← España

PS-00470-2019

1/15  Procedimiento Nº: PS/00470/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A., ***PUESTO.1 (en adelante, el reclamante) con fecha 3/07/2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B. con NIF ***NIF.1 (en adelante, el reclamado) por haber expuesto el 19/09/2018 en su perfil personal de FACEBOOK sus datos (nombre y primer apellido en relación con una intervención (…) contra un delincuente producida el día 17/09/2018. Aporta: -Hojas impresas de FACEBOOK, bajo B.B.B., el 19/09 a las 16:03 en una hoja en la que figura (folio 17) con su nombre y apellidos, 16/10/2018 (posible referencia a la fecha de impresión de la hoja), que comienza “voy a hablar claro Tanta desinformación me satura”, comenta que estaban intentando robar en unas naves y que al ver llegar a A.A.A. en el vehículo (…), estos se dan a la fuga. Aparte menciona el nombre y apellidos de otro ***PUESTO.1 que “hace aproximadamente un año tuvo que pedir traslado a la localidad de ***LOCALIDAD.1 como consecuencia de un presunto acoso (…), aún sin resolver por nuestro ayuntamiento.” En otro post ante las manifestaciones de una persona de que no se ha de poner el apellido de un ***PUESTO.1, responde el reclamado que: “me limito a transmitir lo que se comenta en la calle y lo que está en la calle es voz populi” “El objeto del post es la denuncia de la falta de información que tenemos (…). También se comenta que esos delincuentes forman parte de una banda organizada que venían actuando por esta zona, ¿ no crees que tenemos derecho a estar informados y en su caso prevenidos? -En otros cuatro folios aporta “personas que han compartido esto” siendo 19 personas. C-Copia de “informe complementario a la denuncia XXX/2018 por infracción a la ley 4/2015 de protección de la seguridad ciudadana”, de 16/10/2018, firmado por el reclamante, conteniendo sus manifestaciones en referencia a una denuncia en la que se propone para sanción a B.B.B. y en la que figura: “Se desconoce de donde ha extraído la información en cuanto a que sabía quién era el ***PUESTO.1 que había actuado en los hechos ocurridos, datos pertenecientes a la investigación que actualmente se encuentra en curso y que solo eran conocidos por los componentes del cuerpo, que a través de la base de datos pueden acceder a la información indicada”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 “Con los datos expuestos por el denunciado, del nombre y apellidos del ***PUESTO.1, tan solo con entrar en un buscador de internet e introducir los datos se localiza fácilmente así como otros datos suyos.”. -Se aporta el resultado de la página de GOOGLE en la que figuran diversos datos y noticias relacionadas con el reclamante, entre otras destaca: A.A.A. ***PUESTO.1, figurando en la noticia su fotografía e identificación con sus datos. En algunas noticias y blogs por ejemplo, ***BLOG.1 también figura su foto, así como de otros ***PUESTO.1, y se puede ver también su segundo apellido. Señala en la reclamación el reclamante que el reclamado es Concejal de ***PARTIDO.POLITICO.1. SEGUNDO: A la vista de los hechos manifestados, se trasladó la reclamación a GRUPO MUNICIPAL DE ***PARTIDO.POLITICO.1, en el ayuntamiento de la PALMA DEL CONDADO, que recibe el 3/09/2019, para que informara: 1. Especificación clara de las causas que han motivado la incidencia que ha dado lugar a la reclamación. 2. Detalle de las medidas adoptadas por el responsable para solucionar la incidencia y para evitar que se produzcan nuevas incidencias como la expuesta. 3. Documentación acreditativa de que se ha atendido el derecho del reclamante a ser informado sobre el curso y el resultado de la presente reclamación. Con fecha 7/10/2020, el Ayuntamiento procedió a devolver el escrito indicando que en dicha sede no se halla el citado GRUPO, entendiendo que se había producido una notificación indebida o defectuosa; al haber sido recibida por persona distinta del destinatario. Proporcionó el ayuntamiento una dirección del citado GRUPO, siendo enviado el 13/11/2019, y dando como resultado “devuelto por desconocido el 18/11/2019”. TERCERO: Con fecha 16/12/2019 la directora de la AEPD acuerda admitir a trámite la reclamación. CUARTO: Con fecha 2/01/2020 se recibe escrito del reclamante en el que indica que” Con fecha 29/12, se ha recibido notificación de la AEPD (agencia española de protección de datos), dónde se acuerda la admisión a trámite de dicha reclamación, no obstante se ha observado un error en la misma, debido a que la queja va contra una persona en concreto y no contra al grupo municipal de ***PARTIDO.POLITICO.1, tal y como se hace constar en la resolución. “Se solicita se emita una nueva resolución aclarando que la queja va contra B.B.B. (antiguo concejal de la agrupación municipal ***PARTIDO.POLITICO.1(…)) QUINTO: Con fecha 3/03/2020 se acuerda por la directora de la AEPD iniciar procedimiento sancionador de apercibimiento al reclamado, por la presunta infracción del artículo 5.1.

  1. a)del RGPD, conforme al artículo 83.5.
  2. a)y el 58.2.
  3. b)y
  4. d)del citado RGPD. SEXTO: Se reciben alegaciones por el reclamado el 3/07/2020 en las que indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 -Prescripción de la infracción. El hecho se produjo el 19/09/2018 y ha sido notificado el 12/03/2020, transcurrido en exceso el plazo de un año que establece el artículo 74
  5. a)de la LOPGDD para las infracciones leves. -Indica que la denuncia no iba dirigida hacia él, sino al GRUPO MUNICIPAL ***PARTIDO.POLITICO.1 que era contra la que figuraba dicha admisión a trámite. Manifiesta que, al no haberse seguido el procedimiento contra él, no ha sido conocedor de las actuaciones realizadas con anterioridad a la resolución notificada. sin que haya podido participar en las actuaciones previas. Considera que se ha vulnerado su derecho a la tutela judicial efectiva al causarle indefensión, no ha podido alegar nada en su defensa al no habérsele dirigido el traslado a él, ni haber tenido conocimiento antes del acuerdo de inicio, de acto alguno. A su juicio ello da lugar a nulidad del procedimiento. -Considera que en la fase instructora que resulta del acuerdo de 3/03/2020 que se la ha notificado, se han realizado requerimientos dirigidos a otra persona, y el desconoce su contenido, habiéndose impuesto una sanción sin procedimiento. -Manifiesta que “No se le indicaba concretamente la publicación denunciada –que he podido identificar por la fecha y el contenido y dado que es la única en la que he citado al denunciante”. -Adjunta la referencia a dos sentencias, de la AN 29/11/2013 recurso 455/2011 y de de10/06/2014, recurso 166/2013, para justificar que, al no caber imponer medida de cumplimiento o correctora, que es la propia esencia del apercibimiento se debería dictar archivo -Indica que eliminó la publicación en el mismo momento de la notificación del acuerdo de inicio, por lo que no considera necesaria la imposición de la sanción. Aporta un enlace. SÉPTIMO: Con fecha 1/10/2010 se emite propuesta de resolución con el literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a B.B.B., con NIF ***NIF.1, por una infracción del artículo 5.1.
  6. a)del RGPD, de conformidad con el artículo 83.5
  7. a)del RGPD, una multa de apercibimiento de conformidad con el artículo 58.2.
  8. b)del RGPD.” Frente a las mismas no se recibieron alegaciones. HECHOS PROBADOS 1) El reclamante, ***PUESTO.1 (…) reclama contra B.B.B. (el reclamado) por haber expuesto en su perfil personal de FACEBOOK, desde 19/09/2018, sus datos (nombre y primer apellido en relación con una intervención (…) contra un delincuente producida el día 17/09/2018. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 2) El comunicado objeto de la reclamación sigue visible, según copia impresa con fecha 2/08/2019, fecha posterior a entrada de la reclamación, que forma parte del expediente. 3) Acreditan los hechos las hojas impresas de FACEBOOK, aportadas por el reclamante en las que bajo B.B.B., se ve la fecha 16/10/2018 y la fecha en que aparece puesta la noticia, el 19/09 a las 16:03 figurando comentada la fuga de unos delincuentes que fueron perseguidos por el reclamante, anunciando su nombre y primer apellido, para criticar la poca información que proporciona el Ayuntamiento. En el mismo comentario se menciona el nombre y apellidos de otro ***PUESTO.1 que “hace aproximadamente un año tuvo que pedir traslado a la localidad de ***LOCALIDAD.1 como consecuencia de un presunto acoso (…), aún sin resolver por nuestro ayuntamiento.” El literal figura con 23 comentarios y 42 veces compartido. Algunos comentarios (19 personas) indican a. –“Gracias a ti nos enteramos de muchas cosas como también gracias a ***PARTIDO.POLITICO.1 le da las gracias por defender sus ideas y propuestas. En otro post ante las manifestaciones de una persona de que no se ha de poner el apellido de un ***PUESTO.1, responde el reclamado que: “me limito a transmitir lo que se comenta en la calle y lo que está en la calle es voz populi” “El objeto del post es la denuncia de la falta de información que tenemos (…) En otros siete folios de FACEBOOK figuran “Personas que han reaccionado, con unas veinte personas en cada cara de hoja. 4) Señala el reclamante inicialmente que el reclamado, es Concejal de ***PARTIDO.POLITICO.1, si bien en un escrito tras la admisión a trámite que tuvo lugar el 16/12/2019, concretamente el 2/01/2020 presenta escrito en la AEPD especificando que el grupo municipal se ha disuelto, desconociéndose si durante la tramitación de este procedimiento es o sigue ostentando en su caso dicha condición. 5) Manifiesta el reclamado que eliminó la publicación en el mismo momento de la notificación del acuerdo de inicio, que tuvo lugar según indica el 12/03/2020. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 II Señala el reclamante inicialmente, que el reclamado, es Concejal de ***PARTIDO.POLITICO.1, si bien en un escrito tras la admisión a trámite que tuvo lugar el 16/12/2019, concretamente el 2/01/2020 presenta escrito en la AEPD especificando que el grupo municipal se ha disuelto, desconociéndose si durante la tramitación de este procedimiento es o sigue ostentando en su caso dicha condición. Conviene indicar que la persona o entidad que determina como responsable el reclamante no vincula para dirigir la imputación de la eventual infracción a la que se considere responsable. En el presente procedimiento no se han llegado a realizar actuaciones previas de investigación tal como se definen en la LOPDGDD, llevándose a cabo un traslado de la reclamación cuya finalidad es conocer lo sucedido y eventuales actuaciones correctoras o detalles de lo sucedido, que puede conducir en un plazo preestablecido, a la admisión y continuación del procedimiento o la inadmisión del mismo, cuya naturaleza y finalidad es distinta de las actuaciones previas de investigación. Indica el artículo 64.2 de la LOPDGDD: “2. Cuando el procedimiento tenga por objeto la determinación de la posible existencia de una infracción de lo dispuesto en el Reglamento (UE) 2016/679 y en la presente ley orgánica, se iniciará mediante acuerdo de inicio adoptado por propia iniciativa o como consecuencia de reclamación.” “Si el procedimiento se fundase en una reclamación formulada ante la Agencia Española de Protección de Datos, con carácter previo, esta decidirá sobre su admisión a trámite, conforme a lo dispuesto en el artículo 65 de esta ley orgánica.” “Admitida a trámite la reclamación así como en los supuestos en que la Agencia Española de Protección de Datos actúe por propia iniciativa, con carácter previo al acuerdo de inicio, podrá existir una fase de actuaciones previas de investigación, que se regirá por lo previsto en el artículo 67 de esta ley orgánica.” Lo común de las actuaciones previas cuando se practican con los traslados para determinar la admisión, es que ambos pueden derivar en el inicio de un procedimiento sancionador, en su forma de acuerdo de inicio, o si no se revela infracción, en archivo. Para el caso de acuerdo de inicio, reitera el artículo 67.1 de dicha Ley: “Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento.” El hecho de que el traslado se intentara efectuar a una parte y el acuerdo de inicio resulte incoado al reclamante, no constituye vulneración de derecho alguno por cuanto se considera que el responsable de la infracción, el que trata los datos es el imputado, el reclamado, y el acuerdo de inicio se limita a motivar los hechos y la imputación al reclamado, sin que se hayan vulnerado sus derechos pues antes del acuerdo no puede hablarse propiamente de expediente ni existe por tanto derecho alguno a conocer las informaciones o actuaciones que figuran y que conducen al acuerdo de inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 Por tanto, las actuaciones previas de investigación pueden llevarse a cabo o no, Se deduce que deberían efectuarse cuando no se tiene claro el responsable o los términos de la comisión de la infracción. En este caso, no se practican pues la Directora estima en su acuerdo de inicio, tras los tramites de traslado y el análisis de los hechos, que aparecen claros indicios de que los datos de contienen en una página de una cuenta de la red social bajo el nombre del reclamado, a nivel particular, sin figurar conexión alguna con ningún partido ni grupo municipal, solo se menciona la titularidad del reclamado con su nombre y apellidos, y manifestando su opinión personal, actuando en su propio nombre según se deduce, llevando a cabo el tratamiento de datos del reclamante, e incluso contestando a una pregunta de una interviniente en la red sobre los datos, respondiendo que tiene derecho a ser informado. En cuanto al tipo de sanción que se propone, de apercibimiento, indica el artículo 58.2.
  9. b)del RGPD: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: “
  10. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento” Que es distinto al apercibimiento que establecía la LOPD hasta su derogación en el artículo 45.6 de la LOPD, a saber: “6. Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador y, en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  11. a)Que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  12. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento.” La aludida sentencia del reclamado hace referencia al procedimiento anterior de apercibimiento, no el que instituye el RGPD, que lo declara como una sanción más por haber quebrantado la normativa de protección de datos, que además según el mismo RGPD puede implicar al mismo tiempo adecuar el tratamiento a las indicaciones de la autoridad de control (artículo 58.2 d): ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado.”) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 Sobre la prescripción de la infracción, hay que tener en cuenta que existe un día inicial en el que se exponen los datos, otra fecha de referencia que es en la que la AEPD ha comprobado que la infracción persiste, sigue expuesta por el reclamado en la red social, y una fecha que el reclamado refiere que se quita de la red social, que fue cuando recibe el acuerdo. La LOPDGDD establece la calificación y prescripción de las infracciones en el artículo 72.1.a), precisando: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  13. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679.” Se puede considerar como fecha de comisión de la infracción la de la fecha en que apunte a la fecha en que consta por primera vez la exposición con los datos, “B.B.B., 19/09, 16:03” en una hoja en la que figura (con su nombre y apellidos, 16/10/2018 (posible referencia a la fecha de impresión de la hoja)”, considerándose una infracción duradera en el tiempo al poder ser consultada durante el mismo, hasta que es retirada y por tanto se una infracción de carácter permanente Así pues, la infracción desde su fecha de comisión, a la fecha de recepción del acuerdo de inicio por el reclamado no estaría prescrita puesto que no han transcurrido los 3 años previstos en la LOPDGDD. Sobre la alegación de que no se indicaba la publicación denunciada, en el acuerdo de inicio se identifica la fecha y hora y los datos y referencias necesarios para conocer la nota de que se trataba, suficiente para que en un medio automatizado del que se es titular conozca el objeto sobre el que se basa la reclamación Por tanto, el acuerdo de inicio, en el que se nombra instructor es el inicio del procedimiento de instrucción que tal como se indica puede durar hasta 9 meses, y el contenido de los requerimientos en el traslado, figura de forma transparente referido en el acuerdo de inicio. Por tanto, las alegaciones de indefensión o nulidad de lo actuado no pueden ser estimadas. III El RGPD define en su artículo 4: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; 4) «fichero»: todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica; 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; El documento presentado por el reclamante acredita que el reclamado efectúa unas manifestaciones en las que para criticar la falta de información del Ayuntamiento expone los datos de un ***PUESTO.1 (…) de la localidad en una red social como FACEBOOK a hilo de una persecución que llevó a cabo para dar a entender que es materia de seguridad ciudadana y dada la gravedad de los hechos no se informa a los vecinos. No se desprende que en la disposición del dato del ***PUESTO.1 y la persecución de los delincuentes y su puesta en conocimiento de terceros a través de la red social que haya intervenido otra voluntad que la del reclamado que expresa su opinión en relación o con la finalidad de que a los vecinos de la localidad no se les tiene informados por el Ayuntamiento, circunstancia por otra parte que si llevara a la práctica esa información, no resulta proporcional ni necesario que se contengan los datos del reclamante. El reclamado realiza un “un tratamiento de datos de carácter” personal desde el momento en que se comunica por transmisión, difundiéndolo, y asociando una información. Tratamiento de dato personal que cabe considerar como “automatizado”, en abierto a cualquier persona y en cualquier momento hasta que en su caso hubiera sido quitado de dicha página. La Sentencia del TJUE de 6/11/2003, “Lindqvist”, apartados 19 y 24 a 27, trata un caso similar al presente, de una persona física, que trabajaba como voluntaria en una iglesia como catequista en Suecia. Esta persona había creado una página web propia en internet, abierta a cualquiera, en la que en un tono humorístico hacía referencia a sus compañeros de voluntariado en la iglesia, revelando sus nombres, números de teléfono, aficiones, y en algún caso comentó que una compañera suya estaba de baja por una herida o enfermedad en un pie, lo que fue considerado como un dato de salud. Dicha sentencia contiene los siguientes pronunciamientos del TJUE: “19. Mediante su primera cuestión, el órgano jurisdiccional remitente pregunta si la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones constituye un ≪tratamiento total o parcialmente auto matizado de datos personales≫ en el sentido del artículo 3, apartado 1, de la Directiva 95/46. (…) 24. El concepto de ≪datos personales≫ que emplea el artículo 3, apartado 1, de la Directiva 95/46 comprende, con arreglo a la definición que figura en el artículo 2, letra a), de dicha DiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15 rectiva ≪toda información sobre una persona física identificada o identificable≫. Este con cepto incluye, sin duda, el nombre de una persona junto a su número de teléfono o a otra información relativa a sus condiciones de trabajo o a sus aficiones. 25. En cuanto al concepto de ≪tratamiento≫ de dichos datos que utiliza el artículo 3, aparta do 1, de la Directiva 95/46, este comprende, con arreglo a la definición del artículo 2, letra b), de dicha Directiva, ≪cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos personales≫. Esta última disposi ción enumera varios ejemplos de tales operaciones, entre las que figura la comunicación por transmisión, la difusión o cualquier otra forma que facilite el acceso a los datos. De ello se deriva que la conducta que consiste en hacer referencia, en una página web, a datos personales debe considerarse un tratamiento de esta índole. 26. Queda por determinar si dicho tratamiento esta ≪parcial o totalmente automatizado≫. A este respecto, es preciso observar que difundir información en una página web implica, de acuerdo con los procedimientos técnicos e informáticos que se aplican actualmente, publicar dicha página en un servidor, así como realizar las operaciones necesarias para que resulte accesible a las personas que están conectadas a Internet. Estas operaciones se efectúan, al menos en parte, de manera automatizada. 27. Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un ≪tratamiento total o parcialmente automatizado de datos per sonales≫ en el sentido del artículo 3, apartado 1, de la Directiva 95/46.” Esta misma Sentencia se refiere a si este tipo de actuaciones estarían excluidas de la aplicación de la normativa de protección de datos si se consideran actividades exclusivamente personales o domésticas, indicando: “30. La Sra. Lindqvist sostiene que un particular que, en el ejercicio de su libertad de expresión, crea diversas páginas web en el marco de una actividad sin ánimo de lucro o en su tiempo de ocio, no realiza una actividad económica y, por tanto, su conducta no está sujeta al Derecho comunitario… 31. El Gobierno sueco alega que, al adaptar el Derecho interno a la Directiva 95/46, el legislador sueco considero que el tratamiento, por una persona física, de datos personales que consiste en transmitir dichos datos a un número indeterminado de destinatarios, por ejemplo, por medio de Internet, no puede calificarse de ≪actividades exclusivamente personales o domesticas≫ en el sentido del artículo 3, apartado 2, segundo guion, de la Directiva 95/46… 45. Pues bien, las actividades voluntarias o religiosas como las que realiza la Sra. Lindqvist no pueden equipararse a las actividades citadas en el primer guion del artículo 3, apartado 2, de la Directiva 95/46 y, por tanto, no están comprendidas en dicha excepción. 46 En cuanto a la excepción prevista en el segundo guion del artículo 3, apartado 2, de la Directiva 95/46, en el duodécimo considerando de esta última, relativo a dicha excepción, se citan como ejemplos de tratamiento de datos efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domesticas la correspondencia y la llevanza de un repertorio de direcciones. En consecuencia, esta excepción debe interpretarse en el sentiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 do de que contempla únicamente las actividades que se inscriben en el marco de la vida privada o familiar de los particulares; evidentemente, no es este el caso de un tratamiento de datos personales consistente en la difusión de dichos datos por Internet de modo que resulten accesibles a un grupo indeterminado de personas.” Asume pues además el reclamado el papel de «responsable del tratamiento» como: la persona física o jurídica, autoridad, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; “ definido en el artículo 4.7 del RGPD. El TJUE ha delimitado dicho concepto de responsable del tratamiento de forma “amplia”, ya que el objetivo de dicha disposición consiste en garantizar, mediante una definición amplia del concepto de responsable, una protección eficaz y completa de los interesados (STJUE 29 julio 2019, “Fashion ID”, apartado 66, con cita de las sentencias de 13 de mayo de 2014, Google Spain, C-131/12, apartado 34; y de la sentencia de 5 de junio de 2018, Wirtschaftakademie Schleswig-Holstein, C-210/16, apartado 28). En el presente caso, se considera que ha sido el reclamado, el que ha determinado los fines y los medios del tratamiento, pues la finalidad consistiría en “exponer públicamente y tomar posición sobre la ausencia de información que el ayuntamiento tiene” para con los vecinos de la localidad. Efectuar ese tratamiento de datos precisaría de una base legitima para ello. IV El reclamado no alega aspecto alguno sobre cuál es la base jurídica que legitimaría el tratamiento que realiza de los datos personales del aludido, ahora bien, dado que podría alegar que ha utilizado su libertad de expresión, cabe asumiendo que la base jurídica que pretendería utilizar es la propia del interés legítimo, regulada en art. 6.1.
  14. f)RGPD: “el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.” Se efectúan las siguientes puntualizaciones.
  15. a)En la sentencia citada “Lindqvist”, también se planteó por la responsable del tratamiento la alegación de que había publicado en la página web que había creado los nombres de sus compañeros de trabajo y los demás datos personales, en el ejercicio de la libertad de expresión. A esto, respondió el TJUE lo siguiente (apartados 85 a 87, y 90): “85. Por tanto, el justo equilibrio entre los derechos e intereses en juego debe buscarse más bien en el ámbito nacional, al aplicar a los casos concretos la normativa que adapta el Derecho interno a la Directiva 95/46. 86. En este contexto, los derechos fundamentales revisten una importancia especial, tal y como lo demuestra el asunto principal, en el que resulta necesario, en esencia, ponderar, por una parte, la libertad de expresión de la Sra. Lindqvist en el marco de su trabajo como catequista, así como la libertad de ejercer actividades que contribuyen a la vida religiosa y, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15 por otra parte, la tutela de la intimidad de las personas cuyos datos incluyó la Sra. Lindqvist en su sitio Internet. 87. En consecuencia, corresponde a las autoridades y a los órganos jurisdiccionales de los Estados miembros no sólo interpretar su Derecho nacional de conformidad con la Directiva 95/46, sino también procurar que la interpretación de ésta que tomen como base no entre en conflicto con los derechos fundamentales tutelados por el ordenamiento jurídico comunitario o con los otros principios generales del Derecho comunitario como el principio de proporcionalidad. 90. Por tanto, procede responder a la sexta cuestión que las disposiciones de la Directiva 95/46 no entrañan, por sí mismas, una restricción contraria al principio general de la libertad de expresión o a otros derechos y libertades vigentes en la Unión Europea y que tienen su equivalente, entre otros, en el artículo 10 del CEDH. Incumbe a las autoridades y a los órganos jurisdiccionales nacionales encargados de aplicar la normativa nacional que adapta el Derecho interno a la Directiva 95/46 garantizar el justo equilibrio entre los derechos e intereses en juego, incluidos los derechos fundamentales tutelados por el ordenamiento jurídico comunitario.”
  16. a)De los requisitos para el tratamiento por interés legítimo, trata el dictamen 6/2014 del grupo de trabajo sobre Protección de Datos del artículo 29, sobre concepto de interés legítimo del responsable del tratamiento de los datos en virtud del artículo 7
  17. f)de la directiva 95/46 CE del Parlamento Europeo y del Consejo, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos adoptado el 9/04/2014. Si bien dicha Directiva ha sido derogada por el RGPD, sus principios básicos siguen siendo de aplicación. El artículo 7, letra
  18. f)de dicha Directiva indicaba: “Los Estados miembros dispondrán el tratamiento de datos personales solo pueda efectuarse si: es necesario para la satisfacción del interés legítimo perseguido por el responsable o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés por los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva”. El apartado 95 de la mencionada sentencia “Fashion ID” ha establecido que dicho artículo 7, letra f), establece tres requisitos acumulativos para que un tratamiento de datos personales sea lícito, a saber, en primer lugar, que el responsable del tratamiento o el tercero o terceros a los que se comuniquen los datos persigan un interés legítimo; en segundo lugar, la necesidad del tratamiento de datos personales para la satisfacción del interés legítimo perseguido, y, en tercer lugar, el requisito de que no prevalezcan los derechos y libertades fundamentales del interesado (sentencia de 4 de mayo de 2017, Rīgas satiksme, C-13/16, EU:C:2017:336, apartado 28). En el presente supuesto se aprecia: 1-Interes legitimo del responsable del tratamiento: Como responsable del tratamiento, el reclamado, que en aquel momento era Concejal del GRUPO Municipal ***PARTIDO.POLITICO.1, utilizando herramienta particular privada, como es la red social FACEBOOK en la que figuraC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 ban sus datos y expresaba su parecer, no el de ningún partido político o agrupación política, trata de convencer de que la política informativa del ayuntamiento a los ***PARTIDO.POLITICO.1 está ausente, y para ello introduce los datos de al menos una persona, el reclamante, ***PUESTO.1 al que identifica con el hecho (…) acaecido. La expresión y formación de la opinión es importante pero su contenido puede igualmente efectuarse sin dar a conocer los datos de este funcionario en una red social de alcance mundial y con repercusiones desconocidas. En este caso, el interés parece claro, pero los medios son desproporcionados. 2-El tratamiento no parece necesario para el fin o los fines previstos, supone un desequilibrio de medios entre las partes y se utiliza una modalidad de tratamiento especialmente invasiva y sorpresiva para servir al citado fin, disponiendo de un derecho fundamental y el mismo fin se podría haber obtenido sin identificarle. 3- En cuanto a los intereses o derechos y libertades fundamentales del interesado, apreciado en la aparición en redes sociales por parte del reclamado, se parte de desconocer el origen del conocimiento de la información que explica pero en todo caso, que los comentarios circulen por la calle no puede significar lo mismo que se plasmen en un medio escrito como es la red social y se produzca la revelación de datos a cualquier persona que entre en dicha página. En este caso, no puede prevalecer el derecho a la libertad de expresión del reclamado pues no se aprecia interés legítimo en la nota expuesta. En cuanto a riesgos que pueda sufrir su titular, sus datos figuraban en la web relacionados con su desempeño de la tarea (…), y podía ser plenamente identificado ayudando a conocer desde sus datos iniciales más datos suyos. Asimismo, el hecho de que figuren sus datos en la web no permite que puedan ser usados como la han sido en este caso sin base de legitimación acreditada por parte del reclamado. En cuanto al balance de que intereses y derechos y libertades prevalecen, si los del titular de los datos o los del responsable del tratamiento, perfilados los derechos que colisionan, el de protección de datos y el de libertad de expresión, se debe concretar: -El reclamante previamente no había participado ni manifestado aspecto alguno en el comunicado expuesto. Para llegar a los fines que desea el reclamado, critica de la política informativa del Ayuntamiento, exponiendo los datos de funcionarios públicos que lo único que realizan es el trabajo encomendado, no se precisa identificar a uno de sus empleados, máxime si los hechos acontecieron días antes y estaban en investigación. En este caso el conocimiento de sus datos no son de relevancia pública, su persona carece de proyección pública, y el asunto en el que se vio envuelto era en el desarrollo de su labor profesional que aunque sea publica, no por ello ha de ceder en la disposición de sus datos cuando el mismo fin se podría obtener señalando que era un ***PUESTO.1 y no relatando aquellos hechos que, dentro de la noticia, afectan al honor o a la intimidad de la persona concernida y que se revelan como «manifiestamente innecesarios e irrelevantes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 para el interés público de la información» (SSTC 105/1990, de 6 de junio, FJ 8, y 121/2002, de 20 de mayo, FJ 5). V El reclamado, a título particular, con su nombre y apellidos en FACEBOOK expresa sus opiniones, junto a los datos del reclamante, si bien en el uso de los datos del afectado ha de concurrir alguna base legitima prevista en el artículo 6.1 del RGPD. El derecho fundamental del reclamante, que además ejerce su oficio como ***PUESTO.1, a que sus datos no sean utilizados en redes sociales, asociados al desarrollo de su tarea, cuando se trata de subrayar por el reclamado que el ayuntamiento no informa o informa poco de los asuntos que interesa a la ciudadanía, no parece adecuado, necesario ni justificado. Se considera que frente a su cita nominal, no se añade nada significativo por conocer su identidad, ni resulta necesario para criticar la escasa información ofrecida por el Ayuntamiento. Pese a que se dé la circunstancia de que los datos del reclamante figuren en GOOGLE con relación a otras cuestiones, se identifica en FACEBOOK al reclamante y se le pone en relación con unos hechos distintos sobre los que en ambos supuestos, no se ha conseguido su consentimiento, ni se acredita en este caso la existencia de una base legitima para su tratamiento. Bajo los principios de adecuación, pertinencia, congruencia y relevancia en el uso de los datos, a la hora de tratarlos sin el consentimiento del reclamante, puede servir FACEBOOK para expresar opiniones. Sin embargo, en este caso, la identidad de esa persona, ***PUESTO.1, no es relevante para lo que se quiere significar en el post, que era la falta de información a los vecinos de la localidad por parte del Ayuntamiento, poniendo otros dos ejemplos de dicha falta de información. Los mismos resultados se habrían obtenido poniendo iniciales o mencionando exclusivamente que era un ***PUESTO.1 pues el dato personal no añade cualidad alguna a la noticia. De otro modo, se está sacrificando el derecho de su titular, a que no figuren expuestos sus datos en un medio en el que se pueden multiplicar sus efectos al compartir otros la noticia. Los hechos analizados constituyen una infracción, imputable a B.B.B., por vulneración del artículo 5.1.
  19. a)del RGPD que indica: 1. Los datos personales serán:
  20. a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»); VI El artículo 83.5
  21. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, con multas administrativas de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 El artículo 58.2 del RGPD indica: ”Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  22. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; El considerando 148 del RGPD indica que a efectos de imponer la medida correctiva adecuada, debe prestarse especial atención a la naturaleza, gravedad y duración de la infracción, o a cualquier infracción anterior pertinente, y a cualquier otra circunstancia agravante o atenuante. Para las personas físicas, en lugar de sanción mediante multa puede imponerse un apercibimiento. La información expuesta en la red social supone un tratamiento automatizado por el reclamado, que utilizando la infraestructura de FACEBOOK da a conocer unos hechos y unos datos que permiten identificar al citado ***PUESTO.1, junto con las circunstancias recientes del suceso y la investigación (…) en marcha que se lleva a cabo por tales hechos. En el presente supuesto, la exposición además de no contar con legitimación no se estima proporcional ni necesaria para la difusión de la opinión de que el ayuntamiento no informa o informa poco sobre acontecimientos del municipio. Que se comente o no en la localidad el suceso y al reclamante, no puede tener los mismos efectos que si se vierten sus datos en una red social, constando su identidad, oficio y suceso acontecido. El uso de sistemas de redes sociales en el que se introducen unos datos personales, que en este caso además se refieren a una actuación profesional del aludido, tiene como cuestión primordial, la de considerar si el mismo fin que persigue el reclamado en la información, pudiera haberse conseguido sin identificar al ***PUESTO.1, y la referencia a otro, pues no hay razón para acudir al citado tratamiento si no existe relación entre ese fin y los medio que utiliza, en este caso, aludir al reclamante, junto con otra cuestión de otro ***PUESTO.1. En este caso, esa actuación supone una intromisión en el derecho a la disponibilidad de los datos del reclamante en la que se estima que el tratamiento no es necesario para ese propósito, al poder existir otras vías menos intrusivas para conseguir el propósito sin tratar sus datos . El termino necesidad no debe confundirse con útil sino con si el tratamiento es objetivamente necesario para la finalidad, y considerar en este caso además de que no resulta necesario, que está aludiendo a una reciente acción de un ***PUESTO.1 de los Cuerpos y Fuerzas de Seguridad del Estado en el arriesgado lance que tuvo, y que viene relatado en detalle, sin considerar además el reclamado los riesgos añadidos que tales referencias pudieran contener por el ámbito de acceso que tiene la red. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER una sanción de apercibimiento a B.B.B., con NIF ***NIF.1, por una infracción del aartículo 5.1.
  23. a)del RGPD, conforme señalan los artículos 83.5
  24. a)y 58.2
  25. b)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a B.B.B.. TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  26. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-300320 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.