1/4 A/00174/2017 Recurso de Reposición Nº RR/00970/2017 Examinado el recurso de reposición interpuesto por D. C.C.C. contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos, de fecha 16 de noviembre de 2017, y en base a los siguientes HECHOS PRIMERO: Con fecha 16 de noviembre de 2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando el archivo de la denuncia nº A/00174/2017, presentada por D. B.B.B. y Dª. A.A.A. relativa al tratamiento de sus datos personales sin su consentimiento, en particular, imágenes de su boda en páginas web del fotógrafo D. D.D.D.. Dicha resolución, fue notificada al recurrente en fecha 23 de noviembre de 2017, según aviso de recibo que figura en el expediente. SEGUNDO: D. C.C.C., en representación de D. B.B.B. y Dª. A.A.A. (en lo sucesivo los recurrentes) presentó en fecha 23 de diciembre de 2017, con entrada en esta Agencia Española de Protección de Datos en fecha 27 de diciembre de 2017, recurso de reposición, fundamentándolo, básicamente, en que el denunciado, D. D.D.D., no había a fecha 22 de diciembre de 2017 retirado las fotos de D. B.B.B. y Dª. A.A.A., tal como se acredita con la documentación aportada, en relación con la búsqueda de sus imágenes utilizando la expresión “ ***EXPRESIÓN.1”; ello sin su consentimiento para dicho tratamiento de datos personales. TERCERO: Con fecha 10 de enero de 2018 la Inspección de Datos de esta Agencia procedió a acceder a internet a través del buscador Google, indicándose que se facilitasen imágenes asociadas al concepto “***CONCEPTO.1”, dando el resultado consistente en la aparición de imágenes de los recurrentes, alojadas en la dirección ***URL.1. CUARTO: Con fecha 11 de enero de 2018, y de acuerdo con lo establecido en el artículo 118.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se remitió a D. D.D.D. copia del recurso de reposición (y su documentación anexa) interpuesto por los recurrentes, a fin de que formulase las alegaciones que considerase oportunas. Asimismo, se remitió a los mismos efectos la correspondiente diligencia de constatación de hechos realizada por la Inspección de Datos, detallada en el punto anterior; resultando el envío postal como desconocido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP). II El artículo 6.1 de la LOPD señala que: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Por otra parte, el artículo 6 del Reglamento General de Protección de Datos, Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 94/46/CE (RGPD), establece que el tratamiento de datos personales “solo será lícito si se cumple la menos una de las siguientes condiciones”: “
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que le interesado es parte o para la aplicación a petición de este de medidas precontractuales” (…); norma en vigor y aplicable a partir del 25 de mayo de 2018. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En consecuencia, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste. El citado RGPD en su artículo 7.1) sintetiza, por su parte, en relación con el consentimiento del interesado que “el responsable deberá ser capaz de demostrar que aquél consintió el tratamiento de sus datos personales”. Cabe decir por tanto que, ante la falta de acreditación por parte del denunciado del consentimiento inequívoco de las personas denunciantes para el tratamiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 sus datos personales, y ante la ausencia de cobertura legal que amparase dicho tratamiento sin consentimiento, se podría estimar vulnerado por la persona denunciada el artículo 6.1 de la LOPD. En el presente caso concreto, con fecha 16 de noviembre de 2017, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando el archivo de la denuncia nº A/00174/2017, presentada por D. B.B.B. y Dª. A.A.A. relativa al tratamiento de sus datos personales sin su consentimiento, en particular, imágenes de su boda en páginas web del fotógrafo D. D.D.D.. El posible apercibimiento para este caso concreto no hubiera tenido aparejado requerimiento o medida alguna a adoptar por el denunciado, pues el denunciado comunicó a esta Agencia (y así se constató por la Inspección de Datos) que había regularizado la situación irregular, al retirar las imágenes de los denunciantes de los sitios objeto de su denuncia, sin que se pudiera requerir una medida ya adoptada, por lo que se procedió al archivo de dichas actuaciones. En este sentido conviene traer a colación lo dispuesto en las Sentencias de la Audiencia Nacional, 455/2011 de fecha 29 de noviembre de 2013 y 166/2013 de fecha 10 de junio de 2014, que señalan que la figura del apercibimiento tiene que llevar aparejada medidas concretas para el sujeto apercibido, ya que de otro modo se otorgaría al apercibimiento una suerte de naturaleza sancionadora, y nos hallaríamos ante la imposición de una sanción no prevista en la normativa aplicable al caso vulnerando los artículos 25 y 27 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público. En conclusión, la actuación administrativa procedente en Derecho fue el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno al denunciado, pues así se deduce de la correcta interpretación de la normativa sobre protección de datos personales, atendida su interpretación sistemática y teleológica. No obstante, los denunciantes presentaron en fecha 23 de diciembre de 2017, recurso de reposición contra el archivo de la denuncia inicial, fundamentándolo, básicamente, en que el denunciado, D. D.D.D., no había a fecha 22 de diciembre de 2017 retirado las fotos de D. B.B.B. y Dª. A.A.A., tal como se acredita con la documentación aportada, en relación con la búsqueda de sus imágenes utilizando la expresión “ ***EXPRESIÓN.1”; ello sin su consentimiento para dicho tratamiento de datos personales. Por ello, con fecha 10 de enero de 2018 la Inspección de Datos de esta Agencia procedió a acceder a internet a través del buscador Google, indicándose que se facilitasen imágenes asociadas al concepto “***CONCEPTO.1”, dando el resultado consistente en la aparición de imágenes de los recurrentes, alojadas en la dirección ***URL.1. Y, con fecha 11 de enero de 2018, y de acuerdo con lo establecido en el artículo 118.2 de la ya citada Ley 39/2015, se remitió a D. D.D.D. copia del recurso de reposición (y su documentación anexa) interpuesto por los recurrentes, a fin de que formulase las alegaciones que considerase oportunas. Asimismo, se remitió a los mismos efectos la correspondiente diligencia de constatación de hechos realizada por la Inspección de Datos, ya detallada más arriba; resultando el envío postal como desconocido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 III Por tanto, conforme a lo expuesto, procede la estimación del recurso planteado y dejar sin efecto lo resuelto en la resolución recurrida que aplicó la doctrina de la Audiencia Nacional, sin que concurriesen las circunstancias necesarias. Por ello procede apercibir a D. D.D.D. para que proceda a cesar en el tratamiento indebido de los datos personales de D. B.B.B. y Dª. A.A.A., por no contar con su consentimiento para dicho tratamiento, ya analizado más arriba. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR el recurso de reposición interpuesto por D. C.C.C., en representación de D. B.B.B. y Dª. A.A.A., contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 16 de noviembre de 2017. SEGUNDO: APERCIBIR a D. D.D.D., con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, por la infracción de su artículo 6.1 de la LOPD, infracción tipificada como grave en el artículo 44.3.
- b)de dicha Ley Orgánica y REQUERIR a D. D.D.D. para que aporte a esta Agencia Española de Protección de Datos documentación que acredite el cumplimiento de los dispuesto en dicho artículo 6.1 de la LOPD, en relación con el tratamiento indebido de los datos personales de los recurrentes. TERCERO: NOTIFICAR la presente resolución a D. C.C.C. (D. B.B.B. y Dª. A.A.A.) y a D. D.D.D.. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es