E-05256-2019

1/7 940-0419  Procedimiento Nº: E/05256/2019 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y en consideración a los siguientes HECHOS PRIMERO: El 13/11/2018 tiene entrada en la Agencia Española de Protección de Datos (AEPD) una reclamación de D. A.A.A. (en adelante, el reclamante) El objeto de la reclamación es el supuesto incumplimiento del Reglamento (UE) 2016/679 por el centro educativo CEIP MANUEL SAINZ DE VICUÑA (en adelante, el reclamado) a través del formulario que utiliza para recabar de los padres/tutores de sus alumnos menores de edad el consentimiento al tratamiento de las imágenes que capten de ellos. El reclamante argumenta que el formulario “permite ceder todos los datos o ninguno”, “lo que incluye medios físicos, internet, redes sociales, páginas web etc.” y que, al no ofrecer la posibilidad, tal y como ha solicitado sin éxito, de consentir el tratamiento de imágenes condicionado a que se anonimice el rostro del menor, sus hijos se ven, dice, “discriminados en distintos eventos”. El formulario empleado por el reclamado, del que el reclamante aporta una copia, lleva por rúbrica “Consentimiento para la utilización de imágenes por el centro educativo”. Dedica su encabezado a recabar los datos de los “padres/tutores legales del alumno” y del propio alumno e indica a continuación que éstos manifiestan estar legitimados para prestar su consentimiento en lo relativo al tratamiento de la imagen del menor. Seguidamente pasa a informarles “de conformidad con lo dispuesto en el Reglamento General de Protección de Datos (UE) 2016/679” de los extremos siguientes: “1. Que las imágenes captadas del alumno serán incluidas y tratadas en un fichero titularidad del CEIP MANUEL SAINZ DE VICUÑA de la localidad de Madrid con las siguientes finalidades: - para el adecuado ejercicio de la función educativa del centro - para el adecuado desarrollo y difusión de las actividades propias del centro, incluidas las de naturaleza lúdica, ya sea a través de la página web, blog, carteles, aplicaciones educativas y cuentas del centro en redes sociales. 2. Que las imágenes recabadas por el CEIP MANUEL SAINZ DE VICUÑA no se transmitirán a terceros, excepto en aquellos casos que sean exigidos por la ley o imprescindibles para la correcta prestación del servicio, y se conservarán por el tiempo en que sean útiles para la finalidad para la que se han recabado” (El subrayado es del reclamado) En los apartados siguientes del formulario, 3 y 4, se facilita información sobre la posibilidad de revocar en cualquier momento el consentimiento prestado y del medio a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 través del cual comunicar la revocación, así como sobre la posibilidad de ejercitar los “derechos de acceso, rectificación, cancelación, oposición y limitación” y del medio a través del cual han de ejercitarse. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con la referencia E/09344/2018, se dio traslado de la reclamación al Delegado de Protección de Datos de la Consejería de Educación e Investigación Científica de la Comunidad de Madrid para que procediese a su análisis e informase a esta Agencia en el plazo de un mes de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El escrito en el que se daba traslado de la reclamación y se solicitaba información se puso a disposición del DPD a través de la aplicación notific@ en fecha 03/12/2018 siendo aceptada la notificación en fecha 04/12/201. Transcurrido el plazo otorgado por el artículo 65 de la LOPDGDD no se ha recibido respuesta en esta Agencia. Con fecha 19/02/2019 se dicta acuerdo de admisión a trámite de la reclamación presentada por el reclamante. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El RGPD dedica el artículo 5 a los principios que han de regir el tratamiento de los datos personales y entre ellos menciona el de “licitud, lealtad y transparencia”. El precepto dispone: “1. Los datos personales serán:

1. a)Tratados de manera lícita, leal y transparente con el interesado;” (El subrayado es de la AEPD) El artículo 12 del RGPD, bajo la rúbrica “Transparencia de la información, comunicación y modalidades del ejercicio de los derechos del interesado”, precisa: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios. (…) 7. La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles mecánicamente. (…)” El artículo 13 del RGPD se refiere en particular a la “Información que deberá facilitarse cuando los datos personales se obtengan del interesado” y señala: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
2. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
3. b)los datos de contacto del delegado de protección de datos, en su caso;
4. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
5. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
6. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
7. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
8. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
9. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos; c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada; d)el derecho a presentar una reclamación ante una autoridad de control;
10. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
11. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” (El subrayado es de la AEPD). III Parece conveniente advertir, en primer término, que los menores a los que alude el formulario sobre el que versa esta reclamación eran ya -en el momento en el que se recaba de padres/tutores el consentimiento para tratar un determinado tipo de datos para finalidades específicas- “alumnos” del reclamado, que, además, es responsable del fichero al que se incorporarán los datos. La condición de “alumnos” que tienen los menores es relevante pues presupone que hay una relación previa con el centro educativo reclamado y, por tanto, existió un trámite anterior en el que se recabaron de padres/tutores los datos de los menores y se les informó en los términos que exige el artículo 13 del RGPD. Este extremo explica que el formulario de recogida del consentimiento para la utilización de imágenes del centro no facilite toda la información a la que hace referencia el artículo 13 del RGPD. Podríamos citar, a título de ejemplo, el “derecho a presentar una reclamación ante una autoridad de control” (artículo 13.2.d, del RGPD) El RGPD contempla expresamente la posibilidad de que, como ocurre con el formulario analizado, no se informe de aquellas cuestiones sobre las que ya se había facilitado información. El punto 4 del artículo 13 del RGPD dice claramente que las disposiciones de los apartados 1, 2 y 3 del artículo 13 “no serán aplicables” “cuando y en la medida en que el interesado ya dispone de la información”. Resulta así que, a través del formulario que es objeto de análisis -en el que se recaba de padres/tutores el consentimiento para tratar datos específicos de los menores, su imagen- la información que necesariamente se ha de ofrecer para entender cumplida la obligación del artículo 13 del RGPD es la referente a la base C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 jurídica del tratamiento, a la finalidad del tratamiento al que serán destinados los datos cuyo consentimiento se recaba y, por lo que concierne al resto de la información que el artículo 13 obliga a facilitar y que ya había sido ofrecida por el reclamado en un momento anterior, únicamente aquello en lo que difiera. Tal sería el caso, por ejemplo, de que la duración del tratamiento de los datos para el que se solicita el consentimiento mediante el formulario no coincida con la duración del tratamiento de la que se informó en una fase anterior. O, verbigracia, si el medio para ejercitar alguno de los derechos reconocidos en los artículos 16 a 22 del RGPD en relación a las imágenes es distinto del medio facilitado para el ejercicio de esos derechos respecto a otro tipo de datos. Pues bien, un análisis del formulario que el reclamado ha empleado -algunos de cuyos apartados se describen en el Hecho Primero- evidencia que cumple la exigencia del apartado
12. c)del artículo 13.1 –“los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;”. Así, el documento controvertido dice en su último párrafo -justo encima de la fecha y firma de los padres/tutores-:“Los abajo firmantes han leído y comprendido los términos de este documento y PRESTAN SU CONSENTIMIENTO, mediante su firma, para el tratamiento de la imagen del alumno arriba indicado con las finalidades expresadas” (Las mayúsculas son del documento original del reclamado que, además, están en negrita) La base jurídica del tratamiento es, en este caso, el consentimiento, contemplada en el artículo 6.1.
13. a)del RGPD, razón por la cual, de conformidad con el aparatado
14. c)del artículo 13.2 del RGPD el formulario informa en su punto 4 de que “el consentimiento prestado por medio de este documento puede ser revocado en cualquier momento, sin efecto retroactivo, mediante escrito presentado a través del registro de este centro educativo o mediante correo dirigido a cp.sainzdevicuna@educa.madrid.org” El artículo 13.1.
15. c)exige que se informe de “los fines del tratamiento”. Y es importante indicar que el RGPD no hace matización alguna sobre esta cuestión, ni alude, ni menos aún obliga, a que deba otorgarse el consentimiento al tratamiento de los datos por separado para cada una de las finalidades previstas. El formulario empleado, como se indica en el Hecho primero de esta resolución, detalla cuáles son las finalidades para las que serán tratadas las imágenes que el centro capte de sus alumnos: para el adecuado ejercicio de la función educativa del centro y para el adecuado desarrollo y difusión de las actividades propias del centro, incluidas las de naturaleza lúdica, ya sea a través de la página web, blog, carteles, aplicaciones educativas y cuentas del centro en redes sociales. Por tanto, el formulario objeto de la reclamación cumple escrupulosamente las obligaciones que impone el artículo 13 del RGPD al responsable del fichero sin que se aprecie en él indicios de vulneración de las disposiciones que regulan esta materia La deficiencia de la que, a juicio del reclamante, adolece el formulario -que a través de él se recaba conjuntamente o “en bloque” el consentimiento para tratar las imágenes del menor en la “página web, blog, carteles, aplicaciones y cuentas del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 centro en redes sociales”- no entraña en ningún caso incumplimiento de las obligaciones que el RGPD impone al responsable del fichero. Una interpretación como la que propugna el reclamante ni tiene fundamento en el tenor literal del precepto ni puede justificarse en alguno de los elementos que están presentes. Nos remitimos a tal fin a los Considerandos del RGPD que guardan alguna relación con el artículo 13 de esa norma -Considerandos números 58, 60,61 y 62- de cuya lectura se infiere que ni explícitamente ni implícitamente podemos defender semejante interpretación. Las decisiones de este organismo están sujetas al cumplimiento de las funciones que tiene encomendadas por el RGPD y por la LOPDGDD y la valoración de los hechos que se someten a su consideración se hace, exclusivamente, desde el punto de vista de su adecuación o no a esas normas. Todo lo cual no es óbice para que la pretensión del reclamante pueda ser objeto de análisis y valoración con un enfoque distinto por las instancias competentes para ello. Así pues, al no apreciarse en los hechos sobre los que versa la reclamación que nos ocupa indicios de infracción de la normativa de protección de datos de carácter personal, se procede al archivo de las actuaciones practicadas. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente resolución al CEIP MANUEL SAEZ DE VICUÑA y a D. A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
16. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es