E-01892-2020

1/5  Procedimiento Nº: E/01892/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por el COLEGIO ***COLEGIO.1 (en adelante, el reclamante) tiene entrada con fecha 26 de febrero de 2020 en la Agencia Española de Protección de Datos. La reclamación se dirige contra el Titular de la cuenta de Instagram ***CUENTA.1 porque había sido detectada una cuenta de Instagram, pretendidamente de un alumno, que se dedicaba a poner fotografías de otro alumno sin su consentimiento, añadiendo comentarios obscenos y denigrantes hacia su persona. Solicita el centro educativo la desaparición de la cuenta y poder conocer quien ha sido el autor. Aporta la documentación siguiente: - Capturas de pantalla del contenido del perfil reclamado. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: - Con fecha de 2 de marzo de 2020 se notifica a FACEBOOK SPAIN S.L., medida cautelar de retirada del contenido reclamado, dirigida a FACEBOOK IRELAND LIMITED. - Con fecha 4 de marzo de 2020 se recibe en esta Agencia escrito de alegaciones remitido por FACEBOOK IRELAND LIMITED manifestando que el nombre de usuario de la cuenta reclamada ha sido modificado a ***CUENTA.2 y que este nuevo perfil no tiene ninguna publicación habiendo sido eliminadas las fotografías y comentarios publicados anteriormente, por lo que no estarían en condiciones de eliminar esta cuenta. Finalizan indicando que FACEBOOK IRL ha realizado una copia de la información y publicaciones de cuenta reclamada que se conservará durante 90 días. - Con fecha de 25 de marzo de 2020, se requiere a FACEBOOK IRELAND LIMITED, identificación de la titularidad de la cuenta reclamada y la dirección IP de sesión de creación de esta cuenta. - Con fecha de 17 de junio de 2020 se recibe escrito remitido por FACEBOOK IRELAND LIMITED indicando que en la solicitud no se indicaba como se había cumplido los requisitos legales señalados en el artículo 52.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, necesarios para legitimar la cesión de datos personales desde su entidad. En concreto, solicita que se confirmen los siguientes aspectos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 “1. El artículo 52.3 de la LOPDGDD exige que los afectados hayan presentado una denuncia ante la AEPD. Sin embargo, en la Solicitud no se explica cómo se ha cumplido ese requisito en el presente caso. 2. No se ha confirmado el hecho de que “no haya podido realizarla identificación [de los sujetos correspondientes] por otros medios” de una manera distinta a la Solicitud, como exige el artículo 52.3 de la LOPDGDD.” - Con fecha, se contestó a FACEBOOK IRELAND LIMITED indicando como la Agencia si estimaba cumplido los requerimientos del artículo 52.3 de la LOPDGDD ya que la denuncia había sido presentada por el Director del Colegio donde el afectado es alumno y durante la realización de actividades escolares, (...). La Ley Orgánica de Educación, establece entre los principios y fines de la educación, en su artículo 1, apartado k): La educación para la prevención de conflictos y la resolución pacífica de los mismos, así como para la no violencia en todos los ámbitos de la vida personal, familiar y social, y en especial en el del acoso escolar. Asimismo, el artículo 91.g de la misma Ley, establece entre las funciones del profesorado: La contribución a que las actividades del centro se desarrollen en un clima de respeto, de tolerancia, de participación y de libertad para fomentar en los alumnos los valores de la ciudadanía democrática. En ese marco, la AEPD entiende que el Director del Colegio que ha denunciado la creación del perfil falso, desde el que se mofan de un alumno del Centro, representa al menor afectado. Asimismo, el Centro desconocía quien podía ser el autor de los hechos objeto de reclamación. No se ha recibido contestación a la solicitud efectuada. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), reconoce a cada Autoridad de Control, y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar y resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que: «Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.» II La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El incluir imágenes, que identifican o hacen identificable a una persona, en sitios web supone un tratamiento de datos personales y, por tanto, la persona que lo hace tiene que ampararse en alguna de las causas legitimadoras señaladas en el artículo 6 del RGPD. En estos supuestos, como en el caso objeto de reclamación, la única causa legitimadora suele ser el consentimiento, en general. Y es la persona que graba y/o sube las imágenes a un sitio web la que debe demostrar que cuenta con ese consentimiento. Para que se pueda llevar a cabo lícitamente ese tratamiento tiene que cumplirse lo establecido en el artículo 6.1 del RGPD, que indica: <<1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

1. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
2. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
3. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
4. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
5. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
6. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
7. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.>>. III En la reclamación presentada, el Centro educativo reclamante indica que el titular de la cuenta de Instagram ***CUENTA.1 se dedicaba a poner fotografías de un alumno sin su consentimiento, añadiendo comentarios obscenos y denigrantes hacia su persona; solicitando educativo la desaparición de la cuenta y poder conocer quien ha sido el autor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 Tras la retirada de las imágenes y de los comentarios obscenos y denigrantes objeto de reclamación y, para poder identificar al autor de estos hechos se realizaron las actuaciones de previas de investigación, conforme establece el artículo 67 de la LOPDGDD, y que determina lo siguiente: <<1. Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento. La Agencia Española de Protección de Datos actuará en todo caso cuando sea precisa la investigación de tratamientos que implique un tráfico masivo de datos personales. 2. Las actuaciones previas de investigación se someterán a lo dispuesto en la Sección 2.ª del Capítulo I del Título VII de esta ley orgánica y no podrán tener una duración superior a doce meses a contar desde la fecha del acuerdo de admisión a trámite o de la fecha del acuerdo por el que se decida su iniciación cuando la Agencia Española de Protección de Datos actúe por propia iniciativa o como consecuencia de la comunicación que le hubiera sido remitida por la autoridad de control de otro Estado miembro de la Unión Europea, conforme al artículo 64.3 de esta ley orgánica.>> Tras efectuar las investigaciones reseñadas en los Hechos, no se ha podido identificar a la persona que incluyó las imágenes objeto de reclamación en la cuenta de Instagram objeto de reclamación. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
8. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es