PS-00440-2023

1/8  Expediente N.º: EXP202309575 (PS/00440/2023) RESOLUCIÓN DE ARCHIVO DE ACTUACIONES POR CADUCIDAD DEL PROCEDIMIENTO De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Con fecha 05/07/23, D. A.A.A. en nombre y representación acreditada de Dª B.B.B. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación va dirigida contra Dª C.C.C., con NIF.: ***NIF.1 (en adelante, la parte reclamada), por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD). En el escrito de reclamación se indica que el 26/06/23 se produjo (…), que fue grabado y publicado sin consentimiento y sin pixelar las imágenes, en el perfil de Facebook,"***PÁGINA D.D.D.”, accesible en la dirección: ***URL.1, y donde se puede apreciar “(…)”. Junto con el escrito de reclamación se presenta la siguiente documentación: - Copia del vídeo de 1:10 minutos de duración, donde se puede ver (…). - Pantallazo de la página de Facebook denominada “***PÁGINA D.D.D.”, donde aparece un fotograma del vídeo indicado, con el título “(…)” ***URL.2. - Pantallazo de los datos identificativos del perfil de Facebook: “***PÁGINA D.D.D.”: (…) es responsable de esta página. Teléfono ***TELÉFONO.1. Correo electrónico, (…), web: ***URL.2. - Copia del documento de la entidad pública “Red.es” donde se indica que el titular del dominio “(…)” es Dª C.C.C.. - Copia del documento de la entidad pública “Red.es” donde se indica que el titular del dominio “(…)” es Dª C.C.C.. SEGUNDO: Con fecha 14/07/23, de conformidad con lo estipulado en el artículo 65.4 de la LOPDGDD, por parte de esta Agencia, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase, en el plazo de un mes, sobre lo que se exponía en el escrito de reclamación. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 Públicas (en adelante, LPACAP), fue recogido en fecha 28/07/23, como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha 14/08/23, se recibe en esta Agencia, escrito de contestación al traslado, en el que destacan las consideraciones siguientes: - Que NO se ha encontrado el citado vídeo en la página de Facebook "***PÁGINA D.D.D.", se adjunta capturas en el ANEXO 1. - Se aportan capturas con los registros de publicaciones archivadas y eliminadas donde se observa que no se ha modificado ninguna publicación de la página. - Se ha realizado una búsqueda en el resto de RRSS con el mismo nombre de cuenta (Instagram y Twitter) y tampoco se ha localizado en ninguna de ellas. - El enlace aportado por la parte reclamante no es correcto y la red social responde con un mensaje de "Puede deberse a un error técnico". CUARTO: Con fecha 21/09/23, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. QUINTO: Con fecha 25/10/23, por parte de esta Agencia se accede a la dirección indicada en la que se indica estar colgado el vídeo, diligenciando la respuesta dada desde la red social: “Esta página no está disponible en este momento. Puede deberse a un error técnico que intentábamos solucionar". SEXTO: Con fecha 17/11/23, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a Dª C.C.C., con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 5.1.

1. c)del RGPD, tipificada en el artículo 83.5.
2. a)del mismo Reglamento, y calificada como muy grave en el artículo 72.1.
3. a)de la LOPDGDD. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder, atendidas las evidencias existentes en el momento de la apertura y sin perjuicio de lo que resulte de la instrucción, ascendería a un total de 10.000 euros (diez mil euros). Asimismo, se advertía que las infracciones imputadas, de confirmarse, podrán conllevar la imposición de medidas, según el citado artículo 58.2
4. d)del RGPD. SÉPTIMO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que solicita el archivo del procedimiento. En relación con los hechos que motivaron la apertura del procedimiento, la parte reclamada reitera las indicaciones expresadas en su escrito de respuesta al trámite de traslado. OCTAVO: Con fecha 24/01/24 se formuló propuesta de resolución en el sentido de que por la Directora de la AEPD se sancionase a la parte reclamada, por vulneración de lo establecido en el artículo 5.1.
5. c)del RGPD, tipificada en el artículo 83.5.
6. a)del mismo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 Reglamento, y calificada a efectos de prescripción como muy grave en el artículo 72.1.
7. a)de la LOPDGDD, con una sanción de 10.000 euros (diez mil euros). NOVENO: Con fecha 16/02/24, la parte reclamada presenta escrito de alegaciones a la propuesta de resolución en el cual, entre otras cuestiones, manifiesta lo siguiente: Primero: En primer lugar, esta parte debe mostrar su rotunda disconformidad con la resolución notificada, dado que se han omitido todas y cada una de las pruebas aportadas por esta parte de su inocencia. Y es que no podemos desconocer que en todo procedimiento sancionador rige el principio de presunción de inocencia, siendo que toda persona es inocente mientras no se demuestre su culpabilidad. Ahora bien, en el presente procedimiento, ante su finalidad aparentemente recaudatoria, la propuesta de resolución se basa más en indicios (letra a ap. 'II) que en prueba propiamente dicha. Y es que el organismo al que me dirijo señala que “existen indicios racionales que permitirían imputar a la reclamada la comisión de las infracciones de la normativa de protección de datos personales”. Pero ¿qué pasa con la prueba aportada por esta parte donde se indica por un perito informático que dicho video no ha estado nunca en la página de Facebook ¿la compareciente? ¿Vale más un mero indicio que una prueba pericial? En los propios hechos probados de la resolución impugnada se establece, a la vista de una serie de pantallazos de Facebook, que dicho video ha estado colgado en la página de Facebook de la compareciente, para después señalar que, habiendo intentado el acceso por parte de la Agencia, el mismo no ha sido posible. El organismo al que me dirijo pretende una prueba diabólica como es demostrar que no se ha subido a la plataforma de Facebook de la compareciente, cuando lo cierto es que carente de pruebas pretende sancionar a la misma. A pesar de que quien acusa debe probar, lo cierto es que esta parte en su anterior escrito de alegaciones aporta informe pericial donde queda acreditado como dicho video nunca ha estado en dicha página de Facebook. Como documento Nº UNO esta parte aporta informe pericial donde se deja constancia de la facilidad con que se pueden manipular los “pantallazos”, señalando que dentro del panel de administración de la página de Facebook “***PÁGINA D.D.D.” no se detecta que esté subido dicho contenido. Si un documento firmado por un perito informático no es suficiente para demostrar que no se ha subido dicho contenido en la página de Facebook de la compareciente, animamos a la Agencia que nos indique que sería necesario, Dado que para acusar han servido simples capturas de pantalla, pero para la defensa no sirve el informe pericial aportado. Segundo.- En relación al punto
8. b)de dicho ap. II, esta parte debe solicitar que se explique mejor la Agencia, dado que en un principio se decía que se apreciaba el rostro de la mujer, para después responder que únicamente es suficiente cualquier imagen de una persona donde se le identifique directamente o la hagan identificable de forma indirecta. No podemos obviar que estamos ante unas supuestas capturas de pantalla supuestamente falsos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 donde con mucha imaginación podemos reconocer a alguien, (…). El propio informe pericial indica que la mujer no es identificable. Entonces, ¿qué dato tiene en Cuenta este organismo para indicar que sí es identificable? Por lo tanto, a pesar de que esta parte sostiene que en ningún momento dicho video ha estado colgado en la página (“de Facebook de la compareciente, lo cierto es que debemos resaltar que el mismo no conculcaría el derecho a la protección de datos, dado que la mujer no es reconocible. Parece que el video se ha grabado con un móvil de mala calidad por lo que la cara no se aprecia con claridad. Tampoco se aprecia ningún dato donde se pueda identificar a dicha mujer, por lo que no entendemos que se siga manteniendo por esta agencia. Ahora bien, insistimos, dicho contenido no ha estado colgado en la página de Facebook “***PÁGINA D.D.D.”, ya que tal como indica el informe pericial aportado, un, pantallazo” puede alterarse fácilmente. Tercero.- es necesario señalar que en aplicación del principio de presunción de inocencia y el principio in dubio pro reo, es la propia Agencia la que debe demostrar que las imágenes han sido captadas por la compareciente. Además, resulta un tanto imposible haber sido obtenidas por la misma cuando su domicilio habitual se encuentra en otra Comunidad Autónoma, (…) y difícilmente se encontraría en la ciudad donde supuestamente se han captado las imágenes. Cuarto.- Por último es necesario señalar que esta parte, discrepa igualmente con la tipificación de la infracción cometida. Esto se alega sin perjuicio de que mantengamos nuestra postura, corroborada por el informe pericial, de que dicho contenido no ha estado colgado en la página de Facebook de la compareciente. La Agencia está cambiando de criterio, basándose inicialmente en que la cara era reconocible, para indicar en la última resolución notificada que es suficiente con que por cualquier dato sea reconocible, pero sin identificar cual es dicho dato. Estamos ante una doble rasante de la agencia, donde una presunción sirve para sancionar, pero una prueba pericial no sirve para desvirtuar la acusación. Ahondando en el principio de presunción de inocencia, el mismo se recoge en el art. 24 CE-, así como en el art 53 de la Ley 39/2015. Se trata de un derecho propio del ordenamiento penal al que la jurisprudencia, por afinidad, hizo extensiva al procedimiento administrativo sancionador. Corresponde a la Administración probar la certeza de los hechos atribuidos a la compareciente, y no a la compareciente demostrar que algo no ha ocurrido. "No existe prueba de cargo suficiente, siendo que existe una finalidad del todo recaudatoria en el presente procedimiento, dado que otra cosa no se entiende. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 sobre el principio de presunción de inocencia, nuestro tribunal Constitucional y al respecto del periodo probatorio, tiene resuelto lo siguiente: “(...) cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador debe traducirse en un pronunciamiento absolutorio (...) [Sentencia '76/90 de 25 de abril (FJ. 8º)]”.' Nuestra jurisprudencia requiere además que para que la prueba indiciaria pueda destruir la presunción de inocencia, reúna los siguientes requisitos:
9. a)Las pruebas indiciarias han de partir de hechos “plenamente probados.”
10. b)Los hechos constitutivos de la infracción deben deducirse de forma racional y razonada y deben explicitarse en la resolución sancionadora. Así lo mantienen entre otras, las SSTC 229/1988; 107/1989; 24/1997 y 45/97. Ahora bien, en el presente caso la prueba indiciaria con la que cuenta la agencia resulta del todo desvirtuada por el informe pericial aportado por esta parte, por lo que procede una resolución donde se acuerde la absolución de la compareciente. FUNDAMENTOS DE DERECHO I Competencia En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Procedimientos en caso de posible vulneración de la normativa de protección de datos El artículo 64 de la LOPDGDD determina lo siguiente, respecto a la Forma de iniciación del procedimiento y duración: 1. Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 2. Cuando el procedimiento tenga por objeto la determinación de la posible existencia de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, y en la presente ley orgánica, se iniciará mediante acuerdo de inicio, adoptado por propia iniciativa o como consecuencia de reclamación, que le será notificado al interesado. Si el procedimiento se fundase en una reclamación formulada ante la Agencia Española de Protección de Datos, con carácter previo, esta decidirá sobre su admisión a trámite, conforme a lo dispuesto en el artículo 65 de esta ley orgánica. Admitida a trámite la reclamación, así como en los supuestos en que la Agencia Española de Protección de Datos actúe por propia iniciativa, con carácter previo al acuerdo de inicio podrá existir una fase de actuaciones previas de investigación, que se regirá por lo previsto en el artículo 67 de esta ley orgánica. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. 3. Cuando así proceda en atención a la naturaleza de los hechos y teniendo debidamente en cuenta los criterios establecidos en el artículo 83.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, la Agencia Española de Protección de Datos, previa audiencia al responsable o encargado del tratamiento, podrá dirigir un apercibimiento, así como ordenar al responsable o encargado del tratamiento que adopten las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos de una determinada manera y dentro del plazo especificado. El procedimiento tendrá una duración máxima de seis meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones. Será de aplicación en este caso lo dispuesto en los párrafos segundo y tercero del apartado 2 de este artículo. 4. El procedimiento podrá también tramitarse como consecuencia de la comunicación a la Agencia Española de Protección de Datos por parte de la autoridad de control de otro Estado miembro de la Unión Europea de la reclamación formulada ante la misma, cuando la Agencia Española de Protección de Datos tuviese la condición de autoridad de control principal para la tramitación de un procedimiento conforme a lo dispuesto en los artículos 56 y 60 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. Será en este caso de aplicación lo dispuesto en los apartados 1, 2 y 3 de este artículo. 5. Los plazos de tramitación establecidos en este artículo así como los de admisión a trámite regulados por el artículo 65.5 y de duración de las actuaciones previas de investigación previstos en el artículo 67.2, quedarán C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 automáticamente suspendidos cuando deba recabarse información, consulta, solicitud de asistencia o pronunciamiento preceptivo de un órgano u organismo de la Unión Europea o de una o varias autoridades de control de los Estados miembros conforme con lo establecido en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, por el tiempo que medie entre la solicitud y la notificación del pronunciamiento a la Agencia Española de Protección de Datos. 6. El transcurso de los plazos de tramitación a los que se refiere el apartado anterior se podrá suspender, mediante resolución motivada, cuando resulte indispensable recabar información de un órgano jurisdiccional”. A tenor de lo dispuesto en el artículo transcrito, el procedimiento sancionador ha de entenderse caducado si, transcurridos más de doce meses contados desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio, no se ha procedido a dictar y notificar la resolución del procedimiento sancionador. En el presente caso, el acuerdo de inicio se firmó el día 17/11/23 por lo que, el plazo de doce meses de duración máxima del procedimiento sancionador finalizaba el día 17/11/23, estando el procedimiento aún pendiente de finalización, por lo que debe declararse su caducidad. III Prescripción de la infracción Por otra parte, el artículo 95.3 de la citada LPACAP, determina que: “La caducidad no producirá por sí sola la prescripción de las acciones del particular o de la Administración, pero los procedimientos caducados no interrumpirán el plazo de prescripción. En los casos en los que sea posible la iniciación de un nuevo procedimiento por no haberse producido la prescripción, podrán incorporarse a éste los actos y trámites cuyo contenido se hubiera mantenido igual de no haberse producido la caducidad. En todo caso, en el nuevo procedimiento deberán cumplimentarse los trámites de alegaciones, proposición de prueba y audiencia al interesado.” Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: DECLARAR la CADUCIDAD del presente procedimiento sancionador, con el número EXP202309575 (PS/00440/2023), procediendo al archivo de las actuaciones. SEGUNDO: NOTIFICAR la presente Resolución a Dª C.C.C., Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
11. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es