Desde la entrada en vigor del Reglamento Europeo de Protección de datos (en adelante, RGPD) el único consentimiento válido para tratar los datos personales de los interesados se determina en una manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración, o una clara acción afirmativa, el tratamiento de los datos persones que le conciernen (artículo 4.11 del RGPD).
En relación con la definición de consentimiento (art. 6.1 a) del mismo texto normativo), supone un cambio de paradigma respecto del contexto vigente con anterioridad a la citada norma, por cuanto hace desaparecer de la realidad jurídica el denominado “consentimiento tácito”, que no es otra cosa que la falta de manifestación de voluntad (Grupo de trabajo del artículo 29 Directrices sobre el consentimiento en el sentido del Reglamento (UE) 2016/679).
Al hilo de ello, la Agencia Española de Protección de datos (en adelante, AEPD) se ha pronunciado recientemente en Resolución 00172/2020 sancionando a un establecimiento nocturno por el incumplimiento del principio general de licitud. El presente procedimiento tiene origen en la grabación de imágenes y vídeos de clientes en el interior del pub para su posterior difusión en sus redes sociales. El reclamado, esto es, la entidad, se defiende argumentando como base legítima del tratamiento el consentimiento de los interesados en las siguientes evidencias:
- Que se dispone de un cartel de dimensiones adecuadas en la única entrada del local (ocupa más de un 25% del marco de entrada al local) donde figura una comunicación expresa del hecho de que en el local se hacen fotografías y vídeos de ambiente, realizados no de forma automatizada sino por un fotógrafo.
- Que se indica también que ante cualquier duda se pongan en contacto con la dirección (diferentes vías: por correo electrónico o por teléfono).
- Y, que en todo caso las fotografías e imágenes de ambiente son borradas y sustituidas por otras con carácter semanal teniendo cualquier cliente derecho a dirigirse a la dirección, en el caso de que la fotografía o el video fuese realizado sin ser consciente de ello, existiendo, por tanto, mecanismos para solicitar la retirada inmediata del mismo.
El reclamado entiende que se trata de una legitimación suficientemente válida, el hecho de colocar una señalización en la única puerta de acceso al local cumpliendo perfectamente todos los requisitos informativos, pudiendo la persona que no lo desee no acceder a su interior; y considera que el hecho de que no se pueda garantizar la lectura de la señal de advertencia por todos los usuarios que accedan al local no la inválida, a no ser que se impida su visualización por algún motivo, que no sea legible o que entre en contradicción con otras señales.
Cabe destacar la comparativa que realiza con la legislación sobre tráfico: no existiendo normativa específica acerca de la señalización en materia de protección de datos, habría que extrapolar esa normativa de las dos únicas normativas existentes en la materia y de las cuales se extrapola toda la base legal de otro tipo de señales no contempladas en ellas (Real Decreto Legislativo 6/2015 de 30 de octubre, por el que se aprueba el texto refundido de la ley sobre tráfico, circulación de Vehículos a motor y señalización vial y Real Decreto 485 /1997, de 14 de abril, sobre disposiciones mínimas en materia de señalización de seguridad y salud en el trabajo).
En ambos casos se establece un sistema de señalización mediante paneles de diferente índole (prohibición, advertencia, obligación etc.) donde, todos los usuarios de las vías objeto de esta Ley están obligados a obedecer las señales de la circulación que establezcan una obligación o una prohibición y a adaptar su comportamiento al mensaje del resto de las señales reglamentarias que se encuentren en las vías por las que circulan. Esto es, carece de efecto liberatorio el hecho de que la señal fuese vista o no, siempre que exista(art. 53 del Real Decreto Legislativo 6/2015 de 30 de octubre, por el que se aprueba el texto refundido de la ley sobre tráfico, circulación de Vehículos a motor y señalización vial).
Así las cosas, se entiende por parte del reclamado, que accede al interior del local pudiendo estar informado o no, pero en ningún momento se le niega el derecho a la información y por tanto su consentimiento al acceder de forma directa al establecimiento es libre y consciente.
No obstante, y pese a las explicaciones del perjudicado, la AEPD se pronuncia considerando que pese a que el reclamado ha basado el tratamiento de datos objeto del procedimiento en el consentimiento del interesado, matiza su definición, que ya hemos visto con anterioridad, añadiendo con respecto a la forma del mismo las indicaciones del Considerando 32 del RGPD: El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le concierten, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal. Respecto a ello, se manifiesta, por tanto, que el interesado tiene que aceptar de un modo indubitado el tratamiento de sus datos a través de una acción deliberadamente afirmativa y con carácter previo al comienzo del tratamiento de los datos (Directrices 5/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679).
Abundando en esta necesidad de declaración clara e inequívoca, lo complementa con el inciso primero del art 7 del RGPD: “Cuando el tratamiento se lleva a cabo con el consentimiento del interesado, el responsable del tratamiento debe ser capaz de demostrar que aquel ha dado su consentimiento a la operación de tratamiento.
El RGPD no prescribe una única manera de registrar el consentimiento prestado y así, corresponderá al responsable determinar aquella, en línea con el principio de responsabilidad proactiva establecido en el artículo 4.2 del RGPD, de tal manera que pueda probar que el interesado ha prestado de manera válida el citado consentimiento, en otras palabras, que este es informado, libre, específico, y prestado de manera inequívoca.
Con lo expuesto, el reclamado lleva a cabo un tratamiento de datos consistente en la toma de fotografías de los clientes del establecimiento para posteriormente difundirlas en las redes sociales basándose en el consentimiento y ello no resulta conforme con la normativa de protección de datos desde el momento en que estas personas no son conscientes del instante en que esas fotografías están siendo tomadas, no siendo así el consentimiento válido.
El responsable del tratamiento no puede acreditar que las personas objeto de las imágenes hayan sido debidamente informadas. El hecho, por sí solo, de disponer de un cartel a la entrada del local aun cuando recoja al menos la información básica dispuesta en el artículo 11 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de datos y garantía de derechos digitales, también art 12 del RGPD, y señalando una dirección donde acudir ante posibles inconvenientes, no es suficiente para aquellos tratamientos de datos cuya base legitimadora sea el consentimiento, ya que no permite acreditar que todas y cada una de las personas cuyos datos van a ser tratados, en este caso sus imágenes, han leído el cartel y han sido informadas. Donde si fuera suficiente, por ejemplo, si el tratamiento se llevara a cabo por razones de seguridad a través de un sistema de videovigilancia, siendo la base legitimadora, en esta ocasión, el interés público, reconocido en el art 6.1 e) del RGPD y cumpliendo el principio de información con la colocación del cartel reuniendo unas exigencias mínimas.
Al hilo de lo antedicho, no podemos considerar que las personas que son captadas sin ser conscientes de su grabación hayan consentido indubitadamente la toma de una fotografía o vídeo de su imagen siendo posible que ni siquiera conozcan que están siendo objeto de ese tratamiento.
Teniendo en cuenta todo ello, la AEPD resuelve que, pese a existir un cartel informativo claramente visible a la entrada del establecimiento y aunque se pudiera pensar que recae en la esfera de responsabilidad de los clientes el hecho de leerlo o no, el marco que configura el RGPD para los tratamientos cuya base legitimadora sea el consentimiento de los interesados exige una clara acción afirmativa en la prestación de dicho consentimiento, requisito que aquí no ocurre. La clave se encuentra ahora en la clara acción afirmativa, es decir, se exige expresamente una acción positiva dejando de lado cualquier incertidumbre. La disposición de la lectura del cartel antes de acceder al local es un requisito necesario, pero no suficiente y por eso sanciona con apercibimiento a la entidad en base al incumplimiento del art 6.1 del RGPD.
De otro lado, en aquellas fotografías en las que el cliente aparece mirando directa e intencionadamente a la cámara o incluso solicitando él la fotografía, sí sería posible concluir, a diferencia del caso anterior, que el consentimiento es inequívoco (aunque de todas formas se tenga que informar de la finalidad del tratamiento estando el responsable en condiciones de acreditar que estos extremos han sido cumplidos).
Este cambio de paradigma con la nueva normativa en protección de datos en lo que respecta al consentimiento nos interesa, al fin y al cabo, todos hemos podido salir en fotos o vídeos dentro de un local y que posteriormente hayan sido publicados en las redes sociales. Las entidades deberán tener en cuenta que en el caso de que no sea viable obtener de ninguna forma el consentimiento expreso, para no incurrir en un incumplimiento, se recomienda la no realización de fotografías en las que se capten primeros planos o donde se pueda identificar perfectamente a las personas.
En definitiva, cualquier establecimiento debe tener especial diligencia y no suponer que por el hecho de colocar un cartel informativo en la puerta de acceso ya se otorga el consentimiento para que dichas personas sean grabadas o fotografiadas y se pueda difundir su imagen en las redes sociales de dicho local.
