1/7
Procedimiento Nº: PS/00279/2020
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 9 de julio de 2019 interpuso
reclamación ante la Agencia Española de Protección de Datos.
La reclamación se dirige contra B.B.B. con NIF ***NIF.1 (en adelante, el reclamado).
Los motivos en que basa la reclamación son que se ha publicado material fotográfico
y otros datos personales en “***URL.1”, sin su consentimiento.
El 4 de junio de 2019, solicitó la supresión de sus datos personales a la reclamada,
pero ésta no responde.
Así mismo, la reclamada manifiesta que en la citada página web el aviso legal que
publica es insuficiente y su política de privacidad no cumple con los requisitos exigidos
en cuanto al tratamiento de datos de carácter personal.
Entre otra, se aporta la siguiente documentación:
Correo electrónico dirigido a la dirección ***EMAIL.1 ejerciendo el derecho de su-
presión de los datos personales de la reclamante.
Los antecedentes que constan son los siguientes:
Con fecha de 1 de junio de 2020, en el seno del procedimiento de admisión
E/08088/2019 y sin que se haya podido trasladar la reclamación a la reclamada, se
acuerda abrir las presentes actuaciones de investigación en relación con la reclama-
ción presentada por la reclamante. Se notifica al reclamante con fecha de 8 de julio de
2020.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), con fecha de 1 de junio de 2020, en el seno del procedimiento
de admisión E/08088/2019 se da traslado de esta reclamación sin que se haya
obtenido respuesta.
TERCERO: Con fecha 21 de septiembre de 2020, la Directora de la Agencia Española
de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la
presunta infracción del artículo 6 del RGPD, artículo 13 del RGPD, tipificada en el
Artículo 83.5 del RGPD.
CUARTO: Con fecha 7 de octubre de 2020 se notifica el acuerdo de inicio de este
procedimiento, convirtiéndose el mismo en propuesta de resolución de conformidad
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/7
con los artículos 64.2.f) y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento
Administrativo Común de las Administraciones Públicas (LPACAP), al no efectuar
alegaciones en el plazo indicado.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección
de Datos en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS
PRIMERO: Se presenta reclamación porque se ha publicado material fotográfico y
otros datos personales en “***URL.1”, sin el consentimiento de su titular.
SEGUNDO: El 1 de junio de 2020, en el seno del procedimiento de admisión
E/08088/2019 se da traslado de esta reclamación sin que se haya obtenido respuesta.
TERCERO: Con fecha 7 de octubre de 2020 se notifica el acuerdo de inicio de este
procedimiento, convirtiéndose el mismo en propuesta de resolución de conformidad
con los artículos 64.2.f) y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento
Administrativo Común de las Administraciones Públicas (LPACAP), al no efectuar
alegaciones en el plazo indicado.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección
de Datos en el presente procedimiento se consideran hechos probados los siguientes,
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada
autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD,
la Directora de la Agencia Española de Protección de Datos es competente para iniciar
y para resolver este procedimiento.
II
El artículo 6.1 del RGPD establece que para que el tratamiento sea lícito se
requerirá que el interesado de su consentimiento para el tratamiento de sus datos
personales para uno o varios fines específicos.
El artículo 4 del el Reglamento (UE) 2016/679 del Parlamento Europeo y del
Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo
que respecta al tratamiento de datos personales y a la libre circulación de estos datos
(Reglamento General de Protección de Datos, en adelante RGPD), bajo la rúbrica
“Definiciones”, dispone que:
“A efectos del presente Reglamento se entenderá por:
1) «datos personales»: toda información sobre una persona física identificada o
identificable («el interesado»); se considerará persona física identificable toda persona
cuya identidad pueda determinarse, directa o indirectamente, en particular mediante
un identificador, como por ejemplo un nombre, un número de identificación, datos de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/7
localización, un identificador en línea o uno o varios elementos propios de la identidad
física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;
2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas
sobre datos personales o conjuntos de datos personales, ya sea por procedimientos
automatizados o no, como la recogida, registro, organización, estructuración,
conservación, adaptación o modificación, extracción, consulta, utilización,
comunicación por transmisión, difusión o cualquier otra forma de habilitación de
acceso, cotejo o interconexión, limitación, supresión o destrucción;”
Por lo tanto, de conformidad con dichas definiciones, la recogida de datos de
carácter personal a través de formularios incluidos en una página web constituye un
tratamiento de datos, respecto del cual el responsable del tratamiento ha de dar
cumplimiento a lo previsto en el artículo 13 del RGPD, precepto que ha desplazado
desde el 25 de mayo de 2018 al artículo 5 de la Ley Orgánica 15/1999, de 13 de
diciembre, de Protección de Datos de Carácter Personal.
En relación con este asunto, se observa que la Agencia Española de
Protección de Datos tiene a disposición de los ciudadanos, la Guía para el
cumplimiento del deber de informar (https://www.aepd.es/media/guias/guia-modelo-
clausula-informativa.pdf) y, en caso de realizar tratamientos de datos de bajo riesgo, la
herramienta gratuita Facilita (https://www.aepd.es/herramientas/facilita.html).
En este sentido, el artículo 4.11 del RGPD define el «consentimiento del
interesado» como toda manifestación de voluntad libre, específica, informada e
inequívoca por la que el interesado acepta, ya sea mediante una declaración o una
clara acción afirmativa, el tratamiento de datos personales que le conciernen.
Por su parte el artículo 7.1 del RGPD establece que “cuando el tratamiento se
base en el consentimiento del interesado, el responsable deberá ser capaz de
demostrar que aquel consintió el tratamiento de sus datos personales.”
En esta línea, el artículo 6 de la LOPDGDD establece que de conformidad con
lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por
consentimiento del afectado toda manifestación de voluntad libre, específica,
informada e inequívoca por la que este acepta, ya sea mediante una declaración o una
clara acción afirmativa, el tratamiento de datos personales que le conciernen.
El artículo 13 del RGPD, precepto en el que se determina la información que
debe facilitarse al interesado en el momento de la recogida de sus datos, dispone:
“1.Cuando se obtengan de un interesado datos personales relativos a él, el
responsable del tratamiento, en el momento en que estos se obtengan, le facilitará
toda la información indicada a continuación:
a) la identidad y los datos de contacto del responsable y, en su caso, de su
representante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales y la base
jurídica del tratamiento;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/7
d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los
intereses legítimos del responsable o de un tercero;
e) los destinatarios o las categorías de destinatarios de los datos personales,
en su caso;
f) en su caso, la intención del responsable de transferir datos personales a un
tercer país u organización internacional y la existencia o ausencia de una decisión de
adecuación de la Comisión, o, en el caso de las transferencias indicadas en los
artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las
garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o
al hecho de que se hayan prestado.
2. Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado, en el momento en que se obtengan los datos
personales, la siguiente información necesaria para garantizar un tratamiento de datos
leal y transparente:
a) el plazo durante el cual se conservarán los datos personales o, cuando no
sea posible, los criterios utilizados para determinar este plazo;
b) la existencia del derecho a solicitar al responsable del tratamiento el acceso
a los datos personales relativos al interesado, y su rectificación o supresión, o la
limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la
portabilidad de los datos;
c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el
artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en
cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el
consentimiento previo a su retirada;
d) el derecho a presentar una reclamación ante una autoridad de control;
e) si la comunicación de datos personales es un requisito legal o contractual, o
un requisito necesario para suscribir un contrato, y si el interesado está obligado a
facilitar los datos personales y está informado de las posibles consecuencias de que
no facilitar tales datos;
f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a
que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información
significativa sobre la lógica aplicada, así como la importancia y las consecuencias
previstas de dicho tratamiento para el interesado.
3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de
datos personales para un fin que no sea aquel para el que se recogieron,
proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información
sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2.
4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en
la medida en que el interesado ya disponga de la información”.
Por su parte, el artículo 11 de la LOPDGDD, dispone lo siguiente:
“1. Cuando los datos personales sean obtenidos del afectado el responsable
del tratamiento podrá dar cumplimiento al deber de información establecido en el
artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica
a la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/7
medio que permita acceder de forma sencilla e inmediata a la restante información.
2. La información básica a la que se refiere el apartado anterior deberá
contener, al menos:
a) La identidad del responsable del tratamiento y de su representante, en su
caso.
b) La finalidad del tratamiento.
c) La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22
del Reglamento (UE) 2016/679.
Si los datos obtenidos del afectado fueran a ser tratados para la elaboración de
perfiles, la información básica comprenderá asimismo esta circunstancia. En este
caso, el afectado deberá ser informado de su derecho a oponerse a la adopción de
decisiones individuales automatizadas que produzcan efectos jurídicos sobre él o le
afecten significativamente de modo similar, cuando concurra este derecho de acuerdo
con lo previsto en el artículo 22 del Reglamento (UE) 2016/679.”
III
Esta reclamación se centra en que se ha publicado imágenes de la reclamante
sin consentimiento en la página web ***URL.1.
Manifiesta, además, que tanto el aviso legal y la política de privacidad de la
página web ***URL.1 no es acorde a la normativa de protección de datos.
De conformidad con las evidencias de las que se dispone, se considera que los
hechos conocidos son constitutivos de dos infracciones imputables al reclamado, una
primera infracción por una vulneración del artículo 6 del RGPD, por el tratamiento de
sus datos personales sin su consentimiento, y otra segunda infracción por la
vulneración del artículo 13 del RGPD, por carecer la política de privacidad de la página
web objeto de la presente reclamación, de los requisitos exigidos en cuanto al
tratamiento de datos de carácter personal, indicados en el fundamento II.
IV
El artículo 72.1.b) y h) de la LOPDGDD señala que “en función de lo que
establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y
prescribirán a los tres años las infracciones que supongan una vulneración sustancial
de los artículos mencionados en aquel y, en particular, las siguientes:
b) El tratamiento de datos personales sin que concurra alguna de las
condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento
(UE) 2016/679.
h) La omisión del deber de informar al afectado acerca del tratamiento de sus
datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento
(UE) 2016/679 y 12 de esta ley orgánica.”
V
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/7
Cada infracción puede ser sancionada con multa de 20 000 000 € como
máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como
máximo del volumen de negocio total anual global del ejercicio financiero anterior,
optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD.
Asimismo, se considera que procede graduar cada sanción a imponer de
acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD:
Como agravantes los siguientes:
En el presente caso estamos ante acción negligente no intencional, pero signifi-
cativos identificados (artículo 83.2 b)
Se encuentran afectados identificadores personales básicos -imagen-(art 83.2
g)
Por lo tanto, a tenor de lo anteriormente expuesto,
Por la Directora de la Agencia Española de Protección de Datos,
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a B.B.B., con NIF ***NIF.1, por la infracción del artículo 6 del
RGPD, una multa de de cinco mil euros (5.000 €), y por el artículo 13 del RGPD, una
multa de cuatro mil euros (4.000 €), tipificadas ambas en el artículo 83.5 del RGPD.
SEGUNDO: NOTIFICAR la presente resolución a B.B.B..
TERCERO: Advertir al sancionado que deberá hacer efectiva las sancione impuestas
una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en
el art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/7
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es