← España

AAPP-00039-2017

1/35  Procedimiento Nº AP/00039/2017 RESOLUCIÓN: R/00307/2018 En el procedimiento de Declaración de Infracción de Administraciones Públicas AP/00039/2017, instruido por la Agencia Española de Protección de Datos al C.E.I.P. A.A.A. vista la denuncia presentada por los Denunciantes 1 y 2, y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fechas 16 y 19 de diciembre de 2016, se registran de entrada en esta Agencia sendas denuncias formuladas por los Denunciantes 1 y 2, cuya identificación aparece en el Anexo I del presente acto, contra el COLEGIO DE EDUCACIÓN INFANTIL Y PRIMARIA A.A.A., en lo sucesivo CEIP A.A.A. , por el tratamiento y difusión sin su consentimiento de imágenes de sus hijas, ambas menores de 14 años edad, en el periódico del citado centro escolar, que se publica en abierto en la página web ***WEB.

  1. En concreto, el Denunciante 1 pone de manifiesto que en la página web del citado centro ***WEB.2, había una fotografía de un grupo de niños, entre los cuales aparecía la imagen de su hija. Paralelamente, el Denunciante 2 pone de manifiesto que las fotografías de profesores y alumnos, así como de niños, que aparecían publicadas en los siguientes enlaces de la página web del reseñado centro mostraban la imagen de su hija: ***WEB.3 ***WEB.4 Según el Denunciante 2, en los dos últimos años no se ha solicitado consentimiento para la realización de fotos a los alumnos. A este respecto, señala que siempre se ha opuesto a la publicación de fotos o videos de su hija, y que así se lo he hecho saber, de forma verbal, al Director del centro escolar denunciado. A su vez, el Denunciante 1 denuncia al CEIP A.A.A. por los hechos siguientes: El tratamiento y difusión sin su consentimiento de los datos personales de su hija en la página web https://www.youtube.com/X.X.X.1 del canal YouTube, donde se localiza un vídeo realizado por el citado centro escolar en el que aparece la imagen de su hija entre el minuto 2,41 a 2,48 del mismo. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 2/35 La exposición de los datos personales de los alumnos que han obtenido becas en un tablón ubicado en la verja exterior del reseñado centro escolar, información que por mostrarse en la vía pública resultaba accesible a cualquier viandante. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, el CEIP A.A.A. ha manifestado a los Servicios de Inspección de esta Agencia lo siguiente:
  2. En cuanto a la denuncia registrada con fecha 16 de diciembre de 2016 por el Denunciante 1, el CEIP A.A.A. remite copia de los consentimientos otorgados por la que identifica como madre de las Menores I y II al firmar, respectivamente, en junio de 2012 y 2014 el documento denominado “Autorización Uso Educativo Derecho Imagen”. En dichos documentos autoriza el uso educativo, en el ámbito interno del colegio y en la página web del mismo, de las imágenes que puedan obtenerse de su hijo/a en la realización de las actividades educativas programadas durante su escolarización en el Centro, constando en el Anexo II los datos relativos a las Menores I y II y a su madre. Se hace constar que aunque el Denunciante 1 manifestó el 15 de junio de 2012 su negativa al uso educativo de derecho de imagen de la Menor II, documento cuya copia aporta el CEIP A.A.A., con posterioridad a esa fecha, en concreto en junio de 2014, la madre de esa alumna autorizó expresamente dicho uso firmando el reseñado documento, al igual que el 14 de junio de 2012 ya lo había firmado en relación con la Menor I, alumna del centro denunciado cuyos apellidos coinciden con los de la Menor II.
  3. Con relación al video publicado en la página web del centro con fecha 3 de abril de 2014 , alojado en YouTube, al que también se refiere el Denunciante 1, se indica que estaba calificado como “privado”, por lo que su visualización sólo era accesible a través de la página web del centro. Comunican que, como medida cautelar, se ha decidido suspender su publicación hasta conocer si el proceder ha sido correcto. No obstante dicha afirmación, en la comprobación realizada con fecha 19 de diciembre de 2016, se pudo constatar que podía accederse al mencionado video sin necesidad de acreditarse en forma alguna, tal y como refleja la Diligencia levantada al visitar con esa fecha la página web https://www.youtube.com/X.X.X.1
  4. En cuanto a la denuncia registrada con fecha 19 de diciembre de 2016 por el Denunciante 2, el CEIP A.A.A. remite copia del consentimiento otorgado, con fecha 17 de junio de 2013, por la madre de la Menor III, al firmar ésta la misma autorización y leyenda que se cita en el punto 1 anterior. En el Anexo III que se adjunta figuran las identificaciones de la menor y su madre.
  5. Con respecto a la publicación en el Tablón de anuncios del colegio de los listados de la Convocatoria de Ayudas de Libros de texto del Ayuntamiento de C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 3/35 ***LOC.1, a instancias de dicha institución, dichos listados fueron expuestos tanto en el tablón anclado en el vallado junto a la puerta de entrada del colegio como en el tablón de anuncios interior, con el único objeto de facilitar el acceso a dicha información a los padres de manera rápida a la hora de dejar a sus hijos en el colegio. El citado CEIP afirma que, tal y como indicó el Ayuntamiento en el escrito de 14 de diciembre de 2016, cuya copia aporta, comunicando que se había aprobado la resolución de la “Convocatoria de Ayudas a las familias en el comienzo del Curso 2016/17” no se ha expuesto al público el listado definitivo con los códigos de los motivos de denegación, que únicamente es accesible a través de la presentación personal de los interesados en la Secretaría del centro. Se ha verificado que en escrito de 14 de diciembre de 2016 señalado, el Ayuntamiento de ***LOC.1 indicaba: “Adjuntamos para que informen a las familias matriculadas en su Centro: Listado DEFINITVO de solicitudes CONCEDIDAS Listado DEFINITIVO de solicitudes DENEGADAS sin código motivo. Listado DEFINTIVO SECRETARIA

(1)de solicitudes DENEGADAS con código motivo PARA
(1)NO exponer al público el listado que contiene los motivos de DENEGACIÓN por tener información protegida por la Ley de Protección Datos. Se e explicarán en la Secretaria del Centro a petición del interesado. Acompañamos un cartel para insertar en el tablón de anuncios.” TERCERO: Con fecha 22 de septiembre de 2017, acordó iniciar procedimiento de declaración de infracción de Administraciones Públicas a la CONSEJERÍA DE EDUCACIÓN, JUVENTUD Y DEPORTE DE LA COMUNIDAD AUTONOMA DE MADRID, en la actualidad CONSEJERÍA DE EDUCACIÓN E INVESTIGACIÓN, (en adelante la CONSEJERÍA), por las presuntas infracciones de los artículos 6.1 y 10 de dicha norma, tipificadas, respectivamente, como infracción grave en los artículos 44.3.
  1. b)y 44.3.
  2. d)de la citada Ley Orgánica. CUARTO: Notificado el citado acuerdo de inicio de procedimiento de declaración de infracción de Administraciones Públicas, con fecha 23 de octubre de 2017 se registra de entrada escrito de la Consejería comunicando que se procedía a remitir el acuerdo de inicio al CEIP A.A.A. para que formulase las alegaciones y propusiera las pruebas que considerase convenientes. Se informa que conforme al procedimiento establecido en la actualidad corresponde a cada centro educativo de la Comunidad de Madrid declarar sus propios ficheros ante la AEPD, siendo el responsable del fichero o del tratamiento de los datos el director de cada centro educativo. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 4/35 QUINTO: Con fecha 7 de noviembre de 2017 se registra de entrada escrito de alegaciones formulado por el Director del CEIP A.A.A., solicitando el archivo de las actuaciones en atención a que los hechos denunciados no constituyen infracción a los artículos 6 y 10 de la LOPD, con sustento en los siguientes argumentos: -En cuanto al tratamiento de las imágenes de las hijas de los denunciantes, el CEIP solicitó de manera expresa el consentimiento de los padres denunciante para usar dichas imágenes con las finalidades expuestas por el centro. El consentimiento fue otorgado fue libre, inequívoco, específico e informado, según se desprende de las autorizaciones adjuntadas. Los documentos de “Autorización Uso Educativo Derecho Imagen” aportados prueban que el consentimiento al tratamiento efectuado fue otorgado por las madres de las menores. De acuerdo con lo dispuesto en el artículo 156 del Código Civil, la patria potestad se ejerce conjuntamente por ambos progenitores o por uno solo con el consentimiento expreso o tácito del otro, siendo válidos los actos que realice uno de ellos conforme al uso social y a las circunstancias o en situaciones de urgente necesidad. Añade que respecto de terceros de buena fe se presumirá que cada uno de los progenitores actúa en el ejercicio ordinario de la patria potestad con el consentimiento del otro. Por lo que es suficiente que uno de ellos lo autorice expresamente sin la oposición del otro. Los denunciantes, en caso de no estar conformes con las autorizaciones de sus cónyuges podrían haber instado la iniciación de un procedimiento de jurisdicción voluntaria al amparo, en este caso, del artículo 156 del Código Civil. No corresponde a los centros docentes solventar las discrepancias surgidas respecto del consentimiento dado por uno de ellos en las autorizaciones presentadas, que resulta válido a todos los efectos. El consentimiento otorgado estaba vinculado a las finalidades determinadas, específicas y legítimas que fueron informadas en el documento que se entregó a los padres para recabar su autorización. Los datos obtenidos no se han utilizado para fines distintos o incompatibles a dichas finalidades. No costa que los denunciantes hayan ejercido su derecho de acceso, rectificación, cancelación u oposición en relación con el tratamiento de las imágenes de sus hijas objeto de sus respectivas denuncias, lo que indica que no consideraron vulnerados los derechos de las menores ya que no procuraron evitar de manera inmediata los hechos que ahora denuncian. Este comportamiento, junto con el hecho de no objetar nunca nada al consentimiento otorgado por la madre del menor, choca con la doctrina de los actos propios, que tiene su fundamento en la protección de la confianza y la regla de la buena fe. No se puede reputar bien intencionado a quien se desdice o contradice posteriormente habiendo dado por bueno durante todo ese tiempo el consentimiento. Respecto de la infracción del artículo 10 de la LOPD se niega que se haya vulnerado el "deber de secreto profesional", ya que existe una autorización expresa de los padres para publicar las imágenes con un uso educativo, tanto en el ámbito C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 5/35 interno del colegio como en la página web del mismo, que es de libre acceso a través de internet. La inclusión y difusión de las imágenes de las hijas de los objeto de denuncia se llevó a cabo en la página web del Colegio, a través de la cual se accedía a un vídeo que estaba configurado internamente para su visualización como "privado". Aportan captura de pantalla, que según se indica, acredita esa circunstancia. En lo referente a la exposición de los listados en el tablón de anuncios de la valla exterior del Centro se aduce que en la base Undécima del documento del Ayuntamiento de ***LOC.1, relativo a las Bases para ayudas a las familias en el comienzo del Curso Escolar 2016/2017, se determina que los beneficiarios de las mismas y las solicitudes denegadas se harán públicas en los tablones de anuncios de las Juntas Municipales de Distrito, Área de Servicios Sociales, Área Municipal de Educación y Centros Docentes Los listados definitivos de solicitudes concedidas y denegadas por dicho Ayuntamiento se publicaron en los tablones del Centro Escolar, cumpliendo lo exigido en la comunicación de la Concejalía de Educación del citado Ayuntamiento, de fecha 15 de diciembre de 2016, cuya copia se adjunta. Su publicación en el tablón de la valla exterior del centro pretendía facilitar a los padres el acceso a la información de manera rápida a la hora de dejar a sus hijos en el Colegio, aunque en dicho lugar nunca se publicaron los motivos de denegación de las ayudas, información que se proporcionó en la Secretaria del Centro a petición de los interesados. En apoyo de su pretensión de falta de vulneración de lo dispuesto en el artículo 10 de la LOPD en lo relativo al deber de guardar secreto acerca del tratamiento de los datos de carácter personal, aducen la Resolución del expediente nº E/04074/2015. Asimismo, señalan que el Área Municipal de Educación del Ayuntamiento de ***LOC.1 ha confirmado que los listados definitivos enviados al Centro para su publicación en los tablones de anuncios contenían datos adecuados, pertinentes y no excesivos, ya que sólo aparecían apellidos, nombres y cursos, tal y como recomienda la AEPD en su "PLAN SECTORIAL DE OFICIO A LA ENSEÑANZA REGLADA NO UNIVERSITARIA", de 29 de diciembre de 2008. También ha informado al CEIP que los padres autorizaron al Ayuntamiento para el tratamiento manual o informatizado de los datos contenidos en la "Solicitud de ayuda a las familias en el comienzo del curso 2016/2017", además de a la publicación de los listados necesarios para la información a los interesados de las distintas fases de la Convocatoria, no constando en el Ayuntamiento de ***LOC.1 que los denunciantes hayan solicitado ante el mismo el acceso, rectificación, cancelación u oposición a dichos datos o a su publicación. SEXTO: Con fecha 13 de noviembre de 2017 la Instructora del procedimiento inicia un período de práctica de pruebas, en cuyo marco se acuerda practicar las siguientes pruebas: C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 6/35 - Incorporar al expediente del procedimiento de declaración de infracción de administraciones públicas arriba indicado, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/00247/2017. Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento AP/00039/2017 presentadas por la CONSEJERÍA- CEIP A.A.A.. Todo ello con su correspondiente documentación adjunta. - Incorporar al expediente del procedimiento arriba indicado, y por tanto dar por reproducida a efectos probatorios la siguiente documentación:
  3. a)Impresión del resultado obtenido al consultar la información obrante en el Registro General de Protección de Datos de la AEPD en relación con los ficheros inscritos por la Comunidad de Madrid, Consejería de Educación, Juventud y Deporte, Dirección del Área Territorial Madrid Sur, C.P. A.A.A..
  4. b)Copia íntegra de la Sentencia del Tribunal Supremo, de fecha 30 de junio de 2015, citada en el escrito de alegaciones al acuerdo de inicio por el CEIP A.A.A..
  5. c)Copia de la Resolución nº E/04074/2015 publicada en la página web de la AEPD. - Solicitar a la CONSEJERÍA- CEIP A.A.A. contestación a los siguientes extremos y envío de la documentación que a continuación se cita:
  6. a)Acreditación de la fecha exacta en que se publicó en la página web del CEIP A.A.A. la fotografía en la que aparecía la hija del Denunciante 1, con justificación, en su caso, de la fecha de su retirada o de si continúa expuesta en la actualidad. Se solicita aclaración relativa a la fecha en que se tomó la fotografía y especificación de si en la misma aparece la Menor I o la Menor II.
  7. b)Acreditación de las fechas exactas en que se publicaron en la página web del CEIP A.A.A. las fotografías en las que aparecía la hija del Denunciante 2, con justificación, en su caso, de las fechas de su retirada o de si continúan expuestas en la actualidad. También se solicita aclaración relativa a las fechas exactas en que se tomaron las fotografías publicadas en los enlaces reseñados en el acuerdo de inicio.
  8. c)Procedimiento seguido por el CEIP A.A.A. cuando la “Autorización Uso Educativo Derecho Imagen” cuando uno de los progenitores de los alumnos autoriza el uso educativo de las imágenes y el otro no lo autoriza.
  9. d)Edad de cada una de las menores afectadas en las fechas de la toma y difusión de las imágenes denunciadas. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 7/35
  10. e)Indicación de la periodicidad con la que se solicita por el CEIP A.A.A. al padre/madre de los alumnos la “Autorización Uso Educativo Derecho Imagen”.
  11. f)Causa por la que en la “Autorización Uso Educativo Derecho Imagen” no se solicita la firma de ambos progenitores cuando éstos ostentan la patria potestad.
  12. g)Acreditación de la fecha exacta en que se suspendió la publicación del vídeo publicado en la página web del CEIP A.A.A. alojado en YouTube.
  13. h)Remisión de copia de las Bases de la Convocatoria de Ayudas a las familias en el comienzo del Curso Escolar 2016/2017 y del documento “Solicitud de ayuda a las familias en el comienzo del curso 2016/2017”
  14. i)Envío de copia de los listados definitivos de solicitudes concedidas, denegadas sin código motivo y solicitudes denegadas con código motivo para Secretaría que fueron remitidos al CEIP A.A.A. por la Concejalía del Ayuntamiento de ***LOC.1 en relación con la resolución de la Convocatoria de Ayudas a las familias en el comienzo del Curso 2016/17, aprobada por la Junta de Gobierno Local de dicho Ayuntamiento el 12/12/2016.
  15. j)Especificación de la ubicación exacta del Anuncios del CEIP A.A.A.. Tablón o Tablones de
  16. k)Remisión de elementos de prueba acreditativos de la alegación relativa a que en los Tablones de Anuncios del CEIP A.A.A. y en la valla exterior del mismo se publicó el listado definitivo de solicitudes denegadas sin código motivo. -Solicitar al Denunciante 1) contestación a los siguientes extremos relacionados con la denuncia formulada contra la CONSEJERÍA- CEIP A.A.A., así como el envío de la siguiente documentación:  Acreditación de las fechas de nacimiento de sus hijas (Menor I y Menor II).  Aclaración de si la menor que aparece fotografiada en la página 11 del periódico y el vídeo publicados en página web del CEIP A.A.A. a la que se refiere en su denuncia de fecha 16/12/2016 es la Menor I o la Menor II.  Fecha y edad de la menor en cuestión cuando se tomó la fotografía grupal y se rodó el video publicados en la página web del CEIP A.A.A., así como del período en que dichas imágenes han estado accesibles a través de la mencionada página web. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 8/35  Indicación de si usted ha ejercido, o no, ante el CEIP A.A.A., o ante la Consejería de Educación e Investigación de la Comunidad de Madrid, derecho de cancelación u oposición a fin de que fueran retiradas las mencionadas imágenes de su hija objeto de denuncia. En caso de haber ejercido alguno de esos derechos, se solicita aportación de copia del escrito de solicitud correspondiente, justificación de la recepción del mismo por el destinatario y contestación recibida.  En relación con la menor de edad afectada por el tratamiento denunciado, se solicita justifique si mientras se produjo la publicación web de las imágenes denunciadas usted compartía la patria potestad y/o la guardia y custodia con quien aparece identificada como madre de la Menor I y Menor II en el procedimiento arriba referenciado. En caso de no ser así, se solicita acreditación de tal circunstancia y de que el CEIP A.A.A. conocía de la misma.  Remisión de cualquier medio de prueba acreditativo de las fechas y contenido de la información sobre becas que aparecía difundida en la valla exterior del mencionado Colegio. - Solicitar al Denunciante 2 contestación a los siguientes extremos relacionados con la denuncia formulada contra la contra la CONSEJERÍA- CEIP A.A.A., así como el envío de la siguiente documentación:  Acreditación de las fechas de nacimiento de su hija (Menor III).  Fecha y edad de su hija cuando se tomaron las fotografías grupales que aparecen en los enlaces señalados en su denuncia e indicación del período en que dichas imágenes han estado accesibles a través de la página web del CEIP A.A.A..  Indicación de si usted ha ejercido, o no, ante el CEIP A.A.A., o ante la Consejería de Educación e Investigación de la Comunidad de Madrid, derecho de cancelación u oposición a fin de que fueran retiradas las mencionadas imágenes de su hija objeto de denuncia. En caso de haber ejercido alguno de esos derechos, se solicita aportación de copia del escrito de solicitud correspondiente, justificación de la recepción del mismo por el destinatario y contestación recibida.  En relación con la menor de edad afectada por el tratamiento denunciado, se solicita justifique si mientras se produjo la publicación web de las imágenes denunciadas usted compartía la patria potestad y/o la guardia y custodia con quien aparece identificada como madre de la Menor III en el procedimiento arriba referenciado. En caso de no ser así, se solicita acreditación de tal circunstancia y de que el CEIP A.A.A. conocía de la misma. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 9/35  Remisión de cualquier medio de prueba que permita acreditar, que se había opuesto verbalmente ante el Director del CEIP A.A.A. a la publicación de fotos o vídeos de su hija. SÉXTO: Con fecha 4 de diciembre de 2017 se registra de entrada escrito del Director del CEIP A.A.A. contestando la práctica de pruebas acordadas en el siguiente sentido, información que respalda con la presentación de los documentos que relaciona:
  17. a)Fecha de publicación en la página web: 8 de julio de 2015. Fecha de retirada: 20 octubre de 2017 tras recibir de la CONSEJERÍA el acuerdo de inicio del procedimiento AP/00039/2017. También se retira, en forma cautelar tanto la última edición del periódico escolar como las anteriores. Fecha toma de la fotografía: 27 de noviembre de 2014. En la fotografía aparece la Menor I.
  18. b)Las imágenes se publicaron en los artículos: “Exposición cuadros profesores y alumnos”, publicado el 14 de diciembre de 2016 y “Halloween 2016: unos monstruos nos visitaron”, publicado el 3 de noviembre de 2016, siendo retirados ambos artículos con fecha 20 de octubre de 2017, así como todo tipo de artículo de la página web con contenido de imágenes de alumnos. La fotografía del primer artículo se tomó el 13 de diciembre de 2016 y las publicadas en el segundo artículo se tomaron el 28 de octubre de 2016.
  19. c)En el momento de la firma del documento “Autorización Uso Educativo Derecho Imagen”, integrado dentro de la documentación de matriculación de la alumna en el centro, firmado por el padre en junio de 2012, se requería, indistintamente, la firma bien del padre o bien de la madre, considerando que ambos tenían la patria potestad y que actuaban uno en representación del otro, de acuerdo con lo dispuesto en el artículo 156 del Código Civil. Cuando se obtiene, en la matriculación de la hija del Denunciante 1, la negativa al uso educativo del derecho de imagen, se considera que ambos se niegan y no se publica imagen alguna de la alumna. cuando uno de los progenitores de los alumnos autoriza el uso educativo de las imágenes y el otro no lo autoriza. La familia conoce y ejerce el derecho de rectificación dos años más tarde, junio de 2014, firmando la madre el documento anterior en signo contrario. Se contempla que ésta actúa en representación de ambos progenitores, y autoriza, por tanto, la publicación de imágenes de la hija del Denunciante 1 con fecha posterior a la firma de dicha autorización de imágenes. Desde la creación de la página web en abril del año 2011 el caso del Denunciante 1 ha sido único. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 10/35
  20. d)La imagen de la Menor I se toma el 27/11/2014 y se publica el 08/07/2015, cuando esta alumna tenía 8 años. Las imágenes de la Menor III se toman con fechas 28/10/2016 y 13/12/2016, se publican el 03/11/2016 y 14/12/2016, respectivamente, cuando esta alumna tenía 6 años.
  21. e)La firma del documento “Autorización Uso Educativo Derecho Imagen” se solicita a los padres cuando formalizan las matrícula en el centro, sin perjuicio del ejercicio de los derechos ARCO en cualquier momento.
  22. f)Hasta el período de admisión del curso 2014/2015 el CEIP A.A.A. ha utilizado formularios de matriculación en el que sólo se requería la firma de uno de los progenitores considerando que el firmante, padre o madre, actuaba en nombre de ambos. A raíz de las instrucciones recibidas de la CONSEJERÍA para el período de admisión del curso 2015/2016 en el que se insta a recabar la firma de ambos progenitores y la justificación documental de la falta de firma de uno de ellos, el CEIP ha adaptado los formularios del proceso de matriculación.
  23. g)Con fecha 22 de febrero de 2017, tras recibir el requerimiento de información de la AEPD se suspendió, cautelarmente, la publicación del vídeo.
  24. h)Se adjunta copia de las Bases de la Convocatoria de Ayudas a las familias en el comienzo del Curso Escolar 2016/2017, en las que se señala que los listados generados se harán públicos en “…Juntas Municipales de Distrito, Área de Servicios Sociales, Área Municipal de Educación y centros docentes” y del documento “Solicitud de ayuda a las familias en el comienzo del curso 2016/2017”, en el que se señala que los listados serán expuestos en los centros docentes.
  25. i)Se adjunta copia de los listados definitivos, recibidos el 15/12/2016.
  26. j)Se ajunta documentación relativa a la información de distribución de edificios y ubicación de los tablones de anuncios del centro mediante imagen de geolocalización satélite, así como fotografías que muestran la ubicación del Tablón de Anuncios exterior situado junto a la entrada y del Tablón de Anuncios interior situado junto a la entrada al Pabellón de Servicios.
  27. l)Para acreditar que en los Tablones de Anuncios del CEIP A.A.A. y en la valla exterior del mismo se publicó el listado definitivo de solicitudes denegadas sin código motivo, en base a lo dispuesto en los artículos 5 y 6 de la Ley 2/2010, de 15 de junio, se aporta certificación del Secretario del CEIP A.A.A. con el Visto Bueno del Directo. Asimismo, se señala que se ha procedido a la publicación de la primera de las páginas de los listados provisionales enviadas por el Ayuntamiento de ***LOC.1 para la convocatoria de ayudas de libros del curso 2017/2018 en el tablón externo C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 11/35 con indicación de que los listados pueden consultarse en el tablón interior y los motivos de denegación en la Secretaria del Centro. SÉPTIMO: Con fecha 12 de diciembre de 2017 se registra de entrada escrito del Denunciante 2 contestando lo siguiente a las pruebas cuya práctica se le notificó: -Comparte la patria potestad y la guardia y custodia de su hija, la Menor III, nacida el 12/09/2010. Aporta copia de la Hoja del Libro de Familia. -Que durante el año 2016, se realizaron a su hija de 6 años de edad fotografías en el CEIP A.A.A. que fueron publicadas en los enlaces que señala de la página web del centro: ***WEB.1. Aporta impresión de capturas de las imágenes, señalando que el enlace que remitía a un archivo de PowerPoint donde se visionaban fotos grupales de profesores y de alumnos, entre ellos su hija, fue retirado inmediatamente después de su denuncia, mientras que enlace que permitía visionar un texto acompañado de fotos de los alumnos durante la celebración de Halloween, una de ellas un primer plano de su hija, permaneció visible en la web del CEIP A.A.A. durante varios meses después de su denuncia. - Que la última vez que firmaron la autorización para el uso educativo del derecho a la imagen de los niños fue al inicio del curso 2013/2014, cuya copia adjunta, sin que en ningún otro curso hayan autorizado la realización o publicación de fotografías de su hija. Que no ha ejercido su derecho de cancelación y oposición a la cesión de los derechos de imagen de la menor al no mencionarse tal posibilidad en dicho documento. - Que considera que la publicación de las fotos se hacía para publicitar el colegio, ya que es una web de acceso público, estimando que si respondiera a un fin educativo dicho acceso tendría que ser restringido o con usuario y contraseña. - Que con motivo de la visita efectuada al colegio en el año 2015 por el entonces Alcalde de ***LOC.1 se permitió hacer fotos a los menores sin la expresa autorización de los padres, siendo una de estas fotos publicada en el periódico ***PERIODICO.1! y otras en la página web del Ayuntamiento con intenciones electoralistas de cara a las inminentes elecciones municipales. Como consecuencia de este incidente informó verbalmente al director del centro Don B.B.B. de que a partir de ese momento no autorizaba la realización ni publicación de fotos de su hija, estando como testigo la madre de dos alumnas del centro, persona a quien identifica.. Asimismo, se refiere a una reunión del Consejo Escolar de 23/02/2017 y a una reunión del AMPA de 10/03/2017 en las que se informó de la existencia y motivos de las dos denuncias, indicando también que desde dicha Asociación se envió un correo a todos los socios anexando un archivo con el resumen de la reunión que adjunta, en uno de cuyos puntos se informaba sobre las denuncias. Respecto de dicho envío, se ha comprobado que en el resumen no aparecían datos personales C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 12/35 de ningún tipo, sino información referida a los hechos que motivaron las denuncias y las medidas cautelares adoptadas por el Centro a raíz de los hechos denunciados. OCTAVO: Con fecha 23 de enero de 2018, la Instructora del procedimiento formuló la siguiente Propuesta de Resolución en el Procedimiento de declaración de infracción de las Administraciones Públicas nº AP/39/2017: Declarar el ARCHIVO de las actuaciones seguidas al C.E.I.P. A.A.A. por posible infracción a lo dispuesto en el artículo 6.1 de la LOPD. Declarar que el C.E.I.P. A.A.A. ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
  28. d)de la citada Ley Orgánica. REQUERIR al C.E.I.P. A.A.A., para que adopte las medidas de orden interno que impidan que en el futuro pueda producirse una nueva infracción del artículo 10 de la Ley Orgánica 15/1999. NOTIFICAR la Resolución que se adopte al responsable del fichero, al órgano del que dependa jerárquicamente y al Defensor del Pueblo. NOVENO: Notificada la propuesta de resolución, con fecha 15 de febrero de 2018 se registra de entrada escrito del Director del CEIP A.A.A. solicitando declaración de inexistencia de infracción del artículo 10 de la LOPD con fundamento, en síntesis, en los siguientes argumentos: Primero: Se reitera que el Centro ha actuado como mero intermediario entre el Ayuntamiento de ***LOC.1 y las familias solicitantes de ayudas del curso 2016/2017, limitándose a dar cumplimiento al requerimiento de éste en la fase de publicación de los correspondientes listados, volviendo a reseñar los lugares de publicación de los mismos señalados en la Base Undécima de las "Bases para ayudas a las familias en el comienzo del Curso Escolar 2016/2017" Segundo: Los datos de carácter personal objeto de este procedimiento fueron recabados por el Ayuntamiento de ***LOC.1, responsable del fichero, a través del impreso de "Solicitud de ayuda a las familias en el comienzo del Curso 2016/2017", documento en el que se informaba que la exposición de listados provisionales y definitivos tendría lugar en los Centros Docentes, Área de Educación y Juntas Municipales de Distrito. Tercero.- La publicación de los listados definitivos de solicitudes concedidas y denegadas por el Ayuntamiento de ***LOC.1 en la convocatoria de ayudas a las familias realizada en el comienzo del Curso 2016/2017 se realizó en los tablones de anuncios, interior y exterior, del Centro, atendiendo a la advertencia de "no exponer al público el listado que contiene los motivos de DENEGACIÓN por tener información protegido por la Ley de Protección de Datos. Se explicaran en la Secretaria del centro a petición del interesado" contenida en la comunicación de la Concejalía de Educación, de fecha 15 de diciembre de 2016, en la que no se establecían límites a la publicación en tablones, internos o externos del colegio, ni limitaba la publicación de los mismos a las familias de los alumnos solicitantes dado que la convocatoria era de C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 13/35 concurrencia competitiva pública. Por lo que no se ha desatendido ningún deber legal de cuidado, ya que el Ayuntamiento de ***LOC.1 ordenó al Centro publicar los listados de las ayudas que afectan a sus alumnos en el recinto del Colegio y dentro de su ámbito de actuación. Además, desde el Área Municipal de Educación del Ayuntamiento de ***LOC.1 se confirmó que los datos contenidos listados definitivos enviados para su publicación podrían considerarse como adecuados, pertinentes y no excesivos, de acuerdo con las recomendaciones de la propia AEPD en su "PLAN SECTORIAL DE OFICIO A LA ENSEÑANZA REGLADA NO UNIVERSITARIA", de 29 de diciembre de 2008. Respecto del tablón de anuncios situado en la verja exterior del Centro, la argumentación basada en que la información de los listados publicados en el mismo ha resultado accesible a cualquier persona que pasase junto a dicho tablón resulta trasladable tanto al tablón interno del Centro como a los distintos tablones de anuncios de los distintos espacios que señalaba la convocatoria. A su juicio, a la vista del fácil acceso a la publicidad otorgada a las ayudas en cuestión, habría que hacer más hincapié en los datos incluidos en los Listados Definitivos de Solicitudes Concedidas y Denegadas por el responsable del fichero, obligado a la máxima diligencia en el tratamiento de los datos de carácter personal obtenidos a la hora de la elaboración de dichos listados, y no al lugar de publicación de estos listados. Cuarto: La actuación del Colegio se ha basado en el Principio de "Confianza Legítima", incurriéndose por la Agencia al inculpar al Centro en una aplicación extensiva del régimen sancionador, con manifiesta conculcación de los principios de legalidad y tipicidad, que choca con el artículo 25.1 de la Constitución, invocando a tales efectos la resolución de archivo de la AEPD nº E/04074/2015. Asimismo, alega inexistencia de culpa en su conducta, incidiendo en que en el ámbito sancionador no cabe la responsabilidad objetiva. Se detallan las medidas adoptadas para evitar el acceso no autorizado a los datos de carácter personal de los alumnos del Centro por terceras personas. Se aporta copia del escrito de reiteración de solicitud a los servicios municipales responsables del mantenimiento del edificio e instalaciones del centro para el traslado de ubicación del tablón interno del colegio y de la solicitud a la Concejalía de Educación para que extreme la protección de datos de carácter personal de los que solicite a los centros educativos su colaboración en la publicación de los mismos. HECHOS PROBADOS PRIMERO: Con fechas 16 y 19 de diciembre de 2016, los Denunciantes 1 y 2 denunciaron al CEIP A.A.A. por el tratamiento sin su consentimiento de imágenes C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 14/35 de sus hijas menores de edad, ambas alumnas del citado Centro escolar, en la página web ***WEB.1, difusión que se produce sin restricciones para terceros ajenos al centro escolar. (folios 1 al 7) El Denunciante 1 también pone de manifiesto que el CEIP A.A.A. ha publicado los datos personales de los alumnos que han obtenido becas en un tablón de anuncios colocado en la verja exterior del Centro escolar. SEGUNDO: De las actuaciones practicadas se ha constatado que los tratamientos denunciados afectan a las siguientes alumnas del CEIP A.A.A.: (folios 17, 21 y 22, 109 al 113) - Menor I, nacida el 10 de octubre de 2010, hija del Denunciante 1 - Menor III, nacida el 12 de septiembre de 2010, hija del Denunciante 2 TERCERO: Consta acreditado que entre el 3 de abril de 2014 y 22 de febrero de 2017 se incluyó en la página web del CEIP A.A.A. un vídeo, alojado en YouTube, en el que aparecía la imagen de la Menor I. Este video resultaba accesible a través del enlace https://www.youtube.com/X.X.X.1, conforme se comprobó con fecha 19 de diciembre de 2016 (folios 9, 14, 21, 112, 113, 155) CUARTO: Consta acreditado que en el periódico escolar del CEIP A.A.A., publicado en la página web ***WEB.2, se expusieron entre el 8 de julio de 2015 y el 20 de octubre de 2017 unas fotografías de un grupo de alumnos tomadas el 27 de octubre de 2014 con motivo de la celebración de la ***FIESTA.1. En dichas fotografías aparecía la imagen de la Menor I cuando ésta tenía 8 años de edad.(folios 10, 12, 109 al 111, 117 al 120) QUINTO: Consta acreditado que en los siguientes artículos del periódico escolar del CEIP A.A.A., publicado en la página web de dicho centro docente, se expusieron fotografías con imágenes de la Menor III cuando ésta tenía 6 años .de edad: (folios 10, 109 al 111, 121 al 124) Artículo “Halloween 2016:unos monstruos nos visitaron”, publicado entre el 13 de noviembre de 2016 y el 20 de octubre de 2017 en el enlace ***WEB.4 . Las fotos publicadas se tomaron el día 28 de octubre de 2016 Artículo: ”Exposición cuadros profesores y alumnos”, publicado entre el 14 de diciembre de 2016 y el 20 de octubre de 2017 en el enlace ***WEB.3. Las fotos publicadas se tomaron el día 13 de diciembre de 2016 SEXTO: Respecto de la Menor I, consta que, con fecha 14 de junio de 2012, quien se identifica como madre de esta alumna firmó la “Autorización Uso Educativo Derecho Imagen”, consintiendo al CEIP A.A.A. “el uso educativo de las imágenes, en el ámbito interno del colegio y en la página web del mismo” que pudieran obtenerse de C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 15/35 su hija a través de fotos y/o vídeos en el transcurso de las actividades educativas programadas durante su escolarización en dicho Centro. (folio 24) SÉPTIMO: Respecto de la Menor II, consta: Que con fecha 15 de junio de 2012 , el Denunciante 1, no autorizó al CEIP A.A.A. el uso educativo de las imágenes , en el ámbito interno del colegio y en la página web del mismo, que pudieran obtenerse de su hija, la Menor II, alumna de ese centro. (folio 34) Que posteriormente, en junio de 2014, quien se identifica como madre de la Menor II, firmó la “Autorización Uso Educativo Derecho Imagen” respecto de su hija, consintiendo al CEIP A.A.A. “el uso educativo de las imágenes, en el ámbito interno del colegio y en la página web del mismo” que pudieran obtenerse de su hija a través de fotos y/o vídeos en el transcurso de las actividades educativas programadas durante su escolarización en dicho Centro. (folio 25) OCTAVO: Respecto de la Menor III, consta que con fecha 17 de junio de 2013, quien se identifica como madre de esta alumna firmó la “Autorización Uso Educativo Derecho Imagen”, consintiendo al CEIP A.A.A. “el uso educativo de las imágenes, en el ámbito interno del colegio y en la página web del mismo” que pudieran obtenerse de su hija a través de fotos y/o vídeos en el transcurso de las actividades educativas programadas durante su escolarización en dicho Centro. (folio 20) NOVENO: En la base Novena de las “Bases para Ayudas a las familias en el comienzo del Curso Escolar 2016/2017” el Ayuntamiento de ***LOC.1 establece que las listas provisionales de solicitudes admitidas y excluidas se expondrán en los tablones de anuncios de las Juntas Municipales de Distrito, área de Educación y centros docentes, apareciendo en los listados la causa de exclusión. En la Base Décima de esa convocatoria se indica que la resolución de la misma “expresará el nombre y apellidos de los beneficiarios y el importe de la ayuda. Así mismo, constarán las solicitudes denegadas figurando la causa que haya motivado la no obtención de la misma” y que “se hará pública en los tablones de anuncios de las Juntas Municipales de Distrito, Área de Servicios Sociales, área Municipal de Educación y centros docentes”. (folios 156 al 163) DÉCIMO: Al pie del documento de “Solicitud de Ayuda a las Familias en el comienzo del curso 2016/2017”, ayuda para libros de texto del Ayuntamiento de ***LOC.1, figuraba la siguiente leyenda: “La presentación de esta solicitud implica (…) Asimismo, autoriza al Ayuntamiento de ***LOC.1 para el tratamiento manual o informatizado de los datos contenidos en este impreso y a la publicación de los listados necesarios para la información a los interesados de las distintas fases de la Convocatoria, pudiendo ejercer los derechos de acceso, rectificación, cancelación y oposición dirigiéndose al Ayuntamiento de ***LOC.1, lo cual se informa en C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 16/35 cumplimiento de la Ley orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal”. En los requisitos que se señalan para solicitar la ayuda se informa que “Deberá consultarse los listados que se expondrán en los centros docentes y Juntas Municipales de Distrito.” (folios 164 y 165) UNDÉCIMO: Con fecha 15 de diciembre de 2016 el CEIP A.A.A. recibió escrito del Ayuntamiento de ***LOC.1 comunicando la aprobación de la resolución de la Convocatoria de Ayudas a las familias en el comienzo del Curso 2016/2017. Junto al escrito se remitía la siguiente documentación a efectos informativos de las familias matriculadas en el Centro: (folio 166) “Listado DEFINITIVO de solicitudes CONCEDIDAS Listado DEFINITIVO de solicitudes DENEGADAS sin código motivo. Listado DEFINTIVO SECRETARIA
(1)de solicitudes DENEGADAS con código motivo PARA
(2)NO exponer al público el listado que contiene los motivos de DENEGACIÓN por tener información protegida por la Ley de Protección Datos. Se e explicarán en la Secretaria del Centro a petición del interesado. Acompañamos un cartel para insertar en el tablón de anuncios.” DUODÉCIMO: El Listado Definitivo de Solicitudes CONCEDIDAS contenía la siguiente información: nº expediente, nombre y apellido del alumno, nivel (Primaria o Infantil) e importe en euros de la ayuda (folios 167 al 169) DECIMOTERCERO: El Listado Definitivo de Solicitudes DENEGADAS con código motivo contenía la siguiente información: nº expediente, nombre y apellido del alumno, nivel (Primaria o Infantil) y códigos de los Motivos de la denegación a consultar en Secretaria (folio 170) DECIMOCUARTO: El Listado Definitivo de Solicitudes DENEGADAS sin código motivo contenía la misma información que el anterior pero sin relejar el código correspondiente a los Motivos de la denegación (folio 171) DECIMOQUINTO: El escrito del Ayuntamiento de ***LOC.1 comunicando la resolución de la convocatoria de Ayudas del Curso 2016/2017 citadas, el Listado Definitivo de Solicitudes CONCEDIDAS y el Listado Definitivo de Solicitudes DENEGADAS sin código motivo fueron expuestos en los tablones de anuncios interior y exterior del CEIP A.A.A. desde el 15 de diciembre de 2016 hasta final del mes de enero de 2017. El tablón de anuncios interior se encuentra ubicado junto al Pabellón de Servicios, mientras que el tablón de anuncios exterior está anclado en el vallado exterior junto a la puerta de entrada al centro escolar, siendo accesible la información contenida en el mismo desde la vía pública. (folios 22 113, 114, 173, al 175) DECIMOSEXTO: El CEIP A.A.A. ha retirado de su página web los artículos publicados en el periódico escolar en los que aparecían fotografías de las menores C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 17/35 I y III, ha suspendido cautelarmente la publicación del vídeo alojado en YouTube que incluía imágenes de la Menor 1. Asimismo, (folios 109 al 113, 117 al 124) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  1. g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”, definiéndose el concepto de dato de carácter personal en el apartado
  2. a)del artículo 3 de la citada Ley Orgánica 15/1999, como “Cualquier información concerniente a personas físicas identificadas o identificables”, añadiendo el apartado 1.
  3. f)del artículo 5 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), que dato de carácter personal es “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. La definición de persona identificable aparece en la letra
  4. o)del citado artículo 5.1 del RLOPD, que considera como tal “toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados”. De lo anteriormente expuesto se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable, por lo que la imagen de una persona física identificada o identificable constituye un dato de carácter personal. Atendiendo a la definición de dato de carácter personal contenida en los artículos 3.
  5. a)de la LOPD y 5.1.
  6. f)del RLOPD citados, tanto las imágenes de las C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 18/35 menores I y III, insertadas en las fotografías contenidas en el periódico publicado en la página web de CEIP A.A.A. como la imagen de la Menor I, hija del Denunciante 1, que aparecía en el vídeo publicado en dicha página web, alojado en YouTube, todas ellas objeto del presente procedimiento, se ajustan a dicho concepto, toda vez que la información captada en esas imágenes concierne a dichas menores, puesto que permite identificarlas plenamente, y suministra información sobre la imagen personal de éstas, el lugar de su captación y la actividad desarrollada por las personas a las que las imágenes se refieren. Por otra parte, la aplicabilidad de la normativa de protección de datos de carácter personal, de acuerdo con lo indicado en el citado artículo 2.1 de la LOPD, requiere que dichos datos aparezcan registrados en un soporte físico que los haga susceptibles de tratamiento. El artículo 3 de la LOPD define en su letra
  7. c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Asimismo, dicho artículo 3 de la LOPD define en su apartado
  8. b)como “Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.”, mientras que en su apartado
  9. e)describe como “Afectado o interesado” a la “Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
  10. c)del presente artículo.” Por tanto, la garantía del derecho a la protección de datos conferida por la normativa de referencia requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. De acuerdo con la definición de tratamiento de datos personales la recogida, grabación, conservación y exposición de imágenes de las personas puede considerarse un tratamiento de datos personales incluido en el ámbito de aplicación de la normativa citada, debiendo analizarse en cada caso si este tratamiento se efectúa sobre información concerniente a personas físicas identificadas o identificables. En la Sentencia de la Audiencia Nacional de 17/03/2007, Recurso 621/2004 señala en su Fundamento de Derecho Cuarto que “…un sitio Web exige siempre cualquiera que sea su finalidad una organización o estructura que permita el acceso a la información en él contenida por terceros. Cumpliría así la primera de las exigencias de un fichero, la estructural u organizativa. Pero es que además, y esto es obvio, el sitio Web XXXXXXX contuvo datos de carácter personal, precisamente los referidos al denunciante, que fueron difundidos a través de dicho sitio, lo que supone tratamiento…si hubo tratamiento de datos de carácter personal consistente en la incorporación y difusión de éstos desde una estructura organizada (fichero) como era el sitio Web, es indudable que el régimen de protección contenido en la Ley Orgánica 15/1999 es plenamente aplicable, sin que altere la anterior conclusión el hecho de los C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 19/35 datos tratados se refieran a una sola persona pues la ley no exige en ningún caso la existencia de una pluralidad de personas afectadas para que podamos hablar de tratamiento y fichero…” y, continúa, citando la sentencia del Tribunal de Justicia de la Unión Europea, de 06/11/2003, caso Linqvist. Asunto C-101/01, que señalaba “Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un “tratamiento total o parcialmente automatizado de datos personales” en el sentido del artículo 9 3, apartado1 de la Directiva 95/46.” Así, considerando que las imágenes de las Menores I y III que se incluyeron en la página web del CEIP A.A.A. permiten la identificación de ambas alumnas de dicho Centro escolar, debe concluirse la existencia de un tratamiento automatizado de datos de carácter personal de las afectadas y la plena aplicabilidad de los principios y garantías expuestos en la normativa de protección de datos de carácter personal. A su vez, la vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d), que define como “Responsable del fichero o tratamiento” a la “Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.”. Es preciso, por tanto, determinar si el tratamiento efectuado por el CEIP A.A.A., centro dependiente de la Consejería de Educación e Investigación de la Comunidad de Madrid, anteriormente Consejería de Educación, Juventud y Deporte, se ha realizado de conformidad con la normativa de protección de datos. III En primer lugar se trata de dilucidar si el tratamiento de las imágenes de las hijas menores de los Denunciantes 1 y 2 que se describe en los Hechos Probados 3) al 5) ha sido conforme con el principio del consentimiento recogido en el artículo 6 de la LOPD, precepto que establece que: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 20/35 finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 3. El consentimiento a que se refiere el artículo podrá ser revocado cuando exista causa justificada para ello y no se le atribuyan efectos retroactivos. 4. En los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una Ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. El artículo 3 de la LOPD define en su letra
  11. h)“Consentimiento del interesado” como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para ***PERIODICO.1, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...).” Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En términos similares, el artículo 10 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, (RDLOPD), que bajo el epígrafe “Supuestos que legitiman el tratamiento o cesión de los datos”, determina en sus apartados 1 y 2: “1. Los datos de carácter personal únicamente podrán ser objeto de tratamiento o cesión si el interesado hubiera prestado previamente su consentimiento C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 21/35 para ello. 2. No obstante, será posible el tratamiento o la cesión de los datos de carácter personal sin necesidad del consentimiento del interesado cuando:
  12. a)Lo autorice una norma con rango de ley o una norma de derecho comunitario y, en particular, cuando concurra uno de los supuestos siguientes: El tratamiento o la cesión tengan por objeto la satisfacción de un interés legítimo del responsable del tratamiento o del cesionario amparado por dichas normas, siempre que no prevalezca el interés o los derechos y libertades fundamentales de los interesados previstos en el artículo 1 de la Ley Orgánica 15/1999, de 13 de diciembre. El tratamiento o la cesión de los datos sean necesarios para que el responsable del tratamiento cumpla un deber que le imponga una de dichas normas.
  13. b)Los datos objeto de tratamiento o de cesión figuren en fuentes accesibles al público y el responsable del fichero, o el tercero a quien se comuniquen los datos, tenga un interés legítimo para su tratamiento o conocimiento, siempre que no se vulneren los derechos y libertades fundamentales del interesado. No obstante, las Administraciones públicas sólo podrán comunicar al amparo de este apartado los datos recogidos de fuentes accesibles al público a responsables de ficheros de titularidad privada cuando se encuentren autorizadas para ello por una norma con rango de ley. “ Asimismo, conviene recordar que los apartados 1 y 3 del artículo 12 del RLOPD establecen como “Principios generales” del consentimiento que: “1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. 2 (…) 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. “ Además, como el tratamiento de datos estudiado (imágenes) afecta a menores de edad, resulta de aplicación lo dispuesto en el artículo 13 del RLOPD, que en relación con el “Consentimiento para el tratamiento de datos de menores de edad”, establece que: “1. Podrá procederse al tratamiento de los datos de los mayores de catorce C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 22/35 años con su consentimiento, salvo en aquellos casos en los que la Ley exija para su prestación la asistencia de los titulares de la patria potestad o tutela. En el caso de los menores de catorce años se requerirá el consentimiento de los padres o tutores. 2. En ningún caso podrán recabarse del menor, datos que permitan obtener información sobre los demás miembros del grupo familiar, o sobre las características del mismo, como los datos relativos a la actividad profesional de los progenitores, información económica, datos sociológicos o cualesquiera otros, sin el consentimiento de los titulares de tales datos. No obstante, podrán recabarse los datos de identidad y dirección del padre, madre o tutor con la única finalidad de recabar la autorización prevista en el apartado anterior. 3. Cuando el tratamiento se refiera a datos de menores de edad, la información dirigida a los mismos deberá expresarse en un lenguaje que sea fácilmente comprensible por aquellos, con expresa indicación de lo dispuesto en este artículo. 4. Corresponderá al responsable del fichero o tratamiento articular los procedimientos que garanticen que se ha comprobado de modo efectivo la edad del menor y la autenticidad del consentimiento prestado en su caso, por los padres, tutores o representantes legales.” A la vista de los preceptos citados de la normativa de protección de datos, se deduce que la imagen de una persona ha de ser considerada como dato de carácter personal, y su tratamiento sometido a la LOPD, por lo que con carácter general, no será posible su utilización o cesión si los interesados (en este caso, los progenitores de las menores) no han dado su consentimiento para ello. Además, de conformidad con lo expuesto, corresponde al responsable del fichero o tratamiento acreditar que cuenta con el consentimiento del afectado para tratar los datos personales del mismo o, en su caso, que dicho tratamiento está legalmente amparado o se produce alguna de las excepciones al tratamiento descritas en el apartado 2 del artículo 6 de la LOPD. A este respecto, la Audiencia Nacional, en sentencia de fecha 31/05/2006 señaló lo siguiente: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. Por su parte, la vulneración del principio del consentimiento está tipificada como grave en el artículo 44.3.
  14. b)de dicha norma, que considera como tal “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”. IV C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 23/35 El citado centro escolar es responsable de la página web ***WEB.1, portal en cuyo periódico se publicaron sendos artículos en los que aparecían fotografías que incluían las imágenes de las menores I y III y en el que también se alojaba un vídeo de YouTube en el que aparecía la imagen de la Menor I. Además, el tratamiento estudiado se efectuó por parte del citado CEIP siendo ambas alumnas menores de 14 años edad, conforme acredita la documentación obtenida durante la fase de actuaciones previas de inspección y se desprende de las manifestaciones y documentación aportada en fase de pruebas por el CEIP A.A.A.. A la vista de todo lo cual se considera que dicho centro escolar trató el dato personal concerniente a la imagen de las dos menores citadas en los Hechos Probados números 2) al 5), cuyo tratamiento requería el consentimiento de los padres o tutores. Por lo que debe dilucidarse si el CEIP A.A.A. está o no legitimado para el tratamiento realizado con los datos de las menores I y III, y por ende verificar la prestación del consentimiento sus progenitores o la ausencia del mismo. De la valoración conjunta de los elementos de prueba obrantes en el procedimiento se colige que el mencionado centro escolar trató y difundió en su página web las imágenes de las menores I y III mediando el consentimiento inequívoco de sus respectivas madres, quienes autorizaron por escrito el uso educativo de las imágenes de las menores afectadas en el ámbito interno del colegio y en la página web del mismo en fechas anteriores a la realización del tratamiento de datos objeto de estudio. En el caso de la Menor I su madre firmo el documento “Autorización Uso Educativo Derecho Imagen” con fecha 14 de junio de 2012, mientras que en el caso de la Menor III su madre firmó ese documento el 17 de junio de 2013 (Hechos Probados números 6 y 8), no constando, por otra parte en el procedimiento prueba alguna de la que se desprenda que dicho consentimiento al uso y difusión de las imágenes de las menores procedentes de fotografías y vídeos realizados en el marco de las actividades educativas del centro fuera revocado por alguno de los denunciantes en fechas posteriores a las indicadas. En cuanto a las afirmaciones efectuadas por el Denunciante 2 relativas a que manifestó, en forma verbal, su oposición a la publicación de fotos o vídeos de su hija al Director del Centro carecen de soporte probatorio alguno que las apoye, sin perjuicio de que dicho derecho ha de ejercitarse siempre por escrito. Estos argumentos podrían extenderse al caso de la Menor II si se hubieran producido, lo que no está probado en este procedimiento, tratamientos de su imagen con posterioridad a junio de 2014, fecha en que la madre de la menor firmó la mencionada autorización al CEIP A.A.A., revocando la negativa a dicho tratamiento manifestada por el Denunciante 1 el 15 de junio de 2012. En relación con dichas autorizaciones conviene traer a colación lo dispuesto en el artículo 156 del Código Civil, que dispone que: C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 24/35 “La patria potestad se ejercerá conjuntamente por ambos progenitores o por uno solo con el consentimiento expreso o tácito del otro. Serán válidos los actos que realice uno de ellos conforme al uso social y a las circunstancias, o en situaciones de urgente necesidad. En caso de desacuerdo, cualquiera de los dos podrán acudir al Juez quien, después de oír a ambos y al hijo si tuviera suficiente juicio y, en todo caso, si fuera mayor de doce años, atribuirá sin ulterior recurso la facultad de decidir al padre o a la madre. Si los desacuerdos fueran reiterados o concurriera cualquier otra causa que entorpezca gravemente el ejercicio de la patria potestad, podrá atribuirla total o parcialmente a uno de los padres o distribuir entre ellos sus funciones. Esta medida tendrá vigencia durante el plazo que se fije, que no podrá nunca exceder de dos años. En los supuestos de los párrafos anteriores, respecto de terceros de buena fe, se presumirá que cada uno de los progenitores actúa en el ejercicio ordinario de la patria potestad con el consentimiento del otro. En defecto o por ausencia, incapacidad o imposibilidad de uno de los padres, la patria potestad será ejercida exclusivamente por el otro. Si los padres viven separados la patria, potestad se ejercerá por aquel con quien el hijo conviva. Sin embargo, el Juez, a solicitud fundada del otro progenitor, podrá, en interés del hijo, atribuir al solicitante la patria potestad para que la ejerza conjuntamente con el otro progenitor o distribuir entre el padre y la madre las funciones inherentes a su ejercicio.” A su vez, el artículo 162 del mismo Código Civil dispone que: “Los padres que ostenten la patria potestad tienen la representación legal de sus hijos menores no emancipados. Se exceptúan: 1. Los actos relativos a derechos de la personalidad u otros que el hijo, de acuerdo con las leyes y con sus condiciones de madurez, pueda realizar por sí mismo. 2. Aquellos en que exista conflicto de intereses entre los padres y el hijo. 3. Los relativos a bienes que estén excluidos de la administración de los padres. Para celebrar contratos que obliguen al hijo a realizar prestaciones personales se requiere el previo consentimiento de éste si tuviere suficiente juicio, sin perjuicio de lo establecido en el artículo 158”. Por lo que la firma de dichas autorizaciones por uno de los progenitores en su condición de representantes legales de las reseñadas menores ha de darse por válida. En caso de haber distintos criterios entre los progenitores, las diferencias deberán sustanciarse en los Tribunales ordinarios. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 25/35 En consecuencia, el reseñado Centro estaba legitimado para el tratamiento de las imágenes de las dos menores realizado, motivo por el que se considera que no ha infringido el principio del consentimiento recogido en el artículo 6.1 de la LOPD en lo que respecta al tratamiento efectuado con las imágenes de las menores I y III , V En el caso examinado debe dilucidarse si la exposición en el tablón de anuncios colocado en la valla exterior del citado centro docente público de la información de carácter personal contenida en los Listados Definitivos de Solicitudes CONCEDIDAS y DENEGADAS sin código motivo constituye, respecto del deber de secreto, una infracción a lo dispuesto en el artículo 10 de la LOPD. El mencionado precepto dispone lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” (El subrayado es de la AEPD) El deber de secreto obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento, toda vez que tiene como finalidad evitar que, por parte de quienes están en contacto con los datos personales almacenados en ficheros, se realicen filtraciones de los datos no consentidas por los titulares de los mismos. A tenor de las consideraciones anteriores, el hecho de que los datos personales objeto de publicación hubieran sido recabados por el Ayuntamiento de ***LOC.1, no enerva la responsabilidad del CEIP A.A.A. respecto del específico tratamiento llevado a cabo por el centro con los reseñados Listados cuando decidió que, además de publicarse en el tablón de anuncios interior del colegio, también se expusieran en el tablón de anuncios enclavado en la verja exterior del mismo, tratamiento del que el CEIP A.A.A. es directo responsable, con independencia de que el Ayuntamiento de ***LOC.1 sea el titular del fichero en el que están registrados los datos de los afectados. De hecho, en las alegaciones al acuerdo de inicio se indicaba como causa de la exposición en dicho lugar lo siguiente: “Se consideró publicarlos también en el tablón de la valla exterior del centro para facilitar a los padres el acceso a la información de manera rápida e inmediata a la hora de dejar a sus hijos en el Colegio.” Por otra parte, no resultaba necesario que el escrito de la Concejalía de Educación de fecha 14 de diciembre de 2016, registrado de entrada en el CEIP A.A.A. el 15 de diciembre de 2016, (documento nº 17 de la aportación de pruebas), estableciera, en forma expresa, límites a la publicación de dichos listados en los tablones de anuncios externos del colegio, puesto que contenían datos de carácter C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 26/35 personal de menores de edad que no podían ser objeto de difusión indiscriminada fuera del recinto del colegio, lo que ocurrió al publicarse en el tablón de edictos exterior que resultaba accesible desde la vía pública, amén de que en la mencionada comunicación se señalaba claramente que los listados se adjuntaban “para que informen a las familias matriculadas en su Centro”. Así, el Tribunal Superior de Justicia de Madrid declaró en su sentencia de 19 de julio de 2001: “El deber de guardar secreto del artículo 10 queda definido por el carácter personal del dato integrado en el fichero, de cuyo secreto sólo tiene facultad de disposición el sujeto afectado, pues no en vano el derecho a la intimidad es un derecho individual y no colectivo. Por ello es igualmente ilícita la comunicación a cualquier tercero, con independencia de la relación que mantenga con él la persona a que se refiera la información (...)”. En este sentido, la Audiencia Nacional también ha señalado lo siguiente: “Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un <<instituto de garantía de los derechos a la intimidad y al honor y del pleno disfrute de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos>> (STC 292/2000). Derecho fundamental a la protección de los datos que <<persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino>> (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, <<es decir, el poder de resguardar su vida privada de una publicidad no querida>>. En consecuencia, el tratamiento efectuado por el CEIP A.A.A. difundiendo los datos identificativos de los alumnos que figuraban incluidos tanto en el Listado Definitivo de Solicitudes CONCEDIDAS por el Ayuntamiento de ***LOC.1, donde también constaba el nivel del alumno y el importe de la ayuda, como en el Listado Definitivo de Solicitudes DENEGADAS sin código motivo por dicho Ayuntamiento, mediante la publicación de dichos documentos en el tablón de anuncios enclavado en la verja del citado centro docente, junto a la puerta principal de entrada del mismo, propició la revelación de esta información de carácter personal a terceros ajenos al proceso de participación en la “Convocatoria de Ayudas a las familias en el comienzo del Curso 2016/2017”, puesto que dicha información resultaba accesible sin ningún tipo de restricción a cualquier persona que transitase por la vía pública por estar colocada en el tablón de anuncios exterior del centro, orientado hacia la calle. Por tanto, la revelación de datos personales a terceros con motivo de la publicación del contenido de esos dos Listados en la forma reseñada en el párrafo anterior, constituye un incumplimiento de lo dispuesto en la normativa de protección de C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 27/35 datos. Así, ha quedado acreditado en el procedimiento que los datos personales de los alumnos a los que se concedió la ayuda para libros de texto del Ayuntamiento de ***LOC.1 para el curso escolar 2016/2017 o, en su caso, se denegó sin código motivo fueron difundidos a terceros sin consentimiento de sus titulares ni habilitación legal para ello, por lo que ha de entenderse vulnerado el deber de secreto que impone el artículo 10 de la LOPD. VI En las alegaciones al Acuerdo de inicio y a la propuesta de resolución, el mencionado centro docente ha manifestado que la publicación en los tablones de anuncios interior y exterior del centro de los dos Listados facilitados por el Ayuntamiento de ***LOC.1 obedecía a lo estipulado en la Base Undécima de las “Bases para Ayudas a las familias en el comienzo del Curso Escolar 2016/2017”, que determina que la resolución de la convocatoria se hará pública en los tablones de anuncios de las Juntas Municipales de Distrito, Área de Servicios Sociales, Área Municipal de Educación y centros docentes, estando en consonancia también con lo señalado en el impreso de “Solicitud de Ayuda a las familias en el comienzo del Curso 2016/2017” al indicar que “Deberá consultarse los listados que se expondrán en los centros docentes y Juntas Municipales de Distrito”, respondiendo también su exposición al encargo de su difusión realizado por el Ayuntamiento de ***LOC.1 en su escrito de fecha 14 de diciembre de 2016. Sin embargo, para dar cumplimiento a dicha publicidad bastaba con publicar los dos Listados reseñados en el tablón de anuncios interno del centro escolar, ya que su lugar de ubicación permitía a los solicitantes de las ayudas (los padres de los alumnos) acceder fácilmente a esa información e impedía que tuvieran acceso a los datos personales registrados en dichos Listados terceros no interesados en dicho proceso ni vinculados al Centro, como ocurría con la información de los alumnos que estuvo publicada en el al tablón exterior del CEIP A.A.A. desde mediados 15 de diciembre de 2016 hasta final de enero de 2017. Asimismo, no se produce la analogía pretendida con el caso analizado en la resolución de archivo de la AEPD de referencia nº E/04074/2015, toda vez que en la misma se indica que el tablón de anuncios en el que se publicaron las ayudas analizadas en ese supuesto estaba situado en el interior del recinto del centro escolar denunciado. En relación con este punto, en la resolución de archivo citada se indica: “Por otro lado debe señalarse que, de acuerdo al escrito remitido por la denunciante, tras solicitud realizada a la afectada por esta AEPD, el Tablón de Anuncios se encontraba en el recinto del Colegio, es decir, accesible únicamente a los usuarios del mismo y sus acompañantes, de ahí que, junto al hecho de que nos encontramos ante una actuación adecuada a la previsión legal asistente, no se produce una exposición generalizada de datos, sino dentro de un ámbito de posibles C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 28/35 interesados, sin que se expongan en el texto publicado datos adicionales a los identificativos y de importe de concesión de ayudas, evitando datos sensibles. Así, ha de considerarse, en conclusión, que lo denunciado no supone una infracción de la LOPD.” En definitiva, no se produce la misma situación, ya que en este supuesto los hechos que traen causa del procedimiento derivan de la exposición de los Listados Definitivos objeto de estudio en el tablón de anuncios exterior del CEIP A.A.A.. Teniendo en cuenta dicha circunstancia y valorando el resto de razonamientos desarrollados que acreditan la falta de diligencia mostrada por el centro al difundir los reseñados Listados en la forma descrita, se considera que en este caso no resulta de aplicación el principio de “Confianza legítima”. El Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el sujeto infractor no se comporta con la diligencia exigible. De este modo, el CEIP A.A.A. podría haber actuado de forma distinta limitándose a exponer los dos Listados reseñados en el Tablón de Anuncios interior del centro. Sentado lo anterior, en la guía sectorial de la AEPD “Guía para centros educativos” de la AEPD, accesible desde su portal web, aparece la siguiente información sobre la publicación de datos: “Tratamiento de los datos de los alumnos. Publicación de datos En el ejercicio de la función que tienen asignada los centros educativos han de dar publicidad a información personal derivada de diversas acciones o actividades para las que les legitima la Ley. ¿Puede un centro dar publicidad a las listas de alumnos admitidos? Sí. El centro necesita informar sobre los alumnos que han sido admitidos en la medida en que la admisión se realiza mediante un procedimiento de concurrencia competitiva en el que se valoran y puntúan determinadas circunstancias. No obstante, la publicidad deberá realizarse de manera que no suponga un acceso indiscriminado a la información, por ejemplo, publicando la relación de alumnos admitidos en los tablones de anuncios en el interior del centro o en una página web de acceso restringido a quienes hayan solicitado la admisión. Esta publicación deberá recoger sólo el resultado final del baremo, no resultados parciales que puedan responder a datos o información sensible o poner de manifiesto la capacidad económica de la familia. Esta información, no obstante, estará disponible para los interesados que ejerciten su derecho a reclamar. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 29/35 Cuando ya no sean necesarios estos listados, hay que retirarlos, sin perjuicio de su conservación por el centro a fin de atender las reclamaciones que pudieran plantearse. ¿Pueden los centros hacer públicas las relaciones de los beneficiarios de becas, subvenciones y otras ayudas públicas? La Ley de Transparencia y Acceso a la Información Pública y Buen Gobierno determina la obligación de hacer pública, como mínimo, la información relativa a las subvenciones y ayudas públicas concedidas por las Administraciones públicas con indicación de su importe, objetivo o finalidad y los beneficiarios. Sin perjuicio de la publicación por parte de la Administración convocante, los centros escolares también podrán publicar esta información a efectos informativos de los afectados. Cuando se trate de becas y ayudas fundadas en la situación de discapacidad de los beneficiarios será suficiente con publicar un listado con un número de identificación de los beneficiarios, como el del DNI o un número identificador que se hubiera facilitado a los interesados con la solicitud. Así mismo, si fueran varios los requisitos a valorar, se podría dar el resultado total y no el parcial de cada uno de los requisitos. Si los criterios de las ayudas no se basan en circunstancias que impliquen el conocimiento de categorías especiales de datos hay que valorar si, no obstante, podrían afectar a la esfera íntima de la persona, por ejemplo al ponerse de manifiesto su capacidad económica o su situación de riesgo de exclusión social. En estos casos habría que analizar en cada caso si resulta necesario hacer pública dicha información para garantizar la transparencia de la actividad relacionada con el funcionamiento y control de la actuación pública. Igualmente, cuando ya no sean necesarios estos listados, habrá que retirarlos.” ¿..? Además, el que la información de carácter personal contenida en los Listados Definitivos de Solicitudes CONCEDIDAS y DENEGADAS elaborados por el Ayuntamiento de ***LOC.1 pudiera considerarse adecuada, pertinente y no excesiva con arreglo a las recomendaciones recogidas en el "PLAN SECTORIAL DE OFICIO A LA ENSEÑANZA REGLADA NO UNIVERSITARIA", de 29 de diciembre de 2008, de la AEPD, a los efectos que nos ocupan, en nada modifica la obligación del deber de confidencialidad del que resulta responsable el CEIP A.A.A. como responsable del tratamiento estudiado. VII C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 30/35 El artículo 44.3.
  15. d)de la LOPD, califica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. De acuerdo con los fundamentos anteriores, se considera que por parte del CEIP A.A.A., adscrito a la Consejería de Educación e Investigación de la Comunidad Autónoma de Madrid, se ha producido una vulneración del deber de secreto, dado que la información que estaba en los dos Listados publicados en el tablón de anuncios exterior de dicho centro escolar,- referida a datos de carácter personal concernientes a los alumnos del Centro a los que se había concedido o denegado por el Ayuntamiento de ***LOC.1 la ayuda en cuestión-, ha resultado accesible a cualquier persona que pasase junto a dicho tablón de anuncios situado en la verja exterior del centro, junto a la puerta principal del colegio, conducta que se subsume en la infracción grave anteriormente descrita. VIII Por último, el artículo 46 de la LOPD, “Infracciones de las Administraciones Públicas”, dispone que: <<1. Cuando las infracciones a que se refiere el artículo 44 fuesen cometidas en ficheros de titularidad pública o en relación con tratamientos cuyos responsables lo serían de ficheros de dicha naturaleza, el órgano sancionador dictará una resolución estableciendo las medidas que procede adoptar para que cesen o se corrijan los efectos de la infracción. Esta resolución se notificará al responsable del fichero, al órgano del que dependa jerárquicamente y a los afectados si los hubiera. 2. El órgano sancionador podrá proponer también la iniciación de actuaciones disciplinarias, si procedieran. El procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario de las Administraciones Públicas. 3. Se deberán comunicar al órgano sancionador las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores.» 4. El Director de la Agencia comunicará al Defensor del Pueblo las actuaciones que efectúe y las resoluciones que dicte al amparo de los apartados anteriores>>. Sin embargo, en el presente procedimiento se considera que no procede instar la adopción de medidas organizativas y técnicas de orden interno al CEIP A.A.A. para garantizar la seguridad y confidencialidad de los datos de carácter personal de sus alumnos, toda vez que dicho Centro ha comunicado haber adoptado las medidas que a continuación se señalan a fin de evitar el acceso no autorizado a dicha información por terceras personas: 1. Reserva del tablón de anuncios externo, fijado al vallado del centro, para la publicación de cartelería y referencias a documentos y listados publicados en el tablón interior del colegio. C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 31/35 2. Traslado del tablón de anuncios interno, situado al lado de la puerta de entrada del Pabellón de Servicios, al pasillo interior de la planta baja, tras la puerta de entrada, de dicho pabellón. 3. Petición al Ayuntamiento de ***LOC.1 de la máxima garantía de protección de datos en la información que, referida a nuestros alumnos, se incluya en los listados a publicar en los tablones de anuncios de este Centro. 4. Se ha reiterado la información a las familias sobre el ejercicio de los derechos de acceso, rectificación, cancelación y oposición de los datos incorporados a los ficheros de los que es responsable el colegio. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR el ARCHIVO de las actuaciones seguidas al C.E.I.P. A.A.A. en el Procedimiento de declaración de infracción de las Administraciones Públicas nº AP/39/2017 por posible infracción a lo dispuesto en el artículo 6.1 de la LOPD. SEGUNDO: DECLARAR que el C.E.I.P. A.A.A. ha infringido lo dispuesto en el artículo 10 de la LOPD, tipificada como grave en el artículo 44.3.
  16. d)de la citada Ley Orgánica. TERCERO: NOTIFICAR la presente resolución al C.E.I.P. A.A.A. y a la CONSEJERÍA DE EDUCACIÓN E INVESTIGACIÓN DE LA COMUNIDAD AUTONOMA DE MADRID. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 46.4 de la LOPD. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, se podrá interponer potestativamente recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 32/35 en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa (en lo sucesivo LJCA), en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos ANEXO I Denunciante 1: ***DENUNCIANTE.1 Denunciante 2: ***DENUNCIANTE.2 C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 33/35 ANEXO II Denunciante 1: ***DENUNCIANTE.1 Hijas del Denunciante 1: ***MENOR.1 (Menor I) ***MENOR.2 (Menor II) Madre de las citadas menores: ***MADRE.1 C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 34/35 ANEXO III Denunciante 2: ***DENUNCIANTE.2 Hija del Denunciante 2: ***MENOR.3 (Menor III) C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es 35/35 Madre de la citada menor: ***MADRE.2 C/ Jorge Juan, 6 www.agpd.es 28001 – Madrid sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.