1/16 Expediente N.º: EXP202207881 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 14 de diciembre de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ODRIA COSTAS INTERNACIONAL, S.L. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202207881 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y con base en los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) en fecha 16/06/2022 interpuso reclamación ante la Agencia Española de Protección de Datos (AEPD). La reclamación se dirige contra ODRIA COSTAS INTERNACIONAL, S.L. con NIF B30905756 (en adelante, la parte reclamada o la INMOBILIARIA. El motivo en el que basa la reclamación es la publicación de la imagen de sus hijas menores de edad en el portal inmobiliario https://www.rainbowpropertyservices.es/. La imagen es visible en las fotografías de su vivienda habitual que la parte reclamada captó y posteriormente publicó en el mencionado portal inmobiliario. El reclamante manifiesta que la INMOBILIARIA le solicitó, en representación del propietario, acceder a la que es su vivienda habitual desde la fecha del arrendamiento, en el año 2010, con objeto de comprobar el estado del inmueble. Que días después de la visita descubrió que habían sido publicadas “las fotos de nuestra vivienda habitual en el portal web de los denunciados y en otros portales inmobiliarios de la red inmovilla, sin nuestro consentimiento.” y que en “varias de las fotografía publicadas en internet sin nuestro consentimiento, aparecen las imágenes de nuestras hijas menores de edad, perfectamente identificables.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 La reclamación versa también sobre el presunto incumplimiento de la página web de la reclamada con la normativa de protección de datos personales y con la Ley de Servicios de la Sociedad de la información pues, dice, no identifica al titular del portal, no informa del ejercicio de los derechos y no consta información sobre la política de Anexa a la reclamación estos documentos: -Tres fotografías de la vivienda que se publicaron en la página web de la reclamada. Dos de ellas captan la imagen de la cocina y permiten ver, colgadas sobre la puerta del frigorífico, cuatro fotos de niñas de corta edad. La tercera fotografía capta la imagen de un dormitorio y sobre un mueble varios retratos de las menores. -Un hilo de correos electrónicos intercambiados entre B.B.B., “***PUESTO.1” de la inmobiliaria reclamada, desde la dirección electrónica ***EMAIL.1, y C.C.C., ***EMAIL.2. En todos los correos consta como asunto “Inspección de la propiedad” y todos son de fecha 18/05/2022. El primero de los correos lo envía la parte reclamada a C.C.C. a las 12.00 horas del 18/05/2022: “Podemos hacer la inspección este viernes sobre las 4.30 pm? Quedo a la espera de sus noticias.” A las 15:21 horas ***EMAIL.2 responde: “Buenas tardes, Esta semana es imposible. No estamos en casa en todo el día. Tendría que ser la semana del 23 de mayo, que no trabajamos por la tarde. Y si no, ya sería hasta la semana del 6 de junio.” A las 15:42 horas <***EMAIL.1> responde: “Buenas tardes C.C.C., Gracias por tu correo. Te parece bien el lunes a las 5.30 pm en la propiedad?” A las 17:17, ***EMAIL.2 escribe: “De acuerdo. El lunes 17.30 hs”. En fecha 07/06/2022 los correos precitados se remitieron desde ***EMAIL.2 a la dirección electrónica del reclamante, ***EMAIL.3. -Una captura de pantalla con la “Política de privacidad” en la que se observa que en el apartado “Responsable” no consta información. SEGUNDO: Recibida la reclamación en la AEPD, al objeto de verificar la publicación en la página web de la parte reclamada de las imágenes de la vivienda del reclamante, se procede en fecha 14/07/2022 a obtener capturas de pantalla de ***URL.1. Las imágenes así obtenidas coinciden con las fotografías que el reclamante aportó a la AEPD anexas a su reclamación. Además, se obtiene una cuarta fotografía, no aportada por el reclamante, con la imagen global del dormitorio infantil en la que aparece también el mueble sobre el que hay varios retratos de las menores. Se obtienen capturas de pantalla de la página web de la reclamada relativas a la “Política de cookies”, a la información sobre la identidad del responsable del tratamiento - “Odria Costas Internacional, S.L.”- y a sus datos de contacto, una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 dirección electrónica -***EMAIL.4 –, una dirección postal y dos números de teléfono ***TELEFONO.1-***TELEFONO.2, ***DIRECCION.1TERCERO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con fecha 15/07/2022 se dio traslado de dicha reclamación y de sus documentación anexa a la INMOBILIARIA para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se notificó electrónicamente, conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), se puso a disposición de la parte reclamada el 15/07/2022 y la notificación fue aceptada el 18/07/2022, tal y como como consta en el documento emitido por el servicio de Soporte del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada de la Fábrica Nacional de Moneda y Timbre(FNMT) que obra en el expediente. No se ha recibido respuesta al escrito de traslado. CUARTO: Con fecha 16/09/2022, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Por otra parte, el artículo 63.2 de la LOPDGDD determina que "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Disposiciones aplicables El RGPD se ocupa en su artículo 5 de los principios que presiden el tratamiento de los datos personales, precepto que dispone: “1. Los datos personales serán: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16
- a)tratados de manera lícita, leal y transparente en relación con el interesado («licitud, lealtad y transparencia»);
- b)[...] c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); [...] 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (<<responsabilidad proactiva>>)” III Infracción del principio de minimización 1.La imagen de una persona física es un dato de carácter personal. El artículo 4.1 del RGPD define el dato personal como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” El considerado 26 del RGPD aclara que “[...] Para determinar si una persona física es identificable, deben tenerse en cuenta todos los medios, como la singularización, que razonablemente pueda utilizar el responsable del tratamiento o cualquier otra persona para identificar directa o indirectamente a la persona física. Para determinar si existe una probabilidad razonable de que se utilicen medios para identificar a una persona física, deben tenerse en cuenta todos los factores objetivos, como los costes y el tiempo necesarios para la identificación, teniendo en cuenta tanto la tecnología disponible en el momento del tratamiento como los avances tecnológicos. [...]”. El artículo 4.2 del RGPD define el tratamiento como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;”. Todo tratamiento de datos personales debe respetar los principios que lo presiden, entre ellos, y por lo que aquí interesa, el de minimización, a tenor del cual únicamente serán tratados los datos que resulten necesarios (“limitados a lo necesario”) en relación con los fines del tratamiento (artículo 5.1.c RGPD). El considerando 39 del RGPD precisa a que “Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios.” (El subrayado es nuestro) 2.La documentación que obra en el expediente ofrece indicios evidentes de que la reclamada vulneró el artículo 5.1.
- c)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 La recogida y posterior difusión de la imagen de las hijas del reclamante constituye un tratamiento de datos personales innecesario. Se añade a lo anterior que la parte reclamada dispone de información adicional a la imagen de las menores, como son sus dos apellidos, pues conoce la identidad de sus padres: el nombre y los dos apellidos de cada uno de ellos. Así lo confirma el hecho de que, al menos el padre y reclamante, sea el arrendatario de la vivienda, y, respecto a la madre, a través de los mensajes intercambiado con la “***PUESTO.1” de la INMOBILIARIA con el objeto de concertar una cita para visitar la vivienda, se verifica que conocía su nombre y los dos apellidos ya que ambos aparecen vinculados a su dirección de correo electrónico. Las fotografías que el reclamante aportó el 16/06/2022 anexas a su reclamación - tres fotografías de su vivienda que obtuvo de la página web de la reclamada en las que es visible la imagen de las hijas menores de edad- son las mismas que casi un mes después, el 14/07/2022, se obtuvieron por la Subdirección de Inspección de esta Agencia desde esa página web ( www.rainbowpropertyservices.
- es)Así pues, se tiene constancia documental de que durante una visita al domicilio del reclamante que la reclamada hizo a finales de mayo de 2022 fotografió varias dependencias de su vivienda y captó en ellas la imagen de sus hijas a través de las fotografías de las niñas que se encontraban distribuidas por la vivienda. Los correos electrónicos que intercambiaron en mayo de 2022 la parte reclamada y C.C.C. –todo indica que es la madre de las menores y pareja del reclamante-, en los que figura como asunto de las comunicaciones mantenidas “Inspección de la propiedad”, confirman la visita de la inmobiliaria a la vivienda familiar. La reclamada, al proceder a fotografiar las dependencias de la vivienda del reclamante y familia, no adoptó ninguna medida para evitar que se captara la imagen de las niñas que era visible en las fotografías que estaban distribuidas por el domicilio familiar. Asimismo, después de haber obtenido las fotografías y antes de proceder a su publicación en el portal inmobiliario, tampoco adoptó ninguna medida para suprimir la imagen de las niñas captada indebidamente o, al menos, para impedir su identificación. La conducta de la reclamada que es objeto de análisis implicó un tratamiento de la imagen de las hijas del reclamante que, en ningún caso, era necesario para cumplir la finalidad que hubiera podido tener su visita al domicilio, fuera esta finalidad la de poder informar al propietario del inmueble sobre el estado de conservación de la vivienda, la de ofrecer en su página web información gráfica de una vivienda cuya venta iba a publicitar o ambas. 3. El artículo 5.2. del RGPD recoge el principio de responsabilidad proactiva conforme al cual el responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1- por lo que aquí interesa, del principio de minimización del artículo 5.1.
- c)del RGPD- y capaz de demostrar su cumplimiento. El principio de proactividad transfiere al responsable del tratamiento la obligación no solo de cumplir con la normativa, también la de poder demostrar dicho cumplimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 El Dictamen 3/2010, del Grupo de Trabajo del artículo 29 (GT29) -WP 173- emitido durante la vigencia de la Directiva 95/46/CEE, derogada por el RGPD, pero cuyas reflexiones son aplicables en la actualidad, afirma que la “esencia” de la responsabilidad proactiva es la obligación del responsable del tratamiento de aplicar medidas que, en circunstancias normales, garanticen que en el contexto de las operaciones de tratamiento se cumplen las normas en materia de protección de datos y en tener disponibles documentos que demuestren a los interesados y a las Autoridades de control qué medidas se han adoptado para alcanzar el cumplimiento de las normas en materia de protección de datos. El artículo 5.2 se desarrolla en el artículo 24 del RGPD que obliga al responsable a adoptar las medidas técnicas y organizativas apropiadas “para garantizar y poder demostrar” que el tratamiento es conforme con el RGPD. El precepto establece: “Responsabilidad del responsable del tratamiento” “1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. 2.Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos. 3.La adhesión a códigos de conducta aprobados a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrán ser utilizados como elementos para demostrar el cumplimiento de las obligaciones por parte del responsable del tratamiento.” (El subrayado es nuestro) A su vez, el artículo 25 del RGPD, “Protección de datos desde el diseño y por defecto”, se refiere a las medidas técnicas y organizativas que ha de adoptar el responsable del tratamiento y dispone: “1.Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2.El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 3.Podrá utilizarse un mecanismo de certificación aprobado con arreglo al artículo 42 como elemento que acredite el cumplimiento de las obligaciones establecidas en los apartados 1 y 2 del presente artículo.” (El subrayado es nuestro) En el supuesto de hecho planteado el principio de minimización de los datos obligaba a la parte reclamada a haber adoptado las medidas organizativas que evitaran que, al fotografiar las estancias de la vivienda, se captara la imagen de las menores. Imagen que figuraba en numerosos retratos de las niñas expuestos en el domicilio. Las medidas organizativas que era posible adoptar para garantizar el cumplimiento de ese principio eran numerosísimas: desde haber enfocado la cámara en una dirección que impidiera captar la imagen de las niñas hasta haber solicitado a los progenitores que retirasen los retratos el tiempo indispensable para fotografiar la vivienda. Y, no habiendo respetado el principio de minimización al obtener las fotos de la vivienda, la parte reclamada venía obligada en todo caso a cumplir con el principio mencionado al hacer uso de las fotografías que incluían la imagen de las menores indebidamente captada, suprimiéndola o pixelándola antes de publicar las fotos en páginas web y antes de facilitarlas por otra vía a terceras personas, incluido el propietario del inmueble. La parte reclamada incurrió en una grave falta de diligencia al incumplir la obligación legal impuesta por el artículo 5.1.
- c)del RGPD, incumplimiento que se produjo durante el desarrollo de su actividad empresarial. Como recuerda la SAN de 17/10/2007 (Rec. 63/2006) “[...] el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, [...]”. (El subrayado es nuestro) 4. La conducta de la INMOBILIARIA, materializada en la captación de imágenes de la vivienda que constituye el domicilio del reclamante y de su familia sin haber adoptado las medidas organizativas que resultaban procedentes para no captar y, en todo caso, para no difundir posteriormente la imagen de sus hijas podría ser constitutiva de una infracción del principio de minimización de los datos personales previsto en el artículo 5.1.
- c)del RGPD. Esta infracción se encuentra tipificada en el artículo 83.5. del RGPD que establece: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
- b)[...]” A efectos de determinar el plazo de prescripción de la presunta infracción del artículo 5.1.
- c)del RGPD de la que se responsabiliza a la INMOBILIARIA debemos estar a lo prevenido en el artículo 72. 1 de la LOPDGDD, “Infracciones consideradas muy graves”, que dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. [...]” IV Sanción que podría imponerse Los poderes correctivos atribuidos a la AEPD como autoridad de control se relacionan en el artículo 58.2 del RGPD, apartados
- a)a j). Entre ellos el precepto incluye la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD (artículo 58.2. i).También, la potestad de “ordenar la rectificación o supresión de datos personales o la limitación de tratamiento con arreglo a los artículos 16, 17 y 18 y la notificación de dichas medidas a los destinatarios a quienes se hayan comunicado datos personales con arreglo a al artículo 17, apartado 2, y al artículo 19” (artículo 58.2
- g)y la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado (artículo 58.2. d). Además, el artículo 83.2 del RGPD advierte que las multas administrativas se impondrán “a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j).” En el presente caso, sin perjuicio de lo que resulte de la instrucción, podría imponerse a la INMOBILIARIA por la presunta infracción del artículo 5.1.
- c)del RGPD una sanción de multa administrativa, conforme al artículo 58.2.
- i)del RGPD. El artículo 83 del RGPD, “Condiciones generales para la imposición de multas administrativas”, dice en su apartado 1 que la autoridad de control garantizará que la imposición de multas por las infracciones del presente Reglamento indicadas en los apartados 4,5 y 6, cumpla en cada caso individual los principios de efectividad, proporcionalidad y carácter disuasorio. El principio de proporcionalidad conlleva una correlación entre la infracción y la sanción, con interdicción de medidas innecesarias o excesivas, de manera que habrá de ser apta para alcanzar los fines que la justifican. El artículo 83.2. del RGPD determina la técnica a seguir para lograr esa adecuación entre la sanción y la infracción cometida y ofrece una relación de criterios o factores que serán tenidos en cuenta para graduar la sanción. El apartado 2 del artículo 83 del RGPD establece: “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” A propósito del apartado
- k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” Se aprecia la concurrencia de los siguientes factores que reflejan una mayor antijuridicidad de la conducta o/y de la culpabilidad de la entidad presuntamente infractora: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 -Del artículo 83.2.a): la “gravedad” de la infracción “teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. Las Directrices 4/2022 del Comité Europeo de Protección de Datos (CEPD) para el cálculo de las multas administrativas bajo el RGPD, aprobadas para consulta pública el 12/05/2022, indican que la “finalidad del tratamiento” llevará a la autoridad de control a atribuir mayor peso a la gravedad de la infracción. Así, dicen que “La autoridad de control también puede considerar si el propósito se enmarca dentro de las denominadas actividades principales del responsable del tratamiento. Cuanto más central sea el procesamiento para las actividades principales del controlador o procesador, más graves serán las irregularidades en este procesamiento. La autoridad de control puede atribuir más peso a este factor en estas circunstancias.” Respecto a la gravedad de la infracción derivada del nivel de daño sufrido y de la medida en que la conducta puede afectar a los derechos y libertades individuales, el CEPD dice que “La referencia al "nivel" de daño sufrido, por lo tanto, pretende llamar la atención de las autoridades de control sobre el daño sufrido, o que es probable que se haya sufrido, como otro parámetro separado con respecto al número de interesados involucrados. [....]. Según el considerando 75 del RGPD, el nivel de daño sufrido se refiere a daño físico, material o inmaterial. La valoración del daño, en todo caso, se limitará a lo funcionalmente necesario para lograr una correcta evaluación del nivel de gravedad de la infracción tal como se indica en el apartado 61 siguiente, sin solaparse con la actuación de las autoridades judiciales encargadas de determinar las distintas formas de daño individual.” En el presente supuesto estimamos que la infracción atribuida a la parte reclamada es grave pues la finalidad del tratamiento queda enmarcada dentro de las actividades principales de su empresa, la oferta de bienes inmuebles fruto de su actividad de intermediación en la venta y alquiler. Por otra parte, el daño causado es relevante y significativo pues afecta a la imagen de menores de edad. -Circunstancia del artículo 83.2.
- b)del RGPD: “la intencionalidad o negligencia de la infracción”. Cabe indicar en primer término que rige en nuestro Derecho sancionador el principio de culpabilidad, que impide imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. La presencia del elemento de la culpabilidad en sentido amplio, como condición para que nazca la responsabilidad sancionadora, ha sido reconocida por el Tribunal Constitucional, entre otras, en su STC 76/1999, en la que afirma que las sanciones administrativas participan de la misma naturaleza que las penales al ser una de las manifestaciones del ius puniendi del Estado y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la C.E., es imprescindible su existencia para imponerla. Por ello, incluso existiendo una conducta antijurídica, cuando el responsable del tratamiento acredita haber actuado con la diligencia que las circunstancias del caso exige para cumplir las obligaciones impuestas por la normativa de protección de datos, al estar proscrita la responsabilidad objetiva en nuestro Derecho Administrativo sancionador, la AEPD procede al archivo del expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 El principio de culpabilidad aparece recogido expresamente en la Ley 40/2015 de Régimen Jurídico del Sector Público dispone en el artículo 28, bajo la rúbrica “Responsabilidad”: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” A propósito del elemento de la culpabilidad en el marco del procedimiento sancionador la SAN de 30/05/2015 (Rec. 163/2014), ha destacado las diferencias que existen entre la atribución de responsabilidad a una persona física y a una persona jurídica y conecta la “reprochabilidad” de una determinada conducta a una “persona jurídica” con la circunstancia de que aquella “hubiera dispensado o no una eficaz protección al bien jurídico protegido por la norma”. El Fundamento de Derecho segundo de la citada Sentencia dice: <<No obstante, el modo de atribución de la responsabilidad a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. De modo que, en el caso de infracciones cometidas por personas jurídicas, aunque haya de concurrir el elemento de la culpabilidad, éste se aplica necesariamente de forma distinta a como se hace respecto a las personas físicas. Según STC 246/1999 “(…) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea real-mente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma”>> (El subrayado es nuestro) Ahora bien, en el supuesto analizado, no solo está presente el elemento de la culpabilidad -como se ha indicado, condición indispensable para poder exigir responsabilidad sancionadora- sino que se aprecia una muy grave falta de diligencia de la parte reclamada en el cumplimiento de las obligaciones que el RGPD le impone, grave falta de diligencia que tiene una consecuencia directa en la determinación de la cuantía de la sanción de multa administrativa que se estima procedente imponer. En el presente supuesto se ha constatado que la parte reclamada no desplegó la más mínima diligencia para dar cumplimiento a los principios que presiden el tratamiento de los datos de carácter personal, en particular del principio de minimización. La entidad reclamada omitió la diligencia que estaba obligada a observar cuando, en el desarrollo de su actividad empresarial, captó imágenes de la vivienda del reclamante y recogió datos personales de sus hijas menores de edad (su imagen) que en ningún caso eran necesarios para la finalidad perseguida por su actividad y cuando, posteriormente, difundió en su portal web esas imágenes. Nos remitimos a la SAN de 17/10/2007 (Rec. 63/2006) citada en el Fundamento III, punto 3, precedente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 - Circunstancia del artículo 83.2.
- k)RGPD: En relación con el artículo 76.2.
- b)LOPDGDD: La evidente vinculación entre la actividad empresarial de la reclamada y el tratamiento de datos personales. En relación con el artículo 76.2.
- f)de la LOPDGDD: “La afectación a los derechos de los menores.” No se aprecia la concurrencia de circunstancias atenuantes. De conformidad con los criterios de los artículos 83.1. y 83.2 del RGPD, en esta fase del procedimiento, y sin perjuicio del resultado de la instrucción, se estima que la presunta infracción del artículo 5.1.
- c)del RGPD atribuida a la INMOBILIARIA podría sancionarse con la imposición de una multa administrativa por importe de 10.000€ (diez mil euros) Además, podrán adoptarse otras medidas correctivas, como ordenar la supresión de los datos personales de las hijas del reclamante, conforme al artículo 17 del RGPD, medida prevista en el apartado
- g)del artículo 58.2 del RGPD. Se recuerda a ese respecto que el artículo 17.1 del RGPD dispone que “El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
- a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo; [...]” Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a ODRIA COSTAS INTERNACIONAL, S.L., con NIF B30905756, por la presunta infracción del artículo 5.1.
- c)del RGPD tipificada en el artículo 83.5.
- a)del RGPD. SEGUNDO: NOMBRAR instructora a R.R.R. y secretario a S.S.S., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación anexa, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE, a los efectos previstos en el artículo 64.2
- b)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), la sanción que pudiera corresponder sería de 10.000 € (diez mil euros). QUINTO: NOTIFICAR el presente acuerdo a ODRIA COSTAS INTERNACIONAL, S.L., con NIF B30905756, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere conveniente. En su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución según lo establecido en el artículo 64.2.
- f)de la LPACAP. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000€ (ocho mil euros), resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo, podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 8.000€ (ocho mil euros) y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correctivas que correspondan, en su caso. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 6.000€ (seis mil euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (8.000€ o 6.000€), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma electrónica, a través de la Dirección Electrónica Habilitada Única (dehu.redsara.
- es)y el Servicio de Notificaciones Electrónicas (notificaciones.060.es), y que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 19 de mayo de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 6000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. CUARTO: En el Acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
- d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el Acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202207881, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: ORDENAR a ODRIA COSTAS INTERNACIONAL, S.L. para que en el plazo de un mes notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del Acuerdo de inicio transcrito en la presente resolución. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 TERCERO: NOTIFICAR la presente resolución a ODRIA COSTAS INTERNACIONAL, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1259-121222 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es