E-10734-2019

1/5  Procedimiento Nº: E/10734/2019 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: La reclamación interpuesta por Dña. A.A.A. (en adelante, la reclamante) tiene entrada con fecha 28 de junio de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra Mentxu Goñi, S.L.U., con NIF B86029089 (en adelante, la reclamada). Los motivos en que basa la reclamación son que se han realizado fotos de sus hijos en competiciones de esquí sin su consentimiento y se venden en la página web. Añade, que en las fotografías se visualizan los dorsales de sus hijos, haciendo el citado dato identificables a los mismos ya que los listados de los competidores son publicados por las entidades que promueven las competiciones; y en este sentido la reclamada vende las imágenes a través de su web a cualquier persona, sin el consentimiento de los interesados. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/07838/2019, se dio traslado de dicha reclamación a la reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. TERCERO: Con fecha 23 de octubre de 2019, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: La reclamada manifiesta, con fecha 4 de abril de 2020, que no se están realizando fotos de los participantes del club ***CLUB.1, al que pertenecen los hijos de la reclamante. Por otro lado, se comprueba que en el sitio web de la reclamada, ***URL.1, es necesario la introducción de una contraseña para poder visualizar las galerías. No se muestra públicamente ninguna fotografía de los participantes en las competiciones en ningún área del sitio web. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 También se comprueba la limitación de su uso al ámbito privado, una vez adquiridas en el documento “Condiciones de uso de las fotografías adquiridas” del sitio web de la reclamada que en su primer párrafo señala: “Las fotografías expuestas están protegidas por derechos de autor. La adquisición de una fotografía únicamente da derecho a su uso estrictamente en el ámbito privado. Queda terminantemente prohibida la distribución, comunicación pública y/o transformación. No está autorizada la manipulación, modificación (incluyendo la eliminación del copyright de la imagen) o uso de las fotografías adquiridas por los Usuarios con fines comerciales, publicitarios, editoriales o profesionales, incluyendo, aunque no limitándose a su comercialización a terceros, o su inclusión en un sitio web, blog, red social o publicación de cualquier tipo, tanto electrónica como en cualquier otro soporte, destinada a la venta o no, así como su cesión a terceros”. No obstante, lo anterior, con objeto de comprobar el funcionamiento y posibles incumplimientos del sitio reclamado, se solicita a la reclamada las claves de acceso, tanto las privadas como las del club. Con fecha de 4 de abril de 2020 se recibe en esta Agencia, escrito de contestación al requerimiento, facilitando las claves de acceso de diversas competiciones de su galería y de diferentes clubs, indicando los dorsales correspondientes a cada club y el dorsal correspondiente al participante en caso de códigos de acceso privados. Se evidencia que el funcionamiento del sitio web es el manifestado por la reclamada en su escrito de alegaciones del traslado de la reclamación. Por otra parte, se realizan las pruebas oportunas obteniendo los siguientes resultados: 1. Con la utilización de las claves de acceso a nivel de club, se comprueba que pueden verse las fotografías de los dorsales correspondientes a ese club, exceptuando las fotografías de participantes que no dieron su consentimiento y solo se pueden ver mediante la contraseña de acceso privado. Tampoco se pueden ver fotografías de los participantes correspondientes a otros clubs. 2. Accediendo con una clave de acceso privado correspondiente a un determinado participante, no se pueden ver las fotografías de los demás participantes, ni de otro club, ni del suyo propio. 3. Estas galerías se muestran en baja resolución, y adicionalmente, se requiere un código de compra para poder descargar las fotografías. Por otra parte, se observa que en muchas de ellas no es posible visualizar el número del dorsal debido a la postura del participante en el momento de la captura. Y entre otra documentación, adjunta: Autorizaciones de clubs y padres para la realización de los reportajes fotográficos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 Se constata también que, en estas fotos, todas de carácter técnico, es imposible identificar directamente a los participantes debido al equipamiento necesario para la realización del deporte de esquí. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II En la presente reclamación se manifiesta que se han realizado fotos de los hijos de la reclamante, que participan en competiciones de esquí, sin su consentimiento y se publican las mismas en la página web de la reclamada para que sean compradas, que considera que infringe la normativa de protección de datos, en concreto los artículos, 5.1.f), 6 y 7 del RGPD (integridad y confidencialidad, licitud del tratamiento, condiciones para el consentimiento) y el artículo 7 de la LOPDGDD (consentimiento de los menores de edad). El artículo 4.2 del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Por tanto, incluir fotografías en una plataforma, sitio web, foros… supone un tratamiento de datos personales. En este sentido el artículo 5 del RGPD, regula los principios generales para el tratamiento de los datos personales, estableciéndose que: “1. Los datos personales serán:

1. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo («responsabilidad proactiva»).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 Para que se pueda llevar a cabo lícitamente ese tratamiento tiene que cumplirse lo establecido en el artículo 6.1 del RGPD, que indica: <<1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
2. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
3. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
4. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
5. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
6. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
7. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
8. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.>> El incluir imágenes, que identifican o hacen identificable a una persona, en las redes sociales, en páginas web, etc… supone un tratamiento de datos personales y, por tanto, la persona que lo hace tiene que ampararse en alguna de las legitimaciones señaladas en el artículo 6 del RGPD. En estos supuestos, como la reclamada, la única causa legitimadora es el consentimiento, en general. Y es la persona que incluye la foto la que debe demostrar que cuenta con ese consentimiento. III El artículo 7 de la LOPDGDD establece lo siguiente: “1. El tratamiento de los datos personales de un menor de edad únicamente podrá fundarse en su consentimiento cuando sea mayor de catorce años. Se exceptúan los supuestos en que la ley exija la asistencia de los titulares de la patria potestad o tutela para la celebración del acto o negocio jurídico en cuyo contexto se recaba el consentimiento para el tratamiento. 2. El tratamiento de los datos de los menores de catorce años, fundado en el consentimiento, solo será lícito si consta el del titular de la patria potestad o tutela, con el alcance que determinen los titulares de la patria potestad o tutela.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 Los menores cuyas imágenes fueron tratadas no pudieron dar el consentimiento para ese tratamiento, lo tendrían que haber dado los titulares de la patria potestad, en este caso sus padres, sin que conste dicho consentimiento. IV En el presente caso, a través de las actuaciones de investigación llevadas a cabo por esta Agencia, se ha tenido conocimiento de que la entidad reclamada tiene las medidas adecuadas para impedir la vulneración de la confidencialidad, al dar claves personales a los padres que impide que puedan ver fotos de niños cuyos padres no hayan dado el consentimiento o de clases distintas de las de sus hijos. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamada. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
9. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contenciosoadministrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es