1/6 Expediente Nº: E/02522/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad CENTROS COMERCIALES CARREFOUR S.A. en virtud de denuncia presentada por la ASOCIACIÓN DE CONSUMIDORES Y USUARIOS EN ACCIÓNFACUA y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 26 de febrero de 2013 tiene entrada en esta Agencia un escrito de A.A.A. en el que declara que la entidad CARREFOUR ha estado organizando una serie de charlas y actividades en los Colegios de la provincia de Málaga relacionados con la alimentación saludable de los menores. Para que los padres de los menores autoricen la participación de éstos en la actividad CARREFOUR ha elaborado un formulario en el que además de la propia autorización, se ceden los derechos de explotación de las fotografías e imágenes que se obtengan de los participantes y se informa de que los datos personales que se facilitan y las citadas fotografías serán incluidas en un fichero titularidad de CARREFOUR con la finalidad de publicarlos en los medios de comunicación propios, también se ceden los derechos de explotación de las imágenes con carácter mundial. Así mismo, consta en el formulario que se podrá revocar el consentimiento a la publicación de las fotografías o ejercitar los derechos ARCO en la dirección que se indica. En la denuncia se pone de manifiesto que no existe la posibilidad en el propio formulario de otorgar la autorización para la participación en el evento sin autorizar a la vez la cesión de los datos, imágenes y fotografías de los menores participantes. DOCUMENTACION APORTADA: Copia del folleto informativo de la actividad editado por CARREFOUR. Copia del formulario de recogida de datos y autorización del padre/madre o tutor de los menores de edad participantes. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: Con fecha 19 de julio de 2013, CENTROS COMERCIALES CARREFOUR S.A (en adelante CARREFOUR) ha remitido a esta Agencia la siguiente información en relación con los hechos denunciados: 1. Las imágenes de los menores participantes en la actividad “Bocata Sano” han C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 sido incluidas en un fichero que en esa fecha no constaba inscrito en el Registro General de Protección de Datos, sin embargo manifiestan que van a proceder a inscribirlo con carácter inmediato. 2. Las imágenes son obtenidas en el desarrollo del programa “Bocata Sano. Aprendiendo a comer” promovido por CARREFOUR y dirigido a distintos colegios de toda España. 3. Con objeto de que los niños pudieran participar en la actividad, el Colegio se responsabilizaba de recabar la autorización de los padres, madres o tutores. 4. Adicionalmente, CARREFOUR enviaba a cada colegio un formulario de autorización de los padres para la toma de imágenes con la finalidad de publicarlas en los medios de comunicación propios de Carrefour y para la cesión de de los derechos de explotación a Carrefour. No obstante, la ausencia de dicho consentimiento no impedía realizar la actividad, pero si la imposibilidad de tomar imágenes de los menores cuyos padres no lo hubieran autorizado expresamente. 5. Aportan copia de un formulario de autorización, en el que no consta fecha, que no coincide exactamente con el formulario aportado por FACUA, fechado en el año 2012, ya que en el que aporta CARREFOUR sólo se solicita autorización para la toma de imágenes con la finalidad de publicarlas en los medios de comunicación propios de Carrefour y para la cesión de los derechos de explotación a Carrefour, es decir no figura el primer párrafo “Autorizo a mi hijo/a a participar con su colegio en la Jornada Bocata Sano que tendrá lugar en el hipermercado Carrefour en los próximos días”. 6. Así mismo aportan copia del escrito con el que enviaban los citados formularios de autorizaciones a los Colegios, en el que se especifica que no autorizar la realización de fotos no impide la realización de la actividad, simplemente no se harán fotos ni video en el transcurso de la misma. 7. Según manifiestan y a la vista del formulario aportado por FACUA, parece ser que en algunos Colegios se utilizó este otro formulario no solo para la toma de imágenes sino también para recabar la autorización de los padres a realizar la actividad. 8. Las imágenes obtenidas en la actividad, con el consentimiento expreso de los padres o tutores de los menores, han sido publicadas en medios de comunicación de CARREFOUR, tales como la revista GENTE, la página web de CARREFOUR y las memorias del Grupo. 9. Así mismo, dado que la actividad ha tenido repercusión en otros medios de comunicación ajenos a CARREFOUR, manifiestan que las imágenes que estos hayan podido publicar no tienen origen en las obtenidas por CARREFOUR. 10. Detallan una lista de 12 medios de comunicación, entre ellos el ABC y EUROPAPRESS, en los que tienen constancia que se ha publicado la noticia, aunque no en todos ellos iba acompañada de imágenes. 11. CARREFOUR recibió autorizaciones en los años 2011, 2012 y 2013, durante los cuales se ha llevado a cabo la actividad, por lo que, según manifiestan disponen de las siguientes autorizaciones: a. En el año 2011: 683 autorizaciones y 8 documentos en los que NO se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 autoriza. b. En el año 2012: 255 autorizaciones y 2 No autorizaciones. c. En el año 2013: En la primera fase 76 autorizaciones y 1 No autorización. 12. Por otra parte, según manifiestan no han recibido ninguna solicitud de revocación del consentimiento. Con fecha 7 de noviembre de 2013, se solicita a CARREFOUR que remita copia de algunos de los formularios debidamente firmados por los padres, madres o tutores y que correspondan a cada uno de los años en los que se ha realizado la actividad. En contestación, con fecha 22 de noviembre de 2013, CARREFOUR ha remitido a esta Agencia la siguiente documentación: 1. Copia de formularios correspondientes a los años 2011, 2012 y 2013, (dos por cada año), suscritos por los Padres, Madres o Tutores de los menores, en los que los firmantes no han incluido ninguna observación sobre el tratamiento de las imágenes de sus hijos. 2. Copia de formularios correspondientes a los años 2011, 2012 y 2013, (ocho de 2011, dos de 2012 y uno de 2013), suscritos por los Padres, Madres o Tutores de los menores, en los que los firmantes han incluido observaciones en las que han manifestado la NO AUTORIZACION al tratamiento de las imágenes de sus hijos. 3. De los formularios aportados, hay uno del año 2012 que coincide con el aportado por FACUA, el resto coinciden con el modelo aportado por CARREFOUR con su escrito de fecha 19 de julio de 2013, en el que no figura el primer párrafo “Autorizo a mi hijo/a a participar con su colegio en la Jornada Bocata Sano que tendrá lugar en el hipermercado Carrefour en los próximos días”. Con fecha 5 de noviembre de 2013 se ha realizado una consulta en el Registro General de Protección de Datos, de los ficheros inscritos por CENTROS COMERCIALES CARREFOUR S.A., no obteniendo constancia, en los 20 ficheros inscritos por la sociedad, de que la descripción y la finalidad de alguno de ellos se ajuste al tratamiento de las imágenes obtenidas en la realización de la actividad objeto de la denuncia. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 5.1 de la LOPD, que señala que: “Los interesados a los que se soliciten datos personales deberán ser previamente C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.”. Por su parte, el artículo 15 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD, (en adelante RDLOPD), desarrolla el citado artículo 5 de la LOPD en cuanto a la información que se ha de facilitar a los afectados cuando se solicita el consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma, disponiendo que se deberá permitir a los afectados que manifiesten expresamente su negativa al mencionado tratamiento o comunicación de datos ajeno a dicha relación contractual. Así, el artículo 15 del RDLOP dispone lo siguiente: “Artículo 15. Solicitud del consentimiento en el marco de una relación contractual para fines no relacionados directamente con la misma. Si el responsable del tratamiento solicitase el consentimiento del afectado durante el proceso de formación de un contrato para finalidades que no guarden relación directa con el mantenimiento, desarrollo o control de la relación contractual, deberá permitir al afectado que manifieste expresamente su negativa al tratamiento o comunicación de datos. En particular, se entenderá cumplido tal deber cuando se permita al afectado la marcación de una casilla claramente visible y que no se encuentre ya marcada en el documento que se le entregue para la celebración del contrato o se establezca un procedimiento equivalente que le permita manifestar su negativa al tratamiento.” De lo expuesto cabe concluir que la vigente normativa de protección de datos ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a éste, y de las finalidades para las que los datos pueden ser recabados y tratados. III En el caso que nos ocupa, FACUA manifiesta que el formulario en el que se recaba la autorización de los padres para que sus hijos formen parte de la actividad “bocata sano” de Carrefour implica necesariamente que se autorice para la cesión de datos de los menores participantes, sin incluir casillas diferenciadas, es decir, sin incluir la posibilidad de que los padres autoricen la participación de sus hijos pero no la cesión de sus datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/6 De las actuaciones previas de inspección practicadas por esta Agencia se ha podido comprobar que la entidad denunciada hizo uso de dos tipos de formularios en diferentes años. Así, existe un formulario en el que únicamente se pide la autorización de los padres para obtener imágenes de sus hijos en la actividad “bocata sano” con la finalidad de publicarlas en los medios de comunicación propios de Carrefour y para la cesión de los derechos de explotación a Carrefour, siendo el colegio el que, por otro lado, se responsabiliza de recabar la autorización de los padres/madres/tutores para que los niños puedan asistir a la actividad, es decir existen dos autorizaciones independientes sin que la no autorización para la obtención de las imágenes implique la no participación de los hijos en la actividad. Este formulario fue utilizado en los años 2011, 2012 y 2013. Dicho formulario incluye las exigencias que señala el artículo 5 de la LOPD, ya que se informa de la existencia de un fichero, la finalidad de la recogida de los datos, la identidad y dirección del responsable del tratamiento, y de la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición En el otro formulario se solicita la autorización de los padres para que sus hijos participen en el evento junto con la autorización para que puedan captarse imágenes de los niños y para la cesión de los derechos de explotación a Carrefour. En este formulario las autorizaciones se encuentran sin individualizar, es decir, sin casilla o distintivo en el que se pueda autorizar la participación en la actividad sin autorizar la cesión de imágenes. Así no permite a los padres manifestar expresamente su negativa al tratamiento y cesión de las imágenes de sus hijos. Ahora bien ha de tenerse en cuenta que éste último se utilizó conjuntamente con el anterior en el año 2012, tal y como se desprende del formulario-modelo aportado por FACUA y de los formularios cumplimentados por los padres y aportados por CARREFOUR, que en ninguno de ellos consta la fecha exacta de su utilización y que dicha indeterminación ha de favorecer al presunto infractor en aplicación del principio “indubio pro reo” Por ello, de acuerdo con lo dispuesto en el artículo 47.1 de la LOPD, que establece que “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año.”, cabe considerar que la presunta infracción leve denunciada se encontraba prescrita en la fecha de interposición de la denuncia en mayo de 2013. IV Por último, cabe señalar que, en la medida en que se ha comprobado que Carrefour dispone de veinte ficheros inscritos en el Registro de esta Agencia, pero que no hay constancia de que ninguno de ellos se ajuste al tratamiento de las imágenes obtenidas en la realización de la actividad objeto de la denuncia, desde el Registro de la Agencia Española de Protección de Datos se procederá a remitir los requerimientos oportunos para el caso de que procediera la adaptación o inscripción pertinente. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/6 2. NOTIFICAR la presente Resolución CARREFOUR S.A. y a la A.A.A.. a CENTROS COMERCIALES De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es