PS-00426-2014

1/8 Procedimiento Nº PS/00426/2014 RESOLUCIÓN: R/02566/2014 En el procedimiento sancionador PS/00426/2014, instruido por la Agencia Española de Protección de Datos a D. C.C.C., vista la denuncia presentada por Dña. B.B.B. y en base a los siguientes, ANTECEDENTES PRIMERO: En fecha de 26 de mayo de 2014 tiene entrada un escrito de doña B.B.B. (en lo sucesivo la denunciante), madre de un niño de 1 año, quien manifiesta haber contratado una sesión fotográfica al estudio D.D.D. y haber tenido conocimiento un mes después, a través de este mismo estudio, de que una fotografía de su hijo había sido publicada en Facebook. Según expone, no autorizó en ningún momento la publicación de la foto y el estudio se ha negado a retirarla, incluso después de denunciar la foto a través de la red social, por lo que solicita la intervención de la Agencia. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se ha verificado en fecha 20 de junio que la fotografía a la que se refiere la denunciante, que muestra al menor semidesnudo, resulta públicamente accesible, para cualquier usuario de la red social Facebook a través del perfil A.A.A.. TERCERO: Con fecha 22 de julio de 2014, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador al denunciado, por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD) en relación con el art. 13.1 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD, tipificada como grave en el artículo 44.3.

1. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de la LOPD. CUARTO: Notificado el acuerdo de inicio, la denunciante mediante escrito de fecha 31/07/2014 formuló alegaciones significando: <<…Que en relación con el expediente de referencia, iniciado como consecuencia de la denuncia presentada por esta parte contra el estudio de fotografía D.D.D., por medio del presente escrito informo que por parte de dicho establecimiento se ha procedido a retirar la fotografía publicada y a pedirme disculpas. Que teniendo en cuenta que ha habido un malentendido sobre el no consentimiento a la publicación de la fotografía, y que los hechos denunciados no me han causado ningún perjuicio, solicito que se deje sin efecto la denuncia presentada, y en consecuencia se proceda al archivo del procedimiento sancionador incoado…>> C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 QUINTO: Notificado el acuerdo de inicio, el denunciado mediante escrito de fecha 12/08/2014 formuló alegaciones significando que: <<…Sin embargo, no es cierto que esta parte no solicitase la autorización para su publicación, ni mucho menos que me negase a retirarla. Al respecto, esta parte quiere hacer constar que en todo momento solicita permiso para publicar las fotos, y en el presente caso parece que ha habido un malentendido al respecto, pues tal y como expone la denunciante tuvo conocimiento de la publicación de la foto a través de este propio estudio, es decir esta parte no ha intentado publicar la foto sin comentarlo primero con la madre del menor, y desde el primer momento esta parte consideró que la publicación de la foto si contaba con el consentimiento de la denunciante. No obstante lo anterior, en el mismo día que esta parte ha tenido conocimiento de la denuncia ha procedido a retirar la fotografía y a pedir disculpas a la madre del menor, trasladándola mi más sincero arrepentimiento por lo que entiendo que ha sido un malentendido (…) CUARTA: Para terminar, esta parte quiere hacer constar que actualmente recaba por escrito autorización o consentimiento expreso para la exposición o publicación de cualquier trabajo realizado…>> SEXTO: Con fecha 8/09/2014 se inició el período de práctica de pruebas, en el que se acordó, entre otras: <<…3. Solicitar a D. C.C.C. que remita a esta Agencia copia del documento mediante el cual recaba el consentimiento expreso de sus clientes, cuyas imágenes publica en Internet. Dicha remisión deberá ser realizada en el plazo de diez días hábiles a la recepción del presente escrito. 4. Para que las manifestaciones realizadas en el escrito de 31/07/2014 por la denunciante puedan ser tenidas en cuenta a efectos probatorios, es necesario que la misma nos remita Acta de Manifestaciones realizadas ante Notario, (es decir que comparezca ante Notario y realicen las mismas manifestaciones volcadas en el citado documento…>> Con fecha 23/09/2014 tiene entrada en esta Agencia escrito de la denunciante adjuntando el Acta de Manifestaciones solicitada. Así mismo con fecha 10 y 13 de octubre de 2014 el denunciado remite la documentación solicitada. SÉPTIMO: Con fecha 14/10/2014 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 1.000 € al denunciado, por la comisión de una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
2. b)de dicha Ley. OCTAVO: Con fecha 11/11/2014 tiene entrada en esta Agencia escrito de alegaciones C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 del denunciado frente a la citada propuesta de resolución en el que comunica: <<…Esta parte considera que en el presente caso se debe aplicar el artículo 45.6 de la LOPD, que excepcionalmente permite no acordar la apertura del procedimiento sancionador. Concurren todos los requisitos establecidos en dicho artículo 45.6 de la LOPD, pues los hechos denunciados son constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley, y esta parte no ha sido nunca sancionada o apercibida con anterioridad. Además, en el presente caso, hay que tener en cuenta, que el mismo día que esta parte ha tenido conocimiento de la denuncia ha procedido a retirar la fotografía y a pedir disculpas a la madre del menor, trasladándola mi más sincero arrepentimiento por lo que entiendo que ha sido un malentendido. Igualmente, hay que tener en cuenta, que la propia denunciante ha aceptado mis disculpas, y ha presentado sendos escritos solicitando dejar sin efecto la denuncia presentada y archivar el procedimiento (…) Por otro lado, esta parte considera que en el presente caso, se dan todas las circunstancias enumeradas en el artículo 45.4 de la LOPD para tener en cuenta la falta de antijuricidad y de culpabilidad en la concreta actuación infractora, entre las que destaco las siguientes: - Que la actividad profesional del dicente no tiene nada que ver con la realización de datos de carácter personal. - Que el volumen de negocio del dicente es escaso. - Que esta parte no ha obtenido ningún beneficio económico. - Que ha sido un hecho aislado y no ha habido intencionalidad. - Que nunca he sido denunciado ni sancionado. - Que no se han publicado datos personales de identificación ni del menor ni de sus progenitores. - Que se ha retirado la fotografía tan pronto se ha tenido conocimiento de la oposición de la denunciante. - Que la denunciante no ha sufrido daño o lesión alguna. - Que se ha pedido disculpas personalmente a la denunciante…>> HECHOS PROBADOS PRIMERO: En fecha de 26 de mayo de 2014 tiene entrada un escrito de la denunciante, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 madre de un niño de 1 año, quien manifiesta haber contratado una sesión fotográfica al estudio D.D.D. y haber tenido conocimiento un mes después, a través de este mismo estudio, de que una fotografía de su hijo había sido publicada en Facebook. Según expone, no autorizó en ningún momento la publicación de la foto y el estudio se ha negado a retirarla, incluso después de denunciar la foto a través de la red social, por lo que solicita la intervención de la Agencia. A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se ha verificado en fecha 20 de junio que la fotografía a la que se refiere la denunciante, que muestra al menor semidesnudo, resulta públicamente accesible, para cualquier usuario de la red social Facebook a través del perfil A.A.A. (folios 1 a 8). SEGUNDO: Posteriormente, la denunciante ha remitido Acta de Manifestaciones ante Notario de Santander comunicando: <<…“Que en relación con el expediente número PS/00426/2014 seguido ante la Agencia Española de Protección de Datos, iniciado como consecuencia de la denuncia presentada por mí contra el estudio de fotografía D.D.D., por medio del presente escrito informo que por parte de dicho establecimiento se ha procedido a retirar la fotografía publicada y a pedirme disculpas. Que teniendo en cuenta que ha habido un malentendido sobre el no consentimiento a la publicación de la fotografía, y que los hechos denunciados no me han causado ningún perjuicio, solicito que se deje sin efecto la denuncia presentada, y en consecuencia se proceda al archivo del procedimiento sancionador incoado”…>> (folios 63 a 69). TERCERO: Con fecha 10 y 13 de octubre de 2014 se recibe en esta Agencia copia de los documentos mediante el cual el denunciado recaba el consentimiento expreso de sus clientes, cuyas imágenes publica en Internet (folios 70 a 73). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
3. g)en relación con el artículo 36 de la LOPD. II El artículo 6.1 de la LOPD señala: “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. El artículo 6.2, por su parte, establece que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” De acuerdo con el criterio mantenido por la Audiencia Nacional, al tratamiento de datos de carácter personal en Internet le resulta de aplicación la normativa española de protección de datos. En particular, resulta relevante la sentencia de 20/04/2009 (recurso 561/2007), donde el órgano judicial aplica los fundamentos de la sentencia de 7/11/2003, del Tribunal de Justicia de la Unión Europea (caso Lindqvist. Asunto C-101/01), al entender que “la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones constituye un «tratamiento total o parcialmente automatizado de datos personales» en el sentido del artículo 3, apartado 1, de la Directiva 95/46." III Por otra parte, el artículo 13 del Reglamento de desarrollo de la LOPD señala: “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”, que al regular en su artículo 13 el consentimiento para el tratamiento de datos de menores de edad, establece: “1. Podrá procederse al tratamiento de los datos de los mayores de catorce años con su consentimiento, salvo en aquellos casos en los que la Ley exija para su prestación la asistencia de los titulares de la patria potestad o tutela. En el caso de los menores de catorce años se requerirá el consentimiento de los padres o tutores. 2. En ningún caso podrán recabarse del menor, datos que permitan obtener información sobre los demás miembros del grupo familiar, o sobre las características del mismo, como los datos relativos a la actividad profesional de los progenitores, información económica, datos sociológicos o cualesquiera otros, sin el consentimiento de los titulares de tales datos. No obstante, podrán recabarse los datos de identidad y dirección del padre, madre o tutor con la única finalidad de recabar la autorización prevista en el apartado anterior. 3. Cuando el tratamiento se refiera a datos de menores de edad, la información dirigida a los mismos deberá expresarse en un lenguaje que sea fácilmente comprensible por aquéllos, con expresa indicación de lo dispuesto en este artículo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 4. Corresponderá al responsable del fichero o tratamiento articular los procedimientos que garanticen que se ha comprobado de modo efectivo la edad del menor y la autenticidad del consentimiento prestado en su caso, por los padres, tutores o representantes legales.” IV El artículo 44.3.
4. b)de la LOPD, en su vigente redacción aprobada por Ley 2/2011, de 4 de marzo, de Economía Sostenible, tipifica como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. En el caso analizado, debe considerarse incumplido el principio de consentimiento regulado en el artículo 6 de la LOPD, lo que, en consecuencia, supone la comisión de una infracción tipificada como grave en el trascrito artículo 44.3.
5. b)de la citada Ley Orgánica. V El artículo 45 apartados 1 a 5 de la LOPD en su vigente redacción aprobada por Ley 2/2011, de 4 de marzo, de Economía Sostenible indican: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
6. a)El carácter continuado de la infracción.
7. b)El volumen de los tratamientos efectuados.
8. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
9. d)El volumen de negocio o actividad del infractor.
10. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
11. f)El grado de intencionalidad.
12. g)La reincidencia por comisión de infracciones de la misma naturaleza.
13. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
14. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
15. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora.” 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
16. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
17. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
18. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
19. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
20. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.» Dicho artículo 45.5 de la LOPD, que no es sino la manifestación del llamado principio de proporcionalidad (art. 131 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común), incluido en el más general de prohibición de exceso reconocido por la Jurisprudencia como Principio General del Derecho (Sentencia del Tribunal Constitucional 62/1982), y es consecuencia del valor justicia que informa nuestro Ordenamiento Jurídico (Art. 1 de la Constitución Española), sin embargo debe aplicarse con exquisita ponderación, y sólo en los casos en los que la culpabilidad resulte sustancialmente atenuada atendidas las circunstancias del caso concreto. En el presente caso debe tenerse en cuenta a los efectos de la aplicación del artículo 45.5 de la LOPD, la circunstancia - el entorno de Internet proclive a la introducción de información -, la falta de vinculación de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, así como que el denunciado es persona física y las manifestaciones realizadas por la denunciante en sus escritos de 31 de julio y 18 de septiembre 2014: “...Que teniendo en cuenta que ha habido un malentendido sobre el no consentimiento a la publicación de la fotografía…” Por todo ello, es por lo que procede imponer la sanción de 1000 euros. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a D. C.C.C., por una infracción del artículo 6.1 de la LOPD en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 relación con el art. 13.1 del Real Decreto 1720/2007, tipificada como grave en el artículo 44.3.
21. b)de dicha norma, una multa de 1000 € (mil euros) de conformidad con lo establecido en el artículo 45 apartados 2 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a D. C.C.C. y a Dña. B.B.B.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00-0000-0000-00-0000000000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es