← España

A-00270-2018

1/12 Procedimiento Nº: A/00270/2018 RESOLUCIÓN: R/01757/2018 En el procedimiento A/00270/2018, instruido por la Agencia Española de Protección de Datos a la entidad COLEGIO SAN JOSÉ OBRERO S.C., vista la denuncia presentada por Don A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fechas 11 y 29 de mayo de 2018 tuvieron entrada en esta Agencia sendos escritos de Don A.A.A. (en lo sucesivo, el denunciante) en los que ponía de manifiesto los siguientes hechos: 1.1 Que el día 26 de marzo de 2018 suscribió junto con su esposa un escrito dirigido al COLEGIO SAN JOSÉ OBRERO S.C. en el que, además de plantear una serie de peticiones, también comunicaban a dicho Centro que como padres y tutores legales del alumno B.B.B., (en adelante B.B.B.), “que cursa 1º de Primaria en este Centro revocamos y cancelamos toda autorización para que se tomen imágenes de nuestro hijo sean éstas de video o fotográficas. Todo ello al amparo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Por lo tanto, no autorizamos la toma de imágenes ni fotográficas ni de vídeo de nuestro hijo ni dentro del centro escolar, ni fuera en las actividades que realicen este centro en el exterior del centro sea excursiones y otras actividades fuera del recinto escolar.” El citado escrito, remitido por correo certificado, fue recibido por el Director del COLEGIO SAN JOSÉ OBRERO S.C. (en adelante, el Colegio denunciado) con fecha 10 de abril de 2018, según figura en el “Aviso de Recibo” del certificado suscrito por el mismo, documento aportado por el denunciante. 1.2 Que no obstante haber revocado el consentimiento otorgado al denunciado para el tratamiento de las imágenes de su hijo menor de edad, con fecha 27 de abril de 2017 se tomaron en el Centro denunciando fotografías en grupo e individuales de los alumnos de 1º de primaria del reseñado Centro, entre los que se encontraba su hijo. El denunciante adjunta copia de dos fotografías, una de ellas capta, en grupo, la imagen de los profesores y alumnos del reseñado curso escolar, mientras que la otra capta la imagen individual del hijo del denunciante. Junto a la documentación ya citada, el denunciante ha presentado:  Copia del escrito enviado por correo certificado por el denunciante al Colegio denunciando con fecha 26 de marzo de 2018.  Anverso y reverso del “Aviso de recibo” de la carta certificada remitida con fecha 26/03/2018 por el denunciante al Colegio denunciado.  Impresión del número de envío para seguimiento de la reseñada carta certificada. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/12  Impresión del contenido del correo electrónico remitido al denunciante el 13 de abril de 2018 desde la cuenta del tutor de 1º de Primaria, comunicando los asuntos a tratar en la reunión trimestral a celebrar el día 19/04/2018, entre los que se encontraba el coste de la actividad a celebrar el 27 de abril, relativa a las “fotos del centro”.  Impresión del siguiente texto, sin fechar: “Estimado Alumno: Le ofrecemos esta fotografía, que hemos tomado en el Colegio. Esperamos sea de su agrado y sirva el día de mañana para recordar esta época de su vida. La compra de las mismas es totalmente voluntaria y el Colegio queda al margen de ella. Usted decidirá si le interesa. Atentamente: Arte Digital Fran Si las fotografías son de su agrado, rellenar los siguientes datos y meter el importe en el sobre. Nombres y Apellidos: Curso y Grupo. “ SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados. En contestación al requerimiento de información efectuado por esta Agencia, con fecha17 de septiembre de 2018 se registra de entrada escrito del Director del Colegio denunciado señalando lo que a continuación se transcribe: “1. Durante el pasado curso académico, debido a las reiteradas faltas de disciplina del alumno B.B.B., hijo del reclamante, el centro informa a la familia de este problema. Ésta, al considerar que el problema era del centro y no de su hijo, denuncia al colegio ante la Inspección Provincial de Educación un posible caso de acoso, que finalmente fue desestimado. Con el fin de no poder aportar imágenes del comportamiento de su hijo en el centro, la familia decide revocar la autorización de toma de imágenes, pasando desde ese mismo momento en que nos efectúan dicha comunicación a no incluir al alumno B.B.B. en ninguna fotografía ni vídeo tomados en cualquier actividad escolar (excursiones, actuaciones en festivales escolares, etc…), así como su publicación ni en la página web del Centro ni en redes sociales. 2. El 10 de abril se recoge la carta en la que se cancela la autorización para sacar fotos a Manuel Expósito. (…) 3. El 13 de Abril el tutor envía un correo electrónico indicando una sesión fotográfica a todos los alumnos del curso realizado por una empresa externa a nuestro Centro. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/12 Ya que no se trataba de fotos sacadas por nosotros y que nunca se publicarían en páginas web, o serían accesibles para otras familias, decidimos informar a la familia del reclamante por si estaba interesados en ellas. Al considerar que estas fotos únicamente son recibidas por la familia del afectado y nadie más, entendimos que sí aceptaban participar en las fotos del curso, tratándose en todo caso de una fotografía a la que única y exclusivamente tendrían acceso los padres del alumno, y podrían quererlas como recuerdo del curso académico.” 4.(…) 5. En cuanto a las medidas que se adoptan para evitar posibles incidencias similares, una vez recibida una carta de revocación de autorización para sacar imágenes a un niño del centro, la dirección, informa al tutor del niño, para que a su vez traslade la información al resto de profesores que le imparten clase, así como al encargado de la página web por si en el caso de existir alguna foto del afectado, ésta nunca sea expuesta en nuestra página web, o redes sociales.” TERCERO: Consultada el 22 de octubre de 2018 la aplicación de la AEPD que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes, al Colegio denunciado no le constan registros previos. CUARTO: Con fecha 24 de octubre de 2018, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00270/2018, con arreglo a lo dispuesto en el artículo 45.6 de la LOPD, con relación a la denuncia por infracción de su artículo 6, tipificada como grave en el artículo 44.3.

  1. b)de la citada Ley Orgánica. La notificación de dicho trámite de audiencia al mencionado Colegio se practicó a través del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, constando el 25 de octubre de 2018 como fecha de puesta a disposición del citado acto y el 5 de noviembre de 2018 como fecha de rechazo automático de dicha notificación. HECHOS PROBADOS PRIMERO: Con fecha 26 de marzo los padres y tutores legales de B.B.B. dirigieron un escrito al COLEGIO SAN JOSÉ OBRERO S.C., centro en el que su hijo cursaba 1º de primaria en esas fechas, comunicando, entre otras cuestiones, que “revocamos y cancelamos toda autorización para que se tomen imágenes de nuestro hijo sean éstas de video o fotográficas. Todo ello al amparo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. Por lo tanto no autorizamos la toma de imágenes ni fotográficas ni de vídeo de nuestro hijo ni dentro del centro escolar, ni fuera en las actividades que realicen este centro en el exterior del centro sea excursiones y otras actividades fuera del recinto escolar.” SEGUNDO: El escrito de revocación, remitido por el padre del menor B.B.B. por correo certificado, fue recibido en el Colegio denunciado con fecha 10 de abril de 2018. TERCERO: Con fecha 13 de abril de 2018, el tutor de 1º de Primaria del COLEGIO SAN JOSÉ OBRERO S.C. remitió a los padres del alumno B.B.B., un correo electrónico con el siguiente texto: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/12 “La Reunión Trimestral será el próximo jueves 19 a las 5 de la tarde. El tema principal de la reunión van a ser las actividades programadas y su coste. . 25 de abril, visita a la Biblioteca . 27 de abril, fotos del centro .(…) Espero la asistencia de todos, pero si alguno no puede venir, informaré de los asuntos tratados por correo electrónico. Atentamente, C.C.C.” CUARTO: Con fecha 27 de abril de 2018, en el marco de la actividad escolar “fotos del centro” organizada por el COLEGIO SAN JOSÉ OBRERO S.C., fueron tomadas dos fotografías en las que aparecía la imagen del alumno B.B.B., posando individualmente en una de las fotografías y grupalmente junto al resto de alumnos del curso de 1º de primaria y sus profesores. QUINTO: Las fotografías fueron realizadas en las instalaciones del Centro Escolar denunciado por “Arte Digital Fran”. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  2. g)en relación con el artículo 36 de la LOPD. II El artículo 43 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, dispone: “Artículo 43. Práctica de las notificaciones a través de medios electrónicos. 1. Las notificaciones por medios electrónicos se practicarán mediante comparecencia en la sede electrónica de la Administración u Organismo actuante, a través de la dirección electrónica habilitada única o mediante ambos sistemas, según disponga cada Administración u Organismo. A los efectos previstos en este artículo, se entiende por comparecencia en la sede electrónica, el acceso por el interesado o su representante debidamente identificado al contenido de la notificación. 2. Las notificaciones por medios electrónicos se entenderán practicadas en el momento en que se produzca el acceso a su contenido. Cuando la notificación por medios electrónicos sea de carácter obligatorio, o haya sido expresamente elegida por el interesado, se entenderá rechazada cuando hayan transcurrido diez días naturales desde la puesta a disposición de la notificación sin que se acceda a su contenido. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/12 3. Se entenderá cumplida la obligación a la que se refiere el artículo 40.4 con la puesta a disposición de la notificación en la sede electrónica de la Administración u Organismo actuante o en la dirección electrónica habilitada única. 4. Los interesados podrán acceder a las notificaciones desde el Punto de Acceso General electrónico de la Administración, que funcionará como un portal de acceso.” (El subrayado es de la AEPD) El artículo 41.5 de la misma norma, señala en relación con las “Condiciones generales para la práctica de las notificaciones” que: “5. Cuando el interesado o su representante rechace la notificación de una actuación administrativa, se hará constar en el expediente, especificándose las circunstancias del intento de notificación y el medio, dando por efectuado el trámite y siguiéndose el procedimiento.” A la vista de lo señalado en los artículos 43.2 y 41.5 de la citada Ley 39/2015, se da por efectuada a práctica de la notificación del trámite de audiencia del A/00270/2018. III El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma, el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
  3. a)del artículo 3 de la citada Ley Orgánica, como “Cualquier información concerniente a personas físicas identificadas o identificables”, añadiendo el apartado 1.
  4. f)del artículo 5 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), que dato de carácter personal es “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. La definición de persona identificable aparece en la letra
  5. o)del citado artículo 5.1 del RLOPD, que considera como tal “toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados”. Atendiendo a la definición contenida en las normas citadas, que consideran dato de carácter personal “cualquier información concerniente a personas físicas identificadas o identificables”, las fotografías objeto del presente procedimiento se ajustan a este concepto por cuanto permiten la identificación de las personas afectadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/12 Este concepto de dato personal no puede ser más amplio. La Audiencia Nacional ha señalado que “para que exista dato de carácter personal (en contraposición con dato disociado) no es imprescindible una plena coincidencia entre el dato y una persona concreta, sino que es suficiente con que tal identificación pueda efectuarse sin esfuerzos desproporcionados, tal y como se desprende del mencionado artículo 3 de la Ley, en sus apartados
  6. a)y
  7. f)y también del Considerando 26 de la invocada Directiva 95/46/CE que expresamente señala que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona, para identificar a dicha persona; que los principios de la protección no se aplicarán a aquellos datos hechos anónimos de manera tal que ya no sea posible identificar al interesado”. Por otra parte, la aplicabilidad de la normativa de protección de datos de carácter personal, según el citado artículo 2.1 de la LOPD, requiere que dichos datos aparezcan registrados en un soporte físico que los haga susceptibles de tratamiento. El artículo 3 de la LOPD define en su letra
  8. c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Por tanto, la garantía del derecho a la protección de datos conferida por la normativa de referencia requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. De acuerdo con aquella definición de tratamiento de datos personales, la realización de las fotografías del menor denunciadas constituye un tratamiento de datos de carácter personal incluido en el ámbito de aplicación de la normativa citada, vigente en el momento en que se captaron las reseñadas imágenes, en la medida en que dicho tratamiento se efectúa sobre información concerniente a una persona física identificada, ya que es alumno del Colegio denunciado, por lo que debe concluirse la plena aplicabilidad de los principios y garantías expuestos en la normativa de protección de datos de carácter personal citada. IV Se imputa en este caso al Colegio denunciado la comisión de una infracción del artículo 6 de la LOPD, que dispone: "El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa". Dicho principio conlleva la necesidad del consentimiento inequívoco del afectado para que puedan tratarse sus datos de carácter personal, el consentimiento permite así al afectado ejercer el control sobre sus datos de carácter personal (la autodeterminación informativa), ya que es el propio interesado quien tiene que otorgar su consentimiento para que se pueda realizar el tratamiento de los citados datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/12 Se trata de una garantía fundamental que solo encuentra como excepciones a ese consentimiento del afectado, las establecidas en una ley, recogiéndose en el apartado 2 del citado artículo 6 LOPD una serie de excepciones a la prestación del citado consentimiento: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. A su vez, el apartado 3 del mismo artículo 6 de la LOPD señala que: “El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos.” En relación con la “Revocación del consentimiento” el artículo 17 del RLOPD dispone que: “1. El afectado podrá revocar su consentimiento a través de un medio sencillo, gratuito y que no implique ingreso alguno para el responsable del fichero o tratamiento. En particular, se considerará ajustado al presente reglamento el procedimiento en el que tal negativa pueda efectuarse, entre otros, mediante un envío prefranqueado al responsable del tratamiento o la llamada a un número telefónico gratuito o a los servicios de atención al público que el mismo hubiera establecido. No se considerarán conformes a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, los supuestos en que el responsable establezca como medio para que el interesado pueda manifestar su negativa al tratamiento el envío de cartas certificadas o envíos semejantes, la utilización de servicios de telecomunicaciones que implique una tarificación adicional al afectado o cualesquiera otros medios que impliquen un coste adicional al interesado. 2. El responsable cesará en el tratamiento de los datos en el plazo máximo de diez días a contar desde el de la recepción de la revocación del consentimiento, sin perjuicio de su obligación de bloquear los datos conforme a lo dispuesto en el artículo 16.3 de la Ley Orgánica 15/1999, de 13 de diciembre. 3. Cuando el interesado hubiera solicitado del responsable del tratamiento la confirmación del cese en el tratamiento de sus datos, éste deberá responder expresamente a la solicitud. 4. Si los datos hubieran sido cedidos previamente, el responsable del tratamiento, una vez revocado el consentimiento, deberá comunicarlo a los cesionarios, en el plazo previsto en el apartado 2, para que éstos, cesen en el tratamiento de los datos en caso de que aún lo mantuvieran, conforme al artículo 16.4 de la Ley Orgánica 15/1999, de 13 de diciembre. “ C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/12 En el presente caso, el citado artículo 6 de la LOPD ha de ser puesto en relación con el artículo 13 del RLOPD, que, sobre el consentimiento para el tratamiento de datos de menores de edad, establece: “Podrá procederse al tratamiento de los datos de los mayores de catorce años con su consentimiento, salvo en aquellos casos en los que la Ley exija para su prestación la asistencia de los titulares de la patria potestad o tutela. En el caso de los menores de catorce años se requerirá el consentimiento de los padres o tutores”. El artículo 3 de la LOPD define en su letra
  9. h)“Consentimiento del interesado” como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos consustanciales al derecho fundamental a la protección de datos personales, la facultad que tiene el afectado de consentir en la recogida y tratamiento de sus datos personales y el conocimiento de la finalidad y del uso posterior que se va a dar a sus datos, así como de la identidad del que realiza el tratamiento. Por lo cual, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales del mismo y, por lo tanto, asegurarse de que dicho consentimiento no ha sido revocado, o constatar, en su caso, que se produce alguna de las excepciones al consentimiento previstas por la normativa vigente, puesto que debe estar en disposición de justificar tales circunstancias. A este respecto, la Audiencia Nacional, en sentencia de fecha 31/05/2006 señaló lo siguiente: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. Por otra parte, el artículo 6 del Reglamento General de Protección de Datos, Reglamento (UE) 2016/679, norma aplicable a hechos acaecidos a partir del 25 de mayo de 2018, establece que el tratamiento de datos personales “solo será lícito si se cumple la menos una de las siguientes condiciones”: “
  10. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno varios fines C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/12 específicos;
  11. b)el tratamiento es necesario para la ejecución de un contrato en el que le interesado es parte o para la aplicación a petición de este de medidas precontractuales” ” (…); fijando el apartado 1 de su artículo 7 en relación con el consentimiento del interesado que “el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales” y determinándose en el apartado 3 del mismo artículo 7 que “El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo.” V De acuerdo con lo expuesto en los fundamentos anteriores, el COLEGIO SAN JOSÉ OBRERO S.C. ha vulnerado el artículo 6.1 de la LOPD, ya que en el marco de una actividad organizada a instancias del propio centro escolar, con fecha 27 de abril de 2018 se realizaron dos fotografías al menor de edad B.B.B., alumno de 1º de Primaria de ese Colegio, sin mediar el consentimiento de los tutores legales y padres del reseñado menor para efectuar ese tipo de tratamiento, concerniente a la imagen de su hijo. Así, consta en el procedimiento que las citadas fotografías se tomaron después de que el Colegio hubiera recibido, con fecha 10 de abril de 2018, la comunicación de los padres y tutores legales del citado alumno revocando la autorización prestada para tratar la imagen de su hijo en fotografías y vídeos tomadas tanto dentro como fuera del citado recinto escolar como en cualquier tipo de actividad. Dicha revocación no contenía ningún tipo de excepción, motivo por el cual el hecho de que las fotografías tuvieran como destinatarios a los padres del menor y no fueran a ser publicadas en páginas web no exime de responsabilidad al Colegio denunciado, que organizó dicha actividad como prueba el correo electrónico de fecha 13 de abril de 2018, con independencia de que la realización material fuera encargada a un tercero. En el presente caso, ha quedado acreditado que el COLEGIO SAN JOSÉ OBRERO S.C. no mostró la diligencia que le resultaba exigible para evitar que continuará tratándose la imagen del citado alumno en la forma descrita, a pesar de que el consentimiento para dicho tratamiento de datos de carácter personal había sido retirado por los padres del menor. Por tanto, el Colegio denunciado realizó un tratamiento de los datos personales del menor B.B.B. sin consentimiento de los tutores del mismo, vulnerando lo dispuesto en el artículo 6 de la LOPD. VI El artículo 44.3.
  12. b)de la LOPD califica como infracción grave: “Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/12 De acuerdo con los fundamentos anteriores, se entiende que el COLEGIO SAN JOSÉ OBRERO S.C. resulta responsable del tratamiento de los datos de carácter personal del mencionado alumno con posterioridad a haber recibido el escrito de los tutores legales y padres del citado menor revocando su consentimiento a tratar imágenes de su hijo, por lo que las fotografías realizadas con fecha 27 de abril de 2018 al citado alumno en las instalaciones del centro escolar constituyen un tratamiento de datos personales de dicho menor que vulnera el principio del consentimiento recogido en el artículo 6 de la LOPD. En consecuencia, el reseñado centro escolar ha incurrido, a título de culpa, en la infracción grave descrita en el artículo 44.3.
  13. b)de la LOPD. VII El apartado 6 del artículo 45 de la LOPD, indica: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos: a b que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley. Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. A este respecto, procede considerar lo establecido en el artículo 45.4 y 5 de la LOPD, que dispone lo siguiente: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  14. a)El carácter continuado de la infracción.
  15. b)El volumen de los tratamientos efectuados.
  16. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  17. d)El volumen de negocio o actividad del infractor.
  18. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  19. f)El grado de intencionalidad.
  20. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  21. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  22. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/12 debida a una falta de diligencia exigible al infractor.
  23. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  24. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  25. b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
  26. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  27. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  28. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente”. En el presente supuesto se aplica el procedimiento de apercibimiento en atención a que se cumplen los requisitos recogidos en los apartados
  29. a)y
  30. b)del citado artículo 45.6 de la LOPD. Junto a ello se constata una cualificada disminución de la culpabilidad de la entidad denunciada por la concurrencia de varios criterios de los enunciados en el artículo 45.4 de la LOPD, concretamente, la no vinculación de la actividad del denunciado con la realización de tratamientos de datos de carácter personal y su volumen de negocio o actividad. Todo ello, justifica que la AEPD no acuerde la apertura de un procedimiento sancionador y que opte por aplicar el artículo 45.6 de la LOPD. Ahora bien, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que sobre el apercibimiento regulado en el artículo 45.6 de la LOPD y a propósito de su naturaleza jurídica advierte que “no constituye una sanción” y que se trata de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. La Sentencia entiende que el artículo 45.6 de la LOPD confiere a la AEPD una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de aquella y cuyo objeto es la imposición de medidas correctoras, la SAN citada concluye que cuando no se requieran medidas correctoras, lo procedente en Derecho es acordar el archivo de las actuaciones. En este caso, el Colegio denunciado ha informado sobre la impartición de instrucciones al tutor y profesorado que da clases al alumno para no incluirlo en ninguna fotografía ni vídeo tomados en cualquier actividad escolar , habiendo también informado al encargado de la página web de que no deben publicarse imágenes del menor en la página web del Centro o en redes sociales. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/12 Por lo que, atendida la naturaleza de la infracción y vistas las medidas que la entidad responsable de la misma ha comunicado haber adoptado tras recibir la comunicación de la retirada del consentimiento a tomar imágenes del menor, debe procederse en consecuencia, a resolver el archivo de las actuaciones, sin practicar apercibimiento o requerimiento alguno al Colegio denunciado, en aplicación de la interpretación del artículo 45.6 de la LOPD, atendida su interpretación sistemática y teleológica. Recordando que la reiteración en conductas como la denunciada constituye un supuesto sobre el que concurren las circunstancias previstas para la aplicación del régimen sancionador contemplado en el Reglamento General de Protección de Datos, Reglamento (UE) 2016/679. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1.- ARCHIVAR (A/0270/2018) las actuaciones practicadas al COLEGIO SAN JOSÉ OBRERO S.C., con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con relación a la denuncia por infracción del artículo 6.1 de la LOPD. 2.- NOTIFICAR el presente Acuerdo al COLEGIO SAN JOSÉ OBRERO S.C. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.