Ricard Castellet

Fa uns dies, durant un concert de la banda Coldplay, una de les càmeres de l’esdeveniment—la denominada «Kiss Cam»—va captar a dues persones abraçades de manera afectuosa entre el públic. Aquestes, quan la càmera els va enfocar i la seva imatge va aparèixer en les pantalles del recinte, es van separar immediatament. El seu comportament no va passar inadvertit pel vocalista de la banda, qui va comentar: «Guau, mireu a aquests dos! O estan tenint una aventura o són molt tímids».

En qüestió d’hores, el vídeo es va viralitzar i es va identificar públicament als protagonistes: el CEO i la directora de RH de la mateixa empresa. Tots dos estan casats, però no entre si. La repercussió no va trigar a materialitzar-se: diversos mitjans ja han confirmat que l’empresa va iniciar un expedient disciplinari i que el CEO ha estat suspès temporalment.

Més enllà de l’anècdota o el renou mediàtic, el cas suscita una reflexió jurídica rellevant: quines implicacions tindria la captació i difusió d’una imatge com aquesta si els fets haguessin ocorregut a Espanya?

Al 2021, l’Agència Espanyola de Protecció de Dades (AEPD) va resoldre un procediment sancionador contra un establiment d’oci nocturn que havia publicat en Instagram un vídeo d’un client besant a una persona que no era la seva parella. La reclamació es va fonamentar en la difusió no consentida d’imatges clarament identificables que comprometien l’esfera personal de l’afectat.

El local va al·legar que en l’accés al recinte existia un cartell informatiu advertint de la possibilitat de ser gravat. No obstant això, l’AEPD va considerar que aquest avís no constituïa un consentiment vàlid conforme al RGPD, ja que aquest ha de ser lliure, específic, informat i inequívoc.

La resolució subratlla que la presència de cartells, condicions generals d’accés o el simple fet de trobar-se en un espai públic no supleixen la necessitat d’un consentiment exprés, especialment quan les imatges es destinen a la seva publicació en xarxes socials o altres mitjans públics.

Expectativa raonable de privacitat i protecció de la imatge

L’AEPD també va introduir una reflexió clau: fins i tot en espais oberts al públic, les persones conserven una expectativa raonable de privacitat. En altres paraules, no pot assumir-se que tot el que ocorre en un esdeveniment públic és susceptible de ser gravat i difós lliurement, especialment si la persona afectada no és conscient d’estar sent gravada i l’escena capta aspectes íntims o comprometedors.

Implicacions jurídiques i reputacionals

En el cas del concert de Coldplay, si els fets s’haguessin produït en territori espanyol, podria haver-se plantejat una reclamació davant l’AEPD per captació i difusió no autoritzada de dades personals (la imatge ho és, conforme a l’article 4.1 del RGPD). Depenent de les circumstàncies, fins i tot podria valorar-se la necessitat d’una base legítima per al tractament o l’existència d’un interès legítim degudament ponderat (art. 6.1.f RGPD), alguna cosa que difícilment seria aplicable davant la falta de consentiment clar.

A més, no han d’obviar-se les possibles conseqüències laborals derivades d’aquesta mena d’exposicions públiques, com ha ocorregut en aquest cas. Les empreses, davant aquesta mena de situacions, es veuen en la necessitat de gestionar crisis internes que poden afectar tant la reputació dels professionals implicats com a la de la pròpia organització.

Conclusió

La captació i difusió d’imatges en esdeveniments públics no està exempta de responsabilitat jurídica. L’AEPD deixa clar que la protecció de la imatge personal i el dret a la intimitat no desapareixen en entorns oberts ni queden suspesos per la mera presència de cartells informatius.

En un context en el qual els dispositius mòbils i les xarxes socials faciliten una difusió massiva i immediata de continguts, convé recordar que la protecció de dades personals és un dret fonamental, i que l’obtenció d’un consentiment vàlid és molt més que una formalitat: és un requisit legal imprescindible.

Com sempre, cuideu les dades i cuideu-vos!

Per consultar la resolució, feu clic aquí.

Copyright By Raph_PH – Coldplay_Glasto24_290624 (23), CC BY 2.0.

Es revela una preocupant reincidència en l’incompliment de les obligacions legals en matèria de protecció de dades establertes en la LOPDGDD i el RGPD per part d’una empresa que ja va ser sancionada amb anterioritat pel mateix motiu.

Antecedents

En una resolució prèvia, l’AEPD ja va sancionar a l’empresa i li va ordenar adoptar mesures correctores—entre elles, adequar la seva política de privacitat en la web i els contractes als requisits de l’article 13 del RGPD. No obstant això, l’empresa no sols no va executar aquestes mesures, sinó que a més va ignorar múltiples requeriments de l’AEPD—alguns notificats electrònicament i altres retornats per Correus— demostrant una conducta clarament negligent i fins i tot evasiva.

Aquesta falta de resposta va donar peu a l’obertura d’un nou procediment per incompliment de la resolució dictada per l’AEPD (article 58.2.d) del RGPD), que faculta a les autoritats de control a ordenar el compliment de la normativa en un termini determinat. La reiterada omissió d’aquestes ordres constitueix una infracció molt greu segons l’article 72.1.m) de la LOPDGDD, sancionable amb multes que poden aconseguir els 20 milions d’euros o el 4% del volum de negoci global.

A pesar que la sanció imposada finalment va ascendir a 900 euros—reduïda a 540 euros després del reconeixement de responsabilitat i el pagament voluntari conforme a l’article 85 de la LPACAP—, el fet més significatiu no és l’import econòmic, sinó la reiteració de l’incompliment i l’actitud obstruccionista de l’empresa.

L’historial reflecteix una falta de diligència en les seves obligacions com a responsable del tractament de dades, la qual cosa incrementa el seu nivell de responsabilitat segons els criteris de l’article 83.2 del RGPD, especialment en quant a la intencionalitat, reincidència i falta de cooperació amb l’autoritat.

A més, l’AEPD ha reiterat que el reconeixement de la infracció no eximeix a Cubillo Gallego, S.L. de complir efectivament les mesures correctores, la qual cosa reflecteix el caràcter persistent i estructural de l’obligació de compliment normatiu en aquesta matèria.

Conclusió

Aquest cas és un clar recordatori que la falta de compliment continuat pot implicar sancions successives, i que l’AEPD no cessarà en la seva labor supervisora fins que les entitats infractores s’alineïn amb el marc normatiu europeu. Ignorar les resolucions de l’autoritat supervisora no sols genera conseqüències legals immediates, sinó que a més afebleix la confiança dels ciutadans en la protecció de les seves dades personals.

Com sempre, cuideu les dades i cuideu-vos!

Per llegir la resolució, fes clic aquí.