¿Puede autorizarse la ocupación de la vía pública para la exposición de fotografías de personas tomadas sin su consentimiento? ¿Qué consecuencias habría?

Planteamiento

Desde hace años varios empresarios solicitan a este ayuntamiento autorización para ocupar el dominio público a fin de exponer las fotografías que obtienen de los ciudadanos en la vía pública en determinados eventos festivos (semana santa, romerías, etc). Tales fotografías son imágenes en primer plano de ciudadanos participantes en los festejos, sin que exista un claro consentimiento para su obtención, pues basta que el interesado no exteriorice una negativa. Posteriormente, esas fotos se exponen en la vía pública en unos soportes instalados a tal fin, con el propósito de que las fotografías sean adquiridas por cualquier persona (sea el reflejado en la imagen o no), lo cual puede dar lugar a una difusión no deseada, además de tratarse de personas identificables y con frecuencia menores de edad.

Hemos recibido algunas quejas de ciudadanos sobre la autorización de este tipo de actividades, pues no se trata de que aparezcan como imágenes accesorias del festejo, sino que se trata de fotografías en las que únicamente aparece el participante con la finalidad comercial antedicha.

Siendo la imagen un dato de carácter personal cuando permite identificar una persona concreta, ¿debemos denegar la autorización por razones de protección de datos? ¿Qué responsabilidad puede tener el ayuntamiento al propiciar con la autorización una actividad que puede infringir la normativa de protección de datos?

Respuesta

La LO 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales -LOPD 2018-, establece que el derecho fundamental de las personas físicas a la protección de datos personales, amparado por el art. 18.4 CE, se ejercerá con arreglo a lo establecido en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 y en la propia LOPD 2018. Así, las comunidades autónomas ostentan competencias de desarrollo normativo y ejecución del derecho fundamental a la protección de datos personales en su ámbito de actividad y a las autoridades autonómicas de protección de datos que se creen les corresponde contribuir a garantizar este derecho fundamental de la ciudadanía.

En segundo lugar, es también objeto de la LOPD 2018 garantizar los derechos digitales de la ciudadanía, al amparo de lo dispuesto en el art. 18.4 CE.

Como consecuencia de dicha previsión, el art. 6.1 LOPD 2018 es claro al señalar que, de conformidad con lo dispuesto en el art. 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen, mientras que el art. 6.2 LOPD 2018 dispone que cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas.

Por su parte, el art. 6.3 LOPD 2018 señala que no podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual.

Vemos, pues, que para que la administración pueda tratar datos personales, es preciso que se disponga del consentimiento expreso y manifiesto de la persona afectada.

En la vertiente de datos personales, el art. 9.1 del Reglamento 2016/679 parte de que quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.

Como puede observarse, en la vertiente de “datos biométricos dirigidos a identificar de manera unívoca a una persona física” se encuentran las imágenes.

Así, el tratamiento de dichos datos precisaría, con carácter previo, una evaluación de impacto en los términos del art. 35 del Reglamento 2016/679.

Por tanto, no procedería autorizar la ocupación de la vía pública en los términos planteados si no se acredita disponer del consentimiento expreso por parte de posibles afectados. Si no queda acreditado, pues, no cabe autorizar lo solicitado.

Si se autoriza de forma irregular dicha actuación, resultará de aplicación el régimen sancionador previsto en el art. 77 LOPD 2018, aplicable a los entes locales.

En ese sentido, el art. 77.2 LOPD 2018 prevé que cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los arts. 72 a 74 LOPD 2018, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el art. 58.2.i del Reglamento (UE) 2016/679.

La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso.

Por su parte, el art. 77.3 LOPD 2018 señala que, sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación.

Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el BOE o autonómico que corresponda.

El art. 77.4 LOPD 2018 dispone, además, que se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores, mientras que el apartado quinto prevé que se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo del art. 77 LOPD 2018.

Conclusiones

1ª. Para que la administración pueda tratar datos personales, es preciso que se disponga del consentimiento expreso y manifiesto de la persona afectada, en los términos del art. 6 LOPD 2018.

2ª. Asimismo, en su art. 9.1 el Reglamento 2016/679 parte de que quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.

3ª. Así, el tratamiento de dichos datos precisaría, además, con carácter previo, una evaluación de impacto en los términos del art. 35 del Reglamento 2016/679, por tanto, no procedería autorizar la ocupación de la vía pública en los términos planteados si no se acredita dispone del consentimiento expreso por parte de posibles afectados.

4ª. Si se autoriza de forma irregular dicha actuación, resultará de aplicación el régimen sancionador previsto en el art. 77 LOPD 2018, aplicable a los entes locales.