E-04969-2020

1/4  Procedimiento Nº: E/04969/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: La reclamación interpuesta por D. A.A.A. (en adelante, el reclamante) tiene entrada con fecha 9 de enero de 2020 en la Agencia Española de Protección de Datos. La reclamación se dirige contra el Ayuntamiento de ***LOCALIDAD.1, con CIF P4105500E (en adelante, el reclamado o Ayuntamiento). Hechos según manifestaciones del reclamante: Se reclama que en el perfil de Facebook "AMIGOS XXXXXXXX DE ***LOCALIDAD.1" se publican fotografías con la imagen de menores de edad tomadas en un evento de la policía local de ***LOCALIDAD.1. Se reclama el tratamiento de los datos personales de los menores sin habilitación legal. Fecha en la que tuvieron lugar los hechos reclamados: en el momento de la reclamación. Documentación relevante aportada por el reclamante: - Cuatro fotografías del evento en el que se distinguen rostros de menores. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: Notificado el traslado de la reclamación al Ayuntamiento, con fecha de 17 de febrero de 2020 se recibe en esta Agencia, con número de registro 007256/2020, escrito de contestación remitido por el alcalde de ese Ayuntamiento manifestando que dicho perfil de Facebook no es un medio de comunicación oficial del Ayuntamiento de ***LOCALIDAD.1, desconociéndose la identidad de los administradores de dicho perfil de Facebook. Que, como consecuencia de lo anterior, no se ha procedido a realizar ninguna actuación por parte del Ayuntamiento al respecto, al tratarse de un perfil ajeno a esa institución. Con fecha de 17 de septiembre de 2020 se comprueba, sin haberse realizado actuación adicional por parte de esta Agencia, que en este perfil los rostros de los menores de las fotografías de lo que parece ser una jornada de puertas abiertas o la visita de un colegio, han sido enmascaradas resultando imposible la identificación de ninguno de ellos. 48-150221 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/4 Finalmente, se comprueba que el perfil reclamado ha sido eliminado de la red social Facebook. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II En la presente reclamación se manifiesta que en el perfil de Facebook "AMIGOS XXXXXXXX DE ***LOCALIDAD.1" se publican fotografías con la imagen de menores de edad tomadas en un evento de la policía local de ***LOCALIDAD.1, que considera que infringe la normativa de protección de datos, en concreto los artículos, 5.1.f), 6 y 7 del RGPD (integridad y confidencialidad, licitud del tratamiento, condiciones para el consentimiento) y el artículo 7 de la LOPDGDD (consentimiento de los menores de edad). El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Por tanto, incluir fotografías en una plataforma, sitio web, foros… supone un tratamiento de datos personales. En este sentido el artículo 5 del RGPD, regula los principios generales para el tratamiento de los datos personales, estableciéndose que: “1. Los datos personales serán:

1. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/4 Para que se pueda llevar a cabo lícitamente ese tratamiento tiene que cumplirse lo establecido en el artículo 6.1 del RGPD, que indica: <<1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
2. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
3. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
4. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
5. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
6. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
7. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
8. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.>> El incluir imágenes, que identifican o hacen identificable a una persona, en las redes sociales, en páginas web, etc… supone un tratamiento de datos personales y, por tanto, la persona que lo hace tiene que ampararse en alguna de las legitimaciones señaladas en el artículo 6 del RGPD. En estos supuestos, como el reclamado, la única causa legitimadora es el consentimiento, en general. Y es la persona que incluye la foto la que debe demostrar que cuenta con ese consentimiento. III El artículo 7 de la LOPDGDD establece lo siguiente: “1. El tratamiento de los datos personales de un menor de edad únicamente podrá fundarse en su consentimiento cuando sea mayor de catorce años. Se exceptúan los supuestos en que la ley exija la asistencia de los titulares de la patria potestad o tutela para la celebración del acto o negocio jurídico en cuyo contexto se recaba el consentimiento para el tratamiento. 2. El tratamiento de los datos de los menores de catorce años, fundado en el consentimiento, solo será lícito si consta el del titular de la patria potestad o tutela, con el alcance que determinen los titulares de la patria potestad o tutela.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/4 Los menores cuyas imágenes fueron tratadas no pudieron dar el consentimiento para ese tratamiento, lo tendrían que haber dado los titulares de la patria potestad, en este caso sus padres, sin que conste dicho consentimiento. IV En el presente caso, a través de las actuaciones de investigación llevadas a cabo por esta Agencia, se ha tenido conocimiento de que primeramente se mostraron las imágenes de los menores pixeladas y posteriormente desapareció el perfil. Por otra parte, hay que manifestar que el reclamante no indica que es el padre o representante de alguno de los menores, desconociendo si habían sido informados los padres o representantes y consintieron en ello. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
9. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es