1/15
Expediente N.º: EXP202313226 (PS/00526/2023)
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 21 de agosto de 2023
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra ROCA & ASOCIADOS ABOGADOS Y ECONOMISTAS,
S.L.P. con NIF B66945197 (en adelante, ROCA & ASOCIADOS). Los motivos en que
basa la reclamación son los siguientes:
La parte reclamante trabajó en la empresa reclamada entre el 13 de marzo y 21 de
julio de 2023 y señala que la empresa (despacho de abogados) publica el nombre y
apellidos y fotografías de sus trabajadores sin el consentimiento, incluida la suya.
Expresa la parte reclamante que en los próximos días instará a la empresa reclamada
a borrar sus datos.
Junto a la reclamación se aporta enlace a la publicación: https://roca.legal/team.html.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a ROCA & ASOCIADOS,
para que procediese a su análisis e informase a esta Agencia en el plazo de un mes,
de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la
normativa de protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de
1 de octubre, del Procedimiento Administrativo Común de las Administraciones
Públicas (en adelante, LPACAP), fue recogido en fecha 29 de septiembre de 2023
como consta en el acuse de recibo que obra en el expediente.
No se ha recibido respuesta a este escrito de traslado.
TERCERO: Con fecha 21 de noviembre de 2023, de conformidad con el artículo 65 de
la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.
CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
ROCA & ASOCIADOS ABOGADOS Y ECONOMISTAS, S.L.P. es una microempresa
constituida en el año 2017, y con un volumen de negocios de ***CANTIDAD.1 euros
en el año 2022.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/15
QUINTO: Con fecha 31 de enero de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a ROCA &
ASOCIADOS, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la
presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5 de del
RGPD, en el que se le indicaba que tenía un plazo de diez días para presentar
alegaciones.
Este acuerdo de inicio, que se notificó a ROCA & ASOCIADOS conforme a las normas
establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (LPACAP), fue recogido en fecha 13 de
febrero de 2024, como consta en el acuse de recibo que obra en el expediente.
SEXTO: Con fecha 27 de febrero de 2024, se recibe en esta Agencia, en tiempo y
forma, escrito de ROCA & ASOCIADOS en el que aduce alegaciones al acuerdo de
inicio en el que, en síntesis, manifestaba que:
La parte reclamante dio su consentimiento a la publicación de su foto en la web de
ROCA & ASOCIADOS, habiendo posado para la toma de la foto, y aportando los datos
de su currículum para su inclusión en el perfil del despacho, previa comunicación del
informático de la empresa mediante correo electrónico en el que se mencionaba
“Mañana sacaremos fotos a los nuevos que lo deseen”, adjuntando dos mensajes
enviados al correo electrónico de la parte reclamante en los que se le avisaba de la
posibilidad de revisar las fotografías. Además, la parte reclamante publicó previamente
en su perfil de linkedin los mismos datos que constaban en la web de ROCA &
ASOCIADOS.
SÉPTIMO: Con fecha 5 de marzo de 2024, el órgano instructor del procedimiento
acordó la apertura de un período de práctica de pruebas, teniéndose por incorporados
a la reclamación interpuesta por la parte reclamante y su documentación, los
documentos obtenidos y generados en el traslado de la reclamación, que forman parte
del expediente, así como las alegaciones al acuerdo de inicio presentadas por ROCA
& ASOCIADOS y la documentación que a ellas acompaña.
Ese mismo día, el órgano instructor del procedimiento ha requerido a ROCA &
ASOCIADOS para que presentara lo siguiente:
- La información proporcionada a la parte reclamante sobre la publicación de su
foto en la web.
- La información a que se refiere el artículo 13 del RGPD facilitada a los
empleados cuya foto iba a ser publicada.
- El registro de las actividades de tratamiento de ROCA & ASOCIADOS
ABOGADOS Y ECONOMISTAS, S.L.P., y, en concreto, lo relativo al tratamiento
de la imagen de sus empleados.
La notificación del acuerdo, que se practicó conforme a las normas establecidas en la
Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), en fecha 16 de marzo de 2023,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/15
como consta en el certificado que obra en el expediente, dándose por efectuado el
trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP. Reiterándose la
notificación por el mismo medio en fecha 31 de mayo de 2024, el acuerdo fue recogido
con fecha 3 de junio de 2024, como consta en el acuse de recibo que obra en el
expediente.
En la actualidad, no consta en la AEPD que ROCA & ASOCIADOS hubiera presentado
escrito de respuesta al acuerdo de práctica de prueba acordado por esta Agencia.
OCTAVO: Con fecha 31 de julio de 2024 el órgano instructor del procedimiento formuló
propuesta de resolución, en la que propone que por la Directora de la AEPD se
sancione a ROCA & ASOCIADOS, con NIF B6694519, por una infracción del artículo
6.1 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 5.000 € (cinco
mil euros).
Esta propuesta de resolución, que se notificó conforme a las normas establecidas en
la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (LPACAP) mediante notificación electrónica, no fue
recogida por ROCA & ASOCIADOS dentro del plazo de puesta a disposición,
entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en
fecha 11 de agosto de 2024, como consta en el certificado que obra en el expediente.
NOVENO: Notificada la citada propuesta de resolución conforme a las normas
establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de
alegaciones, se ha constatado que no se ha recibido alegación alguna por parte de
ROCA & ASOCIADOS.
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
PRIMERO: Con fecha 28 de marzo de 2023, desde el correo ***EMAIL.1 se envió un
mensaje al correo electrónico corporativo de la parte reclamante con el siguiente
contenido:
“Mañana sacaremos fotos a los nuevos que lo deseen
Echad un vistazo a https://roca.legal/team.html
Echad un vistazo a https://roca.legal/team.html
para ver el estilo que usamos y elegis que más os ajusta
Un saludo
Hasta mañana!”
SEGUNDO: Con fecha 27 y 28 de abril de 2023, desde el correo ***EMAIL.1 se envían
sendos mensajes al correo corporativo de la parte reclamante, con el asunto “Fotos en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/15
la web actualizadas”, en los que les informa de que pueden revisar las fotografías en la
web de ROCA & ASOCIADOS, tanto en español como en catalán y en inglés.
TERCERO: En la captura de la página web de ROCA & ASOCIADOS, de fecha 11 de
septiembre de 2023, aportada por la parte reclamante junto a la reclamación, puede
observarse la publicación de una fotografía con la imagen de la parte reclamante, en
cuyo pie de foto aparece su nombre y primer apellido.
CUARTO: Con fecha 5 de marzo de 2024, el órgano instructor del procedimiento
acordó la apertura de un período de práctica de pruebas, en el cual esta Agencia
requirió a ROCA & ASOCIADOS que presentara lo siguiente:
- La información proporcionada a la parte reclamante sobre la publicación de su
foto en la web.
- La información a que se refiere el artículo 13 del RGPD facilitada a los emplea-
dos cuya foto iba a ser publicada.
- El registro de las actividades de tratamiento de ROCA & ASOCIADOS ABO-
GADOS Y ECONOMISTAS, S.L.P., y, en concreto, lo relativo al tratamiento de la
imagen de sus empleados.
El citado acuerdo no fue recogido por ROCA & ASOCIADOS, dentro del plazo de
puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2
de la LPACAP en fecha 16 de marzo de 2023, como consta en el certificado que obra
en el expediente, por lo que la notificación se practicó válidamente por medios
electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo
41.5 de la LPACAP.
Reiterándose la notificación por el mismo medio en fecha 31 de mayo de 2024, se
notifica con fecha 3 de junio de 2024, como consta en el acuse de recibo que obra en
el expediente. En la actualidad, no consta en la AEPD que ROCA & ASOCIADOS
hubiera presentado escrito de respuesta a la práctica de pruebas.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección
de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/15
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Cuestiones previas
El artículo 4 “Definiciones” del RGPD define los siguientes términos a efectos del
Reglamento:
"1) «datos personales»: toda información sobre una persona física identificada o
identificable («el interesado»); se considerará persona física identificable toda persona
cuya identidad pueda determinarse, directa o indirectamente, en particular mediante
un identificador, como por ejemplo un nombre, un número de identificación, datos de
localización, un identificador en línea o uno o varios elementos propios de la identidad
física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;”
2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre
datos personales o conjuntos de datos personales, ya sea por procedimientos
automatizados o no, como la recogida, registro, organización, estructuración,
conservación, adaptación o modificación, extracción, consulta, utilización,
comunicación por transmisión, difusión o cualquier otra forma de habilitación de
acceso, cotejo o interconexión, limitación, supresión o destrucción;
7) «responsable del tratamiento» o «responsable»: la persona física o jurídica,
autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los
fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros
determina los fines y medios del tratamiento, el responsable del tratamiento o los
criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión
o de los Estados miembros;
En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que ROCA &
ASOCIADOS publica en su página web “https://roca.legal/team.html” los siguientes
datos personales de personas físicas: imagen, nombre, primer apellido y profesión de
sus empleados, entre otros tratamientos.
La imagen física de una persona es un dato personal, por lo que, su inclusión en
publicaciones que identifica o hace identificable a una persona, supone un tratamiento
de datos personales.
ROCA & ASOCIADOS realiza esta actividad en su condición de responsable del
tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud
del artículo 4.7 del RGPD.
III
Contestación a las alegaciones aducidas al acuerdo de inicio
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/15
Con relación a las alegaciones aducidas por ROCA & ASOCIADOS al acuerdo de
inicio, que se resumen en que la parte reclamante dio su consentimiento a la
publicación de su foto en la web de ROCA & ASOCIADOS, habiendo posado para la
toma de la foto, y aportando los datos de su currículum para su inclusión en el perfil
del despacho, previa comunicación del informático de la empresa mediante correo
electrónico en el que se mencionaba “Mañana sacaremos fotos a los nuevos que lo
deseen”, y sin haber mostrado su oposición a la publicación, tras haber sido informado
en dos correos electrónicos de que las fotos estaban disponibles para ser revisadas.
Además, la parte reclamante publicó previamente en su perfil de linkedin los mismos
datos que constaban en la web de ROCA & ASOCIADOS.
Frente a estos argumentos, cabe señalar que el RGPD regula las diferentes bases
legítimas del tratamiento de datos personales en su artículo 6.1, y sobre esta cuestión
de la licitud del tratamiento, incide asimismo el Considerando 40 del mencionado
RGPD, cuando dispone que “Para que el tratamiento sea lícito, los datos personales
deben ser tratados con el consentimiento del interesado o sobre alguna otra base
legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en
virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el
presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al
responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea
parte el interesado o con objeto de tomar medidas a instancia del interesado con
anterioridad a la conclusión de un contrato.”
De acuerdo con lo manifestado por ROCA & ASOCIADOS, ha basado el tratamiento
de datos objeto del procedimiento en el consentimiento de la parte reclamante y a este
respecto, es necesario que el mismo esté vinculado a los fines concretos del
tratamiento de sus datos. Con relación a la definición de consentimiento, el artículo
4.11 del RGPD supone un cambio de paradigma respecto al esquema vigente con
anterioridad a la citada norma, por cuanto hace desaparecer de la realidad jurídica el
denominado “consentimiento presunto”. Así, esta definición señala que se considera
consentimiento del interesado aquella “manifestación de voluntad libre, específica,
informada e inequívoca por la que el interesado acepta, ya sea mediante una
declaración, o una clara acción afirmativa, el tratamiento de los datos persones que le
conciernen».
Respecto a la forma del consentimiento, según el Considerando 32 «El consentimiento
debe darse mediante un acto afirmativo claro que refleje una manifestación de
voluntad libre, específica, informada e inequívoca del interesado de aceptar el
tratamiento de datos de carácter personal que le concierten, como una declaración por
escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir
marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la
utilización de servicios de la sociedad de la información, o cualquier otra declaración o
conducta que indique claramente en este contexto que el interesado acepta la
propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya
marcadas o la inacción no deben constituir consentimiento. El consentimiento debe
darse para todas las actividades de tratamiento realizadas con el mismo o los mismos
fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para
todos ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/15
medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar
innecesariamente el uso del servicio para el que se presta.”
Y, abundando en esta necesidad de declaración clara e inequívoca, el Considerando
42 establece que: “Cuando el tratamiento se lleva a cabo con el consentimiento del
interesado, el responsable del tratamiento debe ser capaz de demostrar que aquel ha
dado su consentimiento a la operación de tratamiento. En particular en el contexto de
una declaración por escrito efectuada sobre otro asunto, debe haber garantías de que
el interesado es consciente del hecho de que da su consentimiento y de la medida en
que lo hace. De acuerdo con la Directiva 93/13/CEE del Consejo [de 5 de abril de
1993, sobre las cláusulas abusivas en los contratos celebrados con consumidores],
debe proporcionarse un modelo de declaración de consentimiento elaborado
previamente por el responsable del tratamiento con una formulación inteligible y de
fácil acceso que emplee un lenguaje claro y sencillo, y que no contenga cláusulas
abusivas. Para que el consentimiento sea informado, el interesado debe conocer
como mínimo la identidad del responsable del tratamiento y los fines del tratamiento a
los cuales están destinados los datos personales. El consentimiento no debe
considerarse libremente prestado cuando el interesado no goza de verdadera o libre
elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno”.
Asimismo, el artículo 7 del RGPD enumera las condiciones que deben concurrir para
el otorgamiento del consentimiento y en nuestro ordenamiento, la LOPDGDD señala
en su artículo 6, que lleva como rúbrica “Tratamiento basado en el consentimiento del
afectado” lo siguiente:
“1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679,
se entiende por consentimiento del afectado toda manifestación de voluntad libre,
específica, informada e inequívoca por la que este acepta, y asea mediante una
declaración o una clara acción afirmativa, el tratamiento de datos personales que le
conciernen.
2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del
afectado para una pluralidad de finalidades será preciso que conste de manera
específica e inequívoca que dicho consentimiento se otorga para todas ellas.
3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el
tratamiento de los datos personales para finalidades que no guarden relación con el
mantenimiento, desarrollo o control de la relación contractual.”
De acuerdo, por tanto, con lo establecido en el artículo 6.1 del RGPD, en relación con
los Considerandos 32 y 42, cuando el tratamiento se base en el consentimiento del
ciudadano, para considerar válido dicho consentimiento este deberá ser informado,
referirse de manera específica a finalidades concretas, prestarse de manera libre y ser
inequívoco. Sobre esta cuestión, las Directrices 5/2020, adoptadas por el Comité
Europeo de Protección de Datos, ofrecen unos mecanismos para ayudar a la
interpretación de estos criterios y a su cumplimiento por los responsables de los
tratamientos.
Respecto a la necesidad de que el consentimiento sea informado, habrá que acudir al
artículo 13 del RGPD, artículo que determina la información que habrá de facilitarse
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/15
cuando los datos se obtengan del interesado. Para lograr este fin, el artículo 11 de la
LOPDGDD articula la forma de ofrecer la información del artículo 13 del RGPD,
estableciendo qué información básica ha de facilitarse, al menos, de manera directa, y
sin perjuicio de la debida indicación del medio o lugar donde se podrá acceder a la
información completa que ha de ofrecerse en virtud del mencionado artículo 13 del
RGPD. Los elementos que conforman la información a proporcionar en el supuesto de
que el consentimiento se erija en la base legitimadora del tratamiento han de alcanzar
a: la identidad del responsable, los fines del tratamiento o tratamientos, qué tipo de
datos se recaban, la existencia del derecho a retirar el consentimiento, información de
si los datos serán objeto de decisiones automatizadas y de los posibles riesgos en el
supuesto de que esté prevista una transferencia internacional de datos en ausencia de
una decisión de adecuación y de las correspondientes salvaguardas.
Un consentimiento prestado libremente significa que el interesado ha de tener una
opción real para no otorgarlo. En consecuencia, no puede considerarse otorgado el
consentimiento libremente cuando el sujeto no puede negar su otorgamiento sin sufrir
algún tipo de consecuencia negativa, extremo que deberá probar el responsable del
tratamiento.
Por último, respecto a la no equivocidad, este requisito se manifestaría en que el
interesado acepta de un modo indubitado el tratamiento de sus datos a través de una
acción deliberadamente afirmativa y con carácter previo al comienzo del tratamiento
de los datos.
El RGPD no prescribe una forma concreta de registrar el consentimiento prestado y
por lo tanto, corresponderá al responsable determinar aquella, en línea con el principio
de responsabilidad proactiva establecido por el artículo 4.2 del RGPD, de tal manera
que pueda probar que el interesado ha prestado de manera válida el citado
consentimiento, es decir, que este es informado, libre, específico, y prestado de
manera inequívoca.
En relación con lo expuesto y de acuerdo con los hechos probados puestos de relieve
en el presente procedimiento, ROCA & ASOCIADOS lleva a cabo un tratamiento de
datos consistente en la toma de fotografía a la parte reclamante para su posterior
difusión a través de la web de la empresa basándose en el consentimiento, que no es
conforme con la normativa de protección de datos por las siguientes razones.
Así, en aquellos supuestos en los que las fotografías captadas afectan a personas
identificables, quienes no han prestado su voluntad de forma libre, específica,
informada e inequívoca en el momento en que esas fotografías están siendo tomadas,
no puede considerarse que el consentimiento recabado sea válido ya que:
1. No es posible acreditar que la parte reclamante ha sido debidamente informada.
Pese a la documentación que se le requirió a ROCA & ASOCIADOS en el período de
prueba, ningún documento se ha aportado respecto a la información facilitada a la
parte reclamante de la utilización de su imagen una vez tomada la fotografía para
todas y cada una de las finalidades (en este caso, la captación de la imagen y su
posterior difusión a través de la web de ROCA & ASOCIADOS).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/15
2. No puede considerarse que la parte reclamante haya consentido indubitadamente la
toma de una fotografía de su imagen física, ante un correo en el que lo único que se
advierte es “sacaremos fotos a los nuevos que lo deseen”. Como se ha señalado
anteriormente, el consentimiento presunto ha dejado de tener validez en el marco de la
normativa de protección de datos surgida a partir de la aprobación del RGPD,
debiendo ser expreso. Del mismo modo, el hecho de que la parte reclamante hubiera
publicado en su perfil de la red social linkedin esta fotografía con su imagen, no
supone un consentimiento a expreso a que pueda ser publicada por la empresa. Cabe
señalar que esta circunstancia no ha sido probada por el reclamado.
3. Ahora bien, es importante señalar que, en estos casos, debe cumplirse todos los
requisitos que se han mencionado anteriormente como necesarios para la prestación
de un consentimiento válido, lo que implica, por tanto, la necesidad de que el
consentimiento sea además informado y expreso, que sea libre, debiendo estar el
responsable en condiciones de acreditar que estos extremos se han cumplido en todos
los casos.
Teniendo en cuenta lo anterior, no pueden acogerse, por tanto, las alegaciones del
ROCA & ASOCIADOS, ya que estas se asientan sobre la base del consentimiento
presunto de la parte reclamante, ante el correo de comunicación de la toma de las
fotografías (“a los nuevos que lo deseen”), El marco que configura el RGPD para los
tratamientos de datos personales cuya base legitimadora sea el consentimiento de los
interesados, exige una clara acción afirmativa en la prestación de dicho
consentimiento, que deberá cumplir todas y cada una de las condiciones a que se ha
hecho referencia más arriba, eliminando de esta forma el denominado consentimiento
tácito o presunto. Por ende, para cumplir con la normativa de protección de datos,
cuando la base legitimadora del tratamiento la constituya el consentimiento del
interesado, la puesta a disposición de la información relativa al tratamiento se
configura como un presupuesto necesario para la válida prestación del consentimiento.
Por todo lo expuesto, se desestiman las alegaciones formuladas al acuerdo de inicio.
IV
Licitud del tratamiento
El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el
tratamiento de datos personales:
“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/15
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.
2…”
Asimismo el Considerando 40 del mencionado RGPD, cuando dispone que «Para que
el tratamiento sea lícito, los datos personales deben ser tratados con el
consentimiento del interesado o sobre alguna otra base legítima establecida conforme
a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión
o de los Estados miembros a que se refiera el presente Reglamento, incluida la
necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la
necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de
tomar medidas a instancia del interesado con anterioridad a la conclusión de un
contrato.»
Por otra parte, el artículo 4 del RGPD, Definiciones, en su apartado 11, señala que:
“1) (…)
11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica,
informada e inequívoca por la que el interesado acepta, ya sea mediante una
declaración o una clara acción afirmativa, el tratamiento de datos personales que le
conciernen”.
Con relación a los hechos reclamados, consta en el expediente (Página 14 a 17)
impresión de fecha 1 de septiembre de 2023 de la página web
“https://roca.legal/team.html” perteneciente a ROCA & ASOCIADOS, en la cual se
publican los datos personales de la parte reclamante, concretamente, una fotografía
con su imagen, nombre, primer apellido y profesión, sin que existan evidencias de que
se haya obtenido el consentimiento previo del interesado ni concurra alguna de las
demás condiciones que determinan la licitud del tratamiento. Por todo ello, se
considera que existen evidencias de que el tratamiento de datos de ROCA &
ASOCIADOS supone la vulneración del artículo 6.1 del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/15
V
Tipificación y calificación de la infracción
De conformidad con las evidencias de las que se dispone en el presente momento de
resolución del procedimiento sancionador, se considera que ROCA & ASOCIADOS ha
cometido una vulneración del artículo 6.1 del RGPD, al no concurrir alguna de las
condiciones establecidas en dicho artículo que legitimen la publicación en su página
web de datos personales de la parte reclamante.
Los hechos conocidos son constitutivos de una infracción, imputable a ROCA &
ASOCIADOS, tipificada en el Artículo 83.5 del RGPD, que estipula lo siguiente:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (...).”
A efectos del plazo de prescripción de las infracciones, la infracción imputada
prescribe a los tres años, conforme al artículo 72 de la LOPDGDD, que califica de muy
grave la siguiente conducta:
1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
(…)
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.
(…)”
VI
Sanción por la infracción del artículo 6.1 del RGPD
A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone en el presente momento de
resolución de procedimiento sancionador, se considera que procede graduar la
sanción a imponer de acuerdo con los siguientes criterios que establece el artículo
83.2 del RGPD, que indica:
“2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/15
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42,
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción”.
Con relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en su artículo
76, “Sanciones y medidas correctivas”, dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/15
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido incluir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente
f) La afectación a los derechos de los menores
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a
mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que
existan controversias entre aquellos y cualquier interesado”.
Como circunstancia del artículo 76.2 de la LOPDGDD, entendida en este caso como
agravante:
- La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales (apartado b): ROCA & ASOCIADOS en el desarrollo de su
actividad profesional necesita tratar de forma habitual datos personales, tanto de
clientes como de empleados, lo que supone que tiene experiencia suficiente y
debería contar con el adecuado conocimiento para el tratamiento de dichos datos.
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 6.1 del RGPD, permite imponer una sanción de 5.000 € (cinco mil euros).
VII
Imposición de medidas
De acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el cual
cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento
que las operaciones de tratamiento se ajusten a las disposiciones del presente
Reglamento, cuando proceda, de una determinada manera y dentro de un plazo
especificado…”, se acuerda imponer a ROCA & ASOCIADOS, la adopción de la
siguiente medida, que deberán ser acreditadas ante esta Agencia en el plazo de 3
meses:
- Evitar que se publiquen datos personales en la web de ROCA & ASOCIADOS sin
cumplir con lo dispuesto en el 6.1 del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/15
La imposición de esta medida es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el art. 83.2 del RGPD.
Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución sancionadora podrá ser considerado como una
infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como
infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un
ulterior procedimiento administrativo sancionador.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a ROCA & ASOCIADOS ABOGADOS Y ECONOMISTAS,
S.L.P., con NIF B66945197, por una infracción del Artículo 6.1 del RGPD, tipificada en
el Artículo 83.5 del RGPD, una multa de 5.000 € (cinco mil euros).
SEGUNDO: ORDENAR a ROCA & ASOCIADOS ABOGADOS Y ECONOMISTAS,
S.L.P., con NIF B66945197, que en virtud del artículo 58.2.d) del RGPD, en el plazo de
3 meses desde que la presente resolución sea firme y ejecutiva, acredite haber
procedido al cumplimiento de las medidas para evitar que se publiquen datos
personales en la web de ROCA & ASOCIADOS sin cumplir con lo dispuesto en el 6.1
del RGPD.
TERCERO: NOTIFICAR la presente resolución a ROCA & ASOCIADOS ABOGADOS
Y ECONOMISTAS, S.L.P.
CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/15
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-16012024
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es