Source: https://www.piconyasociados.es/noticias/publicacion-de-datos-personales-de-terceros-en-redes-sociales/
Timestamp: 2020-07-15 11:00:09
Document Index: 21797214

Matched Legal Cases: ['artículo 2', 'artículo 6', 'Artículo 29', 'artículo 3', 'artículo 94', 'artículo 94']

PUBLICACIÓN DE DATOS PERSONALES DE TERCEROS EN REDES SOCIALES - Picón y Asociados
Portada » PUBLICACIÓN DE DATOS PERSONALES DE TERCEROS EN REDES SOCIALES
PUBLICACIÓN DE DATOS PERSONALES DE TERCEROS EN REDES SOCIALES2020-02-172020-02-17https://www.piconyasociados.es/wp-content/uploads/2019/08/piconyasociados_aniversario_2.pngPicón y Asociadoshttps://www.piconyasociados.es/wp-content/uploads/2020/02/imagen-jorge-rrss.jpg200px200px
Últimamente, está siendo objeto de debate hasta qué punto resulta de aplicación la normativa de protección de datos en la publicación de datos personales de terceros en redes sociales (Facebook, Instagram, etc.) por parte de particulares.
En este sentido, el artículo 2 del Reglamento General de Protección de Datos (RGPD), el cual establece su ámbito de aplicación material, indica expresamente que esta norma no se aplica al tratamiento de datos personales efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas. Esta excepción también se recoge en el considerando 18 del RGPD que establece que “El presente Reglamento no se aplica al tratamiento de datos de carácter personal por una persona física en el curso de una actividad exclusivamente personal o doméstica y, por tanto, sin conexión alguna con una actividad profesional o comercial”.
Precisamente, este considerando 18 recoge que “Entre las actividades personales o domésticas cabe incluir la correspondencia y la llevanza de un repertorio de direcciones, o la actividad en las redes sociales y la actividad en línea realizada en el contexto de las citadas actividades”.
Por lo tanto, de una primera lectura rápida, podría deducirse claramente que la publicación en redes sociales de imágenes y vídeos por un particular se encuentra fuera del ámbito de aplicación de la normativa de protección de datos, siempre y cuando dicha publicación no tuviese conexión con una actividad profesional o comercial.
Teniendo en cuenta lo indicado, el motivo del debate sería hasta qué punto la publicación por un particular de imágenes o vídeos en redes sociales se encuentra fuera del ámbito de aplicación de la normativa de protección de datos, por considerarse una actividad personal y doméstica, y cuándo dicha publicación excede de dicha esfera y sí le resulta de aplicación el RGPD.
En definitiva, ¿me puede sancionar la Agencia Española de Protección de Datos si publico en Facebook fotografías de mis amigos, familiares o conocidos sin su previo consentimiento?
La cuestión no es baladí. Hace poco se dio a conocer una resolución de la Agencia Española de Protección de Datos (AEPD) a través de la cual se sancionaba a un hombre por publicar en su estado de WhatsApp fotografías íntimas y capturas de conversaciones de una mujer y de una tercera persona del mismo centro de trabajo sin, lógicamente, su consentimiento, las cuales habían sido obtenidas de un Pendrive que la afectada había perdido. La AEPD decidió admitir a trámite la reclamación e iniciar procedimiento sancionador, por la presunta infracción del artículo 6.1.a) del RGPD (no disponer del consentimiento para el tratamiento de los datos). En este caso, es importante destacar que, entre las cuestiones que tiene en cuenta la AEPD para graduar la sanción, una de ellas es que el reclamado es una persona física.
Cabe destacar también la resolución de la Audiencia Nacional http://www.poderjudicial.es/search/AN/openDocument/00ca14b4570a9695/20180614. En este caso, se analiza la publicación, por parte del denunciado, en su perfil de Facebook de un vídeo correspondiente a una vista de juicio oral, siendo compartido por varios usuarios de la red social, en la que aparece la imagen de la reclamante. Junto al vídeo publicado figura un comentario de texto publicado por el propio usuario, en el que se alude a una supuesta denuncia falsa en un escenario de violencia de género incluyéndose detalles de la relación de pareja y propugnándose la derogación de las leyes de género. En este caso, la Audiencia Nacional considera que resulta plenamente aplicable la normativa de protección datos a la publicación de datos personales en Facebook, sin restricciones de acceso para el resto de los usuarios de la red social, por lo que dicho tratamiento excede del ámbito personal o doméstico.
Sobre los criterios a analizar a la hora de determinar en qué circunstancias el tratamiento de datos personales en redes sociales excede el ámbito personal y doméstico es importante destacar los siguientes documentos:
1. Dictamen publicado por el Grupo de Trabajo del Artículo 29, que adoptó el 12 de junio de 2009, sobre las redes sociales en línea (el cual analiza la Audiencia Nacional en el caso referenciado anteriormente). Dicho Dictamen se centra en cómo el funcionamiento de los servicios de redes sociales puede satisfacer los requisitos de la legislación sobre protección de datos de la Unión Europea.
En dicho documento se destaca cómo muchos usuarios de las redes sociales se mueven dentro de una esfera puramente personal, poniéndose en contacto con gente como parte de la gestión de sus asuntos personales, familiares o domésticos. El GT29 estima que, con carácter general, en la mayor parte de las actividades realizadas por los usuarios de un servicio de redes sociales debe aplicarse lo que denomina “exención doméstica”, en lugar de la normativa de protección de datos.
Pero en el citado Dictamen se especifican tres supuestos en los que tales actividades no estarían cubiertas por la “exención doméstica”.
Cuando se utiliza el servicio de redes sociales como plataforma de colaboración para una asociación o una empresa. Si un usuario actúa en nombre de una empresa o de una asociación o utiliza el servicio de la red social principalmente como una plataforma con fines comerciales, políticos o sociales, la exención no se aplica.
El GT29 expone que los prestadores de servicios de redes sociales deben garantizar la instauración de configuraciones por defecto gratuitas y que respeten la privacidad, restringiendo el acceso a los contactos seleccionados. En estas condiciones, cuando el acceso a la información del perfil se amplía hasta más allá de los contactos seleccionados, como cuando se facilita el acceso al perfil a todos los miembros del servicio de redes sociales o cuando los datos son indexables por motores de búsqueda, el acceso se sale de la esfera personal o doméstica. De igual manera, si un usuario toma una decisión informada de ampliar el acceso más allá de los “amigos” seleccionados, las responsabilidades inherentes a un responsable de datos se activan.
Aquellos supuestos en los que es preciso garantizar los derechos de terceros, particularmente en relación con datos sensibles, como los que revelan el origen racial o étnico, opiniones políticas, creencias religiosas o filosóficas, la pertenencia a un sindicato o datos relativos a la salud o a la vida sexual.
No obstante, se hace constar que, aun cuando se aplique la “exención doméstica”, un usuario podría ser responsable de acuerdo con las disposiciones generales de la legislación civil o penal nacional en cuestión.
2. Guidelines 3/2019 on processing of personal data through video devices, publicada por el Comité Europeo de Protección de Datos, con respecto a la videovigilancia, que establece, en su apartado 12, lo siguiente:
Por lo tanto, según lo considerado por el Tribunal de Justicia de la Unión Europea, la llamada “exención del hogar” debe “interpretarse en relación solo con actividades que se llevan a cabo en el curso de la vida privada o familiar de las personas, lo que claramente no es el caso con el procesamiento de datos personales consistente en la publicación en Internet para que esos datos sean accesibles a un número indefinido de gente“.
3. Sentencia del Tribunal de Justicia de la Unión Europea de 6 de noviembre de 2003 (Bodil Lindqvist), que, si bien es anterior al RGPD, manifiesta lo siguiente: “En cuanto a la excepción prevista en el segundo guion del artículo 3, apartado 2, de la Directiva 95/46, en el duodécimo considerando de esta última, relativo a dicha excepción, se citan como ejemplos de tratamiento de datos efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas la correspondencia y la llevanza de un repertorio de direcciones. En consecuencia, esta excepción debe interpretarse en el sentido de que contempla únicamente las actividades que se inscriben en el marco de la vida privada o familiar de los particulares; evidentemente, no es éste el caso de un tratamiento de datos personales consistente en la difusión de dichos datos por Internet de modo que resulten accesibles a un grupo indeterminado de personas.”
Al hilo de todo lo anterior, la AEPD ha abierto un “Canal Prioritario” para que cualquier tercero que tenga conocimiento de la existencia de fotografías, vídeos o audios de contenido sexual o violento que circulan por Internet sin el consentimiento de las personas afectadas, solicite su retirada a la AEPD a través de este canal. Es importante destacar que este canal, tal y como se refleja en el apartado de preguntas frecuentes de la Web de la AEPD (https://sedeagpd.gob.es/sede-electronica-web/vistas/infoSede/preguntasContenidos.jsf), se ha habilitado para la atención de situaciones excepcionalmente delicadas, cuando los contenidos (fotografías o vídeos) tengan carácter sexual o muestren actos de agresión y se estén poniendo en alto riesgo los derechos y libertades de los afectados, especialmente si se trata de menores de edad o de víctimas de violencia por razón de género.
Por lo tanto, no estaría previsto su uso para denunciar cualquier otra publicación que, si bien se ha hecho sin consentimiento, no tiene este contenido de carácter sexual o de actos de agresión. Es más, la propia AEPD indica que “En este sentido, debes tener en cuenta que, con carácter general, la actividad de los ciudadanos en las redes sociales está excluida de la aplicación de la normativa de protección de datos, siempre que se trate de actividades exclusivamente personales o domésticas. Por ello, podrás acudir a este canal sólo en casos excepcionales en los que, por tratarse de datos especialmente sensibles, la privacidad de la persona afectada se esté poniendo en grave peligro.”
Adicionalmente, la AEPD ha publicado un documento (puedes consultar el contenido íntegro del mismo pinchando en el siguiente enlace: documento) que describe las posibles responsabilidades en materia de protección de datos que puede acarrear la publicación de contenido sensible en Internet, aparte de responsabilidades en el ámbito penal (delito contra la intimidad o integridad moral), laboral (acoso laboral) o civil (daños y perjuicios).
Centrándonos en las responsabilidades en materia de protección de datos, la AEPD indica que “la difusión de datos sensibles de una persona física (en contenidos tales como imágenes, audios o vídeos que permitan identificarla), publicados en diferentes servicios de internet sin consentimiento se considera una infracción de la normativa de protección de datos personales. La AEPD es competente para sancionar estas conductas con multas que, en los casos más graves, pueden alcanzar los 20.000.000 de euros o, tratándose de una empresa, una cuantía equivalente al 4% del volumen de negocio total anual global del ejercicio financiero anterior.
Analizaremos la reclamación de forma prioritaria y, en su caso, ordenaremos la retirada del contenido al prestador del servicio o plataforma donde se esté difundiendo. Además, si hay indicios de delito, lo pondremos en conocimiento de la Fiscalía. En tales circunstancias, te informaremos de estos pasos. Si procede, la investigación continuará para tramitar un procedimiento sancionador contra las personas responsables de la difusión.”
En todo caso, solo se refiere a la publicación de datos sensibles (contenido sexual o violento) por lo que parece obviar el resto de contenido que se suba a una red social sin consentimiento, estableciendo como marco delimitador del ámbito personal y doméstico, las imágenes o vídeos publicados que tengan contenido sexual o violento (que es uno de los tres supuestos indicados por el GT29), en definitiva, un contenido sensible, pero ¿por qué debería delimitarse a estas publicaciones? ¿Y si yo publico una fotografía de un tercero sin su consentimiento en redes sociales sin contenido sensible pero accesible a todo el mundo? ¿no estaríamos también fuera del ámbito personal y doméstico y la AEPD debería tener potestad para sancionar?
Está claro que afecta más a la privacidad de una persona las publicaciones realizadas en redes sociales con un contenido sexual y violento. No obstante, conforme al criterio manifestado por el GT29 en el Dictamen analizado, las publicaciones que sean accesibles a todo el mundo también excederían del ámbito personal y doméstico y, por lo tanto, les resultaría de aplicación la normativa de protección de datos, teniendo la AEPD potestad para sancionarlas, aunque entiendo que, de ser así, la AEPD no daría abasto a dar respuesta a estas reclamaciones y podría afectar al uso cotidiano que los ciudadanos hacen de las redes sociales.
En cualquier caso, por ahora, parece que el elemento fundamental que tiene en cuenta la AEPD para valorar que la publicación en redes sociales excede el ámbito personal y doméstico y que la conducta, por tanto, resulta sancionable por protección de datos es el carácter sensible de la publicación.
Para terminar, hacer mención al artículo 94 de la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que regula el derecho al olvido en redes sociales y servicios equivalentes. En concreto, este artículo establece lo siguiente:
¿Quiere esto decir que no procedería, en la mayoría de los casos, el derecho al olvido en las redes sociales conforme a lo indicado en el apartado 2 del artículo 94 LOPDGDD? Teniendo en cuenta que, salvo los supuestos indicados, en la mayor parte de las actividades realizadas por los usuarios de un servicio de redes sociales debe aplicarse la excepción relativa al tratamiento de datos para fines personales o domésticos.
Jorge de Diego Retuerta
Introducción a los Modelos de Prevención de DelitosNoticias