Agencia Espanola Proteccion Datos (AEPD) har bötfällt Sophie Et Voilá S.L med 10 000 euro för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att en registrerad den 24 september 2021 vänt sig till AEPD och hävdat att rätten till skydd av personuppgifter kränkts till följd av att Sophie Et Voilá, ett företag som tillverkar bröllopsklänningar, publicerat ett fotografi av den klagande utan dennes samtycke på Instagram. Fotografiet visade en man med en kvinna i en bröllopsklänning designad av företaget.
Efter ett första klagomål tog Sophie Et Voilá bort fotografiet inom en timme efter det att den publicerats och laddade upp den på nytt efter att ha täckt den klagandes ansikte med en svart cirkel. Slutligen tog Sophie Et Voilá bort fotografiet permanent efter att företaget fått betalt för klänningen.
Den 14 januari 2022 lämnade Sophie Et Voilá in en skrivelse till AEPD om att den klagande inte längre kunde identifieras på fotot i fråga, och att fotografiet därför inte innehöll några personuppgifter i den mening som avses i artikel 4.1 GDPR. Dessutom påpekade Sophie Et Voilá att Instagram erbjuder möjligheten att rapportera en bild som lagts upp av en tredje part, vilket den klagande aldrig använt sig av.
Vidare hävdade Sophie Et Voilá att den klagande gett sitt samtycke till publiceringen av fotografiet genom att lägga upp det på sitt eget konto. Sophie Et Voilá hävdade också att företaget hade ett berättigat intresse av att publicera fotografiet eftersom de ville ta betalt för klänningen.
Först påminde AEPD om villkoren för ett giltigt samtycke enligt artikel 4.11 GDPR och artikel 6.1 LOPDGDD (nationell lagstiftning om skydd av personuppgifter och garanti för digitala rättigheter), där samtycke definieras som varje slag av frivillig, specifik, informerad och otvetydig viljeyttring som uttrycks genom ett uttalande eller genom en entydig bekräftande handling. Vidare påminde AEPD att samtycke är en av de giltiga rättsliga grunderna enligt artikel 6 GDPR.
Vad gäller det aktuella ärendet noterade AEPD att det inte fanns något giltigt samtycke från den klagande eftersom återpublicering eller taggning i inlägg i sociala medier inte kan räknas som en entydig bekräftande handling. Dessutom gav avsaknaden av betalning inte Sophie Et Voilá rätt att använda den klagandes bilder utan dennes uttryckliga samtycke. AEPD drog därför slutsatsen att det inte fanns någon giltig rättslig grund för behandlingen av personuppgifter i form av publicering av fotografier av den klagande på Instagram, och bötfällde Sophie Et Voilá med 10 000 euro för brott mot artikel 6 GDPR.