1/17 Expediente N.º: EXP202207521 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A., en nombre y representación de D. ª B.B.B. (en adelante, la parte reclamante), en fecha 27 de mayo de 2022, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra JOLY DIGITAL, S.L.U., con NIF B11514445 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: En fecha ***FECHA.1, un periodista publicó en el blog que ostenta insertado en el Diario de Cádiz, una foto personal de la parte reclamante, de su ámbito privado y perteneciente a su cuenta privada de la red social Instagram. Manifiesta que dicha cuenta privada de Instagram siempre ha estado y está cerrada al público, por lo que todo el que quiera acceder a la misma y ver sus imágenes y fotografías tiene que mandarle una solicitud de amistad que la parte reclamante debe aceptar expresa y previamente, no encontrándose dicho periodista entre los aceptados para acceder a sus imágenes y fotografías. La difusión de imágenes realizadas a través del mencionado blog, sin consentimiento alguno y perteneciente a la red social (privada) de la representada, se ubica en la siguiente URL: ***URL.1 Considera que la difusión pública de imágenes personales y privadas por parte del reclamado, constituyen una manifiesta vulneración a lo dispuesto en el artículo 6 del Reglamento General de Protección de Datos, (RGPD 2016/679), al no contar con ninguna de las bases de legitimación establecidas en el apartado 1 del precitado artículo. Junto a la reclamación se adjunta documento (…) de la imagen publicada en el mencionado blog y que, a fecha de la presentación de la reclamación, aún continuaba publicada. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP, en fecha 22 de julio de 2022, como consta en el certificado que obra en el expediente. El traslado fue enviado mediante correo postal certificado, siendo recibido en fecha 25 de julio de 2022. En fecha 24 de agosto de 2022, se recibe en esta Agencia escrito de respuesta indicando que los hechos se reducen a que el periodista publicó una foto en la que aparecían las piernas de una mujer, publicada por la reclamante en su cuenta de Instagram con ocasión de (…), alabando sus “taconazos”. Foto que enviaron al periodista, dado que él carece de cuenta de Instagram, y que publicó bajo el texto (…), criticando lo que él entendía una conducta frívola con relación al periodismo y al premio concedido. Considera que la imagen que se reproduce no se corresponde con una persona identificada o identificable y por tanto no es dato personal y que en el comentario que acompaña a la fotografía, no se menciona en ningún momento el nombre de la parte reclamante y que la presente reclamación se enmarca en una polémica de tintes personales, alejada de cualquier fundamento jurídico o base legal. TERCERO: En fecha 9 de septiembre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se comunica la admisión a trámite de la reclamación presentada por la parte reclamante. CUARTO: En fecha 26 de enero de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD. El acuerdo de inicio fue enviado, conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica, si bien no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP, en fecha 9 de febrero de 2023, como consta en el certificado que obra en el expediente. No obstante, el acuerdo de inicio fue reenviado, previa solicitud, a la representante de la entidad según poder notarial, conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica, siendo recibido en fecha 1 de febrero de 2023, como consta en el certificado que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, aporta un dossier sobre el perfil profesional de la parte reclamante en una de las aplicaciones sociales y profesionales más importantes como es la red social LinkedIn, diversos artículos y recortes de prensa tomados de periódicos españoles destacando la referencia a la parte reclamante así como copia del acuerdo de inicio del procedimiento sancionador. SEXTO: En fecha 8 de marzo de 2023, se formuló propuesta de resolución, proponiendo: <<Que por la Directora de la Agencia Española de Protección de Datos se sancione a JOLY DIGITAL, S.L.U., con NIF B11514445, -por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD, con una multa administrativa de cuantía 20.000,00 euros. - se ordene a JOLY DIGITAL, S.L.U., con NIF B11514445, que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de 1 mes, acredite haber procedido al cumplimiento de las medidas correctoras necesarias para adecuar su actuación a la normativa de protección de datos personales, que impidan que en el futuro se repitan hechos similares.>> La citada propuesta de resolución fue enviada, conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica, si bien no fue recogida por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP, en fecha 23 de marzo de 2023, como consta en el certificado que obra en el expediente. No obstante, la propuesta de resolución fue reenviada, previa solicitud, a la representante de la entidad según poder notarial, conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica, siendo recibida en fecha 16 de marzo de 2023, como consta en el certificado que obra en el expediente. SÉPTIMO: En fecha 31 de marzo de 2023, la parte reclamada presentó escrito de alegaciones a la Propuesta de Resolución, en el que, en síntesis, pone en conocimiento de la AEPD que, en cumplimiento del requerimiento contenido en la propuesta de resolución, ha procedido a la eliminación de la captura de pantalla de la red social Instagram objeto del presente procedimiento. Asimismo, muestra su disconformidad ante la incorrecta tramitación del expediente que le ha generado una grave indefensión toda vez que no existe prueba alguna en relación con la fotografía objeto de este procedimiento. Niega no solo que su objeto sean las piernas de la denunciante, sino que niega que la fotografía haya sido realizada por ella y no proceda de un banco de imágenes. Por ello reitera, que la ausencia de prueba en el sentido señalado le provoca una grave indefensión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 En segundo lugar, expone que la publicación objeto del presente expediente no se ha efectuado en el periódico digital Diario de Cádiz, sino en un Blog de opinión alojado en dicha dirección, pero autónomo e independiente en cuanto a su contenido respecto del citado periódico digital. En él, su autor, ejercita su derecho a la libertad de expresión. Ejemplo de ello es la publicación en cuestión. En este sentido entiende que como el artículo 4 del RGPD define los datos personales como “toda información sobre una persona física identificada o identificable”, quedarían excluidas del ámbito de protección, las opiniones como la publicada. En cuanto a la prevalencia del derecho a la libertad de expresión sobre el derecho a la protección de datos de carácter personal, considera que, para llevar a cabo una correcta ponderación de los derechos en colisión, debe analizarse previamente el contexto y las circunstancias concurrentes en que ha sido publicada la captura de pantalla y que en el presente supuesto no existe un tratamiento de datos de carácter personal sino un ejercicio del derecho a la libertad de expresión por parte de un periodista al opinar sobre otra periodista con notoriedad pública con motivo de un hecho noticioso: (…). Considera por tanto que la publicación de la fotografía en el blog constituye un ejercicio legítimo de su derecho fundamental a la libertad de expresión toda vez que la publicación se ha llevado a cabo en ejercicio de un derecho fundamental prevalente, el Sr. C.C.C. no tiene acceso a Instagram por lo que difícilmente puede ser el autor de la conducta achacada, es decir, descargar de Instagram una fotografía publicada por la denunciante para su posterior divulgación (al Sr. C.C.C. un tercero le ha remitido directamente esa captura de pantalla) y la conducta del Sr. C.C.C. consiste en censurar la banalización realizada del periodismo como profesión, así como del propio reconocimiento que supone el premio entregado. Y esa opinión no puede expresarse sin publicar la fotografía que le había sido remitida. Asimismo, añade que para que una imagen sea considerada dato personal, la propia imagen debe contener rasgos que la hagan identificable de forma indubitada. Y en este caso, de la publicación efectuada, lo más que podría concluirse es que ha sido publicada por la Sra. B.B.B.. Por último, en cuanto a la calificación de la sanción y fijación del importe pone de manifiesto que la propuesta de sanción notificada es absolutamente desproporcionada y solicita que se acuerde declarar la inexistencia de infracción y se proceda al archivo de las presentes actuaciones. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Consta que en fecha 27 de mayo de 2022, la parte reclamante interpuso reclamación ante la Agencia Española de Protección de Datos, al haberse publicado en el Diario de Cádiz, una foto personal de su ámbito privado y perteneciente a su cuenta privada de la red social Instagram. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 SEGUNDO: Consta que en fecha ***FECHA.1, el Sr. C.C.C. publicó en la página web: ***URL.1 un artículo que bajo el título: “(…)”, reproducía una captura de pantalla de la red social Instagram de la parte reclamante. Dicha captura de pantalla consistía en la difusión de la imagen denunciada acompañada del siguiente texto: “(…).” TERCERO: Consta que la parte reclamada, en su escrito de 31 de marzo de 2023, informa que ha procedido a eliminar “la captura de pantalla de la red social de Instagram objeto del presente procedimiento.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas Los hechos reclamados se materializan en la publicación, sin legitimación ni consentimiento, de una captura de pantalla perteneciente a la cuenta privada de la red social Instagram de la reclamante, consistente en una foto de la reclamante, en la web ***URL.1, bajo el siguiente texto: “(…)”, lo que podría suponer vulneración de la normativa en materia de protección de datos. Es, por tanto, pertinente analizar si el tratamiento de datos personales llevado a cabo a través de la publicación denunciada es acorde con lo establecido en el RGPD. La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento, entendiendo por dato de carácter personal: “toda información sobre una persona física identificada o identificable”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 Se considera persona física identificable aquella cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona. En el caso concreto que se examina, la imagen publicada junto con el nombre, apellido y edad de la persona a la que se le ha atribuido, constituyen un conjunto de datos de carácter personal en el sentido del artículo 4.1 del RGPD, y, por tanto, datos relacionados con una persona física identificada o identificable. Asimismo, debe entenderse por tratamiento “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. Teniendo en cuenta lo anterior, Joly Digital, S.L.U., es un grupo editorial andaluz que para la edición de periódicos y revistas trata datos de carácter personal. Realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros. El Reglamento General de Protección de Datos, en su artículo 4.11, define el consentimiento del interesado como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. En este sentido, el artículo 6.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, establece que “de conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. III Alegaciones Aducidas al Acuerdo de Inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 El dictamen 4/2007, sobre el concepto de datos personales, adoptado el 20/06 por el Grupo de trabajo 29, de la Directiva 95/46, analiza en profundidad el concepto de datos personales, indicando la referencia: “son toda información sobre una persona física identificada o identificable, considerándose identificable toda persona cuya identidad pueda determinarse directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos característicos de su identidad física fisiológica psíquica económica cultural o social”. Una persona directamente se considera identificada a través del nombre y apellidos y queda más individualizada, cuando, además, se tiene otro identificador, por ejemplo, su fotografía, a través de la cual se puede obtener más información de esa persona. La difusión de imágenes realizadas a través del mencionado blog, junto con el nombre, apellido y edad de la persona a la que se le ha atribuido, sin consentimiento alguno y perteneciente a la red social (privada) de la reclamante, ubicada en la URL: ***URL.1, constituye un tratamiento de datos. La parte reclamada pretende criticar y expresar la opinión que le merece la faceta profesional de la parte reclamante y para ello utiliza datos personales de la parte reclamante que figuran en la URL de su dominio, divulgando al público la información. Con ese fin, incluso, publica sin consentimiento alguno y perteneciente a la red social (privada) de la reclamante, su imagen junto con su nombre, apellidos y edad. En relación con el uso del contenido fotográfico, procede mencionar la STS 363/2017, de 15 de febrero, en la que se indica lo siguiente: “… que, en la cuenta abierta en una red social en Internet, el titular del perfil haya “subido” una fotografía suya que sea accesible al público en general, no autoriza a un tercero a reproducirla en un medio de comunicación sin el consentimiento del titular porque tal actuación no puede considerarse una consecuencia natural del carácter accesible de los datos e imágenes de un perfil público en una red social en Internet. La finalidad de una cuenta abierta en una red social en Internet es la comunicación de su titular con terceros y la posibilidad de que estos terceros puedan tener acceso al contenido de esa cuenta e interactuar con su titular, pero no que pueda publicarse la imagen del titular de esa cuenta en un medio de comunicación. […] El consentimiento del titular de la imagen para que le público en general, o un determinado número de personas, pueda ver su fotografía en un blog o en una cuenta abierta en la web de una red social no conlleva la autorización para hacer uso de esa fotografía y publicarla o divulgarla de una forma distinta”. Si bien dicha Sentencia se refiere a imágenes accesibles al público en general, en concreto a la imagen captada del perfil de Facebook que el propio interesado dio a conocer en las redes sociales, en el caso concreto de este expediente, la reclamante tenía la imagen publicada en la parte privada de su Instagram. La documentación obrante en el expediente evidencia que la parte reclamada vulneró el artículo 6.1 del RGPD, al proceder a la difusión de la imagen de la reclamante, acompañada de su nombre, apellidos y edad, sin causa legitimadora alguna como podría ser el consentimiento o autorización en las redes sociales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 Por lo tanto, esta Agencia, tras haber constatado que la parte reclamada ha publicado y difundido una captura de pantalla perteneciente a la cuenta privada de la red social Instagram de la reclamante, consistente en una foto de la reclamante, y un texto en el que figura su nombre, apellidos y edad, concluye, de conformidad con la argumentación jurídica señalada, que se ha llevado a cabo un tratamiento de datos sin legitimación, pues no se ha acreditado por la parte reclamada lo contrario, y por lo tanto se considera que ha incurrido en una infracción del artículo 6 del RGPD. El artículo 6, Licitud del tratamiento, del RGPD establece: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. (…)”. También el artículo 6, Tratamiento basado en el consentimiento del afectado, de la nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), señala que: “1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. 2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual”. Sobre esta cuestión de la licitud del tratamiento, incide asimismo el Considerando 40 del mencionado RGPD, cuando dispone que: «Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.» No consta, sin embargo, que el citado tratamiento de datos personales se llevase a cabo por la parte reclamada al amparo de una base jurídica que lo legitime. En consecuencia, las alegaciones deben ser desestimadas, significándose que las argumentaciones presentadas no desvirtúan el contenido esencial de la infracción que se declara cometida ni suponen causa de justificación o exculpación suficiente. IV Alegaciones Aducidas a la Propuesta de Resolución En respuesta a las alegaciones presentadas por la entidad reclamada a la Propuesta de Resolución, se debe señalar lo siguiente: Alega la parte reclamada que no existe prueba alguna en relación con la fotografía objeto de este procedimiento. Niega no solo que su objeto sean las piernas de la denunciante, sino que niega que la fotografía haya sido realizada por ella y no proceda de un banco de imágenes. Por ello reitera, que la ausencia de prueba en el sentido señalado, le provoca una grave indefensión. La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. No obstante, sobre las alegaciones presentadas por la entidad reclamada se debe indicar que tal y como consta en las actuaciones previas, la AEPD requirió a la parte reclamada información relacionada con la incidencia, confirmándose lo señalado en el escrito de reclamación, al manifestar la parte reclamada que el periodista publicó una foto en la que aparecían las piernas de una mujer, publicada por la reclamante en su cuenta de Instagram con ocasión de (…), alabando sus “taconazos”. Foto que enviaron al periodista, dado que él carece de cuenta de Instagram, y que publicó bajo el texto (…), criticando lo que el entendía una conducta frívola con relación al periodismo y al premio concedido. Asimismo, en las alegaciones ahora presentadas consta que un tercero remitió al Sr. C.C.C. esa captura de pantalla. Por tanto, esta Agencia, tras haber constatado que la parte reclamada ha publicado y difundido una captura de pantalla perteneciente a la cuenta privada de la red social Instagram de la reclamante, consistente en una foto de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 la reclamante, y un texto en el que figura su nombre, apellidos y edad, concluye que se ha llevado a cabo un tratamiento de datos sin legitimación, pues no se ha acreditado por la parte reclamada lo contrario, y por lo tanto se considera que ha incurrido en una infracción del artículo 6 del RGPD. En segundo lugar, expone que la publicación objeto del presente expediente no se ha efectuado en el periódico digital Diario de Cádiz, sino en un Blog de opinión alojado en dicha dirección, pero autónomo e independiente en cuanto a su contenido respecto del citado periódico digital. En él, su autor, ejercita su derecho a la libertad de expresión. Ejemplo de ello es la publicación en cuestión. En este sentido entiende que como el artículo 4 del RGPD define los datos personales como “toda información sobre una persona física identificada o identificable”, quedarían excluidas del ámbito de protección, las opiniones como la publicada. Pues bien, en el presente caso, la parte reclamada es la responsable de los tratamientos de datos ahora analizados toda vez que conforme define el art 4.7 del RGPD, es la entidad que determina la finalidad y medios de los tratamientos realizados. En el caso concreto que se examina, la captura de pantalla perteneciente a la cuenta privada de la red social Instagram de la reclamante, consistente en una foto de la reclamante, y un texto en el que figura su nombre, apellidos y edad, constituyen datos de carácter personal en el sentido del artículo 4.1 del RGPD, y, por tanto, datos relacionados con una persona física identificada o identificable. A este respecto, conviene aclarar que el objeto del presente procedimiento sancionador no es el ejercicio del derecho a la libertad de expresión por parte de un periodista al opinar sobre otra periodista con notoriedad pública con motivo de un hecho noticioso, sino la publicación y difusión de la captura de pantalla perteneciente a la cuenta privada de la red social Instagram de la reclamante, consistente en una foto de la reclamante, y un texto en el que figura su nombre, apellidos y edad, sin causa legitimadora alguna. Debe tenerse en cuenta que la normativa de protección de datos no efectúa una distinción entre datos públicos y privados, permitiendo sin más, el uso de datos que la afectada haya hecho públicos, sino que otorga con carácter general una protección a los datos personales determinando aquéllos supuestos en que dicho tratamiento resulta conforme a la misma. El Tribunal Constitucional, viene a establecer el derecho a la protección de datos como derecho fundamental autónomo. En virtud de este derecho fundamental, el ciudadano, con carácter general, puede decidir sobre sus propios datos. En este sentido debe tomarse en consideración, la doctrina jurisprudencial del Tribunal Constitucional en esta materia, que configura el derecho a la protección de datos como un derecho fundamental autónomo, diferenciado del derecho fundamental a la intimidad. Señala así en su Sentencia 292/2000, lo siguiente: “De este modo, el objeto de protección del derecho fundamental a la protección de datos no se reduce sólo a los datos íntimos de la persona, sino a cualquier tipo de dato personal, sea o no íntimo, cuyo conocimiento o empleo por terceros pueda C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 afectar a sus derechos, sean o no fundamentales, porque su objeto no es sólo la intimidad individual, que para ello está la protección que el art. 18.1 CE otorga, sino los datos de carácter personal. Por consiguiente, también alcanza a aquellos datos personales públicos, que, por el hecho de serlo, de ser accesibles al conocimiento de cualquiera, no escapan al poder de disposición del afectado porque así lo garantiza su derecho a la protección de datos. También por ello, el que los datos sean de carácter personal no significa que sólo tengan protección los relativos a la vida privada o íntima de la persona, sino que los datos amparados son todos aquellos que identifiquen o permitan la identificación de la persona, pudiendo servir para la confección de su perfil ideológico, racial, sexual, económico o de cualquier otra índole, o que sirvan para cualquier otra utilidad que en determinadas circunstancias constituya una amenaza para el individuo.” La aludida Sentencia 292/2000 determina, asimismo, el contenido del derecho a la protección de datos personales señalando en su fundamento jurídico 7: “De todo lo dicho resulta que el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que los rectifique o los cancele.” Centrándonos en la imputación de la que trae causa el presente procedimiento sancionador se debe indicar que, la circunstancia que ocasiona la apertura del procedimiento no es otra que la publicación, en un blog de un medio de comunicación, de una captura de pantalla perteneciente a la cuenta privada de la red social Instagram de la reclamante, consistente en una foto de la reclamante, y un texto en el que figura su nombre, apellidos y edad. Circunstancia que no equivale a una autorización para que terceros puedan hacer uso de esta libremente, por lo que el tratamiento de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 imagen, junto con el nombre, apellidos y edad de la reclamante, sin su consentimiento previo y expreso, implica la vulneración del artículo 6 del RGPD. Por último, en cuanto a la alegación relativa a la calificación de la sanción y fijación del importe, el artículo 83.5 del RGPD establece que la infracción del artículo 6 del RGPD puede ser sancionada “con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”, por lo que ya se aplica una importante minoración de esta. La STS, Sala 3ª, de 16 de diciembre de 2003 (Rec. 4996/98) ya señalaba que el principio de proporcionalidad de las sanciones exige que "la discrecionalidad que se otorga a la Administración para la aplicación de la sanción se desarrolle ponderando en todo caso las circunstancias concurrentes, al objeto de alcanzar la debida proporcionalidad entre los hechos imputados y la responsabilidad exigida". Principio de proporcionalidad que no se entiende vulnerado, considerándose proporcionada la sanción propuesta a la entidad, por los hechos probados y ponderadas las circunstancias concurrentes, que se detallan más adelante. Asimismo, manifiesta la falta de proporcionalidad en comparación con el contenido de otras resoluciones dictadas por la AEPD como consecuencia de la supuesta infracción del artículo 6 del RGPD. En concreto, reseñan la sanción impuesta en un procedimiento sancionador de la AEPD a un club de futbol que había publicado en una red social un vídeo de una menor sin consentimiento, en el que se mostraba un momento del partido disputado para mostrar su disconformidad con la decisión arbitral. En el caso expuesto, aun cuando se efectuó un tratamiento de un dato sometido a especial protección como es el de la imagen de un menor, la AEPD acordó establecer una sanción de 5.000 euros. Pues bien, el RGPD prevé expresamente la posibilidad de graduación, mediante la previsión de multas susceptibles de modulación, en atención a una serie de circunstancias de cada caso individual. Y la Guía de Multas recientemente aprobada por el Comité Europeo de Protección de Datos propone, en la determinación del punto de partida para el cálculo de la multa, evaluar por un lado la gravedad de la infracción según las circunstancias del caso y por otro, el volumen de negocios de la empresa. Estas circunstancias han sido tenidas en cuenta a la hora de fijar la sanción. Consta conocido que la parte reclamada es una entidad que gestiona un gran volumen de datos personales en el ejercicio de sus atribuciones. Esta circunstancia determina un mayor grado de exigencia y profesionalidad y, consiguientemente, de responsabilidad de la entidad en relación con el tratamiento de los datos personales. En consecuencia, las alegaciones deben ser desestimadas, significándose que las argumentaciones presentadas no desvirtúan el contenido esencial de la infracción que se declara cometida ni suponen causa de justificación o exculpación suficiente. V Artículo 6.1 del RGPD La documentación obrante en el expediente ofrece indicios evidentes de que la parte reclamada ha publicado y difundido, sin legitimación ni consentimiento, una captura de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 pantalla perteneciente a la cuenta privada de la red social Instagram de la reclamante, consistente en una foto de la reclamante, y un texto en el que figura su nombre, apellidos y edad. El reclamado considera que la imagen que se reproduce no se corresponde con una persona identificada o identificable y por tanto no es dato personal y que en el comentario que acompaña a la fotografía, no se menciona en ningún momento el nombre de la parte reclamante y que la presente reclamación se enmarca en una polémica de tintes personales, alejada de cualquier fundamento jurídico o base legal. En este sentido, la Agencia Española de Protección de Datos ha de hacer mención a dos sentencias, una dictada por el Tribunal Supremo- STS 91/2017, de 15 de febrero – y otra por el Tribunal Constitucional - STC 27/2020, de 24 de febrero-, en las cuales se afirma que una fotografía en una red social no equivale a una autorización para que terceros puedan hacer uso de esta libremente, por lo que el tratamiento de la imagen de la reclamante sin su consentimiento previo y expreso, implica la vulneración del artículo 6 del RGPD. El TS, en sentencia 91/2017, de 15 de febrero, declara que "Que, en la cuenta abierta en una red social en Internet, el titular del perfil haya "subido" una fotografía suya que sea accesible al público en general, no autoriza a un tercero a reproducirla en un medio de comunicación sin el consentimiento del titular, porque tal actuación no puede considerarse una consecuencia natural del carácter accesible de los datos e imágenes en un perfil público de una red social en Internet. La finalidad de una cuenta abierta en una red social en Internet es la comunicación de su titular con terceros y la posibilidad de que esos terceros puedan tener acceso al contenido de esa cuenta e interactuar con su titular, pero no que pueda publicarse la imagen del titular de la cuenta en un medio de comunicación. [...]” Por su parte el TC en su sentencia 27/2020, de 24 de febrero, indica que “El hecho de que circulen datos privados por las redes sociales en Internet no significa que lo privado se haya tornado público, puesto que el entorno digital no es equiparable al concepto de "lugar público" del que habla la Ley Orgánica 1/1982, ni puede afirmarse que los ciudadanos de la sociedad digital hayan perdido o renunciado a los derechos protegidos en el art. 18 CE.” Esta doctrina del TC se recoge en la STS de 28 de julio de 2022, que también recuerda que el Tribunal Europeo de Derechos Humanos ha destacado con respecto a estos nuevos métodos y técnicas de obtención de la información, que es necesaria una vigilancia reforzada de la protección de la vida privada frente a las nuevas tecnologías, que posibilitan el almacenamiento y la reproducción de datos de carácter personal, así como, en particular, la toma sistemática de fotos específicas y su difusión al público (STEDH de 24 de junio de 2004, Von Hannover c. Alemania, § 70) En consecuencia, se considera que los hechos acreditados son constitutivos de infracción, imputable a la parte reclamada, por vulneración del artículo 6.1 del RGPD. VI Tipificación de la infracción del artículo 6.1 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 La citada infracción del artículo 6.1 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. VII Sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 liar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42,
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo con lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” Sanción por la infracción del artículo 6.1 del RGPD. De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción por infracción del artículo 6.1 del RGPD, procede graduar la multa teniendo en cuenta el siguiente criterio de graduación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 Como agravante: Artículo 83.2.
- a)RGPD: la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido: El tratamiento llevado a cabo por el reclamado se ha realizado a través de una página web con gran visibilidad por lo que su difusión es mayor. En cuanto a la duración de la infracción, la AEPD verificó que, hasta la fecha de la presentación de la reclamación, era posible el acceso a la captura de pantalla perteneciente a la cuenta privada de la red social Instagram de la reclamante, consistente en una foto de la reclamante, y un texto en el que figura su nombre, apellidos y edad en la página web ***URL.1., permitiendo el acceso no autorizado a dichos datos por terceros ajenos. Artículo 83.2
- g)RGPD: las categorías de los datos de carácter personal afectados por la infracción: imagen de la reclamante. Artículo 76.2
- b)LOPDGDD:” La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. La actividad de la entidad reclamada exige un continuo tratamiento de datos de carácter personal. Asimismo, la entidad reclamada realiza para el desarrollo de su actividad, un elevado volumen de tratamiento de datos personales. Considerando los factores expuestos, la valoración que alcanza la cuantía de la multa es de 20.000 € por infracción del artículo 6.1 del RGPD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a JOLY DIGITAL, S.L.U., con NIF B11514445, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 20.000,00 euros. SEGUNDO: NOTIFICAR la presente resolución a JOLY DIGITAL, S.L.U. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-010623 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es