← España

E-06426-2015

1/7 Expediente Nº: E/06426/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad COLEGIO MADRE DE DIOS en virtud de denuncia presentada por DÑA. A.A.A., y teniendo como base los siguientes HECHOS PRIMERO: En relación con la entidad COLEGIO MADRE DE DIOS (en lo sucesivo lA denunciada), en esta Agencia Española de Protección de Datos se tramitó el procedimiento de Apercibimiento de referencia A/00145/2015, que concluyó mediante resolución nº R/02536/2015, de fecha 02/11/2015, en la que se tuvieron por probados los siguientes hechos: <<1. La entidad Colegio Madre de Dios es responsable de la edición de la revista escolar denominada “Gain Gainetik”. 2. En la página 4 del número 40 de la revista “Gain Gainetik”, de junio de 2014, aparece insertada un fotografía, en la que figura el hijo de la denunciante, acompañado de otras dos personas. Esta revista se inserta en la web de la entidad. 3. La denunciante ha manifestado que la utilización de la fotografía de su hijo, reseñada en el Hecho Probado Segundo, se realizó sin el consentimiento del menor ni de sus padres o tutores legales. 4. La entidad Colegio Madre de Dios dispone de un formulario habilitado para recabar el consentimiento de los padres o tutores de los alumnos para la realización de fotografías y su posible publicación en documentos del centro o su página web. Dicho formulario no contiene ninguna leyenda informativa en cumplimiento de lo previsto en el artículo 5 de la LOPD. 5. La entidad Colegio Madre de Dios no ha aportada documento alguno en el que conste el consentimiento de la denunciante para la publicación de la fotografía de su hijo. 6. Con fecha 29/09/2015, por la Subdirección General de Inspección se accede a la web madredediosbilbao.es, comprobando que en la fotografía objeto de la denuncia, insertada en el número 40 de la revista de la entidad Colegio Madre de Dios, el rostro del hijo de la denunciante aparece difuminado, no siendo posible su identificación>>. SEGUNDO: Considerando tales hechos probados, en la mencionada Resolución de 02/11/2015 se acordó lo siguiente: “1.- APERCIBIR (A/00145/2015) a la entidad COLEGIO MADRE DE DIOS con arreglo a lo dispuesto en el artículo 45.6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en relación con la denuncia por infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.

  1. b)de la citada Ley Orgánica, y de conformidad con lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 establecido en los artículos 36 y 37.a),
  2. f)y
  3. n)de la LOPD, que atribuye la competencia a la Directora de la Agencia Española de Protección de Datos”. “2.- REQUERIR a la entidad COLEGIO MADRE DE DIOS, de acuerdo con lo establecido en el apartado 6 del artículo 45 de la LOPD, para que en el plazo de un mes desde este acto de notificación: 2.1.- CUMPLA lo previsto en los artículos 5 y 6 de la LOPD. En concreto se insta al denunciado a eliminar de sus ficheros la fotografía objeto de la denuncia y a modificar el formulario utilizado para recabar el consentimiento de los padres o tutores de los alumnos para la realización de fotografías y su posible publicación en documentos del centro o su página web, incorporando al mismo una leyenda informativa en cumplimiento de lo previsto en el artículo 5 de la LOPD. 2.2.- INFORME a la Agencia Española de Protección de Datos del cumplimiento de lo requerido, aportando un escrito en el que se declare expresamente haber eliminado de sus ficheros la fotografía en cuestión, así como el formulario mencionado una vez rectificado en el sentido indicado”. TERCERO: Con objeto de realizar el seguimiento de las medidas a adoptar, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos la apertura del expediente de actuaciones previas de referencia E/06426/2015. CUARTO: En relación con lo instado en la resolución mencionada, se recibió escrito de la entidad denunciada en el que señaló que ha procedido a eliminar de sus ficheros la fotografía objeto de la denuncia y a modificar el formulario utilizado para recabar el consentimiento de los padres o tutores de los alumnos para la realización de fotografías y su posible publicación en documentos del centro o su página web, incorporando al mismo una leyenda informativa en cumplimiento de los previsto en el artículo 5 de la LOPD. La entidad COLEGIO MADRE DE DIOS acompañó copia del formulario empleado, en el que constan las indicaciones siguientes: “De conformidad con la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, el material fotográfico realizado a los alumnos se incorporará a un fichero automatizado de datos e imágenes, de los que es responsable la Titularidad del centro. Todo lo cual se informa en cumplimiento del artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. En cumplimiento de la ley citada anteriormente, el Colegio Madre de Dios solicita el permiso de los abajo firmantes con el fin de poder realizar a lo largo de la escolarización de su hijo/a fotografías o similares. El fin de éstas será su posible publicación en documentos, plataformas digitales o página WEB del centro. Por favor, se necesita la firma de ambos padres. (…) Los derechos de acceso, rectificación, cancelación y oposición se podrán ejercer ante el Colegio Madre de Dios, dirigiéndose para ello a la siguiente dirección: calle (C/......1) (Bizkaia)”. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
  4. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 sucesivo LOPD). II En el procedimiento A/00145/2015 se imputó a la denunciada el incumplimiento del principio del consentimiento y del deber de secreto, regulados en los artículos 6 y 10 de la LOPD. El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Por otra parte, corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste. A este respecto, la Audiencia Nacional, en sentencia de fecha 31/05/2006 señaló lo siguiente: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. En el presente caso, consta acreditado que la entidad Colegio Madre de Dios es responsable de la revista “Gain Gainetik”, que además se incorpora a la web de la citada entidad. Asimismo, consta que en una de las páginas del número 40 de dicha revista, correspondiente a junio de 2014, se insertó una fotografía del hijo de la denunciante, menor de edad, sin que el mismo o sus representantes legales hubieran consentido con anterioridad dicho tratamiento de datos personales. Por tanto, resulta que Colegio Madre de Dios no disponía del consentimiento del afectado o sus representantes legales para el tratamiento de datos realizados, consistente en la utilización de su imagen en la citada revista, según la propia imputada ha reconocido. Por todo lo que antecede, se consideró infringido el artículo 6.1 de la LOPD por parte del denunciado, que es responsable de dicha infracción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 Asimismo, procede determinar las responsabilidades que se derivan de la revelación de los datos que resulta de la divulgación de la fotografía del hijo de la denunciante. A este respecto, el artículo 10 de la LOPD dispone: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. Este deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido, teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30/11, y, por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000, de 30/11). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. En el presente caso, la entidad Colegio Madre de Dios, con la incorporación de la fotografía objeto de la denuncia a una revista y a su web, permitió el acceso por parte de terceros a datos personales relativos al afectado, según el detalle que conste en los hechos probados, cuestión que ha quedado acreditada en el presente procedimiento sin que el titular de los datos o sus representantes legales hubiesen prestado su consentimiento para ello. Por tanto, quedó acreditado que por parte de Colegio Madre de Dios, responsable de la custodia de los datos en cuestión, se vulneró el deber de secreto, garantizado en el artículo 10 de la LOPD, al haber posibilitado el acceso no restringido por terceros a datos personales sin contar con el consentimiento del titular de tales datos. Ambas infracciones resultan de los mismos hechos, consistentes en tratar los datos del afectado insertando una fotografía del mismo en una revista escolar y esta revista en la web, por lo que, aplicando el artículo 4.4 del citado Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora, se declaró procedente subsumir ambas infracciones en una, declarando únicamente la infracción del artículo 6 de la LOPD, que se trata de la infracción originaria que ha implicado la comisión de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 otra. III Por otro lado, en las referidas actuaciones se analizó la idoneidad del formulario utilizado por la entidad Colegio Madre de Dios para recabar el consentimiento de alumnos o de los representantes legales de éstos para la realización y utilización posterior de fotografías. El artículo 3.
  5. h)de la LOPD se define el “consentimiento del interesado” como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”, de lo cual se desprende la necesaria concurrencia de los cuatro requisitos enumerados en dicho precepto para que el consentimiento pueda ser considerado conforme a derecho. Así, para que el consentimiento prestado pueda considerarse válido, según la definición del consentimiento establecida, el mismo ha de ser informado, de tal modo que la ausencia de información o una información insuficiente sobre los extremos recogidos en el artículo 5 de la LOPD determina la falta de consentimiento para el tratamiento de los datos. La información a la que se refiere dicho artículo debe suministrarse a los afectados previamente a la recogida de sus datos personales, y deberá ser expresa, precisa e inequívoca para que el consentimiento que preste el afectado pueda considerarse válido, en tanto que manifestación de voluntad inequívoca, específica e informada. El citado artículo 5 de la LOPD establece en cuanto el “Derecho de información en la recogida de datos”, lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  6. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  7. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  8. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
  9. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  10. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
  11. c)y
  12. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban”. Así, de acuerdo con lo establecido en el artículo 5 transcrito, la entidad Colegio Madre de Dios debe dar a sus alumnos o a los representantes legales de éstos la información prevista en el mismo, con carácter previo a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. La ley ha querido imponer una formalidad específica en la recogida de datos a través de cuestionarios u otros impresos que garantice el derecho a la información de los afectados. A tal C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 efecto, impone la obligación de que la información figure en los propios cuestionarios e impresos y la refuerza exigiendo que conste de forma claramente legible. En el caso que nos ocupa se ha podido comprobar que la entidad Colegio Madre de Dios disponía de un formulario habilitado para recabar el consentimiento de los padres o tutores de los alumnos para la realización de fotografías y su posible publicación en documentos del centro o su página web. Sin embargo, se acreditó que dicho formulario no contenía ninguna leyenda informativa en cumplimiento de lo previsto en el artículo 5 de la LOPD. IV Asimismo, se acordó requerir a la entidad Colegio Madre de Dios para que adoptase nuevas medidas que impidan que en el futuro pueda producirse una infracción de naturaleza similar. Teniendo en cuenta las circunstancias puestas de manifiesto en el procedimiento A/00145/2015, se instó a la citada entidad que eliminase de sus ficheros la fotografía objeto de la denuncia y modifique el formulario habilitado para recabar el consentimiento de los padres o tutores de los alumnos para la realización de fotografías y su posible publicación en documentos del centro o su página web, incorporando al mismo la información prevista en el artículo 5 de la LOPD. Posteriormente, esta Agencia Española de Protección de Datos ha tenido conocimiento de que la denunciada ha atendido el requerimiento efectuado en la citada resolución, de 02/11/2015. Dicha entidad ha procedido a eliminar de sus ficheros la fotografía objeto de la denuncia y ha modificado el formulario utilizado para recabar el consentimiento de los padres o tutores de los alumnos para la realización de fotografías y su posible publicación en documentos del centro o su página web, incorporando al mismo una leyenda informativa en cumplimiento de los previsto en el artículo 5 de la LOPD, según el detalle que consta reseñado en el Antecedente Cuarto de esta Resolución. La adopción de estas mejoras conlleva el archivo de las actuaciones previas de referencia, iniciadas para el seguimiento de las medidas a adoptar. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución a la entidad COLEGIO MADRE DE DIOS y a DÑA. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.