1/19 Expediente nº.: RR/00048/2023 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por El Diario de Prensa Digital SL (en lo sucesivo, la parte recurrente o elDiario.
- es)contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 27 de diciembre de 2022, y en base a los siguientes HECHOS PRIMERO: Con fecha 27 de diciembre de 2022, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente RR/00048/2023, en virtud de la cual se imponía a El Diario de Prensa Digital SL: “PRIMERO: IMPONER a EL DIARIO DE PRENSA DIGITAL SL., con NIF B86509254, por una infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5
- a)del RGPD, una multa de 50.000 euros (cincuenta mil euros). SEGUNDO: Confirmar las siguientes medidas provisionales impuestas a EL DIARIO DE PRENSA DIGITAL SL: - Retirada o distorsión de la voz de la víctima de sus direcciones web, evitando, en la medida en que el estado de la tecnología lo permita, la re-subida o re-carga de copias o réplicas exactas por el mismo u otros usuarios. - Retirada o modificación de los contenidos de tal modo que imposibilite su acceso y disposición del original por terceros, pero garantice su conservación, a efectos de custodiar las evidencias que puedan ser precisas en el curso de la investigación policial o administrativa o del proceso judicial que pudieren instruirse.” Dicha resolución, que fue notificada a la parte recurrente en fecha 29 de diciembre de 2022 fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00196/2022, quedó constancia de los siguientes: procedimiento sancionador, “HECHOS PROBADOS PRIMERO: Con fecha ***FECHA.1, la parte reclamante interpuso reclamación ante la Agencia Española de Protección de Datos denunciando que varios medios de comunicación publicaron en sus sitios web el audio de la declaración ante el juez de una víctima de una violación múltiple, para ilustrar la noticia relativa a la celebración del juicio en un caso que fue muy mediático, facilitando los enlaces a las noticias publicadas en los sitios web de los medios reclamados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 Con fecha de ***FECHA.2 se recibe nuevo escrito remitido por la parte reclamante manifestando que ha podido comprobar que hay medios que han eliminado esa información, si bien acompaña publicaciones realizadas por algunos medios de comunicación en Twitter en los que sigue estando disponible. SEGUNDO: Con fecha ***FECHA.3, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. TERCERO: La Subdirección General de Inspección de Datos, en el ejercicio de sus actividades de investigación, encontró la publicación indicada a continuación en donde se podía oír la voz de la víctima sin distorsionar. ***URL.1 CUARTO: Con fecha 3 de abril de 2022, se notificó a la parte reclamada medida cautelar de fecha 31 de marzo de 2022 de retirada urgente de contenido o distorsionado de la voz de la interviniente de forma que no pudiera identificarse directa o indirectamente, en concreto de: ***URL.1 QUINTO: Con fecha de 5 de abril de 2022 se recibe en esta Agencia escrito remitido por esta entidad informando que elDiario.es había procedido a la retirada inmediata del vídeo, imposibilitando su acceso o disposición por terceros. SEXTO: Con fecha 7 de abril de 2022 se comprobó que, en el link, ***URL.1 el contenido había sido bloqueado. Quedando reflejada dicha comprobación en la Diligencia de 7 de abril de 2022.” TERCERO: La parte recurrente ha presentado en fecha 27 de enero de 2023, en esta Agencia Española de Protección de Datos, recurso de reposición. Dicho escrito está dividido en los siguientes apartados: Primero. Antecedentes de hecho. Segundo. Fundamentos jurídicos. 1. Formales (artículos 112 y 113 de la Ley 39/2015, de 1 de octubre). 2. Sobre la falta de acceso al expediente. 3. Sobre la protección de la voz como dato personal. Destacando la actitud diligente de elDiario.es y analizando a continuación lo que considera el centro de la cuestión. 4. Sobre el responsable del tratamiento de los datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 5. Sobre la responsabilidad del tratamiento. 6. Sobre el necesario equilibrio del derecho a la protección de datos con el derecho a la información. 7. Sobre la vulneración del principio de igualdad. 8. Sobre la vulneración de los principios de proporcionalidad y tipificación de la infracción. 9. Sobre la proporcionalidad. 10. Vulneración de la tutela judicial efectiva por inadmisión de prueba solicitada. Concluye solicitando que se revoque la Resolución de 27 de diciembre de 2022, así como la inmediata suspensión de la ejecutividad de la Resolución impugnada, hasta tanto no se resuelva el recurso de reposición. En su mayor parte, el recurso planteado reproduce alegaciones formuladas anteriormente a lo largo del procedimiento sancionador. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho de la Resolución recurrida, tal como se transcribe a continuación: En relación con el primer apartado, denominado antecedentes de hecho, esta Agencia no comparte las afirmaciones que formula elDiario.es relativas a que no ha obtenido acceso ni ha recibido copia de los escritos del reclamante de fechas ***FECHA.1 y ***FECHA.2, remitiéndose en este punto, al contenido del fundamento de derecho II de la Resolución de 27 de diciembre de 2022. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 En relación con el escrito de 20 de mayo de 2022 por el que la Agencia da respuesta a la solicitud de acceso al expediente y suspensión de los plazos para presentar escrito de alegaciones de 19 de mayo de 2022, el Diario.es afirma lo siguiente: “En fecha 20 de mayo de 2022 se responde a dicha solicitud remitiendo copia parcial del expediente, con la siguiente argumentación: “Conforme se establece en el artículo 5.1
- b)del Reglamento UE 2016/679, los datos personales obrantes en el expediente no podrán utilizarse de manera incompatible respecto a los fines para los que fueron recogidos y tratados. Por ello, únicamente podrán emplearse para los fines que en Derecho le corresponden en virtud de su condición de interesado. Con el fin de que su pretensión no suponga menoscabo de otros derechos merecedores, igualmente, de protección, en la copia de la documentación remitida por esta Subdirección General no se incluye aquella documentación que pudiera afectar a la seguridad pública, a la prevención, investigación y sanción de los ilícitos penales, administrativos o disciplinarios, a los intereses económicos y comerciales, el secreto profesional y la propiedad intelectual e industrial”. Dicho medio de comunicación da a entender que esta Agencia decidió enviarle una copia parcial del expediente y justificó dicha decisión incluyendo en el escrito de 20 de mayo de 2022 los dos párrafos que reproduce el escrito de recurso. Dicha insinuación no se ajusta a cómo sucedieron los hechos. La Agencia remitió el expediente solicitado y, junto con él, envió un modelo de escrito elaborado para los supuestos de solicitud de ampliación de plazo y envío de copia del expediente, en el que figuran esos dos párrafos. 2.Sobre la falta de acceso al expediente. ElDiario.es vuelve a afirmar que su solicitud de nuevo acceso al expediente completo de fecha 23 de mayo de 2022 no fue atendida. Entiende que ha tenido un acceso parcial al expediente, reiterando que no ha podido acceder a los escritos presentados por el reclamante el ***FECHA.1 y el ***FECHA.2. En su opinión, esto supondría una indefensión flagrante, posible motivo de nulidad procedimental y de sanción administrativa o incluso judicial para el ente que niega el acceso. En relación con dicha alegación, esta Agencia se remite a lo indicado en el fundamento de derecho II de la Resolución de 27 de diciembre de 2022. Vuelve a insistirse en que en el supuesto examinado no se ha producido una minoración en el ejercicio del derecho de defensa de la parte reclamada, que ha podido alegar a lo largo del procedimiento sancionador lo que a su derecho ha convenido. A modo de ejemplo, en el escrito de alegaciones a la propuesta de resolución elDiario.es invocó, en su defensa, una referencia que había realizado el reclamante en su escrito de ***FECHA.2, relativa a que observaba que había medios de comunicación habían eliminado la información de sus páginas web. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 3.Sobre la protección de la voz como dato personal: ElDiario.es asegura que en ningún caso han discutido que la voz sea un dato identificador de la persona, motivo por el cual retiró todos los elementos audiovisuales que incluyeran la voz de la víctima en cuanto la AEPD lo reclamó. A continuación, el medio de comunicación analiza la actitud diligente de elDiario.es: Esta Agencia se remite a lo ya indicado en el fundamento de derecho IX de la resolución recurrida. Por otra parte, se analizan nuevas alegaciones formuladas por elDiario.es en el escrito de recurso: En este sentido, ElDiario.es indica lo siguiente: “Hay que hacer aquí en efecto un inciso en cuanto la Resolución que se recurre, en su punto VIII (página 46), entra incluso a discutir este comportamiento rápido y diligente, cumpliendo con los requisitos de rigor y exquisito cuidado mencionados en la Sentencia de la Audiencia Nacional de 17 de octubre de 2007. Dicha Resolución recuerda que “el Acuerdo de adopción de medida provisional dirigido a elDiario.es fue firmado el 31 de marzo de 2022; Por su parte, el escrito de elDiario.es indicando que había procedido a la retirada del vídeo tiene fecha de 4 de abril de 2022 y tuvo entrada en el Registro de la AEPD el 5 de abril de 2022”. Tal tergiversación argumental de los hechos nos parece algo más que sorprendente, puesto que consta perfectamente a la Agencia, igual que a esta parte, que el Acuerdo de adopción de medida provisional fue notificado a mi mandante en fecha 3 de abril de 2022, como se indica en la presente relación de hechos (1 y 2), y que en fecha 4 de abril de 2022 mi mandante envió escrito de contestación informando de la diligente toma de las oportunas medidas. Es decir, se retiró el vídeo y se adoptaron todas las medidas dictadas por esta Agencia en cuanto se tuvo conocimiento de las mismas. El escrito de ***FECHA.2, del mismo reclamante, manifestando “que ha podido comprobar que actualmente ya no se encuentra disponible ninguna publicación de las reclamadas”, demuestra que dichas publicaciones se retiraron por parte de los medios que fueron requeridos para ello en su momento. Eso es lo mismo, ni más ni menos, que hizo elDiario.es: retirar el vídeo en cuanto se tuvo notificación del requerimiento para ello. El hecho de que la Resolución recurrida omita este hecho, enumerando unas fechas que eluden la recepción de notificación por mi mandante, resulta una extrañísima manipulación de los hechos por la que no podemos más que protestar enérgicamente, reclamando la corrección de dicho extremo puesto que los hechos vienen a confirmar la extrema diligencia y rapidez (menos de 24 horas) con que actuó elDiario.es al conocer, por primera vez, de las medidas provisionales dictadas e incluso de la existencia del procedimiento que inicia el presente caso. No teniéndose en cuenta extremos como el mencionado, no es extraño que se derive de esta Agencia una Resolución injusta y/o claramente desproporcionada.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 En el párrafo de la Resolución mencionado por elDiario.es se rebate la siguiente afirmación que había hecho el mencionado medio de comunicación en su escrito de alegaciones a la propuesta de resolución: (el subrayado es nuestro) “y sobre todo pasando por alto:
- d)la diligente actuación de eldiario.es retirando inmediatamente todos los elementos audiovisuales que incluyeran la voz de la víctima en cuanto esta Agencia lo reclamó. Así lo reconoció el mismo reclamante según aparece en el Recibo de Presentación en Oficina de Registro de fecha ***FECHA.2, dirigido a que se formule un aviso a Twitter, donde se formula explícitamente que “Observo que hay medios que han eliminado esa información de sus web (les agradezco la agilidad, en un asunto lamentable para la víctima)”.” En contestación tanto a la nueva alegación formulada en el escrito de recurso, que ha sido anteriormente reproducida, como a la alegación ya formulada por elDiario.es en el escrito de alegaciones a la propuesta de resolución, que figura en el párrafo anterior, esta Agencia afirma lo siguiente: 1. En la reclamación de ***FECHA.1 figuraba la siguiente dirección web relativa a elDiario.es: ***URL.1 2.Tal y como consta en el expediente, el reclamante en su escrito de ***FECHA.2 indicó lo siguiente: (el subrayado es nuestro). “Con fecha ***FECHA.1 puse en conocimiento de la AEPD que varios medios de comunicación habían difundido en sus web y en sus RRSS los audios de la víctima (…). Observo que hay medios que han eliminado esa información de sus web (les agradezco la agilidad, en un asunto lamentable para la víctima) pero siguen estando en sus redes sociales. (…)” 3. En la Diligencia de 7 de abril de 2022 consta que con fecha 30 de marzo de 2022 el contenido denunciado figuraba en el canal de YouTube de elDiario.es en la URL: ***URL.1 Dicha diligencia incorpora una captura de pantalla del contenido publicado con fecha 30 de marzo de 2022. 4. El 31 de marzo de 2022 la AEPD dictó un Acuerdo de adopción de medida provisional para la retirada urgente de dicho contenido, al que tuvo acceso elDiario.es el 3 de abril de 2022, tal y como consta en el expediente. 5.En la Diligencia de 7 de abril de 2022 se indica los siguiente: Así mismo, solicitado a esta entidad mediante notificación de medida cautelar la retirada de contenido o la distorsión de la voz de la victima de forma que no pudiera C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 identificarse directa o indirectamente, se comprueba con fecha de 7 de abril de 2022 que el contenido ha sido bloqueado.” Como anexo figura la comprobación del contenido retirado con fecha de 7 de abril de 2022. 6. La referencia que efectuó el reclamante en su escrito de fecha ***FECHA.2 no pudo referirse a elDiario.es, dado que el contenido mencionado en el escrito del reclamante de fecha ***FECHA.1 seguía estando disponible a fecha 30 de marzo de 2022 (…). 7. ElDiario.es retiró el contenido como consecuencia del requerimiento de esta Agencia de 31 de marzo de 2022. No fue, por tanto, una retirada espontánea y por propia iniciativa. Continuando con el contenido del recurso de reposición, en las alegaciones agrupadas bajo el título “Sobre el responsable del tratamiento de los datos” , apartado 4 del recurso, elDiario.es reproduce alegaciones ya formuladas a la propuesta de resolución. A pesar del título, las mismas no determinan quién es, en opinión del medio de comunicación, el responsable del tratamiento, sino que afirman que el tratamiento era lícito de acuerdo con lo establecido en el artículo 6.1 letras
- e)y
- f)del RGPD. Asimismo, centran su atención en el derecho a la información (artículo 20 de la Constitución Española), el artículo 681.2 de la LeCrim, el Protocolo de Comunicación de la Justicia, para concluir con una referencia al artículo 8.2 de la LOPDGDD. En relación con el contenido de dicho apartado, esta Agencia se remite a los fundamentos de derecho de la resolución recurrida, especialmente a los fundamentos de derecho IV y V. En dicho apartado del escrito del recurso, elDiario.es afirma: “Sorprende que el punto V de la Resolución que se recurre aluda al artículo 82. De la LOPDGDD cuando dispone que “el tratamiento de datos personales sólo podrá considerarse fundado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el artículo 6.1e) del Reglamento UE 2016/679, cuando derive de una competencia atribuida por una norma con rango de ley". Es posible que la Agencia considere que el derecho a la información, recogido en el Artículo 20 de la Constitución y que se configura como uno de los derechos fundamentales, no forma parte de una Ley. Lo cual sería una aseveración inédita, al igual que considerarse que no rige en este caso la Ley de Enjuiciamiento Criminal, que en los artículos 680 y 681 reconocen el principio de publicidad de las actuaciones penales, con sus límites, o la Ley Orgánica del Poder Judicial cuando en sus artículos 263 y siguientes regula el tratamiento debido a los datos personales.” Esta Agencia vuelve a afirmar que en este caso no cabría invocar como base legitimadora el artículo 6.1
- e)del RGPD, ya que no se ha producido atribución a través de una norma con rango de ley, tal y como exige el artículo 8.2 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 En el apartado 5 del escrito del recurso, titulado “Sobre la responsabilidad del tratamiento”, reproduce alegaciones ya formuladas anteriormente por elDiario.es en las que afirma que el responsable del tratamiento es el Tribunal Superior de Justicia de ***CCAA.1. En consecuencia, esta Agencia se remite al contenido del fundamento de derecho IV de la resolución de 27 de diciembre de 2022. Añadiendo, que en el supuesto analizado, esta Agencia ha sancionado al responsable del tratamiento: elDiario.es. En el apartado 6 del recurso, denominado “Sobre el necesario equilibrio del derecho a la protección de datos con el derecho a la información.”, elDiario.es vuelve a reproducir alegaciones ya planteadas en las que afirma que la resolución recurrida no encuentra, en su opinión, ningún equilibrio entre el derecho a la protección de datos y el derecho a la información, a diferencia de elDiario.es, que, según dicho medio de comunicación, apuesta por la ponderación. Pasando a exponer en qué considera que consiste la misma. A la hora de dar respuesta a dichas alegaciones, esta Agencia se remite al contenido del fundamento de derecho V de la resolución de 27 de diciembre de 2022. El apartado 7 del recurso, se titula “Sobre la vulneración del principio de igualdad” . Reproduce alegaciones ya formuladas anteriormente (concurrencia de los supuestos previstos en el artículos 6.1 letras
- e)y
- f)del RGPD, art 20 de la Constitución Española ligado al principio de publicidad de la justicia (artículo 120 CE), la jurisprudencia constitucional no realiza ninguna distinción entre prensa escrita y medios audiovisuales, el órgano judicial decidió no limitar el ejercicio de la libertad de información, el vídeo lo proporcionó la agencia EFE, afirmando que no procede imponer a dicho medio de comunicación sanción alguna por el cumplimiento de su función constitucional como vehículo del derecho a la información). En respuesta a dichas alegaciones, esta Agencia se remite a los fundamentos de derecho de la resolución recurrida, en particular a los fundamentos IV, V y VI. El apartado 8 del recurso, se denomina “Sobre la vulneración de los principios de proporcionalidad y tipificación de la infracción”. Dicho apartado se inicia indicando lo siguiente: “Ya en su momento admitió el órgano sancionador, en su Propuesta de Resolución, que aplicaba el artículo 72.1.
- a)de la LUPDGDD, que comprende un tipo de infracción considerada muy grave, “no existiendo ninguna otra infracción que pudiera aplicarse a los hechos, ni grave ni leve”. En su momento ya se presentó alegación contra dicha afirmación, que indicaba que quizá no existía reflejo de la actuación de esta parte en los tipos enumerados en dicha ley, ni en forma leve, ni en forma grave, ni mucho menos de forma “muy grave”. Ahora, en cambio, nos informa la Resolución recurrida que dicha tipificación se hizo “solamente a efectos de la prescripción de la infracción”, siendo pues el carácter “muy C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 grave” inexistente a efectos del verdadero artículo supuestamente tipificador de la conducta, que sería el 83.5 apartado
- a)del RGPD.” A continuación elDiario.es reproduce en su escrito de recurso el contenido de dicho artículo. El recurrente vuelve a insistir, repitiendo alegaciones ya formuladas, en que la actuación de elDiario.es no vulneró el artículo 5 del RGPD. Concluyendo que no resulta aplicable el artículo 83.5 del RGPD. En respuesta a dicho apartado, esta Agencia se remite a los fundamentos de derecho de la resolución recurrida en los que se expone porqué se entiende que la conducta del medio de comunicación ha vulnerado el principio de minización de datos. El siguiente apartado, número 9, del escrito de recurso se denomina “Sobre la proporcionalidad” En el mismo se reproducen alegaciones ya formuladas con anterioridad. Cabe destacar las siguientes afirmaciones de elDiario.es: “(…) es importante atender a la calificación que efectúa (“muy grave”) esta Agencia “en relación con la prescripción”, puesto que, si lo es exclusivamente a efectos de prescripción, no debería serlo a efectos de sanción.” “Insistimos: la Resolución recurrida califica la conducta como “muy grave” exclusivamente a efectos de prescripción, debiendo operar lo dispuesto en el artículo 83 del RGPD para determinar el importe de la sanción, junto, evidentemente, con los criterios ponderativos (tanto de la LOPDGDD como del RGPD) ya enumerados.” Las mencionadas alegaciones están relacionadas con el fundamento de derecho VII de la Resolución de 27 de febrero de 2022. En dicho fundamento se da respuesta a la alegación relativa a una supuesta vulneración del principio de tipicidad y se reproducen las alegaciones formuladas por Diario.es al acuerdo de inicio: “(…) entendemos que la sanción propuesta sería improcedente, por cuanto vulneraría el principio de tipicidad porque nunca la sanción podría ser calificada como muy grave, sino como leve, (…)” Así como a las siguientes alegaciones formuladas a la propuesta de resolución: “(…) consideramos que la sanción propuesta sería a todas luces improcedente, por cuanto vulneraría el principio de tipicidad porque nunca la sanción podría ser calificada como muy grave, sino máximamente como leve:” “Admite el órgano sancionador que aplica el artículo 72.1.
- a)de la LOPDGDD, que comprende un tipo de infracción considerada muy graves, “no existiendo ninguna otra infracción que pudiera aplicarse a los hechos, ni grave ni leve”. Quizá sea porque no existe reflejo de la actuación de esta parte en los tipos enumerados en dicha ley, ni en forma leve, ni en forma grave, ni mucho menos de forma “muy grave”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 Tal como dispone el artículo 27 de la Ley de Régimen Jurídico del Sector Público: “sólo constituyen infracciones administrativas las vulneraciones del ordenamiento jurídico previstas como tales infracciones por una Ley”. No se puede, por ende, adjudicar el carácter de “muy grave” a una conducta por el simple hecho de no encontrar una disposición legal que pueda comprender la actuación del sujeto como infracción “grave” o “leve”.” En el fundamento de derecho VII de la Resolución recurrida se destacaba que la parte reclamada confundía y mezclaba la tipificación de las infracciones, su gravedad y la calificación de las mismas a los efectos de prescripción. Indicándose: “Al respecto hay que indicar que las infracciones en materia de protección de datos están tipificadas en los apartados 4, 5 y 6 del artículo 83 del RGPD. Es una tipificación por remisión, admitida plenamente por nuestro Tribunal Constitucional. En este sentido, también el artículo 71 de la LOPDGDD realiza una referencia a las mismas al señalar que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. En este sentido, el Dictamen del Consejo de Estado de 26 de octubre de 2017, relativo al Anteproyecto de Ley Orgánica de Protección de Datos de Carácter Personal, dispone que “El Reglamento Europeo sí tipifica, por más que lo haga en un sentido genérico, las conductas constitutivas de infracción: en efecto, los apartados 4, 5 y 6 de su artículo 83 arriba transcritos contienen un catálogo de infracciones por vulneración de los preceptos de la norma europea que en tales apartados se indican. El artículo 72 del Anteproyecto asume, no en vano, la existencia de dicho catálogo, cuando dispone que “constituyen infracciones los actos y conductas que supongan una vulneración del contenido de los apartados 4, 5 y 6 del Reglamento Europeo y de la presente ley orgánica”.” Las infracciones fijadas en los artículos 72, 73 y 74 de la LOPDGDD lo son sólo a los efectos de la prescripción, tal y como reza el inicio de todos y cada uno de estos preceptos. Esta necesidad surgió en nuestro Estado al no existir en el RGPD referencia alguna a la prescripción relativa a las infracciones, dado que este instituto jurídico no es propio de todos los Estados miembros de la UE. Así, la exposición de motivos de la citada ley orgánica señala que ésta “procede a describir las conductas típicas; estableciendo la distinción entre infracciones muy graves, graves y leves, tomando en consideración la diferenciación que el Reglamento general de protección de datos establece al fijar la cuantía de las sanciones. La categorización de las infracciones se introduce a los solos efectos de determinar los plazos de prescripción, teniendo la descripción de las conductas típicas como único objeto la enumeración de manera ejemplificativa de algunos de los actos sancionables que deben entenderse incluidos dentro de los tipos generales establecidos en la norma europea. La Ley orgánica regula los supuestos de interrupción de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 prescripción partiendo de la exigencia constitucional del conocimiento de los hechos que se imputan a la persona” (el subrayado es nuestro). Esto es, resulta de la aplicación e interpretación del RGPD, y no de la LOPDGDD, la determinación de la gravedad de una infracción atendiendo a una serie de condicionantes previstos en el mismo. Mientras que la clasificación ejemplificativa de las infracciones a los efectos de la prescripción de la LOPDGDD no tiene virtualidad en cuanto a la determinación de la gravedad de la infracción a los efectos del RGPD ni respecto de la imposición de las multas correspondientes en su caso.” El Dictamen del Consejo de Estado de 26 de octubre de 2017 en relación con la clasificación en faltas muy graves, graves y leves prevista en el Anteproyecto de Ley Orgánica de Protección de Datos de Carácter Personal destaca: (el subrayado es nuestro). “Esta clasificación no tiene, sin embargo, trascendencia en cuanto al importe de las multas. La determinación de la cuantía de las multas a imponer por la vulneración de los preceptos mencionados en los apartados 4, 5 y 6 del artículo 83 del Reglamento Europeo compete, de acuerdo con la norma europea, a las autoridades de control, de acuerdo con los criterios de graduación establecidos en el apartado 2 de este mismo precepto, entre los que se encuentra la "naturaleza" o "gravedad" de la infracción". Dentro de los límites cuantitativos establecidos por el Reglamento Europeo, las autoridades de control, atendiendo a la mayor o menor gravedad de la infracción, deben fijar el importe de las multas. Ciertamente, los márgenes con que cuentan las autoridades de control son amplísimos -de 1 euro a 10.000.000 euros por infracción de los preceptos mencionados en el apartado 4 del artículo 83 y de 1 euro a 20.000.000 euros por infracción de los preceptos mencionados en los apartados 5 y 6-, lo que confiere a tales autoridades un elevado grado de discrecionalidad, muy superior a los que suele ser habitual en países de nuestra tradición jurídica. Se trata, en todo caso, del modelo querido por el Reglamento Europeo, de ahí que la distinción entre infracciones leves, graves y muy graves contemplada en el Anteproyecto no pueda tener consecuencia en la determinación de la cuantía máxima de las infracciones leves, debiendo estarse en todo caso a la determinación de su importe que hagan las autoridades de control, conforme a las circunstancias del caso concreto, dentro de los límites marcados en aquel reglamento”. Así, la clasificación de las infracciones a los efectos de la prescripción de la LOPDGDD no tiene virtualidad en cuanto a la determinación de la gravedad de la infracción a los efectos del RGPD ni respecto de la imposición de las multas correspondientes, en su caso. En el fundamento de derecho XIX de la Resolución de 27 de diciembre de 2022 se indica lo siguiente: “La parte reclamada ha tratado datos que eran excesivos al no ser necesarios para la finalidad para la que se trataban, lo que es constitutivo de una infracción del artículo 5.1.
- c)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19 La infracción que se atribuye a la parte reclamada se encuentra tipificada en el artículo 83.5, apartado
- a)del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. El fundamento de derecho XX indica lo siguiente: “A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa adminis trativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
- k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” En el presente caso, se estiman concurrentes los criterios de graduación siguientes: Agravantes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/19 - Artículo 83.2.
- a)del RGPD: Naturaleza, gravedad y duración de la infracción: Se considera que la naturaleza de la infracción es muy grave puesto que acarrea una pérdida de disposición y control sobre el dato personal de su voz a una persona que ha sido víctima de un delito violento y contra la integridad sexual y que al difundir dicho dato personal existía un riesgo cierto de que pudiera ser reconocida por terceros, con los graves daños y perjuicios que esto le ocasionaría. - Artículo 83.2.
- b)del RGPD. Intencionalidad o negligencia en la infracción: Si bien se considera que no hubo intencionalidad por parte del medio de comunicación, se estima que fue negligente al no asegurar un procedimiento que garantizase la protección de los datos personales en unas circunstancias tan sensibles, máxime cuando en muchas ocasiones se distorsiona la voz en las noticias con la finalidad de que no se reconozca a la persona que habla. - Artículo 83.2.
- g)del RGPD. Categorías de datos personales afectados por la infracción: La posibilidad cierta de reconocer a la víctima de un delito como del que informa la noticia, muy grave, violento y contra la integridad sexual (violación múltiple), supone un grave perjuicio para la afectada, ya que lo sucedido está vinculado a su vida sexual.” En base a lo dispuesto en los artículos 83.1 y 83.2 del RGPD, anteriormente reproducidos, dentro de los límites previstos en el artículo 83.5 del RGPD y teniendo en cuenta los criterios de graduación anteriormente expuestos, la Resolución recurrida impone a elDiario.es por una infracción del artículo 5.1
- c)del RGPD, tipificada en el artículo 83.5
- a)del RGPD, una multa de 50000 euros. En este caso, se ha sancionado con una multa de 50 000 euros, multa que se encuentra en el rango inferior de las posibles. Tengamos en cuenta que, de acuerdo con lo previsto en el artículo 83.5 el importe de dicha multa podría llegar a 20 000 000 euros o, en el caso de una empresa, a una cuantía equivalente al 4% máximo del volumen de negocio total anual global del ejercicio financiero anterior. Recapitulando: 1. En este caso la infracción se encuentra tipificada en el artículo 83.5 apartado
- a)del RGPD. 2. La referencia a la infracción contemplada en el artículo 72.1
- a)de la LOPDGDD se realiza a efectos del plazo de prescripción, tal y como indica el fundamento de derecho XIX de la Resolución de 27 de diciembre de 2022. 3. La cuantía de la multa se encuentra dentro del rango inferior de los importes de multas posibles. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/19 4. La determinación del importe de la multa se ha llevado a cabo observando las previsiones de los artículos 83.1 y 83. 2 del RGPD, valorando unos criterios de graduación, que se estimaban concurrentes en el supuesto examinado, y a los que se hace referencia en el fundamento de derecho XX de la Resolución recurrida. A continuación, en sus alegaciones, el Diario.es destaca lo siguiente: “El artículo 83.2
- a)del RGPD hace referencia en todo caso al “nivel de los daños y perjuicios que hayan sufrido”, con lo cual nos parece legalmente forzado mezclar dicho artículo con previsiones contempladas en los considerandos 74, 75 y 76 del mismo RGPD que se refieren, respectivamente: el 74, a las “medidas oportunas y eficaces” a adoptar por el responsable del tratamiento teniendo en cuenta el riesgo para los derechos y libertades de las personas físicas; el 75, a la variedad y graduación de dicho riesgo; y el 76, a la ponderación del mismo en relación con las medidas a adoptar por el responsable del tratamiento. En ningún caso dichos considerandos se refieren a los perjuicios efectivamente causados, como sí hace el artículo 83.2.a), que, además de ser un artículo dispositivo y no un considerando, sí se refiere a la ponderación de la sanción y no de las “medidas” a tomar por el responsable.” Una vez más el recurrente vuelve a mezclar diferentes cuestiones. Tal y como se acaba de indicar, el importe de la multa se ha determinado en base a lo dispuesto en los artículos 83.1 y 83.2 del RGPD, dentro de los límites previstos en el artículo 83.5 del RGPD y teniendo en cuenta los criterios de graduación anteriormente expuestos, el conjunto de ellos. Por otra parte, en el fundamento de derecho X de la resolución recurrida da respuesta a la afirmación de elDiario.es relativa a que dicho medio de comunicación no había causado perjuicio alguno. En dicho fundamento se efectúan dos citas, una de la propuesta de resolución y otra de la propia resolución -circunstancia agravante prevista en el artículo 83.2
- a)del RGPD-, para poner de manifiesto que la difusión de la voz de la víctima había supuesto el riesgo cierto de que la misma hubiera podido ser identificada por personas que desconocían su condición de víctima. A continuación, se destaca que el RGPD parte de una perspectiva basada en el enfoque de riesgos. Indicando que la gestión del cumplimiento normativo del RGPD comprende incorporar ab initio la gestión del riesgo en materia de protección de datos dentro de la organización por parte del responsable del tratamiento. Con el fin de desarrollar esta idea, se citan el artículo 24.1 del RGPD, los considerandos 74, 75 y 76 y la Guía de Gestión del riesgo y evaluación de impacto en tratamientos de datos personales de la AEPD. La resolución concluye: “Por tanto, antes de llevar a cabo el tratamiento de datos de carácter personal, resulta necesario evaluar si dicho tratamiento puede implicar un riesgo para los derechos y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/19 libertades de las personas físicas cuyos datos personales van a ser tratados. De ahí la necesidad de proceder a un análisis de riesgos con carácter previo a la publicación de la noticia, que le permita detectar dicho riesgo, analizarlo y adoptar las medidas oportunas. Desde esta perspectiva, lo importante no es si el riesgo de que se reconozca a la víctima se ha materializado o no, sino si existe el riesgo de que alguien que escuche su voz sin distorsionar, la identifique. Es decir, no se pone el foco en la certeza de que alguien la haya identificado a través de su voz, sino en el hecho de que, al publicar la noticia junto con la voz sin distorsionar, se ha generado una situación de riesgo cierto de que alguien pudiera llegar a identificarla, lo cual es un hecho especialmente grave en un suceso como el que da lugar a la noticia.” Posteriormente, en su escrito de recurso, el Diario.es alega: “En este caso no se ha acreditado la negligencia de esta parte, teniendo en cuenta todas las circunstancias del caso y su actitud diligente, y se le carga con una multa de 50.000 euros cuantificada con criterios no objetivados ni siquiera dentro de la tipificación propuesta (no entendemos por qué deberían ser 50.000 exactamente, y no 10.000 por ejemplo: como máximo se indica que ”dista mucho del límite máximo previsto”, ponderación que a todas luces aparece como lo contrario de objetiva). Una sanción que, a pesar de todo haberse ignorado las circunstancias atenuantes indicadas y en cualquier cuantía que hipotéticamente fuera, consideramos del todo inadecuada, errónea e injusta para este caso.” No se comparten las afirmaciones realizadas por elDiario.es, ya se ha reproducido parte del contenido de los fundamentos de derecho XIX y XX de la Resolución recurrida relativos a la tipificación y los aspectos tenidos en cuenta a la hora de determinar la cuantía de la multa. Cabe recordar de nuevo las afirmaciones formuladas por el Consejo de Estado en el Dictamen de 26 de octubre de 2017, relativo al Anteproyecto de Ley Orgánica de Protección de Datos de Carácter Personal: (el subrayado es nuestro) “(…).Ciertamente, los márgenes con que cuentan las autoridades de control son amplísimos -de 1 euro a 10.000.000 euros por infracción de los preceptos mencionados en el apartado 4 del artículo 83 y de 1 euro a 20.000.000 euros por infracción de los preceptos mencionados en los apartados 5 y 6-, lo que confiere a tales autoridades un elevado grado de discrecionalidad, muy superior a los que suele ser habitual en países de nuestra tradición jurídica. Se trata, en todo caso, del modelo querido por el Reglamento Europeo, de ahí que la distinción entre infracciones leves, graves y muy graves contemplada en el Anteproyecto no pueda tener consecuencia en la determinación de la cuantía máxima de las infracciones leves, debiendo estarse en todo caso a la determinación de su importe que hagan las autoridades de control, conforme a las circunstancias del caso concreto, dentro de los límites marcados en aquel reglamento”. En el último apartado del recurso, denominado “Vulneración de la tutela judicial efectiva por inadmisión de prueba solicitada”, elDiario.es vuelve a formular alegaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/19 que ya planteó anteriormente. Esta Agencia se remite al contenido del fundamento de derecho XII de la resolución recurrida. En el escrito del recurso, elDiario.es solicita: “-Que, por la presente, se solicita la inmediata suspensión de la ejecutividad de la Resolución impugnada, hasta tanto no se resuelva el recurso de reposición que nos atañe.” Dicha solicitud se realiza para un plazo temporal concreto, el tiempo que media entre la interposición del recurso de reposición y la resolución del mismo. Dicho plazo habría concluido con la firma de esta resolución. A mayor abundamiento, conforme a lo establecido en el artículo 117. 1 y 2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas: “1. La interposición de cualquier recurso, excepto en los casos en que una disposición establezca lo contrario, no suspenderá la ejecución del acto impugnado. 2. No obstante lo dispuesto en el apartado anterior, el órgano a quien competa resolver el recurso, previa ponderación, suficientemente razonada, entre el perjuicio que causaría al interés público o a terceros la suspensión y el ocasionado al recurrente como consecuencia de la eficacia inmediata del acto recurrido, podrá suspender, de oficio o a solicitud del recurrente, la ejecución del acto impugnado cuando concurran alguna de las siguientes circunstancias:
- a)Que la ejecución pudiera causar perjuicios de imposible o difícil reparación.
- b)Que la impugnación se fundamente en alguna de las causas de nulidad de pleno derecho previstas en el artículo 47.1 de esta Ley.” Examinado el escrito del recurso, se observa que el mismo no indica ningún motivo en el que se base dicha petición, en los términos de lo explicitado en el precepto descrito. En relación con esta cuestión es preciso resaltar (ya que no se alega causa de nulidad alguna) que, si bien la suspensión de la ejecutividad de los actos administrativos debe ser una medida aplicable siempre que resulte necesaria, cuando de la ejecución de la resolución deriven perjuicios de imposible o difícil reparación, estos han de ser explícitamente alegados y acreditados a los efectos de la ponderación a la que está obligada esta Administración. Añadiendo que, en principio, los actos de contenido meramente económico no son susceptibles de causar perjuicios de imposible o difícil reparación, en cuanto que son susceptibles de reparación mediante su restitución. Todo ello salvo que la cuantía del acto en relación con el patrimonio del sancionado suponga otra cosa. En consecuencia, no procede admitir la solicitud de suspensión formulada. III Conclusión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/19 En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por El Diario de Prensa Digital SL contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 27 de diciembre de 2022, en el expediente RR/00048/2023. SEGUNDO: DESESTIMAR la solicitud de suspensión de la ejecutividad de la resolución impugnada, hasta tanto no se resuelva el recurso de reposición. TERCERO: NOTIFICAR la presente resolución a El Diario de Prensa Digital SL. CUARTO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/19 el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-111122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es