1/4 Expediente Nº: E/05830/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad Centro de Estudios Gresol, S.L., en virtud de denuncia presentada por Don B.B.B., y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 26 de julio de 2013, tuvo entrada en esta Agencia un escrito remitido por Don B.B.B., en el que denuncia que, como padre de dos niñas que cursan estudios en el CENTRO DE ESTUDIOS GRESOL, a finales del curso 2012/2013, revocó el consentimiento para utilizar la imagen de sus hijas en las fotografías y vídeos de carácter comercial y promocional del Centro, solicitando la retirada de sus imágenes de la página web del Centro. Adjunta acreditación de este hecho. El día 16/07/2013, comprueba que en la web del Centro: www.gresol.net, continúan expuestas tres imágenes de una de sus hijas, por este motivo con esa misma fecha procede a enviar correo electrónico al Centro comunicándole los hechos. Adjunta copia del mismo. A fecha 22/07/2013, las imágenes no han sido retiradas ni le han comunicado por ningún medio que las vayan a retirar. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 22 de mayo de 2014, se recibió información del Centro de Estudios GRESOL, S.L., en el que ponen de manifiesto que: 1.1. Efectivamente contaban con la revocación del consentimiento del padre de las niñas. 1.2. Con fecha 23/06/2013, fecha en la que el Centro recibió la comunicación del padre, se procedió a la retirada de las fotografías. 1.3. No obstante, al ser fotografías de grupo y no distinguirse bien a los alumnos, quedaron tres fotografías que se retiraron al leerse en el Centro el correo remitido por el padre de las niñas, con fecha 16/07/2013, aunque fue leído con fecha 23/07/2013 ya que entró al correo electrónico del Centro como SPAM, tardando unos días en identificarlo. 1.4. Con fecha 23/07/2013, se informa al padre de las niñas mediante correo electrónico de la retirada total de las fotografías, siendo respondido por el mismo con esa misma fecha, en la que hace constar que A.A.A.la niña). 1.5. A fecha de hoy se han retirado las imágenes de todos los niños, ya que se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 está procediendo a la construcción de una nueva, por lo que han procedido a preparar una nueva documentación actualizada en materia de derechos de imagen. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En orden a precisar el alcance antijurídico de los referidos hechos, procede analizar, en primer lugar, el principio de consentimiento consagrado en el artículo 6 de la LOPD, según el cual: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. A este respecto, debe señalarse que el artículo 3.
- c)de la LOPD define el tratamiento de datos como “Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo), “... consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporciona a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular ...”. Son pues elementos característicos del derecho fundamental a la protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 datos personales, los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por tanto, para que el tratamiento de datos de las menores por parte del Centro de Estudios Gresol resultara conforme con los preceptos de la LOPD deberían concurrir, en el supuesto examinado, los requisitos contemplados en el artículo 6 de la mencionada norma. El padre de las menores había consentido para que se publicasen sus fotografías y el día 3 de julio de 2013, revocó dicho consentimiento. III En relación a la revocación del consentimiento ha de indicarse que el artículo 17 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, establece lo siguiente: “1. El afectado podrá revocar su consentimiento a través de un medio sencillo, gratuito y que no implique ingreso alguno para el responsable del fichero o tratamiento. En particular, se considerará ajustado al presente reglamento el procedimiento en el que tal negativa pueda efectuarse, entre otros, mediante un envío prefranqueado al responsable del tratamiento o la llamada a un número telefónico gratuito o a los servicios de atención al público que el mismo hubiera establecido. No se considerarán conformes a lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre, los supuestos en que el responsable establezca como medio para que el interesado pueda manifestar su negativa al tratamiento el envío de cartas certificadas o envíos semejantes, la utilización de servicios de telecomunicaciones que implique una tarificación adicional al afectado o cualesquiera otros medios que impliquen un coste adicional al interesado. 2. El responsable cesará en el tratamiento de los datos en el plazo máximo de diez días a contar desde el de la recepción de la revocación del consentimiento, sin perjuicio de su obligación de bloquear los datos conforme a lo dispuesto en el artículo 16.3 de la Ley Orgánica 15/1999, de 13 de diciembre. 3. Cuando el interesado hubiera solicitado del responsable del tratamiento la confirmación del cese en el tratamiento de sus datos, éste deberá responder expresamente a la solicitud. 4. Si los datos hubieran sido cedidos previamente, el responsable del tratamiento, una vez revocado el consentimiento, deberá comunicarlo a los cesionarios, en el plazo previsto en el apartado 2, para que éstos, cesen en el tratamiento de los datos en caso de que aún lo mantuvieran, conforme al artículo 16.4 de la Ley Orgánica 15/1999, de 13 de diciembre. “ En este sentido han de realizarse las siguientes matizaciones: Como se ha indicado anteriormente, “el responsable cesará en el tratamiento de los datos en el plazo máximo de diez días a contar desde el de la recepción de la revocación del consentimiento”. En este caso, el denunciante manifiesta haber revocado el consentimiento para el tratamiento de las imágenes de sus hijas, el día 3 de julio de 2013, y el Centro contesta que cancelaron de inmediato los datos de las imágenes de las menores, si bien el día 16 de julio recibieron un nuevo correo en el que el padre menciona que han quedado unas fotos de una de sus hijas. Ese correo entró como C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/4 spam y cuando se abrió, el día 23 del mismo mes y año, se procedió a eliminar tales fotografías, que eran de grupo y no se distinguían bien a los alumnos. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a CENTRO DE ESTUDIOS GRESOL, S.L., y a Don B.B.B.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es