Facebook sin restricciones de acceso para el resto de usuarios de la red social. En este sentido, a partir de las actuaciones de inspección practicadas, ha quedado acreditado el tratamiento sin consentimiento de los datos personales de la denunciante, habiendo sido estos hechos ratificados por el Juzgado de ............ en la mencionada sentencia: “…publicó en internet, a través de la red social Facebook, un informe de sanidad de la misma, emitido por el Médico Forense el día DD de MM de AA, en las Diligencias Urgentes **/2012, del Juzgado de XXXXX, en las que resultó ...............................” III El artículo 44.3.
- b)de la LOPD, en su vigente redacción aprobada por Ley 2/2011, de 4 de marzo, de Economía Sostenible, tipifica como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. La Audiencia Nacional ha manifestado en su Sentencia de 22 de octubre de 2003 que <<la descripción de conductas que establece el artículo 44.3.
- d)de la Ley Orgánica 15/1999 cumple las exigencias derivadas del principio de tipicidad, a juicio de esta Sala, toda vez que del expresado precepto se desprende con claridad cuál es la conducta prohibida. En efecto, el tipo aplicable considera infracción grave “tratar de forma automatizada los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la Ley”, por tanto, se está describiendo una conducta –el tratamiento automatizado de datos personales o su uso posterior- que precisa, para configurar el tipo, que dicha conducta haya vulnerado los principios que establece la Ley Orgánica. Ahora bien, estos principios no son de aquellos que deben inferirse de dicha regulación legal, sino que aparecen claramente determinados y relacionados en el título II de la Ley, concretamente, por lo que ahora interesa, en el artículo 6 se recoge un principio que resulta elemental en la materia, que es la necesidad de consentimiento del afectado para que puedan tratarse automatizadamente datos de carácter personal. Por tanto, la conducta ilícita por la que se sanciona a la parte recurrente como responsable del tratamiento consiste en usar datos sin consentimiento de los titulares de los mismos…>> En el caso analizado, debe considerarse incumplido el principio de consentimiento regulado en el artículo 6 de la LOPD, lo que, en consecuencia, supone la comisión de una infracción tipificada como grave en el trascrito artículo 44.3.
- b)de la citada Ley Orgánica. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 IV No obstante, el artículo 133 de la Ley 30/1992, de 26 de noviembre, de régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, Concurrencia de sanciones, estable: “No podrán sancionarse los hechos que hayan sido sancionados penal o administrativamente, en los casos en que se aprecie identidad del sujeto, hecho y fundamento.” El artículo 5.1 del citado Reglamento del procedimiento para el ejercicio de la potestad sancionadora, Concurrencia de sanciones establece: “1. El órgano competente resolverá la no exigibilidad de responsabilidad administrativa en cualquier momento de la instrucción de los procedimientos sancionadores en que quede acreditado que ha recaído sanción penal o administrativa sobre los mismos hechos, siempre que concurra, además, identidad de sujeto y fundamento.” El principio “non bis in idem” que fue analizado por primera vez por nuestro Tribunal Constitucional en STC 2/1981, de 30 de enero de 1981 (BOE núm. 47, de 24 de febrero de 1981), expone en su fundamento Jurídico 4º: “El principio general del derecho conocido por non bis in idem supone, en una de sus más conocidas manifestaciones, que no recaiga duplicidad de sanciones -administrativa y penal- en los casos en que se aprecie la identidad del sujeto, hecho y fundamento sin existencia de una relación de supremacía especial de la Administración -relación de funcionario, servicio público, concesionario, etc....- que justificase el ejercicio del ius puniendi por los Tribunales y a su vez de la potestad sancionadora de la Administración.” De la lectura de la citada sentencia, se deducen los tres elementos esenciales que permiten esgrimir la vulneración del principio “non bis in idem”: identidad de sujeto, identidad de hecho e identidad de fundamento. En el presente caso procede el archivo del presente procedimiento por el citado principio, por cuanto se produce una identidad de hechos, sujeto y fundamento jurídico, dado que el artículo 197 del C.P. es el que regula los delitos relacionados con la protección de datos. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR el presente procedimiento sancionador. SEGUNDO: NOTIFICAR la presente resolución a D. C.C.C. y a Dña. A.A.A.. TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es