1/14 Expediente nº.: EXP202300842 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por A.A.A. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 13 de julio de 2023, y en base a los siguientes HECHOS PRIMERO: Con fecha 13 de julio de 2023, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente EXP202300842, en virtud de la cual se imponía a A.A.A. una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
- a)del RGPD, una multa de 10.000€ (diez mil euros). Dicha resolución, que fue notificada a la parte recurrente en fecha 10 de agosto de 2023, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00033/2023, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO: Consta que en fecha 20 de mayo de 2022, la parte reclamante interpuso reclamación ante la Agencia Española de Protección de Datos, toda vez que la parte reclamada utilizó con fines promocionales un vídeo en el que aparece la imagen, la voz, nombre, primer apellido y localidad de residencia de la parte reclamante, junto con su testimonio, grabado con ocasión de un curso de formación al que asistió, sin haber contado con su consentimiento. SEGUNDO: Comprobada la documentación aportada y que se encuentra incorporada al expediente, consta copia del vídeo con su testimonio, así como captura de pantalla que acreditan su publicación, asociado a su nombre, primer apellido y localidad de residencia, en la siguiente página web: ***URL.1 TERCERO: La parte recurrente ha presentado en fecha 17 de agosto de 2023, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente, en: 1.- La existencia de un error en la dirección en la que se han practicado las notificaciones, puesto que la dirección que figura en las notificaciones es “calle ***DIRECCIÓN.1,” mientras que la dirección de la parte reclamada es “calle C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 ***DIRECCIÓN.2,” de tal manera que las notificaciones se estaban realizando en otra vivienda que nada tenía que ver con la parte recurrente. De este modo, considera que estas notificaciones, si bien tienen plena eficacia, han causado a la parte reclamada indefensión en su derecho de defensa, sin posibilidad de proteger sus derechos e intereses legítimos. para acreditar esta circunstancia, aporta certificado de empadronamiento. Asimismo, manifiesta que la parte recurrente se encuentra inscrita en el portal de notificaciones 060, del que recibe notificaciones de la Administración, y que no ha recibido ninguna notificación por ese canal. Aporta, para acreditar su inscripción, un aviso de notificación de la Administración tributaria canaria. En relación con el hecho de que las notificaciones practicadas en el presente expediente sancionador podrían dar lugar a indefensión hace referencia a la STC 84/2022, de 27 de junio, donde se analiza la eficacia de los actos de comunicación efectuados por la Administración Pública con especial mención a los procedimientos sancionadores, así como a la SAN5262/2021, de 16 de noviembre, de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, donde, en su F.J 5º también se hace referencia a la falta de defensa de quien no es notificado fehacientemente. 2.- Asimismo, presenta las siguientes alegaciones a la resolución del procedimiento:
- a)La parte recurrente manifiesta que la parte reclamante indicó que había sido víctima de unas grabaciones con conversaciones personales sin su consentimiento, para su divulgación con fines promocionales. La parte recurrente manifiesta que sí se producen estas sesiones grabadas, que son realizadas a través de la aplicación “zoom”, y es esta aplicación la que ofrece información al usuario, otorgando el consentimiento cuando accede a la sesión. Dicho consentimiento se prestaría de la siguiente manera: “La reunión se está grabando. El propietario de la cuenta puede ver esta grabación si se almacena en la nube. Los participantes con permiso pueden grabar y compartir su grabación con aplicaciones y otros. Los participantes con permisos pertinentes también pueden guardar y compartir la transcripción de la reunión. Al seguir formando parte de esta reunión, está dando su consentimiento para que le graben.” La parte recurrente manifiesta que la parte reclamante era conocedora de la grabación de la sesión, y de la finalidad para la que se estaba realizando la grabación. Añade que al acceder a la plataforma se informaba a los asistentes que la grabación se ponía a disposición de las personas inscritas que no habían podido acceder al directo de la sesión, de tal manera que la parte reclamante conocía las grabaciones y su posible visualización posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14
- b)explicación del funcionamiento de la estrategia comercial del reto de los cinco días. La estrategia comercial de la parte recurrente consistía en ofrecer gratuitamente la experiencia antes de adquirir el producto. El funcionamiento del reto en el que participaba la parte reclamante tenía una duración de cinco días. El lunes, martes y miércoles se recibía un video “de valor” en horario de mañana para una reunión “de mentoría” a celebrar por la tarde a través de zoom. El miércoles se realizaba una sesión conjunta de “valor y mentoría”, en la que, una vez finalizada, se ofrecía a los participantes el curso de pago. En esta sesión se ofrecían testimonios grabados de antiguos participantes que ya habían realizado el curso, y se ofrecía la posibilidad a los asistentes en directo de poder dar su testimonio. Y añade que esto es lo que ocurrió con la parte reclamante, de tal manera que asistió en directo para dar su testimonio de manera voluntaria, y conociendo la existencia de la grabación. La parte recurrente pone de manifiesto que esta sesión “en directo” quedaba disponible para las personas que no habían podido asistir, para poder visualizarlas en los siguientes cuatro días, es decir, jueves, viernes, sábado y domingo, quedando almacenada en la plataforma XXXXX. Además, los testimonios realizados en directo se extractan de la grabación de la sesión para ser incluidos en una página de testimonios, (alojada en XXXXXXXX) y únicamente se comparte con los participantes de ese reto en concreto. La parte recurrente insiste en que, aunque el link público de la página de testimonios al que se hace referencia en esta reclamación es el mismo para todos los retos, se redirige a una página diferente de “XXXXXXXX” que es exclusiva para cada reto, y, por tanto, los testimonios expresados “en directo” solo pueden ser visualizados por los participantes de ese reto. La parte recurrente añade que una vez finalizado el reto y las sesiones gratuitas, se ofrece a los participantes la posibilidad de adquirir un curso de pago. Esta carta de venta solo se compartiría con los mismos participantes, y también permitiría visualizar el testimonio ofrecido en la sesión “en directo”. Una vez finalizado el reto el domingo por la noche, todos los links utilizados se redirigen a una única página que indica que “el reto ya ha finalizado, esta página ya no está disponible”, de tal manera que las grabaciones ya no están disponibles. En este punto, la parte recurrente pone de manifiesto que es por eso que esta AEPD no ha podido visualizar los videos, como se reconoce en la resolución. La parte recurrente pone de manifiesto que la parte reclamante conocía el funcionamiento de los “retos” puesto que ya había participado en los mismos, y conocía el hecho de que los testimonios eran compartidos con el resto de los participantes del reto. Con relación a las publicaciones en la red social FACEBOOK, la parte recurrente manifiesta que los días previos al inicio de un reto, se realizan anuncios de captación en dicha red social. Indica que, una vez iniciado el reto, el jueves y el viernes se ponen C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 anuncios con parte del contenido de la clase “en directo”, y hasta el domingo se ponen anuncios con la oferta del curso asociado a los testimonios ofrecidos consciente y voluntariamente. Añade que estos últimos anuncios son de pago, y solamente son accesibles por los participantes registrados en el reto, no pudiendo ser vistos al no ser de dominio público. Con esta explicación, la parte recurrente quiere poner de manifiesto que la parte reclamante conocía este funcionamiento, y añade que incluso se le había ofrecido formar parte del equipo laboral de la parte recurrente.
- c)incidencia de seguridad La parte recurrente pone de manifiesto que, a finales del mes de abril de 2022 algunas personas participantes de la plataforma reportaron incidencias de diversa índole, que no tuvieron explicación. En fecha 14 de mayo de 2022 la parte reclamante se comunicó con la parte recurrente para informarle de que su testimonio era visible por personas no inscritas en el reto, contestando la parte ahora recurrente que desconocía lo que estaba sucediendo, y tras investigar lo que estaba sucediendo, permitió descubrir una brecha de seguridad, en la medida en que, al revisar los links que deberían estar desactivados, se descubrió que volvían a estar activos y accesibles. La parte recurrente añade que, tras desactivar los links se descubrió, en las siguientes horas, que éstos volvían a estar publicados, siendo informada de que, probablemente, estaba sufriendo un hackeo intencionado. En relación con los videos alojados en XXXXX, una aplicación que permite la configuración de privacidad, la parte recurrente comprobó que, a pesar de que tenía por costumbre conservarlos como “ocultos” algunos se encontraban disponibles, procediendo por tanto a bloquearlos y ocultarlos. En relación con la red social FACEBOOK, indica que en fecha 15 de mayo, se eliminaron todos los contenidos publicados de cursos finalizados. Indica que, entre los días 14, 15 y 16 de mayo se eliminaron todos los links y videos de la página web, y se mantuvieron conversaciones con las personas que podían haberse visto afectadas, explicando la situación sufrida, y solicitando que reportaran cualquier comportamiento extraño en la red. En fecha 15 de mayo la parte recurrente activó la doble verificación personal antes de publicar contenidos en las redes sociales, y en los días posteriores se reportaron por varios participantes problemas al acceder, y la recepción de correos electrónicos extraños. En este momento, la parte recurrente no pudo acceder a su web, teniendo conocimiento de que su cuenta estaba hackeada, y procedió a comunicarse con la Guardia Civil, manifestando haber recuperado el control de la página el día 20 de mayo de 2022, y haberlo comunicado así a las personas participantes en los retos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 Asimismo, procedió a contratar un servicio de Servidor con mayores prestaciones de seguridad, y un servicio técnico.
- d)Alcance de la incidencia En relación con el alcance de la incidencia, manifiesta que se eliminaron todos los datos pertenecientes a esas fechas, incluidos los datos estadísticos. Añade que resulta imposible dar cumplimiento al pronunciamiento TERCERO se la resolución, en la que ordena, en virtud del artículo 58.2.
- d)del RGPD a que, en el plazo de un mes, acredite haber procedido a la retirada del video en cuestión de todas las plataformas donde pudiera aparecer”.
- e)actuaciones posteriores de seguridad. La parte recurrente menciona y aporta documentación con las medidas de seguridad implementadas Por todo lo expuesto, solicita la nulidad de la resolución del expediente sancionador, al constituir un acto nulo de pleno derecho: - por lesionar derechos y libertades susceptibles de amparo constitucional. - por incluir en su resolución un contenido imposible, según lo expuesto en la alegación cuarta. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Contestación a las alegaciones presentadas Primero: inexistencia de notificaciones, con posible indefensión a la parte recurrente. El artículo 42 de la LPACAP, referido a la práctica de las notificaciones en papel, establece que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 “1. Todas las notificaciones que se practiquen en papel deberán ser puestas a disposición del interesado en la sede electrónica de la Administración u Organismo actuante para que pueda acceder al contenido de las mismas de forma voluntaria. 2. Cuando la notificación se practique en el domicilio del interesado, de no hallarse presente éste en el momento de entregarse la notificación, podrá hacerse cargo de la misma cualquier persona mayor de catorce años que se encuentre en el domicilio y haga constar su identidad. Si nadie se hiciera cargo de la notificación, se hará constar esta circunstancia en el expediente, junto con el día y la hora en que se intentó la notificación, intento que se repetirá por una sola vez y en una hora distinta dentro de los tres días siguientes. En caso de que el primer intento de notificación se haya realizado antes de las quince horas, el segundo intento deberá realizarse después de las quince horas y viceversa, dejando en todo caso al menos un margen de diferencia de tres horas entre ambos intentos de notificación. Si el segundo intento también resultara infructuoso, se procederá en la forma prevista en el artículo 44. (…)” Y el artículo 44, referido a la Notificación infructuosa, dispone que: “Cuando los interesados en un procedimiento sean desconocidos, se ignore el lugar de la notificación o bien, intentada ésta, no se hubiese podido practicar, la notificación se hará por medio de un anuncio publicado en el «Boletín Oficial del Estado» Asimismo, previamente y con carácter facultativo, las Administraciones podrán publicar un anuncio en el boletín oficial de la Comunidad Autónoma o de la Provincia, en el tablón de edictos del Ayuntamiento del último domicilio del interesado o del Consulado o Sección Consular de la Embajada correspondiente. Las Administraciones Públicas podrán establecer otras formas de notificación complementarias a través de los restantes medios de difusión, que no excluirán la obligación de publicar el correspondiente anuncio en el «Boletín Oficial del Estado»”. En el presente caso, una vez examinado el expediente, se puede observar: 1. Una vez recibida la reclamación, se realizó un traslado de la misma a la persona recurrente, en el domicilio profesional, que figura en la reclamación presentada, y que coincide con el que la parte recurrente indica como su domicilio profesional. Este intento de notificación figura devuelto a origen por desconocido, en fecha 22/07/2022. Posteriormente, en fecha 01/08/2022 figura un nuevo intento de notificación del traslado a la dirección calle ***DIRECCIÓN.2, en fecha 04/08/2022, con el resultado de “ausente”, y un segundo intento de notificación el día 05/08/2022, con el resultado de “avisado”, resultando devuelto a origen por sobrante en fecha 16/08/2022. La causa “ausente” significa que Correos ha comprobado que el domicilio es correcto y no desconocido. Por ello, se consideró que no era necesario buscar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 un domicilio alternativo. A este ente público no le constaba señal alguna de que el domicilio pudiera ser incorrecto. 2. A su vez, una vez iniciado el procedimiento sancionador, el servicio de correos realizó un intento de notificación en fecha 05/06/2023 en calle ***DIRECCIÓN.2, con el resultado de “ausente”, y un segundo intento de notificación, en fecha 05/06/2023, con el resultado de “devuelto a origen por desconocido”. Por ello, se procedió a su publicación en el BOE el día 09/06/2023. 3. La resolución del procedimiento sancionador se intentó notificar, en calle ***DIRECCIÓN.2, los días 01/08/2023 con el resultado de “ausente” y 02/08/2023, con el resultado de “ausente, se dejó aviso en el buzón”, siendo posteriormente recogido en oficina el día 10/08/2023, por la parte reclamada. En consecuencia, se considera que esta Agencia Española de Protección de Datos actuó conforme a la normativa vigente. En este sentido, es mucha la jurisprudencia que como la Sentencia núm. 1322/2022 de 18 octubre. RJ 2022\503 y ya la STS de 12/12/1997 (RJ 1998, 2264) establecen los criterios que deben cumplirse para que el intento de notificación sea válido: 1. Que se haya practicado la notificación por dos veces, art. 42 Ley 39/2015. 2. Que exista un aviso de llegada 3. Que consten las causas concretas que impidieron la entrega. Por tanto, en el presente procedimiento sancionador, se realizó un intento de notificación en el domicilio que se indicaba en la reclamación, y que fue devuelto por desconocido, practicándose posteriormente en el domicilio particular de la parte reclamada, en la que ya figuraba como “ausente”. Además, este ente público entiende que el Servicio de Correos verifica y comprueba que es correcto y por eso la práctica de la notificación por correo certificado consta de dos intentos, los cuales quedan acreditados en el acuse de recibo, consignando la hora y fecha de su realización para comprobar que se han cumplido los requisitos formales del procedimiento y que no se han vulnerado los derechos del interesado. El segundo intento se practicó dentro de los tres días siguientes en hora distinta al primer intento- (el artículo. 42.2 de la LPACAP añade que entre el primer intento y el segundo debe existir, al menos, un lapso de tres horas). Una vez intentada la entrega de la carta certificada sin éxito, devuelta a la Oficina de Correos y transcurrido el plazo para recoger la carta certificada en la Oficina sin que el destinatario lo haga, el operador postal la devuelve a esta Agencia indicando "en el reverso del sobre del envío las causas de la devolución", es decir el mismo tratamiento que una notificación rechazada o rehusada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/14 Hay que destacar que en virtud del artículo 22.4 de la Ley 43/2010, de 30 de diciembre, del servicio postal universal, de los derechos de los usuarios y del mercado postal, “la actuación del operador designado gozará de la presunción de veracidad y fehaciencia en la distribución, entrega y recepción o rehúse o imposibilidad de entrega de notificaciones de órganos administrativos y judiciales, tanto las realizadas por medios físicos, como telemáticos, y sin perjuicio de la aplicación, a los distintos supuestos de notificación, de lo dispuesto en la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (actualmente Ley 39/215)”. Antes de acudir a la notificación edictal, el Servicio de Correos debe trasladar a la Administración Pública, como así lo hizo, la constancia de los intentos de entrega fallidos, y la entrega del aviso de llegada, que constituyen el presupuesto de hecho condicionante del procedimiento edictal, para que la Administración pueda llevar a cabo la publicación en el BOE. En aplicación de este criterio -seguido en sentencias posteriores como la de 3 de junio de 2019 (recurso 15336/2018 (JUR 2019, 208973))- hemos de entender correctamente practicada la notificación edictal de la resolución, pues tal como consta en el acuse de recibo en los que se reflejan los intentos de notificación -infructuosos por estar el destinatario ausente, y la devolución a esta Agencia por sobrante. En consecuencia, se entiende cumplida la obligación del artículo 44 de la LPACAP. Por otro lado, la parte recurrente manifiesta encontrarse inscrita en el portal de notificaciones 060, del que recibe notificaciones de la Administración Pública, y añade que no ha recibido ninguna notificación por este canal, y aportando como prueba, un aviso de notificación de la Administración Tributaria. Con relación a esta cuestión, hay que destacar es que el aviso de notificación enviado es para la Dirección Electrónica Habilitada del titular INMO ESTATE LANZAROTE S.L., NIF B35766994, que no coincide con el titular al que se ha abierto el expediente sancionador que ha motivado el presente recurso de reposición. Por tanto, se entiende que las notificaciones fueron conforme a derecho, no habiéndose producido tal indefensión. Por otro lado, la parte recurrente presenta las siguientes “alegaciones a la resolución del procedimiento sancionador”: Segundo: Resto de alegaciones.
- a)Divulgación de las grabaciones con conversaciones personales de la parte reclamante, sin contar con su consentimiento para ello, y para su divulgación con fines promocionales. Funcionamiento de la estrategia comercial. Incidencia de seguridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/14 La parte recurrente manifiesta que las sesiones se realizaban y grababan a través de la aplicación ZOOM, y que al acceder a la misma, la parte reclamante ya conocía que se estaba grabando la sesión, y de la finalidad para la cual se estaba realizando la grabación, en la medida en que se estaba informando de la posibilidad de que: “- los participantes pudieran grabar y compartir su grabación con aplicaciones y otros -los participantes con permisos también podían guardar y compartir la transcripción de la reunión - al seguir formando parte de la reunión, está dando su consentimiento para que le graben” La parte recurrente añadía que, en la sesión que fue grabada, también se informaba a los asistentes de que las grabaciones serían puestas a disposición de las personas inscritas en el reto, y que no habían podido asistir al directo de la sesión, de tal manera que la parte reclamante conocería la existencia de la grabación y su posterior posible visualización. A continuación, la parte recurrente procede a explicar el funcionamiento del reto, de tal manera que, se entiende que las grabaciones que se efectúan se hacían por personas que querían dar su testimonio de manera voluntaria, y además, esta grabación solo podría ser visualizada por las personas inscritas y que no habían podido asistir a la sesión en la que se había grabado, y que eran participantes del reto concreto. Añade que, una vez finalizado el reto, los links utilizados redirigían a una única página que indica que “el reto ha finalizado, esta página ya no está disponible”. Por último, la parte recurrente manifiesta que la razón por la que los videos de la parte reclamante han estado nuevamente disponibles ha sido motivada por un hackeo a su cuenta. Con relación a estas cuestiones, el artículo 6.1 del RGPD, titulado “licitud del tratamiento” establece: 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/14
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” A su vez, el artículo 7 del RGPD, referido a las “condiciones para el consentimiento”, establece: “ 1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato.” En el caso que nos ocupa, la parte recurrente ha manifestado contar con el consentimiento de la parte reclamante para las grabaciones efectuadas, y su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/14 posible difusión, en la medida en que ésta, al acceder a la aplicación ZOOM estaba siendo informada de que la reunión se estaba grabando. No obstante, el hecho de que al acceder a la aplicación se informe de que la reunión se está grabando, así como que existen participantes que pueden grabar y compartir la grabación, y que al seguir formando parte de la reunión está dando su consentimiento para que le graben, no implica por si solo que se esté informando de la posibilidad de que estas grabaciones que pueden efectuarse puedan utilizarse con la finalidad de ser publicadas en las redes sociales. La parte recurrente señalaba en su escrito de recurso que la información relativa a la posibilidad de que la grabación se ponga a disposición de las personas inscritas que no han podido acceder al directo se daba en la propia sesión, y por tanto la parte reclamante conocía esta posibilidad. No obstante, esta información no ha sido acreditada, y además, no supondría por si sola que se estuviera prestando el consentimiento para la publicación de los mismos en las redes sociales. Por último, la parte recurrente pone de manifiesto que la razón por la cual se habría publicado el video de la parte reclamante en las redes sociales se habría debido a un incidente de seguridad que habría afectado a su cuenta, al haber sido hackeada. En relación con esta cuestión, es necesario señalar que esta situación no sustituiría al hecho de que no contaba con el consentimiento de la parte reclamante para publicar el video en las redes sociales, sin olvidar que podría suponer otras infracciones tipificada en el RGPD, al tratarse de un incidente de seguridad. Además, el hecho de que haya tenido este incidente de seguridad no justificaría el hecho de que se hayan publicado los videos sin el consentimiento de la parte reclamante. En este sentido, la responsabilidad de la custodia de los videos y de que no se publicaran era de la parte ahora recurrente, considerándose que no ha sido diligente en la custodia de dichos videos, también teniendo en cuenta las medidas que ha puesto en marcha con posterioridad.
- b)La resolución ahora impugnada contendría un contenido imposible de cumplir. Con relación a la alegación referida a que “resulta imposible dar cumplimiento al TERCERO de los pronunciamientos de la resolución que se recurre de “ordenar a (…) que en virtud del artículo 58.2.
- d)del RGPD, en el plazo de un mes, acredite haber procedido a la retirada del video en cuestión de todas las plataformas donde pudiera aparecer”” procede señalar que debe acreditar el cumplimiento de la medida impuesta.
- c)Solicitud de suspensión cautelar de la resolución que devenga firme, en el caso de que se desestime el presente recurso de reposición, en la medida en que manifiesta su intención de interponer Recurso Contencioso-Administrativo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/14 Según lo dispuesto en el artículo 90.3 de la LPACAP, titulado “Especialidades de la resolución en los procedimientos sancionadores”: “3. La resolución que ponga fin al procedimiento será ejecutiva cuando no quepa contra ella ningún recurso ordinario en vía administrativa, pudiendo adoptarse en la misma las disposiciones cautelares precisas para garantizar su eficacia en tanto no sea ejecutiva y que podrán consistir en el mantenimiento de las medidas provisionales que en su caso se hubieran adoptado. Cuando la resolución sea ejecutiva, se podrá suspender cautelarmente, si el interesado manifiesta a la Administración su intención de interponer recurso contencioso-administrativo contra la resolución firme en vía administrativa. Dicha suspensión cautelar finalizará cuando:
- a)Haya transcurrido el plazo legalmente previsto sin que el interesado haya interpuesto recurso contencioso administrativo.
- b)Habiendo el interesado interpuesto recurso contencioso-administrativo: 1.º No se haya solicitado en el mismo trámite la suspensión cautelar de la resolución impugnada. 2.º El órgano judicial se pronuncie sobre la suspensión cautelar solicitada, en los términos previstos en ella.” Dado que la parte recurrente ha comunicado su intención de interponer recurso contencioso administrativo y de solicitar la suspensión cautelar de la resolución impugnada, de acuerdo con lo previsto en el precepto anterior, en cuanto la resolución sea ejecutiva procederá la suspensión cautelar de sus efectos. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. IV Resolución extemporánea Debido a razones de funcionamiento del órgano administrativo, por ende, no atribuibles a la parte recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto al presente recurso. De acuerdo con lo establecido en el art. 24 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/14 Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 13 de julio de 2023, en el expediente EXP202300842. SEGUNDO: ESTIMAR, en relación con la sanción económica, la solicitud de fecha 17 de agosto de 2023 de suspensión sobre la ejecución de la Resolución, por la que se acuerda imponer a A.A.A. por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 de dicha norma, una multa de 10.000 euros. Comunicar a A.A.A., que, interpuesto el recurso contencioso administrativo, la suspensión se mantendrá cautelarmente hasta que el órgano judicial se pronuncie sobre la suspensión cautelar solicitada, en los términos que determine. TERCERO: NOTIFICAR la presente resolución a A.A.A.. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez se levante la suspensión de la ejecución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si dicha fecha se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/14 la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-21112023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es