1/13
Procedimiento Nº: PS/00172/2020
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 28 de octubre de 2019
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra POSADA LAS ANIMAS VIGO SPAIN, S.L. con NIF
B27793926 (en adelante, el reclamado) por unos hechos que podrían estar vulnerando
la legislación sobre protección de datos personales. Los motivos principales en que
basa la reclamación son los siguientes:
“El pasado 21/09/2019, han hecho público un vídeo de mi persona donde se visualiza
perfectamente mi cara y la de otras personas en las instalaciones del PRESUNTO
RECLAMADO. Este vídeo, es grabado dentro del local y publicado en la red social
INSTAGRAM en el perfil oficial del establecimiento: "la_posada_vigo". Dispongo de
capturas de pantalla y testigos que pueden corroborar esta publicación.
Además, el vídeo ha sido editado con elementos gráficos a tenor de la situación que
se está grabando, la cual es mi persona besando a otra persona. En el video, el cual
tiene una duración aproximada de 20 segundos, se ve perfectamente mi cara y el
acto.
Cuando me dan traslado de esta publicación, la cual desconocía en el momento que
fue grabada, pues me habían reconocido desde Internet, trato de ponerme en contacto
con el PRESUNTO RECLAMADO en el teléfono de contacto que figura en su perfil de
INSTAGRAM, indicándole que retirara de manera inmediata esos contenidos, a lo que
me contesta "quien entra en su local está expuesto a ser grabado".
Esta conversación telefónica no ha sido grabada.
En consecuencia, he sufrido un daño moral importante, ya que la persona con la que
me besaba no era mi pareja en aquel momento.
Solicito que se aplique la sanción correspondiente contempla la ley, ante un acto de
divulgación de imágenes personales sensibles, sin mi consentimiento, así se tenga en
cuenta la edición de los contenidos como gravamen de la imagen difundida […]»
Junto a la reclamación aporta varios fotogramas del supuesto video grabado.
SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, se
trasladó al reclamado, de conformidad con lo establecido en el artículo 65.4 la Ley
Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de
los derechos digitales (en lo sucesivo, LOPDGDD).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/13
El día 03/12/2019 tuvo entrada en esta Agencia escrito de contestación de LA
POSADA DE LAS ÁNIMAS VIGO SPAIN S.L, en el que señala lo siguiente:
“1. En el acceso al establecimiento de hostelería figura una comunicación expresa del
hecho de que el local se hacen fotografías y vídeos de ambiente, realizados no de
forma automatizada sino por un/una fotógrafa.
2. También se indica que ante cualquier duda se pongan en contacto con la dirección.
3. Como el mismo reclamante indica, no se solicitó la retirada del video de forma
escrita, sino telefónicamente y sin éxito.
4. Que existen vías de comunicación mediante correo electrónico o escrito disponible
en el local, abierto de lunes a viernes desde las 20:30.
En todo caso las fotografías e imágenes de ambiente son borradas y sustituidas por
otras con carácter semanal teniendo cualquier cliente derecho, al ser informado previo
el acceso a dirigirse a la dirección. En el caso de que la fotografía o el video fuese
realizada sin ser consciente de ello, existen mecanismos para solicitar la retirada
inmediata del mismo.”
Adjunta imagen del cartel que figura en la entrada del establecimiento.
TERCERO: La reclamación fue admitida a trámite mediante resolución de 2 de junio
de 2020.
CUARTO: Con fecha 17 de julio de 2020, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por las
presuntas infracciones del artículo 6.1 y 7 del Reglamento (UE) 2016/679 (Reglamento
General de Protección de Datos, en adelante RGPD) tipificadas en el artículo 83.5 de
la citada norma, concediendo un plazo de diez días para presentar alegaciones.
QUINTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de
alegaciones en el que manifestaba que:
“[…] se omite el hecho de que son fotografías y videos de ambiente las que se
realizan tal y como especifica el cartel que ocupa un 25%del marco superior de la
única puerta de acceso al local.
Es por tanto que es indefectiblemente necesario que todo cliente que tenga acceso al
local tenga en su campo visual el cartel
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/13
1. En el acceso al establecimiento de hostelería figura una comunicación expresa del
hecho de que el local se hacen fotografías y vídeos de ambiente, realizados no de
forma automatizada sino por un/una fotógrafa.
Aparte de este hecho, como también se indica en la contestación, las fotografías y
pequeños clips (videos) se realizan de forma manual por una fotógrafa. Siendo posible
en cualquier momento, al tratarse de una cámara digital de solicitar su eliminación o
incluso el pedir que no se capte su imagen.
De acuerdo con el artículo 4 del RGPD deberá ser una «manifestación de voluntad
libre, específica, informada e inequívoca por la que el interesado acepta, ya sea
mediante una declaración, o una clara acción afirmativa, el tratamiento de los datos
persones que le conciernen»
El hecho de que el cartel informativo ocupe un lugar destacado en la única vía de
acceso, junto con que la persona que capta las imágenes esta accesible en todo
momento en opinión de la mercantil “La posada de las animas” dan respuesta a la
necesidad de una clara acción afirmativa, mediante el acceso al establecimiento y el
no comunicar impedimento alguno a la persona que realiza las fotografías.
En lo que respecta a la responsabilidad de retirar la imagen , es evidente que
corresponde al propio interesado , de forma desproporcionada, en lo que corresponde
a esta calificación se considera desde la mercantil que no corresponde a la realidad ,
ya que no solo podía haber comunicada a la fotógrafa que borrase el clip de video ,
sino que en cuanto quiso se pudo poner en contacto telefónico con el establecimiento ,
también podría haberlo realizado mediante correo electrónico , en todo caso las
imágenes y clips de video se borran por defecto con carácter semanal.
Es por ello se solicita se tenga por presentado el presente escrito y se proceda a
cerrar el expediente abierto contra la POSADA LAS ANIMAS VIGO SPAIN SL.”
SEXTO: Con fecha 3 de septiembre de 2020, el instructor del procedimiento acordó la
apertura de un período de práctica de pruebas, teniéndose por reproducidos, a efectos
probatorios la reclamación interpuesta por el reclamante y su documentación, los
documentos obtenidos y generados por la Subdirección General de Inspección de
Datos y las alegaciones presentadas por el reclamado.
SÉPTIMO: Con fecha 13 de octubre de 2020 se formuló propuesta de resolución,
proponiendo que se impusiera al reclamado una sanción de apercibimiento, por
sendas infracciones de los artículos 6.1 y 7 del RGPD, tipificadas en el artículo 83.5 de
la misma norma. En esta propuesta se condecía un plazo de 10 días para que el
reclamado pudiera alegar cuanto considerase en su defensa así como presentar los
documentos e informaciones que considerase pertinentes, de acuerdo con el artículo
89.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en adelante, LPACAP).
El día 30 de octubre, el reclamado presentó escrito de alegaciones en el que
manifestaba lo siguiente:
“[…]
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/13
1- La propuesta de resolución se basa en “El hecho de que la mera existencia de un
cartel informativo no garantiza que todos los clientes que acceden al local sean
conscientes de la posible captación de su imagen física” esto según se indica les
impide cumplir los dispuesto en el artículo 7.1 del RGPD “Cuando el tratamiento se
base en el consentimiento del interesado, el responsable deberá ser capaz de
demostrar que aquel consintió el tratamiento de sus datos personales”
2- No existiendo normativa específica acerca de la señalización en materia de
protección de datos habría que extrapolar esa normativa de las dos únicas normativas
existentes en la materia y de las cuales se extrapola toda la base legal de otro tipo de
señales no contempladas en ellas. el Real Decreto Legislativo 339/1990 de 2 de
Marzo por el que se aprueba el texto articulado de la ley sobre tráfico, circulación de
Vehículos a motor y señalización vial y el otro el RD 485 de señalización en materia de
seguridad y salud.
En ambos casos se establece un sistema de señalización mediante paneles de
diferente índole (Prohibición, advertencia obligación, etc.) donde
Todos los usuarios de las vías objeto de esta Ley están obligados a obedecer las
señales de la circulación que establezcan una obligación o una prohibición y a adaptar
su comportamiento al mensaje del resto de las señales reglamentarias que se
encuentren en las vías por las que circulan.( art 53.1 del Reglamento)
Este párrafo junto con la amplia y abundante jurisprudencia es lo que lleva al hecho de
que si una señal informativa de panel en una empresa privada (RD485/97) o en vía
pública (RD 339/1990) indica que la velocidad máxima es de 20 KM y accedo a la vía
estoy aceptando que dicha velocidad máxima es de 20 Km hora. Sin tener efecto
liberatorio el hecho de que la señal fuese vista o no (siempre que exista).
Este principio extrapolado a todo tipo de señalización es que crea señales tan
dispares como
Unas llevan el color azul de obligación, otras el rojo de emergencia, sin embargo
ninguna esta estandarizada ya que no es para regular la circulación vial ni las
condiciones de acceso y seguridad en el trabajo.
Tampoco la señal de advertencia de la mercantil, la posada de las animas Vigo Spain
lo está, sin embargo deja clara la advertencia “Se realizan fotografías de ambiente que
se suben a las redes sociales”.
Esta señalización al estar colocada en la única puerta de acceso, cumple
perfectamente los requisitos de una señalización de advertencia. Pudiendo la persona
que no desee consentir el no acceder.
El hecho de que no se pueda garantizar la lectura de la señal de advertencia no la
inválida ni el cumplimiento de los requisitos que extrapolando de la abundante
jurisprudencia en señales de panel tan solo podría ser por alguno de estos motivos.
- Que la señal no esté tapada o oculta de tal forma que se impida su visualización.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/13
- Que sea legible
- Que anteceda a la obligación, zona de peligro, etc
- Que en concurrencia con otras señales sea contradictoria.
Ninguno de estos motivos se da y por tanto el reclamante accede al interior del local
pudiendo estar informado o no, pero en ningún momento se le ha negado el derecho a
la información y por tanto su consentimiento al acceder de forma expresa al
establecimiento es libre y consciente.
El imponer un apercibimiento por esta cuestión elimina la validez de las señales de
panel informativas en cualquier campo ya que en todos se basa en la misma
normativa de referencia.
En lo que respecta a la facilidad (Simetría) art 7.3 ,de oponerse a ser grabado o
fotografiado vuelvo al art 7.1 ya comentado del consentimiento expreso demostrado al
acceder al local , pudiendo estar debidamente informado y como lo cual aceptando de
forma expresa y voluntaria la posibilidad de estar siendo grabado o fotografiado.”
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS
PRIMERO: El reclamante presentó un escrito el día 28 de octubre de 2019 ante la
Agencia de Protección de Datos que el que pone de manifiesto que el día 21 de
septiembre de 2019 el establecimiento POSADA DE LAS ÁNIMAS VIGO publicó en la
red social Instagram un vídeo de su persona mientras se encontraba en el interior de
dicho establecimiento, vídeo que habría sido grabado sin su consentimiento (y
presuntamente editado). Aporta al respecto capturas de pantalla.
SEGUNDO: El establecimiento hostelero realiza fotografías y videos de ambiente de
algunos de sus clientes. Dichas fotografías y videos son tomados por una fotógrafa y
publicados en el perfil del establecimiento en una red social durante un período
temporal de una semana.
TERCERO: El reclamado tiene colocado un cartel en la entrada del establecimiento en
el que se avisa de que en el interior se realizan fotografías y vídeos de ambiente para
su publicación en la página oficial y que con la entrada al establecimiento se presume
el consentimiento del cliente.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/13
la Agencia Española de Protección de Datos es competente para resolver este
procedimiento.
II
Se imputa al reclamado la comisión de una infracción por vulneración del artículo 6.1
del RGPD, que señala que:
“1. El tratamiento sólo será lícito si cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física.
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.”
Asimismo, se imputa una infracción del artículo 7 del mismo texto legal, que dispone
que:
“1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable
deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos
personales.
2. Si el consentimiento del interesado se da en el contexto de una declaración escrita
que también se refiera a otros asuntos, la solicitud del consentimiento se presentará
de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y
de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna
parte de la declaración que constituya infracción del presente Reglamento.
3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La
retirada del consentimiento no afectará a la licitud del tratamiento basada en el
consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado
será informado de ello Será tan fácil retirar el consentimiento como darlo.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/13
4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la
mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato,
incluida la prestación de un servicio, se supedita al consentimiento de datos
personales que no son necesarios para la ejecución de dicho contrato.”
Las infracciones se tipifican en el artículo 83.5 del RGPD:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; […]”
A efectos del plazo de prescripción de las infracciones, las señaladas en el párrafo
anterior se consideran muy grave y prescriben a los tres años, conforme al artículo
72.1 de la LOPDGDD, que establece que:
“En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
[…] b) El tratamiento de datos personales sin que concurra alguna de las condiciones
de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.
c) El incumplimiento de los requisitos exigidos por el artículo 7 del Reglamento (UE)
2016/679 para la validez del consentimiento […]”
III
El presente procedimiento tiene su origen en la consideración como infractora de la
política actual de grabación de imágenes y vídeos de clientes del establecimiento de
hostelería y ocio POSADA LAS ÁNIMAS VIGO para su posterior difusión en redes
sociales o página web. El reclamado fundamenta la base legítima del tratamiento en el
consentimiento de los interesados.
El RGPD regula las diferentes bases legítimas del tratamiento de datos personales en
su artículo 6.1, y sobre esta cuestión de la licitud del tratamiento, incide asimismo el
Considerando 40 del mencionado RGPD, cuando dispone que “Para que el
tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento
del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya
sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los
Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de
cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de
ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas
a instancia del interesado con anterioridad a la conclusión de un contrato.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/13
De acuerdo con lo manifestado por el reclamado, este ha basado el tratamiento de
datos objeto del procedimiento en el consentimiento de los interesados y a este
respecto, es necesario que el mismo esté vinculado a los fines concretos del
tratamiento de sus datos. En relación con la definición de consentimiento, el artículo
4.11 del RGPD supone un cambio de paradigma respecto al esquema vigente con
anterioridad a la citada norma, por cuanto hace desaparecer de la realidad jurídica el
denominado “consentimiento presunto”. Así, esta definición señala que se considera
consentimiento del interesado aquella “manifestación de voluntad libre, específica,
informada e inequívoca por la que el interesado acepta, ya sea mediante una
declaración, o una clara acción afirmativa, el tratamiento de los datos persones que le
conciernen».
Respecto a la forma del consentimiento, según el Considerando 32 «El consentimiento
debe darse mediante un acto afirmativo claro que refleje una manifestación de
voluntad libre, específica, informada e inequívoca del interesado de aceptar el
tratamiento de datos de carácter personal que le concierten, como una declaración por
escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir
marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la
utilización de servicios de la sociedad de la información, o cualquier otra declaración o
conducta que indique claramente en este contexto que el interesado acepta la
propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya
marcadas o la inacción no deben constituir consentimiento. El consentimiento debe
darse para todas las actividades de tratamiento realizadas con el mismo o los mismos
fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para
todos ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud de
medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar
innecesariamente el uso del servicio para el que se presta.”
Y abundando en esta necesidad de declaración clara e inequívoca, el Considerando
42 establece que: “Cuando el tratamiento se lleva a cabo con el consentimiento del
interesado, el responsable del tratamiento debe ser capaz de demostrar que aquel ha
dado su consentimiento a la operación de tratamiento. En particular en el contexto de
una declaración por escrito efectuada sobre otro asunto, debe haber garantías de que
el interesado es consciente del hecho de que da su consentimiento y de la medida en
que lo hace. De acuerdo con la Directiva 93/13/CEE del Consejo [de 5 de abril de
1993, sobre las cláusulas abusivas en los contratos celebrados con consumidores],
debe proporcionarse un modelo de declaración de consentimiento elaborado
previamente por el responsable del tratamiento con una formulación inteligible y de
fácil acceso que emplee un lenguaje claro y sencillo, y que no contenga cláusulas
abusivas. Para que el consentimiento sea informado, el interesado debe conocer
como mínimo la identidad del responsable del tratamiento y los fines del tratamiento a
los cuales están destinados los datos personales. El consentimiento no debe
considerarse libremente prestado cuando el interesado no goza de verdadera o libre
elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno”.
Asimismo, el artículo 7 del RGPD enumera las condiciones que deben concurrir para
el otorgamiento del consentimiento y en nuestro ordenamiento, la LOPDGDD señala
en su artículo 6, que lleva como rúbrica “Tratamiento basado en el consentimiento del
afectado” lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/13
“1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679,
se entiende por consentimiento del afectado toda manifestación de voluntad libre,
específica, informada e inequívoca por la que este acepta, y asea mediante una
declaración o una clara acción afirmativa, el tratamiento de datos personales que le
conciernen.
2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del
afectado para una pluralidad de finalidades será preciso que conste de manera
específica e inequívoca que dicho consentimiento se otorga para todas ellas.
3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el
tratamiento de los datos personales para finalidades que no guarden relación con el
mantenimiento, desarrollo o control de la relación contractual.”
De acuerdo, por tanto, con lo establecido en el artículo 6.1 del RGPD, en relación con
los Considerandos 32 y 42, cuando el tratamiento se base en el consentimiento del
afectado, para considerar válido dicho consentimiento este deberá ser informado,
referirse de manera específica a finalidades concretas, prestarse de manera libre y ser
inequívoco. Sobre esta cuestión, las Directrices 5/2020, adoptadas por el Comité
Europeo de Protección de Datos, ofrecen unos mecanismos para ayudar a la
interpretación de estos criterios y a su cumplimiento por los responsables de los
tratamientos.
En relación con la necesidad de que el consentimiento sea informado, habrá que
acudir al artículo 13 del RGPD, artículo que determina la información que habrá de
facilitarse cuando los datos se obtengan del interesado. Para lograr este fin, el artículo
11 de la LOPDGDD articula la forma de ofrecer la información del artículo 13 del
RGPD, estableciendo qué información básica ha de facilitarse, al menos, de manera
directa, y sin perjuicio de la debida indicación del medio o lugar donde se podrá
acceder a la información completa que ha de ofrecerse en virtud del mencionado
artículo 13 del RGPD. Los elementos que conforman la información a proporcionar en
el supuesto de que el consentimiento se erija en la base legitimadora del tratamiento
han de alcanzar a: la identidad del responsable, los fines del tratamiento o
tratamientos, qué tipo de datos se recaban, la existencia del derecho a retirar el
consentimiento, información de si los datos serán objeto de decisiones automatizadas
y de los posibles riesgos en el supuesto de que esté prevista una transferencia
internacional de datos en ausencia de una decisión de adecuación y de las
correspondientes salvaguardas.
El requisito de especificidad se vincula íntimamente con el requisito del
consentimiento informado y hace referencia a que el consentimiento se presta
únicamente para la finalidad para la que está establecido y en el supuesto de que sean
varias las finalidades, el consentimiento deberá estar diferenciado para cada una de
ellas. Este requisito consentimiento, deberá, lógicamente, basarse en la información
específica proporcionada previamente.
Un consentimiento prestado libremente significa que el interesado ha de tener una
opción real para no otorgarlo. En consecuencia, no puede considerarse otorgado el
consentimiento libremente cuando el sujeto no puede negar su otorgamiento sin sufrir
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/13
algún tipo de consecuencia negativa, extremo que deberá probar el responsable del
tratamiento..
Por último, respecto a la no equivocidad, este requisito se manifestaría en que el
interesado acepta de un modo indubitado el tratamiento de sus datos a través de una
acción deliberadamente afirmativa y con carácter previo al comienzo del tratamiento
de los datos.
El RGPD no prescribe una forma concreta de registrar el consentimiento prestado y
por lo tanto, corresponderá al responsable determinar aquella, en línea con el principio
de responsabilidad proactiva establecido por el artículo 4.2 del RGPD, de tal manera
que pueda probar que el interesado ha prestado de manera válida el citado
consentimiento, es decir, que este es informado, libre, específico, y prestado de
manera inequívoca.
En relación con lo expuesto y de acuerdo con los hechos probados puestos de relieve
en el presente procedimiento, el reclamado lleva a cabo un tratamiento de datos
consistente en la toma de fotografías de los clientes del establecimiento para su
posterior difusión en las redes sociales basándose en el consentimiento, que no es
conforme con la normativa de protección de datos por las siguientes razones.
Así, en aquellos supuestos en los que las fotografías captadas afectan a personas
identificables y que no son conscientes del momento en que esas fotografías están
siendo tomadas, no puede considerarse que el consentimiento recabado sea válido ya
que:
1. No se posible acreditar que las personas objeto de las imágenes han sido
debidamente informadas. El hecho, por sí solo, de disponer de un cartel de
dimensiones adecuadas a la entrada del local (ocupa más de un 25% del marco de
entrada al local), aun cuando recoja al menos la información básica dispuesta en el
artículo 11 de la LOPDGDD y señale una dirección donde acudir para conocer el resto
de la información que se debe proporcionar a los interesados no es suficiente para
aquellos tratamientos de datos cuya base legitimadora sea el consentimiento ya que
no permite acreditar que todas y cada una de las personas cuyos datos van a ser
tratados, han leído el cartel y han sido informadas. Cuestión diferente resultaría, por
ejemplo, del tratamiento de datos llevado a cabo por razones de seguridad a través de
una cámara de videovigilancia, tratamiento de datos cuya base legitimadora es el
interés público y no el consentimiento, y donde el requisito de del deber de información
se entiende cumplido con la disposición de un cartel que reúna los requisitos mínimos.
2. No puede considerarse que las personas que son captadas sin ser conscientes de
su grabación hayan consentido indubitadamente la toma de una fotografía o vídeo de
su imagen física por cuanto es posible que ni siquiera sepan que están siendo objeto
de ese tratamiento. Como se ha señalado anteriormente, el consentimiento presunto
ha dejado de tener validez en el marco de la normativa de protección de datos surgida
a partir de la aprobación del RGPD, debiendo ser expreso.
Por su parte, en aquellas fotografías en las que el cliente aparece mirando directa e
intencionalmente a la cámara, sí sería posible concluir, a diferencia del supuesto
anterior, que el consentimiento es inequívoco. Ahora bien, es importante señalar que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/13
en estos casos, debe cumplirse, de todas las maneras, todos los requisitos que se han
mencionado anteriormente como necesarios para la prestación de un consentimiento
válido, lo que implica, por tanto, la necesidad de que el consentimiento sea además
informado para todas y cada una de las finalidades (en este caso, la captación de la
imagen y su posterior difusión a través de redes sociales) y libre, debiendo estar el
responsable debe en condiciones de acreditar que estos extremos se han cumplido en
todos los casos.
Teniendo en cuenta lo anterior, no pueden acogerse, por tanto, las alegaciones del
reclamado ya que estas se asientan sobre la base de que el reclamado proporciona
una información claramente visible a la entrada del establecimiento y que recaería en
la esfera de responsabilidad de los clientes el hecho de leerla o no; como se ha
señalado, el marco que configura el RGPD para los tratamientos de datos personales
cuya base legitimadora sea el consentimiento de los interesados exige una clara
acción afirmativa en la prestación de dicho consentimiento que deberá cumplir todas y
cada una de las condiciones a que se ha hecho referencia más arriba, eliminando de
esta forma el denominado consentimiento tácito o presunto. Por ende, para cumplir
con la normativa de protección de datos cuando la base legitimadora del tratamiento la
constituya el consentimiento del interesado, la sola puesta a disposición de este de
una información —cuya lectura en este caso ni siguiera puede ser acreditada— se
configura como un presupuesto necesario pero no suficiente.
Por otra parte, se indica que, frente a la afirmación de la ausencia de normativa de
señalización en materia de protección de datos, aunque es cierto que no existen
disposiciones acerca del tipo de señales informativas, los artículos 13 y 14 del RGPD
recogen la información que el responsable está obligado a suministrar en función de si
los datos se obtienen o no del interesado y el artículo 11 de la LOPDGDD ofrece un
medio de cumplimiento de esta obligación a través del denominado sistema de capas
(en las que se distingue entre información básica que debe ser facilitada
inmediatamente y la información complementaria que puede ser ofrecida en una
segundo momento). La forma de cumplimiento de este deber de información
dependerá, lógicamente del tipo de tratamiento en concreto, siendo responsabilidad
del responsable el diseño y ofrecimiento de esa información.
IV
Sin perjuicio de lo establecido en el artículo 83.5, apartados a) y b), del RGPD, su art.
58.2 b) dispone la posibilidad de sancionar con apercibimiento, en relación con lo
señalado en el Considerando 148:
“En caso de infracción leve, o si la multa que probablemente se impusiera
constituyese una carga desproporcionada para una persona física, en lugar de
sanción mediante multa puede imponerse un apercibimiento. Debe no obstante
prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su
carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos,
al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en
que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento
de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de
conducta y a cualquier otra circunstancia agravante o atenuante.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/13
En el presente caso, al decidir la sanción que corresponde imponer, se han tenido en
cuenta los siguientes elementos:
Que se trata de una mercantil cuya actividad principal no está vinculada con el
tratamiento de datos personales.
Que no se aprecia reincidencia ni reiteración, por no constar la comisión de
infracciones anteriores en materia de protección de datos.
Por todo ello, se considera que la sanción que correspondería imponer es de
apercibimiento, de acuerdo con lo establecido en el artículo 58.2 b) del RGPD, en
relación con lo señalado en el Considerando 148, antes citados.
Por otra parte, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD,
según el cual cada autoridad de control podrá «ordenar al responsable o encargado
del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado […]”, el responsable deberá adoptar las medidas necesarias para
acreditar que el consentimiento prestado por los interesados es informado, específico,
libre e indubitado.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la
Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a POSADA LAS ANIMAS VIGO SPAIN, S.L., con NIF
B27793926, por sendas infracciones de los artículos 6.1 y 7 del RGPD, tipificadas en
el artículo 83.5 de la citada norma, una sanción de APERCIBIMIENTO.
SEGUNDO: ORDENAR a POSADA LAS ANIMAS VIGO SPAIN, S.L para que
acredite, en el plazo máximo de UN MES desde la notificación de esta resolución, la
adopción de las medidas necesarias para acreditar que el consentimiento prestado por
los interesados es informado, específico, libre e indubitado.
TERCERO: NOTIFICAR la presente resolución a POSADA LAS ANIMAS VIGO
SPAIN, S.L. e informar al reclamante.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/13
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-131120
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es