1/7 Procedimiento nº.: PS/00209/2021 Recurso de reposición Nº RR/00568/2021 Examinado el recurso de reposición interpuesto por Dña. A.A.A., en nombre y representación del CLUB GIMNASIA RÍTMICA SAN ANTONIO contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00209/2021, y en base a los siguientes: HECHOS PRIMERO: Con fecha 27 de julio de 2021, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00209/2021, en virtud de la cual se imponía una sanción de 5.000 euros, por la vulneración de lo dispuesto en el artículo 6 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en lo sucesivo RGPD), infracción tipificada en el artículo 83. 5 del RGPD y calificada de muy grave en el artículo 72.1
- a)de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDPGDD). Dicha resolución, que fue notificada al recurrente en fecha 7 de agosto de 2021, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDPGDD, y supletoriamente en la LPACAP, en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00209/2021, quedó constancia de los siguientes: procedimiento sancionador, HECHOS PROBADOS PRIMERO: Consta que el reclamado tiene una página de Instagram llamada “RITMICASANANTONIO” en la que se publican imágenes de menores realizando ejercicios. SEGUNDO: Que la reclamante ha manifestado al reclamado que no quiere que publiquen imágenes de sus hijas en las redes sociales, que no les ha dado su autorización para fotografiar y grabar a sus hijas. TERCERO: El 18 de junio de 2021, se inició este procedimiento sancionador por la infracción del artículo 6 del RGPD (licitud del tratamiento), siendo notificado el día 29 del mismo mes y año. No habiendo efectuado alegaciones, el reclamado, al acuerdo de inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 TERCERO: Dña. A.A.A., en nombre y representación del CLUB GIMNASIA RÍTMICA SAN ANTONIO (en lo sucesivo el recurrente) ha presentado en fecha 26 de agosto de 2021, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo: “en que efectivamente la denunciante prohibía la difusión de fotos o videos de sus hijas en la página que el Club tiene abierta en las redes sociales (Instagram), pero la citada prohibición llegó al teléfono móvil de la directiva del club el viernes 5 de febrero a las 22.29 horas. Sin embargo, esa misma noche, ya pasadas las 12, se publicó un video de una clase en la que participaban las hijas de la denunciante, sin ser consciente de la prohibición que se acababa de mandar. Por ello, ese vídeo se publicó con toda normalidad, desde el 6 de febrero -día siguiente al de la de la prohibición y día anterior al de la denuncia- todas las fotos y todos los vídeos que estaban publicados en la página de Instagram del Club en los que aparecían las hijas de la denunciante, aunque fuera en un plano secundario o lejano, fueron eliminadas de forma definitiva y no han vuelto ni volverán a publicarse. Por lo tanto, solicita que se dicte resolución por lo que estimando este recurso, se declare que este Club no ha cometido la infracción que se le imputa y por ello no debe serle impuesta sanción alguna. Y subsidiariamente, se imponga la sanción en la cuantía mínima que legalmente proceda”. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 48.1 de la LOPDPGDD. II El recurrente en sus alegaciones reconoce que la reclamante manifestó el 5 de febrero de 2021 que no se publicarán fotos o videos de sus hijas en la página que el Club tiene abiertas en las redes sociales (Instagram). Así pues, el recurrente, siguió publicando imágenes de las menores. De esta forma, queda totalmente acreditado que vulneró el artículo 6.1 del RGPD, toda vez que publicó imágenes en Instagram de las hijas de la reclamante, sin que tuviese ninguna legitimación para ello. A pesar de tener su prohibición para dicha publicación. En relación con las manifestaciones efectuadas por el recurrente, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II al V ambos inclusive, de la Resolución recurrida, tal como se transcribe a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 <<II Se imputa al reclamado la comisión de una infracción por vulneración del Artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” III Los apartados b),
- d)e
- i)del artículo 58.2 del RGPD disponen lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...) “
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” “
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” La infracción se tipifica en el Artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves” dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: (…)
- a)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” IV La documentación que obra en el expediente ofrece evidencias de que el reclamado, tiene una página de Instagram llamada “RITMICASANANTONIO” en la que se publican imágenes de las menores realizando ejercicios. Que la reclamante ha manifestado varias veces al reclamado, la última de ellas el 5 de febrero de 2021, que no quiere que se publiquen imágenes de sus hijas en las redes sociales y que no tienen la autorización para fotografiar y grabar a sus hijas. Pues bien, el reclamado ha vulnerado el artículo 6.1 del RGPD, toda vez que publicó imágenes en Instagram de las hijas de la reclamante, sin que tuviese ninguna legitimación para ello. No acredita la legitimación para el tratamiento de los datos de las hijas menores, de 10 y 12 años de edad, de la reclamante. Es de destacar, que requerida información sobre estos hechos al reclamado, el 9 y el 22 de febrero de 2021, aunque consta que fue entregada la segunda de las notificaciones por el servicio postal de correos el 3 de marzo de 2021, no ha contestado a esta Agencia. Asimismo, consta que el Acuerdo de Inicio del presente procedimiento, fue notificado el 29 de junio de 2021. Sin embargo, el reclamado no ha efectuado alegaciones al mismo. V De conformidad con las evidencias de las que se dispone los hechos expuestos constituyen, por parte del reclamado, una infracción a lo dispuesto en el artículo 6.1
- a)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes los siguientes: En el presente caso estamos ante acción negligente grave (artículo 83.2 b). Se encuentran afectados datos personales – la imagen, que las hace identificables – de dos menores de edad, a los cuales la normativa de protección de datos protege de manera especial (art.83.2g). Asimismo, de acuerdo con lo establecido en el citado artículo 58.2.
- d)del RGPD, se ordena al reclamado, como responsable del tratamiento, para que en el plazo de un mes adopte las medidas necesarias para que se retire la imagen de las menores, de conformidad con lo establecido en el artículo 6.1 a), así como la aportación de medios de prueba acreditativos del cumplimiento de lo requerido.>> III Debido a razones de funcionamiento del órgano administrativo, por ende no atribuibles al recurrente, hasta el día de la fecha no se ha emitido el preceptivo pronunciamiento de esta Agencia respecto a la pretensión del interesado. De acuerdo con lo establecido en el art. 24 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP) el sentido del silencio administrativo en los procedimientos de impugnación de actos y disposiciones es desestimatorio. Con todo, y a pesar del tiempo transcurrido, la Administración está obligada a dictar resolución expresa y a notificarla en todos los procedimientos cualquiera que sea su forma de iniciación, según dispone el art. 21.1 de la citada LPACAP. Por tanto, procede emitir la resolución que finalice el procedimiento del recurso de reposición interpuesto. IV En consecuencia, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Dña. A.A.A., en nombre y representación del CLUB GIMNASIA RÍTMICA SAN ANTONIO contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 27 de julio de 2021, en el procedimiento sancionador PS/00209/2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 SEGUNDO: NOTIFICAR la presente resolución a la entidad CLUB GIMNASIA RÍTMICA SAN ANTONIO. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contenciosoadministrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-100519 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es