Érase una vez una novia muy ilusionada que encarga su vestido a una reconocida firma del sector. Después de varias pruebas, la novia se va a su casa con su diseño. Se casa. Como todas las novias de su generación, cuelga fotos en sus redes sociales, etiqueta a la firma que diseñó su vestido en agradecimiento y reconocimiento a su trabajo, la firma repostea estas publicaciones en su perfil, y hasta este momento todos contentos. La firma de costura por el agradecimiento de su clienta y la novia por la publicación de las fotografías por parte de la firma.
Poco más tarde, la firma repostea en las stories de Instagram la fotografía de una novia con su cara tapada, sin más. La publicación desaparece una hora más tarde.
Al cabo de unos meses la firma nupcial recibe un requerimiento de la Agencia Española de Protección de Datos dando traslado de una reclamación interpuesta por la “agradecida” novia. El motivo de la reclamación es la publicación en Instagram de una foto (la foto de la novia con la cara tapada) en la que figura la parte reclamante vestida con su traje de boda. Se inicia el procedimiento que termina con la sanción de 10.000€.
Más allá de la desproporcionada sanción impuesta, que ahora veremos, el asunto en cuestión es interesante por varios motivos:
(i) ¿Existe tratamiento de datos? La reclamada alegó que, puesto que la publicación se había hecho tapando la cara de la reclamante, no siendo la misma ni identificada ni identificable, no puede entenderse que exista tratamiento de datos, según las definiciones del RGPD.
La resolución se limita a señalar que “las imágenes publicadas por la parte reclamada sí eran identificables” sin mayor explicación y sin fundamentar esta tajante afirmación. La pregunta es ¿cómo es posible identificar a una persona cuyo rostro está tapado? Dado que este era uno de los principales motivos de discusión, que además no es una cuestión baladí, puesto que determina la existencia o no de un tratamiento de datos y, por tanto, la procedencia o no del procedimiento, habría sido deseable que la AEPD hubiera fundamentado este “hecho probado”. Más aún cuando la AEPD se ha pronunciado en sentido contrario en otras ocasiones, alentando a pixelar las fotografías para anonimizar los datos.
(ii) En el caso de que se considerara que existe tratamiento, ¿cuál sería la base de legitimación? De la resolución se desprende, por una somera alusión, que debería ser el consentimiento, pero sin entrar a analizarlo. Podría entenderse que existe consentimiento al aceptar los términos y condiciones de uso de Instagram, que permite el reposteo y la publicación de fotos de terceros o, incluso, podría invocarse la doctrina de los actos propios al entender que la previa publicación por parte de la novia de su fotografía etiquetando a la firma de costura supone un consentimiento para la publicación de dicha fotografía. Otra interpretación sería afirmar la existencia de un interés legítimo de la firma para promocionar sus diseños, o, atendiendo al dato de que la novia no pagó su vestido (este es un dato que introduce la resolución y que era desconocido para el público), si, tal y como entiende la AEPD, el objetivo de la publicación era cobrar la deuda, la empresa podría tener un interés legítimo en obtener la debida contraprestación por el trabajo realizado. Y en el ejercicio de ponderación entre dicho interés y los derechos de la reclamante, que recordemos que ni fue tildada de morosa ni se le veía la cara en la publicación, no sería descabellado entender que prevalezca el primero.
(iii) ¿Cómo se gradúa la sanción? La AEPD impone una sanción de 10.000€ al estimar que concurre como agravante la intencionalidad puesto que la imagen se retira al ser liquidada la deuda. Sin embargo, no se consigue entender el nexo de causalidad entre la publicación de la fotografía con la cara tapada y el objetivo de cobrar la deuda. ¿Por qué la publicación de una fotografía, previamente publicada por la reclamante, iba a influir en la decisión del pago de la deuda?
En todo caso, puestos a graduar la sanción quizás deberían haber tenido en cuenta otras consideraciones - para, lejos de agravar la sanción, atenuarla - como el hecho de que la fotografía esté pixelada (art.83.2.c y d RGPD), el tiempo limitado que duró la infracción y la escasez de visualizaciones que tuvo la publicación (art.83.2.a RGPD) y, por último, el hecho de que el comportamiento de la reclamante haya podido influir en la infracción (art.76.2.d LOPDGDD).
Sería deseable que la resolución fuera recurrida ante la Sala de lo Contencioso administrativo de la Audiencia Nacional para aclarar las cuestiones planteadas, arrojando luz y seguridad jurídica a la aplicación de la normativa. En concreto, lo que se resuelva respecto a la base de legitimación para repostear una publicación será trascendental para el funcionamiento de las redes sociales.