AEPD 17/09/2024
Se presenta reclamación por unas profesoras de instituto por aparecer en una fotografía realizada en un acto público celebrado en la instalación educativa y que fue posteriormente utilizado en el programa electoral de un partido político sin su consentimiento.
La AEPD le impone al partido político una multa administrativa por infracción del art. 6.1 RGPD, al no constar acreditado que se diera ninguno de los supuestos que permiten considerar lícito el tratamiento de datos personales. Infracción que resulta agravada, por una parte, por el hecho de tratarse de una falta de diligencia grave, al haberse obtenido la imagen con una finalidad y haberse usado para otra diferenciada, para la que ya comunicaron previamente las afectadas que no daban su consentimiento, y, por otra, porque el derecho de una persona a la protección de su imagen constituye una de las condiciones esenciales de su realización personal y presupone en especial el control por parte de la persona sobre su propia imagen, lo cual incluye la posibilidad de impedir su difusión.
Número de documento: EXP202308206
Fecha de documento: 17/09/2024
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes
PRIMERO: Escrito de reclamación y documentación que acompaña.
A.A.A.(en adelante, la parte reclamante) con fecha 22/05/2023 (lunes) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra PARTIDO POPULAR con NIF G********* (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes:
La parte reclamante expone que el PARTIDO POPULAR ha utilizado su imagen sin su consentimiento para su programa electoral en el Ayuntamiento de Mos. Como (…) en el programa ***PROGRAMA.1 en (…). La Alcaldesa y la Concejala de Educación, asistieron en abril como representantes del Ayuntamiento a un acto de bienvenida de un profesor extranjero en el marco del Programa ***PROGRAMA.1 y se hicieron fotografías que se publicaron en las redes del Concello de Mos.
Ante el interés de la Concejala en dicho programa, y en una conversación, lo relacionó con el programa electoral del PP de Mos, desde el Instituto, le respondieron que no tenían inconveniente en su utilización por el Ayuntamiento pero que no querían aparecer en un programa electoral. “Según supimos el pasado viernes ( XX/XX /2023), el partido reclamado, sin embargo, ha utilizado la fotografía sin su autorización para el programa electoral y también la han publicado en Facebook.”
Aporta:
- Un mensaje de 9/05/2023 en WhatsApp, pidiendo, a XXXXX, que “hoy hablé con el XXXXXXX y también con A.A.A. también del proyecto ***PROGRAMA.1, queríamos deciros que el “programa ***PROGRAMA.1 no debe aparecer en un programa electoral de un partido político”, “debe poder ser apoyado por el Concello como institución pública, pero no relacionado con ningún partido político de ninguna ideología” “Por favor no lo uses”.
- Se acompañan dos fotografías de las hojas en XXXXX del programa electoral del PP MOS, 2023/2027, “vota Mos, vota XXXXX”, pudiéndose ver en sección EDUCACIÓN, sus propuestas, sin mención ninguna del proyecto ***PROGRAMA.1, aunque si a un programa municipal de inmersión lingüística con un viaje a un país de habla inglesa para el alumnado de secundaria, y con la fotografía en su parte inferior, en la que figuran dos hombres y cuatro mujeres.
-Impresión de pantalla en Facebook de “Populares de Mos”, parte del mismo programa electoral, sección educación, y con la fotografía en su parte inferior, así como indicación de la dirección exacta en la que figura, referencia ***URL.1.
SEGUNDO: Evidencias recogidas por la SGI
Como evidencias recogidas por el personal de la AEPD, figuran:
-Con fecha 14/06/2023, en FACEBOOK del PP MOS, no figura la fotografía objeto de la reclamación, si bien sí que constan muchas imágenes expuestas, pudiendo ser de actos políticos, aunque también figuran menores, desconociéndose el tipo de información que se proporciona a tales efectos.
TERCERO: Traslado de la reclamación a la reclamada
De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5712, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 14/06/2023, se dio traslado de dicha reclamación a la parte reclamada para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos.
El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 15/06/2023, como consta en el acuse de recibo que obra en el expediente.
Con fecha 14/07/2023, se recibe en esta Agencia escrito de respuesta, indicando:
1-La reclamación no se ajusta a la realidad de los hechos por ser inexacta y no veraz, y aporta “un certificado del (…)” firmado el 11/07/2023, en el que manifiesta la habitual colaboración activa de la Alcaldía y la Concejala de Educación, doña B.B.B. y doña C.C.C., respectivamente, en diversas cuestiones. Reconoce la toma de fotografía con ocasión de la asistencia de un profesor extranjero relacionado con el programa ***PROGRAMA.1 y que fue usada en el programa electoral del PP. Señala que en “muchas ocasiones, el servicio de prensa del Concello de Mos acudía con la Alcaldesa y tomaba fotografías del acto que en ese momento se estuviese celebrando”. Señala que (…) en la foto, pero que el aceptó las disculpas de la Concejala de Educación, considerando los hechos un error.
Indica el XXXXXX, que en una ocasión en que el Real Club Celta de Vigo invitó al estudiantado (15/05/2023), el Concello “nos hizo llegar un modelo de autorización específica para ese acto”, que distribuyó entre el alumnado para que fuera firmado por los padres o tutores.
2-La parte reclamada añade la “evidencia de que la foto que se hace es de carácter institucional, tomada en el ámbito de colaboración pública entre el Concello de Mos y el XXX de dicha localidad, a los efectos de favorecer los actos institucionales y educativos vinculados a dicho Municipio”, colaboración que ha sido beneficiosa. Como fotografía institucional, “se enmarca dentro de la publicidad habitual de los actos públicos de carácter institucional de colaboración mantenidos entre las dos instituciones”, considerando “la relevancia de los programas ***PROGRAMA.1*
“El criterio de publicación de dicha foto institucional no ha sido limitado en el momento de la obtención de la misma, ni tampoco en el momento de su publicación, habiéndosele dado siempre el trámite ordinario y habitual de las fotos obtenidas del XXX de Mos”. “La discrepancia en la publicación en un programa electoral se ha puesto de manifiesto una vez dicha foto se había publicado”, no en un momento anterior.
“Debe ponerse de manifiesto que el sentido de la denuncia no se refiere básicamente a la imagen personal de la denunciante, sino al hecho de que se tratara de un acto vinculado al programa ***PROGRAMA.1, no existiendo discrepancia alguna con relación al contenido y otros actos de colaboración institucional, donde la imagen denunciante aparece publicada de forma habitual, entre otras cuestiones porque dichas circunstancias no se han puesto de manifiesto ni al Concello de Mos, ni tampoco a la Concejalía de Educación.”
3-Considera un malentendido en la línea de colaboración mantenida con carácter habitual, o bien se circunscribe a una práctica habitual existente entre el Concello y el XXX de dicha localidad.
4-“La actuación del Partido Popular en el Concello de Mos y la publicación consignada como un acto institucional de su Ayuntamiento y en la página de Facebook del Partido Popular y de dicha localidad”, responde a ”informar de la realidad y necesidad de informar a los ciudadanos de dicha localidad de las actividades derivadas en el ámbito de la Concejalía de Educación, teniendo presente que dicha fotografía de carácter institucional se enmarca en la parte de un programa electoral donde se ponen de manifiesto los logros producidos de cara a los que se van a realizar en la nueva legislatura. Todo ello determina que es necesario y los ciudadanos tienen derecho a conocer las actuaciones y los compromisos que se pretenden llevar a cabo en dicho Concello.”
CUARTO: Admisión a trámite
Con fecha 18/08/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.
QUINTO: Acuerdo de inicio
Con fecha 23/10/2023, la Directora de la AEPD acordó:
“INICIAR PROCEDIMIENTO SANCIONADOR a PARTIDO POPULAR, con NIF G*********, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.a) del RGPD y a efectos de prescripción de la infracción en el artículo 72.1.b) de la LOPDGDD.”
“A los efectos previstos en el art. 64.2 b) de la LPCAP, la sanción que pudiera corresponder sería de 5.000 euros, sin perjuicio de lo que resulte de la instrucción”.
SEXTO: Presentación de alegaciones de la reclamada.
Con fecha 13/11/2023, la parte reclamada efectúa las siguientes alegaciones:
1-La fotografía “ha sido tomada y obtenida en un acto público, plenamente autorizada y consentida por todas las personas que intervenían y participaban en el mismo, conociendo de antemano, que lo que se pretendía, precisamente, con la obtención de dicha fotografía era dejar constancia pública del acto académico que se estaba llevando a cabo, y su consiguiente difusión como consecuencia de la relevancia que dicho acto llevaba consigo para el propio municipio y los ciudadanos, al representar una proyección internacional del mismo mediante el programa ***PROGRAMA.1.
Aporta en documento 1 escrito del Ayuntamiento de Mos, en el que refleja la comparecencia y manifestaciones de la Alcaldesa de Mos, Doña B.B.B.. Indica que el 6/11/2013, se trasladó al XXX de Mos para solicitar disculpas a la reclamante, a raíz de una publicación en prensa y redes sociales sobre el programa ***PROGRAMA.1 durante las pasadas elecciones locales. Interesa destacar también, que el escrito contiene la siguiente información:
-“La fotografía publicada en prensa y redes sociales el pasado 24/04 a petición de la propia dirección del Instituto en la que aparecían el maestro llegado de Rumania, participante en el programa ***PROGRAMA.1, junto consigo misma, la Concejala de educación, C.C.C., el XXXXXXX del Instituto y dos maestras del XXX participantes en el programa, entre ellas, usted” fue publicada en estos canales ex profeso y con la voluntad de los docentes y directivos que solicitaron colaboración de la administración local para darle difusión mediática”, reconociendo que luego fue utilizada en la campaña electoral de los comicios locales de mayo 2023, pidiendo disculpas de que la imagen apareciese en su campaña, “sin que hubiera intención expresa por su parte de que apareciese ni causarle ningún perjuicio”.
Considera que fue un malentendido y un error que no debía haber sucedido.
2-Manifiesta la parte reclamada que “Las informaciones recogidas en la información publicada por el Ayuntamiento de Mos tiene un interés general para todos los ciudadanos de Mos. Complementariamente a ello, y en uso de la libertad de la información veraz, y de contribuir a la formación de una opinión de los ciudadanos, en relación con las obras y actuaciones acometidas, se ha elaborado dicho prospecto”
-Alude a que se dan los elementos que prevé la jurisprudencia del TS, sentencia 591/2015 de 23/10, para caso de conflicto entre derechos de libertad de información y expresión con el derecho al honor. La parte reclamada, considera que concurre el conflicto del derecho a la imagen y protección de datos con el de derecho a la información que es el que se ejerce en este caso, “teniendo en cuenta la vinculación entre información y fotografías publicadas, y que las mismas han sido hechas en lugares públicos, en actos celebrados como consecuencia de actividades de carácter público realizadas”, dicha fotografía “está vinculada directamente con la información a la que se está haciendo referencia y trata de reforzar el mensaje y la información que se está haciendo llegar a ciudadanos de Mos” .
-No ha existido intencionalidad en lesionar derechos que amparan a la denunciante, remitiendo al artículo 83.2 del RGPD. Ha sido un malentendido del Ayuntamiento a utilizar el reportaje fotográfico vinculado a dicho acto académico, sin que existieran otras pretensiones que dar publicidad, por la importancia y relevancia que el mismo tenía para el municipio, así como el hecho transcendente de informar a los ciudadanos.
SÉPTIMO: Envío de propuesta de resolución.
Con fecha 13/08/2024, se emitió propuesta de resolución, del literal:
“Que por la Directora de la Agencia Española de Protección de Datos se sancione a PARTIDO POPULAR, con NIF G*********, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.a) del RGPD y a efectos de prescripción de la infracción, calificada como muy grave en el artículo 72.1.b) de la LOPDGDD con una multa de 5.000 euros”.
La propuesta fue enviada conforme a las normas establecidas en la LPACAP, resultando notificada el 21/08/2024.
Transcurrido el período otorgado para formular alegaciones, no figuran presentadas.
PRIMERO: La reclamante es profesora de XXXXXXXXX en el XXXXXXX y XXXXX con otras compañeras el programa ***PROGRAMA.1 recibiendo en abril 2023 la visita de un profesor extranjero. Con motivo de dicha visita, se realizó una fotografía con el mismo en la que figuraban, además, la Alcaldesa, doña B.B.B., la Concejala de Cultura (C.C.C.), la reclamante, otra profesora del IES, y el entonces director del IES.
La reclamante y la Alcaldesa de Mos, reconocen que esa foto se difundió en la red social del Concello de Mos, indicando como fecha de ello, la de XX/XX/2023.
SEGUNDO: La citada fotografía fue posteriormente expuesta en el programa electoral 20232027, PP MOS, “vota MOS, vota XXXXX” apartado “Educación”, figurando en su parte inferior de página, tras detallar varios puntos de su programa, entre los que consta la inmersión lingüística, sin referencia explícita a ***PROGRAMA.1. La foto carece de nota de pie que explique a que evento se refiere o quienes son esas personas.
La reclamante aportó dos fotos, una de la portada del programa electoral impreso del PP Mos, en el que figura el retrato de la Alcaldesa, y otra imagen en el apartado “XXXXXXXX” en el que se ve la foto objeto de la reclamación
TERCERO: La reclamante aportó copia de una conversación a través de WhatsApp en la que el 9/05/2023, se dirigen a la Concejala de Educación (XXXXX), manifestando que había hablado con el XXXXXXXX y con la también XXXXXXX del proyecto XXXXXXXXX, la reclamante, expresándole que “el citado proyecto no debe aparecer en un programa electoral de un partido político”, pidiendo que no se use. “Desde la dirección nos dicen que el proyecto debe poder ser apoyado por el Concello como institución pública. Pero no relacionado con ningún partido político de ninguna ideología”.
CUARTO: La reclamante que interpone reclamación el lunes 22/05/2023, precisa que el viernes pasado, 19/05/2023, supieron que la reclamada está repartiendo un programa electoral impreso en el que sale la fotografía y que también la han publicado en su cuenta de FACEBOOK, aportando en su reclamación una captura de pantalla de esta última en la que figura la fotografía, indicando que está en ***URL.1
La Subdirección General de Inspección de la AEPD, verificó que a 14/06/2023, en dicha página de Facebook , “populares de Mos”, no figuraba la fotografía objeto de la reclamación.
QUINTO: En escrito del Ayuntamiento de Mos, la Alcaldesa de Mos manifiesta que se trasladó el 6/11/2023 (fecha posterior al acuerdo de inicio) al XXX de Mos para solicitar disculpas a la reclamante, reconociendo el uso de la fotografía para el programa electoral de los comicios locales de mayo 2023.
I Competencia
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.”
II La imagen como dato de carácter personal. Responsable del tratamiento
El RGPD tiene por objeto garantizar el derecho a la protección de los datos de las personas físicas. El artículo 4.1 del RGPD entiende por “datos personales”: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”.
El artículo 4.2 del RGPD define el “tratamiento”, como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”.
El artículo 4.7 del RGPD, define: ”responsable del tratamiento” o “responsable”: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;”
Siguiendo la STC 292/2000, de 30/11, debe afirmarse que el derecho fundamental a la protección de datos, consagrado en el artículo 18.4 de la Constitución Española, a diferencia del derecho a la intimidad del art. 18.1 CE, con quien comparte el objetivo de ofrecer una eficaz protección constitucional de la vida privada personal y familiar, excluyendo del conocimiento ajeno y de las intromisiones de terceros en contra de su voluntad, persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derechos del afectado.
El derecho a la protección de datos tiene, por tanto, un objeto más amplio que el del derecho a la intimidad, ya que el derecho fundamental a la protección de datos extiende su garantía no sólo a la intimidad en su dimensión constitucionalmente protegida por el art. 18.1 CE, sino a la esfera de los bienes de la personalidad que pertenecen al ámbito de la vida privada, inseparablemente unidos al respeto de la dignidad personal, como el derecho al honor, y al pleno ejercicio de los derechos de la persona. El derecho fundamental a la protección de datos amplía la garantía constitucional a aquellos de esos datos que sean relevantes o tengan incidencia en el ejercicio de cualesquiera derechos de la persona, sean o no derechos constitucionales y sean o no relativos al honor, la ideología, la intimidad personal y familiar a cualquier otro bien constitucionalmente amparado.
De este modo, el objeto del derecho fundamental a la protección de datos no se reduce sólo a los datos íntimos de la persona, sino a cualquier tipo de dato personal, sea o no íntimo, cuyo conocimiento o empleo por terceros pueda afectar a sus derechos, sean o no fundamentales- como aquellos que identifiquen o permitan la identificación de la persona, pudiendo servir para la confección de su perfil ideológico, racial, sexual, económico o de cualquier otra índole, o que sirvan para cualquier otra utilidad que en determinadas circunstancias constituya una amenaza para el individuo- porque su objeto no es sólo la intimidad individual, protegida ya por el art. 18.1 CE, sino los datos de carácter personal. Por consiguiente, también alcanza a aquellos datos personales públicos, que, por el hecho de serlo, de ser accesibles al conocimiento de cualquiera, no escapan al poder de disposición del afectado porque así lo garantiza su derecho a la protección de datos.
En este caso concreto, la imagen de la reclamante, profesora del IES de la localidad, plasmada en la foto que se utiliza para el programa electoral de las elecciones locales de mayo 23, es un dato de carácter personal que figuró y se recoge de una fotografía publicada por el Ayuntamiento, a la que la reclamante no consta que se opusiera. Después, la parte reclamada entidad privada, partido político, relacionado con el Concello, al ser la misma persona la que se postulaba como Alcaldesa en las elecciones de mayo 2023, usó la foto en el programa electoral impreso del partido político. La fotografía que el Ayuntamiento previamente obtuvo, lo fue con un fin determinado, especifico y querido por la misma reclamante (disponibilidad, autodeterminación de la voluntad de su titular), posando con el resto de sus componentes que forman la foto. La reclamante expresa que el dato de su imagen que la identifica plenamente se ha expuesto por un partido político, para el que según indica no otorgó su consentimiento.
La actuación de la reclamada confirma los requisitos que se definen como tratamiento de datos de carácter personal, siendo responsable del tratamiento.
III Obligación incumplida
Por su parte, el artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales:
“1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
a) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
b) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
c) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
d) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
e) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.”
Asimismo el Considerando 40 del mencionado RGPD, dispone que: “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.”
La parte reclamada ha de acreditar que los datos personales que trata lo serán, de manera lícita (artículo 5.1.a) del RGPD, limitando el artículo 6.1 del RGPD las opciones de dicha licitud. Es a la parte reclamada a la que corresponde acreditar que cumple con alguna base de legitimación de las reseñadas, en virtud del artículo 5.2 del RGPD, que indica “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»)”.
Por otro lado, figura en una conversación en WhatsApp, antes del efectivo uso de la foto, el 9/05/2023, la no aceptación del uso del proyecto XXXXXXXXX para “fines políticos de ninguna ideología”.
También cabe destacar que el contexto en el que aparece la foto es en el apartado de educación del programa electoral impreso del PP de Mos, y en la página de Facebook del mismo, que contiene diversos aspectos programáticos del mismo, sin aludir al programa ***POGRAMA.1 citado, y conteniendo la foto, sin explicitar a que se refiere, quienes son sus integrantes, es decir sin conexión alguna a la información que se contiene.
La parte reclamada señala que, como base legitimadora, prima el derecho a la información de los ciudadanos del Concello. Sin embargo, como se ha expuesto, la imagen de la reclamante no se utiliza para facilitar información a los ciudadanos sobre aspectos relacionados con la actuación del Ayuntamiento, sino con una finalidad política, la difusión de un programa político en el marco de unas elecciones. Además del contenido del programa y del contexto en el que figura la imagen de la reclamante, ésta carece de relevancia pues no se hace ninguna referencia al evento en el que fue tomada la fotografía, por lo que podía prescindirse de su uso en el programa, al no contener el programa, como se ha indicado, referencia explicativa alguna sobre la misma.
Por otro lado, se ha de indicar que la explicación del programa político nada tiene que ver con la foto que se difunde que carece en este contexto de interés informativo. Indica la parte reclamada que cumplen con el principio de transparencia y que es una foto institucional de relevancia. Sin embargo, la reclamante no es personaje de proyección pública, su imagen carece de trascendencia pública y como se ha dicho su difusión era innecesaria, por ello no existe ninguna justificación para la intromisión realizada en su derecho a la protección de datos y, por tanto, la posterior publicación de la imagen de la reclamante con otra finalidad requería la obtención previa de su consentimiento
El objetivo de la información del programa es perfectamente entendible sin la fotografía, pues esta no añade aspecto alguno aparte de la presencia de la Alcaldesa y la Concejala de Cultura, sin contar con la consideración que la imagen no consta fuera obtenida directamente por la parte reclamada, ni se dirigió a las personas que figuraban en la misma.
El hecho de que la reclamante no pusiera obstáculo a la difusión en redes sociales por parte del Concello, que fue el que obtuvo la imagen de la reclamante, no significa que la parte reclamada, ente privado, distinto del Concello, dispusiera de autorización para exponer la imagen, ya que todo tratamiento de datos personales ha de contar como se señala, con una base de legitimación para su tratamiento. Aquí se aprecia que los intereses de la alcaldesa y los de la candidata a la alcaldía, coinciden en la misma persona física, pues la alcaldesa es la candidata que se presenta por el partido que expone la foto, lo que no quiere decir que el partido político que presenta a su candidata a la alcaldía tenga las mismas prerrogativas que el alcalde del municipio.
Asimismo, se ha de rechazar la alegación de que la foto fue hecha en un lugar público, en actividades de carácter público, toda vez que no debe olvidarse que las profesoras por el hecho de ser empleadas públicas no se convierten en personajes de proyección pública y no pierden su derecho a la protección de sus datos, que no constaba vulnerado por el Concello al exponer la foto, sino por la parte reclamada al utilizarla con posterioridad sin ninguna base de legitimación,
La calificación por la parte reclamada de la imagen como institucional, como muestra de la colaboración pública Concello- XXX, descarta el uso por una entidad privada que tiene otros fines, políticos en este caso, y que así fue advertida en el mensaje de WhatsApp previamente remitido.
Por otro lado, que la imagen fuera publicada por el Concello, no otorga legitimación para que la misma sea utilizada por la parte reclamada, aunque la difusión de la imagen por el Concello se realizara sin limitación, como señala la alegación de la parte reclamada. La parte reclamada ha de acreditar que dispone de base legitimadora para el tratamiento que lleva a efecto, ya que la base legitimadora no se presume, en este caso, en modo alguno, pese a haberse publicado previamente por el Concello. Además, ha de tenerse en cuenta la excepcionalidad del tratamiento que como indica el art. 6 del RGPD “solo será lícito si cumple al menos una de las siguientes condiciones”.
La sentencia que alega la parte reclamada del TS no es aplicable a este caso, al tratarse de inicio de contenidos diferentes. La sentencia trata de la información periodística sobre personas de relevancia pública en relación con una investigación judicial sobre una presunta corrupción política y económica frente al derecho al honor.
La libertad de información comprendería la comunicación de hechos susceptibles de contraste con datos objetivos y consiste en comunicar o recibir información veraz por cualquier medio de difusión (por todas STC 5/2021, de 25 de enero de 2021).
En este caso, no existe tal interés periodístico ni se trata de una noticia, sino de un programa electoral no pudiendo calificarse de información susceptible de contraste, ni por tanto existe conflicto de derechos, ni guarda relación con la institucionalización de la formación de la opinión pública. La información no repasa los logros realizados por el Ayuntamiento, sino lo que ofrece en un programa electoral, y resulta entendible perfectamente sin la foto, ya que, de hecho, este no explica nada sobre ella, no se relaciona con el programa, más allá de la aparición en la foto de la Alcaldesa, candidata.
Así pues, no se correspondería con la base legitimadora que propone la parte reclamada que podría suponer en caso de concurrir, una prevalencia del derecho de información, pero que no se corresponde con el caso específico, al no existir conflicto entre derechos sino una artificiosidad que sirve a la parte reclamada para ser alegada en tal sentido.
Pero, es más, como se recoge en la sentencia 3212/2022 del Tribunal Supremo de 28/07/2022, dicho tribunal ha declarado en reiteradas ocasiones (sentencias 1225/2003, de 24/12, 1024/2004, de 18/10, 1184/2008, de 3/12, 311/2010, de 2/06) que el consentimiento dado para publicar una imagen con una finalidad determinada no legitima su publicación con otra finalidad distinta.
Subsidiariamente, como se ha detallado, cabe indicar que en este caso no existe conexión alguna de la foto con ningún elemento informativo que se contenga e interrelacione el programa ***PROGRAMA.1 con la foto expuesta, ni se describe el interés público que tiene la imagen, porque nada explica, cuestionando así la afectación de la misma a la necesidad de su tratamiento del dato personal que hace identificable a la reclamante para este fin de constar en el programa electoral de la parte reclamada.
No se debe olvidar que antes del uso de la foto por la parte reclamada, el Ayuntamiento de Mos, del que era Alcaldesa la candidata, ya había informado en su página con la misma foto del proyecto, uso de la imagen y fines para los que la profesora reclamante no consta se opusiera a la toma de la foto y dicho uso. Elementos que no consta que se dieran en la parte reclamada con posterioridad.
Al no acreditar la parte reclamada en su respuesta al traslado y alegación que pudiera concurrir alguna de las bases de legitimación contenidas en el artículo 6.1 del RGPD, supondría la imputación a la reclamada de la citada infracción del artículo 6.1 del RGPD.
IV Tipificación y calificación de la infracción
La infracción que se le atribuye a la parte reclamada se encuentra tipificada en el artículo 83.5.a) del RGPD que dispone: “Las infracciones de las disposiciones siguientes se sancionarán de acuerdo con el apartado 2, con multas administrativas de 20.000.000 de euros como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1.b) de la LOPDGDD, que califica de muy grave la siguiente conducta:
(…)
a) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…)”
V Determinación de la sanción
Los poderes correctivos de los que dispone la Agencia Española de Protección de datos, como autoridad de control, se establecen en el artículo 58.2 del RGPD. Entre ellos se encuentran la potestad de imponer una multa administrativa con arreglo al artículo 83 del RGPD -artículo 58.2 i)-, o la potestad de ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del RGPD, cuando proceda, de una determinada manera y dentro de un plazo especificado -artículo 58. 2 d).
Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en el artículo 58.2 d) del citado Reglamento es compatible con la sanción consistente en multa administrativa.
En el presente caso, atendiendo a los hechos expuestos, se considera que la sanción que corresponde imponer es de multa administrativa. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, de acuerdo con el artículo 83.1 del RGPD. A fin de determinar la multa administrativa a imponer se han de observar las previsiones del artículo 83.2 del RGPD, que indica:
“2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42,
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”.
Por su parte, en relación con la letra k) del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, dispone:
“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo.
2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido incluir a la comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente
f) La afectación a los derechos de los menores
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”.
En el acuerdo de inicio se dio como elemento atenuante de la infracción, el hecho de que la reclamada es una entidad cuya actividad, no está relacionada con el tratamiento de datos de carácter personal, aplicándose por ello el artículo 76.2.b) de la LOPDGDD. El precepto deviene del desarrollo del artículo 83.2.k) del RGPD, como principio aplicable a las circunstancias del caso, para contemplar, “cualquier otro factor agravante o atenuante”, exponiendo como ejemplos, los “beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”.
Sin embargo, el hecho de que su principal actividad no aparezca ligada directamente al tratamiento de datos como pudieran ser a título de ejemplo, las entidades empresariales, las financieras u operadores de telecomunicaciones, no ha de servir como acicate o beneficio para una eventual reducción en la sanción a la que no se ha hecho merecedora, entendiendo que por no participar en el tráfico habitual y diario del mercado de datos personales no va a afectar proporcionalmente a la gravedad del hecho infractor. De hecho, es difícil precisar una actividad que no conlleve la realización de tratamientos de datos en mayor o menor medida y con diferentes alcances. La reclamada es una organización centralizada de tipo político, de alcance nacional que gestiona datos en todo ese ámbito, entre otros los de sus afiliados, catalogados como de categoría especial, aunque no es este el caso, pero si su finalidad que puede ser política, como lo fue en este caso que trata los datos personales en un programa electoral. De ello, la reclamada ha de asumir el riesgo de que los mismos puedan ser tratados de manera contraria a la ley. Contemplar la vinculación de la actividad del infractor con la escasa realización de tratamientos de datos como atenuante, no puede sino anular el efecto disuasorio de la multa, minorando por defecto las circunstancias que puedan concurrir, lo que sería tanto como considerar que el no tratamiento habitual de datos o la falta de vinculación de la actividad del infractor con la realización de tratamientos de datos , pudiera no producir efectos negativos, sino más bien positivos, preconfigurando la circunstancia atenuante sin considerar caso a caso los elementos que concurren, como en este caso. Con su efecto disuasorio, las multas administrativas contribuyen a reforzar la protección de las personas físicas en lo que respecta al tratamiento de datos personales y constituyen, por ende, un elemento clave para garantizar el respeto de los derechos de dichas personas, de conformidad con la finalidad del citado Reglamento de asegurar un elevado nivel de protección de esas personas en lo que respecta al tratamiento de los datos personales. Como conclusión, no se estima que concurra esta atenuante en la conducta de la reclamada.
Son, sin embargo, en este caso circunstancias agravantes:
-La conducta de la reclamada refleja que la infracción se cometió con una falta de diligencia, de carácter grave, acercándose a la intención que conlleva la recogida exprofeso de las imágenes queridas por la reclamada, para unos fines políticos mediante su difusión y exposición en el programa, cuando previamente se advirtió en un mensaje de WhatsApp de la oposición a su uso ideológico, y no solo por la reclamante pese a ser la única que reclama (art. 83.2.b RGPD). La alegada falta de intencionalidad no obsta a la comisión de la infracción, que en supuestos como el analizado pueden cometerse por falta de diligencia. La acción se aprecia que va encaminada no a contemplar los derechos de las personas que aparecen en la foto, sino en el uso de una imagen que se obtuvo con una finalidad, para otra diferenciada que ya comunicaron previamente las afectadas en el mensaje de 9/05/2023, conociendo la falta de consentimiento para la utilización de dicha imagen, sin embargo, se imprimió y figuraba en los ejemplares relativos a la campaña.
- La categoría de los datos de carácter personal afectados, con difusión de la imagen, que, en palabras del TJUE en su Sentencia de 8/12/2022, asunto C-460/22:“La imagen de una persona es, en efecto, uno de los principales atributos de su personalidad, por cuanto manifiesta su individualidad y permite diferenciarla de sus semejantes. Así pues, el derecho de una persona a la protección de su imagen constituye una de las condiciones esenciales de su realización personal y presupone en especial el control por parte de la persona sobre su propia imagen, lo cual incluye la posibilidad de impedir su difusión. La protección del derecho a la vida privada reviste en ese contexto una importancia especial, por la capacidad de las fotografías de transmitir información particularmente personal, cuando no íntima, de una persona o de su familia (véase, en este sentido, Tribunal EDH, 7/02/2012, Von Hannover c. Alemania, CE:ECHR:2012:0207JUD004066008, apartados 95, 96 y 103 y jurisprudencia citada)”. (83.2.g) RGPD).
El balance de las circunstancias contempladas permite fijar una multa de 5.000 € (cinco mil euros) por la infracción del artículo 6.1 del RGPD.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos
PRIMERO: IMPONER una multa de 5.000 euros a PARTIDO POPULAR, con NIF G*********, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.a) del RGPD y a efectos de prescripción de la infracción, calificada como muy grave en el artículo 72.1.b) de la LOPDGDD.
SEGUNDO: NOTIFICAR la presente resolución a PARTIDO POPULAR.
TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b) de la LPACAP, en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-XXXX-XXXX-XXXX (BIC/Código SWIFT: XXXXXXXXXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos