REPOSICION-PS-00193-2022

1/17  Expediente nº.: RR/00062/2023 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por DIARIO ABC, S.L. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 27 de diciembre de 2022, y en base a los siguientes HECHOS PRIMERO: Con fecha 27 de diciembre de 2022, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente PS/00193/2022, en virtud de la cual se imponía a DIARIO ABC, S.L., con NIF B82824194, una multa de 50.000,00 euros (cincuenta mil euros), por una infracción del artículo 5.1.

1. c)del RGPD, tipificada en el artículo 83.5 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). Asimismo, la resolución confirmaba las siguientes medidas provisionales impuestas a DIARIO ABC, S.L.: - Retirada o distorsión de la voz de la víctima de sus direcciones web, evitando, en la medida en que el estado de la tecnología lo permita, la re-subida o re-carga de copias o réplicas exactas por el mismo u otros usuarios. - Retirada o modificación de los contenidos de tal modo que imposibilite su acceso y disposición del original por terceros, pero garantice su conservación, a efectos de custodiar las evidencias que puedan ser precisas en el curso de la investigación policial o administrativa o del proceso judicial que pudieren instruirse. Dicha resolución, que fue notificada a la parte recurrente en fecha, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00193/2022, quedó constancia de los siguientes: procedimiento sancionador, Primero: Con fecha 8 de abril de 2021, D. A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos (en adelante, AEPD) denunciando que varios medios de comunicación publicaron en sus sitios web el audio de la declaración ante el juez de una víctima de una violación múltiple, para ilustrar la noticia relativa a la celebración del juicio en un caso que fue muy mediático, facilitando los enlaces a las noticias publicadas en los sitios web de los medios reclamados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 Con fecha de 10 de mayo de 2021 se recibió nuevo escrito remitido por la parte reclamante manifestando que había podido comprobar que había medios que habían eliminado esa información, si bien acompañaba publicaciones realizadas por algunos medios de comunicación en Twitter en los que seguía estando disponible. Segundo: La Subdirección General de Inspección de Datos, en el ejercicio de sus actividades de investigación, encontró una publicación de la parte recurrente donde se podía oír la voz de la víctima sin distorsionar en la siguiente dirección: - ***URL.1 Tercero: En el marco de las actuaciones previas de investigación, con fecha de 17 de mayo de 2021, se notificó a la parte recurrente medida cautelar de retirada urgente de contenido o distorsionado de la voz de la interviniente de forma que resultara inidentificable en las direcciones web desde el que fuera accesible este contenido, en concreto de: - ***URL.1 Cuarto: Con fecha de 18 de mayo de 2021 se recibió en la AEPD escrito remitido por la parte recurrente informando de: - Que el vídeo objeto del requerimiento “ha sido proporcionado por la Agencia Atlas, en el marco de un acuerdo de suministro de contenidos informativos elaborados por la propia Agencia Atlas, que incluye tanto texto como material audiovisual, y sobre los que Diario ABC no ostenta derechos de transformación.” - Que tan pronto como ha tenido conocimiento del requerimiento de la AEPD, ha procedido a la retirada inmediata del vídeo tanto en la página web indicada en el requerimiento, así como en la réplica realizada en la página web de la edición de Sevilla del Diario ABC (***URL.2). También ha solicitado a Google la desindexación de la url en la que aparecía el vídeo. - Que ha informado a la Agencia Atlas del requerimiento de la AEPD para que actúe en consecuencia. - Que conserva una copia de tal contenido “a efectos de custodiar las evidencias que puedan ser precisas en el curso de la investigación policial o administrativa o del proceso judicial que pudieren instruirse”. - Que ha dado traslado a Vocento (grupo de comunicación al que pertenece ABC) del requerimiento de la AEPD. Quinto: Consta probado en el informe de actuaciones previas de investigación de fecha 24 de enero de 2022 que se comprobó lo manifestado por la parte recurrente en su escrito de 18 de mayo de 2021, esto es, se constató que la noticia ya no estaba disponible en esta dirección: - ***URL.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 Sexto: Obra en el expediente diligencia de la instructora del procedimiento de fecha 2 de junio de 2022, por el que se da por reproducido el aviso legal de la página web ***URL.1, por el cual el titular de la misma es DIARIO ABC, S.L., con CIF B-82824194, siendo esta entidad responsable de todo el contenido que se publique bajo ese dominio. Séptimo: La parte recurrente, en respuesta a las pruebas que se la solicitó, manifestó, respecto a la solicitud de informe de las medidas de seguridad técnicas u organizativas implementadas para garantizar que solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento, que en el presente caso “las medidas que hay que implementar son las que dictamine el órgano jurisdiccional que ha grabado el contenido y que ha procedido a su difusión a los medios, ya que no cabe suponer que ABC pueda tener mejor criterio que quien ha conocido los hechos de primera mano, los ha enjuiciado y ha considerado legítima su difusión, (…). Adicionalmente a las medidas adoptadas en origen por la Audiencia Provincial de ***LOCALIDAD.1, existe un segundo filtro, que es el que lleva a cabo ATLAS al elaborar los contenidos que distribuye a través de su servicio para verificar que la noticia se publica respetando todas las garantías legales, (…).” Octavo: Consta en el expediente escrito, de fecha 24 de junio de 2022, del Administrador Único de la empresa Conmunica Mediatrader, S.L.U. (propietaria de la Agencia Atlas) en el que expone: “Que el contrato de cesión de imágenes (a ABC) data del 16 de abril de 2007. Este contrato se formalizó con Vocento Mediatrader (VMT), empresa que en ese momento estaba formada al 100% por capital de Vocento. El contrato dice lo siguiente: Atlas se compromete a prestar a ABC (tal y como se recoge en el Anexo II del mencionado contrato) la modalidad básica del servicio e-news consistente en el suministro de 900 video noticias mensuales 80% de producción propia Atlas y 20% producción Reuters, a razón de 30 video noticias diarias de media a seleccionar de toda la oferta disponible. Procedimiento. A través de la web de Atlas o Mediaset. Donde Atlas sitúa los contenidos a disposición de ABC para que este seleccione aquellos que sean de su interés (punto 2). Titularidad de las imágenes e informaciones. Atlas responderá y mantendrá indemne a ABC frente a cualquier reclamación demanda o similar relativa a la propiedad intelectual (punto 6). Legalidad y responsabilidad por los contenidos. Atlas se hacen responsables de la actualización del servicio y garantía.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 Noveno: Consta en el expediente copia de las Condiciones Generales de la Agencia Atlas, las cuales indican en su apartado 4, relativo a la responsabilidad por el uso de los contenidos en internet, lo siguiente: “MEDIASET ESPAÑA no garantiza la calidad, exactitud, fiabilidad, corrección o moralidad de los datos, programas, informaciones u opiniones, cualquiera que sea el origen, que pudieran circular por su red o por las redes a las que el Cliente pueda acceder a través del portal www.atlas-news.com. El Cliente acepta expresamente dejar exenta a MEDIASET ESPAÑA de cualquier reclamación derivada de lo mencionado en este apartado. El Cliente asume bajo su exclusiva responsabilidad las consecuencias, daños o acciones que pudieran derivarse del acceso a dichos contenidos, así como de su reproducción o difusión no autorizada expresa y documentalmente por MEDIASET ESPAÑA. Esta garantía limitada y la limitación de responsabilidad mencionadas en los párrafos anteriores no afectarán ni perjudicarán los derechos imperativos que le asistan según el lugar de su residencia.” Décimo: Consta en el expediente copia de las Condiciones Generales del Servicio de Internet de la Agencia Atlas. Las Condiciones Generales del Servicio de Internet de la Agencia Atlas indican respecto a la distribución lo siguiente: “Los contenidos se publican dentro del canal de distribución www.atlas-news.com. En la sección de acceso profesional están habilitadas las funciones que permiten a los clientes descargar rápida y fácilmente los ficheros de vídeo, fotos y texto para proceder a su publicación en sus páginas. Para los abonados a toda la producción es posible automatizar el proceso de publicación, de forma que las noticias se publican automáticamente en su web.” TERCERO: La parte recurrente ha presentado en fecha 3 de febrero de 2023, en esta AEPD, recurso de reposición, fundamentándolo, básicamente, en los siguientes puntos: - Vulneración del derecho fundamental a la libertad de información (artículo 20.1.
2. d)de la CE), por lo que la resolución incurre en causa de nulidad de pleno derecho del artículo 47.1.
3. a)de la LPACAP. Señala la parte recurrente que tiene derecho a informar de la noticia toda vez que “Es doctrina reiterada por la jurisprudencia que la información sobre causas penales es de interés general y tiene relevancia pública. Interés y relevancia que se acentúan en los casos de maltrato físico y psicológico como, desgraciadamente, lo es el delito de violación múltiple al que se vio sometida la víctima. ABC, en su condición de medio de comunicación, no solo tiene una labor informativa de divulgación de la información que reviste ese interés general y con relevancia para la opinión pública, sino que, además, es garante del Derecho Fundamental a la Libertad de Información que se deriva del artículo 20 de la Constitución Española. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 Se trata, por tanto, en este caso, y en contra de la opinión de la AEPD, de ponderar dos Derechos Fundamentales en conflicto como son el Derecho a la Libertad de Información y el Derecho a la Protección de Datos Personales.” Considera la parte recurrente que la cuestión debe centrarse en saber si podía haber realizado una “minimización de los datos” conforme al artículo 5.1.
4. c)del RGPD sin alterar la finalidad informativa que perseguía la difusión de la noticia, lo cual, entiende, “era imposible en tanto que al no disponer ABC de los derechos de transformación de la grabación y pertenecer la noticia a una Agencia de noticias, ABC ni podía manipular el audio ni podía alterar el resto del contenido de la noticia.”, añadiendo posteriormente que, además, “la noticia objeto de debate se publicó de manera automática”. Por ello señala la parte recurrente que “podía elegir entre eliminar la noticia publicada o no, pero en ningún caso podía transformar el audio puesto que no goza del derecho de transformación. De ese modo, si no podía manipular dicha voz, difícilmente podía haberse llevado a cabo una “minimización” de los datos tratados, puesto que el audio no se podía ni manipular ni distorsionar. La noticia debía mantenerse tal y como la Agencia de noticias había facilitado la grabación a ABC, por lo que exigir una responsabilidad en este caso con base en el principio de minimización de datos atenta contra la libertad de información que ostenta ABC, al no poderse transformar la noticia y al ostentar esta una indudable relevancia pública”. Esto es, entiende que su conducta “fue plenamente ajustada a derecho, en tanto que le era materialmente imposible “minimizar” los datos de la noticia, además de estar su conducta amparada”, ya que la noticia es de relevancia pública y la información es veraz. Señala que los tribunales nacionales han venido estimando que los principios recogidos en el artículo 5 del RGPD encuentran su límite en el derecho fundamental a la libertad de información”, invocando al efecto la sentencia del Tribunal de Justicia de la Unión Europea de 22 de junio de 2021 (nº C- 439/19), la sentencia de la Audiencia Nacional, sala de lo Contencioso, de 21 de septiembre de 2021 (rec. 1986/2019) y la Sentencia 10747/2020, de la Audiencia Nacional, de fecha 9 de septiembre de 2022. Por ello entiende que no sólo no concurre una infracción del artículo 5.1.
5. c)del RGPD, sino que la resolución adolece de nulidad de pleno derecho, de conformidad con el artículo 47.1.
6. a)de la LPACAP, toda vez que con ella se vulnera su derecho fundamental a la libertad de información Critica que la resolución de la AEPD indique que podía haber optado por que el suceso fuese cubierto por un periodista en vez de por una agencia de noticias, indicando que “No puede compelerse a ABC a tener los medios técnicos y humanos que permitan cubrir cada una de las noticias que suceden en el día a día en todas partes no solo de España, sino del mundo. No hay ningún medio de comunicación capaz de disponer de semejante infraestructura de trabajo, por lo que es esencial recurrir a agencias de noticias con la finalidad de que el público pueda ser efectivamente informado.” Por todo lo expuesto, considera la parte recurrente que “en la ponderación de intereses prima el derecho de información de mi mandante sobre una noticia de indudable relevancia pública, sobre el derecho a la protección de datos de la persona afectada, máxime si como se ha acreditado, es imposible para esta parte “minimizar” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 los datos usados de la víctima, en tanto que mi representada no podía manipular el audio del testimonio de la víctima.” - La publicación de la noticia no supone una vulneración de la normativa de protección de datos, en tanto que se censura al completo su imagen, quedando únicamente su voz como dato para identificarla. Señala la parte recurrente que “A pesar de que la voz pueda ser un dato de carácter personal y su tratamiento esté protegido por la LOPD, en el caso concreto ya no es solo que su tratamiento se encuentre justificado y amparado por la libertad de información, sino que además la voz como tal no era por sí sola un medio para identificar a la persona, pues la misma no venía acompañada de ningún otro dato relevante (ni imagen, ni nombre, ni dirección, ni ningún otro tipo de dato de carácter personal) que pudiesen hacer identificable a la víctima.” No comparte que, tal y como indica la resolución de la AEPD, “la voz de cualquier persona es un dato personal y la identifica o la hace identificable de manera unívoca, con independencia de los datos adicionales que haya en el supuesto” porque, entiende: - “la confusión acerca de la identidad de las voces de las personas es un error recurrente y común, incluso con voces familiares y que las personas acostumbran a escuchar día tras día.” - “Para que exista una identificación unívoca y sin fisuras se requieren datos adicionales que no acompañaban, en este caso, a la noticia objeto del presente procedimiento.” Considera que “no es admisible que la posible identificación de la víctima se circunscriba únicamente, como dice la resolución que se recurre, al círculo más cercano de la víctima, máxime si se tiene en cuenta que se está ante un suceso con una indudable relevancia pública y que, por ende, el círculo más cercano de la víctima es presumible que conoce a la perfección su condición de tal.” Para añadir a continuación que “fuera de ese círculo más cercano, esta parte considera que la voz de la víctima, al no haberse acompañado de otros datos que pudiesen hacer identificable a la misma, no resulta por sí solo suficiente para identificar a la persona.” Al efecto, invoca la sentencia del Tribunal Constitucional nº 57/2004, de 19 de abril. También invoca el informe 190/2009 de la AEPD al efecto de que “la voz no es un dato personal per se, sino que son un dato protegido por la normativa en materia de protección de datos únicamente cuando cumplan con lo dispuesto en el artículo 4.1 del RGPD, es decir, cuanto suponga una información que haga a la persona identificable.” Por lo expuesto considera que “el objeto de discusión y análisis debe ser, no la posibilidad de reconocimiento de la víctima dentro de un entorno que, previsiblemente, sea ya conocedor de tales circunstancias, sino la posibilidad de reconocimiento más allá de ese entorno cercano. Y para ello, tal y como asevera la AEPD, se requiere la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 combinación de la voz con otros datos. En el caso que nos ocupa, no se hicieron públicos más datos que la voz de la víctima”. - Sanción desproporcionada. Considera que no concurren los agravantes que se han aplicado, así como que la resolución ahora recurrida se olvida de una serie de circunstancias atenuantes, en concreto: - El grado de cooperación con la autoridad de control (artículo 83.2.
7. f)del RGPD). - No ha sido previamente sancionado por la AEPD (artículo 83.2.
8. e)del RGPD). Asimismo, señala la parte recurrente que “conforme al artículo 76 de la LOPD, en relación con el punto
9. k)del artículo 83.2 del RGPD, existen algunas circunstancias también que deben ser tenidas en cuenta para modular la eventual responsabilidad de ABC, y es que la infracción no tuvo un carácter continuado al eliminarse la noticia, además de que la actividad informativa realizada por ABC está indubitadamente vinculada a la realización de tratamiento de datos personales.” - Solicita la parte recurrente en el Otrosí digo la suspensión de la sanción al amparo del artículo 117.2.
10. b)de la LPACAP, toda vez que la impugnación del recurso se fundamenta en una de las causas de nulidad de pleno derecho recogidas en el artículo 47 de la LPACAP, en concreto la de la letra a), la cual establece que los actos de las Administraciones Públicas son nulos de pleno derecho en el caso que lesionen los derechos y libertades susceptibles de amparo constitucional, lesión, que en el presente caso, indica la parte recurrente es la violación de su Derecho Fundamental a la Libertad de Información, regulada en el artículo 20.1.
11. d)de la CE. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la LPACAP y el artículo 48.1 de la LOPDGDD. II Contestación a la alegación relativa a la vulneración del Derecho Fundamental a la Libertad de Información Considera la parte recurrente que la resolución recurrida vulnera el Derecho Fundamental a la Libertad de Información regulado en el artículo 20.1.
12. d)de la CE, por lo que incurre en causa de nulidad de pleno derecho del artículo 47.1.
13. a)de la LPACAP. Señala al respecto la parte reclamada que tiene derecho a informar de la noticia toda vez que “Es doctrina reiterada por la jurisprudencia que la información sobre causas penales es de interés general y tiene relevancia pública. Interés y relevancia que se acentúan en los casos de maltrato físico y psicológico como, desgraciadamente, lo es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 el delito de violación múltiple al que se vio sometida la víctima. ABC, en su condición de medio de comunicación, no solo tiene una labor informativa de divulgación de la información que reviste ese interés general y con relevancia para la opinión pública, sino que, además, es garante del Derecho Fundamental a la Libertad de Información que se deriva del artículo 20 de la Constitución Española. Se trata, por tanto, en este caso, y en contra de la opinión de la AEPD, de ponderar dos Derechos Fundamentales en conflicto como son el Derecho a la Libertad de Información y el Derecho a la Protección de Datos Personales.” No se alcanza a comprender por qué la parte recurrente considera que la resolución de la AEPD está en contra de ponderar los mencionados derechos fundamentales, toda vez que el Fundamento de Derecho IX de la resolución señala: “En todo caso, hay que recordar que el Derecho Fundamental a la Libertad de Información no es, per se, absoluto, sino que se encuentra limitado por otros derechos y libertades públicas. Tal y como se adelantó en el Fundamento de Derecho VI y se expondrá en el Fundamento de Derecho XIV, no se trata de dotar de prevalencia a un derecho fundamental sobre otro, debiendo elegir cuál tiene más peso en un supuesto específico. Si no, más bien, de encontrar un equilibrio entre el Derecho Fundamental a la Libertad de Información y el Derecho Fundamental a la Protección de Datos Personales, para logar la consecución de la finalidad del primero sin desvirtuar el segundo, requiriendo que el medio de comunicación realice, en todo caso, una ponderación, la cual, no consta.” Mientras que el Fundamento de Derecho XIV de la citada resolución indica: “Precisamente porque no se niega el evidente interés público informativo en la noticia, dado el interés general en las causas penales, en este caso concreto, no se trata de hacer decaer el Derecho Fundamental a la Libertad de Información por la prevalencia del Derecho Fundamental a la Protección de Datos de Carácter Personal, sino de hacerlos plenamente compatibles para que ambos queden absolutamente garantizados. Esto es, no se pone en cuestión la libertad de información de los medios de comunicación sino la ponderación con el derecho a la protección de datos en base a la proporcionalidad y necesidad de publicar el concreto dato personal de la voz. Tal situación podría haberse resuelto con la utilización de procedimientos técnicos para impedir el reconocimiento de la voz, tales como, por ejemplo, la distorsión de la voz de la víctima o la transcripción del relato de la violación múltiple, medidas de seguridad ambas, aplicadas dependiendo del caso de forma ordinaria por los medios de comunicación.” Continúa la parte recurrente señalando que la cuestión debe centrarse en saber si podía haber realizado una “minimización de los datos” conforme al artículo 5.1.
14. c)del RGPD sin alterar la finalidad informativa que perseguía la difusión de la noticia, lo cual, entiende la parte recurrente, “era imposible en tanto que al no disponer ABC de los derechos de transformación de la grabación y pertenecer la noticia a una Agencia de noticias, ABC ni podía manipular el audio ni podía alterar el resto del contenido de la noticia.”, añadiendo posteriormente que, además, “la noticia objeto de debate se publicó de manera automática”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 Por ello señala la parte recurrente que “podía elegir entre eliminar la noticia publicada o no, pero en ningún caso podía transformar el audio puesto que no goza del derecho de transformación. De ese modo, si no podía manipular dicha voz, difícilmente podía haberse llevado a cabo una “minimización” de los datos tratados, puesto que el audio no se podía ni manipular ni distorsionar. La noticia debía mantenerse tal y como la Agencia de noticias había facilitado la grabación a ABC, por lo que exigir una responsabilidad en este caso con base en el principio de minimización de datos atenta contra la libertad de información que ostenta ABC, al no poderse transformar la noticia y al ostentar esta una indudable relevancia pública”. Esto es, entiende que su conducta “fue plenamente ajustada a derecho, en tanto que le era materialmente imposible “minimizar” los datos de la noticia, además de estar su conducta amparada”, ya que la noticia es de relevancia pública y la información es veraz. El Fundamento de Derecho III de la resolución recurrida motivó que el responsable del tratamiento de datos personales que ha sido objeto de procedimiento sancionador es la parte ahora recurrente, toda vez que ostenta los medios y los fines del tratamiento del dato de carácter personal. Asimismo, el mencionado fundamento de derecho indica, respecto a que la noticia se publicó de manera automática en el diario digital de la parte recurrente, que “(…) lo cierto es que está debidamente probado que entre la parte reclamada y la agencia de noticias se suscribió un contrato por el que el suministro de contenidos se realiza “A través de la web de Atlas o Mediaset. Donde Atlas sitúa los contenidos a disposición de ABC para que este seleccione aquellos que sean de su interés.”. Ello implica que para poder tener en cuenta las manifestaciones que realiza la parte reclamada sea necesario que ésta presente prueba, por cualquier medio admitido en derecho, que ratifique las mismas, ya que son contrarias a lo suscrito en el contrato de suministro. Y toda vez que tal prueba no se ha presentado, no se puede tener en cuenta las alegaciones realizadas al respecto. Así que, conforme a lo antedicho, Atlas pone a disposición de ABC una serie de noticias, de las que esta última selecciona las que considera a la vista de las mismas, las descarga y las incluye en su página web. En definitiva, la parte reclamada tiene poder de decisión respecto a qué contenidos de la Agencia Atlas publica y cuáles no.” Hechos probados respecto a los cuales la parte ahora recurrente sigue sin presentar prueba en contrario. Toda vez que la parte recurrente es el responsable del tratamiento, ha de cumplir con los principios regulados en el artículo 5 del RGPD, entre los que se encuentra el principio de minimización de datos. Como ya indicara el Fundamento de Derecho VIII de la resolución ahora recurrida: “El artículo 5.1.
15. c)del RGPD no limita el exceso de datos, sino la necesidad. Es decir, los datos personales serán, “adecuados, pertinentes y limitados a la necesidad” para la que fueron recabados, de tal manera que, si el objetivo perseguido puede C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 alcanzarse sin realizar un tratamiento excesivo de datos, así debe hacerse en todo caso. Igualmente, el considerando 39 del RGPD indica que: “Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios.” Por tanto, únicamente se tratarán los datos que sean, “adecuados, pertinentes y no excesivos en relación con el fin para el que se obtienen o tratan”.” Fundamento de derecho que posteriormente señala que ““la declaración de la víctima” no es un dato de carácter personal de conformidad con la definición que establece el artículo 4 del RGPD. El dato de carácter personal que es objeto del presente procedimiento sancionador es la voz de la víctima, independiente del contenido de su declaración ante el órgano judicial, voz que no es necesaria para conocer el contenido de la narración y, por tanto, para que el medio consiga cumplir con su finalidad informativa.” (El subrayado es nuestro). Como ya señalara el precitado Fundamento de Derecho III de la resolución recurrida, la parte recurrente “tiene el poder de decidir sobre cómo obtener la información, pues en vez de haber optado por que fuera suministrada por una agencia de noticias, podría haber optado por que el suceso fuera cubierto por uno de sus periodistas. Aunque esto no mudaría la comisión de la infracción.” Lo anterior es criticado por la parte recurrente porque “No puede compelerse a ABC a tener los medios técnicos y humanos que permitan cubrir cada una de las noticias que suceden en el día a día en todas partes no solo de España, sino del mundo. No hay ningún medio de comunicación capaz de disponer de semejante infraestructura de trabajo, por lo que es esencial recurrir a agencias de noticias con la finalidad de que el público pueda ser efectivamente informado.” Pero a lo único a lo que le compele la resolución recurrida es a que cumpla con el principio de minimización de datos regulado en el artículo 5.1.
16. c)del RGPD, independientemente del medio que utilice. Señala la parte recurrente que “los tribunales nacionales han venido estimando que los principios recogidos en el artículo 5 del RGPD encuentran su límite en el derecho fundamental a la libertad de información”, invocando al efecto la sentencia del Tribunal de Justicia de la Unión Europea de 22 de junio de 2021 (nº C- 439/19), la sentencia de la Audiencia Nacional, sala de lo Contencioso, de 21 de septiembre de 2021 (rec. 1986/2019) y la Sentencia 10747/2020, de la Audiencia Nacional, de fecha 9 de septiembre de 2022. Respecto a la sentencia del Tribunal de Justicia de la Unión Europea de 22 de junio de 2021 (nº C- 439/19), la parte recurrente se refiere a sus considerandos 104 y 105: “104 En efecto, si bien el artículo 5, apartado 1, letra c), del RGPD supedita al respeto del principio de «minimización de datos» el tratamiento de datos personales, del tenor de esta disposición resulta claramente que no pretende establecer tal prohibición general y absoluta y que, en particular, no obsta a que se comuniquen al público datos personales cuando dicha comunicación sea necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos, en el sentido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 del artículo 6, apartado 1, letra e), de dicho Reglamento. Así sucede incluso cuando los datos en cuestión están comprendidos en el ámbito de aplicación del artículo 10 del RGPD, siempre que la normativa que autorice dicha comunicación establezca garantías adecuadas para los derechos y libertades de los interesados [véase, en este sentido, la sentencia de 24 de septiembre de 2019, GC y otros (Retirada de enlaces a datos sensibles), C-136/17, EU:C:2019:773, apartado 73]. 105 En este contexto, procede recordar que los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales no constituyen prerrogativas absolutas, sino que deben considerarse según su función en la sociedad y ponderarse con otros derechos fundamentales. (…)” (el subrayado es nuestro). El artículo 8.2. de la LOPDGDD señala que “El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el artículo 6.1
17. e)del Reglamento (UE) 2016/679, cuando derive de una competencia atribuida por una norma con rango de ley.” Toda vez que la actuación de los medios de comunicación no deriva de una competencia atribuida por una norma con rango de ley, sino del ejercicio del Derecho Fundamental a la Libertad de Información regulada en el artículo 20.1.
18. d)de la Constitución, el tratamiento que ha realizado la parte recurrente no se encuentra legitimado por el artículo 6.1.
19. e)del RGPD, por lo que no es aplicable al presente caso la sentencia invocada. Por otro lado, la Sentencia 10747/2020, de la Audiencia Nacional, de fecha 9 de septiembre de 2022, ya fue invocada por la parte recurrente durante la tramitación del procedimiento sancionador. Respecto a ella el Fundamento de Derecho IV de la resolución ahora recurrida indica que “tampoco es de aplicación al presente caso la mencionada Sentencia de la Audiencia Nacional de 9 de septiembre de 2022, supuesto en el que no se enjuiciaba si se había producido una infracción del artículo 5.1.
20. c)del RGPD, que es el que es objeto de estudio en el presente procedimiento, sino si se había producido una infracción del artículo 5.1.
21. f)del RGPD.” No obstante lo anterior, ello no significa que la resolución ahora recurrida niegue que el Derecho Fundamental a la Protección de Datos de Carácter Personal no es un derecho absoluto, como ya se indicó anteriormente. De hecho, en la misma línea que la sentencia de la Audiencia Nacional, sala de lo Contencioso, de 21 de septiembre de 2021 (rec. 1986/2019), invocada por la parte recurrente, el Fundamento de Derecho XII de la resolución señala que: “En la pugna entre los Derechos Fundamentales a la Libertad de Información en relación con el Derecho Fundamental a la Protección de Datos Personales, aun cuando se reconoce igual grado de protección a ambos derechos constitucionales, ordinariamente el primero suele ser dotado de prevalencia por nuestros tribunales, tras valorar y ponderar todos los elementos en juego. Ahora bien, preponderancia no significa prevalencia cuando, atendidas todas las circunstancias concurrentes en un supuesto concreto, se rebasen los límites fijados normativa y jurisprudencialmente.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 Señalando posteriormente la resolución en su Fundamento de Derecho XIV que “no se trata, como en otros supuestos jurisprudencialmente examinados, de dotar de prevalencia a un derecho fundamental sobre otro, debiendo elegir cuál tiene más peso en un supuesto específico. Si no, más bien, de encontrar un equilibrio entre ambos para logar la consecución de la finalidad del primero sin desvirtuar el segundo. La conciliación de ambos derechos no es nada nuevo, puesto que el legislador europeo mandata tal conciliación en el artículo 85 del RGPD.” En definitiva, la parte recurrente, como responsable del tratamiento, ha cometido una infracción del artículo 5.1.
22. c)del RGPD, ya que podía haber optado por medios de publicación de la noticia que no supusieran la difusión de la voz de la víctima sin distorsionar. Esto es, podía haber ejercido el Derecho Fundamental a la Libertad de Información sin necesidad de vulnerar el Derecho Fundamental a la Protección de Datos Personales de la víctima. Por tanto, no se ha vulnerado el Derecho Fundamental a la Libertad de Información de la parte recurrente, por lo que la resolución recurrida no adolece de nulidad de pleno derecho de conformidad con el artículo 47.1.
23. a)de la LPACAP. III Contestación a la alegación relativa a la voz como dato de carácter personal En relación con las manifestaciones efectuadas por la parte recurrente en relación con la consideración de la voz como dato de carácter personal, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho IV y V de la resolución ahora recurrida. La voz de cualquier persona es un dato personal y la identifica o la hace identificable de manera unívoca, con independencia de los datos adicionales que haya en el supuesto. De tal modo que con la publicación del dato personal de la voz de la víctima por si sola y sin distorsionar se la puso en un riesgo cierto de ser identificada por personas que desconocían su condición de víctima. Dentro de las alegaciones de la parte recurrente merece especial atención, por novedosa, la invocación al informe 190/2009 de la AEPD respecto, indica la parte recurrente, a que “la voz no es un dato personal per se”. Pero el citado informe no realiza en ningún momento tal manifestación. Es más, el informe 139/2017 del Gabinete Jurídico de esta Agencia afirma que “la imagen, así como la voz de una persona es un dato personal, al igual que lo será cualquier información que permita determinar, directa o indirectamente, su identidad (…)”, informe al que se refiere el Fundamento de Derecho X de la resolución ahora recurrida. IV Contestación a la alegación relativa a la consideración de la sanción como desproporcionada En relación con las manifestaciones efectuadas por la parte recurrente en relación con la consideración de la sanción como desproporcionada, reiterándose básicamente en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en el Fundamento de Derecho IX de la resolución ahora recurrida. Tal y como indica el Fundamento de Derecho XVII de la resolución recurrida “En el presente caso se estiman concurrentes los criterios de graduación siguientes:  Agravantes: - Artículo 83.2.
24. a)del RGPD: Naturaleza, gravedad y duración de la infracción: Se considera que la naturaleza de la infracción es muy grave puesto que acarrea una pérdida de disposición y control sobre el dato personal de su voz a una persona que ha sido víctima de un delito violento y contra la integridad sexual y que al difundir dicho dato personal existía un riesgo cierto de que pudiera ser reconocida por terceros, con los graves daños y perjuicios que esto le ocasionaría. - Artículo 83.2.
25. b)del RGPD. Intencionalidad o negligencia en la infracción: Si bien se considera que no hubo intencionalidad por parte del medio de comunicación, se concluye que fue especialmente negligente al no asegurar un procedimiento que garantizase la protección de los datos personales en unas circunstancias tan sensibles, máxime cuando en muchas ocasiones se distorsiona la voz en las noticias con la finalidad de que no se reconozca a la persona que habla. - Artículo 83.2.
26. g)del RGPD. Categorías de datos personales afectados por la infracción: La posibilidad cierta de reconocer a la víctima de un delito como del que informa la noticia, muy grave, violento y contra la integridad sexual (violación múltiple), supone un grave perjuicio para la afectada, ya que lo sucedido está vinculado a su vida sexual.” Por otro lado, en la resolución recurrida ya se indicó que no se pueden aplicar al presente caso, como circunstancias atenuantes: - El grado de cooperación con la autoridad de control (artículo 83.2.
27. f)del RGPD) porque “El grado de cooperación con la Agencia tampoco puede considerarse un atenuante toda vez que las órdenes de retirada que ésta emite son de obligado cumplimiento conforme a lo dispuesto en el artículo 69 de la LOPDGDD. La consideración de la cooperación con la Agencia como atenuante, tal y como pretende la parte reclamada, no está ligada a ninguno de los supuestos en los que pueda existir una colaboración o cooperación o requerimiento por mor de un mandato legal, cuando las actuaciones son debidas y obligadas por la Ley, como en el caso que nos ocupa, siendo indiferente el grado de diligencia en la respuesta a los requerimientos.” (Fundamento de Derecho IX) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 - No ha sido previamente sancionado por la AEPD (artículo 83.2.
28. e)del RGPD) porque “Al respecto, la Sentencia de la Audiencia Nacional, de 5 de mayo de 2021, rec. 1437/2020, nos suministra la contestación: “Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
29. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”.” (Fundamento de Derecho IX) Novedosa es la siguiente manifestación de la parte recurrente: “conforme al artículo 76 de la LOPD, en relación con el punto
30. k)del artículo 83.2 del RGPD, existen algunas circunstancias también que deben ser tenidas en cuenta para modular la eventual responsabilidad de ABC, y es que la infracción no tuvo un carácter continuado al eliminarse la noticia, además de que la actividad informativa realizada por ABC está indubitadamente vinculada a la realización de tratamiento de datos personales.” El artículo 29.6 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público establece que “será sancionable, como infracción continuada, la realización de una pluralidad de acciones u omisiones que infrinjan el mismo o semejantes preceptos administrativos, en ejecución de un plan preconcebido o aprovechando idéntica ocasión.” En el presente caso, el vídeo se publicó el 6 de abril de 2021, teniéndose conocimiento de la eliminación del mismo el 17 de mayo de 2021, día en que se notificó la orden de retirada urgente de contenido de la AEPD. Es decir, el vídeo con la voz de la víctima sin distorsionar estuvo disponible durante algo más de un mes. Esto es, nos encontramos con una única acción caracterizada por su perdurabilidad en el tiempo, tal y como se indicaba en el Fundamento de Derecho V de la resolución recurrida, pues mientras estuvo publicada la noticia, permaneció en la red, siendo posible acceder a su contenido, y por tanto a la voz de la víctima sin distorsionar. Esto es, nos encontramos ante una infracción permanente, tal y como indica la sentencia del Tribunal Supremo de 23 de octubre de 2015 (Sec. 3ª, rec 384/2013): “[L]as llamadas infracciones permanentes se diferencian de las continuadas en que en las primeras el infractor lleva a cabo una sola acción punible, pero dicha acción se caracteriza por su prolongación en el tiempo, de manera que la consumación de la infracción se inicia en el momento en el que el infractor lleva a cabo la acción típica, pero lo que pudiera denominarse el periodo de consumación no se detiene ahí sino que subsiste a partir de ese periodo inicial hasta que el infractor pone término a la conducta típica constitutiva de la infracción, de forma que la consumación de delito se perpetúa hasta que la conducta finaliza. Se ha dicho, por eso, que en las infracciones permanentes, por voluntad del autor, se renueva continuamente la acción típica, manteniéndose así la situación antijurídica hasta que el infractor le pone término”. No obstante, si bien no nos encontramos ante una infracción de carácter continuado, hay que indicar que, al igual que la mencionada circunstancia regulada en el artículo 83.2.
31. e)del RGPD es considerada por la referida Sentencia de la Audiencia Nacional, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 de 5 de mayo de 2021, únicamente como una circunstancia agravante (toda infracción anterior cometida por el responsable o el encargado del tratamiento), también la circunstancia regulada en el artículo 76.2.
32. a)de la LOPDGDD, el carácter continuado de la infracción, sólo puede ser entendida en aplicación de tal razonamiento como una circunstancia agravante. El hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite su aplicación como atenuante. Por otro lado, la resolución sí ha tenido en cuenta que la parte recurrente realiza una actividad vinculada a la realización de tratamiento de datos personales, motivo por el que considera que sí es de aplicación la circunstancia regulada en el artículo 83.2.
33. b)del RGPD, la negligencia, como circunstancia agravante, tal y como expone el Fundamento de Derecho IX de la resolución ahora recurrida: “Al respecto, hay que citar la Sentencia de la Audiencia Nacional de 17 de octubre de 2007 (rec. 63/2006), la cual indica, en relación con entidades cuya actividad lleva aparejado un continuo tratamiento de datos de clientes, que: “(...) el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”.” V Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. VI Suspensión de la ejecución de la sanción En cuanto a la solicitud de suspensión de la ejecución de la sanción impuesta en tanto en cuanto no sea resuelto el presente recurso de reposición, se significa que, de conformidad con el artículo 90 de la Ley 39/2015, de Procedimiento Administrativo Común de las Administraciones Públicas, relativo a “Especialidades de la resolución en los procedimientos sancionadores”, su apartado 3 indica que la resolución que ponga fin al procedimiento será ejecutiva cuando no quepa contra ella ningún recurso ordinario en vía administrativa. Por tanto, la Resolución impugnada no es ejecutiva hasta que no se resuelva el presente recurso de reposición, por lo que no resulta necesario ni tiene virtualidad alguna la suspensión solicitada. A mayor abundamiento hay que indicar que tal solicitud se sustenta en el artículo 47.1.
34. a)de la LPACAP, el cual establece que los actos de las Administraciones Públicas son nulos de pleno derecho en el caso que lesionen los derechos y libertades susceptibles de amparo constitucional, lesión, que en el presente caso, indica la parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 recurrente es la violación de su Derecho Fundamental a la Libertad de Información, regulada en el artículo 20.1.
35. d)de la CE. Pero ya se ha expuesto en el Fundamento de Derecho II de la presente resolución que no hay lesión alguna en el Derecho Fundamental a la Libertad de Información de la parte recurrente, toda vez que ha quedado debidamente constatado que ésta ha vulnerado el artículo 5.1.
36. c)del RGPD. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por DIARIO ABC, S.L. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 27 de diciembre de 2022, en el expediente RR/00062/2023. SEGUNDO: NOTIFICAR la presente resolución a DIARIO ABC, S.L.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
37. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 Finalmente, se señala que conforme a lo previsto en el art. 90.3
38. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-111122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es