PS-00620-2014

1/9 Procedimiento Nº PS/00620/2014 RESOLUCIÓN: R/00884/2015 En el procedimiento sancionador PS/00620/2014, instruido por la Agencia Española de Protección de Datos a D. A.A.A., vista la denuncia presentada por D. C.C.C. y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 8 de agosto de 2014 tiene entrada en esta Agencia un escrito de don C.C.C. (en lo sucesivo el denunciante) en el que denuncia a la empresa SOYLAFIESTA.COM por divulgar a través de su página web y redes sociales fotografías de menores de edad en traje de baño sin que, según expone, se haya recabado para ello el consentimiento de los padres o tutores. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se realizan diversas actuaciones, teniendo conocimiento de que:

1. a)En fecha 12 de agosto por la Inspección de Datos se ha accedido al sitio web http://soylafiesta.es, que opera también con la denominación Soylafiesta.com y en cuyo aviso legal se informa, en particular, de lo siguiente: “Los datos identificativos de la Web www.soylafiesta.es son los siguientes: Empresa: Soylafiesta.com, cuyo dueño es A.A.A. (en lo sucesivo el denunciado), con domicilio en […], y con N.I.F. […]. Protección de Datos: Soylafiesta.com, asegura la confidencialidad de los datos aportados por nuestros clientes, y garantiza que en ningún caso serán cedidos a terceras empresas. Ley de Protección de datos: LOPD: En cumplimiento de lo dispuesto en la Ley Orgánica 15/1999 de 13 de Diciembre, de Protección de Datos de Carácter Personal, cualquier usuario registrado podrá en todo momento ejercitar los derechos de acceso, rectificación, cancelación y oposición, comunicándolo por escrito a la dirección arriba indicada, o la siguiente dirección. info@....... Este sitio web ha sido creado por la empresa Soylafiesta.com con carácter informativo y para uso personal de los usuarios. […]”.
2. b)En la citada fecha se ha verificado que el citado sitio web está vinculado con el perfil de Facebook denominado “Soylafiesta Eventos”, en el que se publican diversas fotografías relacionadas con las actividades lúdicas que comercializa el sitio web, orientadas al público infantil, las cuales son accesibles para cualquier usuario de la red social. Se verifica que gran parte de estas fotografías incluyen la imagen de niños y niñas, algunos en traje de baño. Se verifica asimismo que otras fotografías vinculadas a estas actividades resultan accesibles a través de otro perfil de Facebook asociado al nombre y apellido del propietario del sitio web. TERCERO: Con fecha 7 de noviembre de 2014, el Director de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 Protección de Datos acordó iniciar, procedimiento sancionador al denunciado, por presunta infracción del artículo 6.1 de la LOPD en relación con el art. 13 del Real Decreto 1720/2007, tipificada como grave en el artículo 44.3.
3. b)de dicha norma, pudiendo ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de dicha Ley Orgánica. CUARTO: En fecha 17 y 18 de noviembre de 2014, se intentó la notificación del citado acuerdo de inicio de procedimiento sancionador al denunciado, a través del servicio de Correos y Telégrafos, figurando en el acuse de recibo “Ausente”, siendo devuelta por dicho servicio el 7/12/2014. Con fecha 8 de enero de 2015, se envió al Ayuntamiento de Santa Cristina de Aro una referencia del citado acuerdo, para su exposición en el Tablón de edictos del Ayuntamiento y al Boletín Oficial del Estado, publicándose en este último en fecha 19 de enero de 2015, otorgándose al denunciado plazo para efectuar alegaciones. Con fecha 6 y 9 de marzo de 2015, tuvo entrada en esta Agencia escrito del citado Ayuntamiento, en la que hace constar que el edicto, correspondiente a la notificación del acuerdo del procedimiento sancionador al denunciado, estuvo expuesto en el Tablón de edictos del citado Ayuntamiento del 9 al 29 de enero de 2015. QUINTO: Tras llamada telefónica de la Instructora, el denunciante remite correo electrónico el 16/01/2015 informando de nuevo domicilio. Trasladado dicho escrito a la Secretaria General de esta Agencia, unidad encargada de las notificaciones, le remiten el 21/01/2015, para poder atender su solicitud, modelo normalizado para su firma, solicitando lo devuelva por fax, correo ordinario o electrónico. Sin embargo, en esta Agencia no consta que se hubiera recibido el citado documento convenientemente firmado por el denunciado. SEXTO: Con fecha 9 de marzo de 2015 se inició el período de B.B.B., en el que se acuerda incorporar, entre otras, copia de varias fotografías accesibles a través del perfil en la red social Facebook “Soylafiesta Eventos”, y remitir escrito al denunciado comunicando: <<…A pesar de que el art. 13.2 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, establece que de no efectuar alegaciones sobre el contenido del acuerdo de inicio, podrá ser considerado propuesta de resolución, y teniendo en cuenta la presunta falta continuada de tratamiento de datos de menores sin el consentimiento de sus padres o tutores, por todo ello se acuerda abrir periodo de B.B.B., según lo dispuesto en el artículo 17.1 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora. Se ACUERDA practicar las siguientes pruebas: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por D. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 C.C.C. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección y el Informe de actuaciones previas de Inspección que forman parte del expediente E/04941/2014. 2. Incorporar el procedimiento copia de varias fotografías asociadas al perfil en la red social Facebook “Soylafiesta Eventos”, obtenidas en fecha 9 de marzo de 2015. 3. Solicitar al denunciado A.A.A. que en el plazo de diez días hábiles a la recepción del presente escrito acredite ante esta Agencia que cuenta con el consentimiento de los padres o tutores de los niños cuyas fotografías publican en el citado perfil, “Soylafiesta Eventos”, en el perfil “ A.A.A.” y en el sitio web soylafiesta.es. En caso contrario, que se proceda a difuminar el rostro de los niños o utilizar cualquier otro medio eficaz para que éstos no sean reconocibles, aportando documentación acreditativa al respecto. 4. Teniendo en cuenta la presunta infracción continuada de tratamiento de datos de menores en Internet, así mismo se le traslada copia de los documentos obrantes en el presente procedimiento, copia de las Resoluciones de los procedimientos PS/734/2013, PS/426/2014, A/275/2011 y Sentencia de la Audiencia Nacional de 2/01/2013…>> SÉPTIMO: Con fecha 6/04/2015 se recibe escrito de alegaciones del denunciante en el que comunica, entre otros: <<…
4. b)Mi primera información acerca de la LOPD, fue por el Sr. C.C.C. (Denunciante) quien me ofreció sus servicios como asesor experto en LOPD y cuyo nombre comercial es D.D.D.. Me alerto que una sanción de la LOPD podía arruinarme de por vida, pero que por 200 euros él podría encargarse de todo. Ante esta situación, busque asesoramiento y decidí rechazar sus servicios por considerarlo de escasa ética profesional al intentar ofrecerme sus servicios y simultáneamente amenazarme con una denuncia. El día que le manifesté mi negativa a contratar sus servicios el denunciante me amenazó con denunciarme ante la Agencia Española de Protección de datos.
5. c)A mediados de Agosto 2014 y ante la amenaza recibida, inicié de modo propio la adaptación de mi actividad a la LOPD contratando los servicios de una gestoría registrando mi actividad ante la Agencia Española de Protección de Datos. Documentos Núm. 4 Indicar a esta agencia que por sentido común y responsabilidad, a pesar de no conocer la Ley Orgánica 1/1996, de 15 de enero, de protección jurídica del menor y del artículo 4 Derecho al honor, a la intimidad y a la propia imagen (del menor), siempre he solicitado autorización por escrito de los padres o tutores de los niños que “eventualmente” pudieran aparecer en el muro de facebook de Soylafiesta.com o la página web, con un documento, que si bien no estaba exactamente concebido para la artículo 6.1 de la Ley Orgánica 15/1999, cumple en mi criterio, como un consentimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 para el uso y divulgación de dichas imágenes de los hijos de los firmantes. Documentos desde Núm. 5 al 21 Independientemente a lo anterior, creo oportuno expresar también que la mayoría de imágenes que oportunamente pudieron publicarse eran imágenes “tomadas” y/o “compartidas” en nuestro muro por los mismos padres. Documento Núm. 22
6. d)Que nunca ha existido reclamación o denuncia alguna por parte de padres porque las imágenes que se publicaron fueron siempre con autorización de los mismos.
7. e)Que inmediatamente de recibir la notificación del expediente sancionador el día 15 de marzo y ante la incertidumbre de saber con exactitud a que menores se hacía referencia se procedió a retirar la totalidad de imágenes tanto de la página web como de la página de Facebook (…) 2) Recoger los consentimientos inequívocos de los padres o tutores, modificando el texto de consentimiento anterior para adaptarlo exactamente al artículo 6.1 de la LOPD, a pesar que mi consentimiento anterior recoge claramente la voluntad de los padres de autorizar el uso de las imágenes. Documentos desde Núm. 24 al 87 (…) 5) Efectué revisión de todas y cada una de las fotografías que aparecían menores y que pudiera tener alguna duda sobre su identidad, en la página web soylaflesta.com, en mis perfiles de Facebook antes mencionados, así como el disco duro utilizado para la gestión de mi actividad ,una vez revisado procedí a borrar tanto de la web como de los perfiles de Facebook aquellas personas que por la calidad de la fotografía o por ser efectuadas en lugares públicos no tuviera la total seguridad de poder identificar a los niños y cotejarlo con los consentimientos recabados en su día, manteniendo aquellos que pude comprobar se identificaban y que poseía el correspondiente consentimiento de sus padres o tutores (…) QUINTA. INTENCIONALIDAD Dada la naturaleza de la denuncia y la clara intencionalidad del denunciante D. C.C.C., cuya actividad (indicada en su propia página web) www.lopdmontoliu es la de consultor y auditor en protección de datos, adaptación: formación, auditorias, riesgos, seguridad, para el cumplimiento normativo de la ley. Documento Núm.90 El denunciante no es un afectado (ya que no aparece fotografía de ningún hijo suyo), la denuncia fue motivada por “no ceder a su presión para contratar sus servicios de asesoría” (…) Queda en evidencia la manifiesta voluntad del denunciante de ganar notoriedad pública mediante denuncias como estas en internet, y como prueba de ello es la publicación que realiza en su muro de Facebook, donde con fecha 17 de noviembre 2014 ha publicado “AVISO IMPORTANTE A PADRES, TUTORES, ETC. SE CONFIRMA LA SANCIÓN ANTE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS CON NUM. DE RESOLUCIÓN PS/00620/2014, CONTRA LA EMPRESA SOYLAFIESTA.COM COMO INFRACCIÓN EN ART. 6.1 EN RELACIÓN C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 AL ART. 13.1 Y TIPIFICADA COMO FALTA GRAVE DEL ART. 44.3.b DICHA EMPRESA DE DEDICABA A RECABAR IMAGENES DE MENORES EN BAÑADOR EN RECINTOS PRIVADOS SIN RECABAR EL CONSENTIMIENTO DE LOS AFECTADOS CONFORME A LO DISPUESTO Y SUS DISPOSICIONES DE DESARROLLO PUDIENDO SER SANCIONADO CON MULTA DE 40.000,1€ A 300.000€. SI CUALQUIER PERSONA, PADRE O TUTOR DE ALGÚN MENOR CREE QUE ESTÁN REALIZANDO MAL USO DE SUS DATOS EN ALGUNA EMPRESA SEPAN QUE LA AGENCIA DE PROTECCION DE DATOS ESTA PARA REALIZAR INSPECCIONES DE ESTA GRAVEDAD Y SANCIONAR A LOS QUE INCUMPLEN LA LEY”. Documento Núm. 92…>> OCTAVO: Con fecha 8/04/2015 se formuló propuesta de resolución, en el sentido de que el Director de la Agencia Española de Protección de Datos exonere de responsabilidad al denunciado, por los hechos imputados en el presente procedimiento sancionador. NOVENO: Con fecha 22/04/2015 tiene entrada en esta Agencia escrito del denunciado, remitido por correo electrónico, de alegaciones frente a la citada propuesta de resolución en el que comunica su total conformidad con la misma. HECHOS PROBADOS PRIMERO: Con fecha de 8 de agosto de 2014 tiene entrada en esta Agencia un escrito del denunciante en el que denuncia a la empresa SOYLAFIESTA.COM por divulgar a través de su página web y redes sociales fotografías de menores de edad en traje de baño sin que, según expone, se haya recabado para ello el consentimiento de los padres o tutores (folios 1 a 6). SEGUNDO: En fecha 12 de agosto por la Inspección de Datos se ha accedido al sitio web http://soylafiesta.es, que opera también con la denominación Soylafiesta.com y en cuyo aviso legal se informa, en particular, de lo siguiente: “Los datos identificativos de la Web www.soylafiesta.es son los siguientes: Empresa: Soylafiesta.com, cuyo dueño es A.A.A. (en lo sucesivo el denunciado), con domicilio en […], y con N.I.F. […]. Protección de Datos: Soylafiesta.com, asegura la confidencialidad de los datos aportados por nuestros clientes, y garantiza que en ningún caso serán cedidos a terceras empresas. Ley de Protección de datos: LOPD: En cumplimiento de lo dispuesto en la Ley Orgánica 15/1999 de 13 de Diciembre, de Protección de Datos de Carácter Personal, cualquier usuario registrado podrá en todo momento ejercitar los derechos de acceso, rectificación, cancelación y oposición, comunicándolo por escrito a la dirección arriba indicada, o la siguiente dirección. info@....... Este sitio web ha sido creado por la empresa Soylafiesta.com con carácter informativo y para uso personal de los usuarios. […]” (folios 9 a 12). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 TERCERO: En la citada fecha (12/08/2014) se ha verificado que el citado sitio web está vinculado con el perfil de Facebook denominado “Soylafiesta Eventos”, en el que se publican diversas fotografías relacionadas con las actividades lúdicas que comercializa el sitio web, orientadas al público infantil, las cuales son accesibles para cualquier usuario de la red social. Se verifica que gran parte de estas fotografías incluyen la imagen de niños y niñas, algunos en traje de baño. Se verifica asimismo que otras fotografías vinculadas a estas actividades resultan accesibles a través de otro perfil de Facebook asociado al nombre y apellido del propietario del sitio web (folios 13 a 30). CUARTO: El denunciado ha alegado que nunca ha existido reclamación o denuncia alguna por parte de padres porque las imágenes que se publicaron fueron siempre con autorización de los mismos. En esta Agencia no figura más denuncia que la que ha dado origen al presente procedimiento sancionador (folio 363) QUINTO: El denunciado, en periodo de pruebas, ha remitido más de 80 documentos donde los padres o tutores de niños prestan el consentimiento para el uso de sus imágenes (folios 153 a 330). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
8. g)en relación con el artículo 36 de la LOPD. II El artículo 6.1 de la LOPD señala: “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. El artículo 6.2, por su parte, establece que “no será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado.” De acuerdo con el criterio mantenido por la Audiencia Nacional, al tratamiento de datos de carácter personal en Internet le resulta de aplicación la normativa española de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 protección de datos. En particular, resulta relevante la sentencia de 20/04/2009 (recurso 561/2007), donde el órgano judicial aplica los fundamentos de la sentencia de 7/11/2003, del Tribunal de Justicia de la Unión Europea (caso Lindqvist. Asunto C101/01), al entender que “la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones constituye un «tratamiento total o parcialmente automatizado de datos personales» en el sentido del artículo 3, apartado 1, de la Directiva 95/46." III Por otra parte, el artículo 13 del Reglamento de desarrollo de la LOPD señala: “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”, que al regular en su artículo 13 el consentimiento para el tratamiento de datos de menores de edad, establece: “1. Podrá procederse al tratamiento de los datos de los mayores de catorce años con su consentimiento, salvo en aquellos casos en los que la Ley exija para su prestación la asistencia de los titulares de la patria potestad o tutela. En el caso de los menores de catorce años se requerirá el consentimiento de los padres o tutores. 2. En ningún caso podrán recabarse del menor, datos que permitan obtener información sobre los demás miembros del grupo familiar, o sobre las características del mismo, como los datos relativos a la actividad profesional de los progenitores, información económica, datos sociológicos o cualesquiera otros, sin el consentimiento de los titulares de tales datos. No obstante, podrán recabarse los datos de identidad y dirección del padre, madre o tutor con la única finalidad de recabar la autorización prevista en el apartado anterior. 3. Cuando el tratamiento se refiera a datos de menores de edad, la información dirigida a los mismos deberá expresarse en un lenguaje que sea fácilmente comprensible por aquéllos, con expresa indicación de lo dispuesto en este artículo. 4. Corresponderá al responsable del fichero o tratamiento articular los procedimientos que garanticen que se ha comprobado de modo efectivo la edad del menor y la autenticidad del consentimiento prestado en su caso, por los padres, tutores o representantes legales.” IV El artículo 44.3.
9. b)de la LOPD, en su vigente redacción aprobada por Ley 2/2011, de 4 de marzo, de Economía Sostenible, tipifica como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. En el caso analizado, se ha aportado por el denunciado copia de numerosos documentos, fechados casi todos a partir del mes de febrero de 2014, si bien algunos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 corresponden al año 2013, en los que los firmantes, que acompañan copia de su DNI, consienten expresamente que la imagen fotográfica de sus hijos, captada en el contexto de los eventos organizados por SOYLAFIESTA, sea publicada tanto en el sitio web como en el perfil Facebook del denunciado. No se ha recibido, por otra parte, denuncia alguna de ningún afectado que permita contradecir las manifestaciones del denunciado o poner en duda la citada documentación. En consecuencia, no puede considerarse incumplido el principio de consentimiento regulado en el artículo 6 de la LOPD, no resultando acreditada la comisión de una infracción tipificada como grave en el trascrito artículo 44.3.
10. b)de la citada Ley Orgánica. Al Derecho Administrativo Sancionador, por su especialidad, le son de aplicación, con alguna matización pero sin excepciones, los principios inspiradores del orden penal, resultando clara la plena virtualidad del principio de presunción de inocencia. En tal sentido, el Tribunal Constitucional, en Sentencia 76/1990 considera que el derecho a la presunción de inocencia comporta “que la sanción esté basada en actos o medios probatorios de cargo o incriminadores de la conducta reprochada; que la carga de la prueba corresponda a quien acusa, sin que nadie esté obligado a probar su propia inocencia; y que cualquier insuficiencia en el resultado de las pruebas practicadas, libremente valorado por el órgano sancionador, debe traducirse en un pronunciamiento absolutorio”. De acuerdo con este planteamiento, el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC), establece que “Sólo podrán ser sancionados por hechos constitutivos de infracción administrativa las personas físicas y jurídicas que resulten responsables de los mismos aun a título de simple inobservancia.” Asimismo, se debe tener en cuenta, en relación con el principio de presunción de inocencia lo que establece el art. 137 de LRJPAC: “1. Los procedimientos sancionadores respetarán la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” En definitiva, la aplicación del principio de presunción de inocencia impide imputar una infracción administrativa cuando no se haya obtenido y comprobado la existencia de una prueba de cargo acreditativa de los hechos que motivan esta imputación. Por todo ello, procede el archivo de las presentes actuaciones. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: EXONERAR de responsabilidad a D. A.A.A. imputados en el presente procedimiento sancionador. A.A.A., por los hechos SEGUNDO: NOTIFICAR la presente resolución a D. A.A.A. y a D. C.C.C.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 TERCERO: De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es