1/9 Procedimiento Nº: A/00083/2014 RESOLUCIÓN: R/01721/2014 En el procedimiento A/00083/2014, instruido por la Agencia Española de Protección de Datos a la entidad PAGINA DEL DISTRITO DE SAN BLAS, vista la denuncia presentada por Dª A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 24 de mayo de 2013, tiene entrada en esta Agencia un escrito de Dª. A.A.A., en el que denuncia que, la revista “PÁGINA DEL DISTRITO DE SAN BLAS” en la página 32 de su número del mes de mayo de 2013, ha publicado una fotografía de su hija menor, sin su consentimiento. Aunque la foto es de hace unos dos años aproximadamente, vestida de chulapa dentro del recinto del colegio “XXXX” de Madrid. La fotografía fue publicada simultáneamente en la web de dicha revista: www.paginadeldistrito.com, igualmente sin su conocimiento ni consentimiento. La fotografía fue tomada por el fotógrafo de dicha revista dentro del recinto del Colegio. Se adjunta un ejemplar original de dicha revista y fotocopias de la descarga realizada desde la página web. SEGUNDO:Tras la recepción de la denuncia, el Director de la Agencia Española de Protección de Datos ordenó a la Subdirección General de Inspección de Datos la realización de las actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 25 de febrero de 2014, se recibe en esta Agencia escrito de la revista PÁGINA DEL DISTRITO, poniendo de manifiesto, que: 1.1. La toma de fotos fue obtenida en el centro educativo Colegio Público XXXX. 1.2. Tienen constancia de que la dirección del Centro dispone de los correspondientes permisos y autorizaciones pertinentes para la toma de fotografías en el Centro escolar. 2. Con fecha 14 de marzo de 2014, se recibe en esta Agencia escrito del Colegio Público XXXX, en el que pone de manifiesto, que: 2.1. En lo referente al consentimiento otorgado por los padres de los menores, para la publicación en la revista PAGINA DEL DISTRITO, no existe de forma expresa. 2.2. El colegio requiere la autorización familiar para ser fotografiados o filmados en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 actividades relacionadas con la formación de los alumnos y para ser utilizado ese material en la página web o revista del Colegio. 2.3. Muy recientemente, el Colegio ha pedido manifestación expresa de “desautorización” a algunas familias para la publicación de un díptico en la revista PÁGINA DEL DISTRITO, o para salir en el programa de televisión INFORME SEMANAL. 2.4. Se adjunta autorización suscrita por la madre de la menor de fecha 17 de junio de 2008, en la que autoriza a que su hija sea fotografiada/filmada en actividades relacionadas con su formación en el Colegio XXXX, para ser utilizadas en el desarrollo de la vida escolar (página web, revista del Centro). TERCERO:Con fecha 14 de mayo de 2014, el Director de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00083/2014. Dicho acuerdo fue notificado a los denunciantes y al denunciado. CUARTO: Con fecha PONER FECHA se recibe en esta Agencia escrito de la entidad denunciada en el que comunica: “Primera.- Los hechos objeto del presente expediente, y que pueden concluir con el apercibimiento a la ENTIDAD PAGINA DEL DISTRITO, se han debido al excesivo celo realizado por los profesionales de la revista al objeto de cubrir e informar de la celebración de la tradicional y castiza fiesta de San Isidro en el Distrito de San Blas en diferentes centros educativos y de formación, así como como mostrar el arraigo entre de dicha tradición entre los pequeños y jóvenes del distrito. Segunda.- Que en parte la actuación de la revista, y de los profesionales de la misma, se debió a la cercanía y estrecha sintonía que mantiene tanto la revista como el personal colaborador de la misma con particulares, familias, centros de educativos y de formación, escuelas y agrupaciones deportivas, centros comerciales y organismos públicos y oficiales que se encuentran en nuestro distrito, y todo ello consecuencia de los años que lleva la revista informando y cubriendo noticias y eventos que acontecen y se desarrollan en el Distrito. (…) Cuarta.- Como ya expusimos en nuestro anterior escrito, volvemos a reiterar que la revista “Pagina del Distrito” es una publicación de distribución gratuita en el Distrito de San Blas-Canillejas), y ningún fin comercial o publicitario tenía dicho reportaje. De igual forma, volvemos a reiterar que no se realizó por parte de la revista tratamiento de datos alguno, y no teniendo más datos, ni otros distintos, que los publicados.” Concluye su escrito solicitando que se acuerde el archivo del procedimiento. HECHOS PROBADOS PRIMERO: En el número del mes de mayo de 2013 de la revista “PÁGINA DEL DISTRITO DE SAN BLAS” en la página 32, se ha publicado una fotografía de una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 menor, sin su consentimiento. La fotografía fue publicada simultáneamente en la web de dicha revista: www.paginadeldistrito.com. SEGUNDO: La revista “PÁGINA DEL DISTRITO DE SAN BLAS”, ha manifestado que la toma de fotos fue obtenida en el centro educativo Colegio Público XXXX y que tienen constancia de que la dirección del Centro dispone de los correspondientes permisos y autorizaciones pertinentes para la toma de fotografías en el Centro escolar. TERCERO: El Colegio Público XXXX ha manifestado que en lo referente al consentimiento otorgado por los padres de los menores para la publicación en la revista PAGINA DEL DISTRITO, no existe de forma expresa. Que el colegio requiere la autorización familiar para ser fotografiados o filmados en actividades relacionadas con la formación de los alumnos y para ser utilizado ese material en la página web o revista del Colegio. Se adjunta autorización suscrita por la madre de la menor de fecha 17 de junio de 2008, en la que autoriza a que su hija sea fotografiada/filmada en actividades relacionadas con su formación en el Colegio XXXX, para ser utilizadas en el desarrollo de la vida escolar (página web, revista del Centro). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)en relación con el artículo 36 de la LOPD. II Se imputa a la entidad PAGINA DEL DISTRITO DE SAN BLAS el tratamiento de los datos de la hija menor de la denunciante sin su consentimiento. En este sentido, el artículo 6.1 y .2 dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 que no se vulneren los derechos y libertades fundamentales del interesado”. Para que el tratamiento de los datos de la hija menor de la denunciante realizado por la entidad PAGINA DEL DISTRITO DE SAN BLAS resultara conforme con los preceptos de la LOPD, hubiera debido concurrir alguno de los supuestos contemplados en el artículo 6 de la LOPD. Sin embargo, no se ha acreditado que la denunciante hubiera prestado el consentimiento para el tratamiento de los datos de su hija menor, y tampoco se ajusta el presente caso a ninguno de los supuestos exentos de tal consentimiento que recoge el apartado 2 del artículo 6 citado. El artículo 3 de la LOPD define en su apartado
- h)como “Consentimiento del interesado” a “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” La LOPD no requiere que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. El concepto de dato de carácter personal se define en el apartado
- a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. El artículo 5.1.
- f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, define datos de carácter personal como: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. El artículo 3 de la LOPD define en su letra
- c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 De lo anteriormente expuesto se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable, por lo que la imagen de una persona física identificada o identificable constituye un dato de carácter personal. La imagen de una persona constituye un dato de carácter personal, toda vez que la información captada concierne a personas que las hacen identificadas o identificables y suministra información sobre la imagen personal de éstas, el lugar de su captación y la actividad desarrollada por el individuo al que la imagen se refiere. La publicación, en una revista o en una página web, de la imagen de una persona identificada o identificable constituye un tratamiento de datos de carácter personal que tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. III El artículo 2.1 de la LOPD define su ámbito de aplicación: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado…” El artículo 3 de la LOPD define en su apartado
- c)como “Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Asimismo, dicho artículo 3 define en su apartado
- b)como “Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.” En el presente caso, ha quedado acreditado que se publicó una fotografía de la hija menor de la denunciante en la página 32 del número del mes de mayo de 2013 de la revista PAGINA DEL DISTRITO DE SAN BLAS y simultáneamente se publicó en la web de la revista, www.paginadeldistrito.com, sin su consentimiento. La Sentencia de la Audiencia Nacional de 17/03/2007, Recurso 621/2004 señala en su Fundamento de Derecho Cuarto que “…un sitio Web exige siempre cualquiera que sea su finalidad una organización o estructura que permita el acceso a la información en él contenida por terceros. Cumpliría así la primera de las exigencias de un fichero, la estructural u organizativa. Pero es que además, y esto es obvio, el sitio Web XXXXXXX contuvo datos de carácter personal, precisamente los referidos al C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 denunciante, que fueron difundidos a través de dicho sitio, lo que supone tratamiento… si hubo tratamiento de datos de carácter personal consistente en la incorporación y difusión de éstos desde una estructura organizada (fichero) como era el sitio Web, es indudable que el régimen de protección contenido en la Ley Orgánica 15/1999 es plenamente aplicable, sin que altere la anterior conclusión el hecho de los datos tratados se refieran a una sola persona pues la ley no exige en ningún caso la existencia de una pluralidad de personas afectadas para que podamos hablar de tratamiento y fichero…” y, continúa, citando la sentencia del Tribunal de Justicia de la Unión Europea, de 06/11/2003, caso Linqvist. Asunto C-101/01, que señalaba “Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un “tratamiento total o parcialmente automatizado de datos personales” en el sentido del artículo 9 3, apartado1 de la Directiva 95/46.” Por tanto, para el caso del actual procedimiento, se realizó un tratamiento con los datos personales de la hija de la denunciante, al incluir una fotografía suya en un número de la revista sin su consentimiento, datos que se registraron en soporte físico puesto que se publicaron en la página Web de la citada revista, sin que se haya acreditado que se contara con el consentimiento de la denunciante para ello, infringiendo así el artículo 6.1 de la LOPD. IV El artículo 44.3.
- b)de la LOPD, dispone que es infracción grave: “
- b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso, la descripción de conductas que establece el artículo 44.3.
- b)de la LOPD cumple las exigencias derivadas del principio de tipicidad, toda vez que del expresado precepto se desprende con claridad cuál es la conducta prohibida. El tipo aplicable considera infracción grave “
- b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”, por tanto, se está describiendo una conducta - el tratamiento automatizado de datos personales o su uso posterior – que precisa, para configurar el tipo, que dicha conducta haya vulnerado los principios que establece la LOPD. El principio del consentimiento se configura como principio básico en materia de protección de datos y así se recoge en la doctrina y jurisprudencia de los Tribunales Ordinarios como del Tribunal Constitucional (STC 292/2002). Concretamente, por lo que ahora interesa, el artículo 6 de la LOPD recoge el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 citado principio que exige la necesidad de consentimiento del afectado para que puedan tratarse sus datos de carácter personal. Por tanto, la conducta ilícita por la que se sanciona al denunciado vulnera el citado principio, toda vez que ha quedado acreditado el tratamiento de los datos personales de la hija de la denunciante sin su consentimiento, al publicar su imagen en la revista denunciada y en Internet a través de su página web, sin su consentimiento. V La disposición final quincuagésima sexta de la Ley 2/2011 de 4 de marzo de Economía Sostenible (BOE 5-3-2011) ha añadido un nuevo apartado 6 al artículo 45 de la Ley 15/1999 de Protección de Datos, en lugar del existente hasta su entrada en vigor, del siguiente tenor: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
- a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
- b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. La Ley 30/1992, de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común –que, al decir de su Exposición de Motivos (punto 14) recoge “los principios básicos a que debe someterse el ejercicio de la potestad sancionadora de la Administración y los correspondientes derechos que de tales principios se derivan para los ciudadanos extraídos del Texto Constitucional y de la ya consolidada jurisprudencia sobre la materia”- sanciona el principio de aplicación retroactiva de la norma más favorable estableciendo en el artículo 128.2 que “las disposiciones sancionadoras producirán efecto retroactivo en cuanto favorezcan al presunto infractor”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
- a)y
- b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constando beneficios obtenidos como consecuencia de la comisión de la infracción. De acuerdo con lo señalado, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- APERCIBIR (A/00083/2013) a la entidad PAGINA DEL DISTRITO DE SAN BLAS con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de la citada Ley Orgánica Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. 2.- REQUERIR a la entidad PAGINA DEL DISTRITO DE SAN BLAS de acuerdo con lo establecido en el apartado 6 del artículo 45 de la Ley 15/1999 para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en el artículo 6.1 de la LOPD. En concreto se insta al denunciado a la retirada de la imagen denunciada de su página web y se insta también a que en el futuro adopte las medidas pertinentes para asegurarse de disponer del consentimiento inequívoco de los afectados para el tratamiento de datos personales que se realice 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando acreditación de la retirada de la imagen objeto de denuncia. Se le advierte que en caso de no atender el citado requerimiento, para cuya comprobación se abre el expediente de investigación E/05003/2014, podría incurrir en una infracción del artículo 37.1.
- f)de la LOPD, que señala que “son funciones de la Agencia de Protección de Datos:
- f)Requerir a los responsables y los encargados de los tratamientos, previa audiencia de éstos, la adopción de las medidas necesarias para la adecuación del tratamiento de datos a las disposiciones de esta Ley y, en su caso, ordenar la cesación de los tratamientos y la cancelación de los ficheros, cuando no se ajuste a sus disposiciones.”, tipificada como grave en el artículo 44.3.
- i)de dicha norma, que considera como tal, “No atender los requerimientos o apercibimientos de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Española de Protección de Datos o no proporcionar a aquélla cuantos documentos e informaciones sean solicitados por la misma“, pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. 3.- NOTIFICAR el presente Acuerdo a la entidad PAGINA DEL DISTRITO DE SAN BLAS. 4.- NOTIFICAR el presente Acuerdo a Dª A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es