1. Identificación de la resolución
- Expediente: RR/00065/2023, recurso de reposición contra la resolución del PS/00191/2022, de 27 de diciembre de 2022.
- Fecha: el texto publicado no recoge la fecha de firma; el recurso se presentó el 6 de febrero de 2023.
- Recurrente y responsable del tratamiento: CONECTA5 TELECINCO, S.A.U.
- Sentido: desestimación; se mantiene la resolución recurrida.
- Sanción confirmada: 50.000,00 euros por infracción del artículo 5.1.c) del RGPD, tipificada en el artículo 83.5 del RGPD. El texto no menciona reducciones por pago voluntario o reconocimiento (art. 85 LPACAP).
- Medidas: se confirmaron las medidas provisionales de retirada o distorsión de la voz de la víctima, evitando en lo posible la re-subida de copias, y de retirada o modificación de los contenidos que impida su acceso por terceros pero garantice su conservación como evidencia.
2. Hechos y objeto del procedimiento
La parte reclamante denunció que varios medios habían publicado el audio de la declaración ante el juez de una víctima de una violación múltiple para ilustrar la noticia del juicio. La Subdirección General de Inspección de Datos localizó una publicación de la recurrente con la voz sin distorsionar y le notificó una medida cautelar de retirada o distorsión; la entidad comunicó su cumplimiento y el informe de actuaciones previas de 24 de enero de 2022 constató que la noticia ya no estaba disponible.
La recurrente alegó confianza legítima en el poder judicial, por haber recibido la grabación del Juzgado sin filtro ni advertencia; que la voz no es un dato personal o que la identificación no era indubitada; desviación de poder en las actuaciones previas; y desproporción de la sanción.
3. Doctrina de la Agencia
El tratamiento enjuiciado es la difusión de la voz realizada por el medio, no la cesión del material por el Juzgado, que es un tratamiento distinto. El medio es responsable porque decide qué información suministra, por qué medio, en qué términos y con qué datos personales. Ni el origen judicial de la grabación, ni la urgencia informativa, ni la falta de advertencias de las oficinas de comunicación, que solo pueden recomendar y no ordenar, eximen de cumplir la normativa.
La confianza legítima no puede invocarse para salvar situaciones contrarias a la norma y exige signos externos concluyentes de la misma Administración que después actúa en sentido contrario. La actuación de un órgano distinto, como el jurisdiccional, no vincula a la Agencia, y la AEPD no había realizado actuación alguna que avalara la difusión.
La voz de cualquier persona es un dato personal que la identifica o la hace identificable de manera unívoca, con independencia de otros datos. Basta el riesgo cierto de identificación por quienes desconocían la condición de víctima; es indiferente que alguien llegara a identificarla.
Desde la minimización, la recurrente pudo distorsionar la voz, como permitía el requerimiento, y la información habría seguido disponible con toda su amplitud: difundir la voz no era necesario. La ponderación con la libertad de información podía resolverse con la distorsión o la transcripción del relato.
4. Fundamentos jurídicos relevantes
La competencia deriva del artículo 123 de la LPACAP y del artículo 48.1 de la LOPDGDD. Para la confianza legítima se citan el artículo 3.1.e) de la Ley 40/2015 y las SSTS de 9 de febrero de 2004 (rec. 4130/2001), 1 de febrero de 1999 (rec. 5475/1995) y 22 de febrero de 2016 (rec. 4048/2013), cuyos requisitos no concurren, así como el carácter reglado de la potestad sancionadora del artículo 58 del RGPD.
Frente a la desviación de poder se invocan el artículo 55.2 de la LPACAP y los artículos 67.1 y 69.1 de la LOPDGDD: las actuaciones previas se limitaron a localizar la publicación, adoptar la medida provisional y comprobar su cumplimiento. Con apoyo en la STS de 24 de noviembre de 2014 (no la de 26 de diciembre de 2007, como sostenía la recurrente), se exige concretar en qué consistió la desnaturalización del trámite. La recurrente alegó frente al acuerdo de inicio y la propuesta, pero no pidió prueba.
En la graduación, la ausencia de infracciones anteriores no atenúa, pues el artículo 83.2.e) del RGPD es una agravante (SAN de 5 de mayo de 2021, rec. 1437/2020); la cooperación tampoco, al ser obligatorias las órdenes de retirada del artículo 69 de la LOPDGDD; ni la adhesión al Pacto Digital para la protección de las personas, cuyo punto 1º se incumplió. La resolución pone fin a la vía administrativa (art. 48.6 LOPDGDD).
5. Valoración técnica
La resolución reafirma para los medios que la responsabilidad por la publicación recae en quien difunde los datos aunque procedan de un órgano judicial, que la voz de una víctima es por sí sola un dato identificativo sometido al filtro de necesidad del artículo 5.1.c) del RGPD, y que la confianza legítima solo opera frente a actos de la propia Administración actuante.
Forma parte de una serie sobre los mismos hechos. En el PS/00195/2022, contra EDITORIAL PRENSA CANARIA, S.A. por la misma infracción, la propuesta fijaba 50.000 euros; la entidad abonó el 11 de octubre de 2022 40.000 euros con la reducción del 20% por pago voluntario y la AEPD declaró terminado el procedimiento conforme al artículo 85 de la LPACAP.
Referencias
- Texto íntegro (AEPD): https://www.aepd.es/documento/reposicion-ps-00191-2022.pdf
- Resolución conexa PS/00195/2022 (EDITORIAL PRENSA CANARIA, S.A.): https://www.aepd.es/documento/ps-00195-2022.pdf
- Normativa aplicada: RGPD, artículos 5.1.c), 58, 83.2.e) y 83.5; LOPDGDD, artículos 48.1, 48.6, 50, 65, 67.1 y 69; LPACAP, artículos 55.2, 90.3.a), 98.1.b) y 123; Ley 40/2015, artículo 3.1.e)
- Jurisprudencia citada: SSTS de 1 de febrero de 1999 (rec. 5475/1995), 9 de febrero de 2004 (rec. 4130/2001), 26 de diciembre de 2007, 24 de noviembre de 2014 y 22 de febrero de 2016 (rec. 4048/2013); SAN de 5 de mayo de 2021 (rec. 1437/2020)