1/9 Procedimiento nº: PS/00203/2013 ASUNTO: Recurso de Reposición Nº RR/00675/2013 Examinado el recurso de reposición interpuesto por Dña. B.B.B. y Dña. C.C.C. B.B.B. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00203/2013, y en base a los siguientes, HECHOS PRIMERO: Con fecha 2 de julio de 2013, se dictó resolución por el Director de la Agencia Española de Protección de Datos en el procedimiento sancionador, PS/00203/2013, en virtud de la cual se apercibía a D. A.A.A. por la vulneración de lo dispuesto en el artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), infracción tipificada como grave en el artículo 44.3.b), de conformidad con lo establecido en el artículo 45.6 de la citada Ley Orgánica. Dicha resolución, que fue notificada a las recurrentes en fecha 12/07/2013, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en el artículo 127 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. SEGUNDO: Como hechos probados del citado PS/00203/2013, quedó constancia de los siguientes: procedimiento sancionador, <<…PRIMERO: Con fecha de 1 de marzo de 2013 tiene entrada en esta Agencia denuncia suscrita por las denunciantes, en la que se refieren a la publicación en Internet, por el denunciado (expareja de la primera), de diversos datos sobre su relación de pareja, junto con diversos documentos judiciales y videos, que incluyen también información e imágenes del hijo común, menor de edad, y de otros familiares. En el escrito, que se refiere particularmente al sitio web www.malostratosfalsos.com, las denunciantes solicitan la intervención de la Agencia para lograr que se elimine la información privada publicada (folios 1 a7). SEGUNDO: Por la Inspección se ha verificado, a través de internet, que el dominio malostratosfalsos.com figura registrado a nombre del denunciado. El sitio web se presenta como “web dedicada a quien sufre denuncias falsas de malos tratos” y, al margen de la documentación del caso concreto del autor, incorpora diversos análisis periodísticos sobre denuncias falsas de violencia de género, así como entrevistas al autor en distintos medios de comunicación (folios 17 a 19). TERCERO: En fecha 8 de abril por la Inspección se ha obtenido copia impresa de distintas páginas del sitio web, en la mayor parte de las cuales el autor hace referencia al nombre de pila de las denunciantes y a las iniciales de sus apellidos, que actualmente figuran disociados. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 En el sitio web se incluyen asimismo referencias al nombre del padre de ambas denunciantes y al de las abogadas que han representado a la primera denunciante en un proceso judicial de violencia de género, que se detalla pormenorizadamente. Entre la multitud de documentos publicados figura, en particular, uno con el título Informe Psicosocial del CAI remitido a Comisión de Tutela de Menores de la Comunidad de Madrid”, que en la citada fecha aún contiene el nombre completo del hijo de la denunciante y del denunciado, menor de edad, así como el nombre y primer apellido de la madre. El sitio web incluye asimismo diversos contenidos sonoros y video gráficos, algunos grabados en sede judicial. Entre ellos, figuran varios videos caseros con la imagen del menor de edad, así como un video extraído del portal YouTube, que reproduce un evento navideño grabado en el entorno laboral de la primera denunciante, que contiene la imagen identificable de esta, señalada como la expareja del autor (folios 23 a 83). CUARTO: En fecha 27 de junio de 2013 se ha realizado una búsqueda en internet, utilizando el buscador Google, del primer apellido de las denunciantes asociado al dominio malostratosfalsos.com, obteniéndose un total de 4 resultados que vinculan dicha palabra al sitio web www.malostratosfalsos.com. Del análisis de las páginas referenciadas se infiere que, en ninguna de ellas figura actualmente el citado apellido, de lo que se desprende que, de acuerdo con las manifestaciones realizadas por el denunciado, los datos de las denunciantes han sido disociados en el sitio web (folios 404 a 408)…>> TERCERO: Dña. B.B.B. y Dña. C.C.C. B.B.B. han presentado en fecha 30/07/2013, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo, básicamente en: <<…A fecha de hoy, los resultados que aparecen en Youtube y Google al introducir el apellido B.B.B., siguen activos (…) Por todo lo expuesto, solicito a Ia AGENCIA ESPAOLA DE PROTECCION DE DATOS, tenga a bien reconsiderar Ia resolución de apercibimiento al denunciado, procediendo a establecer una sanción ejemplar que sirva para disuadir infracciones de esta naturaleza…>> FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 II En relación con las manifestaciones efectuadas por las recurrentes, reiterándose básicamente, en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II al V ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: <<…II El artículo 8.1 del Real Decreto 1398/93, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, dispone: “Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento, con la imposición de la sanción que proceda.” En aplicación del anterior precepto y teniendo en cuenta que el denunciado ha reconocido los hechos imputados, procede resolver el procedimiento iniciado. III Los hechos expuestos suponen una infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de carácter personal (en lo sucesivo LOPD), que señala que: “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa”, en relación con el artículo 13 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, que al regular en su artículo 13 el consentimiento para el tratamiento de datos de menores de edad, establece: “1. Podrá procederse al tratamiento de los datos de los mayores de catorce años con su consentimiento, salvo en aquellos casos en los que la Ley exija para su prestación la asistencia de los titulares de la patria potestad o tutela. En el caso de los menores de catorce años se requerirá el consentimiento de los padres o tutores. 2. En ningún caso podrán recabarse del menor, datos que permitan obtener información sobre los demás miembros del grupo familiar, o sobre las características del mismo, como los datos relativos a la actividad profesional de los progenitores, información económica, datos sociológicos o cualesquiera otros, sin el consentimiento de los titulares de tales datos. No obstante, podrán recabarse los datos de identidad y dirección del padre, madre o tutor con la única finalidad de recabar la autorización prevista en el apartado anterior. 3. Cuando el tratamiento se refiera a datos de menores de edad, la información dirigida a los mismos deberá expresarse en un lenguaje que sea fácilmente comprensible por aquéllos, con expresa indicación de lo dispuesto en este artículo. 4. Corresponderá al responsable del fichero o tratamiento articular los procedimientos que garanticen que se ha comprobado de modo efectivo la edad del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 menor y la autenticidad del consentimiento prestado en su caso, por los padres, tutores o representantes legales.” Infracción tipificada como grave en el artículo 44.3.
- b)de dicha norma, que considera como tal “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Dicha infracción podría ser sancionada con multa de 40.001 a 300.000 euros, de acuerdo con el artículo 45.2 de la LOPD. IV El artículo 6 de la LOPD dispone, en sus apartados 1 y 2, que el tratamiento de datos de carácter personal tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público o bien que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento, siempre que los datos de que se trate sean necesarios para el mantenimiento o cumplimiento del contrato. De acuerdo con el criterio mantenido por esta Agencia, ratificado por la Audiencia Nacional, al tratamiento de datos de carácter personal en Internet le resulta de aplicación la normativa española de protección de datos. En particular, resulta relevante la sentencia de 20/04/2009 (recurso 561/2007), donde el órgano judicial aplica los fundamentos de la sentencia de 7/11/2003, del Tribunal de Justicia de la Unión Europea (caso Lindqvist. Asunto C-101/01), al entender que “la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones constituye un «tratamiento total o parcialmente automatizado de datos personales» en el sentido del artículo 3, apartado 1, de la Directiva 95/46." En el presente caso se ha acreditado que el imputado ha publicado en internet diversos documentos en los que se recogían los nombres y apellidos de las denunciantes, así como imágenes del hijo común con una de ellas, sin el consentimiento de las afectadas. V No obstante, la disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos en lugar del existente hasta su promulgación del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9
- a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto, en el que un padre difunde a través de internet la imagen de su hijo menor de edad, sin el consentimiento de la madre, así como documentos en los que se recogen el nombre y apellidos de las denunciantes, se cumplen los requisitos recogidos en los apartados
- a)y
- b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado, teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. Así mismo ha quedado acreditado que el denunciado ha disociado en su página web los datos personales de las denunciantes y las imágenes de su hijo, al conocer la posible infracción que estaba cometiendo…>> III En relación con la alegación de que al introducir el apellido B.B.B. en el buscador Google aparecen diversos resultados. En la propia resolución sancionadora (y en relación con el dominio del que es titular el denunciante www.malostratosfalsos.com), en el Hecho Probado Cuarto se recoge: <<En fecha 27 de junio de 2013 se ha realizado una búsqueda en internet, utilizando el buscador Google, del primer apellido de las denunciantes asociado al dominio malostratosfalsos.com, obteniéndose un total de 4 resultados que vinculan dicha palabra al sitio web www.malostratosfalsos.com. Del análisis de las páginas referenciadas se infiere que, en ninguna de ellas figura actualmente el citado apellido, de lo que se desprende que, de acuerdo con las manifestaciones realizadas por el denunciado, los datos de las denunciantes han sido disociados en el sitio web (folios 404 a 408)…>> IV En relación con la infracción declarada, por vulneración de lo dispuesto en el artículo 6 de la LOPD, que determinó el apercibimiento del denunciado, conviene delimitar si las recurrentes están legitimadas para interponer recurso de reposición con el propósito de que la resolución impugnada se revise “in peius” para el denunciado, si existe interés suficiente y legítimo para la impugnación de la resolución por parte de las recurrentes, al objeto de que se incremente la sanción. Teniendo en cuenta que la condición de denunciante no otorga por sí la de interesado, y que la LOPD y el Reglamento de desarrollo no se refieren a interesado C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 sino a afectado, señalando que se le comunique la resolución final. Así mismo, ha de tenerse en cuenta las sentencias de la Audiencia Nacional, Sala de lo Contencioso Administrativo, Sección primera, entre ellas la de fecha 17/01/2013 recurso 910/2010 en la que se establece: <<…Para resolver la controversia suscitada, en primer lugar se debe partir de la falta de legitimación de la actora, alegada por parte del Abogado del Estado. Esta cuestión ha sido ya resuelta en anteriores Sentencias de esta Sala de la Audiencia Nacional, entre otras de 8 de septiembre de 2011, rec. 22/2010, en cuyo fundamento de derecho tercero se sintetiza la jurisprudencia sobre la materia: “Sobre esta cuestión la STS de 16 de diciembre de 2008 (Rec. 6339/2004) dictada también respecto de una resolución del Director de la AEPD que acordó el archivo de un procedimiento incoado en virtud de una denuncia, y que apreció tal falta de legitimación activa, que contiene las siguientes consideraciones: (...) en relación con la legitimación en materia sancionadora y respecto de los denunciantes, esta Sala viene señalando algunos criterios que conforman doctrina jurisprudencial y que permiten determinar la concurrencia de tal requisito procesal. “Así se señala de manera reiterada, que se trata de justificar la existencia de una utilidad, posición de ventaja o beneficio real, o más concretamente, si la imposición de una sanción puede producir un efecto positivo en la esfera jurídica del denunciante o puede eliminar una carga o gravamen, en esa esfera (S. 23-5-2003, 28-11-2003, 30-112005, entre otras). “Que por ello el problema de la legitimación tiene un carácter casuístico, lo que no permite una respuesta indiferenciada para todos los casos, siendo preciso examinar en cada uno de ellos el concreto interés legítimo que justifique la legitimación, incumbiendo su alegación y prueba a quien se lo arrogue (SS. 21-11-2005 , 30-112005), señalando la sentencia de 3 de noviembre de 2005 que: (...) partiendo de que la respuesta al problema de la legitimación debe ser casuística, de modo que no es aconsejable ni una afirmación ni una negación indiferenciadas para todos los casos, la Sala entiende que la existencia de la legitimación viene ligada a la de un interés legítimo de la parte que se lo arroga, siendo la clave para determinar si existe o no ese interés legítimo en el proceso de impugnación de una resolución... el dato de si la imposición de una sanción puede producir un efecto positivo en la esfera jurídica del denunciante o puede eliminar una carga o gravamen en esa esfera, y será así, en cada caso, y en función de lo pretendido, como pueda darse la contestación adecuada a tal cuestión, no siéndolo que la imposición de la sanción constituye por sí misma la satisfacción de un interés". En el mismo sentido la sentencia de 11 de abril de 2006 indica que: "en el ámbito de los procedimientos sancionadores no es posible dar normas de carácter general en relación con la legitimación, sino que hay que atender al examen de cada caso. Así, si bien no existe legitimación para pretender en abstracto la imposición de una sanción y, por tanto, para incoar un expediente sancionador, no puede excluirse que en determinados asuntos el solicitante pueda resultar beneficiado en sus derechos o intereses como consecuencia de la apertura de un expediente sancionador (reconocimiento de daños, derecho a indemnizaciones), lo que le otorgaría legitimación para solicitar una determinada actuación inspectora o sancionadora (en este sentido, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 Sentencia de 14 de diciembre de 2005 -recurso directo 101/2004). “No obstante, la jurisprudencia identifica en tales sentencias el alcance de ese interés legítimo del denunciante, considerando como tal (...) el reconocimiento de daños o derecho a indemnizaciones y entendiendo que no tiene tal consideración la alegación de que "la imposición de la sanción constituye por sí misma la satisfacción de un interés" señalando la sentencia de 26 de noviembre de 2002 que: "el denunciante ni es titular de un derecho subjetivo a obtener una sanción contra los denunciados, ni puede reconocérselo un interés legítimo a que prospere su denuncia, derecho e interés que son los presupuestos que configuran la legitimación, a tenor del artículo 24,1 de la Constitución y del art. 31 de la Ley 30/1992 , sin que valgan como sostenedores de ese interés los argumentos referidos a que se corrijan las irregularidades, o a que en el futuro no se produzcan, o a la satisfacción moral que comportaría la sanción, o la averiguación de los hechos, para el denunciante,..." “La STS de 6 de octubre de 2009 (Rec. 4712/2005) ha reproducido dicho criterio, asimismo dictada en un supuesto muy similar al ahora analizado, en la que, tras indicar que el problema se centra en si los denunciantes tienen legitimación activa para recurrir en vía jurisdiccional frente a la resolución de la Agencia que pone fin al expediente sancionador iniciado a raíz de la denuncia, se razona lo siguiente: “La respuesta debe ser inequívocamente negativa: quien denuncia hechos que considera constitutivos de infracción de la legislación de protección de datos carece de legitimación activa para impugnar en vía jurisdiccional lo que resuelva la Agencia. Así se desprende de las sentencias de esta Sala de 6 de noviembre de 2007 y, con mayor nitidez aún, de 10 de diciembre de 2008. La razón es, en sustancia, que el denunciante carece de la condición de interesado en el procedimiento sancionador que se puede incoar a resultas de su denuncia. Ni la Ley Orgánica de Protección de Datos ni su Reglamento de desarrollo le reconocen esa condición. Y por lo que se refiere a los principios generales del derecho administrativo sancionador, aunque en algunas ocasiones esta Sala ha dicho que el denunciante puede impugnar el archivo de la denuncia por la Administración, no se admite que el denunciante pueda impugnar la resolución administrativa final. El argumento crucial en esta materia es que el denunciante, incluso cuando se considere a sí mismo "víctima" de la infracción denunciada, no tiene un derecho subjetivo ni un interés legítimo a que el denunciado sea sancionado. El poder punitivo pertenece únicamente a la Administración que tiene encomendada la correspondiente potestad sancionadora-en este caso, la Agencia Española de Protección de Datos- y, por consiguiente, sólo la Administración tiene un interés tutelado por el ordenamiento jurídico en que el infractor sea sancionado. Es verdad que las cosas no son así en el derecho penal propiamente dicho, donde existe incluso la acción popular; pero ello es debido a que hay normas que expresamente establecen excepciones al monopolio público sobre el ejercicio del ius puniendi; excepciones que no aparecen en el derecho administrativo sancionador y, por lo que ahora específicamente interesa, en la legislación sobre protección de datos. Es más: aceptar la legitimación activa del denunciante no sólo conduciría a sostener que ostenta un interés que el ordenamiento jurídico no le reconoce ni protege, sino que llevaría también a transformar a los tribunales contencioso-administrativos en una especie de órganos de apelación en materia sancionadora. Esto último supondría dar por bueno que pueden imponer las sanciones administrativas que no impuso la Administración, lo que chocaría con el llamado "carácter revisor" de la jurisdicción contencioso- C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 administrativo. En otras palabras, los tribunales contencioso-administrativos pueden y deben controlar la legalidad de los actos administrativos en materia sancionadora; pero no pueden sustituirse a la Administración en el ejercicio de las potestades sancionadoras que la ley encomienda a aquélla. “Cuanto se acaba de decir debe ser objeto de una precisión: el denunciante de una infracción de la legislación de protección de datos carece de legitimación activa para impugnar la resolución de la Agencia en lo que concierne al resultado sancionador mismo (imposición de una sanción, cuantía de la misma, exculpación, etc.); pero, llegado el caso, puede tener legitimación activa con respecto a aspectos de la resolución distintos del específicamente sancionador siempre que, por supuesto, pueda mostrar algún genuino interés digno de tutela. “La seguridad jurídica obliga a esta Sala a seguir ese criterio tan claramente marcado por el Tribunal Supremo en las sentencias que se acaban de transcribir. La doctrina que emana de las sentencias que acabamos de citar es clara al entender que el ius puniendi no está en manos de los particulares en caso de archivo de la denuncia por parte de la Agencia de Protección de Datos y dicho criterio debe ser mantenido por esta Sala en aplicación del criterio de unificación de jurisprudencia y para garantía de la seguridad jurídica.” En el presente caso la actora pretende el incremento de la cuantía de la sanción y la responsabilidad de las personas físicas, en lugar de la Junta sancionada, para lo que carece de interés legítimo, de acuerdo con la jurisprudencia reseñada…>> V Por lo tanto, en el presente recurso de reposición, las recurrentes no han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. No obstante, se estima conveniente resaltar que en dicha resolución se consideró incumplido lo dispuesto en el artículo 6 por el tratamiento sin consentimiento de los datos de las recurrentes en Internet, en base a los hechos que se consideraron constatados. Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Dña. B.B.B. y Dña. C.C.C. B.B.B. contra la Resolución de esta Agencia Española de Protección de Datos dictada con fecha 2 de julio de 2013, en el procedimiento sancionador PS/00203/2013. SEGUNDO: NOTIFICAR la presente resolución a Dña. B.B.B. y Dña. C.C.C. B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es