Se publicó en Instagram una foto en la que figura la reclamante vestida con su traje de boda, por parte de la entidad que le confeccionó el vestido, para lograr que se procediese a su abono. Aunque la reclamante tiene la cara pixelada, las imágenes publicadas por la parte reclamada si eran identificables, y el objetivo de su publicación era cobrar las ventas de los trajes de boda adquiridos.

La reclamada manifiesta que publica sus diseños desde 2014 en Instagram y que la base que legitima el tratamiento es el interés legítimo. Además, afirma que la foto se publicó por un espacio de una hora y se retiró cuando la novia pagó finalmente su vestido de boda.

La entidad reclamada considera que el etiquetado por la reclamante a la entidad reclamada en Instagram, sin duda resulta una acción clara en la que la propia denunciante tiene interés en hacer público quien es la responsable de la confección de su vestido.

Esta acción, es una acción afirmativa libre y en positivo por parte de la parte reclamante que debe ser considerado como un consentimiento en la publicación de las imágenes por parte de la tienda de confección.

La AEPD considera que las imágenes publicadas por la parte reclamada si eran identificables y por eso fueron publicadas en Instagram por la reclamada con la finalidad de cobrar por las ventas efectuadas.

En este sentido, ha de indicarse que la falta de pago no legitima a la parte reclamada a utilizar las imágenes de los reclamantes, si no cuenta con su consentimiento expreso, por lo tanto se ha incurrido en un tratamiento ilícito de datos personales.

Además, no pueden ser objeto de tratamiento los datos personales obtenidos de una red social o de internet, sin que concurra alguna de las bases de legitimación previstas en el art. 6 del RGPD.

Por lo tanto, se considera que se está ante un tratamiento ilícito de datos personales, ya que en este caso la parte reclamada ni siquiera intentó obtener el consentimiento de los reclamantes para el uso de su imagen, dado que consideró que tenía interés legítimo para su tratamiento.

Su incumplimiento supone la infracción del artículo 6 del RGPD indicado en el fundamento de derecho II, ya que los datos personales han sido tratados sin contar con ningún tipo de legitimación, por lo que se le sanciona con 10.000 euros.

Resolución AEPD 12 septiembre 2022 PS-00066-2022