La Agencia Española de Protección de Datos (AEPD) sancionó a particular por la difusión de imágenes en Twitter sin consentimiento. Dicha sanción fue recurrida por el sancionado. Finalmente, la Audiencia Nacional, Sala de lo Contencioso Administrativo, resolvió, en una muy interesante sentencia, confirmar la sanción por la difusión de imágenes en Twitter sin consentimiento.
Audiencia nacional condena por difundir imágenes en Twitter sin consentimento
La Sentencia de 27 de Junio de 2024, de la Audiencia Nacional, Sala de lo Contencioso Administrativo, Sección 1ª a recurso nº 102/2022 (ECLI: ES:AN:2024:3949), confirmó sanción de la Agencia Española de Protección de Datos a un particular por la difusión de imágenes en Twitter sin consentimiento de los afectados.
La sanción viene impuesta por la comisión de una infracción en materia de protección de datos consistente en la difusión, a través de Twitter, de un video en el que se muestran imágenes de una agresión por parte de un varón a una mujer que podría ser constitutivo de un delito de violencia de género. Habría quedado acreditado que la publicación del video se realizó por parte del recurrente sin que conste el consentimiento inequívoco de la mujer que aparece en el vídeo. Por tanto, no cabe excluir la aplicación de la normativa de protección de datos por un tratamiento sin conexión alguna con una actividad comercial pues ha quedado evidenciado que el recurrente trataba de difundir una información al mayor número de personas posibles, mediante la difusión de imágenes en Twitter. Además, ha quedado constatado que en el video son plenamente identificables la madre y el menor que en el aparecen. Así mismo se concluye que la sanción es proporcional y que no existe vulneración del derecho de igualdad.
Conviene desgranar esta interesante sentencia.
Antecedentes de hecho
Hecho Primero
Admitido el recurso y previos los oportunos trámites procedimentales, se confirió traslado a la parte actora para que, en el término de veinte días formalizara la demanda, lo que llevó a efecto mediante escrito presentado el 22 de abril de 2022 que, tras exponer los hechos y fundamentos de derecho que estimó oportunos, terminó solicitando que se dictara «sentencia por la que, con estimación del presente recurso, declare nula de pleno derecho o, en su caso, anule la resolución impugnada o bien, SUBSIDIARIAMENTE en el caso de la no anulación de la sanción, se imponga una sanción de apercibimiento o, subsidiariamente, se reduzca el importe de la sanción recurrida a 300€ (trescientos euros), así como condenando a la Administración al pago de las costas procesales».
Hecho Segundo
Formalizada la demanda se dio traslado de la misma a la parte demandada para que la contestara en el plazo de veinte días, lo que realizó mediante el pertinente escrito, alegando los hechos y fundamentos jurídicos que estimó pertinentes, solicitando que se dictara «sentencia en cuya virtud desestime el recurso formulado de contrario, con expresa imposición de costas a la parte recurrente».
Hecho Tercero
Mediante Auto de 22 de septiembre de 2022 se acordó el recibimiento del recurso a prueba, admitiéndose la prueba documental propuesta por la parte actora, y se concedió el plazo de diez días a dicha parte para la formulación de conclusiones. Se hizo lo mismo en relación con el Abogado del Estado por diligencia de ordenación de 26 de octubre de 2022. Una vez presentados los correspondientes escritos, quedaron los autos conclusos para sentencia, señalándose para votación y fallo el día 25 de junio del presente año, fecha en que tuvo lugar.
Fundamentos de Derecho
Fundamento de Derecho Primero
El demandante impugna la resolución de 2 de diciembre de 2021 de la Directora de la Agencia Española de Protección de Datos, recaída en el procedimiento sancionador PS/00204/2021, por la que se le impone una sanción de 6.000 euros por una infracción del art. 6.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, tipificada en el art. 83.5 del citado Reglamento.
Los hechos probados en que se basa la sanción son los siguientes:
«PRIMERO: Con fecha 8 de julio de 2020, esta Agencia tuvo conocimiento de la difusión, a través de redes sociales, de un video en el que se muestran imágenes de una agresión por parte de un varón a una mujer, que podría ser constitutiva de un delito de violencia de género. El video muestra, asimismo, imágenes de un menor de corta edad, varón, que interviene en la escena intentando evitar la agresión que se estaba produciendo. Al día siguiente, se inician actuaciones de investigación para determinar la responsabilidad de la difusión de estas imágenes en redes sociales.»
«SEGUNDO: Doña Tarsila, persona a la que la Agencia ha sancionado por la difusión del vídeo que ha motivado este procedimiento, contestó a la solicitud de información realizada sobre el mismo, indicando que el origen del vídeo que había publicado es un tweet de Don Eloy, en la dirección: DIRECCION000«
«TERCERO: Con fecha de 27 de enero de 2021, se emite medida cautelar de retirada del tweet DIRECCION000.»
«CUARTO: Con fecha de 1 de marzo de 2021, los tweets de Doña Tarsila y de Don Eloy aparecen como contenido sensible inhabilitando su visualización automática, siendo necesario seleccionar manualmente su visualización.»
«QUINTO: Con fecha de 23 de marzo de 2021, se recibe escrito remitido por TWITTER manifestando que los tuiteros parecen haber compartido el vídeo para crear conciencia sobre la violencia perpetrada contra las mujeres. Como tal, Twitter cree que los Tweets se alinean con la misión de Twitter de servir a la conversación pública, compartir información al instante y sin barreras. Esto incluye compartir información que pueda ser de interés público. Twitter determinó que el contenido no viola los Términos de servicio de Twitter, la Política de privacidad de Twitter ni las Reglas de Twitter, y no se eliminará de la plataforma.»
«SEXTO: El vídeo no está disponible en esta dirección: DIRECCION000».
Fundamento de Derecho Segundo
Aduce la parte actora en primer lugar, la vulneración del derecho fundamental a la tutela judicial efectiva sin generar indefensión y del derecho a la presunción de inocencia. Se basa para ello, en que el demandante no ha podido ver el video por el que ha sido sancionado, a pesar de las solicitudes presentadas para ello ante la Agencia Española de Protección de Datos.
El art. 77.5 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, establece, en similares términos del antiguo art. 137.3 de la Ley 30/1992, de 26 de noviembre, lo siguiente : «Los documentos formalizados por los funcionarios a los que se reconoce la condición de autoridad y en los que, observándose los requisitos legales correspondientes se recojan los hechos constatados por aquéllos harán prueba de éstos salvo que se acredite lo contrario».
Mientras que el art. 51.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD, dispone: «4. Los funcionarios que desarrollen actividades de investigación tendrán la consideración de agentes de la autoridad en el ejercicio de sus funciones, y estarán obligados a guardar secreto sobre las informaciones que conozcan con ocasión de dicho ejercicio, incluso después de haber cesado en él».
Así las cosas, en el expediente consta diligencia del inspector responsable de las actuaciones previas de investigación, de fecha 2 de septiembre de 2020, en la que se indica: » Para hacer constar que en esta fecha se obtiene impresión de la página DIRECCION000 de la red social TWITTER en la se observa que el tweet origen del que se obtuvo el contenido objeto de estas actuaciones previas de investigación sigue público y con los rostros sin anonimizar. Esta impresión ha sido obtenida a través de Internet después de haber limpiado la memoria caché del navegador web y sus cookies, y tras haber forzado al navegador a descargar la última versión de la página web alojada en el servidor remoto, mediante la pulsación de la combinación de teclas Control + F5. Se anexa a esta diligencia la impresión de la referida página web» .
Hay que añadir que otra de las sancionadas por publicar ese video, doña Tarsila, una vez requerida, manifestó que el origen del vídeo que había publicado era un tweet de Don Eloy, en la dirección: DIRECCION000. Y, por otro lado, en el expediente aparecen fotogramas al respecto (carpetas 1-42 y 1-59).
Por tanto, hay constancia de la publicación del video por parte del recurrente, llevada a efecto por un funcionario con la consideración de agente de la autoridad, habiendo podido alegar y probar aquel lo que ha estimado pertinente tanto en vía administrativa como en esta vía jurisdiccional, sin que se le haya causado indefensión material.
Fundamento de Derecho Tercero
Se alega también por el actor que no hay constancia de que la mujer que aparece en el vídeo no hubiese prestado su consentimiento, no pudiendo exigirse que el recurrente acredite la existencia de dicho consentimiento.
Debemos partir que la infracción que se le imputa al demandante, es la recogida en el art. 6 del RGPD, » Licitud del tratamiento», que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: «1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos…»;
Por su parte, el art. 72 de la LOPDGDD, establece: «Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…) b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.
(…)» .
El principio del consentimiento expresado conllevará, por tanto, la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, permitiéndose así a aquel ejercer efectivo control sobre dichos datos y garantizando su poder de disposición sobre los mismos. Dicho consentimiento podrá prestarse de forma expresa, oral o escrita, o de manera tácita, mediante actos reiterados y concluyentes que revelen su existencia, como dijimos en nuestras Sentencias de 1 de febrero de 2006 -recurso nº. 250/2004, 20 de septiembre de 2006 -recurso nº. 626/2004, 17 de noviembre de 2014 -recurso nº. 124/2013, y 1 de junio de 2018 -recurso nº. 942/2016, entre otras muchas.
Ahora bien, tal y como ha expresado esta Sala reiteradamente, entre otras, en la Sentencia de 28 febrero 2007 -recurso nº.236/2005-, el consentimiento ha de ser necesariamente «inequívoco». De modo que ha de aparecer como evidente, o, lo que es lo mismo, que no admite duda o equivocación, pues éste y no otro es el significado del adjetivo utilizado para calificar el consentimiento.
Y, en el caso que nos ocupa, no consta el consentimiento inequívoco de la madre que aparece en el vídeo, no pudiéndose entender que, si no denunció los hechos ante la Agencia Española de Protección de Datos, habría otorgado consentimiento al tratamiento de los propios datos personales. Sin que resulte aplicable al caso que nos ocupa, la Sentencia de esta Sección de 17 de mayo de 2007 -recurso nº. 157/2005, invocada por el actor, ya que la misma versa la infracción del art. 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de Información y Correo Electrónico, sobre la remisión de envíos comerciales.
Fundamento de Derecho Cuarto
También se alega por el recurrente que no se debería aplicar el RGPD al tratarse de una actividad exclusivamente doméstica o personal, de conformidad con el art. 2.2.c) del RGPD .
El Considerando 18 del RGPD señala lo siguiente: «El presente Reglamento no se aplica al tratamiento de datos de carácter personal por una persona física en el curso de una actividad exclusivamente personal o doméstica y, por tanto, sin conexión alguna con una actividad profesional o comercial. Entre las actividades personales o domésticas cabe incluir la correspondencia y la llevanza de un repertorio de direcciones, o la actividad en las redes sociales y la actividad en línea realizada en el contexto de las citadas actividades. No obstante, el presente Reglamento se aplica a los responsables o encargados del tratamiento que proporcionen los medios para tratar datos personales relacionados con tales actividades personales o domésticas».
Pero en el caso que nos ocupa, el actor no aporta prueba de que el tratamiento se produjera en el ámbito de la excepción invocada, esto es, de que fuera un tratamiento restringido, que tuviera pocos seguidores o que el demandante no utilizara con habitualidad tal red social, siendo que a aquel correspondería la carga de la prueba de que concurre la excepción que invoca. Además, tenemos que añadir que el recurrente alegó en vía administrativa que la publicación del vídeo lo hizo al amparo de su derecho a la libertad de información conforme al art. 20 de la Constitución, evidenciando que trataba de difundir una información al mayor número de personas posible. Y, en este sentido, consta en el expediente y así se recoge la resolución recurrida que, en la captura del tweet efectuado por el Inspector de datos responsable de las actuaciones previas de investigación, aparecen 190 retweets; 207 tweets y 209 me gusta. Por lo que el número de seguidores del Twitter del actor es bastante amplio.
Por otro lado, igualmente se aduce por el recurrente que no sería de aplicación el RGPD, al no constar en el expediente dato de carácter personal alguno tratado por el sancionado, señalándose que la calidad de la imagen es insuficiente para permitir identificar a alguna persona como puso de manifiesto doña Tarsila, también sancionada por estos hechos que nos ocupan.
Debemos partir que la imagen física de una persona, a tenor del art. 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En este sentido se entiende como «datos personales»: «toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona».
Pues bien, de la observación del vídeo, se constata que en algunas de sus imágenes son plenamente identificables la madre y el menor que en el aparecen. Por ello, es aplicable al tratamiento la normativa de protección de datos.
Por tanto, cabe apreciar la existencia de la infracción que estamos analizando, habiendo prueba suficiente de cargo para destruir la presunción de inocencia, así como el principio «in dubio pro reo».
Fundamento de Derecho Quinto
También se alega por el recurrente que no cabe apreciar el principio de culpabilidad. Es sabido que se puede incurrir en responsabilidad por la infracción que estamos examinando tanto de manera intencionada o dolosa como por descuido, negligencia o aún a título de simple inobservancia (art. 28 de la Ley 40/2015, de 1 de octubre). Y procede ahora recordar que, como señala el Tribunal Supremo en la Sentencia de 23 de enero de 1998, «… aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa«.
Así las cosas, ninguna de las circunstancias concurrentes en el caso que nos ocupa permite excluir este elemento subjetivo de la infracción. A tal efecto, debemos señalar que la culpabilidad del recurrente no puede considerarse excluida ni atenuada por el hecho de respecto a otra persona que difundió el vídeo se archivaran las actuaciones.
Por otro lado, se aduce por el actor la vulneración del derecho de igualdad en aplicación de la ley del art. 14 de la Constitución, en relación con una periodista que publicó el vídeo, y la Agencia Española de Protección de Datos archivó las actuaciones en base a que retiró el vídeo sin que la Agencia se dirigiese a ella.
En la Sentencia del Tribunal Supremo de 29 de noviembre de 2012 , recurso nº.6.440/2010, se declara respecto al principio de igualdad recogido en el art. 14 de la Constitución, lo siguiente; «…, admite dos vertientes: una referida a la igualdad ante la ley, que impide al legislador establecer, entre situaciones semejantes, diferencias de tratamiento; vertiente que reviste un carácter material (STC 78/1984, de 9 de junio ;107/1986, de 24 de julio; y 125/1986, de 22 de octubre) y que comporta la interdicción de las leyes en las que se establezca una diferenciación sin justificar. Y, otra vertiente, referida a la igualdad en la aplicación de la ley, que tiene un carácter formal y que persigue que no se realicen pronunciamientos arbitrarios y que se interprete la ley de forma igual para todos; principio de igualdad en la aplicación de la ley que no sólo es exigible a los órganos jurisdiccionales (siempre que exista identidad de órgano jurisdiccional: STC 126/1988, de 24 junio; 161/1989, de 16 de octubre; 1/1990, de 15 de enero), sino también a los administrativos, pues, también estos, al resolver, aplican la ley (STC 49/1982, de 14 de julio, y STS 20 de noviembre de 1985 ).
Por lo que hace referencia a la citada segunda de las vertientes del principio de igualdad («igualdad en la aplicación de la ley»), tanto la jurisprudencia del Tribunal Supremo como la del Constitucional han precisado perfectamente sus características y delimitación, señalando al efecto que el mismo encierra y presta contenido a una prohibición o discriminación de tal manera que ante situaciones iguales deban darse tratamientos iguales, por lo que sólo podrá aducirse ese principio de igualdad como violado cuando, dándose los requisitos previos de una igualdad de situaciones entre los objetos afectados por la norma, se produce un tratamiento diferenciado de los mismos en virtud de una conducta arbitraria no justificada de los poderes públicos quedando «enmarcados con rigurosa precisión los perfiles dentro de los cuales ha de desenvolverse la acción promovida en defensa de ese derecho fundamental de igualdad, que ha de entenderse entre iguales, es decir, entre aquellos que tiene circunstancias de todo tipo iguales …» ( STS 23 de junio.1989 ), pues «no toda disparidad de trato significa discriminación, sino que es necesario que la disparidad de soluciones sea ante situaciones absolutamente iguales» ( STS 15 de octubre de 1986 ). En consecuencia «tal principio ha de requerir… una identidad absoluta de presupuestos fácticos …» ( STS 28 de marzo de 1989 ).
En segundo lugar, pues, la aplicación del citado principio de «igualdad en la aplicación de la ley», «requiere que exista un término de comparación adecuado, de forma que se haya producido un tratamiento desigual en supuestos absolutamente idénticos ya que es presupuesto esencial para proceder a un enjuiciamiento desde la perspectiva del artículo 14 CE, que las situaciones que quieran traerse a la comparación sean efectivamente equiparables y ello entraña la necesidad de un término de comparación ni arbitrario ni caprichoso …» ( STS 6 de febrero de 1989 ). Por otra parte, una actuación «de la Administración al dar cumplimiento a los preceptos de la ley … para que pueda declararse vulneradora del principio de igualdad, es necesario acreditar que tal actuación fue arbitraria y discriminatoria» ( STS 13 de julio de 1989 ), pues el artículo 14 CE excluye que «la resolución finalmente dictada aparezca como fruto de un mero voluntarismo selectivo frente a casos anteriores resueltos de modo diverso» (STC 55/1988, de 24 de marzo; 181/4987, de 13 de noviembre ;y 1/1990, de 15 de enero). Debiendo, en consecuencia, concluirse señalando que lo «que el principio de igualdad en la aplicación de la ley exige no es tanto que la ley reciba siempre la misma interpretación a efectos de que dos sujetos a los que se aplique resulten siempre idénticamente afectados, sino que no se emitan pronunciamientos arbitrarios por incurrir en desigualdad no justificada en un cambio de criterio que pueda reconocerse como tal» y 1/1990, de 15 de enero)».
Pues bien, la aplicación de lo expuesto al caso presente, pone de manifiesto que el supuesto invocado por el actor, respecto a otra persona a la que se archivaron las actuaciones, no resulta un auténtico término comparativo válido, en los términos en los que la jurisprudencia que hemos citado requiere.
Pero, además, en todo caso, el principio de igualdad sólo puede desplegar sus efectos dentro de la legalidad según reiterada la doctrina del Tribunal Constitucional ( SS.TC. 43/1982, de 6-7,51/1985, de 10-4, 151/1986, de 1-12, 62/1987, de 20-5, 40/1989, de 16-2, 21/1992, de 14-2, 78/1997, de 21-4, y 144/1999, de 22-7, entre otras).
Por lo que procede desestimar el citado motivo de impugnación.
Fundamento de Derecho Sexto
Finalmente, se aduce por el demandante que la sanción impuesta no es acorde con el principio de proporcionalidad. Se argumenta que la sanción debe ser sustituida por la sanción de apercibimiento, tal y como establece el art. 58.2.b del RGPD, como ya ha hecho la Agencia Española de Protección de Datos en procedimientos similares en las que se ha difundido una imagen sin consentimiento de la persona, como en el PS-00310-2020, o fijar una cuantía no superior a 300 euros.
El incumplimiento del art. 6.1 del RGPD imputado al actor, que implica la comisión de una infracción tipificada en el art. 83.5 del RGPD, dispone lo siguiente: «Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;».
En la resolución sancionadora, después de tener en cuenta las previsiones de los apartados 1 y 2 del art. 83 del RGPD, al que se remite el art. 76 la Ley Orgánica 3/2018, de 5 de diciembre, se dice: «De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción tipificada en el artículo 83.5.a) del RGPD de la que se responsabiliza al reclamado, se estiman concurrentes los siguientes factores:
– La intencionalidad o negligencia en la infracción. En el presente caso estamos ante acción negligente no intencional (apartado b).
– El responsable del tratamiento de los datos NO ha tomado, que se sepa, ninguna mediada para paliar los perjuicios sufridos por los interesados (apartado c).
– El responsable del tratamiento de los datos NO ha ejercido, hasta el momento, ninguna cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción (apartado f).
– Las categorías de los datos de carácter personal afectados por la infracción, Los datos tratados en este caso, son de marcado carácter personal y por tanto identificadores de personas (apartado g).
– La forma en que la autoridad de control ha tenido conocimiento de la infracción. En este caso, a través de denuncia presentada por el reclamante, (apartado h).
De acuerdo con los preceptos indicados, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 76.2 de la LOPDGDD:
– La vinculación de la actividad del infractor con la realización de tratamientos de datos personales, (apartado b).
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en su artículo 6.1 del RGPD permite fijar una sanción de 75.000 euros (sesenta y cinco mil euros), considerada como «muy grave», a efectos de prescripción de la misma, en el 72.1.a de la LOPDGDD».
En el supuesto que nos ocupa, para la graduación de la sanción impuesta se ha tenido en cuenta en la resolución recurrida los siguientes elementos: Que se trata de la difusión de datos de la imagen de una mujer que está siendo golpeada y de su hijo menor que acude a ayudarla; que se trata de un particular cuya actividad principal no está vincula con el tratamiento de datos personales, y que no se aprecia reincidencia, por no constar la comisión de ninguna infracción de la misma naturaleza.
El principio de proporcionalidad de las sanciones comporta, según reiterada jurisprudencia del Tribunal Supremo, como la Sentencia de 12 de abril de 2012 -recurso nº. 5.149/2009, entre otras, que debe existir una debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, como dispone el art. 29.3 de la Ley 40/2015, de 1 de octubre.
Dicho principio no puede sustraerse al control jurisdiccional, pues el margen de apreciación que se otorga a la Administración en la imposición de sanciones dentro de los límites legalmente previstos, debe ser desarrollado ponderando en todo caso, las circunstancias concurrentes, al objeto de alcanzar la necesaria y debida proporción entre los hechos imputados y la responsabilidad exigida, dado que toda sanción, debe determinarse en congruencia con la entidad de la infracción cometida y según un criterio de proporcionalidad en relación con las circunstancias del hecho. De modo que la proporcionalidad constituye un principio normativo que se impone a la Administración y que reduce el ámbito de sus potestades sancionadoras.
Pues bien, de conformidad con las consideraciones expuestas acerca de la proporcionalidad existente entre la sanción impuesta y la gravedad de la infracción sancionada atendida las circunstancias concurrentes en el presente caso, estima la Sala que la resolución sancionadora no ha infringido el principio de proporcionalidad en la determinación de la sanción impuesta, que resulta ponderada y proporcionada a la gravedad de la infracción cometida y la entidad de los hechos, y debidamente motivada, sin que se aprecien razones que justifiquen su minoración, máxime teniendo en cuenta la cuantía a la que puede ascender dicha sanción de conformidad con el art. 83.5.a) del RGDP, que prevé para la infracción del art. 6 del RGDP, «multas administrativas de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía». En consecuencia, procede desestimar este último motivo de impugnación, y, por tanto, el presente recurso contencioso-administrativo.
Fundamento de Derecho Séptimo
A tenor del art. 139.1 de la Ley de la Jurisdicción, procede imponer las costas procesales a la parte actora.
Fallo
Que desestimando el recurso contencioso-administrativo interpuesto por el Procurador de los Tribunales don José Andrés Peralta de la Torre, en nombre y representación de DON Eloy, contra la resolución de 2 de diciembre de 2021 de la Directora de la Agencia Española de Protección de Datos, recaída en el procedimiento sancionador PS/00204/2021, por la que se le impone una sanción de 6.000 euros por una infracción del art. 6.1 del del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, tipificada en el art. 83.5 del citado Reglamento, declaramos la citada resolución conforme a derecho, con desestimación de todas las pretensiones; con expresa imposición de las costas procesales a la parte actora.
Errores probatorios cometidos por la parte actora
De la sentencia condenatoria por la difusión de imágenes en Twitter sin consentimiento, cabe señalar una serie de errores probatorios, gruesos, cometidos por la actora.
No impugnó capturas de pantalla de la publicación de imágenes en Twitter
El error más clamoroso es que la representación legal de este particular no impugnó las capturas de pantalla de Twitter practicadas por un funcionario. Y ello pese a ser la principal prueba de cargo y a que dichas capturas de pantalla se pueden generar y manipular con suma facilidad. Desde Indalics Peritos Informáticos hemos realizado numerosos informes periciales informáticos para desacreditar este tipo de soporte probatorio, como por ejemplo para impugnar estas supuestas publicaciones en Redes Sociales para un procedimiento en Granada por supuestas calumnias.
En aquel informe pericial, los peritos informáticos de Indalics procedieron a acreditar 2 métodos para fabricar las mismas capturas de pantalla aportadas por la parte actora, al objeto de hacer valer el principio «in dubio pro reo». Los 2 métodos utilizados para simular la publicación de imágenes en Twitter fueron:
- Creación de la captura de pantalla utilizando un editor de imágenes. Nuestros peritos usaron el editor Paint.net, generando y manipulando una captura de pantalla idéntica a la aportada, manipulando su alcance en «me gusta» y «retweets»
- Generación de captura de pantalla de publicación en Twitter mediante la herramienta “TweetGen”, generando un tweet idéntico a uno aportado por la actora.
Así, no se trató de una mera impugnación retórica de las publicaciones en Twitter aportadas, sino introduciendo duda razonable mediante la creación expresa de las mismas sin que existieran realmente en internet. Con ello quedaba demostrada la posibilidad de que los elementos de prueba aportados fueran ficticios.
No se adujo la falta de actuación de las personas reflejadas en las imágenes en Twitter
Una línea de defensa que la parte actora no exploró consiste en argumentar la falta de lesividad en base a la total falta de actuación de las personas que aparecían en las imágenes en Twitter. Esta línea se siguió también en el informe pericial informático aportado en el caso referido en Granada, en el que actuaron con éxito los profesionales de Indalics Peritos Informáticos.
Así, el perito informático colegiado demostró en su informe que existen procedimientos muy sencillos para denunciar y solicitar la retirada de contenidos en las redes sociales Facebook, Twitter y Youtube. Lo habitual en casos como el enjuiciado es la solicitud de retirada de contenidos, e incluso bloqueo de las cuentas que los publicaron, una vez documentadas debidamente dichas publicaciones para su puesta, en su caso, a disposición judicial o de la autoridad competente.
Ello se realiza para evitar que los contenidos se viralicen y lesionen o menoscaben el honor y/o la imagen de las personas afectadas, además de para prevenir posteriores publicaciones de esa índole. En el caso de la sentencia comentada, no consta que la persona afectada pidiera la retirada de los contenidos, permitiendo así, de forma consciente, que aumentara su impacto en redes sociales y éste permaneciera en el tiempo, con absoluta mala fe, para reclamar un mayor daño.
Por tanto, no sólo se trata sólo de revocar el consentimiento y exigir la retirada de contenidos a quien los publicó, sino que existen mecanismos para exigir su retirada a Twitter, que no consta que se articularan, para limitar el menoscabo a la imagen y a los datos personales de los afectados. De hecho se trata ésta de la medida más efectiva e inmediata.
En la causa de la sentencia examinada sólo consta en los Fundamentos de Hecho que Twitter catalogó automáticamente como contenido sensible el vídeo objeto de la controversia, pero no figura que se hubiera solicitado a Twitter la retirada de dicho material por parte de las personas afectadas.
No se impugnó la autenticidad de las imágenes en Twitter supuestamente publicadas
Otro error importante cometido por la representación legal del particular sancionado consistió en no impugnar la autenticidad de las imágenes en Twitter supuestamente publicadas. Más aún, teniendo en cuenta la escasa calidad de las imágenes, según se refleja en la sentencia. Así mismo, no se habría aportado dicho vídeo, sino únicamente unos supuestos fotogramas del mismo, mediante capturas de pantalla.
Bien, en primer lugar, no existe cadena de custodia digital de la prueba, no estando probado que, efectivamente, los fotogramas correspondieran al vídeo en cuestión. Así mismo, un fichero de vídeo digital se puede manipular, cuya posibilidad ya ha quedado patente con herramientas de IA generativa.
Por tanto, se podría haber puesto en tela de juicio, de forma debidamente argumentada, que fueran las personas denunciantes las que aparecían en las imágenes en Twitter. De hecho, no consta que se interviniera copia alguna del vídeo objeto central de controversia, más cuando el mismo no era ya accesible en el momento de la sanción administrativa.
No se contó con el asesoramiento técnico de un perito informático
El origen de todos estos fallos fue que no se contó con el asesoramiento técnico de un perito informático especializado en la materia. Los anteriores errores no se habrían cometido de contar la representación letrada con el apoyo de un profesional versado en estos asuntos. Independientemente de que se hubiera realizado una prueba pericial informática contradictoria, el perito informático puede guiar al letrado en este tipo de casuísticas técnicamente complejas.
Falta de costumbre probatoria en jurisdicción contenciosa
Desde Indalics Peritos Informáticos venimos constatando una sistemática falta de costumbre probatoria, por parte de los letrados en la jurisdicción contenciosa. Y ello pese a que en este tipo de procedimientos interviene multitud de prueba digital. ¿Se ha parado a pensar que ya todos los expedientes administrativos son digitales? ¿Sabe que hay funcionarios que llegan a falsificar expedientes para sustentar sus pretensiones?
A eso cabe añadir, como apunta muy bien la sentencia que es la actora la que debía acreditar, con prueba, extremos tales como:
- Las posibles dudas sobre la autenticidad de la prueba esgrimida por la AEPD. En su ausencia se asumió la aceptación tácita del origen, autenticidad e integridad de la misma.
- El grado de difusión del Tweet, que nunca se puso en duda con prueba contradictoria.
- La sentencia hace mención expresa a que, ni en fase administrativa, ni en contenciosa, la parte a presentado alegaciones y pruebas frente a la prueba practicada por la AEPD.
- No se prueba la obtención de consentimiento inequívoco de las personas afectadas, ni se rebate probatoriamente la identidad de las personas que aparecen en las imágenes en Twitter
- No se prueba el grado de seguimiento que tenía el perfil que publicó las imágenes en Twitter, por lo que no se pudo hacer valer la invocada excepción de tratarse de una actividad exclusivamente personal o doméstica.
- La sentencia recuerda que para invocar la ausencia de culpa no basta con la mera retórica. Se requiere soporte probatorio frente a las pruebas inculpatorias.
- Tampoco prueba debidamente el recurrente que existiera otra situación previa exactamente igual que se resolviera de manera distinta.
En definitiva, hay que aportar pruebas si se quiere afrontar este tipo de recursos contenciosos con un mínimo grado de viabilidad.
Expertos en peritaciones informáticas de publicación de imágenes en Twitter
En Indalics Peritos Informáticos somos expertos en la realización de peritaciones informáticas sobre publicación de imágenes en Twitter, tanto para demostrar cuándo tuvo lugar la publicación, su contenido y alcance, como para refutar estos extremos por no haberse aportado al proceso con las mínimas garantías procesales. Peritos informáticos colegiados y legalmente habilitados. Intervenimos en procesos judiciales con publicación de imágenes en Twitter por toda España.
Partners técnicos de confianza para letrados
Somos los peritos informáticos de confianza para su despacho jurídico y sus clientes. Aportamos amplios conocimientos técnicos y periciales, pero siempre desde una óptica legal y procesal adaptada al caso concreto. Además, todos nuestros peritos cumplen los requisitos legales para realizar la actividad de perito informático, acreditando su cumplimiento. Le ayudamos en su proceso por phishing bancario desde el minuto uno.