En la sentencia de 15 de julio de 2024, el Tribunal Supremo se pronuncia sobre la aplicación del principio de transparencia del RGPD en el uso de datos personales por parte de la aplicación móvil de LaLiga.
HECHOS
- App LaLiga. En 2019, LaLiga actualizó su aplicación oficial en el Play Store de Google. Esta actualización permite detectar el uso fraudulento de contenidos audiovisuales en establecimientos públicos mediante la activación del micrófono y la geolocalización de los dispositivos móviles de los usuarios durante los partidos.
- Sanción de la AEPD. La Agencia Española de Protección de Datos (AEPD) impuso una multa de 250.000 euros a LaLiga por infracción del principio de transparencia contenido en el artículo 5.1.a) del Reglamento (UE) 2016/679 (RGPD), argumentando que la aplicación no proporcionaba suficiente transparencia sobre el uso del micrófono para captar sonidos durante los partidos de fútbol.
- Recurso de Casación. LaLiga plantea recurso de casación ante el Tribunal Supremo, quien lo admite para interpretar el artículo 5.1.a) del RGPD y así determinar si la App de LaLiga cumple con el principio de transparencia o si, adicionalmente, deben cumplirse los requisitos señalados por la AEPD, como la aparición de un icono durante la grabación.
Interpretación del Principio de Transparencia
El artículo 5.1.a) del RGPD exige que el tratamiento de los datos personales sea lícito, leal y transparente. Esto implica que la información sobre el tratamiento debe ser accesible y comprensible desde el inicio y durante todo el ciclo del tratamiento.
La AEPD consideró que la APP de LaLiga no respetaba este principio y se requería un icono identificativo para alertar al usuario cada vez que el micrófono se activara para alertar de la realización de tratamiento de datos, consistente en la captación del sonido. LaLiga sin embargo sostuvo que había cumplido con sus obligaciones de transparencia al proporcionar información detallada en el momento de la descarga de la aplicación. Esta información incluía datos sobre la activación del micrófono durante los partidos de fútbol para detectar fraudes en establecimientos no autorizados.
Análisis y conclusión del Tribunal Supremo
En esta sentencia, el Tribunal Supremo analiza si, de conformidad con el principio de transparencia recogido en el artículo 5.1.a) del RGPD, las autoridades de control pueden imponer requisitos adicionales más allá de lo establecido en la propia normativa aplicable.
El Tribunal Supremo, en su análisis, destaca varios puntos:
- Principio de Transparencia. El principio de transparencia en el tratamiento de los datos personales consagrado en el art. 5 del RGPD ha de ponerse en conexión las obligaciones de la información que debe facilitarse al interesado establecidas en los artículos 12, 13 y 14 del RGPD. Al momento de descargar la App LaLiga por primera vez se facilita información cumple las exigencias previstas en el RGPD e incluso ofrece información adicional y detallada acerca del momento concreto en que se produciría la recogida de los datos, el modo en que se realiza el tratamiento; las medidas adoptadas para la conversión de los sonidos en una huella que no permita identificar al interesado; o las restantes medidas técnicas adoptadas para preservar el derecho del usuario a la protección de sus datos personales.
El caso analizado tiene como especialidad que la App no solo recopila datos personales para su tratamiento en el momento en que se instala, sino que permite una recopilación de datos personales de forma prolongada en el tiempo y lo hace de manera aleatoria y sin previo aviso, de modo que conecta el micrófono del móvil sin requerir una nueva autorización de usuario captando el sonido ambiental existente en ese momento, cualquiera que sea el lugar en el que se encuentre. El Tribunal Supremo concluye que la obligación de transparencia debe adecuarse a las circunstancias del tratamiento. Entiende que la información que proporcionó LaLiga en la app era suficiente, sin que sea necesario un aviso permanente en cada ocasión en la que se recojan datos.
- Interpretación. La obligación de actuar con transparencia no solo es exigible en el momento inicial de la instalación de una aplicación sino también durante su funcionamiento, especialmente cuando se sigan recopilando datos personales del usuario a lo largo del tiempo. La transparencia como principio inspirador de la actividad de tratamiento de datos personales no puede agotarse en una enumeración genérica y descriptiva de la información que ha de proporcionarse al afectado, sino que, habrá de modularse en virtud de las circunstancias concretas del tratamiento de que se trate y corresponde a la autoridad establecer cómo ha de aplicarse y ajustarse ese principio ante un determinado supuesto.
- Previsibilidad y legalidad. El Tribunal Supremo señala que la interpretación del principio de transparencia por parte de la AEPD, que incluía la obligación de un aviso continuo mediante un icono cada vez que se activara el micrófono, no estaba claramente especificada en la normativa. Las normas deben ser predecibles para que las entidades comprendan claramente sus obligaciones y las posibles sanciones. Sostiene el Tribual Supremo que la sanción impuesta por la AEPD se basó en una interpretación extensiva de la normativa que LaLiga no podía razonablemente prever y, sancionar a LaLiga sin un requerimiento previo sobre esta nueva exigencia excede el principio de previsibilidad.
Conclusiones
El Tribunal Supremo estima el recurso de casación de LaLiga y anula tanto la sentencia impugnada como la sanción impuesta por la AEPD. En su sentencia, el Tribunal Supremo subraya la importancia de la claridad normativa y la previsibilidad en la aplicación de sanciones, y la necesidad de que la AEPD hubiera requerido a LaLiga antes de imponer sanciones. Asimismo con esta sentencia el Tribunal Supremo limita la capacidad de la AEPD de interpretar extensivamente la normativa sancionadora y considerar sus guidelines con rango de ley.
