← España

PS-00471-2023

1/26  Expediente N.º: EXP202314732 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 18/04/2023, el Grupo de Investigación Tecnológica de la Policía Nacional en ***LOCALIDAD.1 puso en conocimiento de esta Agencia los hechos comunicados por los progenitores de una menor de 13 años por la publicación en las redes sociales TikTok e Instagram de un vídeo, en el que aparecía la menor de edad, sin permiso ni consentimiento de sus padres. En concreto, el vídeo en cuestión se publicó en las siguientes direcciones:  ***URL.1  ***URL.2 Además, la Policía Nacional señaló que el vídeo se hizo viral con ***CANTIDAD.1 reproducciones en la cuenta de TikTok señalada y con interacciones en otras redes, como Twitter, por usuarios de esta red con ***CANTIDAD.2 seguidores y ***CANTIDAD.3 de reproducciones del vídeo en dicha red social. Por último, en el escrito remitido por la Policía Nacional figuran, como datos personales de la parte reclamada, los siguientes: Nombre y apellidos: A.A.A. DNI: ***NIF.1 Domicilio: ***DIRECCION.1 Correo electrónico: ***EMAIL.1 SEGUNDO: Con fecha 19/04/2023, la Directora de la Agencia Española de Protección de Datos remite a la Subdirección General de Inspección de Datos un escrito en el que indica: “Se ha puesto en conocimiento de esta Agencia, por medio de la comunicación ***REFERENCIA.1, una posible infracción en el tratamiento de datos personales relativa a los hechos que se describen a continuación. El Grupo de Investigación Tecnológica de la Policia Nacional en ***LOCALIDAD.1 pone en conocimiento de la AEPD que los padres de una menor de edad (13 años) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/26 han denunciado la publicación en las redes sociales del reclamado (TikTok e Instagram, en particular) de un vídeo en el que aparece la niña, "sin el conocimiento, permiso y autorización de sus progenitores". La policía expresamente señala que "El video se ha hecho viral con ***CANTIDAD.1 reproducciones en la cuenta de TikTok del reclamado y con interacciones en otras redes como Twitter, por usuarios de esta red con ***CANTIDAD.2 seguidores y con ***CANTIDAD.3 de reproducciones del vídeo en esta red". Aunque el vídeo ya no se encuentra disponible en los perfiles de TikTok e Instagram del autor de la difusión original del vídeo, sí se ha podido comprobar que el mismo aparece disponible en redes sociales, Twitter singularmente, a través de perfiles de terceros como ***USUARIO.1_ y ***USUARIO.2. Por ello, se insta a la Subdirección General de Inspección de Datos a que inicie de oficio Actuaciones Previas de Investigación tendentes a acreditar estos hechos.” TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), teniendo conocimiento de los siguientes extremos: 1) Con fecha 20/04/2023, esta Agencia requiere a TWITTER INTERNATIONAL UNLIMITED COMPANY información relativa a las direcciones IP de sesión desde las que se publicaron los tweets con la imagen en los perfiles de “***USUARIO.2” (el ***FECHA.1 a las ***HORA.1) y “***USUARIO.1_” (el ***FECHA.1 a las ***HORA.2

  1. pm)o, en su defecto, las cinco últimas direcciones IP de cada uno de esos perfiles. 2) Mediante diligencia realizada por esta Agencia en fecha 24/04/2023, se incorporan a las actuaciones de inspección las siguientes comprobaciones:  Realizada el 18/04/2023:  ***URL.3. Bajo el título “***TITULO.1” se publica, en fecha ***FECHA.1 a las ***HORA.1, el vídeo en cuestión en el perfil de Twitter ***USUARIO.2. El número de reproducciones asciende a (…) millones.  ***URL.4. Bajo el título “***TITULO.2” se publica, en fecha ***FECHA.1 a las ***HORA.2, el vídeo en cuestión en el perfil de Twitter @***USUARIO.1. El número de reproducciones asciende a (…) millones. 3) Mediante diligencia realizada por esta Agencia en fecha 25/04/2023, se comprueba que los contenidos denunciados han sido retirados, entre otras, de las siguientes direcciones electrónicas:  ***URL.1(perfil de TikTok de la parte reclamada)  ***URL.2 (perfil de Instagram de la parte reclamada) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/26  ***URL.3  ***URL.4 4) Con fecha 16/05/2023, esta Agencia recibe respuesta elaborada por TWITTER INTERNATIONAL UNLIMITED COMPANY al requerimiento de información de 20/04/2023 (traducción no oficial, en inglés el original): “De acuerdo con nuestra Política de Privacidad (https://twitter.com/en/privacy), Twitter no divulga información de la cuenta salvo que lo exija un proceso legal válido. Si trabaja con la policía ellos podrán ayudarte con el proceso legal apropiado y correcto para obtener dicha información. Si las fuerzas del orden se ponen en contacto directamente con Twitter, podemos colaborar con ellas y ayudarles en su investigación. Puede remitir a los agentes de la ley a nuestras directrices para las fuerzas del orden. Por favor, visita el Centro de Ayuda de Twitter para más información: https://help.twitter.com/en/rules-and-policies/twitter-law-enforcement-support” 5) Con fecha 16/10/2023, se recibe en esta Agencia, con número de registro ***REFERENCIA.2, nueva documentación remitida por la Policía Nacional incluida la remisión realizada al Juzgado de Instrucción nº 6 de ***LOCALIDAD.1. Se remite, además de información relativa a los hechos puestos en conocimiento de esta Agencia, incluida la proporcionada por los padres de la menor referida a los mensajes de mofa e insulto que su hija estaba recibiendo y a la información que ésta había recibido de la parte reclamada en el sentido de que la grabación no iba a ser publicada, capturas de pantalla de evidencias encontradas en los perfiles en las redes sociales de la persona física denunciada y del diario 20minutos, así como la identificación del titular de los referidos perfiles. 6) La parte reclamada tiene 50.900 seguidores en Tik Tok, 6.706 en Instagram y 833 en Youtube a fecha de 9 de abril, y en la información remitida a esta Agencia se la califica como una persona bastante conocida en la zona con gran cantidad de seguidores. CUARTO: Con fecha 10/04/2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por: - La supuesta infracción del artículo 9 del RGPD, tipificada en el artículo 83.5.
  2. a)de dicha norma, multa administrativa de cuantía 3.000€ (tres mil euros). - La supuesta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  3. a)de dicha norma, multa administrativa de cuantía 3.000€ (tres mil euros). - La presunta infracción del artículo 5.1
  4. c)del RGPD, tipificada en el artículo 83.5
  5. a)de dicha norma, multa administrativa de cuantía 3.000€ (tres mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/26 - La presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
  6. b)de dicha norma, multa administrativa de cuantía 1.000€ (mil euros). Asimismo, el citado acuerdo de inicio ordenaba a la parte reclamada la adopción de la medida provisional consistente en suspender el tratamiento de datos personales de aquellas personas menores de 14 años de las que no se tenga el consentimiento de sus progenitores y notificárselo a esta Agencia. Este acuerdo de inicio, conforme a las normas establecidas en la LPACAP, fue notificado a la parte reclamada en fecha 23/04/2024, como consta en el acuse de recibo que obra en el expediente. QUINTO: Con fecha 06/05/2024, la parte reclamada presentó, en tiempo y forma, escrito de alegaciones en el que manifestaba ser un creador de contenido en redes sociales de ***LOCALIDAD.1 y que, tras ser reconocido por un grupo de 20 niños en el centro comercial ***CENTRO.1 y debido a su insistencia, decidió grabar el vídeo en cuestión. Pues, su contenido “lo consumen adolescentes y se la ilusión que les puede llegar a hacer aparecer en un vídeo, esa fue la razón por la que grabé con ellos”. Asimismo, señalaba que, en un primer momento, se negó por ser menores de 16 años y no contar con el consentimiento de sus padres, pero, tras la grabación realizada, “se les dijo que avisaran a sus padres y en caso de tener algún problema que me escribieran y el contenido no se subía. Ninguno lo hizo entonces di por hecho que no les parecía mal”. Finalmente, señalaba que el vídeo lo retiró de su perfil cuando se lo pidió la madre de la menor de 13 años que aparecía en el vídeo, pidiéndole disculpas por lo ocurrido. SEXTO: Con fecha 19/07/2024, el órgano instructor del procedimiento dictó propuesta de resolución en la que proponía imponer las siguientes multas: - Por la infracción del artículo 9 del RGPD, tipificada en el artículo 83.5.
  7. a)de dicha norma, multa administrativa de cuantía 3.000€ (tres mil euros). - Por la infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  8. a)de dicha norma, multa administrativa de cuantía 3.000€ (tres mil euros). - Por la infracción del artículo 5.1
  9. c)del RGPD, tipificada en el artículo 83.5
  10. a)de dicha norma, multa administrativa de cuantía 3.000€ (tres mil euros). - Por la infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
  11. b)de dicha norma, multa administrativa de cuantía 1.000€ (mil euros). Asimismo, la citada propuesta de resolución se proponía elevar a definitiva la medida consistente en la suspensión del tratamiento de datos de carácter personal de menores de 14 años en los casos en que no cuente la parte reclamada con el consentimiento de los progenitores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/26 Esta propuesta de resolución, conforme a las normas establecidas en la LPACAP, fue notificada a la parte reclamada en fecha 23/07/2024, como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: Notificada la citada propuesta de resolución conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El ***FECHA.1 a las ***HORA.1 se publica en el perfil de la red social Twitter (ahora, X) ***USUARIO.2, bajo el título “***TITULO.1”, un video (…) en el que aparece una menor de edad respondiendo a preguntas relativas a su vida sexual. En el lado izquierdo figura el perfil de TikTok ***USUARIO.3. El número de reproducciones a fecha 18/04/2023 asciende a (…). SEGUNDO: E l***FECHA.1 a las ***HORA.2 se publicó en el perfil de la red social Twitter (ahora, X) ***USUARIO.1, bajo el título “***TITULO.2”, el vídeo descrito en el apartado anterior. El número de reproducciones a fecha 18/04/2023 asciende a (…). TERCERO: El 18/04/2023 el Grupo de Investigación Tecnológica de la Policía Nacional en ***LOCALIDAD.1 puso en conocimiento de esta Agencia la publicación de un vídeo en las redes sociales TikTok e Instagram de una menor de 13 años de edad, sin contar con el consentimiento de sus progenitores, en las siguientes direcciones:  ***URL.1  ***URL.2 En el escrito se identificó como titular de los perfiles de las redes sociales señalados a A.A.A., con DNI ***NIF.1, domicilio ***DIRECCION.1 y correo electrónico ***EMAIL.1. CUARTO: A fecha 25/04/2023 el vídeo en cuestión no figura en las siguientes direcciones electrónicas:  ***URL.1  ***URL.2  ***URL.3 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/26  ***URL.4 QUINTO: No consta confirmación del cumplimiento por la parte reclamada de la medida provisional acordada en el acuerdo de inicio consistente en suspender el tratamiento de datos personales de aquellas personas menores de 14 años de las que no se tenga el consentimiento de sus progenitores y notificárselo a esta Agencia. FUNDAMENTOS DE DERECHO I Competencia y procedimiento De acuerdo con los poderes que el artículo 58.2 RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la parte reclamada ha realiza dos tratamientos de datos, por un lado, la grabación de un vídeo y, por otro, su posterior difusión. En el vídeo aparece la imagen y la voz de una menor de 13 años. La voz e imagen de una persona, a tenor del artículo 4.1 del RGPD, son datos personales al hacerla identificable, y su protección, por tanto, es objeto de dicho RGPD: “«datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” En este sentido, el informe 139/2017 del Gabinete Jurídico de esta Agencia afirma que “la imagen, así como la voz de una persona es un dato personal, al igual que lo será cualquier información que permita determinar, directa o indirectamente, su identidad (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/26 Por su parte, el artículo 4.2 del RGPD define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” La captación y/o la publicación de la voz e imagen de una persona que la identifica o hace identificable supone un tratamiento de datos personales y, por tanto, el responsable de dicho tratamiento está obligado a cumplir con las obligaciones que para el responsable del tratamiento se disponen en el RGPD y en la LOPDGDD. Asimismo, ha de señalarse que la parte reclamada realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD, por ser el perfil de TikTok e Instagram donde se ha difundido el vídeo en cuestión de su titularidad. III Alegaciones aducidas Esta Agencia no tiene constancia de que la parte reclamada haya presentado escrito de alegaciones contra la propuesta de resolución. No obstante, como ya se indicó en la propuesta de resolución, respecto a las alegaciones presentadas por la parte reclamada contra el acuerdo de inicio del presente procedimiento sancionador, se realizaron las siguientes consideraciones. La parte reclamada alega ser creador de contenido en redes sociales y que, tras la insistencia de un grupo de menores de edad que le reconocieron en el centro comercial ***CENTRO.1, decidió grabar el vídeo en cuestión. Alega que pidió a los menores que informaran a sus padres de dicha grabación y, en caso de no estar de acuerdo, no subiría el contenido. Como no recibió ningún mensaje, decidió publicar el vídeo. Por lo tanto, entiende que los tratamientos de datos personales realizados, en el caso que nos ocupa consistentes en la grabación y posterior difusión de un vídeo en el que figura una menor de 13 años respondiendo a preguntas que le realiza la parte reclamada que revelan datos relativos a su vida sexual, estarían basados en el consentimiento. No obstante, afirma que retiró el contenido de su perfil cuando se lo pidió la madre de la menor de 13 años que aparecía en el mismo, pidiéndole disculpas por lo ocurrido. Al respecto, esta Agencia desea recordar que, tal y como se indicó en el acuerdo de inicio, todo tratamiento que afecte a categorías especiales de datos personales, como son, en este caso, datos relativos a la vida sexual de una menor de 13 años; requiere la concurrencia de alguna de las circunstancias recogidas en el artículo 9.2 del RGPD que levante la prohibición general de dicho tratamiento y, posteriormente, la existencia de alguna de las bases de legitimación del artículo 6 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/26 De las alegaciones presentadas por la parte reclamada, se infiere que esta considera haber contado por el consentimiento de los menores y de sus progenitores cuando publicó el vídeo, ya que no recibió ningún mensaje contrario por parte de los padres. No obstante, debe señalarse que nuestro ordenamiento jurídico no contempla el consentimiento tácito en relación con el tratamiento de datos personales, toda vez que los artículos 4.11 y 6.1 del RGPD exigen la concurrencia de los siguientes presupuestos para considerarlo válido: libre, específico, informado e inequívoco. Y, además, al tratarse de una menor de 14 años, la parte reclamada debía contar con el consentimiento de los progenitores, tal y como expresamente señala el artículo 7 de la LOPDGDD. Por tanto, se desestima la presente alegación. IV Tratamiento de categorías especiales de datos personales El artículo 9 del RGPD dispone lo siguiente: “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
  12. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
  13. a)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
  14. b)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
  15. c)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/26 contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
  16. d)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
  17. e)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
  18. f)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
  19. g)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
  20. h)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional,
  21. i)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/26 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud.” El presente procedimiento se inicia porque esta Agencia tuvo conocimiento de la publicación de un vídeo en el perfil de Instagram y TikTok de la parte reclamada ***USUARIO.4 y ***USUARIO.3) en el que aparecía una menor de 13 años, sin consentimiento de sus progenitores para la captación de su imagen y voz, y posterior difusión, respondiendo a preguntas que le realiza la parte reclamada que revelan datos relativos a su vida sexual. La voz e imagen de la menor se apreciaba con toda nitidez en dicho vídeo, pudiendo ser reconocida por terceros, como así demuestra los mensajes recibidos por la parte reclamante y que motivaron la puesta en conocimiento de esta Agencia de los hechos objeto del presente procedimiento. Los datos personales relativos a la vida sexual, por su naturaleza, pertenecen a las categorías especiales de datos, regulados en el artículo 9 del RGPD, que establece una prohibición general de su tratamiento. Así pues, su tratamiento requiere la concurrencia de alguna de las circunstancias recogidas en el apartado 2 del citado artículo que levante la prohibición general de tratamiento. No obstante, no consta en las actuaciones que concurra ninguna de las circunstancias que levanten la prohibición de tratamiento de tales datos personales. Como tampoco consta, tal y como se ha señalado anteriormente, un consentimiento previo y que cumpla con los requerimientos de la normativa en materia de protección de datos. Por tanto, de conformidad con las evidencias de las que se dispone en esta fase de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 9 del RGPD. V Tipificación y calificación de la infracción del artículo 9 del RGPD La citada infracción del artículo 9 del RGPD supone la comisión de la infracción tipificada en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  22. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A efectos del plazo de prescripción, el artículo 72.1 “Infracciones consideradas muy graves” de la LOPDGDD indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/26 “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  23. e)El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas en dicho precepto y en el artículo 9 de esta ley orgánica; (…)” VI Sanción por la infracción del artículo 9 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que ha de tenerse en consideración el balance de las siguientes circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el nivel de los daños y perjuicios que hayan sufrido (art. 83.2.
  24. a)del RGPD). La publicación del vídeo en el que aparece la menor de 13 años en las redes sociales de la parte reclamada supuso una difusión inmediata y de gran alcance del contenido, teniendo en consideración el número de seguidores de la parte reclamada, así como su conocimiento por un gran número de usuarios de redes sociales. Este hecho tuvo repercusiones directas en la afectada, como demuestra el haber recibido una gran cantidad de mensajes que se hacían eco del contenido del video. - La intencionalidad o negligencia en la infracción. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. En este sentido, establece que en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, profesionalidad que concurre en el presente supuesto, dado que, en su condición de usuario de redes sociales, el reclamado, que se califica a sí mismo como creador de contenidos en redes sociales, trata datos personales que, como ocurre en el presente supuesto, pueden ser relativos a menores de edad. En este caso, aunque no se sugiere una intencionalidad directa, la negligencia deviene del hecho de no haber adoptado las medidas necesarias que garantizasen que el tratamiento de datos personales se refiere a titulares de los datos que hubieran consentido teniendo capacidad para ello. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/26 - La afectación a los derechos de los menores (artículo 76.2.
  25. f)de la LOPDGDD). La parte reclamada trató datos personales pertenecientes a una menor de edad de 13 años, por lo que, atendiendo a su especial vulnerabilidad, puede entenderse que una afectación a su derecho a la protección de datos personales tendría unas implicaciones y consecuencias especialmente significativas. Una vulnerabilidad que reconoce el RGPD al señalar en su considerando 38 que los niños merecen una protección específica de sus datos personales, ya que pueden ser menos conscientes de los riesgos, consecuencias, garantías y derechos concernientes al tratamiento de datos personales. El balance de las circunstancias anteriores permite fijar una multa de 3.000,00€ (tres mil euros), por la infracción del artículo 9 del RGPD. VII Licitud del tratamiento de los datos personales Los principios que han de regir el tratamiento se encuentran enumerados en el artículo 5 del RGPD. En este sentido, el apartado 1 letra a), señala que: “Los datos personales serán:
  26. a)Tratados de manera lícita, leal y transparente en relación con el interesado (licitud, lealtad y transparencia); (…)” El principio de licitud se regula, fundamentalmente, en el artículo 6 del RGPD. Los supuestos que permiten considerar lícito el tratamiento de los datos personales se enumeran en el artículo 6.1 del RGPD: 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  27. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  28. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  29. b)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  30. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/26
  31. d)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  32. e)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  33. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” En este sentido, el Considerando 40 del RGPD señala que “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.” El tratamiento de categorías especiales de datos personales exige, junto con concurrencia de una circunstancia de las previstas en el artículo 9.2 del RGPD que levante la prohibición de tratamiento de dichas categorías de datos personales, la concurrencia de alguna de las causas de legitimación del artículo 6 del RGPD. En este sentido, la existencia de circunstancias que permitieran levantar la prohibición de tratamiento de categorías especiales de datos, como los relativos a la vida sexual, no constituyen, por sí solas, una base legitimadora de su tratamiento. En el presente caso, la parte reclamada ha procedido a la grabación de la imagen y la voz de la menor mientras estaba contestando a preguntas sobre su vida sexual. Según lo dispuesto en el artículo 6 del RGPD, aunque el consentimiento pudiera ser la base jurídica que podría legitimar a la parte reclamada para captar los datos personales de la menor de 13 años, examinada la documentación que obra en el expediente administrativo y las alegaciones presentadas por la parte reclamada al acuerdo de inicio, resulta evidente que no concurre la citada causa legitimadora en el tratamiento de datos efectuado. Y ello por cuanto que la parte reclamada no ha probado que contaba con el consentimiento de sus progenitores, imprescindible de acuerdo con lo previsto en el artículo 7.1 de la LOPDGDD al ser menor de 14 años. En consecuencia, de conformidad con las evidencias de las que se dispone en esta fase de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 6.1 del RGPD al proceder a grabar la imagen y la voz de un menor de 13 años. VIII C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/26 Tipificación y calificación de la infracción del artículo 6.1 del RGPD La citada infracción del artículo 6.1 del RGPD supone la comisión de la infracción tipificada en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  34. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A efectos del plazo de prescripción, el artículo 72.1 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  35. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679; (…)” IX Sanción por la infracción del artículo 6.1 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que ha de tenerse en consideración el balance de las siguientes circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el nivel de los daños y perjuicios que hayan sufrido (art. 83.2.
  36. a)del RGPD). La grabación por la parte reclamada del vídeo en el que aparece la menor de 13 años, sin contar con el necesario consentimiento que, en el caso que nos ocupa, corresponde otorgar a sus padres, tuvo repercusiones inmediatas en la menor, reflejadas en un elevado número de mensajes recibidos en los que se comentaba el video publicado. Todo ello teniendo en consideración el número de seguidores de la parte reclamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/26 - La intencionalidad o negligencia en la infracción. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. En este sentido, establece que en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, profesionalidad que concurre en el presente supuesto, dado que, en su condición de usuario de redes sociales, el reclamado trata datos personales que, como ocurre en el presente supuesto, pueden ser relativos a menores de edad. En este caso, aunque no se sugiere una intencionalidad directa, la negligencia deviene del hecho de no haber adoptado las medidas necesarias que garantizasen que el tratamiento de datos personales se refiere a titulares de los datos que hubieran consentido teniendo capacidad para ello. - Las categorías de datos personales afectados por la infracción (artículo 83.2.
  37. g)del RGPD). En el vídeo, la menor responde a una serie de preguntas que revelan datos de carácter personal sobre su vida sexual. - La afectación a los derechos de los menores (artículo 76.2.
  38. f)de la LOPDGDD). La parte reclamada trató datos personales pertenecientes a una menor de edad de 13 años, por lo que, atendiendo a su especial vulnerabilidad, puede entenderse que una afectación a su derecho a la protección de datos personales tendría unas implicaciones y consecuencias especialmente significativas. Una vulnerabilidad que reconoce el RGPD al señalar en su considerando 38 que los niños merecen una protección específica de sus datos personales, ya que pueden ser menos conscientes de los riesgos, consecuencias, garantías y derechos concernientes al tratamiento de datos personales. El balance de las circunstancias anteriores permite fijar una multa de 3000,00€ (tres mil euros), por la infracción del artículo 6.1 del RGPD. X Minimización de datos personales Las personas tienen el poder de disposición sobre sus datos personales, incluyendo su voz e imagen, así como sobre su difusión, resultando, sin lugar a dudas, merecedora de protección la persona cuyos datos personales se difundan vulnerando el ordenamiento jurídico. Así, la STC 292/2000, de 30 de noviembre dispone que “el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/26 fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos”. En este sentido, y con independencia de cuál sea la base jurídica legitimadora del tratamiento, todo responsable del tratamiento ha de respetar los principios del tratamiento recogidos en el artículo 5 del RGPD. Destacamos el artículo 5.1.
  39. c)del RGPD que establece que: “1. Los datos personales serán: (…)
  40. b)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);” Los principios relativos al tratamiento son, por un lado, el punto de partida y la cláusula de cierre del ordenamiento jurídico de protección de datos, constituyendo verdaderas reglas informadoras del sistema con una intensa fuerza expansiva; por otro lado, al tener un alto nivel de concreción, son normas de obligado cumplimiento susceptibles de ser infringidas. En este caso se ha producido la difusión de un vídeo en las redes sociales, hecho que supone un tratamiento de datos personales de una menor de 13 años que ha de entenderse como excesivo, dado que la noticia se hubiera podido dar igual sin que fuera necesario identificar a la menor a través del vídeo. En este punto, ha de traerse a colación la jurisprudencia que analiza la relación entre la libertad de expresión, por un lado, y el derecho de los afectados por contenidos de carácter informativo. Así, el Tribunal Europeo de Derechos Humanos (TEDH), en su sentencia de 19 de junio 2012, dictada en el recurso 1593/2006, señala lo siguiente: Aunque la prensa no debe sobrepasar ciertos límites, en particular en lo que se refiere a la reputación y los derechos de los demás o a la buena administración de la justicia, su deber es, no obstante, impartir, de manera coherente con sus obligaciones y responsabilidades, información e ideas sobre todos los asuntos de interés público (apartado 48) (…), la publicación de fotografías y artículos cuyo único propósito es satisfacer la curiosidad de un lector particular con respecto a los detalles de la vida privada de una figura pública no puede considerarse que contribuya a cualquier debate de interés general para la sociedad a pesar de que la persona sea conocida por el público. En C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/26 tales condiciones, la libertad de expresión exige una interpretación más estricta (…). (apartado 50). (…) Al verificar si las autoridades han logrado un equilibrio justo entre dos valores protegidos garantizados por el Convenio que pueden entrar en conflicto entre sí en este tipo de casos -la libertad de expresión protegida por el artículo 10 y el derecho al respeto de la vida privada consagrado en el artículo 8-, el Tribunal de Justicia debe equilibrar el interés público en la publicación de la información y la necesidad de proteger la vida privada (véase Hachette Filipacchi Associés c. Francia, n.º 71111/01, § 43, CEDH 2007-VII).(Apartado 51) Y concluye que, al no ser las partes afectadas por la noticia figuras públicas, no puede considerarse que la divulgación de su identidad fuera esencial para comprender los detalles del caso (apartado 57) así como que, no cabe duda de que la preservación de la esfera más íntima de la vida de un menor que se había convertido en víctima de una disputa de custodia y no había entrado en la esfera pública merecía una protección particular debido a su posición vulnerable. (apartado 59) En este sentido, y atendiendo a las circunstancias del caso analizado, en el que se han difundido datos personales- voz e imagen de una menor de 13 años- que forman parte de un contenido informativo que la parte reclamante dirige a sus seguidores, ha de entenderse que son de aplicación los límites señalados por la jurisprudencia en cuanto a la necesaria salvaguarda de los derechos fundamentales de los afectados. Por otro lado, y al ser de interés en el caso que nos ocupa, ha de mencionarse la sentencia 27/2020, de 24 de febrero, dictada por el Tribunal Constitucional en su recurso 1379/2017, en la que analiza los límites que han de imponerse en el uso de la imagen de una persona como recurso informativo. Así, tras señalar que hemos de volver a insistir en que el aspecto físico, en tanto que instrumento básico de identificación y proyección exterior y factor imprescindible para el propio reconocimiento como persona, constituye el primer elemento configurador de la esfera personal de todo individuo (SSTC 156/2001, FJ 6 y 99/1994, FJ 5) , concluye que la regla primera para lograr la protección de este derecho fundamental consiste en que para poder captar, reproducir y/o publicar la imagen de una persona es indispensable su consentimiento inequívoco, siendo excepcionales los supuestos en los que no se requiere dicha autorización (…) A continuación, razona lo siguiente: "cuando el derecho a la propia imagen entre en colisión con otros bienes o derechos constitucionalmente protegidos, particularmente las libertades de expresión e información (art. 20.1.a y d CE) deberán ponderarse los diferentes intereses enfrentados y, atendiendo a las circunstancias concretas de cada caso, decidir qué interés merece mayor protección" (SSTC 105/1990, de 6 de junio; 72/2007, FJ 5 y 156/2001, FJ 6).(…) Como es fácilmente deducible, esto ocurre no solo en su confrontación con los derechos al honor y a la intimidad, sino también con el derecho fundamental a la propia imagen, por ejemplo, en aquellos casos en los que en la información se difundan fotografías o videoclips que solo puedan entenderse como meros instrumentos de satisfacción de la curiosidad ajena y hayan sido incluidos no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/26 con una función informativa, sino con la finalidad de saciar la expectación que, en aquellos términos, puede levantar una determinada noticia. (…) la imagen de un particular anónimo o desconocido, o lo que es lo mismo, que no ejerce cargo público o una profesión de notoriedad, por más que sea captada en un lugar público, no puede utilizarse sin su expreso consentimiento, salvo en dos supuestos. En primer lugar, aquel en el que la persona aparezca en la fotografía de manera meramente accesoria e intrascendente, sin protagonismo alguno. En segundo término, en el caso de que la participación en el acontecimiento noticiable de la persona inicialmente anónima fuera principal o protagonista, en cuyo caso su derecho fundamental a la imagen deberá ceder frente al derecho a la información, precisamente debido al papel no accesorio que ha asumido el propio sujeto. (…) Aunque los riesgos de intromisión hayan aumentado exponencialmente con el uso masivo de las redes sociales, para ahuyentarlos debemos seguir partiendo del mismo principio básico que rige el entorno analógico y afirmar que el reconocimiento constitucional de los derechos fundamentales comprendidos en el art. 18 CE conlleva la potestad de la persona de controlar los datos que circulan en la red social y que le conciernen. Por consiguiente, reiteramos que, salvo que concurra una autorización inequívoca para la captación, reproducción o publicación de la imagen por parte de su titular, la injerencia en el derecho fundamental a la propia imagen debe necesariamente estar justificada por el interés público preponderante en tener acceso a ella y en divulgarla. (…) El consentimiento solo ampara aquello que constituye el objeto de la declaración de voluntad. El titular del derecho fundamental debe autorizar el concreto acto de utilización de su imagen y los fines para los que la otorga. El consentimiento prestado, por ejemplo, para la captación de la imagen no se extiende a otros actos posteriores, como por ejemplo su publicación o difusión. En el presente supuesto, el tratamiento llevado a cabo por la parte reclamada fue excesivo, toda vez que la difusión de la voz e imagen de la menor de 13 años eran innecesarios para la finalidad de información que podría entenderse era perseguida por la parte reclamada. Una finalidad que, por otro lado, pudiera haberse alcanzado sin realizar este tratamiento excesivo de datos personales. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento de sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 5.1.
  41. c)del RGPD. XI Tipificación y calificación de la infracción del artículo 5.1
  42. c)del RGPD La citada infracción del artículo 5.1.
  43. c)del RGPD supone la comisión de una de las infracciones tipificadas en el artículo 83.5 del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/26 “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  44. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”. A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior se considera muy grave conforme al artículo 72.1.
  45. a)de la LOPDGDD, que establece que: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  46. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” XII Sanción por la infracción del artículo 5.1.
  47. c)del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD. - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el nivel de los daños y perjuicios que hayan sufrido (art. 83.2.
  48. a)del RGPD). La difusión por la parte reclamada del vídeo en el que aparece la menor de 13 años, sin contar con el necesario consentimiento que, en el caso que nos ocupa, corresponde otorgar a sus padres, tuvo repercusiones inmediatas en la menor, reflejadas en un elevado número de mensajes recibidos en los que se comentaba el video publicado. Todo ello teniendo asimismo en consideración el número de seguidores de la parte reclamada, que favoreció el conocimiento del video por un gran número de usuarios de redes sociales. - La intencionalidad o negligencia en la infracción. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. En este sentido, establece que en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, profesionalidad que concurre en el presente supuesto, dado que, en su condición de usuario de redes sociales, el reclamado trata datos personales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/26 que, como ocurre en el presente supuesto, pueden ser relativos a menores de edad. En este caso, aunque no se sugiere una intencionalidad directa, la negligencia deviene del hecho de no haber adoptado las medidas necesarias que garantizasen que el tratamiento de datos personales se refiere a titulares de los datos que hubieran consentido teniendo capacidad para ello. - Las categorías de datos personales afectados por la infracción (artículo 83.2.
  49. g)del RGPD). En el vídeo objeto de difusión, la menor responde a una serie de preguntas que revelan datos de carácter personal sobre su vida sexual. - La afectación a los derechos de los menores (artículo 76.2.
  50. f)de la LOPDGDD). La parte reclamada trató datos personales pertenecientes a una menor de edad de 13 años, por lo que, atendiendo a su especial vulnerabilidad, puede entenderse que una afectación a su derecho a la protección de datos personales tendría unas implicaciones y consecuencias especialmente significativas. Una vulnerabilidad que reconoce el RGPD al señalar en su considerando 38 que los niños merecen una protección específica de sus datos personales, ya que pueden ser menos conscientes de los riesgos, consecuencias, garantías y derechos concernientes al tratamiento de datos personales. El balance de las circunstancias anteriores permite fijar una multa de 3.000,00€ (tres mil euros), por la infracción del artículo 5.1.
  51. c)del RGPD. XIII Transparencia del tratamiento de datos personales El artículo 13 “Información que deberá facilitarse cuando los datos personales se obtengan del interesado” dispone lo siguiente: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  52. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  53. b)los datos de contacto del delegado de protección de datos, en su caso;
  54. b)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  55. c)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/26
  56. d)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  57. e)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  58. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  59. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  60. b)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  61. c)el derecho a presentar una reclamación ante una autoridad de control;
  62. d)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
  63. e)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." En el presente caso, examinada la documentación que obra en el expediente administrativo y las alegaciones presentadas por la parte reclamada al acuerdo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/26 inicio, se entiende que la parte reclamada no cumplió con la obligación de informar al titular de los datos objeto de tratamiento; una información que, al tratarse de un menor de 13 años, debiera haberse dirigido a sus progenitores. Asimismo, puede afirmarse que la información que recibió la menor de 13 años en el momento de ser grabada- y, eventualmente, la que pudiera haber transmitido a sus progenitores al objeto de recabar su consentimiento- era incompleta en relación con la exigida de acuerdo con el artículo 13 del RGPD. En este sentido, consta en el expediente que no se le proporcionó información de que el objetivo de la grabación del vídeo sería su difusión en el blog del que es autor la parte reclamada, por lo que puede considerarse que la información que le proporcionó a esta era incompleta, toda vez que publicó en sus perfiles de TikTok e Instagram la entrevista realizada a la menor. No obstante, aunque hubiera recibido toda la información no sería válida dado que esa información se hubiera tenido que facilitar a los padres. En consecuencia, de conformidad con las evidencias de las que se dispone en esta fase de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 13 del RGPD. XIV Tipificación y calificación de la infracción del artículo 13 del RGPD La citada infracción del artículo 13 del RGPD supone la comisión de la infracción tipificada en el artículo 83.5 del RGPD que, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  64. b)los derechos de los interesados a tenor de los artículos 12 a 22; (…)” A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior se considera leve conforme al artículo 74 de la LOPDGDD, que establece que “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes:
  65. a)El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679; (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/26 XV Sanción por la infracción del artículo 13 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que ha de tenerse en consideración el balance de las siguientes circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el nivel de los daños y perjuicios que hayan sufrido (art. 83.2.
  66. a)del RGPD). La grabación del vídeo en el que aparece la menor de 13 años y su posterior publicación en las redes sociales de la parte reclamada, con una difusión inmediata, que se vio favorecida por contar la parte reclamada con un gran número de seguidores en redes sociales, tuvo repercusiones inmediatas en la menor, reflejadas en un elevado número de mensajes recibidos en los que se comentaba el video publicado. - La intencionalidad o negligencia en la infracción. En el caso que nos ocupa, de la información de la que hasta el momento se ha tenido conocimiento se desprende que, si bien la menor afectada fue informada de la grabación del video, el reclamante le aseguró que no se publicaría. Esta aseveración podría permitir concluir que la menor de 13 años afectada preguntó directamente sobre la posibilidad de que el video publicado y que recibiera una respuesta negativa. Por ello, la publicación ulterior del contenido podría ser considerada como intencional, a pesar de que una respuesta distinta a la pregunta sobre su posible difusión podría haber conllevado una negativa a la participación de la menor en la grabación del video. No obstante, esa información debía haberse dado a los progenitores dado que la menor no puede consentir un tratamiento de datos personales. - Las categorías de datos personales afectados por la infracción (artículo 83.2.
  67. g)del RGPD). En el vídeo, la menor responde a una serie de preguntas que revelan datos de carácter personal sobre su vida sexual. - La afectación a los derechos de las menores (artículo 76.2.
  68. f)de la LOPDGDD). La parte reclamada trató datos personales pertenecientes a una menor de edad de 13 años, por lo que, atendiendo a su especial vulnerabilidad, puede entenderse que una afectación a su derecho a la protección de datos personales tendría unas implicaciones y consecuencias especialmente significativas. Una vulnerabilidad que reconoce el RGPD al señalar en su considerando 38 que los niños merecen una protección específica de sus datos personales, ya que pueden ser menos conscientes de los riesgos, consecuencias, garantías y derechos concernientes al tratamiento de datos personales. El balance de las circunstancias anteriores permite fijar una multa de 1.000€ (mil euros), por la infracción del artículo 13 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/26 XVI Adopción de medidas Las infracciones en la materia que nos ocupan pueden dar lugar a la imposición al responsable de la obligación de adoptar medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2.
  69. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el artículo 83.2 del RGPD. En tal caso, esta Agencia podrá requerir a la entidad responsable para que, en el plazo que se determine, adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los Fundamentos de Derecho del presente acuerdo. En atención a las circunstancias analizadas en la presente resolución de procedimiento sancionador se entiende que la parte reclamada puede estar realizando tratamientos de datos personales que afectasen a menores de 14 años y para los que debiera contar con el consentimiento de sus progenitores. Por ello, se considera que la continuación del tratamiento podría comportar un menoscabo muy grave e irreparable para los derechos los potenciales afectados. Debe recordarse que en el acuerdo de inicio del presente procedimiento sancionador se acordó imponer como medida provisional la suspensión del tratamiento de datos de carácter personal por la parte reclamada de menores de 14 años en los casos en que no contase con el consentimiento de los progenitores. Y, por tanto, a fin de salvaguardar y garantizar los derechos y libertades de la parte reclamante, se acuerda elevar a definitiva la medida provisional impuesta. Por otro lado, de acuerdo con el ya citado artículo 58.2
  70. d)del RGPD, también se requiere a la parte reclamada para que en el plazo de 1 mes desde que la presente resolución sea firme y ejecutiva notifique a esta Agencia la adopción de las medidas que permitan garantizar que la grabación y eventual difusión de datos de carácter personal se realiza previo consentimiento del afectado y, en el caso de menores de 14 años, de sus progenitores. La imposición de estas medidas es compatible imponer una multa administrativa, según lo dispuesto en el artículo 83.2 del RGPD. Se advierte que no atender la adopción de medidas impuestas por este organismo en la resolución que ponga fin al presente procedimiento podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/26 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a A.A.A., con NIF ***NIF.1: - Por la infracción del artículo 9 del RGPD, tipificada en el artículo 83.5.
  71. a)de dicha norma, multa administrativa de cuantía 3.000€ (tres mil euros). - Por la infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  72. a)de dicha norma, multa administrativa de cuantía 3.000€ (tres mil euros). - Por la infracción del artículo 5.1
  73. c)del RGPD, tipificada en el artículo 83.5
  74. a)de dicha norma, multa administrativa de cuantía 3.000€ (tres mil euros). - Por la infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
  75. b)de dicha norma, multa administrativa de cuantía 1.000€ (mil euros). SEGUNDO: Confirmar y elevar a definitiva la medida provisional impuesta a A.A.A., con NIF ***NIF.1, consistente en suspender el tratamiento de datos de carácter personal por la parte reclamada de menores de 14 años en los casos en que no cuente con el consentimiento de los progenitores; cuyo cumplimiento deberá acreditarse al día siguiente de la notificación de la presente resolución de procedimiento sancionador. Asimismo, ordenar a A.A.A., con NIF ***NIF.1, que en virtud del artículo 58.2.
  76. d)del RGPD, en el plazo de 1 mes desde que la presente resolución sea firme y ejecutiva, acredite haber adoptado las medidas que permitan garantizar que la grabación y eventual difusión de datos de carácter personal se realiza previo consentimiento del afectado y, en el caso de menores de 14 años, de sus progenitores. TERCERO: NOTIFICAR la presente resolución a A.A.A.. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  77. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/26 Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  78. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.