Yetişkin içerikli videoda görüntünün hukuki dayanağı

1/18

 Expediente N.º: EXP202300016

RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 03/01/2023, tuvo entrada en esta Agencia un escrito presentado
por A.A.A. (en adelante, la parte reclamante), mediante el que formula reclamación
contra KENAI MEDIA, S.L. con NIF B67684514 (en adelante, KENAI), por un posible
incumplimiento de la normativa de protección de datos de carácter personal.

Los motivos en que basa la reclamación son los siguientes:

“Buenos días,
escribo porque hace unos días un amigo me llamó para alertarme de que aparecía en
un vídeo de una página de contenido para adultos. Tras asegurarme de que realmente
era yo descubrí que el vídeo aparecía en varias páginas diferentes. Escribí a todas
ellas solicitando la retirada del mismo y, al parecer, están pendientes de revisión y en
las páginas de momento no se pueden ver, aunque los enlaces siguen estando.
Esta mañana mi amigo me volvió a llamar porque ha encontrado el vídeo en el
servidor, una página española que supuestamente lo enlaza con las internacionales.
En el vídeo (…), (…).
El vídeo se localiza buscando "(…)" en internet, pero si le cambian el nombre será
muy difícil volver a localizarlo porque hay millones de vídeos. (…)
Les adjunto algunas webs en las que encontré el vídeo, las webs que contestaron a
mis mensajes, los enlaces de la página en la que sigo apareciendo y captura de
pantalla de la conversación. ***URL.1”

Junto a la reclamación aporta la siguiente documentación:

- Captura de pantalla de una secuencia del vídeo en cuestión publicado en la
página web ***URL.1. La descripción del vídeo señala lo siguiente:

“(…)”

- Captura de pantalla del portal web ***URL.2 en la que aparece la frase “video
is unavaible pending review”.

- Captura de pantalla del portal web ***URL.3 en el que aparece la frase “video
is unavaible pending review”.

- Captura de pantalla del portal web ***URL.4 en el que aparece la frase “This
video has been Flagged for review”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/18

SEGUNDO: Con fecha 03/01/2023, esta Agencia realizó las siguientes
comprobaciones:

- En la URL ***URL.5 figura (traducción no oficial del inglés): “Este vídeo ha sido
marcado para revisión”.

- En la URL ***URL.6 figura (traducción no oficial del inglés): “Vídeo no
disponible pendiente de revisión”.

- En la URL ***URL.7 figura (traducción no oficial del inglés): “Vídeo no
disponible pendiente de revisión”.

- En la URL ***URL.1 figura una secuencia un vídeo de género pornográfico con
la siguiente descripción:

“(…)”.

TERCERO: Con fecha 04/01/2023, de conformidad con el artículo 65 de la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en adelante, LOPDGDD), se admitió a trámite la reclamación
presentada por la parte reclamante.

CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:

1) En fecha 04/01/2023, esta Agencia envía orden de retirada urgente al responsable
de tratamiento KENAI, referente a la difusión del video denunciado y publicado en la
URL ***URL.1. Según la Política de Privacidad del citado sitio web, esta persona
jurídica es la responsable de los tratamientos de datos personales que en este se
realizan.

Consta como fecha de acuse de recibo de esta orden el 11/01/2023.

2) En fecha 11/01/2023, esta Agencia recibe, con número de registro de entrada
***REFERENCIA.1, escrito de contestación de KENAI en el que manifiesta:

“Hemos procedido a la retirada de la escena requerida y aclararles que tenemos todas
las autorizaciones pertinentes firmada por la persona que hace la reclamación a su
disposición. Contestamos por esta vía porque no hemos sabido encontrar otra forma”.

3) En fecha 12/01/2023, esta Agencia recibe nuevo escrito por parte de KENAI, con
número de registro de entrada ***REFERENCIA.2, en el que aporta la siguiente
documentación:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/18

- Un documento con nombre “***DOCUMENTO.1” que incluye una digitalización
del DNI de B.B.B. y una segunda página con el siguiente contenido: “(…)”,
adjuntándose la firma.

- Documento con nombre “***DOCUMENTO.2” que almacena una digitalización
del DNI de A.A.A. (parte reclamante) y un texto con el siguiente contenido:
“(…)”, adjuntándose la firma.

- Documento con nombre “***DOCUMENTO.3” con el siguiente contenido:

 Un contrato firmado por las partes C.C.C. (***NIF.1) y D.D.D., en
representación de INTERSELECCION SL (en adelante,
INTERSELECCION) acordando:

o Que C.C.C. es el legítimo propietario de todos los derechos de la
producción audiovisual de género pornográfico titulada
provisionalmente: NO APARECE EL NOMBRE.
o Que INTERSELECCIÓN está interesada en adquirir todos los
derechos de la mencionada producción, en exclusiva, a perpetuidad
y para todo el mundo.
o Que C.C.C. manifiesta que asume las responsabilidades de
cualquier índole en las que pudiera recaer por reclamaciones de
terceros, relacionada directa o indirectamente con la titularidad de
los derechos de la producción audiovisual anteriormente
mencionada, por lo que INTERSELECCION declina cualquier
responsabilidad en los eventuales litigios que pudieran suscitarse.
o Que C.C.C. cede a INTERESELECCION todos los derechos de la
producción audiovisual en exclusiva, a perpetuidad y para todo el
mundo.
o Que INTERSELECCION pagará el importe total de compraventa
que asciende a ***CANTIDAD.1, podrá comercializar la producción
audiovisual del modo que crea oportuno, incluso fraccionado…
o Las partes dan formal y terminante renuncia de su propio fuero de
ser otro, se someten a la competencia y jurisdicción de los Juzgados
y Tribunales de justicia de Barcelona.

 Se adjunta una copia digitalizada del DNI de C.C.C..

 Se adjunta en este documento los siguientes textos de cesión de derechos
firmados:

o (…)

- Documento con nombre “***DOCUMENTO.4" y con el siguiente contenido:

“(…)”

4) Con fecha 27/01/2023, se incorpora a las actuaciones de inspección diligencia
realizada por esta Agencia, en fecha 13/01/2023, en la que se acredita la retirada del

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/18

contenido por parte de KENAI en relación con la medida cautelar de 04/01/2023,
vinculada al contenido publicado en ***URL.1.

QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
KENAI MEDIA, S.L. es (…).

SEXTO: Con fecha 19/12/2023, la Directora de la Agencia Española de Protección de
Datos acordó iniciar procedimiento sancionador a KENAI, con arreglo a lo dispuesto en
los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento
Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la
presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.a) del
RGPD.

Este acuerdo de inicio, conforme a las normas establecidas en la LPACAP, fue
notificado a KENAI en fecha 20/12/2023, como consta en el acuse de recibo que obra
en el expediente.

SÉPTIMO: Con fecha 27/12/2023, KENAI presentó, en tiempo y forma, escrito de
alegaciones en el que reiteraba lo manifestado en el marco de las actuaciones previas
de investigación (punto tercero del apartado “Antecedentes”) y aportaba la misma
documentación. A mayores, adjuntó al escrito los siguientes documentos:

- Doc. “***DOCUMENTO.5”. Según KENAI, corresponde a un “certificado
acreditativo de que la escena denominada inicialmente “***TITULO.1” es la
misma que la denominada posteriormente “(...)” que fue adquirida por la
entidad reclamada.

- Doc. “***DOCUMENTO.6”. Contrato firmado entre C.C.C. y ***EMPRESA.1, en
fecha 26/06/2012, para la adquisición de esta última de “la producción
audiovisual de género pornográfico titulada provisionalmente ***TITULO.1
(título manuscrito)”

OCTAVO: Con fecha 20/11/2024, la instructora del procedimiento dictó propuesta de
resolución en la que imponía una multa de 10.000€ a KENAI, con arreglo a lo
dispuesto en los artículos 63 y 64 de la LPACAP, por la infracción del artículo 6.1 del
RGPD, tipificada en el artículo 83.5 del RGPD, en la que se le indicaba que tenía un
plazo de diez días para presentar alegaciones.

Asimismo, se ordenaba a KENAI que, en virtud del artículo 58.2.d) del RGPD,
acreditara al día siguiente de la notificación de resolución de procedimiento
sancionador haber adoptado las medidas necesarias para que la imagen de la parte
reclamante no fuera objeto de tratamiento ni difusión si no concurría una de las bases
de legitimación del artículo 6 del RGPD o, en su caso, haber suspendido el tratamiento
de datos de carácter personal objeto de reclamación a través de la retirada del
contenido publicado en ***URL.1.

Esta propuesta de resolución, que se notificó a KENAI conforme a las normas
establecidas en la LPACAP, fue recogida en fecha 20/11/2024, como consta en el
acuse de recibo que obra en el expediente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/18

NOVENO: Con fecha 26/11/2024, se recibe en esta Agencia, en tiempo y forma,
escrito de KENAI en el que aducía alegaciones a la propuesta de resolución. En estas
alegaciones, en síntesis, manifestaba que:

- KENAI está legitimada para la publicación del vídeo objeto del presente
procedimiento sancionador en virtud del artículo 6.1.b) del RGPD, puesto que
la parte reclamante firmó un contrato por el que, no solo cedía sus derechos de
imagen derivados de la película “***TITULO.1” a C.C.C., sino que también le
autorizaba a cederlos a terceros.
- KENAI entiende que se puede tratar de una cuestión civil.
- KENAI alega que la parte reclamante dio su consentimiento a la cesión de sus
derechos de imagen de la escena en cuestión y, por consiguiente, autorizó el
tratamiento de sus datos personales.
- KENAI señala que ha retirado la escena pornográfica titulada (...), tras el
requerimiento de esta Agencia.
- KENAI considera que, atendiendo a lo dispuesto en el RGPD, la sanción
máxima a imponer ascendería a ***CANTIDAD.2, toda vez que su volumen de
facturación en el ejercicio 2022 fue de ***CANTIDAD.3. Adjunta certificado
acreditativo de su inscripción.

KENAI aporta el siguiente documento:

 Doc. “Depósito cuentas 2022”. En su contenido figura, entre otra, la siguiente
información:

REGISTRO MERCANTIL DE BARCELONA.
Nº ENTRADA: 99/154963 FECHA: 31/07/2023 DIARIO:1278 ASIENTO: 2988
KENAI MEDIA S.L. NIF B67684514
Datos registrales: Ha depositado las cuentas anuales Propias correspondientes
al ejercicio cerrado el 31/12/2022 con el número de archivo 43126339
Tomo 48034 Folio 98 Hoja número B-570161

A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,

HECHOS PROBADOS

PRIMERO: En fecha 03/01/2023, el vídeo de género pornográfico objeto de
reclamación estaba disponible en la siguiente dirección electrónica: ***URL.1. La
descripción era la siguiente:

“(…)”.

SEGUNDO: Tras el acuerdo de adopción de medida provisional de retirada, de fecha
04/01/2023, emitido a KENAI, a fecha 13/01/2023, el vídeo en cuestión había sido
retirado de la dirección electrónica señalada anteriormente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/18

TERCERO: Con fecha 12/01/2023, KENAI presenta escrito ante esta Agencia en el
que aporta la siguiente documentación:

- Documento “***DOCUMENTO.1”. Incluye una digitalización del DNI de B.B.B. y
una segunda página con el siguiente contenido: “(…)”, adjuntándose la firma
manuscrita.

- Documento “***DOCUMENTO.2”. Incluye una digitalización del DNI de A.A.A.
(parte reclamante) y un texto con el siguiente contenido: “(…)”, adjuntándose la
firma manuscrita.

- Documento “***DOCUMENTO.3” con el siguiente contenido:

 Un contrato, de fecha 26/06/2012 y firmas manuscritas, celebrado entre
C.C.C. (***NIF.1) y D.D.D., en representación de INTERSELECCION
acordando:

o Que C.C.C. es el legítimo propietario de todos los derechos de la
producción audiovisual de género pornográfico titulada
provisionalmente: (vacío).

o Que INTERSELECCIÓN está interesada en adquirir todos los
derechos de la mencionada producción, en exclusiva, a perpetuidad
y para todo el mundo.

o Que C.C.C. manifiesta que asume las responsabilidades de
cualquier índole en las que pudiera recaer por reclamaciones de
terceros, relacionada directa o indirectamente con la titularidad de
los derechos de la producción audiovisual anteriormente
mencionada, por lo que INTERSELECCION declina cualquier
responsabilidad en los eventuales litigios que pudieran suscitarse.

o Que C.C.C. cede a INTERESELECCION todos los derechos de la
producción audiovisual en exclusiva, a perpetuidad y para todo el
mundo.

o Que INTERSELECCION pagará el importe total de compraventa
que asciende a ***CANTIDAD.1, podrá comercializar la producción
audiovisual del modo que crea oportuno, incluso fraccionado (…).

o Las partes dan formal y terminante renuncia de su propio fuero de
ser otro, se someten a la competencia y jurisdicción de los Juzgados
y Tribunales de justicia de Barcelona.

 Se adjunta una copia digitalizada del DNI de C.C.C..

 Se adjunta en este documento los siguientes textos de cesión de derechos,
en fecha 21/06/2012 y firmados manualmente:

o (…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/18

- Documento “***DOCUMENTO.4", de fecha 22/09/2022 y con firmas
manuscritas, con el siguiente contenido:

 “(…)
CUARTO: Con fecha 27/12/2023, en el escrito de alegaciones al acuerdo de inicio del
presente procedimiento sancionador, KENAI aporta:

- Doc.”***DOCUMENTO.5”. Según KENAI, corresponde a un “certificado
acreditativo de que la escena denominada inicialmente “***TITULO.1” es la
misma que la denominada posteriormente “(...)” que fue adquirida por la
entidad reclamada.

- Doc. “***DOCUMENTO.6”. Contrato firmado entre C.C.C. y ***EMPRESA.1, en
fecha 26/06/2012, para la adquisición de esta última de “la producción
audiovisual de género pornográfico titulada provisionalmente ***TITULO.1
(título manuscrito)”.

FUNDAMENTOS DE DERECHO

I
Competencia y normativa aplicable

De acuerdo con los poderes que el artículo 58.2 RGPD, otorga a cada autoridad de
control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD,
es competente para iniciar y resolver este procedimiento la Directora de la Agencia
Española de Protección de Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Cuestiones previas

El artículo 4 “Definiciones” del RGPD define los siguientes términos a efectos del
Reglamento:

"1) «datos personales»: toda información sobre una persona física identificada o
identificable («el interesado»); se considerará persona física identificable toda persona
cuya identidad pueda determinarse, directa o indirectamente, en particular mediante
un identificador, como por ejemplo un nombre, un número de identificación, datos de

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/18

localización, un identificador en línea o uno o varios elementos propios de la identidad
física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;”

2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre
datos personales o conjuntos de datos personales, ya sea por procedimientos
automatizados o no, como la recogida, registro, organización, estructuración,
conservación, adaptación o modificación, extracción, consulta, utilización,
comunicación por transmisión, difusión o cualquier otra forma de habilitación de
acceso, cotejo o interconexión, limitación, supresión o destrucción

7) «responsable del tratamiento» o «responsable»: la persona física o jurídica,
autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los
fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros
determina los fines y medios del tratamiento, el responsable del tratamiento o los
criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión
o de los Estados miembros;

11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica,
informada e inequívoca por la que el interesado acepta, ya sea mediante una
declaración o una clara acción afirmativa, el tratamiento de datos personales que le
conciernen.”

En el presente caso, a tenor del artículo 4.1 del RGPD, la imagen física de una
persona es un dato personal. Así pues, la publicación de un vídeo de contenido para
adultos en el que se aprecia el rostro y cuerpo desnudo de la parte reclamante supone
un tratamiento de datos personales, toda vez que permite su identificación o la hace
identificable.

KENAI realiza esta actividad en su condición de responsable del tratamiento, dado que
es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del
RGPD. En la Política de Privacidad del portal ***URL.8 figuran sus datos de contacto
como responsable del tratamiento de los datos personales que en este se realicen.

III
Alegaciones aducidas

En relación con las alegaciones aducidas a la propuesta de resolución del presente
procedimiento sancionador, se procede a dar respuesta a las mismas según el orden
expuesto por KENAI:

Alega KENAI que estaba legitimada para la publicación del vídeo objeto del presente
procedimiento sancionador en virtud del artículo 6.1.b) del RGPD, en tanto en cuanto,
al haberse producido una cesión de contrato, no era necesario que la parte reclamante
firmara el contrato de cesión de derechos que suscribió KENAI con
INTERSELECCIÓN. Pues, la parte reclamante ya había firmado un contrato en virtud
del cual, no solo cedía sus derechos de imagen derivados de la película “***TITULO.1”
a C.C.C., sino que también le autorizaba a cederlos a terceros. De este modo, C.C.C.
celebró un contrato con INTERSELECCIÓN y esta entidad, con posterioridad, con
KENAI.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/18

No obstante, añade que “El fondo de este procedimiento es una cuestión civil más que
una cuestión propia de la normativa relativa a la protección de datos; si civilmente la
cesión de un contrato pactada entre las partes es posible, está claro que mi
representada no ha cometido ninguna infracción en el tratamiento de los datos de la
denunciante; si dicha cesión no es posible, mi mandante ha cometido una infracción al
tratar unos datos obtenidos ilegítimamente.”

Al respecto, esta Agencia desea señalar que dentro de su marco competencial no se
encuentra determinar la validez de un contrato, pero sí analizar si concurre o no la
existencia de base legitimadora que ampare el tratamiento de datos personales
realizado, en el presente caso, por KENAI.

Expuesto lo anterior, ha de indicarse que el documento aportado por KENAI en el que
INTERSELECCIÓN certificaría que el contenido de la escena pornográfica titulada
“***TITULO.1” es el mismo que el de “(...)”, no prueba que la afirmación realizada por
esta última se corresponda con la realidad. Y, es más, aun si lo fuera, esta Agencia se
reitera en que para que concurra el supuesto previsto en el artículo 6.1.b) del RGPD
es necesario que el interesado, cuyos datos personales son objeto de tratamiento, sea
parte del contrato. En el presente caso, no ha quedado acreditado que la parte
reclamante forme parte del contrato suscrito entre INTERSELECCIÓN y KENAI en el
año 2022 o, al menos, que (...) haya firmado algún contrato con KENAI.

La Agencia no entra a valorar la validez del contrato llevado a cabo entre
INTERSELECCIÓN y KENAI, únicamente analiza si el tratamiento de la imagen de (...)
realizado por KENAI puede ampararse en alguna base de legitimación del artículo 6.1
del RGPD, pues no puede olvidarse que la imagen de una persona física es un dato
de carácter personal y que la protección que dispensa el derecho fundamental a la
protección de datos se extiende a todos los datos personales de una persona física
sean conocidos por terceros o no.

En el supuesto presente, la parte reclamante habría cedido los derechos de imagen en
la película titulada “***TITULO.1” a favor de C.C.C. a quien habría autorizado también
para venderlos a terceros, lo que realizó C.C.C. a favor de INTERSELECCIÓN. Pero
INTERSELECCIÓN cedió los derechos de imagen de la parte reclamante a favor de
KENAI, sin que la parte reclamante fuera parte en tal contrato y sin que hubiera
autorizado a INTERESELECCIÓN a realizar tal venta. Por tanto, el tratamiento que
realiza KENAI en este caso no puede basarse en la causa de legitimación prevista en
el artículo 6.1.b) del RGPD por cuanto exige expresamente que el tratamiento sea
necesario para la ejecución de un contrato en el que el interesado es parte, lo que no
ocurre en este caso.

KENAI considera que, a la vista del documento firmado por la parte reclamante en el
año 2012, no cabe duda de que (...) dio su consentimiento a la cesión de sus derechos
de imagen de la escena en cuestión. Y, por tanto, el consentimiento a la cesión de sus
derechos de imagen comporta la autorización al tratamiento de sus datos personales.

Al respecto, esta Agencia se reitera en que el tratamiento realizado por KENAI
tampoco queda amparado en el consentimiento de (...), por cuanto la declaración que

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/18

se aporta firmada (…) no cumple los requisitos exigidos en el artículo 4.11 del RGPD
para que el consentimiento sea válido.

Por último, remarca KENAI haber retirado la escena pornográfica titulada (...), tras el
requerimiento de esta Agencia. Añade que, “El artículo 83.2 del RGPD establece que
en caso de infracciones derivadas del art. 6 del RGPD, tratándose de una empresa, la
cuantía de la sanción ascenderá, como máximo, al 4% de la facturación del volumen
de negocio anual del ejercicio anterior” y, por tanto, en vista de que su volumen de
facturación en el ejercicio 2022 fue de ***CANTIDAD.3, la sanción máxima a imponer
ascendería a ***CANTIDAD.2. Adjunta certificado acreditativo de su inscripción.

Al respecto, esta Agencia desea señalar que el apartado del artículo 83 del RGPD que
resulta de aplicación en el presente caso es el quinto, no el segundo. Dicho esto, ha
de señalarse que KENAI en el extracto del artículo 83 del RGPD que hace omite un
dato muy relevante, y es que, cuando el sujeto infractor es una empresa, la cuantía de
la multa administrativa no puede superar 20.000.000€ o la cuantía equivalente al 4 %
como máximo del volumen de negocio total anual global del ejercicio financiero
anterior, debiendo optarse por la de mayor cuantía. Por tanto, la multa administrativa
de 10.000€ que se propuso imponer a KENAI se encuentra dentro de los límites
legales, toda vez que el máximo a tener en cuenta en este caso es el de los 20
millones de euros, por ser superior a la cuantía que resulta de aplicar el 4% al volumen
de negocios de KENAI en el ejercicio 2022.

Por lo expuesto, se desestiman las presentes alegaciones.

IV
Licitud del tratamiento de los datos personales

Los principios que han de regir el tratamiento se encuentran enumerados en el artículo
5 del RGPD. En este sentido, el apartado 1 letra a), señala que: “Los datos personales
serán:

a) Tratados de manera lícita, leal y transparente en relación con el interesado
(licitud, lealtad y transparencia);

(…)”

Los supuestos que permiten considerar lícito el tratamiento de los datos personales se
enumeran en el artículo 6.1 del RGPD:

1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos
personales para uno o varios fines específicos;

b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/18

b) el tratamiento es necesario para el cumplimiento de una obligación legal
aplicable al responsable del tratamiento;

c) el tratamiento es necesario para proteger intereses vitales del interesado o de
otra persona física;

d) el tratamiento es necesario para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable
del tratamiento;

e) el tratamiento es necesario para la satisfacción de intereses legítimos
perseguidos por el responsable del tratamiento o por un tercero, siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del interesado que requieran la protección de datos personales,
en particular cuando el interesado sea un niño.

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al
tratamiento realizado por las autoridades públicas en el ejercicio de sus
funciones.”

Asimismo, el Considerando 40 del mencionado RGPD, dispone que “Para que el
tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento
del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya
sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los
Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de
cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de
ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas
a instancia del interesado con anterioridad a la conclusión de un contrato.”

En el presente supuesto, tal y como se ha indicado en los Hechos probados, el
21/06/2012 la parte reclamante firmó una declaración por la que cedía sus derechos
de imagen en la película “***TITULO.1” al productor C.C.C. y le autorizaba a venderlos
a terceros. Con posterioridad, la entidad INTERSELECCIÓN suscribió un contrato con
este productor por el que adquirió todos los derechos de la producción audiovisual de
género pornográfico titulada “***TITULO.1”.

Por su parte, el 22/09/2022 KENAI adquirió de INTERSELECCION los derechos de
explotación de la escena pornográfica “(...)” incluida en la película titulada “(…)”. El
vídeo en cuestión se publicó en ***URL.8, concretamente, en la URL ***URL.1, bajo el
título “(...)”, y con la siguiente descripción: “(…)”. En la captura de pantalla del vídeo
aportada por la parte reclamante, se aprecia con claridad el rostro y cuerpo desnudo
de la parte reclamante mientras mantiene relaciones sexuales (…).

Si bien es cierto que KENAI aportó junto al escrito de alegaciones al acuerdo de inicio
un documento en el que INTERSELECCIÓN asegura que el contenido de las escenas
pornográficas anteriormente citadas es el mismo, no ha quedado probada la
concurrencia de ninguna de las bases legitimadoras del artículo 6 del RGPD que
ampare el tratamiento de la imagen de la parte reclamante por parte de KENAI.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/18

Es la parte reclamada la que ha de acreditar que el tratamiento de datos personales
que realiza es lícito. KENAI no puede basar el tratamiento de la imagen de (...) en la
existencia del consentimiento de (...). Para que el consentimiento pueda entenderse
válidamente dado es necesario que concurran los elementos recogidos en el artículo
4.11 del RGPD, es decir que el consentimiento consista en una manifestación de
voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya
sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos
personales que le conciernen.

Como aclara la Audiencia Nacional en su sentencia, de 14 de febrero de 2023, rec.
463/2020, “la normativa de protección de datos excluye en la actualidad el
consentimiento tácito y exige que el mismo sea explícito. Considera la Sala, por tanto,
que solo resultará válido el consentimiento expreso, que debe otorgarse a través de un
acto afirmativo claro que evidencie una declaración de voluntad libre, específica,
informada e inequívoca del titular de los datos de carácter personal, en el sentido de
que no exista la más mínima duda de que ha habido voluntad manifiesta por parte de
dicho afectado”. (el subrayado es nuestro).

En este caso, la parte reclamante habría firmado un documento con el siguiente
contenido: DIGO YO, (…). En Madrid a fecha 21/06 de 2012”,

Sin embargo, esta declaración no cumple con los requisitos que ha de reunir un
consentimiento válido.

El considerando 42 del RGPD indica que “(…) en el contexto de una declaración por
escrito efectuada sobre otro asunto, debe haber garantías de que el interesado es
consciente del hecho de que da su consentimiento y de la medida en que lo hace. (…).
Garantías que no puede afirmarse que existieran en este caso, pues ni siquiera se
advierte a (...) que la cesión de los derechos de imagen implica el consentimiento para
el tratamiento de sus datos personales, por lo que (...) no fue consciente de que
estaba dando su consentimiento para el tratamiento de sus datos personales.

En particular, el consentimiento ha de ser específico y el interesado ha de haber dado
su consentimiento para uno o varios fines específicos para que el tratamiento de los
datos pueda basarse en el artículo 6.1.a) del RGPD

Como afirma el Comité Europeo de Protección de Datos (en lo sucesivo CEPD) en las
“Directrices 5/2020 sobre el consentimiento en el sentido del Reglamento (UE)
2016/679. versión 1.1 “El requisito de que el consentimiento deba ser «específico»
tiene por objeto garantizar un nivel de control y transparencia para el interesado”. Así
considera que para cumplir con el carácter de «específico» el responsable del
tratamiento debe aplicar:

i la especificación del fin como garantía contra la desviación del uso,
ii la disociación en las solicitudes de consentimiento, y
iii una clara separación entre la información relacionada con la obtención del
consentimiento para las actividades de tratamiento de datos y la información
relativa a otras cuestiones. (párrafo 55)

En relación con estos requisitos el CEPD afirma que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/18

“56 Ad. i): De conformidad con el artículo 5, apartado 1, letra b), del RGPD, la
obtención del consentimiento válido va siempre precedida de la determinación de un
fin específico, explícito y legítimo para la actividad de tratamiento prevista. La
necesidad del consentimiento específico en combinación con la noción de limitación
de la finalidad que figura en el artículo 5, apartado 1, letra b), funciona como garantía
frente a la ampliación o difuminación gradual de los fines para los que se realiza el
tratamiento de los datos una vez que un interesado haya dado su autorización a la
recogida inicial de los datos. Este fenómeno, también conocido como desviación del
uso, supone un riesgo para los interesados ya que puede dar lugar a un uso
imprevisto de los datos personales por parte del responsable del tratamiento o de
terceras partes y a la pérdida de control por parte del interesado.

57 Si el responsable del tratamiento se basa en el artículo 6, apartado 1, letra a), los
interesados deberán siempre dar su consentimiento para un fin específico para el
tratamiento de los datos. En consonancia con el concepto de limitación de la finalidad,
con el artículo 5, apartado 1, letra b), y con el considerando, el consentimiento puede
abarcar distintas operaciones, siempre que dichas operaciones tengan un mismo fin.
Huelga decir que el consentimiento específico solo puede obtenerse cuando se
informa expresamente a los interesados sobre los fines previstos para el uso de los
datos que les conciernen.

58. Sin perjuicio de las disposiciones sobre la compatibilidad de los fines, el
consentimiento debe ser específico para cada fin. Los interesados darán su
consentimiento entendiendo que tienen control sobre sus datos y que estos solo serán
tratados para dichos fines específicos. Si un responsable trata datos basándose en el
consentimiento y, además, desea tratar dichos datos para otro fin, deberá obtener el
consentimiento para ese otro fin, a menos que exista otra base jurídica que refleje
mejor la situación.
(…)

60. Ad. ii): Los mecanismos de consentimiento no solo deben estar separados con el
fin de cumplir el requisito de consentimiento «libre», sino que también deben cumplir
con el de consentimiento «específico». Esto significa que un responsable del
tratamiento que busque el consentimiento para varios fines distintos debe facilitar la
posibilidad de optar por cada fin, de manera que los usuarios puedan dar
consentimiento específico para fines específicos.

61. Ad. iii): Finalmente, los responsables del tratamiento deben facilitar, con cada
solicitud de consentimiento separada, información específica sobre los datos que se
tratarán para cada fin, con el objeto de que los interesados conozcan la repercusión
de las diferentes opciones que tienen. De este modo, se permite a los interesados dar
un consentimiento específico. Esta cuestión se solapa con el requisito de que los
responsables faciliten información clara, tal y como se ha expuesto anteriormente en
la sección 3.3”

Pues bien, resulta evidente, en este caso, que no se obtuvo un consentimiento
especifico de (...) que autorizara el tratamiento de sus datos. No se facilitó a (...)
información sobre el fin específico, explícito y legítimo para el que iban a ser tratados

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/18

sus datos personales, de modo que fuera consciente del concreto uso al que se
destinarían sus datos personales, a fin de evitar usos no queridos.

Tampoco se obtuvo un consentimiento informado de (...), pues para que el
consentimiento sea informado, el interesado debe conocer como mínimo la identidad
del responsable del tratamiento y los fines del tratamiento a los cuales están
destinados los datos personales (considerando 42 RGPD).

Explica el CEPD en las citas Directrices que “el requisito de transparencia es uno de
los principios fundamentales, estrechamente relacionado con los principios de lealtad
y licitud. Facilitar información a los interesados antes de obtener su consentimiento es
esencial para que puedan tomar decisiones informadas, comprender qué es lo que
están
autorizando y, por ejemplo, ejercer su derecho a retirar su consentimiento. Si el
responsable no proporciona información accesible, el control del usuario será ilusorio y
el consentimiento no constituirá una base válida para el tratamiento de los datos”
(párrafo 62).

Y en este caso esa información faltó. El documento aportado por KENAI no contiene
ninguna información relacionada con el tratamiento de datos personales. Por tanto, no
se facilitó a (...) ninguna información sobre el uso de sus datos personales, ni de los
fines, ni de los cesionarios, ni del uso que iban a dar a sus datos tales cesionarios, ni
de cómo ejercer sus derechos. Ni siquiera la parte reclamante fue informada de su
derecho a retirar el consentimiento.

El artículo 7, apartado 3), del RGPD establece que el responsable del tratamiento
debe garantizar que el interesado pueda retirar su consentimiento en cualquier
momento y que será tan fácil retirarlo como lo fue darlo.

El CEPD sobre esta cuestión interpreta que “el responsable debe informar al
interesado del derecho a retirar el consentimiento antes de que preste dicho
consentimiento. Asimismo, como parte de la obligación de transparencia, el
responsable debe informar a los interesados sobre cómo ejercer sus derechos” y
añade que “el requisito de que la retirada del consentimiento sea sencilla se describe
en el RGPD como un aspecto necesario para un consentimiento válido. Si el derecho
de retirada no cumple los requisitos del RGPD, entonces el mecanismo del
responsable del tratamiento no cumple con el RGPD”.

En definitiva, la parte reclamada no ha obtenido el consentimiento de (...) conforme al
RGPD.

Finalmente, debe reiterarse que el tratamiento de los datos de la parte reclamante
tampoco puede basarse en la causa de legitimación del artículo 6.1.b) del RGPD, pues
para ello es necesario que el interesado, cuyos datos personales son objeto de
tratamiento, sea parte del contrato. Y en este caso, como se ha indicado, se trataría de
un contrato celebrado sin intervención de la parte reclamante que además le ocasiona
perjuicios para sus derechos y libertades,

Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de resolución de procedimiento sancionador, se considera que los hechos conocidos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/18

son constitutivos de una infracción, imputable a KENAI, por vulneración del artículo 6.1
del RGPD.

V
Tipificación y calificación de la infracción del artículo 6.1 del RGPD

La citada infracción del artículo 6.1 del RGPD supone la comisión de la infracción
tipificada en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para
la imposición de multas administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”

A efectos del plazo de prescripción, el artículo 72.1 “Infracciones consideradas muy
graves” de la LOPDGDD indica:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

(…)

b) El tratamiento de datos personales sin que concurra alguna de las condiciones
de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)
2016/679; (…)”

VI
Sanción por la infracción del artículo 6.1 del RGPD

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone en el presente momento de
resolución de procedimiento sancionador, se considera que procede graduar la
sanción a imponer de acuerdo con los siguientes criterios que establece el artículo
83.2 del RGPD:

Se tienen en cuenta las siguientes circunstancias:

- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate,
así como el nivel de los daños y perjuicios que hayan sufrido; KENAI difundió
públicamente un vídeo de contenido sexual donde aparece el rostro y cuerpo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/18

desnudo de la parte reclamante, sin su consentimiento, permitiendo su
identificación (artículo 83.2.a) del RGPD).

- El tipo de datos tratados, la imagen de la parte reclamante en un vídeo de
contenido sexual (artículo 83.2. g) RGPD).

- La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales; KENAI es una entidad cuya actividad lleva aparejado un
continuo tratamiento de datos personales, como la imagen (artículo 76.2.b) de
la LOPDGDD).

El balance de las circunstancias contempladas permite fijar una multa de 10.000,00€
(diez mil euros) por la infracción del artículo 6.1 del RGPD.

VII
Adopción de medidas

De acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el cual
cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento
que las operaciones de tratamiento se ajusten a las disposiciones del presente
Reglamento, cuando proceda, de una determinada manera y dentro de un plazo
especificado…”, se requiere a KENAI para que al día siguiente de la notificación de
resolución de procedimiento sancionador acredite:

- Haber adoptado las medidas necesarias para que la imagen de la parte
reclamante no sea objeto de tratamiento ni difusión si no concurre una de las
bases de legitimación del artículo 6 del RGPD o, en su caso, haber suspendido
el tratamiento de datos de carácter personal objeto de reclamación a través de
la retirada del contenido publicado en ***URL.1.

La imposición de esta medida es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el art. 83.2 del RGPD.

Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución sancionadora podrá ser considerado como una
infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como
infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un
ulterior procedimiento administrativo sancionador.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: IMPONER a KENAI MEDIA, S.L., con NIF B67684514, por una infracción
del artículo 6.1 del RGPD, tipificada en el artículo 83.5.a) del RGPD, una multa de
10.000,00€ (diez mil euros).

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/18

SEGUNDO: ORDENAR a KENAI MEDIA, S.L., con NIF B67684514, que en virtud del
artículo 58.2.d) del RGPD, en el plazo de al día siguiente de la notificación de
resolución de procedimiento sancionador acredite:

- Haber adoptado las medidas necesarias para que la imagen de la parte
reclamante no sea objeto de tratamiento ni difusión si no concurre una de las
bases de legitimación del artículo 6 del RGPD o, en su caso, haber suspendido
el tratamiento de datos de carácter personal objeto de reclamación a través de
la retirada del contenido publicado en ***URL.1.

TERCERO: NOTIFICAR la presente resolución a KENAI MEDIA, S.L.

CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/18

día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.

938-16012024
Mar España Martí
Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es