← España

PS-00601-2022

1/12  Procedimiento Nº: PS/00601/2022 (EXP202211730) RESOLUCIÓN DEL PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES: PRIMERO: Con fecha 28/10/22, el JUZGADO DE INSTRUCCIÓN (...), de Alicante notifico a la Agencia Española de Protección de Datos, el “AUTO”, de fecha 20/10/22, correspondientes a las Diligencias Previas NUM. ***NÚMERO.1, en cuya resolución se indica lo siguiente: “HECHOS: UNICO.— En las presentes actuaciones de diligencias previas Nº ***NÚMERO.1 se dictó providencia de 3 de octubre de 2022 dando traslado de la petición de sobreseimiento formulada por la defensa al Ministerio Fiscal por si considerara que los hechos objeto de la presente instrucción pudieran ser constitutivos de happy slapping o un delito contra la intimidad, habiendo formulado el ministerio público petición de sobreseimiento de lo actuado con testimonio a la Agencia de Protección de Datos. (…) Atendiendo a lo anterior: DISPONGO: ACORDAR EL SOBRESEIMIENTO PROVISIONAL Y ARCHIVO DE LO ACTUADO AL NO HABER QUEDADO ACREDITADOS LOS HECHOS DENUNCIADOS REMITIENDO TESTIMONIO DE LO ACTUADO A LA AGENCIA DE PROTECCIÓN DE DATOS POR SI LOS HECHOS FUERAN SANCIONABLES POR CINSTITUIR UN TRATAMIENO DE DATOS PERSONALES DE UN MENOR SIN SU CONSENTIMIENTO (…)”. Los hechos se dirigen contra Dª A.A.A., con DNI: ***NIF.1 y tienen transcendencia para el presente procedimiento los siguientes documentos aportados junto al Auto del Juzgado: a).- Denuncia presentada en el Cuartel de la Guardia Civil de (…) (Alicante) el 28/07/22, por Dª B.B.B., con su hijo menor de edad C.C.C., donde manifiestan, entre otras que: “ (…) a Su hijo C.C.C., el pasado 27 de Julio sobre las 23:30 horas, cuando se dirigía hacia (…), en compañía de su amiga D.D.D. por la calle (…) de la localidad de El Campello (Alicante), aparecieron en cuatro motos ocho jóvenes, entre ellos uno que supuestamente era amigo de su hijo, un tal E.E.E. también menor de edad, quien se bajó de la moto y sin mediar palabra con su hijo, le propinó una paliza y que al mismo tiempo que le estaba agrediendo, otro joven en moto lo estaba grabando todo con teléfono móvil, que una vez acabó de propinar la paliza a su hijo, el agresor abandonó el lugar junto con sus amigos, dejando a la víctima en el lugar con su amiga (…)”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 b).- Escrito que el Fiscal, D. F.F.F., realiza al Juzgado que lleva el caso, de fecha 18/10/22, donde se destaca lo siguiente: “EL FISCAL. despachando el traslado conferido para informe en las Diligencias Previas número ***NÚMERO.1 seguidas ante dicho Juzgado. DICE: Que, conforme con lo dispuesto en el artículo 779. número 1. Primera. en relación con el artículo 641. Nº 1. ambos de la Ley de Enjuiciamiento Criminal, interesa so proceda a acordar el sobreseimiento provisional de las actuaciones REMITIENDO TESTIMONIO DE LAS PRESENTES A LA AGENCIA DE PROTECCIÓN DE DATOS POR SI LOS HECHOS FUERAN SANCIONABLES POR CONSTITUIR UN TRATAMIENTO DE DATOS PERSONALES DE UN MENOR SIN SU CONSENTIMIENTO. al estimar que no aparece suficientemente justificada la perpetración del delito que dio lugar a la formación del presente procedimiento, y ello en base 3 a las siguientes consideraciones: (…) TERCERO: En este sentido, las presentes diligencies se incoaron en virtud de denuncia interpuesta por la madre de la menor. A groso modo, un menor habría agredido a otro mientras A.A.A. la habría grabado. Como consecuencia de tales hechos. fueron oídos el denunciante. le denunciada en sede judicial, la testifical obrante en autos interesada por el querellante, recabándose las diligencias previas instruidas en el juzgado de menores respecto de hechos. es decir. se practicaron todas las diligencias pertinentes y necesarias para el esclarecimiento de los hechos. Este abundante despliegue probatorio, por lo demás lógico y adecuado a la gravedad del hecho denunciado garantiza a criterio de este Fiscal que se han llevado a cabo las diligencias oportunas y que no procede, por el momento, ampliar el espectro de investigación que parece agotado. CUARTA: pese al esfuerzo efectuado por el Letrado de la defensa en su escrito en orden a desvincular a la investiga de los presentes hechos. entendemos que la autoría del video queda acreditada. 1. En este sentido. hemos de valorar la declaración de D.D.D. (folio 16) donde manifiesta que, “… Vio a A.A.A. con teléfono ***TELÉFONO.1. que está segura de que el video es de ella porque si había más gente detrás de ella que hubieran podido grabar, pero hubiera salido la dicente, esa perspectiva es de delante de ella”. 2. Por su parte. G.G.G. (día 17) pone de manifiesto que: “H.H.H. fue quien le facilitó el video del teléfono a través de la aplicación Instagram…”. 3.- Por su parte. la investigada guarda silencio tanto en su declaración en sede policial, en sede judicial. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 4.- Por otro lado, el propio perjudicado C.C.C. (folio 57) en su declaración como perjudicado (exploración del menor) manifiesta que quienes grabaron fueron “H.H.H. y A.A.A.”. 5.- Además de lo expuesto. al folio 179 en su declaración judicial en calidad de testigo D.D.D. pone de manifiesto que “vio a A.A.A. grabando. No sabe quién lo difundió (…) ”. 6.- Por último, sí visualizamos el vídeo que acompaña a las presentes, podemos observar claramente que la autora del vídeo es mujer habida cuenta de la sombra que reflejaba (nevándote el pelo recogido y una especie de falda y bolso) y además era la acompañante trasera de la motocicleta que conducía E.E.E. (el agresor). Llegados a este punto. entendemos que los hechos no son subsumibles en conducta típica alguna, sin perjuicio de que se deduzca testimonio de las presentes a la Agencia De Protección De Datos por si procede abrir expediente sancionador contra A.A.A. por el tratamiento Inconsentido de datos personales relativos a un menor de edad. Así las cosas, los hechos no son SUBSUMIBLES en la conducta de happy slapping prevista en el artículo 197 del código penal, y ello por cuanto no ha quedado acreditada la difusión del video más allá de que A.A.A. pudiera habérsele remitido por WhatsApp a H.H.H. y éste a su vez a G.G.G.. Tampoco los hechos se cometen en la intimidad fuera del alcance de la vista de terceros teniendo en consideración que se produce la agresión en vía pública. Tampoco podemos afirmar que nos encontramos ante un delito contra la integridad moral previsto en artículo 173.1 del código penal. habida cuenta que este tipo requiere un atentado grave contra la integridad moral, gravedad que no ha quedado determinada durante la instrucción del presente procedimiento. Los hechos son los que son y tienen la gravedad que tienen, sin que de los informes médicos forenses ni los informes médicos de asistencia se desprenda dicha gravedad en un atentado a la integridad moral, Llegados a este punto, no cabe duda de que la conducta de A.A.A. para el caso en que queda acreditada, fuera de toda duda su autoría, merecen mayor de los reproches sociales, por cuanto siendo mayor de edad a diferencia de los otros intervinientes, graba con absoluta frialdad la agresión de un menor, con lo que se amplifica y perpetúa la humillación a la víctima y supone en todo caso un tratamiento de datos personales sin consentimiento. En este orden de cosas, la conducta seria subsumible en un delito leve de vejaciones injustificadas previsto en artículo 173.4 del código penal, más el legislador sólo ha mantenido dicha tipificación respecto de las conductas cometidas entre parientes. Por lo que no siendo este el caso, procede el sobreseimiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 Por Todo lo señalado el Fiscal interesa que se acuerde el sobreseimiento provisional REMITIENDO TESTIMONIO DE LAS PRESENTES A LA AGENCIA DE PROTECCIÓN DE DATOS POR SI LOS HECHOS FUERAN SANCIONABLES POR CONSTITUIR UN TRATAMIENTO DE DATOS PERSONALES DE UN MENOR SIN su CONSENTIMIENTO”. SEGUNDO: Con fecha 30/01/23, por parte de la Directoria de la Agencia Española de Protección de Datos, se inicia procedimiento sancionador a la entidad reclamada, al apreciar indicios razonables de vulneración de lo establecido en el artículo 6.1 del RGPD, tipificada en el artículo 83.5.

  1. a)del citado Reglamento al realizar un tratamiento ilícito de los datos personales de C.C.C. (imágenes), menor de edad, en el momento de producirse los hechos, con una sanción inicial de 10.000 euros (diez mil euros). - Según certificado de la Sociedad Estatal Correos y Telégrafos, el escrito de incoación de expediente enviado a la reclamada, el día 30/01/23 a través del servicio de notificaciones postales de Correos, fue devuelto a origen por Sobrante (No retirado en oficina) el 21/02/23. Teniendo la siguiente información asociada: “Gestión de entrega por la Unidad: 0355006”: 1º Intento de entrega el 10/02/23 a las 09:44, por el empleado 222388 con el resultado: “Ausente” y 2º Intento de entrega el 13/02/23 a las 17:30, por el empleado 452943 con el resultado de “Ausente” y “se dejó aviso en buzón”. Dicho escrito fue enviado a la dirección: ***DIRECCIÓN.1. - Con fecha 27/02/23, se realizó la notificación del acuerdo de inicio mediante anuncio en el Tablón Edictal único del Boletín Oficial del Estado, de acuerdo con el artículo 44 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP). TERCERO: Con fecha 13/04/23, se realiza la propuesta de resolución en la cual, se proponía que, por la Directora de la Agencia Española de Protección de Datos se procediera a sancionar a la reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), por vulneración de lo establecido en el artículo de en el artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  2. a)del citado Reglamento al realizar un tratamiento ilícito de los datos personales con una sanción de 10.000 euros (diez mil euros). Además, conforme dispone el art 83.2 del RGPD y art 76.3 de la LOPDGDD, se consideró necesario proponer como medida provisional de ordenar, de acuerdo con lo dispuesto en el art. 69 de la LOPDGDD, la suspensión total de todo tratamiento de datos personales de C.C.C.. - Según certificado de la Sociedad Estatal Correos y Telégrafos, el escrito de propuesta de resolución enviado a la reclamada, el día 13/04/23 a través del servicio de notificaciones postales de Correos, fue devuelto a origen por Sobrante (No retirado en oficina). Teniendo la siguiente información asociada: “Gestión de entrega por la Unidad: 0355006”: 1º Intento de entrega el 24/04/23 a las 09:55, por el empleado 222388 con el resultado: “Ausente” y 2º Intento de entrega el 25/04/23 a las 18:06, por el empleado 452943 con el resultado de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 “Ausente” y “se dejó aviso en buzón”. Dicho escrito fue enviado a la dirección: ***DIRECCIÓN.2. CUARTO: No existe constancia de que se haya recibido en esta Agencia ningún escrito de alegaciones a la propuesta de resolución. HECHOS PROBADOS. De las actuaciones practicadas en el presente procedimiento y de la información y documentación presentada ha quedado acreditadas los siguientes hechos: Primero: Según la denuncia presentada en la Guardia Civil de San Juan de Alicante, el 27/07/22, cuando C.C.C. estaba en compañía de su amiga D.D.D., E.E.E. se bajó de la moto y sin mediar palabra le propinó una paliza, mientras que todo ello era grabado por A.A.A. con su teléfono móvil, acompañante de E.E.E.. Segundo: En el escrito enviado por la Fiscalía al Juzgado de Instrucción (…) de Alicante que llevó el caso: “D.D.D. manifestó en la declaración que vio a A.A.A. grabando la agresión y C.C.C. aseguró en su declaración que quienes grabaron los hechos fueron “H.H.H. y A.A.A.”. Tercero: También indica el Fiscal que, “si se visualiza el vídeo de los hechos, se puede ver claramente que la autora del vídeo es una mujer habida cuenta de la sombra que reflejaban las imágenes y que era la acompañante trasera de la motocicleta que conducía E.E.E. (el agresor)”. FUNDAMENTOS DE DERECHO ICompetencia. Es competente para resolver este Procedimiento Sancionador, la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes que el art 58.2 del RGPD, así como, lo establecido en los arts. 47, 64.2 y 68.1 de la LOPDGDD. II.-1 Sobre el tratamiento ilícito de los datos personales del menor de edad agredido. La imagen de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal al hacerla identificable, y su protección, por tanto, es objeto de dicho RGPD: “«datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 La imagen es un atributo personal propio e individual de cada persona física que se define por su altura, complexión o forma de sentarse. Dotada de rasgos distintivos únicos y singulares que la individualizan de manera directa, asociándola a un individuo concreto, pudiendo conocer, a través de ella la edad, el sexo, el color de la piel, su manera de ser por la forma de sentarse... lo que facilita la identificación del individuo. Por ello, el informe 139/2017 del Gabinete Jurídico de esta Agencia afirma que: “la imagen, así como la voz de una persona es un dato personal, al igual que lo será cualquier información que permita determinar, directa o indirectamente, su identidad (…)” Por otra parte, el artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” La inclusión de la imagen de una persona en páginas web, foros, publicaciones, que identifica o hace identificable a una persona, supone un tratamiento de datos personales y, por tanto, el responsable del tratamiento que efectúa el mismo está obligado a cumplir con las obligaciones que para el responsable del tratamiento se disponen en el RGPD y en la LOPDGDD. Pues bien, para que un tratamiento de datos personales se pueda realizar lícitamente, debemos estar, en un primer momento a lo dispuesto en el Considerando 40 del RGPD: “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato” Y por su parte, El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito un tratamiento de datos personales. Así tenemos como: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
  3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  6. d)el tratamiento es necesario para proteger C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 intereses vitales del interesado o de otra persona física;
  7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades en el ejercicio de sus funciones”. Por tanto, en relación con lo anterior, se considera que existen evidencias suficientes de que el tratamiento de datos personales del menor de edad obtenidos sin causa legitimadora de las recogidas en el artículo 6 del RGPD pueden vulnerar dicho artículo. Por otra parte, al ser un tratamiento de datos personales de un menor de edad, debemos tener presente también lo establecido en el art. 7 de la LOPDGDD, pues establece que: “1. El tratamiento de los datos personales de un menor de edad únicamente podrá fundarse en su consentimiento cuando sea mayor de catorce años. Se exceptúan los supuestos en que la ley exija la asistencia de los titulares de la patria potestad o tutela para la celebración del acto o negocio jurídico en cuyo contexto se recaba el consentimiento para el tratamiento. 2. El tratamiento de los datos de los menores de catorce años, fundado en el consentimiento, solo será lícito si consta el del titular de la patria potestad o tutela, con el alcance que determinen los titulares de la patria potestad o tutela.” Las personas menores cuyos datos ha tratado el reclamado, son perfectamente identificables ya que su identidad pueda determinarse, directa o indirectamente. II.-2 Calificación de la infracción De conformidad con las evidencias de las que se dispone, se considera que los hechos expuestos incumplen lo establecido en los artículos 6.1 del RGPD, al realizar un tratamiento ilícito de los datos personales de un menor de edad sin legitimación. El artículo 72.1.
  10. b)de la LOPDGDD, considera “muy grave”, a efectos de prescripción, “El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento”. II.-3 Graduación de la sanción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 La determinación de la sanción que procede imponer en el presente caso exige observar las previsiones de los artículos 83.1 y 2 del RGPD, preceptos que, respectivamente, disponen lo siguiente: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  11. a)a
  12. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  13. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  14. b)la intencionalidad o negligencia en la infracción;
  15. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  16. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  17. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  18. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  19. g)las categorías de los datos de carácter personal afectados por la infracción;
  20. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  21. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  22. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  23. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado “Sanciones y medidas correctivas”: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo con lo previsto en el artículo 83.2.
  24. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  25. a)El carácter continuado de la infracción.
  26. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  27. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  28. d)La posibilidad de que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 conducta del afectado hubiera podido inducir a la comisión de la infracción;
  29. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente;
  30. f)La afectación a los derechos de los menores;
  31. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos;
  32. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado. 3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679.” De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer a la entidad reclamada como responsable de una infracción tipificada en el artículo 83.5.
  33. a)del RGPD y 72.1
  34. b)de la LOPDGDD, se estiman concurrentes en el presente caso los siguientes factores: a).- El alcance o propósito de la operación de tratamiento de datos y el nivel de los daños y perjuicios causados, (apartado a). b).- La intencionalidad en la infracción, por parte la presunta autora del vídeo, (apartado b). Se considera además que, procede graduar la sanción a imponer de acuerdo con los siguientes criterios agravantes, que establece el artículo 76.2 de la LOPDGDD: a).- La afectación a los derechos de los menores, (apartado f). El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 del RGPD, permite fijar una sanción de 10.000 euros (diez mil euros). II.-4 Confirmación definitiva de las medidas provisionales impuestas En el Preámbulo I de la LOPDGDD se indica lo siguiente: “La protección de las personas físicas en relación con el tratamiento de datos personales es un derecho fundamental protegido por el artículo 18.4 de la Constitución española. De esta manera, nuestra Constitución fue pionera en el reconocimiento del derecho fundamental a la protección de datos personales cuando dispuso que «la ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos». Se hacía así eco de los trabajos desarrollados desde finales de la década de 1960 en el Consejo de Europa y de las pocas disposiciones legales adoptadas en países de nuestro entorno. El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que nos encontramos ante un derecho fundamental a la protección de datos por el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 que se garantiza a la persona el control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los afectados; de esta forma, el derecho a la protección de datos se configura como una facultad del ciudadano para oponerse a que determinados datos personales sean usados para fines distintos a aquel que justificó su obtención. Por su parte, en la Sentencia 292/2000, de 30 de noviembre, lo considera como un derecho autónomo e independiente que consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. (…). También se recoge en el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea y en el artículo 16.1 del Tratado de Funcionamiento de la Unión Europea. Anteriormente, a nivel europeo, se había adoptado la Directiva 95/46/CE citada, cuyo objeto era procurar que la garantía del derecho a la protección de datos personales no supusiese un obstáculo a la libre circulación de los datos en el seno de la Unión, estableciendo así un espacio común de garantía del derecho que, al propio tiempo, asegurase que en caso de transferencia internacional de los datos, su tratamiento en el país de destino estuviese protegido por salvaguardas adecuadas a las previstas en la directiva” Con respecto a todo lo anterior, el artículo 69 de la LOPDGDD, señala que: “1. Durante la realización de las actuaciones previas de investigación o iniciado un procedimiento para el ejercicio de la potestad sancionadora, la Agencia Española de Protección de Datos podrá acordar motivadamente las medidas provisionales necesarias y proporcionadas para salvaguardar el derecho fundamental a la protección de datos y, en especial, las previstas en el artículo 66.1 del Reglamento, el bloqueo cautelar de los datos y la obligación inmediata de atender el derecho solicitado. 2. En los casos en que la Agencia Española de Protección de Datos considere que la continuación del tratamiento de los datos personales, su comunicación o transferencia internacional comportará un menoscabo grave del derecho a la protección de datos personales, podrá ordenar a los responsables o encargados de los tratamientos el bloqueo de los datos y la cesación de su tratamiento y, en caso de incumplirse por estos dichos mandatos, proceder a su inmovilización. 3. Cuando se hubiese presentado ante la Agencia Española de Protección de Datos una reclamación que se refiriese, entre otras cuestiones, a la falta de atención en plazo de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, la Agencia Española de Protección de Datos podrá acordar en cualquier momento, incluso con anterioridad a la iniciación del procedimiento para el ejercicio de la potestad sancionadora, mediante resolución motivada y previa audiencia del responsable del tratamiento, la obligación de atender el derecho solicitado, prosiguiéndose el procedimiento en cuanto al resto de las cuestiones objeto de la reclamación”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 En el tratamiento de datos analizado se aprecia de forma indubitada el alto riesgo que supone para las garantías y libertades del menor afectado, así como una ausencia de base jurídica para realizarlo. La continuación del tratamiento comporta un menoscabo muy grave e irreparable para los derechos de los menores afectados. La suspensión del tratamiento es la única medida susceptible de ser adoptada para salvaguardar el Derecho Fundamental a la Protección de Datos, resultando ser, además, la menos lesiva, onerosa y proporcional para el reclamado. Conforme dispone el art 83.2 del RGPD y art 76.3 de la LOPDGDD arriba transcritos, en el acto de incoación del presente procedimiento sancionador, se consideró necesario, proporcional y efectivo para garantizar los derechos y libertades en liza del menor de edad y de menor onerosidad para el reclamado, imponer a título adicional a la multa administrativa, la medida provisional de ordenar, de acuerdo con lo dispuesto en el art. 69 de la LOPDGDD, la suspensión total de todo tratamiento de datos personales del menor de edad, CONFIRMANDO en esta resolución dicha medida adicional a la multa administrativa, y por tanto ORDENAR a Dª A.A.A., la suspensión total de todo tratamiento de datos personales de C.C.C.. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a Dª A.A.A., con DNI: ***NIF.1 por la infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
  35. a)del RGPD, calificada como muy grave a los efectos de la prescripción en el artículo 72.1.
  36. b)de la LOPDGDD al realizar un tratamiento ilícito de los datos personales de C.C.C. (imágenes), menor de edad, en el momento de producirse los hechos una sanción de 10.000 euros (diez mil euros). SEGUNDO: ORDENAR a Dª A.A.A., la suspensión de todo tratamiento de datos personales relativos C.C.C., así como que informe a esta Agencia en el plazo de un mes, sobre las medidas adoptadas. TERCERO: NOTIFICAR la presente resolución a Dª A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  37. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida Nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.6 de la LOPDGDD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  38. a)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.