En el contexto de lucha contra la piratería, la aplicación de La Liga permitía activar el micrófono del dispositivo móvil en el que esta estuviera instalada con la finalidad de recoger el sonido ambiente en establecimientos de restauración en los que se encontrara el usuario a fin de saber si se estaba emitiendo partidos de la Liga de manera ilegal (de este modo, se permitía una recopilación de datos de forma prolongada y sin previo aviso y sin requerir la aceptación del usuario).
En este sentido, si bien se informaba de esta cuestión al descargar la aplicación, el usuario desconocía cuándo estaba activado el micrófono, puesto que no se incluía ningún icono o señal cuando esto se producía.
La Agencia Española de Protección de Datos impuso una sanción de 250.000 euros a La Liga por la infracción del artículo 5.1.a) del RGPD (principio de transparencia). Así, la autoridad de control declaró que el principio de transparencia exige no sólo facilitar la información de manera clara y detallada en la política de privacidad, sino también mostrar “un icono identificativo de la realización del tratamiento consistente en la captación de sonidos del micrófono cada vez que el mismo tenga lugar”.
Contra dicha resolución se interpuso el correspondiente recurso, por cuanto La Liga consideró que se estaba imponiendo una nueva exigencia de cumplimiento que no venía recogida en la normativa de protección de datos.
La Sala de lo Contencioso Administrativo de la Audiencia Nacional desestimó el recurso, por cuanto entendió que el principio de transparencia también exige informar de forma continuada y constante a los usuarios del tratamiento de sus datos en cada momento en que tenga lugar su obtención, lo que se materializaría, en este caso, en el uso de un icono que informase al afectado de la activación del micrófono (en este sentido, se declaró que ello ya se hacía en la aplicación respecto al icono de geolocalización). Contra la resolución se interpuso recurso de casación por considerar que se había efectuado una interpretación de la normativa que excede el contenido de la misma.
Habida cuenta de lo anterior, el Tribunal Supremo ha declarado que la controversia consiste en “determinar si cabe considerar suficientemente cumplido y adecuado el principio de transparencia […] en la instalación y funcionamiento de la App de La Liga o si las autoridades de control pueden imponer requisitos adicionales más allá de lo establecido en la propia normativa aplicable”.
Nuestro Alto Tribual afirma que, en el presente supuesto, la información que se facilitó al descargar la aplicación cumplía las exigencias establecidas en el RGPD, ofreciendo incluso información adicional sobre determinadas cuestiones (momento en el que se recogían los datos, medidas adoptadas, etc.).
No obstante, en este sentido, se declara que la obligación de transparencia no sólo debe cumplirse al instalar la aplicación, sino también durante su funcionamiento (los usuarios probablemente no recuerden la información que se les proporcionó en un primer momento), por lo que puede resultar necesario exigir a los responsables que implementen mecanismos adicionales “que permitan recordar a los interesados cuándo sus datos están siendo captados”. Así, se concluye que la autoridad de control estaba facultada para “establecer medidas adicionales que refuercen la transparencia” (las autoridades de control disponen de un cierto margen que permitan adecuar las exigencias al caso concreto), de modo que el aviso en el dispositivo al activar el micrófono podía considerarse una medida proporcionada y correcta.
Sin embargo, dicha medida no estaba contemplada entre las obligaciones de la normativa, siendo exigida adicionalmente por la AEPD. Habida cuenta de ello, si bien la medida podía ser proporcionada, “el ejercicio de la potestad sancionadora se rige por el principio de previsibilidad, en cuya virtud no es posible sancionar una conducta si previamente no es previsible utilizando una diligencia media”, debiendo el ciudadano conocer con antelación que la conducta constituye una infracción que puede llevar aparejada una sanción. Es por ello por lo que, habida cuenta de que el alcance de la obligación no era conocido por el infractor, no siendo razonable que lo hiciese, no se debía haber sancionado a La Liga por esta conducta (puesto que las garantías se concretaron a posteriori y no eran previsibles en ese momento).
De este modo, únicamente se debía haber requerido al operador para que adecuase su conducta incluyendo el aviso necesario en el dispositivo (pero no imponer una sanción), por lo que se ha anulado la sentencia y la sanción.
Puede acceder a la sentencia del Alto Tribunal aquí.
