1/13
Procedimiento Nº: PS/00410/2020
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes:
ANTECEDENTES
PRIMERO: Doña A.A.A. (en adelante, la parte reclamante), con fecha 25 de
septiembre de 2020, interpuso reclamación ante la Agencia Española de Protección de
Datos.
La reclamación se dirige contra Don B.B.B., con NIF ***NIF.1, (en adelante, la parte
reclamada). Los motivos en que basa la reclamación son los siguientes:
Publicar en el sitio web ***URL.1 datos personales de la reclamante sin su autoriza-
ción o consentimiento entre los que se incluyen fotografías, notas personales y refe-
rencia a sus relaciones sexuales mantenidas con el reclamado. Aporta datos del posi-
ble responsable de este sitio web con el que se encuentra en proceso de divorcio.
Que según el denunciante tuvieron lugar a fecha de: entre el 11 de marzo de 2020 y el
momento de la reclamación
SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documen-
tos aportados por el reclamante / de los hechos y documentos de los que ha tenido co-
nocimiento esta Agencia, la Subdirección General de Inspección de Datos procedió a
la realización de actuaciones previas de investigación para el esclarecimiento de los
hechos en cuestión, en virtud de los poderes de investigación otorgados a las autorida-
des de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General
de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el
Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre,
de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
Como resultado de las actuaciones de investigación practicadas, se constata que el
responsable del tratamiento es la parte reclamada.
Como resultado de las actuaciones de investigación practicadas, se constata que el
responsable del tratamiento es el reclamado.
Con fecha 16 de octubre de 2020 se constatan los extremos denunciados
encontrándose en el sitio web numerosas fotografías diseminadas por todo el
sitio, muchas notas personales de la reclamada y referencias a su actividad
sexual.
Se genera diligencia con impresión de pantalla de las páginas “Portada”,
“Comienzos”, “Sus notas” y algunas fotos de la Galería.
Con fecha de 19 de octubre de 2020 se acuerda por esta Agencia notificar a la entidad
de alojamiento Internet del sitio web medida cautelar de retirada del contenido
reclamado.
Con fecha de 20 de octubre se notifica a esta entidad.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/13
Con fecha de 21 de octubre de 2020 se comprueba que el sitio web ha sido
cerrado.
No existe ninguna página ni documento en este sitio web donde se especifique
el responsable del sitio. No obstante, se realiza una búsqueda mediante la
herramienta WHOIS obteniendo resultado coincidente en nombre y apellidos
con el reclamado, como titular del dominio “***URL.1”.
Realizado requerimiento de información de los datos completos de la titularidad
del dominio “***URL.1” a la entidad pública empresarial RED.ES, con fecha de
28 de octubre de 2020 se recibe en esta Agencia escrito de contestación
remitido por RED.ES informando de los datos del titular del dominio resultando
ser coincidentes con los datos del reclamado.
TERCERO: Con fecha 25 de febrero de 2021, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arre-
glo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Pro-
cedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPA-
CAP), por la presunta infracción del Art 6.1.a) del RGPD, tipificada en el Art 83.5 del
RGPD.
CUARTO: Notificado el citado acuerdo de inicio, la parte reclamada presentó escrito de
alegaciones en el que, en síntesis, manifiesta lo siguiente:
1. Que desde el mes de marzo de 2020 es titular del dominio ***URL.1; en ese
dominio se han incluido textos y fotografías de la relación mantenida durante 7
años con la parte reclamante, los dos últimos ya casados. El proceso de
divorcio, que le resultó muy doloroso, le llevó a crear la página mencionada con
la esperanza de recordar los buenos momentos y reconciliarse. Ello lo acredita
que no hay reproches ni insultos. La página no tenía la finalidad de ser visitada,
sino que iba dirigida a una única destinataria, como así fue; carecía de interés
para terceras personas. Por lo que se aplicaría la excepción del artículo 4.a) de
la LOPDGDD, al tratarse de algo personal y doméstico. La normativa europea
se diseñó para las grandes corporaciones o empresas que hacen uso masivo
de datos. La parte reclamante puede solicitar la retirada de una información al
responsable de su publicación, pero no cabe sancionarlo por ello. Solo podría
denunciarse ante los Tribunales civiles por vulneración de la intimidad y el
honor.
2. Recoge en el acuerdo de inicio la Agencia, el artículo 4, apartados 1 y 2 del
RGPD, olvidando que en la publicación no se incluyen los apellidos de la recla-
mante, solo su nombre de pila, por lo que es algo anónimo. En la publicación
aparecen 44 fotografías, 36 en las que están juntos o con otras personas y 8
en las que aparece ella sola, pero con el rostro pixelado. En cualquier caso, tra-
tándose de fotografías del círculo íntimo, han de considerarse domésticas. Las
imágenes no identifican ni hacen identificable a la parte reclamante.
3. Si se considerase que se podría haber vulnerado el artículo 6 del RGPD, acom-
paña un contrato suscrito entre ambas partes en el año 2013, en el que con-
siente en la difusión de imágenes, fotografías o vídeos en cualquier modalidad
o formato. Así se recoge en el punto 10 del contrato. La página ha estado ope-
rativa hasta que se dictó la sentencia de divorcio; y en ningún momento se diri-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/13
gió a solicitar su cancelación.
4. Se han tenido en consideración a la hora de imponer la sanción los siguientes
agravantes: a) la naturaleza, gravedad y duración de la infracción, teniendo en
cuenta la naturaleza, alcance o propósito de la operación de tratamiento de
que se trate así como el número de interesados afectados y el nivel de los da-
ños y perjuicios que hayan sufrido; naturaleza y gravedad que valora subjetiva-
mente la agencia, debiendo tener en cuenta la duración, que ha sido breve, el
alcance limitado ya que no se ha difundido, el propósito que era la reconcilia-
ción. La parte reclamada no ha indicado que daños y perjuicios se han ocasio-
nado. En cuanto a la intencionalidad o negligencia, ha de valorarse que se han
pixelado las imágenes para evitar el reconocimiento por terceros. Muestra su
disconformidad con los agravantes aplicados.
El documento acreditativo que aporta la parte reclamada para demostrar que contaba
con el consentimiento de la parte reclamante, se denomina “Contrato de sumisión
BDSM”, en el que la parte reclamante, en uso de las facultades y dándole valor con-
tractual, se entrega a su amo, dueño, señor y maestro (el reclamado), como
esclava/sumisa, cediéndole todos los derechos sobre su persona. De otra parte, el re-
clamado toma posesión del cuerpo y mente de la reclamante, considerándola de su
propiedad. En el apartado 10 se indica lo siguiente:
“Renuncio a todo derecho de intimidad u ocultamiento. Si mi amo decide exhi-
birme ante otras personas me mostrare ante ellas en los términos que se me indique,
asumiendo que incluso pueda ser a cara descubierta. Esta renuncia incluye fotografías
y videos míos o de mi persona en cualquier situación o forma, aceptando que mi Amo
y Señor pueda mostrarlos. Si mi Amo y Señor decide hacer públicas imágenes de mí
(fotografías o videos), en todos mis actos como su sumisa/esclava, lo consideraré un
honor. También es potestad de mi Amo y Señor castigarme, poseerme y someterme
públicamente para gozar de mi plena sumisión”
En el “Contrato de sumisión BDSM”, aparece un apartado de “Terminación del Contra-
to de Sumisión” en el que se indica: Este Contrato puede darse por terminado en cual-
quier momento por cualquiera de ambas partes.
QUINTO: Con fecha 22 de marzo de 2021, el instructor del procedimiento acordó la
apertura de un período de práctica de pruebas, teniéndose por incorporadas las
actuaciones previas de investigación, E/08354/2020, así como los documentos
aportados por el reclamado, en fecha 18 de marzo de 2021.
SEXTO: Con fecha 3 de abril de 2021 se formuló propuesta de resolución,
proponiendo que por la Directora de la Agencia Española de Protección de Datos se
sancionase a la parte reclamada con una multa de 10.000 euros, por una infracción del
Artículo 6.1.a) del RGPD, tipificada en el Artículo 83.5 del RGPD, y calificada de
infracción muy grave, a efectos de prescripción, por el artículo 72.1.b) de la
LOPDGDD.
La parte reclamada presentó escrito de alegaciones, en el que señala lo siguiente:
“El Sr. Instructor entiende que no es aplicable al caso la causa legitimadora del trata-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/13
miento de datos contenida en el artículo 6.1.b) del RGPD argumentando para ello que,
aunque el contrato firmado entre las partes (documento núm. 1 aportado en anterior
escrito de alegaciones) pudiese considerarse válido para el tratamiento de imágenes,
dicho contrato quedó resuelto por la propia reclamante al solicitar el divorcio del recla-
mado. Hay que suponer que para llegar a esa conclusión se entiende de aplicación el
artículo 102 Código Civil que estipula que uno de los efectos de la admisión de la de-
manda de nulidad, separación o divorcio es la revocación de los consentimientos y po-
deres que cualquiera de los cónyuges hubiera otorgado al otro…
De acuerdo con el apartado 2 del artículo 2 de la Ley Orgánica 15/1.999, de 13 de di-
ciembre (LOPD), el régimen de protección de los datos de carácter personal que se
establece en la Ley Orgánica no será de aplicación: A los ficheros mantenidos por per-
sonas físicas en el ejercicio de actividades exclusivamente personales o domésticas.
Pues bien, en el presente caso no hay más datos personales de la reclamante que
una serie de fotografías pixeladas, y eso implica que no existen apellidos, direcciones,
actividades, referencias o cualquier otro elemento susceptible de conocimiento o em-
pleo por terceros, lo que impide que sus derechos se puedan ver afectados de ningu-
na manera. Por otro lado, se trata de ficheros mantenidos por una persona física "par-
ticular", de modo que no ha existido un tratamiento profesional, mercantil o industrial,
no ha intervenido empresa alguna, y el tratamiento se ha realizado en el ámbito exclu-
sivo de una actividad personal o doméstica.
Como bien señala el Sr. Instructor, el artículo 83.2 del RGPD dispone que al decidir la
imposición de una multa administrativa y su cuantía en cada caso individual se ten-
drán en cuenta los factores agravantes y atenuantes que se relacionan en dicho artí-
culo, así como cualquier otro que pueda resultar aplicable a las circunstancias del
caso. Respecto a los agravantes fundamentos de derecho de la aplicados al expedien-
te, en los propuesta de sanción se incide en primer lugar, y en forma literal, a la dura-
ción de la infracción, pero el RGPD habla más específicamente del "carácter continua-
do de la infracción", es decir, alude al número de ocasiones en las que el reclamado
haya realizado la infracción y, es el caso, que el reclamado efectuó una única y exclu-
siva publicación sin añadiduras ni otras intervenciones ulteriores, por lo que la actua-
ción tuvo una carácter aislado con independencia de que ras fotografías permanecie-
ran en la página durante los siete meses que estuvo vigente.
En cuanto a la intencionalidad, no parece que el Reglamento aluda a que el infractor lo
haya hecho con una u otra finalidad, tal y como interpreta el Instructor, sino a la exis -
tencia o no de negligencia, de modo que, aunque el desconocimiento de la Ley no exi-
ma de su cumplimiento, se haya de tener en cuenta si el presunto infractor es una per-
sona física que no trata datos habitualmente.
La misma indeterminación cabe apreciar respecto ar criterio de gravedad de la infrac-
ción y, más aún si, como indica el instructor, dicha gravedad está en función de lo da-
ños y perjuicios sufridos por la reclamante, ya que en el expediente no parece constar
la menor acreditación al respecto.
En cualquier caso, la sanción propuesta incumple lo previsto en los artículos 83.3 y
83.2 del RGPD en tanto prescinde totalmente del principio de proporcionalidad y atien-
de exclusivamente a un mero afán recaudatorio en el que se omite un mínimo y pru-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/13
dente examen de las circunstancias económicas del presunto infractor.
El reclamado dispone como únicos ingresos de lo que obtiene a través de su trabajo
asalariado que, como se aprecia a través de las nóminas que se acompañan como do-
cumento núm. 1, apenas supera los 1.000,00 euros mensuales.
HECHOS PROBADOS
PRIMERO: Con fecha 25 de septiembre de 2020, la reclamante interpuso reclamación
ante la Agencia Española de Protección de Datos, dirigida contra el reclamado. El
motivo es la publicación en el sitio web ***URL.1, de datos personales de la
reclamante sin su autorización o consentimiento, entre los que se incluyen fotografías,
notas personales y referencia a sus relaciones sexuales mantenidas con el reclamado.
Aporta datos del posible responsable de este sitio web con el que se encuentra en
proceso de divorcio contencioso.
Que según la reclamante tuvieron lugar a fecha de: entre el 11 de marzo de 2020 y el
momento de la reclamación.
SEGUNDO: Con fecha 16 de octubre de 2020 se constatan los extremos denunciados
encontrándose en el sitio web numerosas fotografías diseminadas por todo el sitio,
muchas notas personales de la reclamada y referencias a su actividad sexual.
Se genera diligencia con impresión de pantalla de las páginas “Portada”, “Comienzos”,
“Sus notas” y algunas fotos de la Galería.
En las capturas de pantalla se constata que, aunque se ha intentado en algunas
fotografías su pixelado, la imagen de la reclamante es absolutamente identificable.
TERCERO: Con fecha de 19 de octubre de 2020, se acordó por esta Agencia notificar
a la entidad de alojamiento Internet del sitio web medida cautelar de retirada del
contenido reclamado. Con fecha de 20 de octubre se notifica y con fecha de 21 de
octubre de 2020 se comprueba que el sitio web ha sido cerrado.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), reconoce a cada
Autoridad de Control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), la Directora de la Agencia
Española de Protección de Datos es competente para iniciar y resolver este
procedimiento.
El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la
Agencia Española de Protección de Datos se regirán por lo dispuesto en el
Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/13
II
La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato
personal y su protección, por tanto, es objeto de dicho Reglamento.
El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto
de operaciones realizadas sobre datos personales o conjuntos de datos personales,
ya sea por procedimientos automatizados o no, como la recogida, registro,
organización, estructuración, conservación, adaptación o modificación, extracción,
consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.”
La grabación y difusión de imágenes, que identifican o hacen identificable a una
persona, en las redes sociales o sitios web, supone un tratamiento de datos
personales y, por tanto, la persona que lo hace tiene que ampararse en alguna de las
causas legitimadoras señaladas en el artículo 6 del RGPD. En estos supuestos, como
en el caso objeto de reclamación, la única causa legitimadora suele ser el
consentimiento, en general. Y es la persona que graba y sube las imágenes a una
página web la que debe demostrar que cuenta con ese consentimiento.
Para que se pueda llevar a cabo lícitamente ese tratamiento tiene que cumplirse lo
establecido en el artículo 6.1 del RGPD, que indica:
<<1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos
personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal
aplicable al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o
de otra persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable del
tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos
perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre
dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del interesado que requieran la protección de datos personales, en
particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al
tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.>>.
El artículo 7 del RGPD establece, en su primer apartado lo siguiente: “1. Cuando el
tratamiento se base en el consentimiento del interesado, el responsable deberá ser
capaz de demostrar que aquel consintió el tratamiento de sus datos personales”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/13
Por otro lado, el apartado primero del artículo 7 de la LOPDGDD especifica como ha
de ser este consentimiento: “1. De conformidad con lo dispuesto en el artículo 4.11 del
Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda
manifestación de voluntad libre, específica, informada e inequívoca por la que este
acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento
de datos personales que le conciernen.”
III
De conformidad con las acreditaciones de las que se dispone en el presente momento
del procedimiento sancionador, se considera que el reclamado no obtuvo un consenti-
miento válido de la reclamante para el tratamiento de sus datos personales que se ha
constatado que se produjo al publicarse en el sitio web ***URL.1 fotografías, notas
personales y referencia a sus relaciones sexuales mantenidas con el reclamado de la
reclamante, una vez que se había producido la separación e iniciado el proceso de di-
vorcio contencioso; ni tampoco estaba legitimado por la relación contractual que man-
tenían a partir del momento de la ruptura de la pareja.
Los hechos conocidos podrían ser constitutivos de una infracción, imputable al recla-
mado, por vulneración del art 6.1 reseñado, al no haber consentimiento para el trata-
miento de los datos efectuado ni ninguna otra causa que legitimase dicho tratamiento.
En relación con el documento acreditativo que aporta la parte reclamada para
demostrar que contaba con el consentimiento de la parte reclamante, debemos partir
del artículo 10 de la Constitución Española, que afirma, en su apartado primero que
“La dignidad de la persona, los derechos inviolables que le son inherentes, el libre
desarrollo de la personalidad, el respeto a la ley y a los derechos de los demás son
fundamento del orden político y de la paz social” mientras que el apartado segundo
añade que “Las normas relativas a los derechos fundamentales y a las libertades que
la Constitución reconoce se interpretarán de conformidad con la Declaración Universal
de Derechos Humanos y los tratados y acuerdos internacionales sobre las mismas
materias ratificados por España”. En este sentido, el artículo 1 de la Carta de los
Derechos Fundamentales de la Unión Europea afirma que “La dignidad humana es
inviolable. Será respetada y protegida”.
El Tribunal Constitucional señaló en su Sentencia 94/1998, de 4 de mayo, que
mediante derecho fundamental a la protección de datos se garantiza a la persona el
control sobre sus datos, cualesquiera datos personales, y sobre su uso y destino, para
evitar el tráfico ilícito de los mismos o lesivo para la dignidad y los derechos de los
afectados. Previamente, en su Sentencia 57/1994, de 28 de febrero, el Tribunal
Constitución había afirmado que “la regla del art. 10.1 C.E., proyectada sobre los
derechos individuales, implica que la dignidad ha de permanecer inalterada cualquiera
que sea la situación en que la persona se encuentre, constituyendo, en consecuencia,
un minimum invulnerable que todo estatuto jurídico debe asegurar, de modo que las
limitaciones que se impongan en el disfrute de derechos individuales no conlleven un
menosprecio para la estima que, en cuanto ser humano, merece la persona”.
Por tanto, la dignidad humana, inviolable, y los derechos fundamentales que le son
inherentes, entre los que encontramos el de protección de datos personales, son
fundamento del orden político. En relación con el contrato aportado por la parte
reclamada, en el que la reclamante renuncia a “su intimidad” y a la protección de su
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/13
imagen y, en general, a “todos los derechos sobre su persona”, entregándose como
“esclava/sumisa”, debemos concluir que el mismo carece de cualquier validez
contractual. En este sentido, el artículo 6 del Código Civil establece que la exclusión
voluntaria de la Ley aplicable y la renuncia a los derechos en ella reconocidos sólo
serán válidas cuando no contraríen el interés o el orden público ni perjudiquen a
terceros. En atención a lo ya manifestado, la renuncia a estos derechos fundamentales
se reputa contraria al orden público, lo que conlleva su falta de validez.
En cuanto a las alegaciones de la parte reclamada referidas, en primer lugar, a que no
se aplica el RGPD ya que se aplica a la realización del tratamiento la excepción do-
méstica, según lo establecido en el artículo 2.2 del RGPD y artículo 2.2.a) de la LO-
PDGDD, hay que señalar lo siguiente: dice al artículo 2.2 del RGPD:
“2. El presente Reglamento no se aplica al tratamiento de datos personales:
c) efectuado por una persona física en el ejercicio de actividades exclusiva-
mente personales o domésticas”.
Esta Agencia, en cambio, considera que la actuación de la persona reclamada no pue-
de incluirse en esta excepción.
Para definir qué ha de considerarse como tratamiento de carácter exclusivamente per-
sonal o doméstico, aunque puede descartarse en este caso la aplicación de aquellos
preceptos sin necesidad de entrar en ese análisis, es conveniente tener en cuenta la
doctrina del TJUE declarada en las sentencias Lindqvist, Rynes y Testigos de Jehová
(STJUE de 10 de julio de 2018, C-25/17).
De acuerdo con estas sentencias, cabe considerar que el TJUE entiende, con carácter
general, que la excepción de actividades de carácter exclusivamente personal o do-
méstico ha de ser interpretada en sentido estricto, tan solo cuando el tratamiento de
datos afecte “incidentalmente” a la vida privada o intimidad de “otras personas”, distin-
tas del responsable que trata los datos personales. También se dice por parte del Tri-
bunal que el carácter de actividades personales o domésticas no se define exclusiva-
mente por oposición a la difusión de los datos, sino que esa difusión implica que un
tratamiento de datos personales relativo a la vida privada o familiar de los particulares
no pueda ser considerado excluido de la normativa protectora, de modo que puede ha-
ber otros casos en que aun tratándose datos personales de carácter personal o do-
méstico, este no pudiera entenderse incluido dentro de la excepción prevista en el artí-
culo 2.2 c) del RGPD.
No cabe perder de vista cuál es el tratamiento de datos personales que se realiza en el
presente caso consiste en la publicación y difusión de imágenes y notas privadas en
un sitio web que podía ser accedido por terceros. Como puede verse, en este caso no
es que la vida privada o la intimidad de otra persona quede “incidentalmente” afectada,
sino que el objeto mismo de este tratamiento de datos es, precisamente, la imagen de
la reclamada. Es decir, el tratamiento de los datos personales de la reclamada cuya
imagen se esta difundiendo contra su voluntad no es una mera molestia “incidental”
dentro de un tratamiento de datos más general, sino que el uso de sus datos persona-
les es precisamente el objetivo del tratamiento. Luego no cabe considerar en ningún
caso que dicho tratamiento de datos de la parte reclamante es meramente incidental,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/13
sino que se trata de un tratamiento “principal”.
La STJUE de 10 de julio de 2018, C-25/17, Testigos de Jehová, establece una inter-
pretación acerca del concepto de actividades exclusivamente personales o domésticas
y dice así:
42 Como ha declarado el Tribunal de Justicia, el artículo 3, apartado 2, segundo guion,
de la Directiva 95/46 debe interpretarse en el sentido de que contempla únicamente
las actividades que se inscriben en el marco de la vida privada o familiar de los parti-
culares. A este respecto, no procederá considerar que una actividad es exclusivamen-
te personal o doméstica, a efectos de dicho precepto, cuando tenga por objeto permitir
a un número indeterminado de personas el acceso a datos personales o cuando la ac-
tividad se extienda, aunque sea en parte, al espacio público y esté por tanto dirigida
hacia el exterior de la esfera privada de la persona que procede al tratamiento de los
datos (véanse, en este sentido, las sentencias de 6 de noviembre de 2003, Lindqvist,
C-101/01, EU:C:2003:596, apartado 47; de 16 de diciembre de 2008, Satakunnan Ma-
rkkinapörssi y Satamedia, C-73/07, EU:C:2008:727, apartado 44, y de 11 de diciembre
de 2014, Ryneš, C-212/13, EU:C:2014:2428, apartados 31 y 33).
La Sentencia del TJUE de 6/11/2003, “Lindqvist” se refiere al supuesto de una persona
física, que trabajaba como voluntaria en una iglesia como catequista en Suecia. Esta
persona había creado una página web propia en internet, abierta a cualquiera, en la
que en un tono humorístico hacía referencia a sus compañeros de voluntariado en la
iglesia, revelando sus nombres, números de teléfono, aficiones, y en algún caso co-
mentó que una compañera suya estaba de baja por una herida o enfermedad en un
pie, lo que fue considerado como un dato de salud. Y se refiere a si este tipo de actua-
ciones estarían excluidas de la aplicación de la normativa de protección de datos si se
consideran actividades exclusivamente personales o domésticas, indicando:
“30. La Sra. Lindqvist sostiene que un particular que, en el ejercicio de su libertad de
expresión, crea diversas páginas web en el marco de una actividad sin ánimo de lucro
o en su tiempo de ocio, no realiza una actividad económica y, por tanto, su conducta
no está sujeta al Derecho comunitario…
31. El Gobierno sueco alega que, al adaptar el Derecho interno a la Directiva 95/46, el
legislador sueco considero que el tratamiento, por una persona física, de datos perso-
nales que consiste en transmitir dichos datos a un número indeterminado de destinata-
rios, por ejemplo, por medio de Internet, no puede calificarse de ≪actividades exclusi -
vamente personales o domesticas≫ en el sentido del artículo 3, apartado 2, segundo
guion, de la Directiva 95/46…
45. Pues bien, las actividades voluntarias o religiosas como las que realiza la Sra. Lin-
dqvist no pueden equipararse a las actividades citadas en el primer guion del artículo
3, apartado 2, de la Directiva 95/46 y, por tanto, no están comprendidas en dicha ex-
cepción.
46 En cuanto a la excepción prevista en el segundo guion del artículo 3, apartado 2,
de la Directiva 95/46, en el duodécimo considerando de esta última, relativo a dicha
excepción, se citan como ejemplos de tratamiento de datos efectuado por una persona
física en el ejercicio de actividades exclusivamente personales o domesticas la corres-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/13
pondencia y la llevanza de un repertorio de direcciones. Esta excepción debe interpre-
tarse en el sentido de que contempla únicamente las actividades que se inscriben en
el marco de la vida privada o familiar de los particulares; evidentemente, no es este el
caso de un tratamiento de datos personales consistente en la difusión de dichos datos
por Internet de modo que resulten accesibles a un grupo indeterminado de personas.”
Por tanto, a la actividad realizada por la parte reclamante le es plenamente aplicable el
RGPD, ya que no puede considerarse una actividad personal o doméstica.
En segundo lugar, alega la parte reclamante que pixeló las imágenes para que no se
identificase a la reclamada. En la documentación que forma parte del procedimiento,
se han obtenido las imágenes tal y como aparecían publicadas en el sitio web recla-
mado, comprobándose que la reclamada es absolutamente identificable en las fotogra-
fías publicadas.
IV
La vulneración del artículo 6.1 del RGPD se encuentra tipificada en el artículo 83 del
RGPD que, bajo la rúbrica “Condiciones generales para la imposición de multas admi-
nistrativas”, señala:
“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo
con el apartado 2, con multas administrativas de 20.000.000 Euros como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) Los principios básicos para el tratamiento, incluidas las condiciones para el consen-
timiento a tenor de los artículos 5,6,7 y 9.”
La LOPDGDD en su artículo 72.1.b) califica esta infracción, a efectos de prescripción,
como infracción muy grave.
En la determinación de la multa administrativa que correspondería imponer se han de
observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que seña-
lan:
“Cada autoridad de control garantizará que la imposición de las multas adminis-
trativas con arreglo al presente artículo por las infracciones del presente Reglamento
indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcio-
nadas y disuasorias.”
“Las multas administrativas se impondrán, en función de las circunstancias de
cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa admi-
nistrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y perjui-
cios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/13
c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamien-
to, habida cuenta de las medidas técnicas u organizativas que hayan aplicado
en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tra-
tamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner re-
medio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción,
en particular si el responsable o el encargado notificó la infracción y, en tal
caso, en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido orde-
nadas previamente contra el responsable o el encargado de que se trate en re-
lación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos
de certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción.”
Respecto al apartado k) del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “San-
ciones y medidas correctivas”, establece:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE)
2016/679 también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de da-
tos.
h) El sometimiento por parte del responsable o encargado, con carácter volun-
tario, a mecanismos de resolución alternativa de conflictos, en aquellos su-
puestos en los que existan controversias entre aquellos y cualquier interesa-
do.”
A efectos de fijar el importe de la sanción de multa que procede proponer que se im-
ponga al reclamado por la a infracción del RGPD que se le atribuye, se aprecia que
concurren los siguientes factores que operan agravando la antijuridicidad de su con-
ducta o su culpabilidad:
- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la na-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/13
turaleza, alcance o propósito de la operación de tratamiento de que se trate, así como
el número de interesados afectados y el nivel de los daños y perjuicios que hayan su-
frido;
- La intencionalidad o negligencia en la infracción;
Se aprecia en calidad de atenuante la circunstancia de la falta de vinculación de la ac-
tividad del infractor con la realización de tratamientos de datos personales.
En relación a las alegaciones de la parte reclamada sobre los agravantes aplicados,
no cabe ninguna duda acerca de la duración de la misma: desde el mes de marzo de
2020, hasta octubre del mismo año, momento en que un Inspector de Datos de la Ins-
pección de la Agencia Española de Protección de Datos se dirige al a la entidad de
alojamiento Internet del sitio web para pedir su supresión. La gravedad de la infracción
se debe apreciar desde el objetivo de la reclamante, no del reclamado, quedando
acreditado los daños y perjuicios sufridos.
Por otra parte, se trata de una actuación intencionada, como indica la parte reclamada,
al señalar que su intención era revertir la situación de la separación y recuperar a la
reclamante.
Acompaña la parte reclamada, las nóminas de algunos meses del año 2021. Se
constata que el salario neto es de alrededor de 1.300 euros mensuales.
Por proporcionalidad se suele entender, coloquialmente, la reducción de la sanción
impuesta. Sin embargo, ello no ha de ser necesariamente así: proporcionalidad
significa adecuación, mesura, ponderación y equilibrio. Por tanto, se vulnera este
principio no sólo cuando se mantiene el exceso cometido, sino también cuando aquélla
se reduce injustificadamente más de lo debido pues en este caso se llegaría a la
inoperancia de la sanción, privándola de los efectos persuasivos que la misma puede
ofrecer. Es por ello que el artículo 29.3 de la Ley 40/2015, al regular el principio de
proporcionalidad, utiliza la expresión “debida idoneidad y necesidad de la sanción a
imponer y su adecuación a la gravedad del hecho constitutivo de la infracción”.
De conformidad con el salario de la parte reclamada, la cuantía impuesta puede
considerarse desproporcionada, por lo que en aplicación del principio de
proporcionalidad es adecuado reducirla a la cuantía de 1.500 euros, para mantener el
carácter proporcionado y a la vez disuasorio que ha de garantizarse con la imposición
de las multas administrativas.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de gradua-
ción de las sanciones cuya existencia ha quedado acreditada,
La Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a Don B.B.B., con NIF ***NIF.1, por una infracción del Artículo
6.1.a) del RGPD, tipificada en el Artículo 83.5 del RGPD, y calificada de infracción muy
grave, a efectos de prescripción, por el artículo 72.1.b) de la LOPDGDD una multa de
1.500 € (mil quinientos euros).
SEGUNDO: NOTIFICAR la presente resolución a Don B.B.B..
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/13
TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Co-
mún de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago vo-
luntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Espa-
ñola de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso con-
trario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago vo-
luntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se en-
cuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los inte-
resados podrán interponer, potestativamente, recurso de reposición ante la Directora
de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde
el día siguiente a la notificación de esta resolución o directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional,
con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicio-
nal cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-
administrativa, en el plazo de dos meses a contar desde el día siguiente a la notifica-
ción de este acto, según lo previsto en el artículo 46.1 de la referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el interesa-
do manifiesta su intención de interponer recurso contencioso-administrativo. De ser
éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Re-
gistro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a
través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-adminis-
trativo en el plazo de dos meses desde el día siguiente a la notificación de la presente
resolución, daría por finalizada la suspensión cautelar.
938-131120
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es