1/17
Expediente N.º: EXP202207521
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: D. A.A.A., en nombre y representación de D. ª B.B.B. (en adelante, la
parte reclamante), en fecha 27 de mayo de 2022, interpuso reclamación ante la
Agencia Española de Protección de Datos. La reclamación se dirige contra JOLY
DIGITAL, S.L.U., con NIF B11514445 (en adelante, la parte reclamada). Los motivos
en que basa la reclamación son los siguientes:
En fecha ***FECHA.1, un periodista publicó en el blog que ostenta insertado en el
Diario de Cádiz, una foto personal de la parte reclamante, de su ámbito privado y
perteneciente a su cuenta privada de la red social Instagram. Manifiesta que dicha
cuenta privada de Instagram siempre ha estado y está cerrada al público, por lo que
todo el que quiera acceder a la misma y ver sus imágenes y fotografías tiene que
mandarle una solicitud de amistad que la parte reclamante debe aceptar expresa y
previamente, no encontrándose dicho periodista entre los aceptados para acceder a
sus imágenes y fotografías.
La difusión de imágenes realizadas a través del mencionado blog, sin consentimiento
alguno y perteneciente a la red social (privada) de la representada, se ubica en la
siguiente URL:
***URL.1
Considera que la difusión pública de imágenes personales y privadas por parte del
reclamado, constituyen una manifiesta vulneración a lo dispuesto en el artículo 6 del
Reglamento General de Protección de Datos, (RGPD 2016/679), al no contar con
ninguna de las bases de legitimación establecidas en el apartado 1 del precitado
artículo.
Junto a la reclamación se adjunta documento (…) de la imagen publicada en el
mencionado blog y que, a fecha de la presentación de la reclamación, aún continuaba
publicada.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales
(en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada,
para que procediese a su análisis e informase a esta Agencia en el plazo de un mes,
de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la
normativa de protección de datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/17
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por
el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada
conforme a lo previsto en el art. 43.2 de la LPACAP, en fecha 22 de julio de 2022,
como consta en el certificado que obra en el expediente.
El traslado fue enviado mediante correo postal certificado, siendo recibido en fecha 25
de julio de 2022.
En fecha 24 de agosto de 2022, se recibe en esta Agencia escrito de respuesta
indicando que los hechos se reducen a que el periodista publicó una foto en la que
aparecían las piernas de una mujer, publicada por la reclamante en su cuenta de
Instagram con ocasión de (…), alabando sus “taconazos”. Foto que enviaron al
periodista, dado que él carece de cuenta de Instagram, y que publicó bajo el texto (…),
criticando lo que él entendía una conducta frívola con relación al periodismo y al
premio concedido.
Considera que la imagen que se reproduce no se corresponde con una persona
identificada o identificable y por tanto no es dato personal y que en el comentario que
acompaña a la fotografía, no se menciona en ningún momento el nombre de la parte
reclamante y que la presente reclamación se enmarca en una polémica de tintes
personales, alejada de cualquier fundamento jurídico o base legal.
TERCERO: En fecha 9 de septiembre de 2022, de conformidad con el artículo 65 de la
LOPDGDD, se comunica la admisión a trámite de la reclamación presentada por la
parte reclamante.
CUARTO: En fecha 26 de enero de 2023, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del artículo 6.1 del RGPD, tipificada en
el artículo 83.5 del RGPD.
El acuerdo de inicio fue enviado, conforme a las normas establecidas en la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica,
si bien no fue recogido por el responsable, dentro del plazo de puesta a disposición,
entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP, en
fecha 9 de febrero de 2023, como consta en el certificado que obra en el expediente.
No obstante, el acuerdo de inicio fue reenviado, previa solicitud, a la representante de
la entidad según poder notarial, conforme a las normas establecidas en la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica,
siendo recibido en fecha 1 de febrero de 2023, como consta en el certificado que obra
en el expediente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/17
QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en
la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito
de alegaciones en el que, en síntesis, aporta un dossier sobre el perfil profesional de la
parte reclamante en una de las aplicaciones sociales y profesionales más importantes
como es la red social LinkedIn, diversos artículos y recortes de prensa tomados de
periódicos españoles destacando la referencia a la parte reclamante así como copia
del acuerdo de inicio del procedimiento sancionador.
SEXTO: En fecha 8 de marzo de 2023, se formuló propuesta de resolución,
proponiendo:
<<Que por la Directora de la Agencia Española de Protección de Datos se sancione a
JOLY DIGITAL, S.L.U., con NIF B11514445,
-por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD,
con una multa administrativa de cuantía 20.000,00 euros.
- se ordene a JOLY DIGITAL, S.L.U., con NIF B11514445, que en virtud del artículo
58.2.d) del RGPD, en el plazo de 1 mes, acredite haber procedido al cumplimiento de
las medidas correctoras necesarias para adecuar su actuación a la normativa de
protección de datos personales, que impidan que en el futuro se repitan hechos
similares.>>
La citada propuesta de resolución fue enviada, conforme a las normas establecidas en
la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica,
si bien no fue recogida por el responsable, dentro del plazo de puesta a disposición,
entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP, en
fecha 23 de marzo de 2023, como consta en el certificado que obra en el expediente.
No obstante, la propuesta de resolución fue reenviada, previa solicitud, a la
representante de la entidad según poder notarial, conforme a las normas establecidas
en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), mediante notificación electrónica,
siendo recibida en fecha 16 de marzo de 2023, como consta en el certificado que obra
en el expediente.
SÉPTIMO: En fecha 31 de marzo de 2023, la parte reclamada presentó escrito de
alegaciones a la Propuesta de Resolución, en el que, en síntesis, pone en
conocimiento de la AEPD que, en cumplimiento del requerimiento contenido en la
propuesta de resolución, ha procedido a la eliminación de la captura de pantalla de la
red social Instagram objeto del presente procedimiento.
Asimismo, muestra su disconformidad ante la incorrecta tramitación del expediente
que le ha generado una grave indefensión toda vez que no existe prueba alguna en
relación con la fotografía objeto de este procedimiento. Niega no solo que su objeto
sean las piernas de la denunciante, sino que niega que la fotografía haya sido
realizada por ella y no proceda de un banco de imágenes. Por ello reitera, que la
ausencia de prueba en el sentido señalado le provoca una grave indefensión.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/17
En segundo lugar, expone que la publicación objeto del presente expediente no se ha
efectuado en el periódico digital Diario de Cádiz, sino en un Blog de opinión alojado en
dicha dirección, pero autónomo e independiente en cuanto a su contenido respecto del
citado periódico digital. En él, su autor, ejercita su derecho a la libertad de expresión.
Ejemplo de ello es la publicación en cuestión.
En este sentido entiende que como el artículo 4 del RGPD define los datos personales
como “toda información sobre una persona física identificada o identificable”,
quedarían excluidas del ámbito de protección, las opiniones como la publicada.
En cuanto a la prevalencia del derecho a la libertad de expresión sobre el derecho a la
protección de datos de carácter personal, considera que, para llevar a cabo una
correcta ponderación de los derechos en colisión, debe analizarse previamente el
contexto y las circunstancias concurrentes en que ha sido publicada la captura de
pantalla y que en el presente supuesto no existe un tratamiento de datos de carácter
personal sino un ejercicio del derecho a la libertad de expresión por parte de un
periodista al opinar sobre otra periodista con notoriedad pública con motivo de un
hecho noticioso: (…).
Considera por tanto que la publicación de la fotografía en el blog constituye un
ejercicio legítimo de su derecho fundamental a la libertad de expresión toda vez que la
publicación se ha llevado a cabo en ejercicio de un derecho fundamental prevalente, el
Sr. C.C.C. no tiene acceso a Instagram por lo que difícilmente puede ser el autor de la
conducta achacada, es decir, descargar de Instagram una fotografía publicada por la
denunciante para su posterior divulgación (al Sr. C.C.C. un tercero le ha remitido
directamente esa captura de pantalla) y la conducta del Sr. C.C.C. consiste en
censurar la banalización realizada del periodismo como profesión, así como del propio
reconocimiento que supone el premio entregado. Y esa opinión no puede expresarse
sin publicar la fotografía que le había sido remitida.
Asimismo, añade que para que una imagen sea considerada dato personal, la propia
imagen debe contener rasgos que la hagan identificable de forma indubitada. Y en
este caso, de la publicación efectuada, lo más que podría concluirse es que ha sido
publicada por la Sra. B.B.B..
Por último, en cuanto a la calificación de la sanción y fijación del importe pone de
manifiesto que la propuesta de sanción notificada es absolutamente desproporcionada
y solicita que se acuerde declarar la inexistencia de infracción y se proceda al archivo
de las presentes actuaciones.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS PROBADOS
PRIMERO: Consta que en fecha 27 de mayo de 2022, la parte reclamante interpuso
reclamación ante la Agencia Española de Protección de Datos, al haberse publicado
en el Diario de Cádiz, una foto personal de su ámbito privado y perteneciente a su
cuenta privada de la red social Instagram.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/17
SEGUNDO: Consta que en fecha ***FECHA.1, el Sr. C.C.C. publicó en la página web:
***URL.1
un artículo que bajo el título: “(…)”, reproducía una captura de pantalla de la red social
Instagram de la parte reclamante. Dicha captura de pantalla consistía en la difusión de
la imagen denunciada acompañada del siguiente texto: “(…).”
TERCERO: Consta que la parte reclamada, en su escrito de 31 de marzo de 2023,
informa que ha procedido a eliminar “la captura de pantalla de la red social de
Instagram objeto del presente procedimiento.”
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
Garantía de los Derechos Digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Cuestiones previas
Los hechos reclamados se materializan en la publicación, sin legitimación ni
consentimiento, de una captura de pantalla perteneciente a la cuenta privada de la red
social Instagram de la reclamante, consistente en una foto de la reclamante, en la web
***URL.1, bajo el siguiente texto: “(…)”, lo que podría suponer vulneración de la
normativa en materia de protección de datos.
Es, por tanto, pertinente analizar si el tratamiento de datos personales llevado a cabo a
través de la publicación denunciada es acorde con lo establecido en el RGPD.
La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato
personal y su protección, por tanto, es objeto de dicho Reglamento, entendiendo por
dato de carácter personal: “toda información sobre una persona física identificada o
identificable”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/17
Se considera persona física identificable aquella cuya identidad pueda determinarse,
directa o indirectamente, en particular mediante un identificador, como por ejemplo un
nombre, un número de identificación, datos de localización, un identificador en línea o
uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona.
En el caso concreto que se examina, la imagen publicada junto con el nombre, apellido
y edad de la persona a la que se le ha atribuido, constituyen un conjunto de datos de
carácter personal en el sentido del artículo 4.1 del RGPD, y, por tanto, datos
relacionados con una persona física identificada o identificable.
Asimismo, debe entenderse por tratamiento “cualquier operación o conjunto de opera-
ciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por
procedimientos automatizados o no, como la recogida, registro, organización, estructu-
ración, conservación, adaptación o modificación, extracción, consulta, utilización, co-
municación por transmisión, difusión o cualquier otra forma de habilitación de acceso,
cotejo o interconexión, limitación, supresión o destrucción”.
Teniendo en cuenta lo anterior, Joly Digital, S.L.U., es un grupo editorial andaluz que
para la edición de periódicos y revistas trata datos de carácter personal.
Realiza esta actividad en su condición de responsable del tratamiento, dado que es
quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD:
«responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad
pública, servicio u otro organismo que, solo o junto con otros, determine los fines y
medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determi-
na los fines y medios del tratamiento, el responsable del tratamiento o los criterios es-
pecíficos para su nombramiento podrá establecerlos el Derecho de la Unión o de los
Estados miembros.
El Reglamento General de Protección de Datos, en su artículo 4.11, define el
consentimiento del interesado como “toda manifestación de voluntad libre, específica,
informada e inequívoca por la que el interesado acepta, ya sea mediante una
declaración o una clara acción afirmativa, el tratamiento de datos personales que le
conciernen”.
En este sentido, el artículo 6.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de
Protección de Datos Personales y Garantía de los Derechos Digitales, establece que
“de conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679,
se entiende por consentimiento del afectado toda manifestación de voluntad libre,
específica, informada e inequívoca por la que este acepta, ya sea mediante una
declaración o una clara acción afirmativa, el tratamiento de datos personales que le
conciernen”.
III
Alegaciones Aducidas al Acuerdo de Inicio
En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar
lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/17
El dictamen 4/2007, sobre el concepto de datos personales, adoptado el 20/06 por el
Grupo de trabajo 29, de la Directiva 95/46, analiza en profundidad el concepto de
datos personales, indicando la referencia: “son toda información sobre una persona
física identificada o identificable, considerándose identificable toda persona cuya
identidad pueda determinarse directa o indirectamente, en particular mediante un
número de identificación o uno o varios elementos específicos característicos de su
identidad física fisiológica psíquica económica cultural o social”. Una persona
directamente se considera identificada a través del nombre y apellidos y queda más
individualizada, cuando, además, se tiene otro identificador, por ejemplo, su fotografía,
a través de la cual se puede obtener más información de esa persona.
La difusión de imágenes realizadas a través del mencionado blog, junto con el nombre,
apellido y edad de la persona a la que se le ha atribuido, sin consentimiento alguno y
perteneciente a la red social (privada) de la reclamante, ubicada en la URL: ***URL.1,
constituye un tratamiento de datos.
La parte reclamada pretende criticar y expresar la opinión que le merece la faceta
profesional de la parte reclamante y para ello utiliza datos personales de la parte
reclamante que figuran en la URL de su dominio, divulgando al público la información.
Con ese fin, incluso, publica sin consentimiento alguno y perteneciente a la red social
(privada) de la reclamante, su imagen junto con su nombre, apellidos y edad.
En relación con el uso del contenido fotográfico, procede mencionar la STS 363/2017,
de 15 de febrero, en la que se indica lo siguiente:
“… que, en la cuenta abierta en una red social en Internet, el titular del perfil haya
“subido” una fotografía suya que sea accesible al público en general, no autoriza a un
tercero a reproducirla en un medio de comunicación sin el consentimiento del titular
porque tal actuación no puede considerarse una consecuencia natural del carácter
accesible de los datos e imágenes de un perfil público en una red social en Internet.
La finalidad de una cuenta abierta en una red social en Internet es la comunicación de
su titular con terceros y la posibilidad de que estos terceros puedan tener acceso al
contenido de esa cuenta e interactuar con su titular, pero no que pueda publicarse la
imagen del titular de esa cuenta en un medio de comunicación.
[…] El consentimiento del titular de la imagen para que le público en general, o un
determinado número de personas, pueda ver su fotografía en un blog o en una cuenta
abierta en la web de una red social no conlleva la autorización para hacer uso de esa
fotografía y publicarla o divulgarla de una forma distinta”.
Si bien dicha Sentencia se refiere a imágenes accesibles al público en general, en
concreto a la imagen captada del perfil de Facebook que el propio interesado dio a
conocer en las redes sociales, en el caso concreto de este expediente, la reclamante
tenía la imagen publicada en la parte privada de su Instagram.
La documentación obrante en el expediente evidencia que la parte reclamada vulneró
el artículo 6.1 del RGPD, al proceder a la difusión de la imagen de la reclamante,
acompañada de su nombre, apellidos y edad, sin causa legitimadora alguna como
podría ser el consentimiento o autorización en las redes sociales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/17
Por lo tanto, esta Agencia, tras haber constatado que la parte reclamada ha publicado
y difundido una captura de pantalla perteneciente a la cuenta privada de la red social
Instagram de la reclamante, consistente en una foto de la reclamante, y un texto en el
que figura su nombre, apellidos y edad, concluye, de conformidad con la
argumentación jurídica señalada, que se ha llevado a cabo un tratamiento de datos sin
legitimación, pues no se ha acreditado por la parte reclamada lo contrario, y por lo
tanto se considera que ha incurrido en una infracción del artículo 6 del RGPD.
El artículo 6, Licitud del tratamiento, del RGPD establece:
“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos
personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal
aplicable al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o
de otra persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable
del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos
perseguidos por el responsable del tratamiento o por un tercero, siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del interesado que requieran la protección de datos personales,
en particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al
tratamiento realizado por las autoridades públicas en el ejercicio de sus
funciones.
(…)”.
También el artículo 6, Tratamiento basado en el consentimiento del afectado, de la
nueva Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en lo sucesivo LOPDGDD), señala que:
“1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE)
2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad
libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una
declaración o una clara acción afirmativa, el tratamiento de datos personales que le
conciernen.
2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento
del afectado para una pluralidad de finalidades será preciso que conste de manera
específica e inequívoca que dicho consentimiento se otorga para todas ellas.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/17
3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el
tratamiento de los datos personales para finalidades que no guarden relación con el
mantenimiento, desarrollo o control de la relación contractual”.
Sobre esta cuestión de la licitud del tratamiento, incide asimismo el Considerando 40
del mencionado RGPD, cuando dispone que:
«Para que el tratamiento sea lícito, los datos personales deben ser tratados con el
consentimiento del interesado o sobre alguna otra base legítima establecida conforme
a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión
o de los Estados miembros a que se refiera el presente Reglamento, incluida la
necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la
necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de
tomar medidas a instancia del interesado con anterioridad a la conclusión de un
contrato.»
No consta, sin embargo, que el citado tratamiento de datos personales se llevase a
cabo por la parte reclamada al amparo de una base jurídica que lo legitime.
En consecuencia, las alegaciones deben ser desestimadas, significándose que las
argumentaciones presentadas no desvirtúan el contenido esencial de la infracción que
se declara cometida ni suponen causa de justificación o exculpación suficiente.
IV
Alegaciones Aducidas a la Propuesta de Resolución
En respuesta a las alegaciones presentadas por la entidad reclamada a la Propuesta
de Resolución, se debe señalar lo siguiente:
Alega la parte reclamada que no existe prueba alguna en relación con la fotografía
objeto de este procedimiento. Niega no solo que su objeto sean las piernas de la
denunciante, sino que niega que la fotografía haya sido realizada por ella y no proceda
de un banco de imágenes. Por ello reitera, que la ausencia de prueba en el sentido
señalado, le provoca una grave indefensión.
La valoración conjunta de la prueba documental obrante en el procedimiento trae a
conocimiento de la AEPD, una visión de la actuación denunciada que ha quedado
reflejada en los hechos declarados probados arriba relatados. No obstante, sobre las
alegaciones presentadas por la entidad reclamada se debe indicar que tal y como
consta en las actuaciones previas, la AEPD requirió a la parte reclamada información
relacionada con la incidencia, confirmándose lo señalado en el escrito de reclamación,
al manifestar la parte reclamada que el periodista publicó una foto en la que aparecían
las piernas de una mujer, publicada por la reclamante en su cuenta de Instagram con
ocasión de (…), alabando sus “taconazos”. Foto que enviaron al periodista, dado que
él carece de cuenta de Instagram, y que publicó bajo el texto (…), criticando lo que el
entendía una conducta frívola con relación al periodismo y al premio concedido.
Asimismo, en las alegaciones ahora presentadas consta que un tercero remitió al Sr.
C.C.C. esa captura de pantalla. Por tanto, esta Agencia, tras haber constatado que la
parte reclamada ha publicado y difundido una captura de pantalla perteneciente a la
cuenta privada de la red social Instagram de la reclamante, consistente en una foto de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/17
la reclamante, y un texto en el que figura su nombre, apellidos y edad, concluye que se
ha llevado a cabo un tratamiento de datos sin legitimación, pues no se ha acreditado
por la parte reclamada lo contrario, y por lo tanto se considera que ha incurrido en una
infracción del artículo 6 del RGPD.
En segundo lugar, expone que la publicación objeto del presente expediente no se ha
efectuado en el periódico digital Diario de Cádiz, sino en un Blog de opinión alojado en
dicha dirección, pero autónomo e independiente en cuanto a su contenido respecto del
citado periódico digital. En él, su autor, ejercita su derecho a la libertad de expresión.
Ejemplo de ello es la publicación en cuestión.
En este sentido entiende que como el artículo 4 del RGPD define los datos personales
como “toda información sobre una persona física identificada o identificable”,
quedarían excluidas del ámbito de protección, las opiniones como la publicada.
Pues bien, en el presente caso, la parte reclamada es la responsable de los
tratamientos de datos ahora analizados toda vez que conforme define el art 4.7 del
RGPD, es la entidad que determina la finalidad y medios de los tratamientos
realizados.
En el caso concreto que se examina, la captura de pantalla perteneciente a la cuenta
privada de la red social Instagram de la reclamante, consistente en una foto de la re-
clamante, y un texto en el que figura su nombre, apellidos y edad, constituyen datos de
carácter personal en el sentido del artículo 4.1 del RGPD, y, por tanto, datos relaciona-
dos con una persona física identificada o identificable.
A este respecto, conviene aclarar que el objeto del presente procedimiento
sancionador no es el ejercicio del derecho a la libertad de expresión por parte de un
periodista al opinar sobre otra periodista con notoriedad pública con motivo de un
hecho noticioso, sino la publicación y difusión de la captura de pantalla perteneciente a
la cuenta privada de la red social Instagram de la reclamante, consistente en una foto
de la reclamante, y un texto en el que figura su nombre, apellidos y edad, sin causa
legitimadora alguna.
Debe tenerse en cuenta que la normativa de protección de datos no efectúa una
distinción entre datos públicos y privados, permitiendo sin más, el uso de datos que la
afectada haya hecho públicos, sino que otorga con carácter general una protección a
los datos personales determinando aquéllos supuestos en que dicho tratamiento
resulta conforme a la misma.
El Tribunal Constitucional, viene a establecer el derecho a la protección de datos como
derecho fundamental autónomo. En virtud de este derecho fundamental, el ciudadano,
con carácter general, puede decidir sobre sus propios datos.
En este sentido debe tomarse en consideración, la doctrina jurisprudencial del Tribunal
Constitucional en esta materia, que configura el derecho a la protección de datos como
un derecho fundamental autónomo, diferenciado del derecho fundamental a la
intimidad. Señala así en su Sentencia 292/2000, lo siguiente:
“De este modo, el objeto de protección del derecho fundamental a la protección
de datos no se reduce sólo a los datos íntimos de la persona, sino a cualquier tipo de
dato personal, sea o no íntimo, cuyo conocimiento o empleo por terceros pueda
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/17
afectar a sus derechos, sean o no fundamentales, porque su objeto no es sólo la
intimidad individual, que para ello está la protección que el art. 18.1 CE otorga, sino
los datos de carácter personal. Por consiguiente, también alcanza a aquellos datos
personales públicos, que, por el hecho de serlo, de ser accesibles al conocimiento de
cualquiera, no escapan al poder de disposición del afectado porque así lo garantiza su
derecho a la protección de datos. También por ello, el que los datos sean de carácter
personal no significa que sólo tengan protección los relativos a la vida privada o íntima
de la persona, sino que los datos amparados son todos aquellos que identifiquen o
permitan la identificación de la persona, pudiendo servir para la confección de su perfil
ideológico, racial, sexual, económico o de cualquier otra índole, o que sirvan para
cualquier otra utilidad que en determinadas circunstancias constituya una amenaza
para el individuo.”
La aludida Sentencia 292/2000 determina, asimismo, el contenido del derecho a la
protección de datos personales señalando en su fundamento jurídico 7:
“De todo lo dicho resulta que el contenido del derecho fundamental a la
protección de datos consiste en un poder de disposición y de control sobre los datos
personales que faculta a la persona para decidir cuáles de esos datos proporcionar a
un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que
también permite al individuo saber quién posee esos datos personales y para qué,
pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control
sobre los datos personales, que constituyen parte del contenido del derecho
fundamental a la protección de datos se concretan jurídicamente en la facultad de
consentir la recogida, la obtención y el acceso a los datos personales, su posterior
almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el
Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento,
informático o no, de los datos personales, requiere como complementos
indispensables, por un lado, la facultad de saber en todo momento quién dispone de
esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder
oponerse a esa posesión y usos.
En fin, son elementos característicos de la definición constitucional del derecho
fundamental a la protección de datos personales los derechos del afectado a consentir
sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan
indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser
informado de quién posee sus datos personales y con qué fin, y el derecho a poder
oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la
posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le
informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y
asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y,
en su caso, requerirle para que los rectifique o los cancele.”
Centrándonos en la imputación de la que trae causa el presente procedimiento
sancionador se debe indicar que, la circunstancia que ocasiona la apertura del
procedimiento no es otra que la publicación, en un blog de un medio de comunicación,
de una captura de pantalla perteneciente a la cuenta privada de la red social Instagram
de la reclamante, consistente en una foto de la reclamante, y un texto en el que figura
su nombre, apellidos y edad. Circunstancia que no equivale a una autorización para
que terceros puedan hacer uso de esta libremente, por lo que el tratamiento de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/17
imagen, junto con el nombre, apellidos y edad de la reclamante, sin su consentimiento
previo y expreso, implica la vulneración del artículo 6 del RGPD.
Por último, en cuanto a la alegación relativa a la calificación de la sanción y fijación del
importe, el artículo 83.5 del RGPD establece que la infracción del artículo 6 del RGPD
puede ser sancionada “con multas administrativas de 20 000 000 EUR como máximo
o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía”, por lo que ya se aplica una importante minoración de esta.
La STS, Sala 3ª, de 16 de diciembre de 2003 (Rec. 4996/98) ya señalaba que el
principio de proporcionalidad de las sanciones exige que "la discrecionalidad que se
otorga a la Administración para la aplicación de la sanción se desarrolle ponderando
en todo caso las circunstancias concurrentes, al objeto de alcanzar la debida
proporcionalidad entre los hechos imputados y la responsabilidad exigida". Principio de
proporcionalidad que no se entiende vulnerado, considerándose proporcionada la
sanción propuesta a la entidad, por los hechos probados y ponderadas las
circunstancias concurrentes, que se detallan más adelante.
Asimismo, manifiesta la falta de proporcionalidad en comparación con el contenido de
otras resoluciones dictadas por la AEPD como consecuencia de la supuesta infracción
del artículo 6 del RGPD.
En concreto, reseñan la sanción impuesta en un procedimiento sancionador de la
AEPD a un club de futbol que había publicado en una red social un vídeo de una
menor sin consentimiento, en el que se mostraba un momento del partido disputado
para mostrar su disconformidad con la decisión arbitral. En el caso expuesto, aun
cuando se efectuó un tratamiento de un dato sometido a especial protección como es
el de la imagen de un menor, la AEPD acordó establecer una sanción de 5.000 euros.
Pues bien, el RGPD prevé expresamente la posibilidad de graduación, mediante la
previsión de multas susceptibles de modulación, en atención a una serie de
circunstancias de cada caso individual. Y la Guía de Multas recientemente aprobada
por el Comité Europeo de Protección de Datos propone, en la determinación del punto
de partida para el cálculo de la multa, evaluar por un lado la gravedad de la infracción
según las circunstancias del caso y por otro, el volumen de negocios de la empresa.
Estas circunstancias han sido tenidas en cuenta a la hora de fijar la sanción. Consta
conocido que la parte reclamada es una entidad que gestiona un gran volumen de
datos personales en el ejercicio de sus atribuciones. Esta circunstancia determina un
mayor grado de exigencia y profesionalidad y, consiguientemente, de responsabilidad
de la entidad en relación con el tratamiento de los datos personales.
En consecuencia, las alegaciones deben ser desestimadas, significándose que las
argumentaciones presentadas no desvirtúan el contenido esencial de la infracción que
se declara cometida ni suponen causa de justificación o exculpación suficiente.
V
Artículo 6.1 del RGPD
La documentación obrante en el expediente ofrece indicios evidentes de que la parte
reclamada ha publicado y difundido, sin legitimación ni consentimiento, una captura de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/17
pantalla perteneciente a la cuenta privada de la red social Instagram de la reclamante,
consistente en una foto de la reclamante, y un texto en el que figura su nombre,
apellidos y edad.
El reclamado considera que la imagen que se reproduce no se corresponde con una
persona identificada o identificable y por tanto no es dato personal y que en el
comentario que acompaña a la fotografía, no se menciona en ningún momento el
nombre de la parte reclamante y que la presente reclamación se enmarca en una
polémica de tintes personales, alejada de cualquier fundamento jurídico o base legal.
En este sentido, la Agencia Española de Protección de Datos ha de hacer mención a
dos sentencias, una dictada por el Tribunal Supremo- STS 91/2017, de 15 de febrero –
y otra por el Tribunal Constitucional - STC 27/2020, de 24 de febrero-, en las cuales se
afirma que una fotografía en una red social no equivale a una autorización para que
terceros puedan hacer uso de esta libremente, por lo que el tratamiento de la imagen
de la reclamante sin su consentimiento previo y expreso, implica la vulneración del
artículo 6 del RGPD.
El TS, en sentencia 91/2017, de 15 de febrero, declara que "Que, en la cuenta abierta
en una red social en Internet, el titular del perfil haya "subido" una fotografía suya que
sea accesible al público en general, no autoriza a un tercero a reproducirla en un me-
dio de comunicación sin el consentimiento del titular, porque tal actuación no puede
considerarse una consecuencia natural del carácter accesible de los datos e imágenes
en un perfil público de una red social en Internet. La finalidad de una cuenta abierta en
una red social en Internet es la comunicación de su titular con terceros y la posibilidad
de que esos terceros puedan tener acceso al contenido de esa cuenta e interactuar
con su titular, pero no que pueda publicarse la imagen del titular de la cuenta en un
medio de comunicación. [...]”
Por su parte el TC en su sentencia 27/2020, de 24 de febrero, indica que “El hecho de
que circulen datos privados por las redes sociales en Internet no significa que lo priva-
do se haya tornado público, puesto que el entorno digital no es equiparable al concep-
to de "lugar público" del que habla la Ley Orgánica 1/1982, ni puede afirmarse que los
ciudadanos de la sociedad digital hayan perdido o renunciado a los derechos protegi-
dos en el art. 18 CE.”
Esta doctrina del TC se recoge en la STS de 28 de julio de 2022, que también recuer-
da que el Tribunal Europeo de Derechos Humanos ha destacado con respecto a estos
nuevos métodos y técnicas de obtención de la información, que es necesaria una vigi-
lancia reforzada de la protección de la vida privada frente a las nuevas tecnologías,
que posibilitan el almacenamiento y la reproducción de datos de carácter personal, así
como, en particular, la toma sistemática de fotos específicas y su difusión al público
(STEDH de 24 de junio de 2004, Von Hannover c. Alemania, § 70)
En consecuencia, se considera que los hechos acreditados son constitutivos de
infracción, imputable a la parte reclamada, por vulneración del artículo 6.1 del RGPD.
VI
Tipificación de la infracción del artículo 6.1 del RGPD
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/17
La citada infracción del artículo 6.1 del RGPD supone la comisión de las infracciones
tipificadas en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales
para la imposición de multas administrativas” dispone:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”
A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que
“Constituyen infracciones los actos y conductas a las que se refieren los apartados 4,
5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten
contrarias a la presente ley orgánica”.
A efectos del plazo de prescripción, el artículo 72 “Infracciones consideradas muy
graves” de la LOPDGDD indica:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
a) El tratamiento de datos personales sin que concurra alguna de las
condiciones de licitud del tratamiento establecidas en el artículo 6 del
Reglamento (UE) 2016/679.
VII
Sanción
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.
2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturale-
za, alcance o propósito de la operación de tratamiento de que se trate, así como el nú-
mero de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para pa-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/17
liar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento, habi-
da cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los
artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en parti-
cular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medi-
da; i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordena-
das previamente contra el responsable o el encargado de que se trate en relación con
el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certi-
ficación aprobados con arreglo al artículo 42,
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirecta-
mente, a través de la infracción.”
Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo con lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado.”
Sanción por la infracción del artículo 6.1 del RGPD.
De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción por
infracción del artículo 6.1 del RGPD, procede graduar la multa teniendo en cuenta el
siguiente criterio de graduación:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/17
Como agravante:
Artículo 83.2.a) RGPD: la naturaleza, gravedad y duración de la infracción, teniendo
en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se
trate, así como el número de interesados afectados y el nivel de los daños y perjuicios
que hayan sufrido:
El tratamiento llevado a cabo por el reclamado se ha realizado a través de una página
web con gran visibilidad por lo que su difusión es mayor.
En cuanto a la duración de la infracción, la AEPD verificó que, hasta la fecha de la
presentación de la reclamación, era posible el acceso a la captura de pantalla
perteneciente a la cuenta privada de la red social Instagram de la reclamante,
consistente en una foto de la reclamante, y un texto en el que figura su nombre,
apellidos y edad en la página web ***URL.1., permitiendo el acceso no autorizado a
dichos datos por terceros ajenos.
Artículo 83.2 g) RGPD: las categorías de los datos de carácter personal afectados por
la infracción: imagen de la reclamante.
Artículo 76.2 b) LOPDGDD:” La vinculación de la actividad del infractor con la realiza-
ción de tratamientos de datos personales”. La actividad de la entidad reclamada exige
un continuo tratamiento de datos de carácter personal. Asimismo, la entidad reclama-
da realiza para el desarrollo de su actividad, un elevado volumen de tratamiento de da-
tos personales.
Considerando los factores expuestos, la valoración que alcanza la cuantía de la multa
es de 20.000 € por infracción del artículo 6.1 del RGPD.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la
Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a JOLY DIGITAL, S.L.U., con NIF B11514445, por una
infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 del RGPD, una multa
de 20.000,00 euros.
SEGUNDO: NOTIFICAR la presente resolución a JOLY DIGITAL, S.L.U.
TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/17
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-010623
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es