Recientemente hemos tenido conocimiento de una resolución que publicaba la Agencia Española de Protección de Datos (AEPD), en la que se multa a un particular con 10.000 euros por difundir a través de su estado de WhatsApp unas fotografías íntimas de la denunciante así como capturas de conversaciones entre la misma y una tercera persona, todas ellas del mismo centro de trabajo, sin su conocimiento ni consentimiento. Dichos contenidos habían sido obtenidos de un pendrive que le había desaparecido a la denunciada.
En la resolución, se alega un incumplimiento por parte del infractor, del artículo 6.1.a) del RGPD, dado que la denunciante no otorgó su consentimiento para el tratamiento de sus datos con estas finalidades, y por tanto llevó a cabo un tratamiento ilícito al dar a conocer a terceros sus datos personales, con el agravante de que en el pie de algunas fotografías se vertían comentarios vejatorios y degradantes para la reclamante. Todo ello, se encuentra tipificado en el RGPD como una infracción de carácter muy grave, que puede conllevar multas de hasta 20.000.000 euros.
La AEPD, para valorar la cuantificación de la sanción, ha tenido en cuenta, entre otros, los siguientes elementos que finalmente determinan la imposición de una multa de 10.000 euros:
-Que el alcance ha sido meramente local,
-que solo se ha visto afectada una persona,
-que el reclamado es una persona física,
-que no existe vinculación de la actividad del infractor con el tratamiento de estos datos y,
-que se observa una grave negligencia e intencionalidad.
Sin embargo, se trata ésta de una resolución bastante atípica, en la medida en que el sujeto infractor es una persona física, y la difusión no se ha producido en el contexto de una actividad profesional o comercial. La regla general es que dentro del ámbito de aplicación material del RGPD se encuentren excluidos del mismo aquellos tratamientos que sean efectuados por una persona física en el ejercicio de actividades exclusivamente personales o domésticas, limitando la persecución de este tipo de casos a otras vías ajenas a la vía administrativa propia de la AEPD, como pueden ser la vía penal o la vía civil.
Sin embargo, se observa un cambio de tendencia en este sentido, por el cual la AEPD parece demostrar una mayor predisposición en la persecución de este tipo de ilícitos, más aún cuando hablamos del tratamiento de contenidos especialmente sensibles como imágenes de contenido sexual o que muestran actos de agresión. Tanto es así que han creado un Canal prioritario para solicitar la retirada de contenidos sensibles, cuando la difusión de estos contenidos sin el consentimiento de la persona afectada esté poniendo en alto riesgo sus derechos y libertades.
Asimismo, encontramos una infografía de la AEPD publicada recientemente en la que se recogen las consecuencias administrativas, disciplinarias, penales y civiles por la difusión de contenidos sensibles, tanto para las empresas como para los ciudadanos. En ésta se recuerda que la Agencia Española de Protección de Datos es competente para investigar este tipo de actuaciones, y si se determina que se ha infringido la ley, para iniciar el correspondiente procedimiento sancionador contra quienes hayan difundido este tipo de contenidos o hayan contribuido a su difusión.
Aun a pesar de lo anterior, puede resultar cuanto menos llamativo que la resolución no haya dedicado unas líneas a aclarar la actuación de la AEPD en este caso y despejar cualquier tipo de duda, aun sabiendo que el ámbito de aplicación material del RGPD excluye los tratamientos efectuados por una persona física en el ejercicio de actividades exclusivamente personales o domésticas.
Sin perjuicio de todo ello, por supuesto, celebramos cualquier acción que pueda realizar la AEPD para proteger los derechos y libertades de los ciudadanos y un tratamiento adecuado de sus datos, e instamos a continuar trabajando en adoptar este tipo de medidas tan necesarias.
Loreto Jiménez Muñoz | Head of Privacy | L-A