← España

PS-00652-2022

1/102  Expediente N.º: EXP202212877 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR...............................................1 ANTECEDENTES..........................................................................................................3 PRIMERO:.................................................................................................................3 SEGUNDO:................................................................................................................ 3 TERCERO:................................................................................................................. 3 3.1.- Medida cautelar de retirada urgente de contenido a la parte reclamada.........3 3.2.- Requerimiento de información a MEDIASET ESPAÑA COMUNICACIÓN S.A. ............................................................................................................................... 4 3.3.- Incorporación de información y documentación a las actuaciones de inspección............................................................................................................... 5 CUARTO: Volumen de negocio..................................................................................5 QUINTO: Acuerdo de inicio de procedimiento sancionador........................................5 SEXTO: Alegaciones al Acuerdo de Inicio..................................................................5 Primera.- CONDUCTA DILIGENTE. FALTA DE ANTIJURICIDAD...........................6 Segunda. - SANCIÓN TOTALMENTE DESPROPORCIONADA...........................12 Tercera.- Solicitud de prueba................................................................................19 SÉPTIMO: Práctica de prueba.................................................................................19 OCTAVO: Alegaciones complementarias al Acuerdo de Inicio..................................23 Primera. - Negligencia previa de terceros.............................................................24 Segunda.- Diligencia del medio de información....................................................25 Tercera.- Ausencia de responsabilidad de ‘Público’..............................................26 NOVENO: Propuesta de Resolución........................................................................27 DÉCIMO: Respuesta a las alegaciones al acuerdo de inicio....................................27 PRIMERA.- Sobre la conducta diligente de DISPLAY y la falta de antijuridicidad. 27 SEGUNDA. - Sanción desproporcionada..............................................................33 TERCERA.- Ausencia de culpabilidad y antijuridicidad de DISPLAY. Datos ficticios ............................................................................................................................. 40 DÉCIMOPRIMERA: Alegaciones a la Propuesta de Resolución..............................43 1. Vulneración del principio de responsabilidad:...................................................43 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/102 2. Vulneración del principio de proporcionalidad:..................................................48 3. Vulneración del principio de tipicidad................................................................59 HECHOS PROBADOS................................................................................................59 PRIMERO:............................................................................................................... 59 SEGUNDO:.............................................................................................................. 60 TERCERO:............................................................................................................... 60 CUARTO:................................................................................................................. 62 QUINTO:.................................................................................................................. 63 SEXTO:.................................................................................................................... 64 SÉPTIMO:................................................................................................................ 65 OCTAVO:.................................................................................................................. 66 NOVENO:................................................................................................................. 67 DÉCIMO:.................................................................................................................. 68 DECIMOPRIMERO:.................................................................................................77 DECIMOSEGUNDO:................................................................................................78 FUNDAMENTOS DE DERECHO.................................................................................78 I Competencia.......................................................................................................... 78 II Síntesis de los hechos...........................................................................................79 III Respuesta a las alegaciones a la Propuesta de Resolución................................79 1. Vulneración del principio de responsabilidad....................................................79 2. Vulneración del principio de proporcionalidad...................................................84 3. Vulneración del principio de tipicidad................................................................93 IV Derecho a la protección de datos.........................................................................93 V Derecho de información........................................................................................94 VI Límites al Derecho Fundamental a la Libertad de Información............................95 VII Equilibrio entre el Derecho Fundamental a la Libertad de Información y el Derecho Fundamental a la Protección de Datos de Carácter Personal....................97 VIII Obligaciones del responsable del tratamiento....................................................99 IX Tipificación y calificación de la infracción.............................................................99 X Sanción de la infracción......................................................................................100 De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/102 ANTECEDENTES PRIMERO: Con fecha 21 de abril de 2022, la DELEGACIÓN DEL GOBIERNO CONTRA LA VIOLENCIA DE GÉNERO (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos (en adelante, AEPD). La reclamación se dirige, ente otros, contra DISPLAY CONNECTORS, S.L. con NIF B65749715 (en adelante, la parte reclamada o DISPLAY). Los motivos en que basa la reclamación son los siguientes: La parte reclamante informaba de la publicación en distintos medios de comunicación de una noticia ilustrada con un vídeo en el que aparecen imágenes (segundos 21 a 24) de una pantalla de ordenador en la que se visualiza una hoja de Excel con los datos personales de 56 mujeres registradas en el sistema VioGén como víctimas de violencia de género y distintas clasificaciones en función de sus circunstancias concretas. La parte reclamante facilitaba los enlaces a las noticias publicadas en los sitios web de los medios reclamados, entre los que se encontraba el siguiente enlace: - ***URL.1 SEGUNDO: Con fecha 22 de abril de 2022, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se admitió a trámite la reclamación presentada por la parte reclamante. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: 3.1.- Medida cautelar de retirada urgente de contenido a la parte reclamada. Durante las actuaciones de investigación se constató que la parte reclamada publicó el vídeo en el que se visualizaban datos personales de mujeres registradas en el sistema VioGen en el siguiente enlace: - ***URL.1 Con fecha 22 de abril de 2022 se dirigió medida cautelar de retirada urgente de contenido a la parte reclamada, donde se le requería la retirada urgente del video tanto de la dirección web antes señalada como de cualquier otra dirección relacionada con la entidad, así como la comunicación a esta Agencia del cumplimiento de esta medida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/102 No se recibe respuesta por parte de la reclamada a la orden de retirada urgente del contenido y, por tanto, no da respuesta a lo solicitado en el punto 3 de la citada orden, en la que le indicábamos lo siguiente: “3. - Requerir a DISPLAY CONNECTORS, S.L para que informe a esta Agencia Española de Protección de Datos acerca de la ejecución de la medida. “ No obstante, queda constatada por esta AEPD la retirada del contenido. 3.2.- Requerimiento de información a MEDIASET ESPAÑA COMUNICACIÓN S.A. Con fecha 3 de octubre de 2022 se realizó requerimiento de información a MEDIASET ESPAÑA COMUNICACIÓN S.A (en adelante, MEDIASET), toda vez que de ella depende la Agencia Atlas, en el que se solicitaba, entre otras cuestiones: - La razón social de todos los clientes a los que se cedió el video, con indicación de si la publicación en sus portales web se hacía o no de forma automática. - Los acuerdos o contratos de contenidos bajo los que se cedió el video. Con fecha 13 de octubre de 2022 se recibió respuesta de MESIASET al requerimiento de información anterior, indicando en el mismo, entre otras cuestiones, lo siguiente: - Afirma que puso el video a disposición de sus clientes el día 31 de marzo de 2022. - Afirma que la publicación en los medios digitales no es automática: MEDIASET pone el contenido a disposición de los clientes y ellos deciden si se lo descargan o no. - Afirma que MEDIASET tiene como cliente a DISPLAY CONNECTORS, S.L Adjunta contrato de prestación de servicios y cesión de derechos suscrito el ***FECHA.1 entre MEDIASET ESPAÑA COMUNICACIÓN, S.A. y DISPLAY CONNECTORS, S.L, del que se destaca lo siguiente: En el punto 2 del citado contrato se indica “Que DISPLAY está interesada en que se le preste un servicio de suministro de imágenes de contenido informativo para su comunicación pública a través de su página web www.publico.es, o cualquier otra que, con idéntico objeto, le sustituyera”. Asimismo, en la Cláusula Cuatro “Características” se indica que “Los vídeos que se suministren a DISPLAY en ejecución de este contrato, se llevarán a cabo según lo establecido a continuación: 4.1 CONTENIDO: Cualquier evento de interés informativo de producción de MEDIASET ESPAÑA o de producción de Reuters y que tenga lugar en territorio nacional o internacional y que haya sido digitalizado por MEDIASET ESPAÑA será incorporado en la relación diaria a la que DISPLAY tendrá acceso y de entre los cuales seleccionará los vídeos objeto de este contrato C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/102 4.3. …el material será entregado por MEDIASET a DISPLAY a través de su página web ***URL.1o a través de un buzón FTP corriendo a cargo de MEDIASET los gastos de entrega de los videos.” “…MEDIASET se compromete al servicio suministro de e-news para su reproducción y comunicación pública por parte de DISPLAY a través de su página web”. 3.3.- Incorporación de información y documentación a las actuaciones de inspección. Con fecha 6 de marzo de 2023 se incorporaron a las actuaciones de inspección: - - La Política de Privacidad, que es parte integrante del AVISO LEGAL de la Web www.publico.es (en adelante, el Sitio Web), en la que se indica o o “Se detalla a continuación la información y los datos personales que DISPLAY CONNECTORS, S.L. recopila de los Usuarios, cuando se registran y/o acceden al Sitio Web y/o a los perfiles en Redes Sociales del diario PÚBLICO, y utilizan los servicios que se ofrecen en los mismos, así como las finalidades para las que DISPLAY CONNECTORS, SL. puede tratar dicha información y los terceros a los que se podrá comunicar la misma y bajo qué condiciones (…) (…) Se podrán ejercitar los derechos de acceso, rectificación, supresión y, en su caso, oposición, portabilidad y limitación del tratamiento, indicando la Referencia: “Protección de Datos”, en la dirección de DISPLAY CONNECTORS, S.L C/Gran Vía 30, planta 5ª 28013, Madrid; o bien por email en gdpr@publico.es” CUARTO: Volumen de negocio De acuerdo con el informe recogido de la herramienta AXESOR, la entidad DISPLAY CONNECTORS, S.L. es una empresa de tamaño mediano constituida en el año 2012, y con una cifra de negocios de (…) euros en el año 2021 y de (…) euros en el año 2022. QUINTO: Acuerdo de inicio de procedimiento sancionador Con fecha 17 de abril de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a DISPLAY CONNECTORS, S.L, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.

  1. c)del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: Alegaciones al Acuerdo de Inicio Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/102 Primera.- CONDUCTA DILIGENTE. FALTA DE ANTIJURICIDAD Dentro de este apartado, alega DISPLAY (en adelante bajo la reseña de “Público” utilizada por DISPLAY en su escrito de alegaciones) varias cuestiones: 1. ‘Público’ actuó con la diligencia mínima exigible a un medio de información digital. Indica que ‘Público’ se limitó a publicar una video-noticia proporcionada por un proveedor de contenido informativo, como es la agencia de noticias ATLAS, perteneciente a uno de los grupos españoles (y europeos) de comunicación más importantes, como es el Grupo MEDIASET. Así, indica que ‘Público’ actuó bajo el principio de la confianza hacia su proveedor, como hacen todos los medios con cualquier agencia de contenidos de prestigio, como es el caso de ATLAS. Como clientes, ‘Público’ tenía un contrato suscrito con este proveedor en virtud del cual la agencia le garantizaba que se hacía responsable de cumplir con la legislación y normativas vigentes en relación con todos los contenidos que suministraba a sus clientes. Reseña asimismo que ‘Público’ no realizó un tratamiento específico de unos datos personales, sino que actuó confiando en una agencia de reconocido prestigio que le facilitó las imágenes que, con arreglo al contrato, tenía la garantía de que no infringían ningún derecho de tercero o normativa de aplicación. Acompaña como Documento núm. 1 copia del contrato suscrito con ATLAS, de cuyo contenido, indica que merecen ser destacados los siguientes extremos: ● En el expositivo 3: “Que MEDIASET ESPAÑA, como entidad dedicada a las actividades propias de una agencia de noticias, cuenta con los conocimientos y medios técnicos y humanos necesarios para la prestación del servicio de suministro imágenes de contenido informativo dentro del entorno de Internet, requeridos por DISPLAY, así como para realizar la correspondiente cesión de derechos” ● Y en el último párrafo de la estipulación 5ª: “MEDIASET ESPAÑA garantiza que es legítima titular de los derechos que cede a DISPLAY en virtud del presente contrato, garantizando el ejercicio pacífico por parte de DISPLAY durante la vigencia del presente contrato. En consecuencia, MEDIASET ESPAÑA mantendrá indemne a DISPLAY ante cualquier reclamación recibida de cualquier tercero en relación con los derechos cedidos por el presente contrato” Señala, por tanto que con esa seguridad de que MEDIASET mantendría indemne –sin daño alguno- a DISPLAY CONNECTORS, S.L. ante reclamaciones de terceros, y bajo ese principio de confianza al trabajar con una de las mayores agencias de vídeos de nuestro país que pertenece a un grupo que es, a su vez, uno de los mayores grupos de comunicación audiovisual europeos, ‘Público’ contrató con ese proveedor, haciendo el esfuerzo económico que representa el pago de la remuneración pactada, precisamente valorando la fiabilidad y garantía de sus contenidos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/102 Concluye que es fruto de esta seguridad y de esa confianza plena en el proveedor, por lo que en ‘Público’ se determinó la publicación automática de estos vídeos de la Agencia ATLAS, criterio que no se aplicaba a los contenidos procedentes de otros proveedores, que podían ser previamente seleccionados o revisados por personal de ‘Público’. 2. Concurrencia de actuaciones negligentes previas de terceros: Señala DISPLAY que con arreglo al contrato firmado, la agencia ATLAS pone a disposición sus contenidos para todos sus clientes (entre los que se encuentra el diario ‘Público’) con la finalidad de que sean publicados y difundidos por los medios y, por tanto, no es un mero intermediario que facilita los archivos de terceros, sino que la mayoría de los vídeos que entrega son producciones completas realizadas por ATLAS o también por la agencia de noticias Reuters, tal y como establece la estipulación primera. Indica, por ello que ATLAS no facilita ni imágenes en bruto (secuencias de imágenes y sonidos de recursos) ni totales en bruto (secuencias de declaraciones de personas), para que los medios de comunicación editen sus propios vídeos con sus propios criterios de selección de imágenes y sonidos, sino que ATLAS entrega ‘vídeos finales’, destinados a su directa publicación y difusión y que no deben ser revisados ni modificados por el diario antes de su publicación (aunque el contrato lo permita bajo la exclusiva responsabilidad del medio), porque para eso se contrata y por eso se paga a la agencia, que provee el vídeo que entrega ya producido y totalmente terminado, editado, locutado y rotulado, con un guion que la propia agencia ATLAS (o Reuters) determina, y con la información para ser inmediatamente publicado. Por tanto, concluye DISPLAY, el fin último del proveedor con estos vídeos no es el de simplemente facilitarlos a sus clientes, sino que los vídeos tienen como objetivo final que sean publicados y difundidos directamente por los medios, sin que fuera precisa ninguna modificación por parte del cliente, como se deduce claramente de la estipulación 4ª del contrato, relativa a las “Características” de los vídeos. Indica que ‘Público’ incluía de forma automática los videos de ATLAS en el apartado de videos de su web, confiando en el contenido proporcionado por la agencia; pero resultó que tal contenido no era legal porque, antes de la publicación del vídeo en la web de ‘Público’, se sucedieron los siguientes hechos negligentes, absolutamente determinantes de la infracción de la normativa de protección de datos que aquí se pretende sancionar, y completamente ajenos a ‘Público’: - En primer lugar, y según se nos dice en el acuerdo de inicio (apartado VI, pág. 9), se realizó la grabación de la secuencia de imágenes de la pantalla del ordenador de un agente de la Guardia Civil de ***LOCALIDAD.1 durante una entrevista que realizó un periodista, hemos de suponer que de la agencia ATLAS, titular originaria de las imágenes. Ello supone que, durante una entrevista y mientras era consciente de que estaba siendo grabado/a por una cámara de televisión cercana (dado el plano corto de la toma de las imágenes), el o la Agente de la Guardia Civil tenía en la pantalla abierto el archivo Excel donde se recogían los datos de la base “VioGén” y estaba haciendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/102 “scroll” en el mismo, siendo evidente que los datos personales contenidos en ese archivo serían capturados por la cámara de televisión y, por tanto, grabados. Entiende DISPLAY que lo anterior es la primera y más importante negligencia en este asunto, pues sin esta primigenia actuación no se habría desvelado ningún dato personal, los cuales estaban –no se olvide- a cargo, como responsable del tratamiento, del Ministerio del Interior, siendo la Secretaría de Estado de Seguridad del referido Ministerio la creadora y responsable del Sistema de Seguimiento Integral en los casos de Violencia de Género (Sistema VioGén). Señala DISPLAY que, es más, el sistema VioGen utiliza con finalidades formativas un simulador con bases de datos ficticios, que no corresponden a datos de personas reales, lo que pudiera ser el caso de las imágenes incluidas por ATLAS en su video noticia, y explicaría el nulo celo con el que actuó el o la agente de la Guardia Civil que permitió que se grabara el contenido que mostraba su pantalla de ordenador. Por ello, lo primero que debería confirmarse plenamente, antes de continuar la instrucción, es si los datos que figuraban en la pantalla que fue grabada por la cámara contenía efectivamente datos de víctimas reales de violencia de género o era solamente un simulador con datos personales ficticios. - En segundo término, reseña DISPLAY que el equipo de producción de la agencia ATLAS que se encargó de seleccionar las imágenes, montarlas, rotularlas y locutarlas con el guion de la propia agencia, es el último responsable de que fueran incluidas durante 4 segundos del video noticia las imágenes que –por una negligencia previa del agente de la Guardia Civil- contenían datos personales obrantes en la base de datos de “VioGén”. Entiende por tanto que, sin esta segunda negligencia, sumada a la primera, tampoco se habría podido divulgar en la web de ‘Público’ ningún dato personal, toda vez que no es ‘Público’ quien buscó la información, ni quien descuidó que los datos no fueran accesibles a la cámara de televisión, ni tampoco quien grabó la imagen, ni mucho menos quien insertó la imagen en la video noticia que, insistimos, se le vendió como producto terminado totalmente listo para su publicación. 3. Actuación plenamente diligente de ‘Público’: publicación automática y retirada inmediata: Señala DISPLAY que en el normal desarrollo de su actividad –consistente en el legítimo derecho fundamental a publicar información veraz de interés general- ‘Público’ se limitó a confiar en la reputada agencia de video noticias ATLAS para adquirir sus vídeos terminados y preparados para su inmediata publicación (con la garantía de ser mantenida indemne frente a las reclamaciones que terceros pudieran hacer en relación con ellos), y a adoptar un sistema automático de publicación de los vídeos, basado en el principio de confianza en el proveedor como fuente fiable de información, ya mencionado en el apartado 1 anterior, al que nos remitimos. Así, el acuerdo de inicio considera que “Según lo especificado en el contrato de cesión de contenidos entre DISPLAY CONNECTORS S.L. el procedimiento de entrega de noticias entre ellos consiste en que las noticias son ubicadas por MEDIASET en la web de la Agencia Atlas o bien en un buzón FTP, siendo la otra parte del contrato la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/102 encargada de acceder a tales sitios y seleccionar aquellos contenidos que fueran de su interés, para posteriormente publicarlos en su medio”. Sin embargo, entiende la DISPLAY que no es cierto que seleccionara determinados contenidos de su interés para publicarlos en el digital ‘Público’, sino que estaba determinado un sistema totalmente automático de publicación de todos los vídeos de ATLAS, del que era conocedor D. A.A.A., como responsable de la sociedad ***EMPRESA.1., entidad contratada por ‘Público’ para la prestación de determinados servicios relacionados con el funcionamiento de sus servidores y su página web. Dicho sistema automático consistía en el siguiente proceso de importación de vídeos de agencia ATLAS en la página web de ‘Público’: “1. (…) 2. (…) 3. (…) Acompaña DISPLAY un certificado firmado por D. A.A.A. relativa al proceso automático de vídeos que se utilizaba en 2022 para publicar los vídeos que se obtenían del servidor de la agencia ATLAS (Documento núm. 2) Asimismo, y como prueba de este proceso automático, aporta DISPLAY (como Documento núm. 2.bis) copia de la Sentencia (...) en un procedimiento de vulneración del derecho al honor y la propia imagen seguido contra DISPLAY CONNECTORS, S.L., precisamente por la publicación de un vídeo de ATLAS en el que, por error, aparecía la imagen del demandante ((...)) durante cuatro segundos, en una noticia en la que se le identificaba con el asesino (…). Indica DISPLAY que el caso guarda toda clase de similitudes con el presente, aunque en un ámbito distinto (como es el civil para la protección del honor y la propia imagen), pero lo relevante es que ya en aquel procedimiento se hizo valer por DISPLAY CONNECTORS, S.L. el sistema automático de publicación de los vídeos de la agencia ATLAS, llegando a declarar en el acto del juicio el Sr. A.A.A., como se hace constar en el fundamento de derecho sexto de la resolución (pág. 9), donde la Juez afirma: “El testigo Sr. A.A.A., responsable de la entrega y descarga de las noticias provenientes de la agencia Altas en la página Web de Público, manifestó que todo el proceso es automático”. Asimismo, indica que desde ‘Público’ se actuó con total diligencia para la retirada del vídeo en el preciso momento en el que la propia agencia ATLAS comunicó al diario que aquel contenía imágenes ilegales: - El lunes 25 de abril de 2022, a las 11:28 horas (seguramente después de recibir la notificación de medida cautelar urgente cursada por la AEPD), D. B.B.B., como ***CARGO.1, remitió un correo electrónico a ‘Público’ solicitando la retirada del vídeo de la información en cuestión de las publicaciones del diario y de sus servidores, aduciendo que el vídeo contenía “imágenes que no se pueden emitir”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/102 Indica a continuación que diario ‘Público’ eliminó el vídeo inmediatamente, y 18 minutos después confirmó a la agencia ATLAS que el vídeo había sido eliminado de los servidores del diario completamente. (Aporta copia de ambos correos como Documento núm. 3) Señala DISPLAY que, cuando ‘Público’ recibió el 29 de abril de 2022 el requerimiento de la AEPD de medida cautelar urgente para la retirada del vídeo en cuestión, el vídeo ya había sido retirado por el diario de sus servidores hacía una semana, a requerimiento de la propia agencia ATLAS, lo que evidencia la diligencia y celeridad de DISPLAY CONNECTORS, S.L. para retirar las imágenes de ATLAS en cuanto tuvo noticia de su ilegalidad. Explica por ello que no se contestara a la AEPD porque la medida cautelar cuyo cumplimiento se interesaba ya había sido cumplida con anterioridad a recibir el requerimiento de la Agencia Estatal. Añade que, además de lo anterior, a partir del 11 de mayo de 2023, a la vista de esta y de otras incidencias relacionadas con los vídeos proporcionados por ATLAS (que dieron lugar a la demanda judicial antes referida y a otra sanción impuesta por la AEPD a ‘Público’ –en el expediente PS/00194/2022- también por la publicación de unas vídeo noticias), se decidió por la dirección del diario modificar el sistema de publicación automática de video noticias de la agencia ATLAS y establecer un sistema manual, para evitar la publicación de vídeos con contenido potencialmente ilegal y problemático. Adjunta como Documento núm. 4 capturas de imágenes que indica son comunicaciones cursadas por la dirección de ‘Público’ (Doña C.C.C., como ***CARGO.2’) y la contestación dada por el Sr. A.A.A. –de la sociedad ***EMPRESA.1., para desactivar el proceso automático de publicación de los vídeos de Atlas. Concluye Display que, por tanto, no se aprecia ningún género de negligencia en la actuación del medio digital expedientado, por lo que no resulta merecedor de sanción alguna, a la vista de las circunstancias del caso. Reseña el artículo 130.1 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, indicando que consagró la introducción en el Derecho administrativo sancionador del elemento subjetivo del ilícito, que ha de concurrir en todo caso para que un comportamiento, típico y antijurídico, pueda calificarse como infracción administrativa. Continúa indicando que la actualmente vigente Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, en su artículo 28 establece lo siguiente: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Indica asimismo que esa exigencia de dolo o, cuando menos, culpabilidad en el ámbito de los ilícitos administrativos, se reitera hasta la saciedad por la jurisprudencia del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/102 Tribunal Supremo, reseñando a continuación varias Sentencias del citado Tribunal, así como del Tribunal Constitucional. Señala DISPLAY que, por aplicación de la doctrina constitucional invocada, que ha sido observada por esta misma AEPD en sus resoluciones (como es ejemplo la dictada en el expediente nº E/01654/2012), resulta inequívoca la aplicabilidad en el procedimiento administrativo sancionador del principio “nullum crimen sine culpa”, que resulta flagrantemente vulnerado en el Acuerdo. Concluye DISPLAY que, acreditada la buena fe con la que ha actuado, confiando al publicar el vídeo en la información facilitada por una agencia de reconocido prestigio perteneciente a un grupo de comunicación de primer orden en Europa, en virtud del contrato que las une, y retirando de manera inmediata el vídeo de sus servidores al tener conocimiento de la posible ilegalidad de su contenido, no concurre, por ende, el elemento culpabilístico esencial en toda actuación susceptible de sanción, por lo que esta parte entiende improcedente la imposición de sanción alguna. c Segunda. - SANCIÓN TOTALMENTE DESPROPORCIONADA Alega DISPLAY, de forma subsidiaria, para el supuesto de que se considerase que su conducta sí resulta antijurídica, la total desproporción del importe de la sanción que contempla el Acuerdo de Inicio (300.000 euros), atendidas las circunstancias del caso, toda vez que: - La sanción es desmesurada en relación con la facturación y resultados económicos de la expedientada; - La AEPD aprecia incorrectamente las circunstancias agravantes consideradas para cuantificar la sanción; - Y la AEPD, además de lo anterior, no considera otras circunstancias atenuantes que deberían de haberse apreciado a la hora de calibrar la sanción propuesta. Así, entiende que: 1.- Sanción desmedida en relación a los resultados de la actividad de DISPLAY CONNECTORS, S.L. Señala DISPLAY que el art. 85.3 RGPD establece un criterio de cuantificación de sanciones económicas para infracciones consideradas muy graves de hasta un máximo de la elevadísima cantidad de 20.000.000 de euros o “tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. Es decir, la norma establece un máximo para las sanciones de infracciones muy graves de 20 millones de euros o, si fuera superior, el 4 por 100 de la cifra de negocios del ejercicio anterior. Así, señala que en el caso de DISPLAY el volumen de negocio durante el ejercicio 2021 ascendió a la cantidad de ***CANTIDAD.1 euros, según resulta de las Cuentas Anuales depositadas en el Registro Mercantil (se acompaña como Documento núm. 5). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/102 De esta manera, concluye que uno de los límites máximos para sancionar a DISPLAY que se ha de considerar con arreglo al referido art. 85.3 RGPD es la cantidad de ***CANTIDAD.2 euros, importe resultante de aplicar el 4 por 100 a la cifra de negocio de la sociedad expedientada durante el ejercicio 2021, anterior a los hechos que se pretenden sancionar. Continúa señalando que la sanción que se propone representa nada menos que el X,XX% de la cifra total de negocio del ejercicio 2021 y teniendo en cuenta que el resultado del referido ejercicio fueron unas pérdidas de ***CANTIDAD.3 euros, y que constan unas pérdidas acumuladas de ***CANTIDAD.4 euros, resulta que la imposición de una sanción que supone un XXX% de las pérdidas del ejercicio anterior, podría fácilmente llevar a DISPLAY a una situación de insolvencia actual que la avocara a su liquidación, al cese de su actividad y a la pérdida de los 55 puestos de trabajo que en la actualidad emplea. Además, menciona el escasísimo rendimiento que obtuvo ‘Público’ de la publicación del vídeo en cuestión, indicando lo siguiente: ● El vídeo se publicó en el apartado de vídeos de la web del diario, que se surtía automáticamente de los 20 vídeos diarios que proporcionaba ATLAS, pero no se le dio ninguna relevancia especial, ni se divulgó en ninguno de los otros canales de comunicación que utiliza ‘Público’ en redes sociales, tales como YouTube, Instagram, Facebook o Twitter, en los que ni siquiera se puso el vídeo a disposición de los lectores o usuarios; ● La consecuencia de lo anterior es que el vídeo objeto de este expediente tuvo única y exclusivamente 385 visualizaciones durante todo el tiempo que estuvo publicado, conforme a la información proporcionada por la herramienta Google Analytics que registra el número de vistas de la página donde se publicó (385 frente a un total de (…) páginas vistas del total del diario en el mismo período, es decir una cifra absolutamente insignificante). Se adjunta como Documento núm. 6 la información sobre la difusión del vídeo desde que fue publicado hasta su retirada, que obra en los archivos de Google Analytics –los cuales se dejan designados a efectos probatorios, para el caso de que no se entienda acreditada tal difusión-, que evidencia el escaso número de visualizaciones de la video noticia de la que trae causa este expediente. ● Se adjunta asimismo como Documento núm. 7 la información que proporciona Google Analytics sobre las 25 url con los vídeos más vistos en ‘Público’ en el mismo período en que se publicó el vídeo de ATLAS, en la que figura en primer lugar un vídeo con (...) visualizaciones, casi 14 veces más que el aquí analizado; y asimismo como Documento núm. 8 la información que proporciona YouTube sobre los vídeos publicados en el canal de ‘Público’ en esa plataforma de vídeos en línea en el mismo período del 31 de marzo al 26 de abril de 2022 (en el que no está, obviamente, el vídeo de ATLAS ya que, como hemos explicado, solo se publicó en la zona de vídeos de la página web del diario ‘Público’ y no en otros canales), de la que resulta que el total de visualizaciones alcanzó (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/102 Por tanto, señala DISPLAY que las 385 visualizaciones del vídeo del que trae causa el expediente sancionador son, en términos comparativos, ciertamente poco significativas, y evidencian inequívocamente el nulo rendimiento económico y comercial que obtuvo DISPLAY de la publicación del vídeo de ATLAS que contenía los datos personales del que trae causa el expediente. Concluye DISPLAY que ello pone claramente de manifiesto lo desproporcionado de la sanción que se pretende imponer. 2.- No se consideran correctamente las agravantes apreciadas: A este respecto, señala que las circunstancias agravantes que el Acuerdo de Inicio toma en consideración para cuantificar la sanción son erróneas y, en otros, inexistentes. 2.1.- La primera agravante expuesta En este apartado, respecto a la agravante relativa al “alcance o propósito de la operación de tratamiento de datos, así como los interesados afectados (artículo 83.2.a RGPD), señala DISPLAY que: ● La calidad (muy baja, por su falta de nitidez) de las imágenes y el limitado tiempo de duración (apenas 4 segundos) hacen totalmente imposible reconocer el nombre completo de ninguna de las personas afectadas si el vídeo se ve a su velocidad normal. Es decir, resulta totalmente necesario un acto intencionado para poder acceder a los datos personales en cuestión, como es detener la imagen y, aún así, su mala calidad y escasa definición, hacen muy costoso (y en muchos casos imposible) leer los nombres y apellidos de las afectadas. ● No es cierto tampoco que el número de personas afectadas ascienda a 56, sino que, según ha podido comprobar esta parte, únicamente se aprecian durante los 4 segundos que dura la imagen en cuestión un máximo de 31 personas (un 45,5% menos), de las cuales en muchos casos ni siquiera se pueden leer bien el nombre y/oel apellido. En prueba de lo anterior, DISPLAY adjunta los fotogramas correspondientes a los segundos 21 a 24, ambos inclusive, del vídeo en cuestión, como Documentos núm. 9 a 12, indicando que se comprueba lo siguiente: - La lista comienza con 16 nombres y apellidos (muchos de ellos realmente ilegibles, lo que impide identificar a la persona); - Tras esta primera lista, le sigue el apartado titulado “PTES. OP”, que contiene 4 personas. - Luego está el apartado “ACTIVA SIN O.P.”, donde figuran los nombres y apellidos de 3 personas. - Le sigue el apartado “ACTIVAS NO LOCALIZABLES”, donde figuran 5 personas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/102 - Y, finalmente, aparece el apartado “NUEVAS CESADAS”, con 3 personas. Concluye DISPLAY que considerar como agravante que se ha perdido la disposición y control sobre los datos personales poniendo en riesgo que las mujeres afectadas por la violencia de género puedan ser realmente identificadas, no está justificado dadas las circunstancias; y mucho menos entender que ha habido 56 personas afectadas cuando las imágenes se refieren a como mucho 31 mujeres, muchas de las cuales ni siquiera es posible identificar a la vista de las imágenes obrantes en el expediente. 2.2.- La segunda circunstancia agravante: En este apartado, respecto a la agravante relativa a “La intencionalidad o negligencia de la infracción de la parte reclamada (artículo 83.2.b RGPD) señala DISPLAY que: Se remite a lo señalado en la alegación primera respecto de su falta de negligencia. No obstante, añade que la AEPD considera que fue negligente no asegurar un procedimiento para asegurar la protección de datos personales “sobre todo tratándose de una entidad cuya actividad lleva aparejado un contino tratamiento de datos personales de los usuarios”. Y entiende que esta apreciación es igualmente errónea, toda vez que DISPLAY se dedica a la edición del diario digital de información general ‘Público’, cuya actividad no es el tratamiento de datos de los usuarios, sino la publicación de información y noticias de actualidad, que no tienen por qué contener datos personales y, de contenerlos, no son datos de los usuarios del diario. Continúa indicando que el diario ‘Público’ ofrece también el registro del lector, así como la suscripción a contenidos de pago, lo que requiere –entonces sí- el tratamiento de datos personales de los usuarios, datos de cuyo tratamiento es responsable DISPLAY, que no ha tenido jamás ninguna incidencia en relación con ellos, ni mucho menos ningún expediente sancionador, como le consta perfectamente a esa AEPD. Señala que otra cosa es que, en el desarrollo de su actividad de publicación de información veraz y de interés general, el diario se pueda enfrentar a situaciones excepcionales en las que sí se divulga algún dato personal de personajes públicos o, incluso, de alguna otra persona relacionada con las informaciones, como puede ser el caso que dio lugar a la incoación de este expediente. Pero eso no es lo habitual en la actividad de ‘Público’ y mucho menos la publicación de datos sensibles sobre individuos y, por tanto, considerar esta circunstancia como agravante para establecer que la expedientada no tiene establecido ningún procedimiento específico para garantizar la protección de los datos personales “en unas circunstancias tan sensibles”, no resulta ajustado a Derecho. Máxime, añade DISPLAY, cuando no debía haber ninguna necesidad de establecer un control específico sobre unas imágenes de vídeo producidas por un proveedor de confianza como la agencia ATLAS que, en principio, no debían contener ningún dato personal del que ‘Público’ tuviera que preocuparse, y que se incorporaban automáticamente al apartado de vídeos de la web de ‘Público’, en virtud de un contrato en virtud del cual MEDIASET debe mantener completamente indemne a DISPLAY C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/102 frente a cualquier reclamación recibida de terceros a resultas de la publicación de los vídeos cedidas por la agencia. 2.3.- La tercera agravante consiste en considerar la existencia de dos expedientes sancionadores previos tramitados contra DISPLAY A este respecto, señala DISPLAY que su existencia es cierta, pero que, sin embargo, considera que es erróneo considerar las circunstancias indicadas para apreciar esta agravante, ya que entiende que la AEPD obvia lo siguiente: ● La sanción del expediente PS/00194/2022 trae causa de otro vídeo de la misma agencia ATLAS, al que le resulta aplicable las consideraciones ya realizadas al respecto de la actuación no negligente de ‘Público’ (basada en la relación de confianza sobre un proveedor profesional y de prestigio en la prestación de un servicio que no debía suponer un tratamiento de datos personales); ● En ambos expedientes consta acreditado que el origen de la información no es en ningún caso ‘Público’ (sino terceras fuentes) así como la indiscutible diligencia de ‘Público’ en la retirada de los datos personales obrantes en la información, así como la asunción de la responsabilidad y el pronto pago de las sanciones allí propuestas, lo que no se valora –como debiera haberse hechocomo una evidencia del ánimo de DISPLAY de colaborar siempre con la AEPD, asumiendo los involuntarios errores (aunque procedan de actuaciones negligentes de terceros en última instancia) al pagar las sanciones sin oponerse ni recurrir. (Acompaña como Documentos núm. 13 y 14 los justificantes del pronto pago de dos sanciones asumidas) 2.4.- Señala DISPLAY que se ha considerado también como como agravante, en atención a las categorías de datos personales afectados, que “la difusión de la noticia implica la posibilidad cierta de reconocer a 56 víctimas de violencia de género, lo cual supone un grave perjuicio para las afectadas, ya que tal circunstancia personal está vinculada con su seguridad, su salud, etc.”. Indica también que asimismo se aprecia que “incluso podría concurrir la circunstancia de que también se trate de víctimas de delitos contra la libertad sexual o la indemnidad sexual, para las que también se prevé una especial necesidad de protección”. Sostiene DISPLAY que tampoco la agravante apreciada resulta ajustada a derecho, toda vez que: ● Se está duplicando la primera circunstancia agravante ya apreciada en el Acuerdo de Inicio, que decía que “se considera que la naturaleza de la infracción es muy grave puesto que acarrea una pérdida de disposición y control sobre los datos personales (nombres y apellidos) de personas que han sido víctimas de violencia de género y que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/102 al difundir dichos datos personales existe un riesgo cierto de que tales personas puedan ser reconocidas por terceros, con los graves daños y perjuicios que esto les ocasionaría. Asimismo, se considera relevante el número de personas afectadas que asciende a 56”. Señala DISPLAY que se vuelve a incidir en que se trata de personas víctimas de violencia de género (como elemento –dato sensible- que agrava los hechos), que se genera un cierto riesgo de que sean reconocidas (como elemento asimismo agravante) y que es un elevado número el de personas afectadas (56, aunque ya hemos demostrado que es erróneo, pues como máximo se pudieron ver afectadas 31 mujeres, aunque ni siquiera tantas pues los datos de algunas de ellas son totalmente ilegibles). Entiende DISPLAY que, por aplicación del principio de non bis in idem, propio del derecho penal pero plenamente aplicable al ámbito del derecho sancionador administrativo, no es de recibo apreciar duplicadamente unas mismas circunstancias agravantes con el resultado de incrementar el importe de la sanción hasta cifras totalmente desproporcionadas, en relación con la actividad económica que desarrolla la sociedad expedientada. 2.5.- Y, finalmente, se considera también como agravante la vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2.b LOPDGDD) A este respecto reitera DISPLAY que no realiza una actividad vinculada a la realización de tratamientos de datos personales, sino la actividad propia de un medio de información digital consistente en publicar informaciones (escritas, fotografías o piezas audiovisuales) que, en algunas ocasiones y no siempre, contienen datos personales los cuales siempre están relacionados con personajes públicos o que tienen interés informativo, por lo que su publicación está justificada por el ejercicio del derecho fundamental a publicar información veraz, protegido en el art. 20 de la Constitución. Y, sólo de manera muy excepcional –como en el caso analizado debido a dos negligencias previas de terceros ajenos a ‘Público’- se pueden contener en la información algún dato personal que no debiera ser publicado. Por otro lado, señala DISPLAY que es cierto que la actividad de ‘Público’ sí tiene vinculación con el tratamiento de datos personales de los usuarios de su página web y de sus suscriptores a servicios de pago. Pero jamás ha tenido ninguna incidencia relacionada con estos tratamientos, que están sujetos a estrictas medidas de seguridad para garantizar que los datos no se revelan o tratan indebidamente, ni se pierden, destruyen o dañan accidentalmente, en estricta observancia del RGPD y de la LOPDGDD. Por ello, entiende DISPLAY, no resulta ajustado apreciar la anterior agravante. 3.- Alega DISPLAY que no se han apreciado las siguientes atenuantes que concurren y que permiten disminuir la antijuricidad de los hechos acontecidos: 3.1.- El nivel de los daños y perjuicios sufridos por las afectadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/102 Señala DISPLAY que la AEPD considera como agravante el elevado riesgo de identificación de las mujeres afectadas por la publicación de sus datos lo cual no es nada más que eso, un riesgo de sufrir daños o perjuicios derivados de tal identificación. Sin embargo, se olvida de considerar que no consta acreditado absolutamente ningún caso concreto de ninguna afectada que haya visto concretado ese riesgo en un daño o perjuicio cierto; es más, ni siquiera consta que ninguna de las afectadas haya formulado reclamación frente a ‘Público’, habiéndose presentado esta por la Delegación del Gobierno contra la Violencia de Género. Así, teniendo en cuenta que el número de posibles afectadas es notoriamente inferior al considerado en el Acuerdo de Inicio (31 personas frente a 56), y que no consta ningún caso concreto en el que se haya derivado ni un solo perjuicio o daño para alguna de las 31 afectadas, ello debería tomarse en consideración a la hora de cuantificar la sanción, conforme al art. 83.2.
  2. a)RGPD. Además de lo anterior, por medio del escrito de alegaciones, DISPLAY hace ofrecimiento para, caso de que efectivamente se haya producido algún perjuicio concreto y real a alguna de las afectadas, poner todos los medios necesarios para mitigarlo y repararlo, lo cual también podrá considerarse a los efectos de graduación de la pena, conforme al art. 83.2.
  3. c)y
  4. f)RGPD. 3.2.- La concurrencia de actuaciones negligentes de terceros. Señala DISPLAY que, según ha quedado mencionado en apartados anteriores, resulta evidente la falta de intencionalidad de ‘Público’ y que la revelación de los datos trae causa de la concatenación de actos negligentes de terceros ajenos a la expedientada (el agente de la Guardia Civil entrevistado por el personal de la agencia ATLAS y la propia agencia, al producir el vídeo publicado). Alega, por tanto, que esta circunstancia –que entiende debería de exonerar de responsabilidad al diario digital expedientado- si no se aprecia como eximente de tal responsabilidad, debería apreciarse como atenuante de la misma, al amparo del art. 83.2.
  5. b)y
  6. d)RGPD. 3.3.- Retirada inmediata de la información. Alega DISPLAY que debe considerarse, y no se hace por la AEPD, la extraordinaria diligencia de ‘Público ‘al retirar la información que infringía los derechos a la protección de datos de las afectadas de forma inmediata a serle solicitado por la agencia ATLAS el 22 de abril de 2022, incluso antes de recibir el requerimiento posterior (el 29 de abril siguiente) de esta AEPD. Esta circunstancia señala DISPLAY que cabe apreciarla asimismo encuadrada en el art. 83.2.
  7. f)RGPD, en la medida en que ‘Público’ actuó con toda diligencia cooperando con la AEPD con el fin de poner remedio a la infracción y mitigar sus posibles efectos adversos. 3.4.- La escasísima difusión del vídeo y los nulos rendimientos financieros obtenidos por DISPLAY. En relación con esta cuestión, DISPLAY se remite a lo ya expuesto sobre la prácticamente nula difusión que tuvo el vídeo de ATLAS mediante la web de ‘Público’, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/102 con solo 385 visualizaciones, lo que se traduce en que DISPLAY CONNECTORS, S.L. no obtuvo absolutamente ningún beneficio financiero derivado de la infracción, lo que se debe considerar asimismo, en virtud del art. 83.2.
  8. k)RGPD. 3.5.- La especialmente intensa y decidida actividad de ‘Público’ en defensa del colectivo de las mujeres maltratadas y su reconocimiento público. Entiende DISPLAY como factor atenuante aplicable a las circunstancias del caso, al amparo del art. 83.2.
  9. k)RGPD, las actividades realizadas desde el diario en defensa del colectivo de las mujeres maltratadas. Para ello, reseña en su escrito de alegaciones una lista de temas y acciones que refiere haber llevado a cabo en los últimos años entorno a la lucha contra la violencia machista, a la cual procede remitirse. Alega DISPLAY que todas las anteriores circunstancias han de servir para atenuar la eventual antijuricidad de la conducta de Público, dejando reducida la hipotética sanción a una cantidad mínima y, por tanto, muy alejada de la desmesurada cuantía de 300.000 euros propuesta en el Acuerdo de Inicio. Concluye DISPLAY su escrito de alegaciones solicitando que se proponga el archivo del presente expediente sancionador sin imposición de sanción alguna; o, subsidiariamente, se gradúe cualquier posible infracción que se impute de conformidad con los criterios expuestos en este escrito, acordándose la imposición de una sanción mínima. Tercera.- Solicitud de prueba. Asimismo, de acuerdo a los artículos 76 y siguientes de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, solicita DISPLAY que se acuerde la apertura de un período de prueba para la práctica de los siguientes medios de prueba que propone: 1. Prueba documental: Se tengan por aportados, como prueba documental, los documentos que ya constan en el expediente administrativo, así como los aportados en el presente escrito de alegaciones; 2. Prueba más documental consistente en respuesta escrita a cargo de la Delegación del Gobierno contra la Violencia de Género: se interesa que se libre oficio dirigido al referido órgano para que, por la Delegada del Gobierno, se manifieste al respecto de si DISPLAY como sociedad editora del diario digital ‘Público’, es un medio de información que se ha distinguido por su decidida defensa de la mujer, en general, y por la mujer víctima de violencia de género, en particular, y si se ha caracterizado por la lucha contra toda forma de violencia de género, colaborando activa y continuadamente con la propia Delegación del Gobierno contra la Violencia de Género en múltiples actividades. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/102 3. Prueba testifical: Se tenga por propuesto y se cite a declarar en calidad de testigo a Don A.A.A., (…) de la agencia ATLAS en la web del Diario ‘Público’ en la fecha en que se publicó la noticia de la que trae causa el presente expediente. 4. Prueba pericial: Que, para el supuesto de que no se considere probada la existencia en 2022 de un sistema automático de publicación de los vídeos de la agencia ATLAS en la web del diario ‘Público’, se tenga por anunciada la aportación de un informe pericial informático a realizar por técnico competente que designará esta parte y que acredite el procedimiento de obtención de los vídeos de la agencia ATLAS por parte de DISPLAY CONNECTORS, S.L. y su publicación en la web del diario ‘Público’, en la fecha en que se publicó la video noticia de la que trae causa el presente expediente sancionador. 5. Prueba de reproducción de la palabra, el sonido y la imagen ante la Instructora y la Secretaria del expediente, correspondiente a los segundos 21 a 24 del vídeo facilitado por la agencia ATLAS que debe obrar en el expediente (o que, en caso contrario, esta parte se ofrece a aportar para su reproducción). Se han aportado ya con este escrito los fotogramas de los segundos indicados, en cumplimiento de la previsión establecida en el art. 382.1 de la Ley de Enjuiciamiento Civil. SÉPTIMO: Práctica de prueba. Con fecha 6 de noviembre de 2023, la instructora del procedimiento acuerda abrir período de práctica de prueba, en la que se acuerda lo siguiente: 1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por DELEGACIÓN DEL GOBIERNO CONTRA LA VIOLENCIA DE GÉNERO y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento AI/00172/2022. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por DISPLAY CONNECTORS, S.L. (en adelante DISPLAY), y la documentación que a ellas acompaña. 3. Realizar diligencia relativa a la titularidad del dominio de la página web https://www.publico.es/ la cual se incorporará al presente expediente a efectos probatorios. 4. Realizar diligencia relativa a la reproducción de determinadas imágenes del vídeo en donde se visualicen los nombres de las mujeres víctimas de violencia de género, la cual se incorporará al presente expediente a efectos probatorios. En relación a esta cuestión, DISPLAY solicita “Prueba de reproducción de la palabra, el sonido y la imagen ante la Instructora y la Secretaria del expediente, correspondiente a los segundos 21 y 24 del vídeo facilitado por la agencia ATLAS que debe obrar en el expediente (o que, en caso contrario, esta parte se ofrece a aportar para su reproducción. Se han aportado ya con este escrito los fotogramas de los segundos indicados, en cumplimiento de la previsión establecida en el art. 382.1 de la Ley de Enjuiciamiento Civil”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/102 A este respecto, dado que no se menciona en el vídeo nombre alguno de ninguna mujer víctima de violencia de género, lo relevante en el presente caso es la visualización de los nombres, por lo que la diligencia se centrará en la reproducción de las imágenes mediante recortes, fotogramas, etc, del vídeo donde se visualicen los nombres. 5. Prueba consistente en informe informático a realizar por técnico competente a designar por DISPLAY DISPLAY solicita esta prueba indicando que “para el supuesto de que no se considere probada la existencia en 2022 de un sistema automático de publicación de los vídeos de la agencia ATLAS en la web del diario “Público”, se tenga por anunciada la aportación de un informe pericial informático a realizar por técnico competente que designará esta parte y que acredite el procedimiento de obtención de los vídeos de la agencia ATLAS por parte de DISPLAY CONNECTORS, S.L. y su publicación en la web del diario ‘Público’, en la fecha en que se publicó la video noticia de la que trae causa el presente expediente sancionador” Por tanto, si DISPLAY lo considera oportuno, puede aportar dicha prueba durante el plazo de los diez días hábiles concedido. 6. (…) la práctica de las siguientes pruebas propuestas por DISPLAY CONNECTORS, S.L.:
  10. a)Prueba documental consistente en respuesta escrita a cargo de la Delegación del Gobierno contra la Violencia de Género. DISPLAY solicita esta prueba documental indicando que “se interesa que se libre oficio dirigido al referido órgano para que, por la Delegada del Gobierno, se manifieste al respecto de si DISPLAY CONNECTORS, S.L., como sociedad editora del diario digital ‘Público’, es un medio de información que se ha distinguido por su decidida defensa de la mujer, en general, y por la mujer víctima de violencia de género, en particular, y si se ha caracterizado por la lucha contra toda forma de violencia de género, colaborando activa y continuadamente con la propia Delegación del Gobierno contra la Violencia de Género en múltiples actividades” Sin embargo, se considera improcedente la misma por cuanto que el hecho de que sea o no un medio de comunicación caracterizado por lo anterior, ello en nada desvirtuaría los hechos cometidos (publicación del vídeo en el que se visualizan los nombres y apellidos de mujeres víctimas de violencia de género) y constitutivos de la infracción imputada (vulneración del artículo 5.1.c. del RGPD), y, por ende, de la responsabilidad en que, en su caso, hubiera incurrido.
  11. b)Prueba testifical a D. A.A.A.. DISPLAY solicita esta prueba indicando que “Se cite a D. A.A.A., (…) de la agencia ATLAS en la web del Diario “Público” en la fecha en que se publicó la noticia de la que trae causa el presente expediente”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/102 Esta prueba se deniega por considerarla innecesaria por cuanto ya consta en el expediente y aportado por DISPLAY junto con su escrito de alegaciones, como “Documento 2”, Declaración firmada por D. A.A.A., en fecha 5 de septiembre de 2023, en su condición de (…) ***EMPRESA.1., en la que, tras indicar que es una empresa contratada por DISPLAY para la prestación de servicios de consultoría y servicios relacionados con el funcionamiento de sus servidores, herramientas editoriales y su página web entre otros, procede a detallar precisamente el citado proceso de subida y publicación de los vídeos de la agencia ATLAS en la web del Diario “Público”. No obstante lo anterior, en el caso de que DISPLAY lo considere oportuno, puede aportar, dentro de plazo del período de pruebas abierto con ocasión de la presente notificación, cuanta documentación considere necesaria para la defensa de sus derechos e intereses, incluyendo las declaraciones y pruebas periciales que estime procedentes”. A tal efecto, por la Instructora se realizaron las siguientes pruebas: a. Diligencia relativa al aviso legal de la página web https://www.publico.es/avisolegal#analytics-pie:aviso-legal A tal efecto, el 17 de octubre de 2023, la instructora del procedimiento realizó diligencia en la que da por reproducido el aviso legal de la página web https://www.publico.es/aviso-legal#analytics-pie:aviso-legal, en virtud del cual el titular de dicha página web es DISPLAY CONNECTORS, S.L, con CIF B65749715, siendo esta entidad responsable de todo el contenido que se publica bajo ese dominio. Se incluye en, como Anexo I a la diligencia, impresión de pantalla del aviso legal de este sitio web b. Diligencia relativa a la impresión de varias imágenes del vídeo publicado en la web publico.es A tal efecto, el 18 de octubre de 2023, la instructora del procedimiento realizó diligencia en la que da por reproducidos a efectos probatorios la impresión de varias imágenes del vídeo que obra en el expediente y que fue publicado en la web publico.es, donde se visualizan los datos personales de 51 mujeres registradas en el sistema VioGén como víctimas de violencia de género y distintas clasificaciones en función de sus circunstancias concretas. Con fecha 24 de octubre se recibió respuesta de DISPLAY a las pruebas propuestas, en el que adjunta la siguiente documentación e indica lo siguiente: 1.- Como Documento núm. 15 (siguiendo correlativamente la numeración de los documentos aportados a nuestro escrito de alegaciones al Acuerdo de Inicio del Expediente Sancionador de 5 de septiembre de 2023) acta de requerimiento notarial a instancia de DISPLAY, autorizada por el Notario de Madrid, D. D.D.D., el 16 de octubre de 2023, con el núm. XXXX de su protocolo, en la que se da fe de las actuaciones realizadas por el perito informático forense D. E.E.E. conectándose desde un ordenador de la propia notaría para extraer una serie de evidencias necesarias para la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/102 realización de un informe pericial, y da asimismo fe del (...) de un único fichero comprimido que generó el referido perito con las evidencias extraídas desde el ordenador de la notaría. 2. Como Documento núm. 16, se aporta al expediente el informe pericial elaborado y suscrito por el referido perito informático forense D. E.E.E. utilizando el mencionado (...) –lo que permite garantizar que el fichero “perito.tgz” generado ante el notario no ha sufrido manipulación alguna, siendo éste auténtico e íntegro— del que se desprenden las siguientes conclusiones relevantes a los efectos del presente procedimiento sancionador: • Dentro del apartado “Análisis de los cambios realizados sobre el fichero de configuración “***FICHERO.1”, en la pág. 26 del informe, se indica:  Es decir, que se puede concluir de manera inequívoca tras el análisis de las evidencias digitales extraídas que, el 11/05/2023 a las 12:34:04 UTC+2, se hizo un cambio en el fichero de configuración “***FICHERO.1” para que todos los videos que se descarguen desde ese momento del servidor de la agencia Atlas sean marcados como “inactivos”.  Esto permite deducir igualmente que, hasta el 11/05/2023 a las 12:34:04 UTC+2, debido a la inexistencia del parámetro “(...)” en el fichero de configuración “***FICHERO.1” para la agencia Atlas, todos los videos de esta se descargaban del servidor y se publicaban automáticamente, sin necesidad de interacción alguna. Y en el apartado de “Dictamen y conclusiones” de la pág. 28 del informe, en particular en las pág. 29 y 30, se exponen las siguientes que son relevantes a estos efectos:    Se ha evidenciado que, desde el 11/05/2023 a las 12:34:04 UTC+2, hubo un cambio en el fichero de configuración relacionado con la agencia Atlas, donde se añadió el parámetro “(...)”. Se puede concluir que, tras este cambio, y tras analizar detalladamente el código fuente del programa encargado de la descarga e indexación de los videos, todos los descargados a partir de dicha fecha desde el servidor de la agencia Atlas, se marcan como inactivos, siendo necesaria la interacción manual para poder cambiar este valor y que este sea visible para cualquiera desde la URL https://www.publico.es/publico-tv/. Se evidenció ante notario el comportamiento mencionado desde la URL ***URL.2, correspondiente al panel de gestión de videos a publicarse en https://www.publico.es/publico-tv. Así, se dejó reflejado con la fe pública del notario que se intentó acceder desde el ordenador de la notaría a la URL correspondiente a un video que estaba marcado como “Inactivo”, no siendo este visualizable. Posteriormente, se modificó manualmente dicho valor a “Activo” y se actualizaron los cambios de ese video. Tras actualizar la página en el navegador de la notaría, se observó que ya era visible. Acto seguido se modificó dicho video al estado original (“Inactivo”) y al refrescar nuevamente en el navegador, el video ya no estaba disponible. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/102  El análisis realizado de las evidencias permite deducir igualmente que hasta el 11/05/2023 a las 12:34:04 UTC+2, debido a la inexistencia del parámetro (...) en el fichero de configuración “***FICHERO.1” para la agencia Atlas, todos los videos de esta se descargaban del servidor y se publicaban automáticamente, sin necesidad de interacción alguna. 3. Que, como prevé la propia resolución de 6 de octubre de 2023 dictada por la instructora en el presente expediente, el resultado de las pruebas acordadas podrá dar lugar a la realización de otras; y para la debida valoración de la prueba pericial aportada mediante el Documento núm. 2 aportado con este escrito, que ha de realizarse de acuerdo con los criterios establecidos en la Ley de Enjuiciamiento Civil, conforme dispone el art. 77.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, procede en virtud de lo dispuesto en el art. 347.1 de la referida Ley de Enjuiciamiento Civil, y al derecho de esta parte interesa que se proceda por el perito D. E.E.E. a la ratificación de su informe ante la instructora del expediente, así como a la explicación de su dictamen o de alguno o algunos de sus puntos, cuyo significado no se considerase suficientemente expresivo a los efectos de la prueba, así como para responder a preguntas y objeciones, sobre método, premisas, conclusiones y otros aspectos del dictamen que se le puedan plantear, o responder a solicitudes de ampliación del dictamen a otros puntos conexos que puedan ser requeridos”. OCTAVO: Alegaciones complementarias al Acuerdo de Inicio Con fecha 13 de noviembre de 2023, DISPLAY presentó escrito de alegaciones complementarias en las que, en síntesis, alegaba lo siguiente: Primera. - Negligencia previa de terceros. Como complemento esta alegación ya manifestada en el primer escrito de alegaciones presentado (“Conducta diligente. Falta de antijuricidad”) realiza DISPLAY las siguientes manifestaciones: 1.- Las Fuerzas y Cuerpos de Seguridad del Estado (FFCCSE), en las ocasiones en que presentan a terceros (a veces medios de información o comunicación) datos del Sistema de Seguimiento Integral en los casos de Violencia de Género (denominado Sistema “VioGén”), suelen ilustrar su análisis, evaluación o información sobre el sistema con imágenes de la base de datos de “VioGén”. No se ha trata de algo esporádico o puntual, sino que se puede calificar como una práctica habitual a la hora de grabar recursos audiovisuales para hablar de este sistema. 2.- En prueba de la anterior manifestación, seguidamente se enumeran varios ejemplos de los que se tienen constancia en los últimos años: - Siempre que las FFCCSE, por ejemplo, Guardia Civil o Policía Nacional, muestran datos reales del Sistema “VioGén”, los tapan para que las cámaras no puedan grabarlos. Se puede comprobar, por ejemplo, en este vídeo de Radio Televisión Española de 2017, cuando se presentó el sistema, que está disponible en la siguiente url: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/102 https://www.rtve.es/play/videos/telediario/td1-violencia-genero-010317/3930435/ Se puede comprobar asimismo en la siguiente captura de pantalla del vídeo que se deja designado a los efectos probatorios oportunos: -También es habitual que obre así el personal que accede a esta base de datos desde otros organismos oficiales, como es el caso del Ministerio de Justicia, por ejemplo, en este curso del Centro de Estudios Jurídicos (CEJ) en la “Jornada de presentación del protocolo de valoración forense urgente del riesgo de violencia de género”, en el que se instruyó a los asisentes sobre el funcionamiento de “VioGén”, según se aprecia en el siguiente vídeo disponible en la plataforma YouTube en la siguiente url (ver a partir del min. 2:13:50, cuya captura de pantalla se copia a continuación): https://www.youtube.com/watch?v=y9KeDn5kgI8&ab_channel=CEJMinisterio deJusticia -En otras ocasiones, las FFCCSE no ocultan los campos, sino que, simplemente, muestran una simulación con datos ficticios, pero no ofrecen información real que figure en la base de datos de “VioGén”. Véase a este respecto la información emitida por Radio Televisión Española sobre el sistema “VioGén” disponible en la siguiente url (concretamente el min. 0:43, cuya captura de pantalla también se muestra a continuación): https://www.rtve.es/play/videos/rtve-igualdad/viogen-coordinaractuacionescapacidades-fuerzas-seguridad/6835176/ Segunda. - Diligencia del medio de información. Señala DISPLAY que para un medio de comunicación resulta imposible conocer si las imágenes del sistema “VioGén” que se están mostrando por parte de las FFCCSE contienen los datos reales de la base de datos o bien los datos ficticios. Por tanto, se debe presuponer que, procediendo de organismos oficiales (FFCCSE, Ministerios, etc.), su actuación ha sido diligente en cuanto a la protección de datos personales por lo que, si los datos no han sido ocultados, se trata de una simulación. Pero, además de la anterior presunción, señala DISPLAY que ha de tenerse en consideración que los periodistas no pueden acceder de ninguna manera a esos datos obrantes en el sistema “VioGén” para poder verificar si se trata de datos reales o ficticios, ya que como se señala en el documento “La valoración policial del riesgo de violencia contra la mujer pareja en España”, publicado por la Secretaría de Estado del Ministerio del Interior en septiembre de 2018, solo unos pocos usuarios pueden entrar en esa base de datos y cada uno tiene un código único para que se pueda auditar quién ha llegado a estos esos datos y los ha revelado. Acompaña como Documento núm. 17 (siguiendo el orden correlativo de los documentos aportados por ella) el referido documento del Ministerio del Interior, que está disponible en la url: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/102 https://www.interior.gob.es/opencms/pdf/archivos-ydocumentacion/documentacion-ypublicaciones/publicacionesdescargables/seguridadciudadana/La_valoracion_policial_riesgo_violencia_contra_muj er_pareja_126180887.pdf, en cuya pág. 75 se puede leer: “Como sucede en todo sistema de información en el que se recogen datos personales, en cumplimiento de la Ley Orgánica de Protección de Datos (15/1999), los usuarios acceden al Sistema con un usuario y clave personal e intransferible, que permite auditar sus actividades, y tienen limitaciones, tanto en cuanto a la información a la que pueden acceder como a las funcionalidades que pueden activar, es decir, cada uno tiene un perfil específico, con unos niveles de privilegios diferenciados”. Por otro lado, el Pacto de Estado contra la Violencia de Género de 2017 y sus posteriores revisiones han dejado clara la exigencia de protección de los datos de las víctimas de violencia de género dentro de sus protocolos referidos a la valoración policial de riesgo. Y una de sus medidas más importantes es el mandato de que las FFCCSE impidan a cualquiera que pudiera ser autor de un delito de violencia de género el acceso a los datos contenidos en el Sistema “VioGén”. Así, el documento del Ministerio de Interior aportado como Documento núm. 17 (“La valoración policial del riesgo de violencia contra la mujer pareja en España”), en su página 85 recoge algunas de las propuestas realizadas sobre el sistema “VioGén” y el Protocolo de valoración policial del riesgo de violencia contra la mujer, indicando la medida núm. 81 que se propone: “Impedir el acceso a VioGén y/o restringirlo en aquellas bases de datos policiales que puedan contener datos de las víctimas a los miembros de las Fuerzas y Cuerpos de Seguridad del Estado incursos personalmente como autores en casos de cualquier forma de violencia de género”. Es decir, afirma DISPLAY, es tal el grado de protección de estas víctimas, que incluso los miembros de las FFCCSE que pudieran ser autores de cualquier forma de violencia de género están vetados para consultar el sistema “VioGén”. Tercera.- Ausencia de responsabilidad de ‘Público’ Alega DISPLAY que, a la luz de todo lo expuesto, no se puede derivar de la actuación de PÚBLICO responsabilidad alguna en cuanto a la divulgación de los datos que aparecían en el vídeo de la Agencia “Atlas”, en una grabación de la pantalla del ordenador de un agente de la Guardia Civil de ***LOCALIDAD.1, por las siguientes razones: - PÚBLICO da por sentado el buen hacer de las FFCCSE en lo que respecta al cumplimiento de los protocolos del Ministerio de Interior o de los recogidos en el Pacto de Estado contra la Violencia de Género. Y por tanto sobreentiende y da por hecho que un agente de las FFCCSE nunca va a mostrar de forma pública datos reales de víctimas integradas en el sistema “VioGén”, máxime cuando están siendo objeto de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/102 una grabación audiovisual que luego puede reproducir esos datos, pues estaría contraviniendo gravemente tales protocolos. -Como puede comprobarse en los vídeos mencionados más arriba, en su relación con los medios de comunicación en lo que respecta al sistema “VioGén”, las FFCCSE ocultan siempre los datos sensibles del sistema o muestran datos simulados, de forma que nunca se divulgan datos reales, por lo que no había ninguna razón que pudiera haber hecho pensar en PÚBLICO que se trataba de datos reales (en el caso de que se hubiera revisado el contenido del vídeo antes de su publicación lo que, como hemos acreditado en este expediente sancionador, no era el caso, toda vez que se procedía a la publicación automática en la web del diario del vídeo proporcionado por una agencia de información solvente como “Atlas”). -Así, en el caso del vídeo que nos ocupa, su grabación no fue realizada por personal de PÚBLICO que pudiera haber comprobado oralmente si los datos mostrados por el agente eran o no simulados, sino por la “Agencia Atlas”. Suponemos que la referida Agencia tampoco comprobó oralmente si se trataba de datos reales o ficticios los mostrados, y que habrán confiado en el escrupuloso cumplimiento por las FFCCSE de sus obligaciones y protocolos para la gestión del sistema “VioGén” y la no revelación a terceros de datos de personas víctimas de violencia de género obrantes en el sistema, por lo que grabaron y produjeron la pieza informativa que facilitaron luego a PÚBLICO para su publicación automática en la web del diario. Una vez PÚBLICO recibe el vídeo y lo aloja automáticamente en su web, a la vista de todo lo comentado anteriormente, solo puede suponer que el agente de las FFCCSE –primero— actúa conforme a los protocolos establecidos y en ningún caso está mostrando datos reales y que la “Agencia Atlas” –después— ha verificado que lo anterior es así, antes de facilitar el vídeo a PÚBLICO para su publicación. Por todo lo cual, insiste DISPLAY en la falta de culpabilidad y antijuricidad en su conducta, que no le hace merecedora de la imposición de ninguna sanción. NOVENO: Propuesta de Resolución Con fecha 5 de diciembre de 2023 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se sancionara a DISPLAY CONNECTORS, con NIF B65749715, por una infracción del Artículo 5.1.
  12. c)del RGPD, tipificada en el Artículo 83.5 del RGPD, con multa administrativa de 4.000.000 € (cuatro millones de euros) y por una infracción del Artículo 32 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 187.000 € (CIENTO OCHENTA Y SIETE MIL EUROS) DÉCIMO: Respuesta a las alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se señala lo siguiente: PRIMERA.- Sobre la conducta diligente de DISPLAY y la falta de antijuridicidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/102 En este apartado, DISPLAY alega que actuó de la forma diligente que se le puede exigir a un medio de información digital y que no es responsable de lo sucedido, fundamentándolo en varios argumentos: 1. Que confió en un proveedor importante, Grupo Mediaset, actuando bajo el principio de confianza legítima, pues tiene un contrato suscrito con el mismo en virtud del cual, la Agencia Atlas se hacía responsable de cumplir con la legislación y normativas vigentes en relación con todos los contenidos que suministraba a sus clientes. Entiende por ello que no realizó un tratamiento específico de unos datos personales, sino que actuó confiando en una agencia de reconocido prestigio que le facilitó las imágenes que, con arreglo al contrato, tenía la garantía de que no infringían ningún derecho de tercero o normativa de aplicación. 2. Que existe concurrencia de actuaciones negligentes previas de terceros. En primer lugar, señala la negligencia en las dependencias de la Guardia Civil, al permitirse grabar las imágenes donde aparecían los datos de la base VioGen. Sin esta negligencia primigenia no se habría desvelado ningún dato personal. En segundo lugar, señala a la Agencia Atlas como último responsable de que fueran incluidas durante 4 segundos las imágenes que contenían datos personales. Insiste en que por Atlas se le vendió un producto terminado totalmente listo para su publicación y que no es DISPLAY quien buscó la información, ni quien descuidó que los datos no fueran accesibles a la cámara de televisión, ni tampoco quien grabó la imagen, ni mucho menos quien insertó la imagen en la video-noticia. 3. Que se limitó a confiar en la reputada agencia Atlas, por lo que adoptó un sistema automático de publicación de los vídeos, basado en el proveedor como fuente fiable de información, por lo que no es cierto que DISPLAY seleccionara determinados contenidos de su interés para publicarlos en el diario digital “Público”, pues está determinado un sistema totalmente automático. Frente a ello, y con carácter previo, procede aclarar que a través del presente procedimiento sancionador se analiza el tratamiento de datos consistente en la difusión (publicación) de datos personales de personas víctimas de violencia de género que ha llevado a cabo la parte reclamada. A estos efectos, el RGPD define en su artículo 4.2 el tratamiento de datos personales: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. (el subrayado es nuestro). Por su parte, el artículo 4.7) del RGPD define como “«responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/102 nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;”. Tal y como se establece en las Directrices 07/2020 del Comité Europeo de Protección de Datos sobre los conceptos de responsable del tratamiento y encargado en el RGPD, el concepto cuenta con cinco componentes principales: “la persona física o jurídica, autoridad pública, servicio u otro organismo”, “determine”, “sólo o junto con otros”, “los fines y medios” y “del tratamiento”. Además, el concepto de responsable de tratamiento es un concepto amplio, que trata de procurar una protección eficaz y completa a los interesados. Así lo ha determinado la jurisprudencia del Tribunal de Justicia de la Unión Europea. Por todas citaremos la Sentencia del TJUE en el asunto Google-Spain de 13 de mayo de 2014, C-131/12, la cual considera en un sentido amplio al responsable del tratamiento para garantizar “una protección eficaz y completa de los interesados”. Así, las Directrices 07/2020 sobre los conceptos de responsable del tratamiento y encargado en el RGPD precisan que “el responsable del tratamiento es la parte que determina por qué tiene lugar el tratamiento (esto es, «con qué fin» o «para qué») y cómo se alcanzará este objetivo (es decir, qué medios se emplearán para lograrlo)”. Toda vez que es claro que la parte reclamada decide sobre los fines del tratamiento, esto es, determina que la finalidad del tratamiento es la informativa, procede centrarse en si también tiene poder para decidir sobre los medios del tratamiento, lo cual niega la parte reclamada basándose en que la noticia objeto de debate es una noticia que procede de la Agencia Atlas y que la publicación se realiza de forma automática, sin intervención manual alguna. De conformidad con lo expuesto en el Hecho Probado Quinto, en el contrato suscrito entre la Agencia Atlas y DISPLAY el ***FECHA.1, se indica en el apartado EXPONEN lo siguiente: “1. Que DISPLAY es una empresa cuya actividad principal consiste en proporcionar información sobre actualidad informativa, contando al efecto con los medios y autorizaciones suficientes y que distribuye en soporte digital el diario Público a través de la URL: www.publico.es 2. Que DISPLAY está interesada en que se le preste un servicio de suministro de imágenes de contenido informativo, para su comunicación pública a través de su página web www.publico.es o cualquier otra que, con idéntico objeto, le sustituyera (en adelante la Página Web)” (…) En su Cláusula Primera se indica lo siguiente: “(…)”. En el apartado “4. CARACTERÍSTICAS”, del citado contrato, se señala lo siguiente: “Los vídeos se suministrarán a DISPLAY en ejecución de este contrato, se llevarán a cabo según lo establecido a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/102 4.1 CONTENIDO: Cualquier evento de interés informativo de producción de MEDIASET ESPAÑA o de producción de Reuters y que tenga lugar en territorio nacional o internacional y que haya sido digitalizado por MEDIASET ESPAÑA será incorporado en la relación diaria a la que DISPLAY tendrá acceso y de entre los cuales seleccionará los vídeos objeto de este contrato. (…) 4.3 MEDIASET ESPAÑA garantiza que el material de los videos suministrados tendrá la calidad necesaria para la comunicación pública y su reproducción. En todo caso el material será entregado por MEDIASET ESPAÑA a DISPLAY a través de su página web ***URL.1 o a través de un buzón FTP corriendo a cargo de MEDIASET ESPAÑA los gastos de entrega de los vídeos.” Conforme a lo antedicho, Atlas pone a disposición de DISPLAY una serie de noticias, de las que esta última puede seleccionar las que considere, descargarlas y proceder a publicarlas en su página web. En definitiva, la parte reclamada tiene poder de decisión respecto a qué contenidos de la Agencia Atlas publica y cuáles no. A este respecto, en cuanto a lo alegado por DISPLAY relativo a que no es cierto que puede seleccionar los vídeos pues está determinado un sistema totalmente automático de publicación de todos ellos y sin intervención humana, procede señalar que dicho sistema o proceso automático no es algo que haya establecido la Agencia Atlas y que sea una situación ineludible o inevitable por parte de DISPLAY, pues dicho sistema automático ha sido establecido de forma voluntaria precisamente por DISPLAY. Así, la reclamada ha indicado expresamente en su escrito de alegaciones que “fruto de esta seguridad y de esa confianza plena en el proveedor, por lo que en “Público” se determinó la publicación automática de estos vídeos de la Agencia Atlas, criterio que no se aplicaba a los contenidos procedentes de otros proveedores, que podían ser previamente seleccionados o revisados por personal de “Público”. Por tanto, es DISPLAY quien decidió establecer un sistema totalmente automático de publicación de los vídeos en su página web, utilizando para ello “un programa informático que se conectaba al servicio FTP de Atlas y descargaba los vídeos nuevos que la agencia iba generando. Este programa se ejecutaba periódicamente (una vez cada hora) de forma automatizada, sin intervención manual alguna”, tal y como lo certifica, mediante escrito suscrito el 5 de septiembre de 2023 y aportado por DISPLAY como Documento nº 2 junto con el escrito de alegaciones al Acuerdo de Inicio, el responsable de la sociedad ***EMPRESA.1., contratada por DISPLAY para la prestación de determinados servicios relacionados con el funcionamiento de sus servidores y su página web. A este respecto, nos remitimos al Hecho Probado Séptimo. En cuanto a la aportación por parte de DISPLAY, como prueba del proceso automático, de la Sentencia (...) en un procedimiento de vulneración del derecho al honor y la propia imagen seguido contra DISPLAY CONNECTORS, S.L., precisamente por la publicación de un vídeo de ATLAS en el que, por error, aparecía la imagen del demandante, cabe mencionar que en la misma se desestimó la demanda interpuesta, aplicando la doctrina del reportaje neutral, y teniendo en cuenta las circunstancias C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/102 concretas de ese caso, por entender que no había intromisión ilegítima en el derecho al honor del demandante. Por tanto, nada tiene que ver con el presente procedimiento sancionador. Además, procede señalar que las responsabilidades dimanantes del ámbito civil no son las mismas que las que dimanan del ámbito administrativo por incumplimiento, en este caso, de obligaciones en materia de protección de datos. Asimismo, tal y como se ha señalado en los Hechos Probados Octavo y Noveno, posteriormente a la reclamación de la que trae causa el presente procedimiento sancionador, DISPLAY decidió cambiar este sistema automático de publicación de los vídeos por un sistema manual, para “evitar la publicación de vídeos con contenido potencialmente ilegal y problemático”. Por tanto, es DISPLAY, como responsable de tratamiento, es el que ha definido tanto la finalidad (informativa) como los medios, en este caso: obtener los video-noticias a través de una Agencia y establecer un sistema automático para la descarga y publicación de esos videos en su página web. Asimismo, la parte reclamada tiene el poder de decidir sobre cómo obtener la información y, así, en vez de haber optado por que fuera suministrada por una agencia de noticias, podría haber optado por que el suceso fuera cubierto por uno de sus periodistas, por ejemplo. Asimismo, en vez de optar por una descarga y publicación automática, podría haber optado por una que no supusiera un proceso tan automatizado. A más a más, incluso en el caso de que el sistema Atlas supusiera una descarga y publicación de forma automática y no pudiera ser ineludible dicho proceso -lo cual ya se ha visto que no es así-, DISPLAY siempre tiene la posibilidad de decidir no contratar con ella, es decir, no utilizar un sistema que no le permite establecer un control sobre los datos personales que publica y que, por tanto, no le permite cumplir como responsable de tratamiento con sus obligaciones legales en la materia. Y reflejo de todo ello es que tras la publicación del vídeo y tras la reclamación presentada y la orden de retirada del vídeo dirigida por esta Agencia, DISPLAY ha optado por modificar el sistema automático que tenía establecido por uno que permita una intervención manual, tal y como se refleja en el Hecho Probado Noveno. En este orden de cosas, debe dejarse claro que no es aceptable que el derecho fundamental a la protección de los datos personales quede subyugado o supeditado a la tecnología utilizada en los tratamientos o a cuestiones técnicas o tecnológicas, suponiendo ello un incumplimiento del RGPD, el cual, en su artículo 25 “Protección de datos desde el diseño y por defecto” determina precisamente lo contrario: “1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/102 2. El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento…” (el subrayado es nuestro) No obstante lo anterior, el haber elegido un medio u otro de publicación de los contenidos, ello no mudaría la comisión de la infracción que concierne ahora, consistente en haber publicado en su web un vídeo en el que se visualizan datos personales de mujeres víctimas de violencia de género incluidas en el sistema VioGen. Por todo lo expuesto, ha quedado acreditado que DISPLAY es responsable del tratamiento que realiza, pues define la finalidad del tratamiento de datos personales que su actividad supone y elige los medios que considera oportuno. Y ello con independencia de la actuación y la responsabilidad en la que hayan podido incurrir terceros, pues la negligencia o actuación ilegal de terceros no excluye la suya propia, consistente en realizar una difusión (publicación) de datos personales excesivos, no amparada por el RGPD, incumpliendo el mismo. Por tanto, la actuación negligente en que hayan podido incurrir terceros no exime a DISPLAY de tener que cumplir con la normativa de protección de datos ni impide que los tratamientos que ella realice vulneren o no dicha normativa. Y ello es así porque es la publicación del vídeo en su página web, conteniendo datos personales (nombre y apellidos y distintas clasificaciones en función de sus circunstancias concretas) de mujeres víctimas de violencia de género, realizada por la parte reclamada la que es objeto de este procedimiento. Por tanto, lo que se va a valorar es su actuación, es decir, el cumplimiento o no de las obligaciones impuestas por el RGPD como responsable de tratamiento. En cuanto a que confió plenamente en la Agencia Atlas y que esta se hacía responsable de cumplir con la legislación y normativa vigentes en relación con todos los contenidos que suministraba a sus clientes, se significa que, con independencia de cómo se articule internamente la relación contractual entre ambas empresas (que, además, en el contrato no se asume la responsabilidad por parte de la agencia Atlas que entiende la reclamada), es DISPLAY quien ha de cumplir la normativa en materia de protección de datos de los tratamientos que realiza, en concreto, la difusión o publicaciones que realice en su periódico digital “Público”. En este caso, se insiste, es DISPLAY el responsable de la publicación del vídeo en cuestión en su medio digital y que supone un incumplimiento del RGPD. Por último, en relación a que DISPLAY actuó con total diligencia ya que procedió a la retirada del vídeo en el preciso momento en el que la propia agencia Atlas comunicó al diario que contenía imágenes ilegales, aportando como prueba de ello dos comunicaciones, una de la agencia Atlas el 25/04/22, en el que solicita la retirada del vídeo y otra, unos minutos más tarde, en el que responden que ya ha sido retirado, se significa, de contrario, que no procedió a la inmediata retirada del vídeo tal y como indica, pues tal y como ha quedado constatado en el Hecho Probado Tercero, MEDIASET tuvo que dirigirle 3 comunicaciones (el 1, el 8 y el 25 de abril de 2022) hasta que, por fin, el 25 de abril procedió a su retirada. Esta tardanza provocó que, con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/102 fecha 22 de abril de 2022, esta Agencia procediera a emitir una orden de retirada del vídeo directamente a DISPLAY. Asimismo, una vez recibida la citada orden por DISPLAY, el 22 de abril de 2022, tal y como consta en el acuse de recibo que obra en el expediente y al que nos remitimos, no procedió a responder a esta Agencia sobre el cumplimiento de la medida tal y como se le exigía en dicha orden. Alega asimismo DISPLAY que no se le puede sancionar pues al haber actuado diligentemente se le está exigiendo una responsabilidad objetiva vulnerando ello el principio de culpabilidad que rige en nuestro ordenamiento jurídico y que exige la concurrencia de alguna clase de dolo o culpa. Frente a ello, tal y como se ha expuesto en apartados anteriores de este fundamento de derecho, la conducta infractora que se le reprocha a DISPLAY es por publicar en su página web un vídeo en el que aparecen datos personales que no deberían aparecer por cuanto suponen un incumplimiento del artículo 5.1.
  13. c)del RGPD, pues no resultan ser necesarios para la finalidad perseguida. Queda patente la falta de diligencia debida en el hecho de no haber establecido un control adecuado para evitar la publicación de datos personales excesivos y, a mayor abundamiento, por haber establecido un sistema automático que, según indica, no le permitía realizar un control previo a cualquier publicación. El principio de culpabilidad es exigido en el procedimiento sancionador, pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada. El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable.” El mismo Tribunal razona que “no basta...para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia.” (STS 23 de enero de 1998). A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29de junio de 2001). Esa falta de diligencia de DISPLAY, como responsable del tratamiento, a la hora de determinar un medio inadecuado que, según indica, no le permite realizar un control adecuado de los tratamientos de datos personales que realiza, así como el hecho de haber publicado un vídeo con datos personales que no deberían visualizarse, por resultar excesivos para la finalidad pretendida, es lo que constituye el elemento de la culpabilidad. En cuanto a la remisión que hace DISPLAY al expediente nº E/01654/2012, tramitado por esta Agencia, para apoyar el argumento de que resulta inequívoca la aplicabilidad en el procedimiento sancionador del principio “nullum crimen sine culpa”, se significa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/102 que en dicho expediente se archivaron las actuaciones contra la denunciada en virtud del principio de presunción de inocencia, por no existir prueba de cargo suficiente para imputar infracción alguna, ya que no se aportó por el denunciante, a pesar de ser requerido para ello, documento alguno que permitiese verificar la versión de los hechos ofrecida por el denunciante o al menos que facilitara un principio de prueba. Por tanto, no existe relación entre los motivos por los que se archivó aquel expediente con lo argumentado ahora por DISPLAY, además de que la normativa aplicable era otra por no estar vigente en ese momento el RGPD. Por todo lo expuesto, se concluye que DISPLAY es la responsable de que todo lo que publica en su web cumple con la normativa de protección de datos, ya sean vídeos, fotos, audios, artículos escritos, etc., (tal y como consta en el Hecho Probado Diez) no pudiendo escudarse y pretender como eximente de su responsabilidad tanto la actuación previa de terceros, como el hecho de haber adoptado un sistema automático para publicar los vídeos producidos por la Agencia Atlas. SEGUNDA. - Sanción desproporcionada En este apartado, DISPLAY alega lo siguiente: A) Sanción desmedida en relación con los resultados de la actividad de DISPLAY Indica DISPLAY que, de conformidad con lo establecido en el artículo 83.5 del RGPD, uno de los límites máximos para sancionar es el 4% del volumen de negocio y dado que durante ejercicio 2021 su volumen de negocio ascendió a la cantidad de ***CANTIDAD.1 euros, el 4% de la misma es la cantidad de ***CANTIDAD.2 euros, por lo que la sanción propuesta de 300.000 euros supera ese límite. Frente a lo alegado, procede señalar varias cosas. En primer lugar, el artículo 83.1 RGPD establece que las multas administrativas por las infracciones del RGPD deben ser “…en cada caso individual efectivas, proporcionadas y disuasorias”, indicando a continuación en el apartado 2 del citado precepto, que “Las multas administrativas se impondrán en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas…” (el subrayado es nuestro). Estableciendo a continuación determinadas circunstancias a tener en cuenta. Así, el cálculo del importe de las multas queda a decisión de la autoridad de control, con sujeción a las normas previstas en el RGPD. En este contexto, el RGPD exige, como se ha señalado, que el importe de la multa sea en cada caso efectivo, proporcionado y disuasorio (artículo 83, apartado 1, del RGPD). Además, al fijar el importe de la multa, las autoridades de control tendrán debidamente en cuenta una lista de circunstancias que se refieren a las características de la infracción (su gravedad) o al carácter del autor (artículo 83, apartado 2, del RGPD). Por último, el importe de la multa no excederá de los importes máximos previstos en el artículo 83, apartado 4, apartados 5 y 6, del RGPD. Por lo tanto, la cuantificación del importe de la multa se basa en una evaluación específica realizada en cada caso, dentro de los parámetros previstos por el RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/102 Además, debe tenerse en cuenta que el cálculo de una multa no es un mero ejercicio matemático, siendo las circunstancias del caso específico los factores determinantes que conducen a la cantidad final, que puede ser, en todos los casos y para cada infracción, una cantidad distinta hasta el máximo legal. En segundo lugar, en cuanto al límite máximo, a DISPLAY se le imputa la infracción de artículo 5.1.
  14. c)RGPD la cual viene tipificada en el artículo 83.5. A este respecto, el artículo 83.5 RGPD señala que las infracciones de las disposiciones que indica “…se sancionarán con multas administrativas de 20.000.000 EUR, como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen del negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía” (el subrayado es nuestro). Pues bien, revisadas las alegaciones formuladas al respecto sobre la falta de proporcionalidad de la sanción y atendiendo a las circunstancias concurrentes en el caso concreto, se puede entender que resulte desproporcionada, por lo que nos permite ajustar el importe de partida, estimándose esta alegación atendiendo al volumen de negocio total anual global del ejercicio económico anterior de DISPLAY (año 2022). En este sentido, las Directrices 04/2022 del CEPD sobre el cálculo de las multas bajo el RGPD, versión 2.0, adoptadas el 24 de mayo de 2023 disponen que “131. El artículo 83, apartados 4 a 6, del RGPD establece que se utilizará el volumen de negocios anual mundial total del ejercicio anterior. En cuanto a la cuestión de a qué evento se refiere el término «anterior», la jurisprudencia del TJUE en materia de Derecho de la competencia también debe aplicarse a las multas del RGPD, de modo que el acontecimiento pertinente sea la decisión de multa dictada por la autoridad de control y no el momento de la infracción ni la decisión judicial”. La estimación de la alegación no afecta a la consideración y concurrencia de las circunstancias agravantes constatadas por la AEPD, sin que, asimismo, la multa pierda tampoco ahora su carácter de individualizada, disuasoria y efectiva a la luz de las alegaciones formuladas. Tan sólo se estima la alegación en cuanto al elemento relativo a la proporcionalidad de la sanción. B) No se consideran correctamente las agravantes apreciadas En este apartado, DISPLAY no está de acuerdo con las agravantes consideradas en el Acuerdo de Inicio para cuantificar la sanción, entendiendo que son erróneas. Así, alega lo siguiente: - Agravante relativa al alcance o propósito de la operación, así como a los interesados afectados (artículo 83.2.
  15. a)del RGPD) Considera DISPLAY que es totalmente imposible reconocer el nombre completo de ninguna de las personas afectadas si el vídeo se ve a su velocidad normal, resultando ser totalmente necesario pausar la imagen y, aun así, su mala calidad y escasa definición hace muy costoso leer los nombre y apellidos de las afectadas. Asimismo, señala que no es cierto que el número de afectadas ascienda a 56, sino como mucho C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/102 de 31 y además en muchos casos ni siquiera se puede leer bien el nombre y/o apellidos, tal y como acredita con los fotogramas aportados como Documento nº 9 a 12. A este respecto, se significa que, de conformidad con lo indicado en el Antecedente de Hecho Sexto y en el Hecho Probado Decimoprimero, se procedió por esta Instructora, el 18 de octubre de 2023, a practicar diligencia relativa a la impresión de varias imágenes del vídeo publicado en la web publico.es. En dicha diligencia, en la que se da por reproducidos a efectos probatorios la impresión de varias imágenes del vídeo que obra en el expediente y a las que nos remitimos, se visualizan los datos personales de 51 mujeres registradas en el sistema VioGén como víctimas de violencia de género, en las que se ve el nombre y apellidos de las mismas, así como distintas clasificaciones en función de sus circunstancias concretas. Por tanto, ha quedado acreditado que se publicaron los datos personales de 51 mujeres víctimas de violencia de género. El hecho de que sean 5 menos que las que se indicaron en el Acuerdo de Inicio no supone una disminución de la gravedad de la infracción, a efectos del artículo 83.2.
  16. a)del RGPD. Es más, incluso en el supuesto de que, tal y como afirma la reclamada, hubieran sido 31 las afectadas, seguiría siendo un número alto a estos efectos, teniendo en cuenta el riesgo alto de daños y perjuicios que puede suponer para las afectadas la difusión de su identidad. - Agravante relativa a la existencia de intencionalidad o negligencia de la infracción de la parte reclamada (artículo 83.2.
  17. b)del RGPD) DISPLAY vuelve a insistir en la falta de negligencia en su actuación, remitiéndose a lo alegado anteriormente al respecto. Añade, asimismo que es errónea la apreciación de que DISPLAY es una entidad cuya actividad lleva aparejado un continuo tratamiento de datos personales, pues su actividad no es el tratamiento de datos, sino la publicación de información y noticias de actualidad, que no tiene por qué contener datos personales y que, sólo en situaciones excepcionales divulga algún dato personal de personajes públicos. Frente a ello, en primer lugar, respecto a que DISPLAY actuó en todo momento con diligencia debida, ya se ha respondido sobre su conducta negligente en el apartado Primero de este Fundamento de Derecho, al que procede remitirse. En segundo lugar, se significa que no se ha indicado por esta Agencia que la actividad de DISPLAY sea el tratamiento de datos personales, sino que su actividad -publicación de información y noticias de actualidad, tal y como la denomina- lleva aparejada el tratamiento continuo de datos personales. Así, no puede obviarse, además del tratamiento de los datos personales de los usuarios suscritos a contenidos de pago, que su actividad de publicación de información y de noticias continuamente supone un tratamiento de datos personales (imágenes de personas que aparecen en los vídeos, datos identificativos de algunas de ellas, etc). En este aspecto, no es discutible que un medio de comunicación, como es DISPLAY, por la actividad que realiza, supone un tratamiento continuo de datos personales en el que ha de prestar especial atención al cumplimiento del RGPD en las publicaciones y difusiones que realiza. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/102 - Agravante relativa a toda infracción anterior cometida por el responsable del tratamiento (artículo 83.2.
  18. e)del RGPD) Sostiene DISPLAY que es erróneo considerarla por cuanto la sanción del expediente PS/00194/2022 trae causa de otro vídeo de la misma agencia Atlas, al que resulta aplicable las consideraciones realizadas al respecto de su actuación no negligente. Asimismo, insiste en que en ambos expedientes consta acreditado que el origen de la información no es en ningún caso de DISPLAY, sino de terceras fuentes y que actuó de forma diligente en la retirada de los datos personales, así como la asunción de la responsabilidad y el pronto pago de las sanciones allí impuestas, lo que debe valorarse como una evidencia del ánimo de DISPLAY de colaborar siempre con la AEPD. A este respecto, se significa que no procede aceptar en modo alguno lo pretendido por la reclamada. En primer lugar, porque en el PS/00555/2022, tras el Acuerdo de Inicio se acogió al pronto pago utilizando las dos reducciones que permite la ley, lo que implicó el reconocimiento de la responsabilidad por parte de DISPLAY. Es decir, la reclamada reconoció su responsabilidad en relación con los hechos que se le imputaban y que eran constitutivos, además, de una infracción igual a la que ahora interesa. En segundo lugar, ya se ha argumentado la falta de diligencia de DISPLAY a la hora de publicar el vídeo en cuestión. Asimismo, no procede, tal y como también se ha señalado anteriormente, aceptar su falta de responsabilidad en el hecho de que el origen del vídeo venga de terceras fuentes, pues la infracción que se le imputa no es la de haber elaborado el vídeo, sino la de haberlo publicado en su página web. Por tanto, con independencia de la posible responsabilidad o falta de diligencia de terceros, DISPLAY no puede eludir la suya propia como responsable del tratamiento que realiza, de conformidad con sus propios fines y de acuerdo con los medios que ha establecido para ello. En cuanto a la retirada de los vídeos o publicaciones en cuestión, así como el pronto pago realizado por DISPLAY en los dos procedimientos sancionadores anteriores a este, resulta del todo inaceptable que puedan ser considerados como atenuantes ni como una expresión de una colaboración con la AEPD. Así, la retirada de lo publicado no se realizó de forma espontánea por DISPLAY, sino que lo fue como consecuencia de órdenes emitidas por esta Agencia, las cuales son de obligado cumplimiento, no reflejando, por tanto, una conducta colaborativa sino un proceder obligado por la ley. En lo relativo a pretender que el pago de las sanciones, acogiéndose en una de ellas a la posibilidad de un pronto pago, supone una conducta colaborativa con esta Agencia, resulta del todo inaceptable por cuanto el abono de las sanciones es de obligado cumplimiento, siendo el pronto pago una posibilidad permitida por la ley que tiene el sancionado de acogerse de forma voluntaria, por lo que en ningún caso puede tener la consideración de un atenuante en conductas infractoras posteriores. En cuanto al PS/00194/2022, en el mismo DISPLAY no formuló alegación alguna, siendo sancionado por la misma infracción que ahora se le imputa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/102 - Agravante relativa a las categorías de datos personales afectados por la infracción (artículo 83.2.g del RGPD) Entiende DISPLAY que se le está aplicando dos veces como agravante la misma circunstancia de tratarse de datos personales de mujeres víctimas de violencia de género, lo cual entiende que supone una vulneración del principio de non bis in idem. A este respecto, se significa que la primera circunstancia agravante tenida en cuenta (artículo 83.2.a RGPD) se refiere a la pérdida de disponibilidad de los datos personales afectados, pues los mismos han sido publicados. La agravante se centra en que al haber sido publicados (en un portal web), la pérdida de control es absoluta y el alto riesgo que ello conlleva al ser las afectadas víctimas de violencia de género. En cuanto a esta agravante (artículo 83.2.g del RGPD), el foco se pone en la categoría de datos personales afectados, que se considera que tienen un carácter sensible al ser víctimas de violencia de género. - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales, (artículo 76.2.b de la LOPDGDD) Vuelve a insistir DISPLAY que no realiza una actividad vinculada a la realización de tratamientos de datos personales, sino que realiza la actividad propia de un medio de información digital. A este especto, procede remitirse a lo argumentado anteriormente respecto a la agravante relativa a la existencia de intencionalidad o negligencia de la infracción de la parte reclamada, en el sentido de que su actividad de publicación de información y de noticias sí que supone un continuo tratamiento de datos personales, propio de un medio de comunicación digital. Por lo expuesto, procede desestimar todas estas alegaciones referidas a las circunstancias agravantes aplicadas. A mayor abundamiento, procede remitirse también a los motivos expuestos para la aplicación de cada circunstancia agravante que se indicaron en el Acuerdo de Inicio del presente procedimiento sancionador y que se reproducen en el Fundamento de Derecho X de la presente Propuesta. C) No se aprecian atenuantes que concurren Bajo este apartado, DISPLAY procede a indicar determinadas circunstancias que entienden deben apreciarse para atenuar la sanción: - El nivel de los daños y perjuicios sufridos por las afectadas Indica DISPLAY que se le ha aplicado como agravante el elevado riesgo de identificación de las mujeres afectadas por la publicación de los datos, lo cual no es nada más que eso, un riesgo de sufrir daños y perjuicios derivados de tal identificación, pero que, sin embargo, se olvida la AEPD de considerar que no consta acreditado ningún caso concreto de ninguna afectada que haya visto concretado ese riesgo en un daño o perjuicio cierto. Es más, que no consta ninguna reclamación de ninguna afectada. Asimismo, realiza el ofrecimiento de que, si alguna afectada ha sufrido algún daño o perjuicio concreto y real, poner todos los medios necesarios para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/102 mitigarlo o reducirlo y que ello debe considerarse a efectos de atenuación de la sanción, de conformidad con el artículo 83.2.c del RGPD. Frente a ello se significa que el hecho de que no conste la materialización de un perjuicio o daño para alguna de las afectadas, ello no puede suponer una atenuación de la sanción porque, de contrario, de constatarse dicha materialización ello supondría una circunstancia agravante. Asimismo, que no conste que se haya materializado el riesgo alto (el cual, ha sido provocado precisamente por la actuación negligente y contraria al RGPD de DISPLAY) en un daño o perjuicio concreto y efectivo no impide que el riesgo de identificación de las afectadas sea muy alto y también la probabilidad de que se materialicen en graves daños y perjuicios para las mismas, no aceptándose el modo alguno la postura de la reclamada desdeñando dicho riesgo al referir que “lo cual no es nada más que eso, un riesgo de sufrir daños y perjuicios derivados de tal identificación”. Precisamente las obligaciones que impone el RGPD a los responsables del tratamiento se establecen con la finalidad de proteger los derechos de los interesados desde el enfoque de los riesgos presentes en los tratamientos de datos personales, identificando los riesgos, valorándolos, evaluándolos e implementando medidas técnicas y organizativas de todo tipo para mitigar o evitar la probabilidad de materialización. Por lo mismo, no puede aceptarse tampoco como atenuante el que se ofrezca ahora de forma genérica, en el caso de que alguna de las afectadas haya sufrido algún perjuicio concreto, de poner medios para mitigarlos y repararlos, pues el artículo 83.2.c del RGPD se refiere a tener en cuenta “cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados” es decir, medidas ciertas y ya adoptadas, y no ha posibles medidas futuras que supuestamente pudiera adoptar en caso de que alguna de las afectadas sufriera algún daño. - Concurrencia de actuaciones negligentes de terceros DISPLAY insiste aquí de nuevo en que la revelación de datos que ella ha realizado trae causa de la concatenación de actos negligentes de terceros ajenos a ella. A este respecto, ya se ha dejado claro que la posible responsabilidad de terceros no exime ni atenúa la responsabilidad en que ella ha incurrido al publicar los datos personales en su página web. Procede remitirse, por tanto, a todo lo anterior ya argumentado. - Retirada inmediata de la información No procede tener en cuenta como atenuante, tal y como ya se ha argumentado anteriormente. No obstante, procede añadir que no procedió a la inmediata retirada del vídeo tal y como insiste, pues ha quedado constatado en el Hecho Probado Tercero, que MEDIASET tuvo que dirigirle 3 comunicaciones (el 1, el 8 y el 25 de abril de 2022) hasta que, por fin, el 25 de abril procedió a su retirada. Esta tardanza provocó que, con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/102 fecha 22 de abril de 2022, esta Agencia procediera a emitir una orden de retirada del vídeo directamente a DISPLAY. Asimismo, una vez recibida la citada orden por DISPLAY, el 22 de abril de 2022, tal y como consta en el acuse de recibo que obra en el expediente y al que nos remitimos, no procedió a responder a esta Agencia sobre el cumplimiento de la medida tal y como se le exigía en dicha orden. - La escasísima difusión del vídeo y los nulos rendimientos obtenidos Sostiene DISPLAY, aportando documentación acreditativa al respecto, que el vídeo sólo tuvo 385 visualizaciones, lo que se traduce en un nulo beneficio, lo que debe considerarse como un atenuante en virtud del artículo 83.2.
  19. k)del RGPD Frente a ello, procede señalar que, sobre este criterio, el artículo 76.2 de la LOPDGDD, en su letra c), incluye entre los criterios que deben sopesarse a la hora de fijar la cuantía de la sanción “los beneficios obtenidos como consecuencia de la comisión de la infracción” y no la ausencia de estos beneficios. La Sentencia de la Audiencia Nacional, de 05/05/2021, se refiere a la necesidad de que concurra el “presupuesto” de hecho contemplado en la norma para que pueda aplicarse un determinado criterio de graduación, y, como se ha dicho, la ausencia de beneficios no está entre las circunstancias reguladas en el artículo citado. Este criterio de graduación se establece en la LOPDGDD de acuerdo con lo previsto en el artículo 83.2.
  20. k)del RGPD, según el cual las multas administrativas se impondrán teniendo en cuenta cualquier “factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”, entendiéndose que evitar una pérdida tiene la misma naturaleza a estos efectos que la obtención de beneficios. Si a esto añadimos que las sanciones deberán ser “en cada caso individual” efectivas, proporcionadas y disuasorias, conforme a lo previsto en el artículo 83.1 del RGPD, admitir la ausencia de beneficios como una atenuante no solo es contrario a los presupuestos de hechos contemplados en el artículo 76.2.c), sino también contrario a lo establecido en el artículo 83.2.
  21. k)del RGPD y a los principios señalados. Así, valorar la ausencia de beneficios como una atenuante anularía el efecto disuasorio de la multa, en la medida en que minora el efecto de las circunstancias que inciden efectivamente en su cuantificación, reportando al responsable un beneficio al que no se ha hecho merecedor. Sería una rebaja artificial de la sanción que puede llevar a entender que infringir la norma sin obtener beneficios, financieros o del tipo que fuere, no le producirá un efecto negativo proporcional a la gravedad del hecho infractor. En todo caso, las multas administrativas establecidas en el RGPD, conforme a lo establecido en su artículo 83.2, se imponen en función de las circunstancias de cada caso individual y, en el presente, no se estima que la ausencia de beneficios sea un factor de graduación adecuado y determinante para valorar la gravedad de la conducta infractora. - C/ Jorge Juan, 6 28001 – Madrid La especialmente intensa y decidida actividad de “Público” en defensa del colectivo de las mujeres maltratadas y su reconocimiento público www.aepd.es sedeagpd.gob.es 40/102 Pretende DISPLAY que, al amparo del artículo 83.2.k), hacer valer como atenuante las actividades que indica realizadas desde el diario en defensa de las mujeres víctimas de violencia de género. A este respecto, debe aclararse que lo que se le reprocha aquí no es si participa o no de forma activa o de cualquier otra forma en defensa o con reconocimiento público de las mujeres víctimas de violencia de género, sino el incumplimiento del RGPD al haber publicado datos excesivos para la finalidad pretendida, contraviniendo con ello el artículo 5.1.
  22. c)del mismo, conducta que aparece tipificada como infracción en el artículo 83.5 del citado Reglamento. Por tanto, no procede tener en cuenta estas últimas consideraciones alegadas. TERCERA.- Ausencia de culpabilidad y antijuridicidad de DISPLAY. Datos ficticios Finalmente, y como alegaciones complementarias a las inicialmente presentadas por DISPLAY, indica que, de conformidad con los ejemplos que aporta, cuando el Ministerio del Interior o las Fuerzas y Cuerpos de Seguridad del Estado (en adelante FCSE), muestran datos reales contenidos en el sistema VioGen los tapan (ofuscan) o bien, cuando no lo hacen, son datos ficticios, debe concluirse que los datos personales que aparecían e

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.