1/6
Procedimiento Nº: PS/00209/2021
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES
PRIMERO: Dña. A.A.A. (en adelante, la reclamante) con fecha 7 de febrero de 2021
interpuso reclamación ante la Agencia Española de Protección de Datos. La
reclamación se dirige contra el CLUB GIMNASIA RÍTMICA SAN ANTONIO con NIF
G57922429 (en adelante, el reclamado).
La reclamante, madre de dos niñas, de 10 y 12 años, que hacen gimnasia
rítmica en el club contra el que se dirige la reclamación manifiesta que el 5 de febrero
de 2021 solicitó al club que retiraran de sus redes sociales todas las fotos y vídeos en
los que aparecieran sus hijas. Añade que no tiene constancia de haber dado su
autorización, que solo la dio a la Federación, y en relación con las competiciones en
que participaran las niñas. Y que, en todo caso, desde ese momento negaba
expresamente su autorización a tomar imágenes de las niñas y a publicarlas en
internet.
Asimismo, señala que en la madrugada del pasado 6 de febrero el club publicó
un nuevo vídeo en el cual aparecen sus hijas, habiendo solicitado a Instagram la
retirada de sus imágenes.
Y, entre otra, aporta la siguiente documentación:
Denuncia de fecha 7 de febrero de 2021, ante las dependencias de la Guardia
Civil del Puesto P. Sant Antoni de Portmany (Illes Balears).
Foto de la denuncia ante la red social Instagram.
Anexo 1 de la licencia federativa del 2021, dónde consta las autorizaciones
dadas por la reclamante.
SEGUNDO: De conformidad con lo dispuesto en el artículo 65.4 de la LOPGDD, que
ha previsto un mecanismo previo a la admisión a trámite de las reclamaciones que se
formulen ante la AEPD, consistentes en trasladarlas a los Delegados de Protección de
Datos designados por los responsables o encargados del tratamiento, a los efectos
previstos en el artículo 37 de la citada norma, o a éstos cuando no los hubiere
designado, se dio traslado de la reclamación a la entidad reclamada en el marco del
expediente E/01193/2021, para que procediese a su análisis y diera respuesta a la
parte reclamante y a esta Agencia en el plazo de un mes.
TERCERO: Con fechas 9 y 22 de febrero 2021 se solicitó al reclamado a través del
servicio de notificaciones electrónicas y de correo postal, que aportara a esta Agencia
la siguiente información:
1. La decisión adoptada a propósito de esta reclamación.
2. En el supuesto de ejercicio de los derechos regulados en los artículos 15 a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/6
22 del RGPD, acreditación de la respuesta facilitada al reclamante.
3. Informe sobre las causas que han motivado la incidencia que ha originado
la reclamación.
4. Informe sobre las medidas adoptadas para evitar que se produzcan
incidencias similares, fechas de implantación y controles efectuados para
comprobar su eficacia.
5. Cualquier otra que considere relevante.
Consta que la primera de ellas fue devuelta el 20 de febrero de 2021 por haber
expirado el plazo de entrega y la segunda fue entregada al reclamado por el servicio
postal de correos el 3 de marzo del 2021.
Transcurrido el plazo concedido al reclamado sin que hubiera respondido a la
solicitud de información, de conformidad con lo dispuesto en el artículo 65.2 de la
LOPDGDD, se firma con fecha 4 de mayo de 2021 el acuerdo de admisión a trámite
de la presente reclamación.
CUARTO: Con fecha 18 de junio de 2020, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador contra el CLUB
GIMNASIA RÍTMICA SAN ANTONIO con NIF G57922429 en virtud de los poderes
establecidos en el art. 58.2 del RGPD y en los art 47, 64.2 y 68.1 de la Ley Orgánica
3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los
Derechos Digitales (LOPDGDD), por la infracción del artículo 6 del RGPD, tipificada en
el artículo 83.5 b) del RGPD y considerada muy grave en el 72.1.a), a efectos de
prescripción, fijando una sanción inicial de 5.000 euros (cinco mil euros).
QUINTO: El Acuerdo de Inicio de Procedimiento Sancionador, se notificó al reclamado
electrónicamente siendo la fecha de puesta a disposición el 18 de junio de 2021 y la
fecha de rechazo automático el día 29 del mismo mes y año, tal como lo acredita el
certificado expedido por la FNMT que obra en el expediente.
SEXTO: Notificado formalmente el acuerdo de inicio, la reclamada al tiempo de la
presente resolución no ha presentado escrito de alegaciones, por lo que es de
aplicación lo señalado en el artículo 64 de la Ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas, que en su
apartado f) establece que en caso de no efectuar alegaciones en el plazo previsto
sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de
resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad
imputada, por lo que se procede a dictar Resolución.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección
de Datos en el presente procedimiento se consideran hechos probados los siguientes:
HECHOS PROBADOS
PRIMERO: Consta que el reclamado tiene una página de Instagram llamada
“RITMICASANANTONIO” en la que se publican imágenes de menores realizando
ejercicios.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/6
SEGUNDO: Que la reclamante ha manifestado al reclamado que no quiere que
publiquen imágenes de sus hijas en las redes sociales, que no les ha dado su
autorización para fotografiar y grabar a sus hijas.
TERCERO: El 18 de junio de 2021, se inició este procedimiento sancionador por la
infracción del artículo 6 del RGPD (licitud del tratamiento), siendo notificado el día 29
del mismo mes y año. No habiendo efectuado alegaciones, el reclamado, al acuerdo
de inicio.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada
autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD,
la Directora de la Agencia Española de Protección de Datos es competente para iniciar
y para resolver este procedimiento.
II
Se imputa al reclamado la comisión de una infracción por vulneración del
Artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los
supuestos en los que el tratamiento de datos de terceros es considerado lícito:
“1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos
personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;
(…)”
III
Los apartados b), d) e i) del artículo 58.2 del RGPD disponen lo siguiente:
“2 Cada autoridad de control dispondrá de todos los siguientes poderes
correctivos indicados a continuación:
(…)
b) dirigir a todo responsable o encargado del tratamiento un apercibimiento
cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente
Reglamento;”
(...)
“d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado;”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/6
“i) imponer una multa administrativa con arreglo al artículo 83, además o en
lugar de las medidas mencionadas en el presente apartado, según las circunstancias
de cada caso particular;”
La infracción se tipifica en el Artículo 83.5 del RGPD, que considera como tal:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6,7 y 9.”
La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los
Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones
consideradas muy graves” dispone:
“1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquél y, en
particular, las siguientes:
(…)
a) El tratamiento de datos personales sin que concurra alguna de las
condiciones de licitud del tratamiento establecidas en el artículo 6 del
Reglamento (UE)2016/679.”
IV
La documentación que obra en el expediente ofrece evidencias de que el
reclamado, tiene una página de Instagram llamada “RITMICASANANTONIO” en la que
se publican imágenes de las menores realizando ejercicios. Que la reclamante ha
manifestado varias veces al reclamado, la última de ellas el 5 de febrero de 2021, que
no quiere que se publiquen imágenes de sus hijas en las redes sociales y que no
tienen la autorización para fotografiar y grabar a sus hijas.
Pues bien, el reclamado ha vulnerado el artículo 6.1 del RGPD, toda vez que
publicó imágenes en Instagram de las hijas de la reclamante, sin que tuviese ninguna
legitimación para ello. No acredita la legitimación para el tratamiento de los datos de
las hijas menores, de 10 y 12 años de edad, de la reclamante.
Es de destacar, que requerida información sobre estos hechos al reclamado, el 9
y el 22 de febrero de 2021, aunque consta que fue entregada la segunda de las
notificaciones por el servicio postal de correos el 3 de marzo de 2021, no ha
contestado a esta Agencia.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/6
Asimismo, consta que el Acuerdo de Inicio del presente procedimiento, fue
notificado el 29 de junio de 2021. Sin embargo, el reclamado no ha efectuado
alegaciones al mismo.
V
De conformidad con las evidencias de las que se dispone los hechos expuestos
constituyen, por parte del reclamado, una infracción a lo dispuesto en el artículo 6.1 a)
del RGPD.
Asimismo, se considera que procede graduar la sanción a imponer de acuerdo
con los siguientes criterios que establece el artículo 83.2 del RGPD:
Como agravantes los siguientes:
En el presente caso estamos ante acción negligente grave (artículo 83.2 b).
Se encuentran afectados datos personales – la imagen, que las hace
identificables – de dos menores de edad, a los cuales la normativa de
protección de datos protege de manera especial (art.83.2g).
Asimismo, de acuerdo con lo establecido en el citado artículo 58.2.d) del
RGPD, se ordena al reclamado, como responsable del tratamiento, para que en el
plazo de un mes adopte las medidas necesarias para que se retire la imagen de las
menores, de conformidad con lo establecido en el artículo 6.1 a), así como la
aportación de medios de prueba acreditativos del cumplimiento de lo requerido.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la
Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a CLUB GIMNASIA RÍTMICA SAN ANTONIO, con NIF
G57922429, por una infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5
del RGPD, una multa de 5.000 € (cinco mil euros).
SEGUNDO: ORDENAR a CLUB GIMNASIA RÍTMICA SAN ANTONIO, con NIF
G57922429 para que en el plazo, de un mes de acuerdo con lo establecido en el
artículo 58.2.d) del RGPD, adopte de las medidas necesarias para que se retire la
imagen de las dos menores, de conformidad con lo establecido en el artículo 6.1 a),
así como la aportación de medios de prueba acreditativos del cumplimiento de lo
requerido.
TERCERO: NOTIFICAR la presente resolución a CLUB GIMNASIA RÍTMICA SAN
ANTONIO, con NIF G57922429.
CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/6
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se
encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el
pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si
se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del
pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art.
48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la
LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición
ante la Directora de la Agencia Española de Protección de Datos en el plazo de un
mes a contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la
LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa
si el interesado manifiesta su intención de interponer recurso contencioso-
administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este
hecho mediante escrito dirigido a la Agencia Española de Protección de Datos,
presentándolo a través del Registro Electrónico de la Agencia
[https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes
registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También
deberá trasladar a la Agencia la documentación que acredite la interposición efectiva
del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el
día siguiente a la notificación de la presente resolución, daría por finalizada la
suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es