← España

A-00286-2017

1/9 Procedimiento Nº: A/00286/2017 RESOLUCIÓN: R/02885/2017 En el procedimiento A/00286/2017, instruido por la Agencia Española de Protección de Datos al COLEGIO E.E.E., vista la denuncia presentada por Doña B.B.B., y en virtud de los siguientes ANTECEDENTES PRIMERO: Con fecha 20 de abril de 2017, tiene entrada en esta Agencia una denuncia presentada por Doña B.B.B., en la que manifiesta lo siguiente: “El Colegio E.E.E. ha publicado imágenes de nuestro hijo MENOR DE EDAD, A.A.A., en medios digitales de acceso público a través de su página web (***WEB.1) y redes sociales (Twitter y Facebook) EN LAS QUE SE LE IDENTIFICA CLARAMENTE, a pesar de NO ESTAR AUTORIZADOS a ello. El centro tiene conocimiento, de la NEGATIVA AL CONSENTIMIENTO para la realización y publicación de imágenes de nuestro hijo, tanto verbalmente en reuniones mantenidas previas al inicio del curso (nuevo proyecto educativo con uso de tablets digitales con cámara incorporada) con la directora y la tutora correspondientes, como POR ESCRITO a través de la agenda escolar de cada año. Venimos notificándolo desde el curso 2014-2015, por lo que no pueden alegar desconocimiento de la citada negativa. Entendemos como tutores legales del menor que es una infracción grave, según refleja la Ley Orgánica 15/1999 de Protección de Datos en su artículo 44, apartado 3, epígrafes

  1. d)y
  2. g)al vulnerar el correspondiente derecho del que hacemos uso y además poder identificar al menor en un entorno y actividad concreta.” Aporta copia de: 1. Agenda Escolar 2016-2017 en el que consta que: no autorizan a fotografiar alumnos en la participación en actividades del Centro. No autorizan a uso de imágenes en las redes sociales del Centro. 2. Fotografías enmarcadas de un menor SEGUNDO: Con fecha 11 de mayo de 2017, se solicitó documentación complementaria, contestando lo siguiente: “En respuesta a su escrito recibido el día 19 de mayo de 2017, con referencia de salida 136703/2017 correspondiente al procedimiento E/02866/2017 solicitando documentación adicional, les adjuntamos la única documentación que obra en nuestro poder para justificar el hecho que se denuncia. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 En su día les remitimos a Ustedes el escaneado de las agendas escolares donde aparecen varias cuestiones de similar importancia: salidas fuera del centro, administración de medicamentos y la realización de fotografías y su uso para redes sociales. Esta agenda, que facilita el colegio y es de uso obligado por el alumno, mantiene una comunicación bidireccional permanente entre el profesorado, o sea el centro, y los padres del alumno. Entendemos que si esta vía es válida para el conocimiento de normativa, autorizaciones para excursiones y otras notificaciones, también lo es para el conocimiento de nuestra negativa para fotografiar a nuestro hijo y uso en redes sociales. No está fechada pues nos la hacen firmar al inicio de cada curso, válida para todo el período lectivo. La firma de todas estas autorizaciones (o negativas) de la agenda se nos recuerda en las reuniones informativas a las que se nos convoca con el resto de padres antes del inicio de las clases. Es el Centro el que nos indica el procedimiento de notificaciones, por lo que tienen conocimiento del medio y del proceso. Nuestra negativa, conocida por todos los profesores, no es nueva. Llevamos varios años indicándolo en la agenda y recordándolo de viva voz en las mencionadas reuniones informativas, así como a cada tutor personalmente. Ante la solicitud de una confirmación de que el centro está enterado, les adjuntamos un par de correos electrónicos remitidos por su tutora en 6º de primaria, en la que ella misma confirma, como es nuestro deseo, que nuestro hijo no puede aparecer en redes sociales, ya que no pueden controlar el uso que se pueda hacer de las imágenes publicadas. (Anexo 1) Por otra parte, adjuntamos un nuevo escaneado de la agenda escolar del curso 2015/2016 en la que aparecen cronológicamente rellenadas, Primero la No Autorización y posteriormente las autorizaciones de dos excursiones a las que sí asistió el alumno, justificadas con su recibo bancario correspondiente (Anexo 2), por lo que se dan por enterados mediante ésta vía de comunicación como ya hemos mencionado. Por otro lado, les indicamos que no hemos procedido a comunicar al centro la retirada de las imágenes puesto que el derecho que también nos asiste y que se ha vulnerado, es la negativa previa de que no se publiquen ni se utilice su imagen. Entendemos que nunca debieron de aparecer. En su día les remitimos a Uds. una consulta antes de solicitar la retirada y nos contestaron que podríamos interponer denuncia aportando las pruebas correspondientes (según exponen en su página web), pero para poder disponer de una prueba tangible, pensamos que si hubiéramos solicitado esa retirada, la Agencia de Protección de datos no hubiera podido comprobar el hecho denunciado.” TERCERO: Consultada la aplicación de la AEPD que gestiona la consulta de antecedentes de sanciones y apercibimientos precedentes, al denunciado/a/ la entidad, no le constan registros previos. TERCERO: Con fecha 4 de agosto de 2017, la Directora de la Agencia Española de Protección de Datos acordó someter a trámite de audiencia previa el presente procedimiento de apercibimiento A/00286/2017. Dicho acuerdo fue notificado a al denunciado. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 CUARTO: Con fecha 6 de octubre de 2017, se recibe en esta Agencia escrito del denunciado en el que comunica que se trata de una institución académica en cuya actividad se respeta el cumplimiento de la legalidad, privacidad e intimidad de las personas. El Colegio es titular de un blog a través del cual se ejerce el derecho a la información de las actividades educativas que desarrolla. Al publicar las fotos para informar a la comunidad educativa (padres, profesores y alumnos) existe un interés legítimo del Colegio; se trata de que las imágenes de los menores no sean identificables o tenga un carácter meramente accesorio. El menor C.C.C. ha sido alumno durante los últimos 8 años, respetándose la voluntad de sus padres a la realización y publicación de imágenes. Cuando el Colegio ha tenido conocimiento de los hechos denunciados se revisó el blog y se cancelaron de inmediato las fotos del menor. En ningún momento los padres se dirigieron al Colegio para informar del problema. Solicitan que se pida a los denunciantes que identifiquen la URL completa de cualquier fotografía que pudiese haber de su hijo para proceder a su eliminación. HECHOS PROBADOS PRIMERO: A.A.A. es alumno del Colegio E.E.E.. Sus padres se han opuesto a que publiquen su imagen ni en su página web ni en redes sociales. SEGUNDO: El Colegio E.E.E. ha publicado imágenes de A.A.A., en medios digitales de acceso público a través de su página web (***WEB.1) y redes sociales (Twitter y Facebook) en las que se le identifica claramente, a pesar de no estar autorizados a ello. TERCERO: En la Agenda Escolar 2016-2017 consta que: no autorizan a fotografiar alumnos en la participación en actividades del Centro. No autorizan a uso de imágenes en las redes sociales del Centro. CUARTO: El Colegio E.E.E. ha procedido a cancelar las fotografías del menor. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la la Ley 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante LOPD). II La LOPD en sus art. 1 y 2.1) establece: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 personal y familiar.” “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado.” III La LOPD delimita su ámbito de aplicación en el párrafo primero de su artículo 2.1, definiendo el concepto de dato de carácter personal en su artículo 3.
  4. a)como “cualquier información concerniente a personas físicas identificadas o identificables”. El tratamiento de datos se define en la letra
  5. c)del mismo precepto como las “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. A la vista de lo anterior, se deduce que la imagen de una persona (en este caso su fotografía) ha de ser considerada como dato de carácter personal y su tratamiento sometido a la citada Ley Orgánica, por lo que, con carácter general, no será posible su utilización o cesión si el interesado (en este caso sus padres al tratarse de una menor) no ha dado su consentimiento para ello. IV El artículo 6 de la LOPD, determina: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. En el presente caso se trata de un tratamiento de datos (imagen) de un menor de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 edad con lo que deberemos atender a lo dispuesto en el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD (RLOPD): “Artículo 13 Consentimiento para el tratamiento de datos de menores de edad 1. Podrá procederse al tratamiento de los datos de los mayores de catorce años con su consentimiento, salvo en aquellos casos en los que la Ley exija para su prestación la asistencia de los titulares de la patria potestad o tutela. En el caso de los menores de catorce años se requerirá el consentimiento de los padres o tutores. 2. En ningún caso podrán recabarse del menor, datos que permitan obtener información sobre los demás miembros del grupo familiar, o sobre las características del mismo, como los datos relativos a la actividad profesional de los progenitores, información económica, datos sociológicos o cualesquiera otros, sin el consentimiento de los titulares de tales datos. No obstante, podrán recabarse los datos de identidad y dirección del padre, madre o tutor con la única finalidad de recabar la autorización prevista en el apartado anterior. 3. Cuando el tratamiento se refiera a datos de menores de edad, la información dirigida a los mismos deberá expresarse en un lenguaje que sea fácilmente comprensible por aquéllos, con expresa indicación de lo dispuesto en este artículo. 4. Corresponderá al responsable del fichero o tratamiento articular los procedimientos que garanticen que se ha comprobado de modo efectivo la edad del menor y la autenticidad del consentimiento prestado en su caso, por los padres, tutores o representantes legales.” El tratamiento de datos sin consentimiento constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales, los derechos del afectado a consentir sobre la recogida y tratamiento de sus datos personales y a saber de los mismos. V De conformidad con lo expuesto ut supra, la jurisprudencia y el propio artículo 6 de la LOPD, exige que el responsable del tratamiento de los datos cuente con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 consentimiento para el tratamiento de dichos datos personales, entendido estos de conformidad con las definiciones contenidas en el artículo 3 de la LOPD como: Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.” Consentimiento del interesado como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d). Este precepto, innovando respecto de la Ley Orgánica 5/1992, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por el COLEGIO puede subsumirse o no en tales definiciones legales, es decir, si es responsable del fichero y/o tratamiento, y en caso afirmativo si está o no legitimado para el tratamiento de datos de la menor, y por ende verificar la prestación del consentimiento sus progenitores o la ausencia del mismo. En el presente caso el COLEGIO es responsable del canal de la página web (***WEB.1) y redes sociales (Twitter y Facebook) en los que se publicaron las imágenes en los cuales aparecía la menor y que fueron objeto de denuncia, y por lo tanto es la responsable del tratamiento del dato personal de su imagen, requiriéndose para el mismo el consentimiento de los padres. En este sentido el COLEGIO conocía la negativa de los padres a la publicación de imágenes del menor. VI El artículo 44.3.
  6. b)de la LOPD, tipifica como infracción grave: “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. Tomando en consideración los anteriores hechos y fundamentos de derecho cabe concluir que el COLEGIO trató sin consentimiento los datos personales del menor lo cual constituye la referida infracción del artículo 6.1 de la LOPD. VII Por otra parte el artículo 10 de la LOPD dispone que: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 titular del fichero o, en su caso, con el responsable del mismo.” En el presente caso ha quedado acreditado en el expediente, quela imagen de la menor permaneció publicada en la página web (***WEB.1) y redes sociales (Twitter y Facebook) del COLEGIO, sin que se acredite el consentimiento de los padres con dicha finalidad, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD. El artículo 44.3.
  7. d)de la LOPD califica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley” Así el denunciado ha incurrido en la infracción grave descrita, pues incumplió el deber de secreto previsto en el artículo 10 de la LOPD revelando el dato personal de la imagen de la menor en las circunstancias ya descritas. VIII No obstante lo anterior, el apartado 6 del artículo 45 de la LOPD dispone: “Excepcionalmente el órgano sancionador podrá, previa audiencia de los interesados y atendida la naturaleza de los hechos y la concurrencia significativa de los criterios establecidos en el apartado anterior, no acordar la apertura del procedimiento sancionador, y en su lugar, apercibir al sujeto responsable a fin de que, en el plazo que el órgano sancionador determine, acredite la adopción de las medidas correctoras que en cada caso resultasen pertinentes, siempre que concurran los siguientes presupuestos:
  8. a)que los hechos fuesen constitutivos de infracción leve o grave conforme a lo dispuesto en esta Ley.
  9. b)Que el infractor no hubiese sido sancionado o apercibido con anterioridad. Si el apercibimiento no fuera atendido en el plazo que el órgano sancionador hubiera determinado procederá la apertura del correspondiente procedimiento sancionador por dicho incumplimiento”. En el presente supuesto se cumplen los requisitos recogidos en los apartados
  10. a)y
  11. b)del citado apartado 6. Junto a ello se constata una cualificada disminución de la culpabilidad del imputado teniendo en cuenta que no consta vinculación relevante de la actividad del denunciado con la realización de tratamientos de datos de carácter personal, su volumen de negocio o actividad y no constan beneficios obtenidos como consecuencia de la comisión de la infracción. IX Ahora bien, en el presente supuesto, no obstante lo anterior, debe analizarse la circunstancia de que el apercibimiento que correspondería de acuerdo con el artículo 45.6 de la LOPD, no tendría aparejado requerimiento o medida correctora alguna a adoptar por el denunciado. Téngase en cuenta que durante la tramitación del procedimiento ha quedado acreditado que el COLEGIO ha comunicado a esta Agencia la medida correctora adoptada consistente en la retirada de las imágenes en las C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 aparecía el menor. Por tanto, esta Agencia no podría apercibir al COLEGIO por la comisión de la infracción a los artículos 6.1 y 10 de la LOPD requiriéndole la adopción de medidas correctoras que evitasen la vulneración, tanto del principio del consentimiento en el tratamiento del dato de la imagen del menor, como del deber de secreto respecto de la misma, evitando el acceso indebido a su imagen por terceras personas. A la vista de dicha situación, es obligado hacer mención a la Sentencia de la Audiencia Nacional de 29/11/2013, (Rec. 455/2011), Fundamento de Derecho Sexto, que aunque referida al apercibimiento regulado en el artículo 45.6 de la LOPD también resulta extrapolable al apercibimiento regulado en el artículo 39 bis 2 de la LSSI, advierte a propósito de la naturaleza jurídica de dicha figura que “no constituye una sanción”, tratándose de “medidas correctoras de cesación de la actividad constitutiva de la infracción” que sustituyen a la sanción. Así, la Sentencia entiende que el artículo 45.6 de la LOPD confiere a la Agencia Española de Protección de Datos una “potestad” diferente de la sancionadora cuyo ejercicio se condiciona a la concurrencia de las especiales circunstancias descritas en el precepto. En congruencia con la naturaleza atribuida al apercibimiento como una alternativa a la sanción cuando, atendidas las circunstancias del caso, el sujeto de la infracción no es merecedor de la misma, la Sentencia de la Audiencia Nacional citada concluye que cuando las medidas correctoras objeto del apercibimiento ya hubieran sido adoptadas por el infractor, lo procedente en Derecho es acordar el archivo de las actuaciones. A la vista del pronunciamiento recogido en la Sentencia de la Audiencia Nacional de 29/11/2013 (Rec. 455/2011), reforzado posteriormente en su Sentencia de fecha 10/06/2014 (Rec. 166/2013), referentes a los supuestos en los que el sujeto responsable de la infracción ha adoptado las medidas correctoras oportunas para subsanar la situación creada, y en armonía con lo señalado debe procederse al archivo de las actuaciones practicadas. De acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. ARCHIVAR el procedimiento A/00286/2017 al COLEGIO E.E.E. SDAD COOP MADRILEÑA con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 2.- NOTIFICAR el presente Acuerdo al COLEGIO E.E.E. SDAD COOP MADRILEÑA. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.