En este blog llevamos muchos años escribiendo sobre protección de datos además de analizar las resoluciones que nuestra autoridad de control va haciendo públicas, por lo que ya sabemos que la base de legitimación necesaria para publicar una fotografía de una persona en una red social o página web es el consentimiento. Pero ¿Qué ocurre si una fotografía o imagen es borrosa o no se aprecia con nitidez quien puede ser?
En esta ocasión, la Agencia Española de Protección de Datos, en adelante AEPD, ha publicado una resolución, con número de expediente 202211132, curiosa e interesante para analizar, la cual versa sobre la pregunta anteriormente expuesta y que ha dado lugar a que una empresa haya sido sancionada por no suprimir la imagen de uno de sus extrabajadores en un video. Lo llamativo de este caso es que ese extrabajador aparecía en el video sentado en un sofá tras una cristalera con vinilos, los cuales impedían ver claramente parte del rostro y del cuerpo del mismo.
Comenzamos de este modo relatando los hechos:
La parte reclamante, el extrabajador que aparecía en el video objeto de instrucción, trabajó para la empresa reclamada, en su momento, autoriza verbalmente a su empleadora a publicar en sus páginas web, catálogos, redes sociales, plataformas, etc imágenes donde aparecía con el fin de que la empresa promocionara sus servicios e instalaciones.
Una vez finalizada su relación laboral solicitó la supresión de su imagen a la empresa. Manifiesta que ejercitó el derecho en tres ocasiones en los años 2019, 2021 y 2022. La parte reclamada atendió dichas peticiones, indicándole que sus imágenes habían sido retiradas.
No obstante, en agosto de 2022 el reclamante constató que su imagen seguía apareciendo en un vídeo alojado en el canal de YouTube de la parte reclamada por lo que vuelve a ejercitar su derecho de supresión incluyendo en su petición una fotografía en la que la parte reclamante aparecía sentado en un sofá tras una cristalera con vinilos, que impedían ver parte del rostro y del cuerpo.
En dicha comunicación no se indicaba dónde se encontraba alojada la imagen que se pretendía que fuera suprimida. Por ello, la empresa solicitó a la parte reclamante que les indicara dónde se encontraba dicha imagen para proceder a eliminarla. La parte reclamante envió un correo electrónico a la parte reclamada para indicarle que la imagen controvertida se encontraba en un vídeo alojado en su canal de YouTube.
Ese mismo día, presentó ante la AEPD la reclamación que ha dado lugar al expediente sancionador que estamos analizando.
Como consecuencia de los hechos mencionados, la Agencia inicia procedimiento sancionador contra la empresa a la que se le imputaban dichos ilícitos. La parte reclamada presenta escrito de alegaciones, las cuales iremos enumerando y detallando:
1.- Respecto de la imagen del reclamante y su consideración como dato de carácter personal:
La empresa reclamada considera que la imagen objeto de este expediente estaría “anonimizada” y no supone el tratamiento de un dato de carácter personal. La empresa alega que resulta difícil de creer que alguien pueda identificar al reclamante en dicha imagen, pues el vinilo decorativo que tapa parte de su rostro y de su cuerpo actúa a modo de “pixelado”, haciendo irreconocible a la persona que se encuentra detrás del mismo. Afirma además que el reclamante casi pasa desapercibido cuando se visualiza la foto por primera vez.
Para sostener sus alegaciones, la parte reclamada cita la Sentencia de la Audiencia Nacional, 29/09/2011 (recurso 2/2010) donde se hace referencia a una fotografía pixelada y otra en la que el rostro no se aprecia con claridad, considerando que las personas fotografiadas no eran identificables.
Argumenta que la imagen objeto de conflicto no es un dato personal ya que no permite identificar o hacer identificable a una persona física, en el sentido de poder determinar la identidad de la misma. Considera que en este caso no se puede determinar la altura del reclamante, ni su complexión, ni su forma de actuar. Continúa manifestando que no se aprecian en la misma rasgos distintivos únicos y singulares que lo individualicen, ni puede deducirse de la imagen en cuestión ni la edad ni su manera de ser. Asimismo, indica que el vinilo de la cristalera tapa no solo la cara del reclamante, sino también su cuerpo, por lo que su identificación no es posible, ni de forma directa, ni indirecta, pues la persona sentada en el sofá ni siquiera está realizando las labores propias de un puesto de trabajo por lo que podría tratarse de un cliente o de alguien que visita las instalaciones.
2.- Respecto de los antecedentes de la reclamación:
Por otro lado, la empresa reclamada aprecia que, como consecuencia del ejercicio del derecho de supresión por parte del reclamante en 2019, procedió de inmediato a difuminar su rostro en varias fotografías en las que aparecía, publicadas en dos sitios web y se lo comunicó. El reclamante, disconforme con la medida de difuminado, presentó una reclamación por ejercicio de derechos ante la AEPD. Posteriormente, interpuso un recurso de reposición contra la resolución de dicho procedimiento.
Respecto a esto, la empresa no entiende que la Agencia considere como dato personal a la fotografía controvertida debido a que, en el expediente sobre el ejercicio de derecho de supresión, tras el difuminando el rostro del reclamante, la AEPD entendió debidamente atendido el derecho de supresión que había ejercitado el reclamante.
3.- Sobre el ejercicio de derecho de supresión:
La empresa reclamada considera que en su momento elimino todas las imágenes que el reclamante solicito en su derecho de supresión salvo el fotograma dentro del video objeto de controversia debido a que el extrabajador no les indico donde se encontraba. No obstante, y de conformidad con la Agencia, el ejercicio de supresión se atendió debidamente.
Una vez comentadas las alegaciones realizadas por la parte reclamada, nuestra autoridad de control concluye que los hechos probados, son los siguientes:
1.- La parte reclamante fue ex empleado de la empresa reclamada.
2.- El extrabajador dio autorización verbal a la empresa para la publicación de imágenes donde aparecía con el fin de que la misma promocionara sus servicios e instalaciones, y así lo confirma en su escrito de reclamación.
3.- En 2019 el reclamante ejercito su derecho de supresión ante la empresa recamada, por el que solicitaba la retirada de las imágenes y fotografías en las que aparecía. Posteriormente, en 2021 y 2022 dirigió a dicha empresa dos nuevos escritos ejercitando el derecho de supresión. Dichos escritos reflejan que la parte reclamada ya no contaba con el consentimiento del reclamante para el tratamiento de su imagen.
4.- La AEPD manifiesta que ha quedado acreditado que entre agosto y septiembre de 2022 la empresa reclamada tenía publicado en su canal de YouTube un vídeo con varias imágenes de su sede. En una de dichas imágenes, aparecía el reclamante sentado en un sofá detrás de una cristalera decorada con vinilos, que ocultaban parte de su cara y de su cuerpo. Posteriormente el video fue retirado.
Así las cosas, nos centramos pues en los fundamentos de derecho más significativos realizados por la Agencia respecto de los hechos mencionados:
- La imagen del reclamante tiene la consideración de dato de carácter personal
Comienza nuestra autoridad de control haciendo referencia a que la imagen de la persona es un dato de carácter personal que puede, por sí solo, hacer identificable a la persona a la que pertenece.
Asimismo, considera que la imagen objeto de conflicto encaja a la perfección en la definición de lo que es un dato de carácter personal, haciendo alusión al artículo 4.1) RGPD:
“«datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha personal;”
También referencia dos informes al respecto:
- Informe 139/2017 del Gabinete Jurídico de la AEPD afirma que “la imagen (…) es un dato personal, al igual que lo será cualquier información que permita determinar, directa o indirectamente, su identidad (…)”
- Dictamen 4/2007 del Grupo de Trabajo del Artículo 29 sobre el concepto de datos personales, “se puede considerar «identificada» a una persona física cuando, dentro de un grupo de personas, se la «distingue» de todos los demás miembros del grupo”.
Es decir, según estas apreciaciones, resulta posible singularizar a dicha persona física.
Y es claro que la imagen de cualquier persona puede ser identificada como mínimo por los que se integran su círculo de personas conocidas más cercano (familiares, compañeros de trabajo o de actividades sociales, etc).
Consideran pues que la difusión de la imagen del reclamante hizo posible que llegara a ser identificado por las personas que lo conocían.
La Agencia también hace referencia a la calificación que la empresa reclamada realiza en sus alegaciones, manifestando que la imagen del reclamante tras el vinilo estaría por ello “anonimizada”. Sin embargo, a criterio de la AEPD no cabe considerar anónima la imagen del reclamante, dado que guarda relación con una persona física identificable, tal y como argumentan mencionando su publicación “Anonimización y seudonimización”, no constituyendo una actuación destinada anonimizar la imagen, el hecho de que el vinilo decorativo de la cristalera tape parte de la cara y del cuerpo del reclamante.
Por tanto, respecto de este fundamento de derecho y en la línea marcada por la Agencia, la inclusión de la imagen del reclamante en un vídeo alojado en el canal de YouTube de su antigua empresa, que mostraba imágenes de la sede de dicha empresa, identificaba o hacía identificable al mismo, suponiendo un tratamiento de datos personales.
- Análisis de la fotografía y de la jurisprudencia a la que hace referencia la parte reclamada:
En este caso, la Agencia se centra en valorar si la persona que aparece en la imagen controvertido es identificable o no. Para ello comienza haciendo una detallada descripción de dicha imagen:
“En la imagen objeto de la reclamación el Sr. A.A.A. efectivamente se encuentra a la izquierda, sentado en un sofá detrás de una cristalera. El vinilo que decora la cristalera no tapa totalmente el rostro, como afirma la entidad, pero sí oculta una parte importante de su cara.
Sin embargo, pueden verse gran parte de la frente y del pelo, la oreja derecha completa, parte de la patilla derecha de unas gafas de color oscuro, así como parte de la barba. A pesar de los cuadrados de colores del vinilo de la cristalera que tapan parte de su cuerpo, se identifican perfectamente las prendas con las que está vestido, la forma en la que está sentado (la postura corporal) y la silueta casi en su totalidad, con excepción de los pies.”
Para argumentar que, efectivamente, la persona de la imagen es identificable, la AEPD hace referencia a la Sentencia nº 784/2004, de la Sección 1ª de la Sala de lo Civil del Tribunal Supremo, de fecha 12 de julio de 2004, en la cual el Tribunal Supremo examinó si una mujer desnuda, pero sin rostro, cuya fotografía había aparecido en la portada de un periódico de difusión provincial, era o no identificable. Ya que los testigos sí que identificaron a la persona, solo con apreciar su silueta sin el rostro, el TS considero que, efectivamente, en esa fotografía se identificaba a la mujer. Era identificable.
Por otra parte, la empresa reclamada menciona la Sentencia de Sección 1ª de la Sala de lo Contencioso-Administrativo de la Audiencia Nacional, de fecha 29 de septiembre de 2011 (rec: 2/2010), a la cual hemos hecho referencia anteriormente. Dice la Agencia que en la Sentencia mencionada se hacía referencia a unas imágenes que no eran nítidas, hasta tal punto que no se podía reconocer si las personas que salían en dicha imagen eran hombre o mujer.
Por tanto, nuestra autoridad de control estima que no puede asimilarse al caso tratado en el expediente objeto de análisis.
- No existía una base legitimadora para realizar el tratamiento conforme a lo dispuesto en el artículo 6 del RGPD:
Nuestra Agencia entiende que la empresa reclamada trató la imagen del reclamante a pesar de no contar con ninguna de las bases legitimadoras previstas en el artículo 6 del RGPD.
En relación con el consentimiento, como posible base legitimadora del tratamiento, el reclamante reconoce en su escrito de reclamación de septiembre de 2022 que dio una autorización verbal para la publicación de sus imágenes por parte de la entidad en la que trabajaba.
No obstante, la parte reclamante ejercitó su derecho de supresión en tres ocasiones para que dicha empresa no continuara tratando su imagen. Por tanto, el consentimiento que hubo en su momento ya no existía.
- Referencia al expediente sobre el ejercicio de derecho de supresión:
Anteriormente hemos comentado que el reclamante, antes de iniciar este procedimiento, presento otra reclamación ante nuestra autoridad de control contra la reclamada, en este caso, por no atender a su ejercicio de derecho de supresión, ya que aún faltaba de suprimir por la entidad la imagen objeto de conflicto y sobre la que versa dicho artículo.
Esta última resolución examinaba exclusivamente si se había vulnerado el contenido del artículo 17 del RGPD. La Agencia, en este caso, considera que no se ha vulnerado dicho artículo ya que la empresa actúa con diligencia.
Para el caso que nos ocupa, la empresa reclamada alega que hay una contradicción entre el presente expediente y el anterior ya que atendieron debidamente el ejercicio de derecho de supresión. La Agencia manifiesta que no cabe apreciar la supuesta contradicción que parece dar a entender la reclamada entre ambos expedientes ya que en cada uno se examinan diferentes supuestos.
- Derecho a la protección de datos:
En este último fundamento de derecho es donde finalmente se considera por parte de la Agencia que el tratamiento de datos realizado por la parte reclamada de la parte reclamante, que aparece en la imagen objeto del procedimiento, se ha efectuado sin causa legitimadora de las recogidas en el artículo 6 del RGPD.
En el supuesto analizado, los datos de la parte reclamante, que ha tratado la parte reclamada, son identificables ya que su identidad podría llegar a determinarse, directa o indirectamente.
Aunque la imagen no permite ver por completo a la persona, sí se la ve en parte. Esto unido al hecho de que aparece vinculado a la parte reclamada, donde trabajaba, que es otra información adicional, podrían hacer, en este supuesto concreto, identificable a esa persona. Todo ello, constituye un tratamiento de datos personales de la parte reclamante que deriva en la vulneración del articulo 6 RGPD.
Así las cosas, nuestra autoridad de control considera que corresponde imputar una sanción a la parte reclamada por la vulneración del artículo 6.1 del RGPD tipificada en el artículo 83.5 del RGPD. La sanción que corresponde imponer es de multa administrativa por un importe de dos mil euros.
Esta resolución nos tiene que hacer reflexionar a la hora de subir fotografías. Aunque publiquemos una fotografía o un video con un pixelado, emoji… debemos hacernos la siguiente preguntar ¿es posible identificar, incluso con “camuflaje” a dicha persona? Si la respuesta es que si, como así ha resuelto en este caso nuestra autoridad de control, debemos pensarnos dos veces la publicación de dicha imagen en internet, sobre todo si no contamos con el consentimiento del titular de dichas imágenes.
