← España

PS-00046-2019

1/12 Procedimiento Nº: PS/00046/2019 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 18/05/2018 tuvo entrada una reclamación de A.A.A. (reclamante) manifestando que tras matricular a su hija B.B.B. (fecha de nacimiento ***FECHA.1) en la escuela de baile C.C.C., la escuela realizó una captación de imágenes de la menor y la publicó el 6/01/2018 en su página oficial de FACEBOOK, con el fin de realizar captación comercial de nuevos alumnos. Manifiesta que se enteró de la publicación el 9/05/2018, poniéndose en contacto con la escuela para que la imagen fuera retirada. Indica la reclamante que la escuela se amparó en el documento de autorización de imágenes de la matrícula de los alumnos para no retirar la imagen, por lo que ejerció con fecha 9/05/2018 su derecho de oposición y cancelación de los datos de carácter personal y de los derechos de imagen de la menor. Manifiesta que tras esto, la escuela mantiene la imagen de la menor en su página de FACEBOOK: ***URL.1 Aporta la reclamante;

  1. a)Copia de impreso matricula, (1 pagina) (datos sin cumplimentar, hoja modelo), no indicando a que año corresponde, con los apartados de datos personales del alumno y de los padres. Figura una cláusula de información de recogida de datos del tenor: -“Se autoriza a la Escuela a incorporar la información a sus bases de datos y a enviar publicidad de las actividades que se realicen” -“Del mismo modo, a la captación de imágenes de los alumnos para su utilización con fines educativos e informativos y no lucrativos, existiendo la posibilidad de ejecutar los derechos de acceso, rectificación y cancelación de los mismos. “ -“Habiendo leído la normativa para inscribirse en la escuela de danza y aceptando las condiciones que se exponen, realizo mi matrícula para el curso 2017/2018.” -La copia de impreso matricula lleva en el pie una sección para ser firmada y la fecha.
  2. b)Hoja normativa, curso 2017-2018, (puntos 1 a 6) de la Dirección, en la que se contiene información sobre los cursos, altas y bajas, pagos, etc.
  3. c)Impresión de 18/06/2018, Escuela de Danza C.C.C. - página oficial FACEBOOK en la que figura Escuela de danza C.C.C. página oficial-6 enero. “comenzamos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 enero y abrimos plazas libres” acompañada por una fotografía en la que aparecen seis menores acompañados del título “A partir dos años”.
  4. d)Escrito con el sello de la escuela en el que la reclamante solicita la oposición al uso de la imagen de su hija, y además insta la petición de baja en el curso de la menor para el mes de junio 2018. SEGUNDO: Con fecha 25/06/2018 se envía escrito junto al traslado integro de la denuncia a la reclamada, indicándose: “De conformidad con las funciones previstas en el Reglamento (UE) 2016/679, de 27/04/2016, General de Protección de Datos (RGPD), particularmente las que responden al respeto, por parte del responsable del tratamiento, de los principios de transparencia y responsabilidad proactiva, se da traslado de la reclamación presentada por la reclamante, requiriéndose que, en el plazo máximo de un mes desde su recepción, remitan a esta Agencia la documentación relevante relativa a los trámites llevados a cabo en relación con los hechos expuestos en la reclamación, incluyendo en particular la siguiente información: 1. Especificación clara de las causas que han motivado la incidencia que ha dado lugar a la reclamación. 2. Detalle de las medidas adoptadas por el responsable para solucionar la incidencia y para evitar que se produzcan nuevas incidencias como la expuesta. 3. Documentación acreditativa de que, de acuerdo con lo previsto en el artículo 12 del RGPD, se han tomado las medidas oportunas para facilitar al afectado el ejercicio de sus derechos en virtud de los artículos 15 a 22, incluyendo copia íntegra de las comunicaciones remitidas en respuesta a las solicitudes efectuadas. 4. Documentación acreditativa de que se ha atendido el derecho del reclamante a ser informado sobre el curso y el resultado de la presente reclamación.” Se efectuó intento de entrega en dos ocasiones, y no siendo posible, se dejó aviso en Correos, con el resultado de sobrante al no acudir a su retirada. El escrito se reitera nuevamente siendo entregado el 22/08/2018. Con fecha 14/11/2018 se remite escrito a la reclamada solicitando: “Copia de contrato de matrícula de la niña B.B.B., y en su caso, documento de autorización para la publicación de imágenes de la menor en redes sociales, canales de imágenes y/o video, y en general, medios de acceso público.” El escrito fue notificado el 23/11/2018. Con 28/11/2018 la reclamada aporta la hoja parcial de matrícula 2017/2018, desde el apartado normativa, puntos 1 a 6, en el que no figura la hoja de recogida de datos personales donde se contiene la referencia a la cláusula informativa ni a los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 personales de imágenes de alumnos o envío de publicidad. La hoja normativa aparece firmada en el apartado. “La dirección” por “A.A.A.”, nombre de la madre-reclamante, firma similar a la del DNI que aporta en su reclamación , y también aporta el escrito que presentó ejerciendo el derecho de oposición al uso de la imagen de la menor por la escuela. Con fecha 13/12/2018 se reitera la petición a la reclamada indicando que no se ha recibido la autorización de la publicación por parte de la reclamante, otorgando nuevo plazo, sin que se atienda la respuesta. TERCERO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante y de los hechos y documentos de los que ha tenido conocimiento esta Agencia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Como resultado de las actuaciones de investigación practicadas, en el informe de actuaciones de investigación figura: “Con fecha 9/05/2018 la denunciante ejercitó el derecho de oposición y cancelación. El día 12/11/2018, momento de apertura del expediente de investigación, la imagen había sido retirada de la red social.” CUARTO: Con fecha 21/03/2019 se acuerda por la Directora de la AEPD iniciar procedimiento sancionador a C.C.C., -ESCUELA DE DANZA -por la presunta infracción de los artículos 7 y 17 del RGPD tipificadas en el artículo 83.5.
  5. a)y
  6. b)del RGPD. QUINTO: Con fecha 25/04/2019 la reclamada indica: 1) La reclamante aceptó las normas y derechos de publicación de imágenes para uso promocional por parte de la escuela. 2) Admite que el 9/05 recibieron petición de suprimir la imagen de su hija de FACEBOOK, pero se quedó en el historial, que no sabían retirar y que se retiró tras recibir la primera carta de la AEPD. SEXTO: Con fecha 10/05/2019 se inicia el periodo de pruebas, acordando practicar las siguientes: “1. Se dan por reproducidos a efectos probatorios la reclamación interpuesta por y su documentación, los documentos obtenidos y generados, y el Informe de actuaciones previas de Inspección que forman parte del expediente E/07382/2014. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por la reclamada. 3. Se accede a la página ***URL.2, y se observa que existen fotos y videos de menores y mayores de edad, que permiten identificar plenamente de quien se trata. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 Como ejemplo, en videos, el más reciente de 2/05/2019, y figura la opción mostrar más, que abre nuevos y adicionales videos, algunos con cierta antigüedad, pasando página se llega a la última, figurando el titulado: “Clase de teoría ....ahora toca memorizar !!!!!, de 11/07/2014” o Escuela de Danza C.C.C. - página oficial de 29/12/2014 que son fotogramas que se acercan en los que se reconoce perfectamente a las personas. De acuerdo con la reclamación, en la copia de impreso matricula aportada, junto a los apartados de datos personales del alumno y de los padres, figura una cláusula de información de recogida de datos del tenor: -“Se autoriza a la Escuela a incorporar la información a sus bases de datos y a enviar publicidad de las actividades que se realicen” -“Del mismo modo, a la captación de imágenes de los alumnos para su utilización con fines educativos e informativos y no lucrativos, existiendo la posibilidad de ejecutar los derechos de acceso, rectificación y cancelación de los mismos. “ -“Habiendo leído la normativa para inscribirse en la escuela de danza y aceptando las condiciones que se exponen, realizo mi matrícula para el curso 2017/2018.” -La copia de impreso matricula lleva en el pie una sección para ser firmada y la fecha. Dado que no existe posibilidad de negar el consentimiento para el tratamiento de las imágenes y/o de recibir publicidad, se considera que el consentimiento no se otorga libremente, se le solicita que aporte:
  7. a)Actual base legitimadora para el tratamiento de datos de las fotografías y videos de menores y mayores de edad por los que esa escuela expone fotografías y videos.
  8. b)Copia de impresos o formularios usados (solo se necesita un ejemplar) en los que se pedía o informaba del tratamiento de las fotografías y videos en la página FACEBOOK de la Escuela, antes de 25/05/2018, entrada en vigor del reglamento, y después de esa fecha. Se le recuerda que el tratamiento que no se ajuste a los requisitos del RGPD (eventualmente fotos o videos de años 2014, 2015, etc.) no deberían seguir siendo tratados. Con fecha 24/05/2019 se recibe escrito indicando “en contestación al requerimiento PS00046/2019 efectuamos las siguientes alegaciones:” 1) La incidencia se inicia por una reclamación de la reclamante por una fotografía publicada en la red social FACEBOOK subida el día 06/01/2018. Se solicita la eliminación el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 día 09/05/2018 y ese mismo día es borrada. La red social FACEBOOK tiene un programa de "recuerdos" que vuelve a publicar la foto anteriormente borrada, y se vuelve a borrar ese " recuerdo " con fecha 12/11/2018. 2) “El 20/05/2018 se crea un modelo específico para consentimiento expreso tanto para las imágenes que se tomen con fines educativos como para aquellas que se puedan usar para fines publicitarios.” 3) Con fecha 24/05/2019 “se renueva la LOPD y RGPD” que “incluimos en este registro”. Se acompaña el documento “Medidas y procedimientos, 24/05/2019”, para “dotar de seguridad a las actuaciones relacionadas con el tratamiento de datos personales llevados a cabo por” la reclamada “en el desarrollo de su actividad“. El documento ha sido preparado por OUTSOURCING BUSINESS PARTNERS SL en 24/05/2019. Aporta relación de operaciones de tratamiento en el que entre otras, figura el de “imágenes y fotografías” se desglosa en finalidad educativa por un lado y de publicidad por otro, con destinatarios “redes sociales” con un “plazo de supresión” de “tres años”, y categoría de interesados “alumnos”. Se aporta un formulario informativo “para consentimiento de grabación de imágenes para redes sociales” en el que hace referencia a la LOPD, (norma que ya no está en vigor) indicando que se “recaba consentimiento expreso para la utilización de videos y fotografías realizados en la escuela de danza en redes sociales” constando como finalidad “Realización de acciones y comunicaciones comerciales y de marketing en FACEBOOK e INSTAGRAM”, base legitimación “consentimiento del interesado, interés legítimo del responsable”. No hay referencia alguna a los padres, ni a los menores de 14 años, ni la retirada del consentimiento o el periodo de conservación de las imágenes. En el mismo formulario hay un apartado para marcar sí o no, expresamente sobre la realización de acciones y comunicaciones comerciales y de marketing para informar y fidelizar clientes. Refiere que es titular de un sitio web, aunque no identifica la página concreta, informa sobre las condiciones de uso, el aviso legal. En el apartado de protección de datos de carácter personal vuelve a referir la LOPD, y su Reglamento de desarrollo, ya no vigentes desde la aprobación de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). En al apartado de política de privacidad, se explicitan las operaciones previstas para realizar el tratamiento como la remisión de comunicaciones comerciales, se indica el principio general de conservación de los datos y los derechos a ejercitar por los interesados. En el documento no se menciona aspecto alguno sobre los cursos, o las matrículas, ni a los menores de edad y el modo de otorgar el consentimiento para esos casos. 4) Aporta el documento elaborado por OUTSOURCING BUSINESS PARTNERS SL RGPD/LOPD, 24/05/2019 “Evaluación de impacto”, de 44 páginas, “versión de la evaluación de impacto 24/05/2019”. Del mismo se significa: que consta como Delegado de Protección de datos la citada empresa. En datos de clientes no se hace referencia alguna a los datos de los menores, indica que “tienen presencia en varias redes sociales y una persona que las mantiene actualizadas”. Se contienen cuestiones y respuestas de la organización a las mismas en el punto 4.1 sobre distintos aspectos, algunos relacionados con los tratamientos y colectivos de personas cuyos datos se tratan, sin mención específica a los menores. En el apartado de riesgos asociados a la legitimación de los tratamientos tampoco se concreta aspecto alguno sobre datos de menores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 Se hace mención del “documento de seguridad” y a la sanción de no poseerlo, cuando dicha obligación no es exigible con la normativa de la LOPDGDD ni del RGPD. En el apartado de cláusulas legales insertadas en documentos, figura como medida a adoptar que “cuando el tratamiento de datos personales se legitime por una relación contractual, ofrecer siempre la posibilidad de consentimiento separado para tratar datos con finalidades que no son necesarias para el cumplimiento o perfeccionamiento de la misma, evitando incluirlas de forma indisoluble en las cláusulas del contrato”. En conclusiones, se significa la de “diferenciar las imágenes de los alumnos según su finalidad y pixelar dichas imágenes para su uso en redes sociales”. Sobre las cuestiones que se plantearon en pruebas, nada se indica, de modo que se desconoce el modo de uso de los datos para fotografías en FACEBOOK o para el envío de publicidad. SÉPTIMO: El Instructor emitió propuesta de resolución con el literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione a C.C.C.-ESCUELA DE DANZA por una infracción del artículo 7 del RGPD, tipificada en el artículo 83.5 del RGPD, con apercibimiento (58.2 RGPD). Que por la Directora de la Agencia Española de Protección de Datos se sancione a C.C.C.-ESCUELA DE DANZA por una infracción del artículo 17 del RGPD, tipificada en el artículo 83.5 del RGPD, con apercibimiento (58.2 RGPD).” Notificada, no se recibieron alegaciones. HECHOS PROBADOS 1) La reclamante rellenó la hoja de matrícula para el curso 2017/2018 de su hija menor en la escuela de danza de la reclamada. El impreso se compone de doble cara, por una con el logo de la escuela, literal “MATRICULA” “curso” se contienen los apartados de datos a recoger del alumno y de padres, la actividad y la firma. El reverso de la hoja lleva el nombre de “normativa”. 2) Reclamante y reclamada disponen de un escrito de fecha 9/05/2018 con el sello de la escuela de danza en el que la primera insta su derecho de oposición al cese de los datos personales y derechos de imagen de su hija en la escuela e informa que será baja en la escuela para el mes de junio. La reclamante aporta hoja impresa de 18/06/2018 de la página de FACEBOOK“ Escuela de Danza C.C.C. con el literal “Comenzamos Enero y abrimos PLAZAS LIBRES para nuestro grupo de BABY DANZA , a partir de 2 años...INFORMATE en : ESCUELA PROFESIONAL DE DANZA C.C.C.”. Debajo figura una fotografía con seis niños menores bajo el título “BABY DANCE” ”comenzamos el 10 de enero”, una de las niñas es hija de la reclamante. 3) La reclamada manifiesta que las fotografías que constan en su página de FACEBOOK, como la de la hija de la reclamante, se exponen porque en la hoja de matrícula del curso que firman los alumnos/padres/tutor, se indicaba que: “Se autoriza a la Escuela a la captación de imágenes de los alumnos para su utilización con fines educativos e C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 informativos y no lucrativos, existiendo la posibilidad de ejecutar los derechos de acceso, rectificación y cancelación de los mismos”, aunque no indica la dirección ni modo de ejercicio. No existe posibilidad de no dar el consentimiento para ello pues va en el mismo impreso que firma el alumno/padre/tutor, haciéndolo depender de la matriculación. También en el mismo impreso de la matricula se informa en cuanto a la recogida de datos que “Se autoriza a la Escuela a incorporar la información a sus bases de datos y a enviar publicidad de las actividades que se realicen” sin posibilidad de no otorgar el consentimiento. Para ninguna de las dos operaciones de tratamiento figura expresamente la información de la opción de retirada del consentimiento que supuestamente se recoge. En el mismo formulario se indica que el firmante acepta las condiciones expuestas. 4) Una vez iniciado el presente procedimiento, se desconoce cómo va a implementar la reclamada la imagen de los alumnos, incluidos menores para el tratamiento de datos de las fotografías y videos en su página de FACEBOOK, desconociendo además si todas las imágenes ahora expuestas proceden de haberse cumplimentado la hoja matricula de cada curso, ya que en dicha hoja, al menos de 2017-2018, no se daba opción de no consentir el tratamiento de imágenes por la escuela para su página de FACEBOOK. 5) Una vez iniciado el presente procedimiento, se desconoce cómo va a implementar la reclamada la recogida de datos de alumnos para proceder a envíos publicitarios sobre las actividades que realiza. 6) El Servicio de Inspección constata en su informe que en FACEBOOK de la escuela, el día 12/11/2018, no figuraba expuesta la imagen objeto del ejercicio del derecho de oposición de la reclamante. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II El contenido de las cláusulas de recogidas de datos y su uso en la hoja matricula 2017/2018 supone una primera infracción del artículo 7 que establece las “condiciones para el consentimiento”, precisando: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato.” Sobre el tratamiento de los datos que recaba la reclamada, en este caso, la entrega de datos de alumnos y padres, para la prestación de un servicio, se debe indicar que al obedecer a una relación contractual, los datos necesarios para ello no precisarían de la obtención del consentimiento para su tratamiento al entenderse implícitos y necesarios para la suscripción y recepción del servicio contratado, pago de clases, identificación de alumnos etc. Por tanto, su licitud (artículo 6 del RGPD) procede de artículo 6.1.
  9. b)del RGPD: “el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales” Sin embargo, ni el envío de publicidad, ni el tratamiento de las imágenes de los menores parece que sea necesario para la ejecución del citado contrato, por lo que si se considera posible la obtención de los datos para esos fines, se necesitaría acudir a otra base jurídica que permitiese el tratamiento ajustado a la norma vigente. En tal sentido el RGPD, considera: artículo 4.11 «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen; La circunstancia de incluir de modo obligatorio para los padres/alumnos en el impreso de matrícula la cesión de la imagen para los fines que se contienen o la del envío publicitario no se ajustan al RGPD ni a la base legitimadora del consentimiento, al incluirse y mezclarse con la base legitimadora contractual y debiendo aceptar esta. Es decir, se tiene que dar la aceptación al bloque, por lo que no puede considerarse consentimiento como manifestación de voluntad libre. Si las consecuencias del consentimiento socavan la libertad de elección de la persona, el consentimiento no es libre. El hecho de firmarse el documento no convalida sus cláusulas, que vulnerarían la normativa de protección de datos. El RGPD indica en su artículo 6.1. 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  10. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; A la hora de valorar si el consentimiento se ha dado libremente, deben considerarse también las situaciones concretas en las que el consentimiento se supedita a la ejecución de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 contratos o a la prestación de un servicio tal y como se describe en el artículo 7, apartado 4. El artículo 7, apartado 4, se ha redactado de manera no exhaustiva mediante el uso de la expresión «entre otras cosas», lo que significa que puede haber otras circunstancias que entren en el ámbito de aplicación de esta disposición. En términos generales, el consentimiento quedará invalidado por cualquier influencia o presión inadecuada ejercida sobre el interesado (que puede manifestarse de formas muy distintas) que impida que este ejerza su libre voluntad. Vincular el consentimiento a la aceptación de los términos y condiciones o supeditar el cumplimiento de un contrato o la prestación de un servicio a una solicitud de consentimiento para el tratamiento de datos personales que no son necesarios para la realización de dicho contrato o servicio, resulta muy inapropiado. Si el consentimiento se ha dado en estas circunstancias, se presume que no se ha dado libremente (considerando 43). Además, ha de tenerse en cuenta que para un consentimiento válidamente recogido se precisa una previa información correcta, y en este sentido, la información sobre los tratamientos de envío de publicidad y recogida de imágenes son distintos y ha de existir la posibilidad en el mismo documento de no consentir para cada uno de ellos sin que se sufra ningún perjuicio negativo en la prestación del servicio. Por otro lado, el consentimiento inequívoco no encajaría bien con procedimientos para obtener el mismo a partir de la inacción o el silencio, pues este es intrínsecamente equívoco. Es equívoca la situación en que se considera que las personas han dado su consentimiento si no han contestado a una carta cuando estaban informadas de que la falta de respuesta equivalía a consentir. En este tipo de situaciones, el comportamiento individual (o más bien, la falta de acción), plantea serias dudas sobre la voluntad de acuerdo de la persona. El hecho de que la persona no realice una acción positiva no permite concluir que ha dado su consentimiento. Por tanto, no cumple el requisito de consentimiento inequívoco. III La segunda infracción imputada es la del tiempo de supresión de los datos (imágenes y video en FACEBOOK de la escuela). El artículo 17.1.
  11. a)y
  12. b)del RGPD indica: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
  13. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
  14. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico; IV El artículo 72.1.
  15. c)de la LOPDGDD considera: “Infracciones consideradas muy graves “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12
  16. c)El incumplimiento de los requisitos exigidos por el artículo 7 del Reglamento (UE) 2016/679 para la validez del consentimiento. El artículo 74 de la misma norma considera leves, “y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes:
  17. c)No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto en el artículo 72.1.
  18. k)de esta ley orgánica.” V El artículo 58.2 del RGPD dispone: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  19. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
  20. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado” El artículo 28 del RGPD indica “Obligaciones generales del responsable y encargado del tratamiento” “1. Los responsables y encargados, teniendo en cuenta los elementos enumerados en los artículos 24 y 25 del Reglamento (UE) 2016/679 , determinarán las medidas técnicas y organizativas apropiadas que deben aplicar a fin de garantizar y acreditar que el tratamiento es conforme con el citado reglamento, con la presente ley orgánica, sus normas de desarrollo y la legislación sectorial aplicable. En particular valorarán si procede la realización de la evaluación de impacto en la protección de datos y la consulta previa a que se refiere la Sección 3 del Capítulo IV del citado reglamento. 2. Para la adopción de las medidas a que se refiere el apartado anterior los responsables y encargados del tratamiento tendrán en cuenta, en particular, los mayores riesgos que podrían producirse en los siguientes supuestos:
  21. e)Cuando se lleve a cabo el tratamiento de datos de grupos de afectados en situación de especial vulnerabilidad y, en particular, de menores de edad y personas con discapacidad.” La letra
  22. d)del artículo 58.2 del RGPD indica como facultad de la AEPD: “ ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado” Además, la LOPDDG considera infracción grave el no cumplimiento del ajuste a las medidas que se deriven de la resolución, artículo 72.1.m): “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  23. m)El incumplimiento de las resoluciones dictadas por la autoridad de protección de datos competente en ejercicio de los poderes que le confiere el artículo 58.2 del Reglamento (UE) 2016/679.” En el periodo de pruebas, con el fin de encaminar el cumplimiento de la normativa, se solicitó literalmente a la reclamada: “Actual base legitimadora para el tratamiento de datos de las fotografías y videos de menores y mayores de edad por los que esa escuela expone fotografías y videos.” “Copia de impresos o formularios usados (solo se necesita un ejemplar) en los que se pedía o informaba del tratamiento de las fotografías y videos en la página FACEBOOK de la Escuela, antes de 25/05/2018, entrada en vigor del reglamento, y después de esa fecha.” “Se le recuerda que el tratamiento que no se ajuste a los requisitos del RGPD (eventualmente fotos o videos de años 2014, 2015, etc.) no deberían seguir siendo tratados.” La reclamada deberá acreditar cómo ha variado la hoja de matrícula en cuanto a la inclusión de las cláusulas de obtención del consentimiento e información sobre el uso de fotografías y para el uso de envío de publicidad, si ha creado nuevos documentos para estos fines. Además, deberá aportar copia de los documentos relacionados con las medidas y acciones organizativas/ técnicas que haya tomado al conocer la reclamación. Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a C.C.C.-ESCUELA DE DANZA -, con NIF ***NIF.1, por una infracción del artículo 7 del RGPD, tipificada en el artículo 83.5 del RGPD, una sanción de apercibimiento (artículo 58.2
  24. b)RGPD. SEGUNDO: IMPONER a C.C.C.-ESCUELA DE DANZA -, con NIF ***NIF.1, por una infracción del artículo 17 del RGPD, tipificada en el artículo 83.5 del RGPD, una sanción de apercibimiento (artículo 58.2
  25. b)RGPD. TERCERO: ORDENAR de acuerdo con el artículo 58.2.
  26. d)el envío de la documentación que se utilice para la prestación del consentimiento para el uso de las fotografías y del envío de publicidad, y la información asociada a ambos. CUARTO: NOTIFICAR la presente resolución a C.C.C.-ESCUELA DE DANZA -. QUINTO: De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  27. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1/10. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.