PS-00588-2022

1/30  Expediente N.º: EXP202211132 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 6 de septiembre de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra DIGIMAN ALICANTE, S.L. con NIF B53246906 (en adelante, la parte reclamada o DIGIMAN) por una presunta vulneración de los artículos 6 y 17 del RGPD. Los motivos en que basa la reclamación son los siguientes: La parte reclamante trabajó para la parte reclamada, autorizando verbalmente a su empleadora a publicar en sus páginas web, catálogos, redes sociales, plataformas web, etc imágenes donde aparecía con el fin de que la empresa promocionara sus servicios e instalaciones. Tras la extinción de la citada relación laboral (octubre de 2019) solicitó la supresión de su imagen. Concretamente, manifiesta que ejercitó el derecho en tres ocasiones en los años 2019, 2021 y 2022. Al parecer la parte reclamada atendió dichas peticiones, indicándole que sus imágenes habían sido retiradas. El 07/08/22 el reclamante constató que su imagen seguía apareciendo en un vídeo alojado en el canal de YouTube de la parte reclamada (aporta certificación de Safe Stamper). El 07/08/22 ejercitó el derecho de supresión ante la parte reclamada, remitiendo a los citados efectos un correo electrónico a la dirección que consta en su política de privacidad. En dicho escrito solicitaba la supresión de su imagen. A estos efectos, incluía una fotografía en la que la parte reclamante aparecía sentado en un sofá tras una cristalera con vinilos, que impedían ver parte del rostro y del cuerpo. En dicha comunicación no se indicaba dónde se encontraba alojada la imagen que se pretendía que fuera suprimida. El 05/09/22 la parte reclamada comunicó a la parte reclamante que: “- La fotografía que refiere en su escrito, como de sobra le ha sido comunicado, fue suprimida en su día de cualquier página web titularidad de esta empresa y en ningún caso la misma fue cedida a ningún tercero. Sin perjuicio de lo anterior, le reiteramos que, si existe cualquier fotografía publicada en la que usted aparezca, aunque sea de forma anonimizada, indíquenos por favor dónde se encuentra y procederemos a su inmediata eliminación.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/30 El 06/09/22 la parte reclamante envió un correo electrónico a la parte reclamada para indicarle que la imagen controvertida se encontraba en un vídeo alojado en su canal de YouTube. Ese mismo día, presentó ante la AEPD la reclamación que ha dado lugar al presente expediente sancionador. Junto a la reclamación de 6 de septiembre de 2022, aportó acreditación documental de que su imagen estaba publicada en un vídeo del canal de YouTube de la empresa (concretamente, anexó un certificado, emitido por Safe Stamper, de una sesión de navegación de una grabación del vídeo de YouTube realizada el 07/08/22 a las 13:54. Así como un enlace para visualizar otra grabación del mismo vídeo con certificado emitido por Safe Stamper de fecha 08/09/22). Posteriormente, anexó los correos electrónicos remitidos para ejercitar sus derechos. En un escrito presentado el 18 de octubre de 2022, el reclamante amplió su reclamación, indicando que la imagen controvertida figuraba en cuatro catálogos de la empresa DIGIMAN, aportando unos enlaces donde se podía acceder al contenido de dichos catálogos. SEGUNDO: El día 20 de octubre de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. TERCERO: Con fecha 14 de marzo de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. CUARTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones de fecha 6 de abril de 2023 en el que, en síntesis, manifestaba: 1. Imagen del reclamante objeto de este expediente y su consideración como dato de carácter personal: DIGIMAN considera que la imagen objeto de este expediente estaría “anonimizada” y no supone el tratamiento de un dato de carácter personal. En opinión de dicha empresa, resulta difícil de creer que alguien pueda identificar al reclamante en dicha imagen, pues el vinilo decorativo que tapa parte de su rostro y de su cuerpo actúa a modo de “pixelado”, haciendo irreconocible a la persona que se encuentra detrás del mismo. La parte reclamada afirma que el reclamante casi pasa desapercibido cuando se visualiza la foto por primera vez. DIGIMAN cita la Sentencia de la Audiencia Nacional de fecha 29 de septiembre de 2011 (recurso 2/2010) y reproduce parte de su contenido, en el que se hace referencia a una fotografía pixelada y otra en la que el rostro no se aprecia con claridad, considerando que las personas fotografiadas no eran identificables. La parte reclamada argumenta que estaremos ante un dato personal, cuando la imagen o fotografía de que se trate, permita identificar o hacer identificable a una persona C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/30 física, en el sentido de poder determinar la identidad de la misma. Considera que en la imagen controvertida, no se puede determinar la altura del reclamante, ni su complexión, ni su forma de actuar. No se aprecian en la misma rasgos distintivos únicos y singulares que lo individualicen, ni puede deducirse de la imagen en cuestión ni la edad ni su manera de ser. Asimismo, indica que el vinilo de la cristalera tapa no solo la cara del reclamante, sino también su cuerpo, por lo que su identificación no es posible, ni de forma directa, ni indirecta, pues la persona sentada en el sofá ni siquiera está realizando las labores propias de un puesto de trabajo en DIGIMAN, podría tratarse de un cliente o de alguien que visita las instalaciones. Por otra parte, la parte reclamada destaca que la Sentencia de la sala de lo civil del Tribunal Supremo de fecha 12 de julio de 2004 en el número de recurso 1702/2000, a la que hace referencia el acuerdo de inicio, resuelve sobre un caso manifiestamente distinto al analizado en el presente expediente. 2. Antecedentes de la reclamación planteada en este expediente sancionador DIGIMAN destaca que, como consecuencia del ejercicio del derecho de supresión por parte del reclamante el 30 de octubre de 2019, procedió de inmediato a difuminar su rostro en varias fotografías en las que aparecía, publicadas en dos sitios web y se lo comunicó. El reclamante, disconforme con la medida de difuminado, presentó una reclamación por ejercicio de derechos ante la AEPD, que dio lugar al expediente ***EXPEDIENTE.1. Posteriormente, interpuso un recurso de reposición contra la resolución de dicho procedimiento. La parte reclamada muestra sorpresa por el hecho de que la AEPD considere que la fotografía controvertida tiene la consideración de dato de carácter personal, cuando en el expediente ***EXPEDIENTE.1, tras el difuminando el rostro del reclamante efectuado por dicha empresa, se entendió debidamente atendido el derecho de supresión que había ejercitado el reclamante. DIGIMAN destaca que su intención, en todo momento, ha sido atender el derecho de supresión ejercitado por el reclamante. Por ello, al recibir el traslado del recurso de reposición interpuesto por el reclamante contra la resolución del expediente ***EXPEDIENTE.1 eliminó todas las fotografías en las que aparecía el reclamante en dos sitios web. Asimismo, en varias comunicaciones posteriores intercambiadas con el Sr. A.A.A., la citada empresa le indicó que quedaba a su disposición para eliminar cualquier otra imagen en la que apareciera. 3. Sobre el ejercicio del derecho de supresión el 7 de agosto de 2022 (fundamento de derecho VIII). DIGIMAN considera que el reclamante actuó de mala fe al ejercitar el 7 de agosto de 2022 su derecho de supresión con respecto al fotograma de un vídeo que se encontraba publicado en su canal de YouTube. El acta de navegación con Safe Stamper de esa misma fecha (7 de agosto de 2022) muestra que, en el momento de ejercitar el derecho de supresión, el reclamante conocía la existencia del fotograma en el vídeo publicado en el canal de YouTube y, a pesar de ello, no indicó a la parte reclamada dónde se encontraba la imagen. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/30 Cuando el 6 de septiembre de 2022 el reclamante facilitó indicaciones a DIGIMAN sobre dónde se encontraba la imagen, la parte reclamada procedió a eliminar el vídeo. Ese mismo día (6 de septiembre de 2022) el reclamante presentó ante la AEPD la reclamación que ha dado lugar a este expediente sancionador. DIGIMAN destaca que no tenía sentido eliminar todas las imágenes en las que aparecía el reclamante salvo dicho fotograma. Indica que en el momento en el que eliminó la imagen controvertida de los diferentes sitios web en los que aparecía no reparó en dicho vídeo. En cualquier caso, insiste en que se trata de una imagen anonimizada del reclamante. En su opinión, el tratamiento de la imagen del reclamante fue legal (al estar basado en su consentimiento, tal y como reconoce el reclamante en el hecho primero de su reclamación de 6 de septiembre de 2022) hasta el momento en el que el Sr. A.A.A. ejercitó su derecho de supresión. La parte reclamada concluye su escrito de alegaciones solicitando que se inadmita la reclamación presentada y se archive el expediente sancionador. QUINTO: Con fecha 6 de octubre de 2023 se formuló propuesta de resolución, proponiendo: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a DIGIMAN ALICANTE, S.L., con NIF B53246906, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 2.000 € (dos mil euros).” SEXTO: Notificada la propuesta de resolución conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones a la propuesta de resolución el 24 de octubre de 2023, en el que, en síntesis, manifestaba que: 1. Imagen del reclamante objeto del presente expediente y su consideración como dato personal: DIGIMAN reitera sus alegaciones al acuerdo de inicio. Afirma que es imposible que, con dicha imagen, cualquier persona pueda identificar al reclamante. El hecho de que sea posible que sus excompañeros del trabajo o su entorno más cercano puedan identificar al reclamante, no supone, en su opinión, que cualquiera pueda hacerlo. A continuación, reproduce una frase de una publicación de la AEPD titulada “Anonimización y seudonimización” en la que se indica que los datos se consideran anonimizados en la medida que no exista una probabilidad razonable de que cualquier persona pueda identificar a la persona física en el conjunto de datos. En opinión de Digiman, la propuesta de resolución no interpreta correctamente el Dictamen 4/2007 del Grupo de Trabajo del artículo 29 sobre el concepto de datos personales. Considera que dicho dictamen indica que se puede considerar identificada a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/30 una persona cuando se la puede distinguir “DE” todos los demás miembros del grupo y no cuando pueda ser identificada “POR” los demás miembros de dicho grupo. DIGIMAN concluye que no existe una probabilidad razonable de que cualquier persona pueda identificar al reclamante, lo que, en su opinión, excluye que la fotografía pueda ser considerada un dato de carácter personal. 2. Apreciaciones respecto al contenido de la Sentencia de la Audiencia Nacional de fecha 29 de septiembre de 2011 recaída en el recurso 2/2010. Afirman compartir con la AEPD que dicha sentencia resuelve sobre un caso muy diferente al analizado en el presente expediente. Sin embargo, continúan afirmando que dicha Sentencia refleja el criterio de la Audiencia Nacional con respecto a si una fotografía de una persona puede tener la consideración de dato de carácter personal. Reproducen nuevamente dos frases de dicha sentencia. La primera, relativa al pixelado del rostro y, la segunda, relativa a que en las fotografías publicadas no se aprecia con claridad el rostro. A continuación, destacan que en la fotografía objeto de reclamación es evidente que no se aprecia con claridad el rostro del reclamante. Cuestionan una frase de la propuesta de resolución en la que se afirmaba que la imagen del reclamante era nítida y, al verla, se podía concluir que se trataba de un hombre, afirmando: “El hecho de que se pueda concluir que se trata de un hombre, no convierte la imagen en nítida, ni en un dato de carácter personal.” Y añaden: “(…) Que la Audiencia Nacional no está diciendo que la imagen pueda ser un dato personal si se identifica el género de la persona que aparece en la misma, sino que, si es difícil determinar si se trata de un hombre o de una mujer, difícilmente se podrá identificar a alguien. De ello no se puede concluir que, si es posible deducir que la persona que aparece en la imagen en su hombre, entonces estamos ante un dato personal. La norma aplicable (artículo 4.1. del Reglamento (UE) 2016/679 General de Protección de Datos) no habla en ningún caso de que se pueda identificar el género de una persona física, sino que ésta pueda resultar identificable. De hecho la citada Sentencia de la Audiencia Nacional refiere exactamente lo que esgrimimos: “No se olvide que el Reglamento exige para que se considere la fotografía como dato personal que se cumpla la exigencia de la identificabilidad”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/30 3. En relación con la Sentencia del Tribunal Supremo de fecha 12 de julio de 2004, recaída en el recurso 1702/2000: DIGIMAN considera que dicha Sentencia nada tiene que ver con el objeto de este expediente sancionador, ya que resolvía sobre la pretensión de una mujer que consideraba vulnerado su derecho a la intimidad al haberse publicado en la portada de un periódico de difusión provincial, una fotografía de gran tamaño en una plaza nudista, en la que aparecía paseando junto con su perro totalmente desnuda. DIGIMAN vuelve a insistir que, en la fotografía objeto de la reclamación, el vinilo de la cristalera tapa no solo la cara, sino también el cuerpo del reclamante, por lo que su identificación no es posible por cualquier persona. 4. DIGIMAN vuelve a hacer referencia al expediente ***EXPEDIENTE.1, al considerar que se ha producido un cambio de criterio por parte de la AEPD. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: D. A.A.A. fue empleado de DIGIMAN ALICANTE, S.L. (…). SEGUNDO: Cuando el reclamante era empleado de DIGIMAN dio autorización verbal a dicha empresa para la publicación de imágenes donde aparecía con el fin de que la misma promocionara sus servicios e instalaciones. En este sentido, en el hecho primero del escrito de reclamación de 6 de septiembre de 2022 el reclamante afirma: “PRIMERO. - Durante mi estancia en la empresa Digiman Alicante Sl cómo empleado de la misma, di una autorización verbal permitiendo la publicación en las páginas web, catálogos, redes sociales, plataformas web, etc de imágenes donde yo aparecía con el fin que la empresa promocionara sus servicios e instalaciones.” TERCERO: Con fecha 30 de octubre de 2019 el reclamante dirigió un escrito de DIGIMAN ejercitando el derecho de supresión, en el que solicitaba la retirada de las imágenes y fotografías en las que aparecía. Posteriormente, con fechas 18 de agosto de 2021 y 10 de marzo de 2022 dirigió a dicha empresa dos nuevos escritos ejercitando el derecho de supresión. Dichos escritos reflejan que la parte reclamada ya no contaba con el consentimiento del reclamante para el tratamiento de su imagen. CUARTO: Ha quedado acreditado que en las fechas 7 de agosto y 8 de septiembre de 2022 DIGIMAN tenía publicado en su canal de YouTube un vídeo con varias imágenes de su sede. En una de dichas imágenes, aparecía el reclamante sentado en un sofá C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/30 detrás de una cristalera decorada con vinilos, que ocultaban parte de su cara y de su cuerpo. El reclamante aportó, junto con su escrito de reclamación de fecha 6 de septiembre de 2022, un certificado, emitido por Safe Stamper, de una sesión de navegación del vídeo de YouTube realizada el 7 de agosto de 2022 a las 13:54. Así como un enlace para visualizar otra grabación del mismo vídeo con certificado emitido por Safe Stamper el 8 de septiembre de 2022. QUINTO: El día 11 de octubre de 2022 personal de esta Agencia comprobó que el vídeo publicado en YouTube, al que hace referencia el hecho probado cuarto, había sido retirado. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." A continuación, se da contestación a las alegaciones presentadas por la entidad reclamada al acuerdo de inicio y a la propuesta de resolución. II La imagen del reclamante objeto de este expediente tiene la consideración de dato de carácter personal: En el escrito de alegaciones al acuerdo de inicio, DIGIMAN destaca: “En dicha imagen, se puede apreciar, en la parte izquierda de la misma, a una persona sentada en un sofá detrás del vinilo decorativo de la cristalera, que le tapa totalmente el rostro, así como un alto porcentaje se su cuerpo. A estas alturas, debido a las incesantes reclamaciones formuladas por el Sr. A.A.A., la Agencia, y obviamente esta parte, ya se conoce que esa persona es el reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/30 Dicho sea con todo el respeto y en estrictos términos de defensa, esta parte no comparte la opinión de la AEPD en relación con que la imagen anonimizada del reclamante suponga un tratamiento de dato personal. Resulta difícil de creer que alguien pueda identificar al Sr. A.A.A. en dicha imagen, pues el referido vinilo decorativo actúa a modo de “pixelado” de la fotografía que hace irreconocible a la persona que se encuentra detrás del mismo. Además, el reclamante casi pasa desapercibido cuando se visualiza la foto por primera vez. (…) No se puede negar que una fotografía en la que aparezca una persona física pueda tener la consideración de dato personal, pero siempre y cuando cumpla con lo establecido en el artículo 4.1. del Reglamento (UE) 2016/679 General de Protección de Datos (en adelante RGPD). Por tanto, estaremos ante un dato personal, cuando la imagen o fotografía de que se trate, permita identificar o hacer identificable a una persona física, en el sentido de poder determinar la identidad de la misma. (…) En la imagen controvertida, objeto de la reclamación, no se puede determinar la altura del reclamante, ni su complexión, ni su forma de actuar. No se aprecian en la imagen rasgos distintivos únicos y singulares que lo individualizan, ni puede deducirse de la imagen en cuestión ni la edad ni su manera de ser.” Por su parte, en el escrito de alegaciones a la propuesta de resolución destaca: “(…) esta parte sigue sin compartir el criterio de la Agencia a la que me dirijo en relación a la consideración de dato personal con respecto al reclamante de la fotografía que es objeto del presente procedimiento. No podemos más que reiterarnos en cuanto se alegó en dicho momento, pues mantenemos nuestra postura de que es imposible que cualquier persona pueda identificar al reclamante con esa imagen. Que sea posible que sus ex compañeros de trabajo o su entorno más cercano puedan identificar al reclamante, no supone que cualquiera pueda hacerlo. De hecho, la propia Agencia a la que me dirijo, en la publicación titulada “Anonimización y seudonimización”(…) indica de forma expresa que: “[…] los datos se considerarán anonimizados en la medida que no exista una probabilidad razonable que cualquier persona pueda identificar a la persona física en el conjunto de datos.” Asimismo, la Agencia, en la propuesta de resolución, alude al Dictamen 4/2007 del Grupo de Trabajo del artículo 29 sobre el concepto de datos personales (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/30 Con el debido respeto, creemos que existe un error en la interpretación del texto del Dictamen 4/2007 pues en el mismo se está indicando que se puede considerar identificada una persona cuando se le puede distinguir “DE” todos los demás miembros del grupo. No está diciendo que se considerará identificada una persona cuando dentro de un grupo de personas pueda ser identificada “POR” los demás miembros del grupo. Por tanto, esta parte, considera que, no existe una probabilidad razonable de que cualquier persona pueda identificar al reclamante, lo que excluye a la fotografía de constante referencia de la consideración de dato personal.” En respuesta a dicha alegación, cabe afirmar que la imagen de la persona es un dato de carácter personal que puede, por sí solo, hacer identificable a la persona a la que pertenece. Efectivamente, la imagen encaja a la perfección en la definición de lo que es un dato de carácter personal del artículo 4.1) del RGPD: “«datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” Tal y como se destacaba en el acuerdo de inicio, la imagen es un atributo personal propio e individual de cada persona física que se define por su altura, complexión, forma de sentarse, vestirse. Dotada de rasgos distintivos únicos y singulares que la individualizan de manera directa, asociándola a un individuo concreto, pudiendo conocer, a través de ella el rango de edad, el sexo, el color de la piel o del pelo, su manera de ser por la forma de sentarse, su forma de vestirse, etc. lo que facilita la identificación del individuo. En este sentido, el informe 139/2017 del Gabinete Jurídico de esta Agencia afirma que “la imagen (…) es un dato personal, al igual que lo será cualquier información que permita determinar, directa o indirectamente, su identidad (…)” Tal y como se determina en el Dictamen 4/2007 del Grupo de Trabajo del Artículo 29 sobre el concepto de datos personales, “se puede considerar «identificada» a una persona física cuando, dentro de un grupo de personas, se la «distingue» de todos los demás miembros del grupo”. Es decir, resulta posible singularizar a dicha persona física. Y es claro que la imagen de cualquier persona puede ser identificada como mínimo por los que se integran su círculo de personas conocidas más cercano (familiares, compañeros de trabajo o de actividades sociales, etc). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/30 Por ello, la difusión de la imagen del reclamante hizo posible que llegara a ser identificado por las personas que lo conocían. Tal y como se ha indicado, en el escrito de alegaciones a la propuesta de resolución, DIGIMAN destaca: “Que sea posible que sus ex compañeros de trabajo o su entorno más cercano puedan identificar al reclamante, no supone que cualquiera pueda hacerlo.” La afirmación formulada por DIGIMAN es totalmente irrelevante, ya que el hecho de que el reclamante pueda ser identificado por unos pocos (sus antiguos compañeros del trabajo o personas de su entorno más cercano), ya hace que el mismo sea identificable. A lo expuesto hasta el momento, cabe añadir el contexto en el que se publicó dicha imagen (en un vídeo alojado en el canal de YouTube de su antigua empresa, en el que se mostraban imágenes de la sede de dicha empresa). En relación con esta cuestión, el Dictamen 4/2007 aquilata que “En los casos en que, a primera vista, los identificadores disponibles no permiten singularizar a una persona determinada, ésta aún puede ser «identificable», porque esa información combinada con otros datos (tanto si el responsable de su tratamiento tiene conocimiento de ellos como si

1. no)permitirá distinguir a esa persona de otras”. De acuerdo con lo dispuesto en el considerando 26 del RGPD: “Los principios de la protección de datos deben aplicarse a toda la información relativa a una persona física identificada o identificable. (…) Para determinar si una persona física es identificable, deben tenerse en cuenta todos los medios, como la singularización, que razonablemente pueda utilizar el responsable del tratamiento o cualquier otra persona para identificar directa o indirectamente a la persona física. Para determinar si existe una probabilidad razonable de que se utilicen medios para identificar a una persona física, deben tenerse en cuenta todos los factores objetivos, como los costes y el tiempo necesarios para la identificación, teniendo en cuenta tanto la tecnología disponible en el momento del tratamiento como los avances tecnológicos. (…)” En cuanto a la referencia a la publicación de la AEPD titulada “Anonimización y seudonimización”. La referida publicación indica lo siguiente en sus dos primeros párrafos: “Anonimización y seudonimización son dos conceptos que se confunden en ocasiones. Una de sus diferencias radica en las garantías que protegen los derechos de los interesados: mientras el conjunto de datos anonimizados no está bajo el ámbito de aplicación del Reglamento General de Protección de Datos (RGPD), el conjunto de datos seudonimizados y la información adicional vinculada con dicho conjunto de datos sí lo están. En este post, analizamos las diferencias entre ambos términos y las implicaciones de usar una y otra técnica. La información anónima es un conjunto de datos que no guarda relación con una persona física identificada o identificable (Considerando 26 del RGPD), en tanto que la información seudonimizada es un conjunto de datos que no puede atribuirse a un interesado sin utilizar información adicional, requiere que dicha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/30 información adicional figure por separado y, además, esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable (Artículo 4.5).” (el subrayado es nuestro). En el caso analizado en este expediente, no cabe considerar anónima la imagen del reclamante, dado que guarda relación con una persona física identificable, por los motivos que acaban de ser expuestos. A lo indicado hasta el momento, cabe añadir que el artículo 4.2 del RGPD define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” En conclusión, la inclusión de la imagen del reclamante en un vídeo alojado en el canal de YouTube de su antigua empresa, que mostraba imágenes de la sede de dicha empresa, identificaba o hacía identificable al mismo, lo que suponía un tratamiento de datos personales, y exigía el cumplimiento de las obligaciones contenidas en el RGPD y en la LOPDGDD. III Análisis de la fotografía en la que aparece la imagen del reclamante y de la jurisprudencia a la que hacen referencia el acuerdo de inicio y la parte reclamada en sus escritos de alegaciones: A continuación, se va a examinar la fotografía en la que aparece el reclamante, al objeto de poder valorar si el mismo era identificable. En la imagen objeto de la reclamación el Sr. A.A.A. efectivamente se encuentra a la izquierda, sentado en un sofá detrás de una cristalera. El vinilo que decora la cristalera no tapa totalmente el rostro, como afirma DIGIMAN, pero sí oculta una parte importante de su cara. Sin embargo, pueden verse gran parte de la frente y del pelo, la oreja derecha completa, parte de la patilla derecha de unas gafas de color oscuro, así como parte de la barba. A pesar de los cuadrados de colores del vinilo de la cristalera que tapan parte de su cuerpo, se identifican perfectamente las prendas con las que está vestido, la forma en la que está sentado (la postura corporal) y la silueta casi en su totalidad, con excepción de los pies. En relación con dicha imagen, resulta necesario hacer referencia a la Sentencia nº 784/2004, de la Sección 1ª de la Sala de lo Civil del Tribunal Supremo, de fecha 12 de julio de 2004, parte de cuyo contenido se reproduce en el fundamento de derecho IX de esta resolución A pesar de que en el escrito de alegaciones a la propuesta de resolución DIGIMAN afirme que la Sentencia del Tribunal Supremo analiza un caso que nada tiene que ver C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/30 con el que es objeto del presente expediente sancionador, no se comparte dicha apreciación. En dicha sentencia el Tribunal Supremo examinó si una mujer, cuya fotografía había aparecido en la portada de un periódico de difusión provincial, era o no identificable. La Audiencia Provincial había estimado que no lo era, siguiendo el siguiente razonamiento: “(…) como se observa en la referida fotografía, el “rostro” de la persona que aparece desnuda no es “visible”; de otro lado, la “silueta” no ofrece signos especiales, singulares, específicos que, en la normal convivencia y relación pública ciudadana permitan su atribución a una concreta y determinada persona (…)” El Tribunal Supremo, por su parte, consideró que la conclusión a la que había llegado la Audiencia Provincial (la mujer cuya imagen aparecía en la fotografía publicada no era identificable), había de tacharse de ilógica y arbitraria, siendo así que los testigos que declararon en la instancia, identificaron a dicha mujer en la fotografía. Por tanto, el Tribunal Supremo considera identificable la imagen de una persona física que aparece en una fotografía en la que no se ve su rostro y sí su silueta. En el caso analizado en este expediente sancionador, la imagen del reclamante publicada por DIGIMAN proporciona abundante información que permite que los conocidos del reclamante puedan llegar a identificarlo: el sexo, el color de la piel y del pelo, el corte de pelo, la complexión física, la forma de sentarse, la forma de vestir, la franja de edad, así como parte de su rostro y su silueta. En el Dictamen 4/2007 sobre el concepto de datos personales, al hacer referencia a los datos anónimos se indica: “A los efectos de la Directiva, los «datos anónimos» pueden definirse como cualquier información relativa a una persona física que no permita su identificación por el responsable del tratamiento de los datos o por cualquier otra persona, teniendo en cuenta el conjunto de medios que puedan razonablemente ser utilizados por el responsable del tratamiento o por cualquier otra persona, para identificar a dicha persona. (…) Una vez más, la decisión sobre si los datos permiten la identificación de una persona y sobre si la información puede considerarse como anónima o no depende de las circunstancias concretas de cada caso, por lo que debe realizarse un análisis caso por caso (…)” A continuación, se incluye el siguiente ejemplo: “Ejemplo nº 19: Emisión de imágenes captadas por un sistema de videovigilancia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/30 Un comerciante que ha instalado un sistema de videovigilancia en su tienda. exhibe en su tienda imágenes de unos ladrones obtenidas por medio del sistema de videovigilancia. Después de la intervención de la policía, difumina los rostros de los ladrones, oscureciéndolos. Sin embargo, incluso tras esta operación, aún existe la posibilidad de que las personas que aparecen en las imágenes puedan ser reconocidas por sus amigos, parientes o vecinos, debido a que, por ejemplo, su complexión física, su corte de pelo y su ropa siguen siendo reconocibles.” (el subrayado es nuestro). Cabe apreciar la evidente semejanza del ejemplo que figura en el Dictamen 4/2007 y la imagen del reclamante que está siendo analizada en este expediente sancionador. Si, a pesar de la abundante información que proporciona la imagen del reclamante analizada (sexo, color de la piel y del pelo, corte de pelo, complexión física, forma de sentarse, forma de vestir, la franja de edad, parte del rostro y silueta), la persona conocida del reclamante que viera dicha imagen tuviera dudas acerca de si es o no el Sr. A.A.A., hay un dato adicional que termina de facilitar la identificación: la fotografía aparece en un vídeo alojado en el canal de YouTube de su antigua empresa, que muestra imágenes de la sede de dicha empresa. Alega la parte reclamada que “su identificación no es posible, ni de forma directa, ni indirecta, pues la persona sentada en el sofá ni siquiera está realizando las labores propias de un puesto de trabajo en la empresa de mi representada, por lo que podría tratarse de un cliente o de alguien que visita las instalaciones.” La imagen del reclamante aparece en una fotografía que muestra la zona de descanso de su antigua empresa, en un vídeo compuesto por diversas imágenes de la sede de DIGIMAN. Para que las personas conocidas del Sr. A.A.A. puedan llegar a identificarlo basta con mostrar su imagen en dicha sede, no resultando imprescindible que tenga que estar sentado en su mesa desarrollando las tareas de su puesto. En cuando a la cita que hace el escrito de alegaciones a la Sentencia de Sección 1ª de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, de fecha 29 de septiembre de 2011 (rec: 2/2010), se considera que la referida Sentencia analiza un caso muy distinto al que está siendo examinado en este expediente sancionador, circunstancia que reconoce la parte reclamante en su escrito de alegaciones a la propuesta de Resolución. La Sentencia de la Audiencia Nacional, a la que hace referencia en sus escritos de alegaciones DIGIMAN, destacaba la prevalencia del derecho a la libertad de expresión e información en un reportaje de indudable interés periodístico. Sin embargo, en este expediente, la publicación de la fotografía con la imagen del reclamante la ha efectuado su antigua empresa, no un medio periodístico. En el escrito de alegaciones a la propuesta de resolución DIGIMAN afirma: “Compartimos con la Agencia que efectivamente la Sentencia de la Audiencia Nacional de fecha 29 de septiembre de 2011 recaída en el recurso 2/2010, e invocada por esta parte en las alegaciones al acuerdo de inicio, resuelve sobre un caso muy diferente al que es objeto del presente expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/30 No obstante, ello no es óbice a que resulte de aplicación, a la cuestión objeto de la reclamación del Sr. A.A.A., el criterio de la Audiencia Nacional con respecto a si una fotografía de una persona puede tener la consideración de dato personal. Reiteramos que en dicha Sentencia de la Audiencia Nacional se recoge expresamente (el subrayado es nuestro): Deberá atenderse, pues, al contenido exacto de las fotografías incorporadas al reportaje controvertido partiendo de que hay tres fotografías en el reportaje: - La numero 1 (página 1 del suplemento Crónica) en la que no se identifica a la enferma por encontrarse claramente pixelado el rostro. […] Por lo tanto, a juicio de esta Sala, mal puede exigirse el consentimiento de los representantes de B.B.B. para proceder al tratamiento del dato de su imagen cuando resulta que en ninguna de las fotografías publicadas se aprecia con claridad el rostro ni la imagen de ninguna persona identificable. En la fotografía objeto de reclamación es evidente que tampoco se aprecia con claridad el rostro del Sr. A.A.A.. Tampoco podemos compartir la conclusión a la que llega la Agencia cuando analizando la Sentencia de la Audiencia Nacional de 29 de septiembre de 2011 y con respecto a la afirmación relativa a que “no es posible saber si se trata de un hombre ó una mujer por lo que, difícilmente, será posible identificar a nadie en dichas imágenes”, afirma: “En el caso examinado en este procedimiento sancionador la fotografía donde aparece la imagen del reclamante es nítida. Se reconoce perfectamente que se trata de un hombre.” Al respecto debemos señalar:
2. a)Que no entendemos cómo se puede afirmar que la imagen es nítida, cuando la cara y un alto porcentaje del cuerpo del reclamante se encuentran ocultos tras el vinilo decorativo de la cristalera. El hecho de que se pueda concluir que se trata de un hombre, no convierte la imagen en nítida, ni en un dato personal.
3. b)Que la Audiencia Nacional no está diciendo que la imagen pueda ser un dato personal si se identifica el género de la persona que aparece en la misma, sino que, si es difícil determinar si se trata de un hombre o de una mujer, difícilmente se podrá identificar a alguien. De ello no se puede concluir que, si es posible deducir que la persona que aparece en la imagen es un hombre, entonces estamos ante un dato personal. La norma aplicable (artículo 4.1. del Reglamento (UE) 2016/679 General de Protección de Datos)1 no habla en ningún caso de que se pueda identificar el género de una persona física, sino C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/30 que ésta pueda resultar identificable. De hecho la citada Sentencia de la Audiencia Nacional refiere exactamente lo que esgrimimos: “No se olvide que el Reglamento exige para que se considere la fotografía como dato personal que se cumpla la exigencia de la identificabilidad” Tal y como se destacó en la propuesta de resolución, la Sentencia de la Audiencia Nacional que aportó DIGIMAN como referencia hacía referencia a unas imágenes que no eran nítidas, hasta el punto tal punto, que en dicha Sentencia se destaca: “Por lo tanto, a juicio de esta Sala, mal puede exigirse el consentimiento de los representantes de B.B.B. para proceder al tratamiento del dato de su imagen cuando resulta que en ninguna de las fotografias publicadas se aprecia con claridad el rostro ni la imagen de ninguna persona identificable. (…) las imágenes publicadas no es posible identificar a la hija de los codemandados ni siquiera en la que se ve a una sola persona pues no es posible saber si se trata de un hombre ó una mujer por lo que, difícilmente, será posible identificar a nadie en dichas imágenes.” (el subrayado es nuestro). Efectivamente, se trataba de imágenes en las que resultaba imposible distinguir si la silueta que aparecía en la fotografía correspondía a un hombre o a una mujer. Este no es el caso de la fotografía analizada en este expediente sancionador. Cualquier persona que vea dicha imagen reconoce que la misma representa a un hombre. Al afirmar esto no se pretende indicar que, el hecho de que en la imagen se reconozca a un hombre, la convierte en un dato de carácter personal. Lo que se quiere destacar es que la sentencia de la Audiencia Nacional hacía referencia a unas imágenes de tan baja calidad, que ni siquiera era posible distinguir el sexo de la figura humana que se veía en la fotografía, no siendo este el caso de la imagen analizada en el presente expediente. IV DIGIMAN afirma que la imagen del reclamante estaba anonimizada Afirma DIGIMAN que la imagen del reclamante estaba anonimizada. El Dictamen 4/2007 sobre el concepto de datos personales, elaborado por el Grupo de Trabajo del Artículo 29, destaca: “Datos anónimos A los efectos de la Directiva, los «datos anónimos» pueden definirse como cualquier información relativa a una persona física que no permita su identificación por el responsable del tratamiento de los datos o por cualquier C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/30 otra persona, teniendo en cuenta el conjunto de medios que puedan razonablemente ser utilizados por el responsable del tratamiento o por cualquier otra persona, para identificar a dicha persona. «Datos anonimizados» serán, por lo tanto, los datos anónimos que con anterioridad se referían a una persona identificable, cuya identificación ya no es posible. El considerando 26 también hace referencia a este concepto cuando dice que «los principios de protección no se aplicarán a aquellos datos hechos anónimos de manera tal que ya no sea posible identificar al interesado».” (el subrayado es nuestro). En este caso, DIGIMAN no ha realizado ninguna actuación destinada a anonimizar la imagen del reclamante. Afirma que la imagen está anonimizada, por el simple hecho de que el vinilo decorativo de la cristalera tape parte de la cara y del cuerpo del reclamante. En consecuencia, se desestima la alegación relativa a que la imagen del reclamante estuviera anonimizada. V No existía una base legitimadora para realizar el tratamiento conforme a lo dispuesto en el artículo 6 del RGPD: DIGIMAN trató la imagen del reclamante a pesar de no contar con ninguna de las bases legitimadoras previstas en el artículo 6 del RGPD. En relación con el consentimiento, como posible base legitimadora del tratamiento, el reclamante reconoce en su escrito de reclamación de 6 de septiembre de 2022 que “cómo empleado de la misma, di una autorización verbal permitiendo la publicación en las páginas web, catálogos, redes sociales, plataformas web, etc de imágenes donde yo aparecía con el fin que la empresa promocionara sus servicios e instalaciones.” (hecho probado segundo). No obstante, el Sr. A.A.A. ha acreditado haber manifestado a dicha empresa en tres ocasiones (30 de octubre de 2019, 18 de agosto de 2021 y 10 de marzo de 2022) que no deseaba que dicha empresa continuara tratando su imagen (hecho probado tercero). Por otra parte, en el momento en el que el Sr. A.A.A. presentó su reclamación (6 de septiembre de 2022), ya no era empleado de DIGIMAN (hecho probado primero). Tal y como se ha destacado, en el caso analizado, no se aprecia la concurrencia de ninguna de las bases legitimadoras del tratamiento contempladas en el artículo 6 del RGPD. VI Referencia al expediente ***EXPEDIENTE.1 Afirma DIGIMAN en su escrito de alegaciones al acuerdo de inicio: “Dicho sea con el máximo respeto y en estrictos términos de defensa, sorprende ahora y en otros expedientes de los que la AEPD ha tenido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/30 conocimiento incoados por el Sr. A.A.A., que por parte de la AEPD se considere que la foto en cuestión tenga la consideración de dato personal, cuando la AEPD tuvo la oportunidad de comprobar si las fotos publicadas en los sitios webs de mi representada suponían un tratamiento ilícito de los datos personales del reclamante y entonces consideró que, difuminando el rostro del reclamante en varias fotos y manteniendo la fotografía controvertida de constante referencia, se debía entender que el derecho de supresión ejercitado por el reclamante había sido debidamente atendido por la entidad reclamada, al haber aplicado las medidas adecuadas para evitar que pueda reconocerse al afectado en las imágenes publicadas en el sitio web de mi representada.” Por su parte, en el escrito de alegaciones a la propuesta de resolución afirma: “Por tanto, e igualmente, dicho sea con todo respeto y en términos de defensa, consideramos que sí existe una contradicción con respecto a la actuación de la Agencia por cuanto:
4. a)En la resolución (***EXPEDIENTE.2) la AEPD entiende que el derecho de supresión ejercitado había sido debidamente atendido por la entidad reclamada, al haber aplicado las medidas adecuadas para evitar que pudiera reconocerse al afectado en las imágenes publicadas en su sitio web a las que se refería la reclamación, cuando se había difuminado el rostro del reclamante y se había mantenido la fotografía que es objeto del presente procedimiento.
5. b)La resolución de 28 de febrero de 2020 de la Directora de la AEPD por la que se estimaba el recurso de reposición interpuesto por el Sr. A.A.A., únicamente admite la reclamación, sin pronunciarse sobre si las imágenes del reclamante sobre las que se habían aplicado las medidas adecuadas podrían tener la consideración de dato personal.
6. c)El 5 de junio de 2020 recae resolución nº ***EXPEDIENTE.3 por la que se desestima la reclamación formulada por el Sr. A.A.A. porque mi representada accede a retirar las imágenes en las que aparecía el reclamante aunque fueran anonimizadas, sin que en ningún momento se pronuncie sobre si las mismas tenían o no el carácter de dato personal.” En contestación a la misma, cabe destacar que el expediente Nº: ***EXPEDIENTE.1 se inició como consecuencia de una reclamación presentada por el reclamante contra su antigua empresa, DIGIMAN, el 1 de diciembre de 2019 al considerar que el derecho de supresión, que había ejercitado frente a la misma, no había sido debidamente atendido. El 13 de enero de 2020 la Directora de la AEPD dictó una resolución en la que entendía que el derecho de supresión ejercitado había sido debidamente atendido por la entidad reclamada, al haber aplicado las medidas adecuadas para evitar que pudiera reconocerse al afectado en las imágenes publicadas en su sitio web a las que se refería la reclamación. No obstante, la resolución del expediente de 13 de enero de 2020 fue recurrida en reposición por el Sr. A.A.A. (Nº ***EXPEDIENTE.4), reiterando la desatención de su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/30 solicitud de supresión y aportando la siguiente documentación (la Sentencia del Tribunal Supremo 784/2004, de fecha 12 de julio de 2004, y un artículo relativo a dicha Sentencia titulado “La silueta como dato personal”), al objeto de defender que la silueta tenía la consideración de dato de carácter personal. El 28 de febrero de 2020 la Directora de la AEPD dictó una resolución por la que se estimaba el recurso de reposición interpuesto por el Sr. A.A.A.. En el hecho tercero de la misma se indica: “TERCERO: En fecha 14 de enero de 2020 D. A.A.A. ha presentado un escrito, registrado en la Agencia en esa misma fecha, en el que formula recurso de reposición a la resolución, reiterando la desatención de la solicitud de supresión formulada al no retirar el material fotográfico referido. El recurrente argumenta que en las imágenes aún publicadas en la web www.ledvolution.com continúa siendo identificable su persona, a pesar de que se haya difuminado el rostro, basándose en la STS 5073/2004, de 12 de julio de 2004, que declara que no solo el rostro sino también la silueta podría identificar a una persona.” (el subrayado es nuestro). Por su parte, el fundamento de derecho II de dicha Resolución, prevé: “Dado que en el presente recurso de reposición se han realizado nuevas alegaciones, a los efectos de considerar que la cuestión planteada podría ser contraria a la normativa vigente en materia de protección de datos y, en concreto, al artículo 17 del RGPD, procede acordar su estimación.” (el subrayado es nuestro). La postura defendida por la AEPD en el presente expediente no contradice el contenido de la Resolución de 28 de febrero de 2020. En cuanto a la resolución de la Directora de 4 de junio de 2020, que también forma parte del expediente Nº:***EXPEDIENTE.1, en la que se desestimaba la reclamación presentada por el Sr. A.A.A., en el hecho segundo se destaca: “(…)El representante de la reclamada manifiesta en las alegaciones formuladas durante la tramitación del presente procedimiento que, es titular de los sitios web “https://www.rotuloselectronicos.net/ y https://www.ledvolution.com/” y el derecho ejercitado se atendió debidamente en tiempo y forma como así fue reconocido por esta Agencia en la resolución ***EXPEDIENTE.2, estimándose que se había aplicado las medidas adecuadas para evitar que pueda reconocerse al afectado en las imágenes publicadas en el sitio web a las que se refiere la reclamación. Que sin perjuicio de lo anterior y en aras a evitar innecesarios trámites posteriores, se ha decidido retirar cualquier imagen en la que, aunque de forma anonimizada, aparecía el interesado.” (el subrayado es nuestro) Asimismo, en el fundamento de derecho sexto se indicaba: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/30 “SEXTO: Antes de entrar en el fondo de las cuestiones planteadas, hay que señalar que el presente procedimiento se instruye como consecuencia de la denegación de alguno de los derechos regulados por la normativa de protección de datos (acceso, rectificación, supresión, limitación, portabilidad y oposición) y tiene por objeto que se adopten las medidas correspondientes para que las garantías y derechos del afectado queden debidamente restauradas. Por ello, en el presente caso, sólo serán analizadas y valoradas aquellas cuestiones planteadas por la parte reclamante que queden incluidas dentro del objeto del citado procedimiento de reclamaciones en materia de protección de datos. En el supuesto aquí analizado, la parte reclamante ejerció su derecho de supresión y dentro del plazo establecido, su solicitud obtuvo respuesta. La parte reclamante no está conforme con la respuesta de la reclamada con las medidas de filtrado, pues entiende que sigue siendo identificable. Por parte de esta Agencia se ha comprobado que, al entrar en los sitios web de la reclamada, no aparecen imágenes ni datos de carácter personal de la parte reclamante.” (el subrayado es nuestro). Esta última resolución examinaba exclusivamente si se había vulnerado el contenido del artículo 17 del RGPD (derecho de supresión). La misma tuvo en cuenta lo reflejado en el hecho segundo, que ha sido reproducido, así como una comprobación efectuada por parte de la AEPD (al entrar en los sitios web de la reclamada no aparecían imágenes ni datos de carácter personal del reclamante, es decir, dichas imágenes habían sido suprimidas). En conclusión, no cabe apreciar la supuesta contradicción que pretende dar a entender la parte reclamada entre el presente expediente sancionador y el expediente Nº: ***EXPEDIENTE.1. Por todo lo expuesto, se desestiman todas las alegaciones formuladas por la parte reclamada al acuerdo de inicio y a la propuesta de resolución. VII Reclamación relativa a la imagen del reclamante en un vídeo y en cuatro catálogos de la empresa DIGIMAN En su escrito de reclamación de fecha 6 de septiembre de 2022 la parte reclamante entiende que la parte reclamada habría vulnerado los artículos 6 y 17 del RGPD, haciendo referencia a un vídeo alojado en el canal de YouTube de DIGIMAN que contendría una fotografía con su imagen sentado en un sofá tras una cristalera con vinilos, que impiden ver parte de su cara y de su cuerpo. A) En relación con la posible infracción del artículo 6 del RGPD, tal y como se ha indicado anteriormente, en un escrito presentado el 18 de octubre de 2022, el reclamante amplió su reclamación, indicando que la imagen controvertida figuraba en cuatro catálogos de la empresa DIGIMAN, aportando los siguientes enlaces: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/30 ***URL.1 ***URL.2 ***URL.3 ***URL.4 En cuanto a los catálogos, por una parte, se ignora dónde están alojados los mismos, ya que junto a la reclamación se aportan unos enlaces de Google drive. En este sentido, consultadas las siguientes páginas web: https://www.rotuloselectronicos.net/solicitud-de-precios/ https://www.ledvolution.com/solicitud-de-precios/ se observa que dichos catálogos no se pueden descargar directamente, sino que es necesario completar un formulario para que la empresa los envíe. Por tanto, los cuatro catálogos no resultan directamente accesibles para el público en general a través de dichas páginas web. Por otra parte, en un escrito de 10 de marzo de 2022, que figura en el expediente, el reclamante ejerció su derecho de supresión frente a la parte reclamada, aportando los enlaces de otros dos catálogos: ***URL.5 ***URL.6 En el burofax de fecha 1 de abril de 2022 la parte reclamada indica: “(…) Procedemos a atender su solicitud dentro del plazo previsto en el artículo 12.3 del RGPD y conforme a lo establecido en el citado artículo 17 del RGPD, así como en el artículo 15 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), significándole lo siguiente: Los enlaces a los que usted se refiere en su escrito no se encontraban publicados en ninguna web. Muy posiblemente, por su condición de ex empleado de esta mercantil, conocía la ruta de acceso al PDF en la que aparece la fotografía que nos indica en su escrito. (…) Como antes le indicábamos, esos enlaces no están accesibles ni publicados en ninguno de los sitios web de esta mercantil con posterioridad a la resolución del expediente de reclamación y en cualquier caso se trata de una imagen en la que usted aparece de forma claramente anonimizada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/30 Sin perjuicio de todo lo expuesto anteriormente, le indicamos que hemos procedido a eliminar el acceso al PDF en el que aparece la fotografía en cuestión a través de los enlaces que usted indicaba: (…)” No ha quedado acreditada la fecha en la que figuraba en dichos catálogos la imagen controvertida. Aspecto que cobra importancia tras el ejercicio el 10 de marzo de 2022 del derecho de supresión por la parte reclamante ante dicha empresa en relación con otros dos catálogos y la contestación de la misma el 1 de abril de 2022, que acaba de ser reproducida. En consecuencia, no procedería ninguna actuación sancionadora en relación con los cuatro catálogos, accesibles a través de los enlaces de Google drive aportados. Sin embargo, en relación con el vídeo alojado en el canal de YouTube de la empresa, la parte reclamante ha aportado un certificado, emitido por Safe Stamper, de una sesión de navegación del vídeo de YouTube realizada el 7 de agosto de 2022 a las 13:54. Así como un enlace para visualizar otra grabación del mismo vídeo con certificado emitido por Safe Stamper el 8 de septiembre de 2022, que permiten comprobar la publicación de la fotografía con la imagen del reclamante sentado en un sofá. Por último, indicar que la parte reclamada en sus alegaciones ha confirmado la existencia del vídeo que contenía la imagen del reclamante. B) En relación con la posible infracción del artículo 17 del RGPD (derecho de supresión), la parte reclamante entiende que la parte reclamada ha vulnerado el mencionado artículo. A estos efectos, junto con su reclamación aportó varios documentos de fecha 7 de agosto de 2022: un correo electrónico, con certificación de envío de Safe Stamper, dirigido a DIGIMAN manifestando su deseo de ejercer el derecho de supresión de datos personales de conformidad con lo previsto en el artículo 17 del RGPD, un formulario para el ejercicio del derecho de supresión y un escrito en el que solicitaba la supresión de sus datos personales. Este último escrito, incluía una fotografía en la que la parte reclamante aparecía sentado en un sofá tras una cristalera con vinilos, que impedía ver parte del rostro y del cuerpo. En dicho documento no indicaba dónde se encontraba alojada la imagen que pretendía que fuera suprimida. Posteriormente, el 5 de septiembre de 2022 la parte reclamada remitió un correo electrónico al reclamante en el que se indicaba lo siguiente: “- La fotografía que refiere en su escrito, como de sobra le ha sido comunicado, fue suprimida en su día de cualquier página web titularidad de esta empresa y en ningún caso la misma fue cedida a ningún tercero. Sin perjuicio de lo anterior, le reiteramos que, si existe cualquier fotografía publicada en la que usted aparezca, aunque sea de forma anonimizada, indíquenos por favor dónde se encuentra y procederemos a su inmediata eliminación. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/30 Le recordamos asimismo que según establece el artículo 12.5. del Reglamento (UE) 2016/679 General de Protección de Datos (RGPD), la información facilitada en virtud de los artículos 13 y 14 del RGPD así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 del RGPD serán a título gratuito, pero que cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
7. a)cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada,
8. b)o
9. b)negarse a actuar respecto de la solicitud.” Un día más tarde, el 6 de septiembre de 2022, la parte reclamante envió un correo, con certificación de envío de Safe Stamper, a la parte reclamada indicando lo siguiente: “(…), les hago saber donde se encuentra publicada una fotografía donde soy reconocible (…) la imagen se encuentra en un video alojado en su canal de YouTube, con lo cual espero que procedan a su retirada. ***URL.7” A través de dicho enlace, se accede al canal de YouTube de rotuloselectrónicos.net. Por tanto, fue el 6 de septiembre de 2022 el momento en el que el reclamante indicó a la parte reclamada dónde se encontraba alojado el vídeo que contenía la imagen que deseaba que fuera suprimida. Junto a su reclamación, la parte reclamante ha remitido un vídeo del canal de YouTube de DIGIMAN, con certificado emitido por Safe Stamper de fecha 8 de septiembre de 2022, en el que aparece la imagen controvertida. Dicho vídeo fue grabado un par de días después de la comunicación de la parte reclamante dirigida a DIGIMAN en la que identificaba dónde se encontraba el vídeo que contenía la imagen que deseaba que fuera suprimida. Actualmente el contenido del citado vídeo no se encuentra disponible (hecho probado quinto). El artículo 12 apartados 3, 4 y 5 del RGPD prevé lo siguiente: (el subrayado es nuestro) “3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, sin dilación indebida y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/30 caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo.” 4. Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. 5. La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
10. a)cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
11. b)negarse a actuar respecto de la solicitud. El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud” Por tanto, cuando se ejercita el derecho de supresión, la empresa ante la que se ejercita dicho derecho, dispone del plazo de un mes a contar desde la recepción de la solicitud, para proceder a la supresión de los datos personales. Así se refleja también en el formulario para el ejercicio del derecho de supresión de fecha 7 de agosto de 2022, que ha aportado el reclamante junto con su reclamación, en el que se indica los siguiente: (el subrayado es nuestro) “SOLICITA Que se proceda a acordar la supresión de sus datos personales en el plazo de un mes a contar desde la recepción de esta solicitud, y que se me notifique por correo electrónico el resultado de la supresión practicada.” En el escrito de 7 de agosto de 2022 se incluye la imagen controvertida, pero no se indica dónde se encuentra la misma. La parte reclamada en su contestación de 5 de septiembre de 2022 comienza indicando lo siguiente: (el subrayado es nuestro) “Sirva la presente comunicación a los efectos de atender nuevamente su solicitud de ejercicio del derecho de supresión de datos personales que realizó C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/30 mediante los correos electrónicos remitidos los días 7 y 9 de agosto de 2022 a la dirección info@rotuloselectronicos.net. Básicamente reitera su solicitud de supresión de datos personales realizada con anterioridad. Nos remitimos a lo expresado en las diferentes comunicaciones que le hemos enviado por diferentes medios en atención a su solicitud de ejercicio de derechos sobre los mismos datos personales que ejercita en este momento, significándole lo siguiente: - La fotografía que refiere en su escrito, como de sobra le ha sido comunicado, fue suprimida en su día de cualquier página web titularidad de esta empresa y en ningún caso la misma fue cedida a ningún tercero.” Asimismo, la parte reclamada incluye un recordatorio de lo dispuesto en el artículo 12.5 del RGPD. En consecuencia, en el supuesto examinado, no ha quedado acreditado que la parte reclamada mantuviera el vídeo con la imagen controvertida transcurrido el plazo de un mes a partir del 6 de septiembre de 2022 (fecha en la que el reclamante remitió un correo electrónico a dicha empresa indicando dónde se encontraba alojado el vídeo que contenía la imagen que deseaba que fuera suprimida). No habiéndose sobrepasado el plazo previsto en el artículo 12.3 del RGPD y no entendiéndose, en consecuencia, vulnerado el artículo 17 del RGPD. VIII Derecho a la protección de datos El presente caso, la parte reclamante basa su reclamación en el uso por la parte reclamada de una fotografía que reproduce su imagen sentado en un sofá. Esta fotografía habría sido tomada por la parte reclamada para ilustrar el trabajo que realizaban. La imagen no permite ver por completo a la persona, pero sí se la ve en parte. Esto unido al hecho de que aparece vinculado a la parte reclamada, donde trabajaba, que es otra información adicional, podrían hacer, en este supuesto concreto, identificable a esa persona. Todo ello, constituye un tratamiento de datos personales de la parte reclamante. Si bien en un primer momento, según indica el reclamante, dio su autorización verbal a la parte reclamada, permitiendo la publicación en las páginas web, catálogos, redes sociales, plataformas web, etc de imágenes donde apareciera con el fin de que la empresa promocionara sus servicios e instalaciones. Tras ser despedido, ejerció el derecho de supresión en 2019, 2020 y 2022. Del contenido de dichos escritos, se desprende que la parte reclamada ya no contaba con el consentimiento del reclamante para el tratamiento de su imagen. En consecuencia, se considera que el tratamiento de datos realizado por la parte reclamada de la parte reclamante, consistente en publicar en su canal de YouTube la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/30 imagen objeto de este procedimiento, se ha efectuado sin causa legitimadora de las recogidas en el artículo 6 del RGPD. Las personas tienen el poder de disposición sobre sus datos personales, incluyendo su imagen, así como sobre su difusión, resultando, sin lugar a dudas, merecedora de protección la persona cuyos datos personales se difundan vulnerando el ordenamiento jurídico. Así, la STC 292/2000, de 30 de noviembre dispone que “el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos”. El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales, en el sentido siguiente: «1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
12. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
13. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
14. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
15. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
16. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
17. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/30 Lo dispuesto en la letra
18. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.» Sobre esta cuestión de la licitud del tratamiento, incide asimismo el Considerando 40 del mencionado RGPD, cuando dispone que «Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.» En relación con lo anterior, se considera que el tratamiento de datos realizado por la parte reclamada de la parte reclamante, que aparece en la imagen objeto de este procedimiento, se ha efectuado sin causa legitimadora de las recogidas en el artículo 6 del RGPD. En el supuesto analizado, los datos de la parte reclamante, que ha tratado la parte reclamada, son identificables ya que su identidad podría llegar a determinarse, directa o indirectamente. IX Sentencia de la Sección 1ª de la Sala de lo Civil del Tribunal Supremo, nº 784/2004, de fecha 12 de julio de 2004 La Sentencia del Tribunal Supremo, Sala de lo Civil, nº 784/2004, de fecha 12 de julio de 2004 indica lo siguiente en relación a la imagen: <<La sentencia recurrida funda su pronunciamiento absolutorio en no ser identificable la demandante en la fotografía razonando que <como se observa en la referida fotografía, el “rostro” de la persona que aparece desnuda no es “visible”; de otro lado, la “silueta” no ofrece signos especiales, singulares, específicos que, en la normal convivencia y relación pública ciudadana permitan su atribución a una concreta y determinada persona (…) En el presente caso ha de tacharse de ilógica y arbitraria la conclusión a que llega la Sala de apelación de no ser identificable la actora en la citada fotografía, siendo así que los testigos que declararon en la instancia, todos los cuales conocían a la C.C.C. desde hacía varios años, identificaron la fotografía como reproducción de la figura de la misma, siendo indiferente que el círculo de conocidos de esa señora sea mayor o menor. Se impone, por tanto, la estimación del motivo, con la consecuencia de tener como hecho probado que la fotografía de la mujer que aparece en la fotografía publicada en la portada del ejemplar del 28 de junio de 1998 reproduce la imagen de la demandante” X C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/30 Tipificación y calificación de la infracción Se considera que la parte reclamada ha tratado datos de la parte reclamante sin legitimación. Los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, del artículo 6.1. del RGPD, con el alcance expresado en los Fundamentos de Derecho anteriores, lo que supone la comisión de una infracción tipificada en el artículo 83.5, apartado
19. a)del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
20. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica: Artículo 72. Infracciones consideradas muy graves. “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
21. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud de tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.” XI Sanción por la infracción del artículo 6.1 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/30 cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
22. a)a
23. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
24. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
25. b)la intencionalidad o negligencia en la infracción;
26. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
27. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
28. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
29. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
30. g)las categorías de los datos de carácter personal afectados por la infracción;
31. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
32. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
33. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
34. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
35. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, apartado segundo “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
36. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
37. a)El carácter continuado de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/30
38. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
39. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
40. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
41. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
42. f)La afectación a los derechos de los menores.
43. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
44. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” A tenor de los hechos expuestos, se considera que corresponde imputar una sanción a la parte reclamada por la vulneración del Artículo 6.1 del RGPD tipificada en el Artículo 83.5 del RGPD. La sanción que corresponde imponer es de multa administrativa por un importe de 2.000,00 € (dos mil euros). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a DIGIMAN ALICANTE, S.L., con NIF B53246906, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, una multa de 2.000,00 € (dos mil euros). SEGUNDO: NOTIFICAR la presente resolución a DIGIMAN ALICANTE, S.L.. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
45. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/30 CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
46. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-250923 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es