1/9 Expediente N.º: EXP202301215AM RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 02/02/2023, la Directora de la Agencia Española de Protección de Datos remite a la Subdirección General de Inspección de Datos una nota interior en la que indica lo siguiente: “Se ha puesto en conocimiento de esta Agencia, por medio de la comunicación NI/00023/2023, una posible infracción en el tratamiento de datos personales relativa a los hechos que se describen a continuación. Esta Agencia ha tenido conocimiento de una posible infracción en el tratamiento de datos personales relativa a la difusión de un vídeo, en una discoteca, en el que se puede ver a numerosos menores de edad realizando bailes con connotaciones sexuales. En relación con lo anterior, la necesidad de analizar las implicaciones en materia de protección de datos personales y seguridad de la información requiere la apertura de una investigación en orden al esclarecimiento de los hechos denunciados y su autoría. Por ello, se insta a la Subdirección General de Inspección de Datos a que inicie de oficio Actuaciones Previas de Investigación tendentes a acreditar estos hechos.” SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 1) En fecha 22/02/2023, los Servicios de Inspección de esta Agencia recogen muestras de la noticia publicada (…) en el periódico digital “20minutos” con el título “(…)”. Asimismo, en esa misma fecha, acceden al perfil de la discoteca “@***DISCOTECA.1” en la red social TikTok en el que no figura el vídeo en cuestión. 2) En fecha 02/06/2023, los Servicios de Inspección de esta Agencia recogen muestras de la noticia publicada (...) en el periódico digital “El Periódico” “(…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 3) En fecha 08/06/2023, se recibió respuesta del Ayuntamiento de Barcelona, con número de registro REGAGE23e00036974245, a los requerimientos de información de fecha 23/02/2023 y 28/04/2023 en el que manifestaba lo siguiente: “Consultados los archivos, (…) consta en vigor una licencia con número de expediente 03-2017-0039, siendo el titular de la misma ASSOCIACIO OASIS CULTURAL, con CIF G65105298 Y DOMICILIO EN C. VENTALLO, NÚMERO 4, PISO 1, 08025 BARCELONA.” 4) En fecha 12/06/2023, 12/07/2023 y 04/09/2023, se requiere a la ASSOCIACIÓ OASIS CULTURAL la siguiente información: 1. Información facilitada a los asistentes al local ***DISCOTECA.1, (...), sobre el tratamiento de sus datos personales y las finalidades de los diversos tratamientos que pudieran realizarse. 2. Consentimiento de los padres o tutores legales de los menores para la publicación de los datos personales de éstos en las redes sociales y en cualquier otro medio de difusión. 3. Descripción detallada del sistema de grabación y conservación de los datos de los menores indicando equipos utilizados, personal con acceso a estos datos, medidas de seguridad implantadas para evitar accesos no autorizados y periodo de conservación de los datos y criterio para su establecimiento. Protocolo de eliminación de los datos una vez transcurrido este plazo de conservación. 4. Medidas implantadas en el control de entrada para evitar que accedan al local únicamente chicos y chicas con la edad permitida y posible tratamiento de los datos de los menores derivado de este control de acceso. 5. Licencia de actividad. La primera de las notificaciones, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 23/06/2023, como consta en el certificado que obra en el expediente. Mientras que los otros dos intentos de notificación se realizaron vía postal, resultando “Devuelto a Origen por Sobrante (No retirado en oficina) el 01/09/2023 y 30/01/2023, respectivamente. 5) En fecha 12/06/2023, los Servicios de Inspección de esta Agencia recogen muestras de la noticia publicada (...) en el periódico digital “El País” con el título “(…)”. 6) Mediante diligencia de fecha 17/10/2023, los Servicios de Inspección de esta Agencia incorporan al expediente el vídeo obtenido del perfil “@A.A.A.” de la red social X. Durante la reproducción del vídeo, se observa que en el lado izquierdo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 aparece el perfil de TikTok “@***DISCOTECA.1” y, en la parte inferior, el siguiente logo “***LOGO.1”. 7) En fecha 17/10/2023 y 01/12/2023, se requiere a la red social Twitter información sobre el perfil @A.A.A. como nombre, correo electrónico, teléfono y dirección IP; sin haber recibido respuesta alguna. 8) En fecha 17/10/2023, los Servicios de Inspección de esta Agencia comprueban que el perfil de la discoteca “@***DISCOTECA.1” de la red social TikTok vuelve a tener contenido y se anuncia su reapertura el 14/10/2023. Se publica un vídeo relacionado a lo investigado en estas actuaciones restando importancia a la publicación del vídeo en cuestión. 9) En fecha 11/12/2023, se requiere a Orange Espagne, S.A.U. información relativa al abonado con número de teléfono ***TELÉFONO.1, sin recibir respuesta alguna. 10) A fecha 11/12/2023, no se pudo verificar que el vídeo en el que se veía a menores bailando en la discoteca ***DISCOTECA.1 estuviera publicado en el perfil “@***DISCOTECA.1” de la red social TikTok. TERCERO: Con fecha 17/01/2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a ASSOCIACIÓ OASIS CULTURAL (en adelante, la parte reclamada), con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
- a)del RGPD. Este acuerdo de inicio se notificó conforme a las normas establecidas en la LPACAP mediante anuncio publicado en el Boletín Oficial del Estado (en adelante, B.O.E) el 08/02/2024. CUARTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
- f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
- f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 HECHOS PROBADOS PRIMERO: El 15/01/2023 a las 01:50 horas se publica en el perfil de la red social X @A.A.A., bajo el título “(…)”, un vídeo de 45 segundos en el que aparecen numerosos menores de edad realizando bailes con connotaciones sexuales. En el lado izquierdo figura el perfil de TikTok @***DISCOTECA.1 y, en la parte inferior, el siguiente logo “***LOGO.1”. SEGUNDO: (...) a las 13:30 horas se publica en la versión digital del periódico ‘El Periódico’ una noticia, bajo el título “(…)”, con el siguiente contenido: “(…)” TERCERO: (...) a las 13:34 horas se publica en la versión digital del periódico ‘20minutos’ una noticia, bajo el título “(…)”, con el siguiente contenido: “(…)” CUARTO: (...) a las 15:22 horas se publica en la versión digital del periódico ‘El País’ una noticia, bajo el título “(…)”, con el siguiente contenido: “(…)” En la noticia se adjunta una captura de pantalla del vídeo publicado en el perfil de TikTok @***DISCOTECA.1 en el que aparecen numerosos menores de edad con el rostro pixelado en posturas con connotaciones sexuales. QUINTO: El 22/02/2023 a las 14:37 horas el vídeo en cuestión no figura en el perfil de TikTok de la discoteca (@***DISCOTECA.1). SEXTO: En fecha 17/10/2023 figura en el perfil de la red social TikTok de la discoteca @***DISCOTECA.1 un vídeo en el que anuncia su reapertura el 14/10/2023. Su duración es de 52 segundos y en él se resta importancia a la publicación del vídeo objeto del presente procedimiento sancionador. SÉPTIMO: Consta que ASSOCIACIO OASIS CULTURAL, con CIF G65105298 y domicilio en C/VENTALLO, nº4, piso 1, 08025 (Barcelona); es el titular de la licencia de actividad del local ***DISCOTECA.1, sito en ***DIRECCION.1. FUNDAMENTOS DE DERECHO I Competencia y procedimiento De acuerdo con los poderes que el artículo 58.2 RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas La imagen de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal al hacerla identificable, y su protección, por tanto, es objeto de dicho RGPD: “«datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” La inclusión de la imagen de una persona en publicaciones, que identifica o hace identificable a una persona, supone un tratamiento de datos personales y, por tanto, el responsable del tratamiento que efectúa el mismo está obligado a cumplir con las obligaciones que para el responsable del tratamiento se disponen en el RGPD y en la LOPDGDD. III Licitud del tratamiento de los datos personales Los principios que han de regir el tratamiento se encuentran enumerados en el artículo 5 del RGPD. En este sentido, el apartado 1 letra a), señala que: “Los datos personales serán:
- a)Tratados de manera lícita, leal y transparente en relación con el interesado (licitud, lealtad y transparencia); (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 El principio de licitud se regula, fundamentalmente, en el artículo 6 del RGPD. Los supuestos que permiten considerar lícito el tratamiento de los datos personales se enumeran en el artículo 6.1 del RGPD: 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Asimismo, el Considerando 40 del mencionado RGPD, dispone que “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.” El presente procedimiento se inició porque esta Agencia tuvo conocimiento de la difusión de un vídeo, en una discoteca, en el que se puede identificar a numerosos menores de edad realizando bailes con connotaciones sexuales. Tras las actuaciones previas de investigación enumeradas en el apartado “Antecedentes”, se advierte que las noticias publicadas por varios medios de comunicación señalan a la discoteca ***DISCOTECA.1 como responsable de difundir C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 a través de su perfil de la red social TikTok (@***DISCOTECA.1) el vídeo en cuestión. Requerido el Ayuntamiento de Barcelona para conocer quién es la entidad propietaria o encargada de la gestión de la citada sala de ocio, se identifica a ASSOCIACIO OASIS CULTURAL, con CIF G65105298. Si bien es cierto que durante la realización de estas actuaciones no se pudo verificar que ese contenido estuviera publicado en el perfil de la red social de TikTok de la citada discoteca, los Servicios de Inspección encontraron el vídeo controvertido adjunto a una publicación de 18/01/2023 en el perfil de la red social Twitter @A.A.A.. A lo largo de los 45 segundos, se observan a numerosos menores de edad realizando bailes con connotaciones sexuales, apareciendo en el lado izquierdo del vídeo el perfil de la red social TikTok “@***DISCOTECA.1” y, en la parte inferior, el siguiente logo “***LOGO.1”. Por tanto, de conformidad con las evidencias de las que se dispone en el presente momento de resolución de procedimiento sancionador se considera que ASSOCIACIO OASIS CULTURAL difundió a través del perfil de la red social TikTok @***DISCOTECA.1 un vídeo donde se puede apreciar a menores realizando bailes con connotaciones sexuales; sin causa legitimadora de las recogidas en el artículo 6.1 del RGPD. IV Tipificación y calificación de la infracción del artículo 6.1 del RGPD La citada infracción del artículo 6.1 del RGPD supone la comisión de la infracción tipificada en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A efectos del plazo de prescripción, el artículo 72.1 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679; (…)” V Sanción por la infracción del artículo 6.1 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Son circunstancias agravantes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el nivel de los daños y perjuicios que hayan sufrido; ASSOCIACIO OASIS CULTURAL ha difundido públicamente un vídeo de menores realizando bailes con connotaciones sexuales, lo que permite su identificación o la hace identificable (artículo 83.2.
- a)RGPD). Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el apartado 2 del artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD: Como circunstancias agravantes: - La afectación a los derechos de los menores (artículo 76.2.
- f)de la LOPDGDD). El balance de las circunstancias contempladas permite fijar una multa de 10.000,00€ (diez mil euros) por la infracción del artículo 6.1 del RGPD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a ASSOCIACIO OASIS CULTURAL, con NIF G65105298, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
- b)del RGPD, una multa de 10.000€ (diez mil euros). SEGUNDO: NOTIFICAR la presente resolución a ASSOCIACIO OASIS CULTURAL. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 98.1.
- b)de la LPACAP, en el plazo de pago voluntario establecido en el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el artículo 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-00000000-0000-0000-0000P (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es