← España

PS-00526-2023

1/15  Expediente N.º: EXP202313226 (PS/00526/2023) RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 21 de agosto de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra ROCA & ASOCIADOS ABOGADOS Y ECONOMISTAS, S.L.P. con NIF B66945197 (en adelante, ROCA & ASOCIADOS). Los motivos en que basa la reclamación son los siguientes: La parte reclamante trabajó en la empresa reclamada entre el 13 de marzo y 21 de julio de 2023 y señala que la empresa (despacho de abogados) publica el nombre y apellidos y fotografías de sus trabajadores sin el consentimiento, incluida la suya. Expresa la parte reclamante que en los próximos días instará a la empresa reclamada a borrar sus datos. Junto a la reclamación se aporta enlace a la publicación: https://roca.legal/team.html. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ROCA & ASOCIADOS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 29 de septiembre de 2023 como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 21 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad ROCA & ASOCIADOS ABOGADOS Y ECONOMISTAS, S.L.P. es una microempresa constituida en el año 2017, y con un volumen de negocios de ***CANTIDAD.1 euros en el año

  1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/15 QUINTO: Con fecha 31 de enero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ROCA & ASOCIADOS, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 de del RGPD, en el que se le indicaba que tenía un plazo de diez días para presentar alegaciones. Este acuerdo de inicio, que se notificó a ROCA & ASOCIADOS conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 13 de febrero de 2024, como consta en el acuse de recibo que obra en el expediente. SEXTO: Con fecha 27 de febrero de 2024, se recibe en esta Agencia, en tiempo y forma, escrito de ROCA & ASOCIADOS en el que aduce alegaciones al acuerdo de inicio en el que, en síntesis, manifestaba que: La parte reclamante dio su consentimiento a la publicación de su foto en la web de ROCA & ASOCIADOS, habiendo posado para la toma de la foto, y aportando los datos de su currículum para su inclusión en el perfil del despacho, previa comunicación del informático de la empresa mediante correo electrónico en el que se mencionaba “Mañana sacaremos fotos a los nuevos que lo deseen”, adjuntando dos mensajes enviados al correo electrónico de la parte reclamante en los que se le avisaba de la posibilidad de revisar las fotografías. Además, la parte reclamante publicó previamente en su perfil de linkedin los mismos datos que constaban en la web de ROCA & ASOCIADOS. SÉPTIMO: Con fecha 5 de marzo de 2024, el órgano instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporados a la reclamación interpuesta por la parte reclamante y su documentación, los documentos obtenidos y generados en el traslado de la reclamación, que forman parte del expediente, así como las alegaciones al acuerdo de inicio presentadas por ROCA & ASOCIADOS y la documentación que a ellas acompaña. Ese mismo día, el órgano instructor del procedimiento ha requerido a ROCA & ASOCIADOS para que presentara lo siguiente: - La información proporcionada a la parte reclamante sobre la publicación de su foto en la web. - La información a que se refiere el artículo 13 del RGPD facilitada a los empleados cuya foto iba a ser publicada. - El registro de las actividades de tratamiento de ROCA & ASOCIADOS ABOGADOS Y ECONOMISTAS, S.L.P., y, en concreto, lo relativo al tratamiento de la imagen de sus empleados. La notificación del acuerdo, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), en fecha 16 de marzo de 2023, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/15 como consta en el certificado que obra en el expediente, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP. Reiterándose la notificación por el mismo medio en fecha 31 de mayo de 2024, el acuerdo fue recogido con fecha 3 de junio de 2024, como consta en el acuse de recibo que obra en el expediente. En la actualidad, no consta en la AEPD que ROCA & ASOCIADOS hubiera presentado escrito de respuesta al acuerdo de práctica de prueba acordado por esta Agencia. OCTAVO: Con fecha 31 de julio de 2024 el órgano instructor del procedimiento formuló propuesta de resolución, en la que propone que por la Directora de la AEPD se sancione a ROCA & ASOCIADOS, con NIF B6694519, por una infracción del artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 5.000 € (cinco mil euros). Esta propuesta de resolución, que se notificó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) mediante notificación electrónica, no fue recogida por ROCA & ASOCIADOS dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 11 de agosto de 2024, como consta en el certificado que obra en el expediente. NOVENO: Notificada la citada propuesta de resolución conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por parte de ROCA & ASOCIADOS. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 28 de marzo de 2023, desde el correo ***EMAIL.1 se envió un mensaje al correo electrónico corporativo de la parte reclamante con el siguiente contenido: “Mañana sacaremos fotos a los nuevos que lo deseen Echad un vistazo a https://roca.legal/team.html Echad un vistazo a https://roca.legal/team.html para ver el estilo que usamos y elegis que más os ajusta Un saludo Hasta mañana!” SEGUNDO: Con fecha 27 y 28 de abril de 2023, desde el correo ***EMAIL.1 se envían sendos mensajes al correo corporativo de la parte reclamante, con el asunto “Fotos en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/15 la web actualizadas”, en los que les informa de que pueden revisar las fotografías en la web de ROCA & ASOCIADOS, tanto en español como en catalán y en inglés. TERCERO: En la captura de la página web de ROCA & ASOCIADOS, de fecha 11 de septiembre de 2023, aportada por la parte reclamante junto a la reclamación, puede observarse la publicación de una fotografía con la imagen de la parte reclamante, en cuyo pie de foto aparece su nombre y primer apellido. CUARTO: Con fecha 5 de marzo de 2024, el órgano instructor del procedimiento acordó la apertura de un período de práctica de pruebas, en el cual esta Agencia requirió a ROCA & ASOCIADOS que presentara lo siguiente: La información proporcionada a la parte reclamante sobre la publicación de su foto en la web. La información a que se refiere el artículo 13 del RGPD facilitada a los empleados cuya foto iba a ser publicada. El registro de las actividades de tratamiento de ROCA & ASOCIADOS ABOGADOS Y ECONOMISTAS, S.L.P., y, en concreto, lo relativo al tratamiento de la imagen de sus empleados. El citado acuerdo no fue recogido por ROCA & ASOCIADOS, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 16 de marzo de 2023, como consta en el certificado que obra en el expediente, por lo que la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP. Reiterándose la notificación por el mismo medio en fecha 31 de mayo de 2024, se notifica con fecha 3 de junio de 2024, como consta en el acuse de recibo que obra en el expediente. En la actualidad, no consta en la AEPD que ROCA & ASOCIADOS hubiera presentado escrito de respuesta a la práctica de pruebas. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/15 reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4 “Definiciones” del RGPD define los siguientes términos a efectos del Reglamento: "1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que ROCA & ASOCIADOS publica en su página web “https://roca.legal/team.html” los siguientes datos personales de personas físicas: imagen, nombre, primer apellido y profesión de sus empleados, entre otros tratamientos. La imagen física de una persona es un dato personal, por lo que, su inclusión en publicaciones que identifica o hace identificable a una persona, supone un tratamiento de datos personales. ROCA & ASOCIADOS realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Contestación a las alegaciones aducidas al acuerdo de inicio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/15 Con relación a las alegaciones aducidas por ROCA & ASOCIADOS al acuerdo de inicio, que se resumen en que la parte reclamante dio su consentimiento a la publicación de su foto en la web de ROCA & ASOCIADOS, habiendo posado para la toma de la foto, y aportando los datos de su currículum para su inclusión en el perfil del despacho, previa comunicación del informático de la empresa mediante correo electrónico en el que se mencionaba “Mañana sacaremos fotos a los nuevos que lo deseen”, y sin haber mostrado su oposición a la publicación, tras haber sido informado en dos correos electrónicos de que las fotos estaban disponibles para ser revisadas. Además, la parte reclamante publicó previamente en su perfil de linkedin los mismos datos que constaban en la web de ROCA & ASOCIADOS. Frente a estos argumentos, cabe señalar que el RGPD regula las diferentes bases legítimas del tratamiento de datos personales en su artículo 6.1, y sobre esta cuestión de la licitud del tratamiento, incide asimismo el Considerando 40 del mencionado RGPD, cuando dispone que “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.” De acuerdo con lo manifestado por ROCA & ASOCIADOS, ha basado el tratamiento de datos objeto del procedimiento en el consentimiento de la parte reclamante y a este respecto, es necesario que el mismo esté vinculado a los fines concretos del tratamiento de sus datos. Con relación a la definición de consentimiento, el artículo 4.11 del RGPD supone un cambio de paradigma respecto al esquema vigente con anterioridad a la citada norma, por cuanto hace desaparecer de la realidad jurídica el denominado “consentimiento presunto”. Así, esta definición señala que se considera consentimiento del interesado aquella “manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración, o una clara acción afirmativa, el tratamiento de los datos persones que le conciernen». Respecto a la forma del consentimiento, según el Considerando 32 «El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le concierten, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/15 medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta.” Y, abundando en esta necesidad de declaración clara e inequívoca, el Considerando 42 establece que: “Cuando el tratamiento se lleva a cabo con el consentimiento del interesado, el responsable del tratamiento debe ser capaz de demostrar que aquel ha dado su consentimiento a la operación de tratamiento. En particular en el contexto de una declaración por escrito efectuada sobre otro asunto, debe haber garantías de que el interesado es consciente del hecho de que da su consentimiento y de la medida en que lo hace. De acuerdo con la Directiva 93/13/CEE del Consejo [de 5 de abril de 1993, sobre las cláusulas abusivas en los contratos celebrados con consumidores], debe proporcionarse un modelo de declaración de consentimiento elaborado previamente por el responsable del tratamiento con una formulación inteligible y de fácil acceso que emplee un lenguaje claro y sencillo, y que no contenga cláusulas abusivas. Para que el consentimiento sea informado, el interesado debe conocer como mínimo la identidad del responsable del tratamiento y los fines del tratamiento a los cuales están destinados los datos personales. El consentimiento no debe considerarse libremente prestado cuando el interesado no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno”. Asimismo, el artículo 7 del RGPD enumera las condiciones que deben concurrir para el otorgamiento del consentimiento y en nuestro ordenamiento, la LOPDGDD señala en su artículo 6, que lleva como rúbrica “Tratamiento basado en el consentimiento del afectado” lo siguiente: “
  2. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, y asea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen.
  3. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas.
  4. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual.” De acuerdo, por tanto, con lo establecido en el artículo 6.1 del RGPD, en relación con los Considerandos 32 y 42, cuando el tratamiento se base en el consentimiento del ciudadano, para considerar válido dicho consentimiento este deberá ser informado, referirse de manera específica a finalidades concretas, prestarse de manera libre y ser inequívoco. Sobre esta cuestión, las Directrices 5/2020, adoptadas por el Comité Europeo de Protección de Datos, ofrecen unos mecanismos para ayudar a la interpretación de estos criterios y a su cumplimiento por los responsables de los tratamientos. Respecto a la necesidad de que el consentimiento sea informado, habrá que acudir al artículo 13 del RGPD, artículo que determina la información que habrá de facilitarse C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/15 cuando los datos se obtengan del interesado. Para lograr este fin, el artículo 11 de la LOPDGDD articula la forma de ofrecer la información del artículo 13 del RGPD, estableciendo qué información básica ha de facilitarse, al menos, de manera directa, y sin perjuicio de la debida indicación del medio o lugar donde se podrá acceder a la información completa que ha de ofrecerse en virtud del mencionado artículo 13 del RGPD. Los elementos que conforman la información a proporcionar en el supuesto de que el consentimiento se erija en la base legitimadora del tratamiento han de alcanzar a: la identidad del responsable, los fines del tratamiento o tratamientos, qué tipo de datos se recaban, la existencia del derecho a retirar el consentimiento, información de si los datos serán objeto de decisiones automatizadas y de los posibles riesgos en el supuesto de que esté prevista una transferencia internacional de datos en ausencia de una decisión de adecuación y de las correspondientes salvaguardas. Un consentimiento prestado libremente significa que el interesado ha de tener una opción real para no otorgarlo. En consecuencia, no puede considerarse otorgado el consentimiento libremente cuando el sujeto no puede negar su otorgamiento sin sufrir algún tipo de consecuencia negativa, extremo que deberá probar el responsable del tratamiento. Por último, respecto a la no equivocidad, este requisito se manifestaría en que el interesado acepta de un modo indubitado el tratamiento de sus datos a través de una acción deliberadamente afirmativa y con carácter previo al comienzo del tratamiento de los datos. El RGPD no prescribe una forma concreta de registrar el consentimiento prestado y por lo tanto, corresponderá al responsable determinar aquella, en línea con el principio de responsabilidad proactiva establecido por el artículo 4.2 del RGPD, de tal manera que pueda probar que el interesado ha prestado de manera válida el citado consentimiento, es decir, que este es informado, libre, específico, y prestado de manera inequívoca. En relación con lo expuesto y de acuerdo con los hechos probados puestos de relieve en el presente procedimiento, ROCA & ASOCIADOS lleva a cabo un tratamiento de datos consistente en la toma de fotografía a la parte reclamante para su posterior difusión a través de la web de la empresa basándose en el consentimiento, que no es conforme con la normativa de protección de datos por las siguientes razones. Así, en aquellos supuestos en los que las fotografías captadas afectan a personas identificables, quienes no han prestado su voluntad de forma libre, específica, informada e inequívoca en el momento en que esas fotografías están siendo tomadas, no puede considerarse que el consentimiento recabado sea válido ya que:
  5. No es posible acreditar que la parte reclamante ha sido debidamente informada. Pese a la documentación que se le requirió a ROCA & ASOCIADOS en el período de prueba, ningún documento se ha aportado respecto a la información facilitada a la parte reclamante de la utilización de su imagen una vez tomada la fotografía para todas y cada una de las finalidades (en este caso, la captación de la imagen y su posterior difusión a través de la web de ROCA & ASOCIADOS). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/15
  6. No puede considerarse que la parte reclamante haya consentido indubitadamente la toma de una fotografía de su imagen física, ante un correo en el que lo único que se advierte es “sacaremos fotos a los nuevos que lo deseen”. Como se ha señalado anteriormente, el consentimiento presunto ha dejado de tener validez en el marco de la normativa de protección de datos surgida a partir de la aprobación del RGPD, debiendo ser expreso. Del mismo modo, el hecho de que la parte reclamante hubiera publicado en su perfil de la red social linkedin esta fotografía con su imagen, no supone un consentimiento a expreso a que pueda ser publicada por la empresa. Cabe señalar que esta circunstancia no ha sido probada por el reclamado.
  7. Ahora bien, es importante señalar que, en estos casos, debe cumplirse todos los requisitos que se han mencionado anteriormente como necesarios para la prestación de un consentimiento válido, lo que implica, por tanto, la necesidad de que el consentimiento sea además informado y expreso, que sea libre, debiendo estar el responsable en condiciones de acreditar que estos extremos se han cumplido en todos los casos. Teniendo en cuenta lo anterior, no pueden acogerse, por tanto, las alegaciones del ROCA & ASOCIADOS, ya que estas se asientan sobre la base del consentimiento presunto de la parte reclamante, ante el correo de comunicación de la toma de las fotografías (“a los nuevos que lo deseen”), El marco que configura el RGPD para los tratamientos de datos personales cuya base legitimadora sea el consentimiento de los interesados, exige una clara acción afirmativa en la prestación de dicho consentimiento, que deberá cumplir todas y cada una de las condiciones a que se ha hecho referencia más arriba, eliminando de esta forma el denominado consentimiento tácito o presunto. Por ende, para cumplir con la normativa de protección de datos, cuando la base legitimadora del tratamiento la constituya el consentimiento del interesado, la puesta a disposición de la información relativa al tratamiento se configura como un presupuesto necesario para la válida prestación del consentimiento. Por todo lo expuesto, se desestiman las alegaciones formuladas al acuerdo de inicio. IV Licitud del tratamiento El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales: “
  8. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/15 c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2…” Asimismo el Considerando 40 del mencionado RGPD, cuando dispone que «Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.» Por otra parte, el artículo 4 del RGPD, Definiciones, en su apartado 11, señala que: “1) (…) 11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. Con relación a los hechos reclamados, consta en el expediente (Página 14 a 17) impresión de fecha 1 de septiembre de 2023 de la página web “https://roca.legal/team.html” perteneciente a ROCA & ASOCIADOS, en la cual se publican los datos personales de la parte reclamante, concretamente, una fotografía con su imagen, nombre, primer apellido y profesión, sin que existan evidencias de que se haya obtenido el consentimiento previo del interesado ni concurra alguna de las demás condiciones que determinan la licitud del tratamiento. Por todo ello, se considera que existen evidencias de que el tratamiento de datos de ROCA & ASOCIADOS supone la vulneración del artículo 6.1 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/15 V Tipificación y calificación de la infracción De conformidad con las evidencias de las que se dispone en el presente momento de resolución del procedimiento sancionador, se considera que ROCA & ASOCIADOS ha cometido una vulneración del artículo 6.1 del RGPD, al no concurrir alguna de las condiciones establecidas en dicho artículo que legitimen la publicación en su página web de datos personales de la parte reclamante. Los hechos conocidos son constitutivos de una infracción, imputable a ROCA & ASOCIADOS, tipificada en el Artículo 83.5 del RGPD, que estipula lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (...).” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72 de la LOPDGDD, que califica de muy grave la siguiente conducta:
  9. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…) b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/
  10. (…)” VI Sanción por la infracción del artículo 6.1 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD, que indica: “
  11. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/15 a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido; b) la intencionalidad o negligencia en la infracción; c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados; d) el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32; e) toda infracción anterior cometida por el responsable o el encargado del tratamiento; f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción; g) las categorías de los datos de carácter personal afectados por la infracción; h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida; i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas; j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Con relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, dispone: “
  12. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo.
  13. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: a) El carácter continuado de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/15 b) La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. c) Los beneficios obtenidos como consecuencia de la comisión de la infracción. d) La posibilidad de que la conducta del afectado hubiera podido incluir a la comisión de la infracción. e) La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente f) La afectación a los derechos de los menores g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos. h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. Como circunstancia del artículo 76.2 de la LOPDGDD, entendida en este caso como agravante: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (apartado b): ROCA & ASOCIADOS en el desarrollo de su actividad profesional necesita tratar de forma habitual datos personales, tanto de clientes como de empleados, lo que supone que tiene experiencia suficiente y debería contar con el adecuado conocimiento para el tratamiento de dichos datos. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 del RGPD, permite imponer una sanción de 5.000 € (cinco mil euros). VII Imposición de medidas De acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”, se acuerda imponer a ROCA & ASOCIADOS, la adopción de la siguiente medida, que deberán ser acreditadas ante esta Agencia en el plazo de 3 meses: - Evitar que se publiquen datos personales en la web de ROCA & ASOCIADOS sin cumplir con lo dispuesto en el 6.1 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/15 La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a ROCA & ASOCIADOS ABOGADOS Y ECONOMISTAS, S.L.P., con NIF B66945197, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 5.000 € (cinco mil euros). SEGUNDO: ORDENAR a ROCA & ASOCIADOS ABOGADOS Y ECONOMISTAS, S.L.P., con NIF B66945197, que en virtud del artículo 58.2.d) del RGPD, en el plazo de 3 meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de las medidas para evitar que se publiquen datos personales en la web de ROCA & ASOCIADOS sin cumplir con lo dispuesto en el 6.1 del RGPD. TERCERO: NOTIFICAR la presente resolución a ROCA & ASOCIADOS ABOGADOS Y ECONOMISTAS, S.L.P. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/15 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.