PS-00070-2025 | Europaius

1/41  Expediente N.º: EXP202315180 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 29 de abril de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a COLEGIO VIRGEN DE EUROPA, S.L. (en adelante, el COLEGIO), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202315180 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 27/09/2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable al COLEGIO VIRGEN DE EUROPA, S.L. con NIF B28773794 (en adelante, el COLEGIO). La parte reclamante indica que el 29/06/2022 tuvo conocimiento, a través de la Guardia Civil, de que su hija menor de edad había sido grabada “(…)”. De acuerdo con la reclamación, parte de los archivos que obran en poder de la Guardia Civil fueron encontrados en una carretera, en una cámara que fue encontrada por un viandante y entregada a la Guardia Civil y parte en el domicilio personal de A.A.A. (en adelante, A.A.A.), profesor del COLEGIO, por lo que se habrían vulnerado el principio de integridad y confidencialidad del tratamiento de esos datos. A fecha de la reclamación, por estos hechos se estaba instruyendo un proceso judicial, con diligencias previas número ***DILIGENCIAS.1, ante el Juzgado de Instrucción ***JUZGADO.1. Según la reclamación, la captura de imágenes fue realizada sin conocimiento ni consentimiento de los progenitores y sin la observancia del más mínimo protocolo de custodia de los archivos. Considera además que se habría vulnerado el principio de transparencia del tratamiento al haberse captado las imágenes sin informar previamente a los afectados y por este desconocimiento tampoco ha podido ejercer sus derechos respecto de los datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/41 Junto con la reclamación, aporta la siguiente documentación: - Auto de ***AUTO.1, del Juzgado de Instrucción ***JUZGADO.1 en el seno de las Diligencias Previas ***DILIGENCIAS.1, en el que se autoriza a la Guardia Civil a volcar y procesar soportes y dispositivos informáticos hallados en el domicilio de A.A.A. En este documento consta que en el domicilio (…). - Copia del atestado ***ATESTADO.1, del Área de Investigación Comandancia de la Guardia Civil de (…). Del contenido del atestado cabe destacar, por tener relevancia para este procedimiento, (…). En el texto del atestado constan las siguientes afirmaciones, por tener relevancia para este procedimiento: “(…). (…) (…). (…) (…). (…).” - Oficio remitido por el Área de Investigación Comandancia de la Guardia Civil de ***LOCALIDAD.1, al Juzgado de Instrucción ***JUZGADO.1, el 27/06/2023 en el marco de las Diligencias Previas ***DILIGENCIAS.1. En dicho oficio se informa al Juzgado sobre el visionado de los dispositivos, aún no finalizado en ese momento. En el oficio consta lo siguiente: “(…). (…).” - Declaraciones de varios testigos en el procedimiento judicial antes indicado. SEGUNDO: Con fecha 30/10/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. En el marco de dichas actuaciones previas de investigación, se han hecho requerimientos de información al COLEGIO, en las siguientes fechas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/41 - Requerimiento de 09/02/2024, respondido por el COLEGIO el 27/02/2024 - Requerimiento de 28/06/2024, respondido el 12/07/2024 - Requerimiento de 11/07/2024, respondido el 26/07/2024 - Requerimiento de 29/07/2024, respondido el 29/08/2024 Asimismo, se requirió información al profesor A.A.A., en fecha 09/02/2024 que respondió con fecha 22/03/2024. A continuación, se hace referencia a la información obtenida en dichas actuaciones previas de investigación, mencionando la fecha de los escritos de respuesta del COLEGIO o de A.A.A. en los que consta. En su escrito de 27/02/2024, el COLEGIO informa de que la obtención del consentimiento de los progenitores para la grabación de imágenes de los alumnos menores se lleva a cabo en el momento de reserva de plaza y matriculación y, por ello, el consentimiento resulta revisado como mínimo de forma anual. Adjunta a su respuesta un formulario de matriculación, que contiene una casilla de autorización de fotos y vídeos con el siguiente texto: “□ SÍ Autorizo al "Colegio Virgen de Europa S.L." para que realice fotos y/o grabaciones audiovisuales de mi hijo/a, en el desarrollo de las actividades programadas por el mismo, con la única finalidad de incluirlas en la página Web y/o Anuarios del Centro, folletos y/o soportes varios publicitarios, y su posible difusión por cualquier otro medio de comunicación del Centro, incluido redes sociales, con el único fin de dar a conocer y promocionar las actividades del Centro, así como pasar dichas imágenes a formar parte del archivo del colegio. Dichas imágenes serán tratadas por ésta de acuerdo con la Legislación vigente en materia de Protección de Datos de Carácter Personal. No obstante, dicha autorización será revocable en cualquier momento. □ NO autorizo el tratamiento de dichas imágenes. Puede ejercitar gratuitamente los derechos de acceso, rectificación, cancelación, oposición, portabilidad y limitación del tratamiento, dirigiéndose por escrito a "Colegio Virgen de Europa S.L.", C/ ***DIRECCIÓN.1, o bien mediante e-mail dirigido a (...).” En relación con la información sobre el tratamiento de datos personales facilitada a progenitores y profesorado, adjunta varios documentos (anexos I, II y III) y remite a información adicional en la página web: “(…) Tal y como hemos indicado con anterioridad, la información otorgada a los padres y tutores de los menores cumple con lo establecido en los artículos 13 y 14 del RGPD. En este sentido, cualquier comunicación efectuada o recogida C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/41 de datos llevada a cabo, el Colegio dispone mediante clausulado de la información mínima que debe otorgar. Asimismo, el Colegio, en relación al deber de información (…) tiene en consideración las siguientes cuestiones: o En primer lugar, la obligación de informar a las personas interesadas sobre las circunstancias relativas al tratamiento de sus datos recae sobre el Colegio, en nuestra condición de responsable del tratamiento. o La información se debe poner a disposición de los interesados en el momento en que se soliciten los datos, previamente a la recogida o registro, si es que los datos se obtienen directamente del interesado. o En el caso de que los datos no se obtengan del propio interesado por proceder de alguna cesión legítima, o de fuentes de acceso público, el responsable informará a las personas interesadas dentro de un plazo razonable, pero, en cualquier caso: o  Antes de un mes desde que obtuvieron los datos personales.  Antes o en la primera comunicación con el interesado.  Antes de que los datos, en su caso, se hayan comunicado a otros destinatarios. Esta obligación se debe cumplir sin necesidad de requerimiento alguno, y el responsable deberá poder acreditar con posterioridad que la obligación de informar ha sido satisfecha. En prueba de lo anterior, aportamos la siguiente documentación o información facilitada al efecto: o En primer lugar, reiteramos la información de la matrícula para la gestión de la relación docente (Anexo I). o En segundo lugar, la información otorgada en la gestión del Classroom, así como, las medidas o consideraciones en la gestión del mismo, en cumplimiento de los artículos 24 y 32 del RGPD (Anexo II). o En tercer lugar, aportamos la información facilitada en diferentes comunicaciones a través de correo electrónico, por parte del personal del Colegio (Anexo III). o En cuarto lugar, a través de la página web corporativa del centro, se otorga información sobre la gestión de los datos (…). Desde la entidad responsable del tratamiento, el Colegio, somos plenamente conscientes de la necesaria obligación del deber de información, reconocido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/41 por la normativa al titular de los datos o representante del mismo, es por ello que, en las diferentes comunicaciones, contactos recurrentes, recogida de datos, entre otras acciones llevadas a cabo, reiteramos la información mínima regulada por el legislador”. Revisados los documentos anexos aportados, se observa que: - El anexo I se corresponde con un formulario genérico de “Registro del alumno y reserva de plaza” que incluye un apartado denominado “Autorización de fotos y vídeos” en el que se facilitan dos opciones, que ya ha sido previamente expuesto. - El supuesto documento informativo de Classroom se refiere a un modelo de solicitud de consentimiento, sin complementar, para la creación y gestión de un usuario de “Google Workspace For Education Plus” con “con el dominio del Colegio y fines exclusivamente didácticos”. - En cuanto al Anexo III se remite un texto, fuera de todo contexto, que señala: “Tanto este mensaje como todos los posibles documentos adjuntos al mismo son confidenciales y están dirigidos a los destinatarios de los mismo. Por favor, si usted no es uno de dichos destinatarios, notifíquenos este hecho y elimine el mensaje. (…) Puede ejercitar gratuitamente los derechos de acceso, oposición, rectificación, cancelación o supresión, revocación del consentimiento, portabilidad y limitación del tratamiento de los datos dirigiéndose a Colegio Virgen de Europa S.L. (…)”. En cuanto a la finalidad de las grabaciones y motivos para conservación, aporta un informe con el título “INFORME CUMPLIMIENTO NORMATIVA DE PROTECCIÓN DE DATOS”, que afirma que es su procedimiento actual de gestión. El documento carece de fecha y señala, en síntesis: “El presente informe es con motivo del tratamiento de datos de carácter personal efectuado por el Responsable del tratamiento, el Colegio Virgen de Europa S.L., en relación al dato de imagen, tanto para fines docentes como fines de promoción de la actividad del centro. En este sentido, a través del presente documento se otorgan instrucciones básicas y recomendaciones sobre el citado tratamiento de datos. (…) En cuanto a la cuestión relativa a la captación de imágenes durante las actividades escolares, deben tenerse en cuenta los siguientes escenarios: A) La toma de imágenes como parte de la función educativa, en cuyo caso, los centros se encuentran legitimados para ello. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/41 B) Las grabaciones que no responden a la función educativa, por ejemplo, la difusión del centro y de sus actividades, para lo que se deberá disponer del consentimiento de los interesados o de sus padres o tutores. Así mismo, resulta posible la toma de imágenes de los alumnos en determinados eventos desarrollados en el entorno escolar para la única finalidad de que los padres pudieran tener acceso a ellas. Este acceso a las imágenes debería siempre llevarse a cabo en un entorno seguro. A) Celebración de actos escolares o eventos en el centro educativo: En este sentido, con ocasión de la celebración de actos escolares o de eventos en centros educativos en los que los alumnos y los profesores son los protagonistas, tanto por los familiares como por el propio centro se toman fotografías y graban vídeos en los que se recogen sus imágenes. Estos hechos, comunes en los eventos escolares, dan lugar a que se planteen muchas cuestiones sobre quién y cómo se pueden captar las imágenes, qué requisitos se han de cumplir, con qué finalidad y a quién se pueden comunicar. Según quién vaya a grabar las imágenes y la finalidad para la que se graben será necesario observar unos determinados requisitos. Si la grabación de las imágenes se produjera por el centro escolar con fines educativos, como trabajos escolares o evaluaciones, el centro o la Administración educativa estarían legitimados para dicho tratamiento sin necesidad del consentimiento de los alumnos o de sus padres o tutores. Cuando la grabación de las imágenes no se corresponda con dicha función educativa, sino que se trate de imágenes de acontecimientos o eventos que se graban habitualmente con fines de difusión en la revista escolar o en la web del centro, se necesitará contar con el consentimiento de los interesados, a quienes se habrá tenido que informar con anterioridad de la finalidad de la grabación, en especial de si las imágenes van a estar accesibles de manera indiscriminada o limitada a la comunidad escolar. (…) A) Grabación de imágenes de actividades desarrolladas fuera del centro escolar: La grabación de imágenes fuera del recinto escolar por los centros requiere el consentimiento de los interesados, o de sus padres o tutores, siempre que no se realice en ejercicio de la función educativa. Si la grabación se realiza por terceros, por ejemplo, por los responsables de la empresa, museo, exposición o club deportivo que se esté visitando, o en el que se desarrolle una actividad deportiva, será obligación de estos terceros disponer del consentimiento de los interesados que habrán podido recabar a través del centro. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/41 B) Publicación de datos en redes sociales. La publicación de datos personales en redes sociales por parte de los centros educativos requiere contar con el consentimiento de los interesados, a los que habrá que informar previamente de manera clara de los datos que se van a publicar, en qué redes sociales, con qué finalidad, quién puede acceder a los datos, así como de la posibilidad de ejercitar sus derechos de acceso, rectificación, oposición y supresión. Se entenderá el consentimiento como una manifestación de voluntad libre, específica, informada e inequívoca, mediante declaración o clara acción afirmativa. La normativa incluye la obligación de informar sobre el plazo durante el que se conservarán las imágenes o, si no fuera posible, de los criterios para determinarlo. III. CUESTIONES ESENCIALES CON RELACIÓN AL TRATAMIENTO DEL DATO DE IMAGEN. A continuación, otorgamos respuesta a cuestiones resueltas por la autoridad de control, la Agencia Española de Protección de Datos, en su guía para Centros Educativos. (…) ¿Pueden los centros educativos captar imágenes de los alumnos durante las actividades escolares? Cabría distinguir entre la toma de imágenes como parte de la función educativa, en cuyo caso los centros estarían legitimados para ello, de las grabaciones que no responderían a dicha función, por ejemplo, la difusión del centro y de sus actividades, para lo que se deberá disponer del consentimiento de los interesados o de sus padres o tutores. También sería posible la toma de imágenes de los alumnos en determinados eventos desarrollados en el entorno escolar para la única finalidad de que los padres pudieran tener acceso a ellas. Este acceso a las imágenes debería siempre llevarse a cabo en un entorno seguro que exigiera la previa identificación y autenticación de los alumnos, padres o tutores (por ejemplo, en un área restringida de la intranet del centro), limitándose a las imágenes correspondientes a eventos en los que el alumno concreto hubiera participado. En todo caso, sería preciso recordar a quienes acceden a las imágenes que no pueden, a su vez, proceder a su divulgación de forma abierta. - ¿Puede un profesor grabar imágenes de los alumnos para una actividad escolar? Los profesores, en el desarrollo de la programación y enseñanza de las áreas, materias y módulos que tengan encomendados, pueden disponer la realización de ejercicios que impliquen la grabación de imágenes, normalmente de los propios alumnos, que sólo deberán estar accesibles para los alumnos involucrados en dicha actividad, sus padres o tutores y el profesor correspondiente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/41 Es decir, en ningún caso el mero hecho de realizar la grabación supone que la misma se pueda difundir de forma abierta en internet y que se pueda acceder de manera indiscriminada. En estos casos el responsable del tratamiento es el propio centro o la Administración educativa (…)” Afirma el COLEGIO que se hizo una revisión exhaustiva y que se documentaron y trasladaron instrucciones a la persona encargada en el centro de la gestión de las imágenes utilizadas a través de redes sociales o web corporativa, aportando como prueba un correo electrónico que figura como anexo VI al escrito. El escrito está fechado el 12/09/2022. Buena parte del contenido no es visible por estar el documento anonimizado y no consta el destinatario, el contexto o finalidad para la que se envía ni el medio de envío o constancia de su recepción. En la parte no anonimizada se puede leer lo siguiente: “Adicionalmente, y de manera constante, se le han recordado los criterios que debían mantener las imágenes publicadas en redes sociales y página web, tales como: - Imágenes que representen actividades grupales del centro y que transmitan el proyecto pedagógico, pero nunca niños en primer plano sin desarrollo de la actividad. - Imágenes de niños correctamente vestidos en las que se respete la dignidad del menor. - Número reducido de imágenes por publicación (nunca más de 15). - Imágenes de buena calidad que transmitan la imagen corporativa de la institución. En relación con las medidas técnicas organizativas de custodia de las imágenes de menores en el centro educativo, el COLEGIO indica, en síntesis, que se han elaborado clausulados y documentos sobre las obligaciones de su personal para que éste los firmara, en concreto: “- Cláusulas informativas elaboradas para los distintos documentos que son usados para la actividad habitual de la entidad. - Procedimiento implantado ante ejercicio de derechos por parte de titulares. - Procedimiento ante brechas o incidentes de seguridad. - De igual modo, en su día, se procedió a la designación de la figura del Delegado de Protección de Datos, así como a su comunicación ante esta autoridad de control, en el plazo legal establecido a tal efecto. De igual modo, a pesar de lo anterior, nuestra prioridad es la protección del menor, es por ello que, las instrucciones marcadas a las personas encargadas de esta toma de fotografías y posterior envío, es que la orientación de la toma de imágenes resulte lo menos identificativa posible, teniendo como prioridad, captaciones de espalda, imágenes desde la lejanía etc. Asimismo, la captación se efectúa con dispositivos propiedad del Colegio, que disponen de las medidas técnicas de contraseña en el acceso y restricción de uso por parte de aquellos usuarios no autorizados al tratamiento de estos datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/41 En cuanto al almacenamiento de las citadas imágenes, resultan custodiadas a través de un servidor (…) conectado a la red, que tan solo permite acceso con usuario y contraseñas a los perfiles habilitados a tal efecto. Además, debemos trasladar el hecho de que, en todas las ocasiones, cuando nos encontramos con un alumno/a que el padre/madre o tutor, no ha otorgado el consentimiento para la captación y envío de estas imágenes, se tiene en cuenta este extremo desde el principio, optando por aprovechar momentos en los que el menor no se encuentra con el grupo para la toma de imágenes. Sobre el hecho de comunicar a los padres/padres y tutores de los menores, las limitaciones en el uso de imágenes, cabe aclarar que, en nuestra política y procesos de gestión, contemplamos esta comunicación constante a los tutores, para que sean conscientes de los límites de uso de estas imágenes, y, además, las posibles responsabilidades en el supuesto de un mal uso de las mismas. A pesar de lo anterior, dado que es fundamental la continua mejora y avance en la gestión de riesgos, se ha procedido a establecer una comunicación formal obligatoria, en cada envío que se efectúe. (…) En relación a otras medidas adoptadas, se han desarrollado las siguientes acciones: - En primer lugar, siendo conscientes de que un proceso de adaptación y cumplimiento efectivo, conlleva la necesaria concienciación de los usuarios intervinientes en el tratamiento de los datos, durante el ejercicio de 2022 se procedió a la impartición de una sesión formativa presencial, con todo el personal de la entidad, para el fomento de la cultura de protección de datos. - Además de lo anterior, para que esta formación resultase más efectiva, con fecha 31 de octubre de 2022 se iniciaron 9 acciones formativas, siendo la denominación de las acciones “Nuevo Reglamento Europeo de Protección de Datos”, con una duración de 30 horas y realizándose por un total de 9 trabajadores/as. En este caso, aportamos títulos de los trabajadores/as, acreditativos de lo anterior (Anexo VII). En cuanto al incide de la formación realizada, adjunto remitimos (Anexo VIII). De igual modo, el plan formativo en esta materia, programado por la entidad, cuenta con una formación destinada a todos los usuarios intervinientes en el tratamiento de los datos de forma progresiva y en constante actualización, para el fomento de la cultura de protección de datos. - Asimismo, tal como indicamos anteriormente, se ha procedido a marcar instrucciones claras y por escrito, de las indicaciones mínimas y exigidas a los usuarios intervinientes en esta captación y difusión de imágenes, siendo fundamentalmente: necesidad de contraste previo del consentimiento, información mínima a otorgar en el supuesto de ser requerido, orientación de imágenes (no primeros planos, imágenes en lejanía, etc.), entre otros.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/41 A la solicitud de información efectuada por la AEPD relativa a que informe sobre las causas que han motivado que las grabaciones hubieran salido del centro, el COLEGIO señala: “(…) desde la entidad responsable del tratamiento, no entendemos la información que se solicita sobre las posibles causas que han motivado que las grabaciones hayan salido del centro, dado que la entidad dispone del control de las mismas” (…). Asimismo, el COLEGIO aporta “el documento de Registro de Actividades con el tratamiento identificado y las medidas implementadas a tal efecto (Anexo IX)”. Este documento hace referencia exclusivamente al tratamiento “PUBLICIDAD Y REDES SOCIALES”, y a medidas de seguridad generales. En el mismo se califica el nivel de seguridad de este tratamiento como nivel básico. No constan el responsable del tratamiento, el delegado de protección de datos, plazo previsto para eliminación de los datos, ni descripción general de las medidas de seguridad con las que se tratarán los datos. No consta que exista registro de tratamiento de imágenes con otra finalidad (archivo, hemeroteca, etc). En lo relativo a las medidas de seguridad tomadas por el centro, el citado Anexo IX que recoge las medidas de seguridad a aplicar para tratamientos de nivel básico y alto señaladas por la entidad que actúa como DPD y que se deberían implementar como por ejemplo “Confección de una relación actualizada de usuarios y perfiles de usuarios […]”, “Deben establecerse mecanismos […]”, “La salida de soportes y documentos que contengan datos de carácter personal, […] fuera de los locales bajo el control del Responsable del Tratamiento deberá ser autorizada por el Responsable del Tratamiento o encontrarse debidamente autorizada en el Registro de Actividades de Tratamiento”, “En el traslado de la documentación se adoptarán las medidas dirigidas a evitar la sustracción, pérdida o acceso indebido a la información durante su transporte”, “Fijar procedimientos para la recuperación de los datos […]”, etc. Este documento se encuadra dentro del informe jurídico elaborado por la entidad que actúa como DPD (capitulo 7 “Determinación de las medidas de seguridad a aplicar tras el inicial análisis de riesgos de protección de datos”). No consta en la documentación remitida por el COLEGIO si estas medidas han sido llevadas a la práctica, o no, ni el procedimiento o recursos para su implementación. En su escrito de 12/07/2024 en respuesta a requerimiento de esta Agencia, A.A.A. comunica que desde (...) ya no es empleado. En relación con la finalidad de las grabaciones y su conservación, indica que “Las grabaciones que se realizaban en el ejercicio de mi labor (…) tenían la finalidad de cumplir con el programa de docencia, así como también para promocionar la actividad del centro. En la asignatura (…) se pretendía enseñar a los alumnos las siguientes competencias: - Competencia para aprender a aprender. - Competencia en comunicación lingüística. - Tratamiento de la información y competencia digital. - Autonomía e iniciativa personal. - Competencia artística y cultural. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/41 (…) (…) Sobre las causas de que las imágenes hayan salido del centro, afirma lo siguiente: “(…). (…).” Respecto de las medidas técnicas y organizativas de custodia de las imágenes, afirma que “(…). (…). (…).” El 28 de junio de 2024 la AEPD requirió al COLEGIO la remisión de la siguiente documentación e información: 1. Copia del documento de matrícula firmado correspondiente a la hija de B.B.B. 2. Copia del Registro de Actividades de Tratamiento completo. 3. Dado que en documento presentado en esta Agencia el día 27 de febrero de 2024, que el centro educativo “tiene el control de las grabaciones” realizadas en el centro, se requiere que se exponga las causas que han podido concurrir para que las imágenes de los menores salieran de la custodia del centro y se encontraran en una mochila en una carretera y en el domicilio de D. A.A.A. 4. Copia de la autorización, en caso de su existencia, permitiendo que D. A.A.A. pudiera sacar grabaciones de los alumnos del centro educativo y el almacenamiento en su domicilio. En su respuesta de 12/07/2024, el COLEGIO aporta documentos con título “Registro y reserva de plaza” de la hija del reclamante, con firma del padre y la madre, correspondientes a los cursos 2012/2013, 2013/2014 y 2015/2016, así como comunicaciones con la madre de la menor sobre la gestión y cambio de su expediente de 20 de junio de 2023 en el que se indica “necesitaría el certificado de notas y de traslado (…)”. En dichos formularios de registro y reserva de plaza consta el siguiente texto para la autorización sobre imágenes: “Autorizo al “Colegio Virgen de Europa S.L.” para que realice fotos de mi hijo/a en las instalaciones del Centro y en excursiones y actividades programadas por el mismo, con la única finalidad de incluirlas en la página Web y/o Anuarios del centro, folletos y/o soportes varios publicitarios. Dichas imágenes serán tratadas por ésta de acuerdo con la Legislación vigente en materia de protección de datos de carácter personal. No obstante, la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/41 autorización será revocable en cualquier momento. Para ejercitar los Derechos de acceso, impugnación, rectificación, cancelación u oposición de sus datos, deberán dirigirse a “Colegio Virgen de Europa S.L.”, ***DIRECCIÓN.1, mediante comunicación por escrito. En el caso de no autorizar el tratamiento de dichas imágenes con la finalidad anteriormente descrita, marque con una cruz. □ NO autorizo el tratamiento de dichas imágenes.” Aporta también copia completa del RAT, de cuyo contenido cabe destacar lo siguiente: - En la página 6/49 figura la siguiente información: “Tratamiento: ALUMNOS Y EXALUMNOS Sistema: MIXTO Nivel de seguridad: ALTO Tipo: PRIVADO Descripción de la Finalidad: GESTIÓN INTEGRAL DE LAS RELACIONES CON LOS ALUMNOS Y EXALUMNOS DE LA ENTIDAD Otras Finalidades: DIFUSION EN PÁGINA WEB/REDES SOCIALES, EDUCACION Y CULTURA, GESTIÓN CONTABLE, FISCAL Y ADMINISTRATIVA, GESTIÓN Y CONTROL SANITARIO, HISTORIAL CLÍNICO. Colectivos: ESTUDIANTES. CARACTERÍSTICAS Y TIPOLOGÍA DE LOS DATOS DEL TRATAMIENTO ALUMNOS Y Origen: El propio interesado o su representante legal. Especialmente Protegidos: Religión. Salud. Identificativos: NIF.NºSS / Mutualidad. Nombre y Apellidos. Dirección. Firma Manual (Manuscrita o Digitalizada). Teléfono. Imagen/ Voz. Caracteristicas Personales: Datos de Características Personales. Academicos Profesionales: Datos Académicos y Profesionales.” - En la página 12/49 figura la siguiente información: “Tratamiento: PUBLICIDAD Y REDES SOCIALES Sistema: MIXTO Nivel de Seguridad: BÁSICO Tipo: PRIVADO Descripción de la Finalidad: DIFUSIÓN EN PÁGINA WEB / REDES SOCIALES Otras Finalidades: DIFUSION EN PÁGINA WEB/REDES SOCIALES. Colectivos: ALUMNOS, EX-ALUMNOS, PERSONAL DOCENTE, PERSONAL NO DOCENTE. CARACTERÍSTICAS Y TIPOLOGÍA DE LOS DATOS DEL TRATAMIENTO PUBLICIDAD Y Origen: El propio interesado o su representante legal. Identificativos: Nombre y Apellidos. Imagen/ Voz.” - En la página 38/49, dentro del apartado “DETERMINACIÓN DE LAS MEDIDAS DE SEGURIDAD A APLICAR TRAS EL INICIAL ANÁLISIS DE RIESGOS DE PROTECCIÓN DE DATOS”, se indica lo siguiente: “Independientemente de que exista la obligación legal o no de realizar un Evaluación de Impacto, y en aplicación del principio de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/41 Responsabilidad Proactiva que le incumbe al Responsable, se han determinado las medidas técnico-organizativas que se consideran necesarias adoptar, tras el inicial análisis de riesgos realizado, con el objetivo de eliminar o minimizar dichos riesgos que entraña el Tratamiento de Datos de Carácter Personal para la seguridad de la información (integridad, confidencialidad-privacidad y disponibilidad de los mismos).” En cuanto a la salida de imágenes del centro, el COLEGIO afirma lo siguiente: “Tal como aportamos como Anexo III, el colegio ha mantenido el control de las grabaciones y datos contenidos en los dispositivos, con la oportuna limitación de extracción de dispositivos bajo autorización otorgada al responsable de estas gestiones en el Colegio, D. A.A.A..” Así, además de remitir el mencionado Anexo III, señalan sobre la autorización al profesor en relación con la salida de dispositivos del centro: “En el documento de autorización, el Colegio mantiene el control de la información y datos contenidos en los dispositivos, dado que se requiere del registro de salidas y devoluciones de los mismos.” El citado Anexo III consiste en un documento de autorización en favor del profesor, con fecha de 30/04/2018, firmado por A.A.A. como trabajador y por el COLEGIO, en el que se puede leer lo siguiente “AUTORIZACIÓN PARA LA SALIDA DE SOPORTES Y ACCESO REMOTO A SERVIDORES COLEGIO VIRGEN DE EUROPA S.L., Autoriza a D/Dª A.A.A., con NIF (…) a realizar la salida de soportes, tanto en equipos informatizados (ordenadores, memorias externas, etc.), como en formato papel, de las instalaciones de la entidad. Dichas salidas de información en soportes informáticos o en papel, así como su devolución, deberán quedar registrados. La citada autorización se hará extensiva hasta comunicación expresa en contrario.” (El subrayado es de la AEPD). Por otra parte, el 11 de julio de 2024 la AEPD realizó al COLEGIO un nuevo requerimiento de información por el que solicitaba información sobre los siguientes aspectos: 1. Funciones docentes del profesor A.A.A.. Acreditación del director del centro o departamento de recurso humanos. 2. Documento con las instrucciones facilitadas por el colegio a los profesores que tienen acceso a los medios audiovisuales y soportes de grabación. 3. Base de legitimación para la grabación de imágenes de los menores en bañador por A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/41 4. Medidas de revisión del buen uso de los medios y soportes que realiza el colegio. (custodia, acceso, conservación). 5. Plazos de conservación del material audiovisual grabado y conservado en el centro. En su respuesta de 26/07/2024, el COLEGIO, en relación con las funciones del profesor A.A.A., sobre las que se solicitaba acreditación del director del centro o del departamento de recursos humanos, se limita a informar lo siguiente: “Las funciones del docente eran las propias como (…), además de llevar a cabo la promoción del centro, bajo diferentes proyectos desarrollados a lo largo de su contratación.” En cuanto a las instrucciones facilitadas por el COLEGIO a los profesores en relación con medios audiovisuales y soportes de grabación, adjuntan “documento de compromiso de confidencialidad”, así como “informe jurídico con las instrucciones facilitadas sobre sus funciones de gestión de imágenes de los menores a las personas responsables de estas funciones y el procedimiento interno de gestión del tratamiento”. En el documento de compromiso de confidencialidad adjuntado tiene por título “POLITICA GENERAL DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL”, está fechado a 30/04/2018 y firmado por el profesor A.A.A. Entre otras cuestiones menciona el deber de secreto como trabajador del COLEGIO en relación con los datos de carácter personal a los que tenga acceso en el ejercicio de sus funciones, así como las obligaciones como interviniente en tratamientos de datos. No se hace mención expresa al tratamiento de imágenes de los alumnos. El informe jurídico indicado es el ya presentado en su respuesta de 27/02/2024, con el título “INFORME CUMPLIMIENTO NORMATIVA DE PROTECCIÓN DE DATOS”. En cuanto a la base de legitimación para la grabación de imágenes de los menores en bañador por parte del profesor A.A.A., afirma el COLEGIO lo siguiente: “Las instrucciones otorgadas por el centro, a tal efecto, resultan acordes a lo establecido por la normativa actual, indicando en todo momento, la necesidad de evitar primeros planos, imágenes que respeten la intimidad del menor, entre otras.” En cuanto a las medidas de revisión del buen uso de los medios y soportes que realiza el colegio (custodia, acceso, conservación), afirma que “Tal como ha resultado aportado en la solicitud de información anterior, las medidas de seguridad implementadas, resultan contenidas en el Registro de Actividades del tratamiento. En prueba de lo anterior, aportamos el documento de referencia. (ANEXO II). Además de lo anterior, estas medidas de buen uso e instrucciones resultan detalladas en el informe jurídico y el procedimiento de gestión del consentimiento.” Por último, sobre la base legitimadora y los plazos de conservación del material audiovisual grabado y conservado en el centro, indica lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/41 “La base legitimadora del tratamiento de las imágenes contenidas en los sistemas, propias de la función docente, se fundamenta en el artículo 6.1.e del RGPD, dado que el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, por lo cual no sería necesario el consentimiento. Tal como establece la normativa actual, estos datos se conservarán durante el tiempo necesario para cumplir con la finalidad para la cual se recogieron y para determinar las posibles responsabilidades que se pudieron derivar de esta finalidad y del tratamiento de los datos, resultando aplicable lo dispuesto en la normativa de archivos y documentación. En este sentido, la normativa de referencia que se tiene en consideración para la determinación de los citados plazos: la Ley Orgánica 2/2006, de 3 de mayo, de Educación, Real Decreto 217/2022, de 29 de marzo, por el que se establece la ordenación y las enseñanzas mínimas de la Educación Secundaria Obligatoria. En el documento de Registro de Actividades se otorga información detallada al respecto.” Por último, aporta un documento, sin fechar, con el título “Procedimiento interno de gestión de grabaciones audiovisuales”, en el que se indica lo siguiente: “Este procedimiento tiene por objeto informar de las normas de actuación que cualquier usuario del sistema de tratamiento de datos del COLEGIO VIRGEN DE EUROPA, que en su actividad recoja autorizaciones para grabación de imágenes de alumnos, o bien que las realice o utilice”. El documento contiene una descripción de un procedimiento de recogida y control de autorizaciones en los formularios de inscripción de la matrícula y de “formularios inscripción en campamento y actividades para externos”. El 29 de julio de 2024 la AEPD realiza un nuevo requerimiento de información en el marco de las actuaciones previas de investigación, por el que solicita: 1. Consentimiento recabado de B.B.B. para el tratamiento de imágenes de su hija durante los cursos (…). 2. Se solicita nuevamente de forma excepcional el Registro de Actividades completo en los términos establecidos en el artículo 30.4 del RGPD, al haberse enviado previamente parcialmente censurado “por contener datos de carácter personal”. 3. Registro de salidas y devoluciones de cada uno de los dispositivos y soportes (cámaras, tarjetas, DVDs, discos duros, etc) desde el (…). Finalmente, en su escrito de 29/08/2024 de contestación a este último requerimiento, el COLEGIO no aporta los formularios de matrícula de la hija del reclamante correspondientes a los cursos (…), requeridos por esta Agencia. Al respecto, señala: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/41 “(…) Tal como indicamos en la solicitud de información anterior, la base legitimadora del tratamiento de las imágenes contenidas en los sistemas, propias de la función docente, se fundamenta en el artículo 6.1.e del RGPD, dado que el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, por lo cual no sería necesario el consentimiento. Tal como establece la normativa actual, estos datos se conservarán durante el tiempo necesario para cumplir con la finalidad para la cual se recogieron y para determinar las posibles responsabilidades que se pudieron derivar de esta finalidad y del tratamiento de los datos, resultando aplicable lo dispuesto en la normativa de archivos y documentación. En este sentido, la normativa de referencia que se tiene en consideración para la determinación de los citados plazos: la Ley Orgánica 2/2006, de 3 de mayo, de Educación, Real Decreto 217/2022, de 29 de marzo, por el que se establece la ordenación y las enseñanzas mínimas de la Educación Secundaria Obligatoria. En el documento de Registro de Actividades se otorga información detallada al respecto. Asimismo, para la gestión de imágenes destinadas a la promoción del centro, tal como se ha remitido en la solicitud anterior, se otorgó el consentimiento a tal efecto por el tutor de la menor.” Sobre el registro de salidas y devoluciones de los dispositivos desde (…) hasta (…), que se había requerido, afirma: “Sobre la solicitud del registro de salidas y devoluciones de cada uno de los dispositivos y soportes en el período señalado, debemos indicar que no existe ninguna autorización que se haya otorgado para la salida y posterior devolución al docente, es decir, no se ha producido ninguna autorización para poder extraer dispositivos ni soportes en estos ejercicios.” Adjunta de nuevo el RAT, sin anonimizar, en el que se indica la fecha 29/08/2024. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad COLEGIO es una empresa constituida en el año 1982, y con un volumen de negocios de 11.181.007 euros en el año 2023. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/41 II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de las presuntas infracciones cometidas, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.

f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. Así, la imagen de una persona física es un dato personal. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/41 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que el COLEGIO realiza, entre otros tratamientos, la realización de fotografías y grabaciones en vídeo de sus alumnos, así como su conservación y, en su caso, su publicación. El COLEGIO realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. IV Obligación incumplida. Integridad y confidencialidad La letra
f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." En este sentido, los responsables han de garantizar la integridad y confidencialidad de los datos personales objeto de tratamiento a través de medidas técnicas y organizativas de todo tipo. El cumplimiento de dicho precepto se constataría, por lo tanto, mediante la adopción y cumplimiento de medidas técnicas y organizativas de todo tipo cuyo objetivo sea garantizar la confidencialidad y la integridad de los datos personales objeto de tratamiento y, por otra parte, mediante la ausencia de situaciones de pérdida de confidencialidad o integridad de los datos personales tratados. Su incumplimiento, por el contrario, devendría de la ausencia de medidas o incumplimiento de las adoptadas y de una pérdida de confidencialidad de los datos objeto de tratamiento. En definitiva, con arreglo al artículo 5.1.
f)RGPD transcrito, el responsable de todo tratamiento de datos personales está obligado a garantizar una seguridad adecuada de los datos a través de medidas técnicas, organizativas de todo tipo, que comprende su protección contra el tratamiento no autorizado o ilícito y, por consiguiente, implica la inexistencia de filtraciones o brechas de confidencialidad. El considerando 39 del RGPD así lo confirma cuando dice: “Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/41 Por su parte, la Sentencia del Tribunal Constitucional (STC) 292/2000 con ocasión de analizar el contenido del derecho fundamental a la protección de datos personales, dice en su Fundamento de Derecho 7: “[…] resulta que el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular.” (El subrayado es nuestro) En el presente caso, de las evidencias que constan en el expediente se deduce que se habría producido una brecha de datos personales en la medida en que, al menos un tercero no autorizado habría accedido a las imágenes de menores, incluidos los de la parte reclamante, contenidas en un dispositivo de grabaciones audiovisuales. En concreto, un dispositivo que contenía estas imágenes habría sido extraviado y encontrado en el interior de una mochila por un viandante en una carretera, quien, tras su visualización, y a la vista de su contenido, habría acudido a la Guardia Civil para entregarlo. A este respecto, se señala, que el COLEGIO en contestación a los requerimientos de información efectuados por la AEPD sobre las causas que motivaron la salida de las grabaciones del centro y, en concreto, las causas que hubieran podido concurrir para que las imágenes de los menores salieran de la custodia del centro y se encontraran en una mochila en una carretera, ha asegurado, en sus respuestas de 27 de febrero, 12 de julio de 2024 que “la entidad dispone del control de las mismas [las grabaciones]”. Además, en su respuesta de 27 de febrero enumera una serie de medidas con las que asegura contar: formaciones y sesiones de concienciación al profesorado en materia de datos personales, la existencia de medidas de seguridad conforme al artículo 32 y 25 del RGPD, así como lo recogido en el RAT. En relación con lo anterior, se remarca que las formaciones son posteriores a que se conociera la brecha de seguridad y se iniciara la investigación de la Guardia Civil y el procedimiento judicial, por lo que no queda acreditado que el COLEGIO contara con estas medidas formativas en el momento en que se produjeron los hechos en que se basa la reclamación. Por otra parte, examinado el RAT se observa que en este se indica que “la salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control del Responsable del Tratamiento deberá ser autorizada por el Responsable del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/41 Tratamiento o encontrarse debidamente autorizada en el Registro de Actividades de Tratamiento.” En su contestación de 12 de julio de 2024 insiste en que “el colegio ha mantenido el control de las grabaciones y datos contenidos en los dispositivos, con la oportuna limitación de extracción de dispositivos bajo autorización otorgada al responsable de estas gestiones en el Colegio, D. A.A.A. (…) En el documento de autorización, el Colegio mantiene el control de la información y datos contenidos en los dispositivos, dado que se requiere del registro de salidas y devoluciones de los mismos”. Se señala que la autorización a la que se hace referencia, y que consta en el expediente, data de 2018 y en ella no se indica ni la finalidad o motivos para los que se autoriza a su titular, ni se establece una limitación temporal de sus efectos (se concede hasta nueva orden), ni precisión sobre el contenido de la documentación o las características de la misma. Además, si bien en la propia autorización se indica que deberá registrarse la salida y la devolución de los dispositivos, requerido el COLEGIO para que aporte documentación sobre el registro de las salidas y devoluciones de dispositivos entre (…), el COLEGIO, en contradicción con lo anteriormente señalado asegura que “no existe ninguna autorización que se haya otorgado para la salida y posterior devolución al docente, es decir, no se ha producido ninguna autorización para poder extraer dispositivos ni soportes en estos ejercicios.” Se subraya, no obstante, que la autorización concedida en el año 2018 establecía que esta perduraría en tanto que no fuera revocada. En consecuencia, el COLEGIO no ha acreditado que contara con un sistema de registro de entradas y salidas de dispositivos, como asegura, que le permitiera conocer en todo momento qué dispositivos habían sido extraídos del centro, su contenido, la persona que habría realizado la extracción o la ubicación de estos. No debe olvidarse que la salida de dispositivos que contienen grabaciones audiovisuales con imágenes de menores implica la salida de datos personales del centro, por lo que este hecho implicaba un riesgo que exige la adopción de medidas por el responsable en cuanto a su custodia, posible extravío y utilización para fines no autorizados. Por ello, no cabe entender que una autorización realizada sin ninguna limitación pueda considerarse una medida que asegure la protección de los datos personales contra la pérdida y tratamiento no autorizado de los datos, en los términos exigidos por el artículo 5.1 f). Al contrario, la autorización que consta en el expediente por la que se permite la salida del centro de cualquier dispositivo o documento, conteniendo cualquier tipo de dato, por tiempo ilimitado, sin indicar la finalidad ni mencionar ninguna medida de seguridad a adoptar, no puede considerarse una acreditación de que el COLEGIO contara con medidas de seguridad y mantuviera un control sobre los datos personales de los menores afectados. Al contrario, evidenciaría una falta de diligencia en el control de las imágenes de los alumnos, así como una ausencia de las medidas exigidas por el artículo 5.1
f)lo que facilitó que la brecha de datos personales derivada de que un viandante (tercero no autorizado) accediera las imágenes, tuviera lugar. Por último, debe remarcarse que el artículo 5.2 del RGPD establece que el responsable de un tratamiento no solo es responsable de garantizar lo dispuesto en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/41 apartado 5.1 (entre otros principios, una seguridad adecuada de los datos personales), sino también “capaz de demostrarlo <<responsabilidad proactiva>>”. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable al COLEGIO, por vulneración del artículo 5.1
f)transcrito anteriormente. V Tipificación de la infracción del artículo 5.1.
f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679." VI Propuesta de sanción por incumplimiento del artículo 5.1
f)del RGPD. A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/41 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
a)a
h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b)la intencionalidad o negligencia en la infracción;
c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g)las categorías de los datos de carácter personal afectados por la infracción;
h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
a)El carácter continuado de la infracción.
b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
f)La afectación a los derechos de los menores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/41
g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio del COLEGIO era de 11.181.007 euros en el año 2023, de acuerdo con el informe recogido de la herramienta AXESOR que obra en el expediente. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD). En el presente caso se considera que la infracción tiene un carácter grave. En primer lugar, porque afecta a una pluralidad de alumnos menores de edad, sin perjuicio de que el procedimiento se haya iniciado como consecuencia de una única reclamación. Así, en palabras de la Guardia Civil se habla de una “(…)”. En segundo lugar, porque los hechos suponen una pérdida de control sobre los datos personales de los afectados, siendo este uno de los elementos esenciales del RGPD. Por último, se subraya que algunas de las imágenes encontradas mostraban, de acuerdo con el atestado de la Guardia Civil, a menores de edad con escasa ropa, lo que afecta de manera directa a la dignidad de estos menores y hace que algunas de las imágenes tengan la consideración de especialmente sensibles. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 83.2
k)del RGPD en conexión con el artículo 76.2, letra b), de la LOPDGDD): el COLEGIO como consecuencia de su actividad en tanto que centro escolar, realiza de forma habitual y continua C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/41 tratamientos de datos de carácter personal de un elevado número de interesados (principalmente menores de edad) imprescindible para el desarrollo de su actividad. La función educativa, que es su actividad principal, implica necesariamente operaciones de tratamiento de datos personales, para la matriculación de los alumnos o la evaluación de exámenes, entre otros. Así, los hechos se producen en el marco de un tratamiento de datos personales que habitualmente realiza la parte denunciada en el ejercicio de su actividad principal y ligada a esta. - La afectación a los derechos de los menores (artículo 76.2, letra f), de la LOPDGDD), teniendo en cuenta que el objeto de la infracción tiene que ver con el tratamiento de imágenes de menores. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1
f)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 15.000,00 euros. VII Obligación incumplida. Artículo 6 del RGPD. Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones." De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular, en particular, cuando sea necesario para la ejecución de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/41 un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Por su parte, el artículo 7 del RGPD determina que: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento (…)”. En relación con el consentimiento, el considerando 32 del RGPD establece que: “El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta.” A su vez, el artículo 4 del RGPD, relativo a definiciones, establece en el apartado 11: “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen;” Por otra parte, el artículo 24 del RGPD desarrolla el principio de responsabilidad proactiva del responsable del tratamiento, exigiendo que su actuación no solo sea conforme al RGPD sino que, además, sea capaz de demostrarlo: “Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/41 derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario”. En definitiva, el tratamiento de datos personales requiere la existencia de una base legal que lo legitime. La elección de la base más adecuada del tratamiento, en caso de existir varias, corresponde al responsable, igual que compete a este acreditar que el tratamiento se realiza conforme a una base de legitimación. En el presente caso, el COLEGIO en su respuesta a la AEPD de 27 de febrero de 2024 señalaba el consentimiento como base de legitimación para la grabación de imágenes de los alumnos. Así, determinaba: “con relación al procedimiento de obtención del consentimiento expreso de los padres o tutores legales de los menores sobre el tratamiento de datos derivado de la grabación, debemos indicar que se lleva a cabo en el momento de matriculación del alumno”. A estos efectos, aportaba un documento en blanco denominado “Registro y reserva de plaza” en el que figuraba el siguiente texto precedido por dos casillas en blanco antes del SÍ y del NO: “SÍ Autorizo al "Colegio Virgen de Europa S.L." para que realice fotos y/o grabaciones audiovisuales de mi hijo/a, en el desarrollo de las actividades programadas por el mismo, con la única finalidad de incluirlas en la página Web y/o Anuarios del Centro, folletos y/o soportes varios publicitarios, y su posible difusión por cualquier otro medio de comunicación del Centro, incluido redes sociales, con el único fin de dar a conocer y promocionar las actividades del Centro, así como pasar dichas imágenes a formar parte del archivo del colegio. Dichas imágenes serán tratadas por ésta de acuerdo con la Legislación vigente en materia de Protección de Datos de Carácter Personal. No obstante, dicha autorización será revocable en cualquier momento. NO autorizo el tratamiento de dichas imágenes” En su escrito de 29 de agosto de 2024 el COLEGIO, ante la solicitud de esta Agencia de que aportara el consentimiento expreso del progenitor de la menor para la grabación de las imágenes de esta, el COLEGIO señala: “la base legitimadora del tratamiento de las imágenes contenidas en los sistemas, propias de la función docente, se fundamenta en el artículo 6.1.e del RGPD, dado que el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento, por lo cual no sería necesario el consentimiento”. Añadido a lo anterior, insiste, sin embargo, en que “para la gestión de imágenes destinadas a la promoción del centro (…), se otorgó el consentimiento a tal efecto por el tutor de la menor”. En definitiva, el colegio insiste en que contaba con el consentimiento de los progenitores de la menor para realizar el tratamiento, siendo esta la base de legitimación aplicable al caso y que este se recaba durante el proceso de matriculación y se actualiza cada año. A este respecto conviene señalar que el COLEGIO ha remitido los documentos con título “Registro y reserva de plaza” de la menor afectada, con firma del padre y la madre, correspondientes a los cursos 2012/2013, 2013/2014 y 2015/2016. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/41 No obstante, el COLEGIO no ha acreditado, a pesar de los reiterados requerimientos efectuados por esta Agencia, las matrículas, con los correspondientes consentimientos de los cursos académicos 2014/2015; 2016/2017; 2018/2019; 2019/2020; 2020/2021, 2021/2022 o 2022/2023, lo que supone que el consentimiento no ha sido demostrado por el responsable. En definitiva, en este caso concreto no se aprecia la existencia de base legal que ampare el tratamiento datos personales de la menor mediante la captación de imágenes con equipos de grabación en los términos anteriormente señalados. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable al COLEGIO, por vulneración del artículo 6 del RGPD transcrito anteriormente. VIII Tipificación de la infracción del artículo 6.1 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679." IX Propuesta de sanción por incumplimiento del artículo 6 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/41 A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, así como el artículo 76.2 de la LOPDGDGG, reproducidos anteriormente. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio del COLEGIO era de 11.181.007 euros en el año 2023, de acuerdo con el informe recogido de la herramienta AXESOR que obra en el expediente. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD). En el presente caso se considera que la infracción tiene un carácter grave. Los hechos conocidos impactan directamente en el control que la afectada tiene respecto a sus datos personales, y, en concreto, su imagen. Por último, se señala que la falta de acreditación de la existencia de una base de legitimación para efectuar el tratamiento supone una violación del principio de responsabilidad proactiva prevista en el artículo 5.2 del RGPD, principio esencial de la normativa de protección de datos Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: Toda infracción anterior cometida por el responsable o el encargado del tratamiento (artículo 83.2, letra e), del RGPD), ya que existe una sanción anterior impuesta al COLEGIO por esta Agencia, con fecha de resolución 07/07/2023, en el seno expediente Nº: EXP202209078, por infracción del artículo 6.1 del RGPD. - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 83.2
k)del RGPD en conexión con el artículo 76.2, letra b), de la LOPDGDD): el COLEGIO como consecuencia de su actividad en tanto que centro escolar, realiza de forma habitual y continua tratamientos de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/41 datos de carácter personal de un elevado número de interesados (principalmente menores de edad) imprescindible para el desarrollo de su actividad. La función educativa, que es su actividad principal, implica necesariamente operaciones de tratamiento de datos personales, para la matriculación de los alumnos o la evaluación de exámenes, entre otros. Así, los hechos se producen en el marco de un tratamiento de datos personales que habitualmente realiza la parte denunciada en el ejercicio de su actividad principal y ligada a esta. - La afectación a los derechos de los menores (artículo 76.2, letra f), de la LOPDGDD), teniendo en cuenta que el objeto de la infracción tiene que ver con el tratamiento de imágenes de menores. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 20.000 euros. X Obligación incumplida. Infracción del artículo 13 del RGPD El artículo 13 del RGPD establece lo siguiente: “Artículo 13. Información que deberá facilitarse cuando los datos personales se obtengan del interesado 1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
b)los datos de contacto del delegado de protección de datos, en su caso;
c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/41 datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
d)el derecho a presentar una reclamación ante una autoridad de control;
e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” Este precepto, determina en sus apartados 1 y 2 la información que el responsable del tratamiento deberá ofrecer en el momento de la recogida de los datos. No obstante, la previsión del artículo 13, apartados 1 y 2, hay que ponerla en relación con el artículo 13.4 que dispensa de la obligación a la que se refieren ambas disposiciones “cuando y en la medida en que el interesado ya disponga de la información.” Los considerandos del RGPD reiteran la misma idea. Así, el considerando 61 indica que “Se debe facilitar a los interesados la información sobre el tratamiento de sus datos personales en el momento en que se obtengan de ellos o, si se obtienen de otra fuente, en un plazo razonable, dependiendo de las circunstancias del caso(...)” Y el considerando 62 dice que “Sin embargo, no es necesario imponer la obligación de proporcionar información cuando el interesado ya posea la información, (...)” En todo caso debe tenerse en cuenta que conforme al considerando 60 incumbe al responsable la obligación de “facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/41 El responsable del tratamiento debe facilitar al interesado cuanta información sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en el que se traten los datos personales. El considerando 39 del RGPD afirma que: “El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales, así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida (…)” Por ello, se debe facilitar a los interesados la información sobre el tratamiento de sus datos personales en el momento en que se obtengan de ellos. Cuando se obtengan del interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, debe facilitarle toda la información sobre el tratamiento de sus datos tal como se indica en el artículo 13 del RGPD. Por otra parte, conviene resaltar que la obligación de informar recogida en el artículo 13 del RGPD ha de entenderse en el marco de los derechos de los interesados en relación con la transparencia, principio que debe regir el tratamiento de los datos conforme al artículo 5.1
a)del RGPD. En este sentido, el artículo 12.1 del RGPD determina que: “El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14 (…) en forma concisa, transparente, inteligible y de fácil acceso con un lenguaje claro y sencillo (…)”. A este respecto, resulta esencial hacer referencia al considerando 39 del RGPD, que establece que: “

(39)Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/41 datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos. Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. En el presente caso, de acuerdo con la respuesta facilitada por el COLEGIO el 27 de febrero de 2024 el deber de información previsto en el artículo 13 del RGPD se cumple mediante la información contenida en la matrícula, así como mediante la información facilitada relativa a Classroom, las diferentes comunicaciones realizadas a través de correo electrónico, y lo contenido en la página web corporativa del centro. No obstante, tal y como se ha señalado en los antecedentes de hecho, ni el aviso relativo a Classroom, ni la supuesta información facilitada al pie de los correos electrónicos hacen referencia a la obtención de imágenes de personas físicas mediante grabaciones audiovisuales. En cuanto a la información contenida en el formulario de matrícula o inscripción de los alumnos figura en el modelo actualizado, como ya se ha señalado, lo siguiente: “□ SÍ Autorizo al "Colegio Virgen de Europa S.L." para que realice fotos y/o grabaciones audiovisuales de mi hijo/a, en el desarrollo de las actividades programadas por el mismo, con la única finalidad de incluirlas en la página Web y/o Anuarios del Centro, folletos y/o soportes varios publicitarios, y su posible difusión por cualquier otro medio de comunicación del Centro, incluido redes sociales, con el único fin de dar a conocer y promocionar las actividades del Centro, así como pasar dichas imágenes a formar parte del archivo del colegio. Dichas imágenes serán tratadas por ésta de acuerdo con la Legislación vigente en materia de Protección de Datos de Carácter Personal. No obstante, dicha autorización será revocable en cualquier momento. □ NO autorizo el tratamiento de dichas imágenes. Puede ejercitar gratuitamente los derechos de acceso, rectificación, cancelación, oposición, portabilidad y limitación del tratamiento, dirigiéndose por escrito a "Colegio Virgen de Europa S.L.", C/ ***DIRECCIÓN.1, o bien mediante e-mail dirigido a (...).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/41 En los formularios de inscripción de la menor afectada el texto es el siguiente: “Autorizo al “Colegio Virgen de Europa S.L.” para que realice fotos de mi hijo/a en las instalaciones del Centro y en excursiones y actividades programadas por el mismo, con la única finalidad de incluirlas en la página Web y/o Anuarios del centro, folletos y/o soportes varios publicitarios. Dichas imágenes serán tratadas por ésta de acuerdo con la Legislación vigente en materia de protección de datos de carácter personal. No obstante, la autorización será revocable en cualquier momento. Para ejercitar los Derechos de acceso, impugnación, rectificación, cancelación u oposición de sus datos, deberán dirigirse a “Colegio Virgen de Europa S.L.”, C/ ***DIRECCIÓN.1, mediante comunicación por escrito. En el caso de no autorizar el tratamiento de dichas imágenes con la finalidad anteriormente descrita, marque con una cruz. □ NO autorizo el tratamiento de dichas imágenes.” En ninguno de los textos se menciona el plazo de conservación de los datos o los criterios para determinar dicho plazo o la posibilidad de retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a la retirada. La ausencia del plazo de conservación es especialmente relevante en el presente caso, teniendo en cuenta que imágenes habrían sido almacenadas durante un amplio periodo de tiempo. Tampoco consta una referencia a la posibilidad de presentar una reclamación ante una autoridad de control o los destinatarios del tratamiento. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a COLEGIO, por vulneración del artículo 13 del RGPD transcrito anteriormente. XI Tipificación de la infracción del artículo 13 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "

b)los derechos de los interesados a tenor de los artículos 12 a 22;” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/41 A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
h)La omisión del deber de informar al interesado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica (…)” XII Propuesta de sanción por incumplimiento del artículo 13 RGPD. A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD y artículo 76.2 de la LOPDGDD, preceptos anteriormente reproducidos. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio del COLEGIO era de 11.181.007 euros en el año 2023, de acuerdo con el informe recogido de la herramienta AXESOR que obra en el expediente. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD). En el presente caso se considera que la infracción tiene un carácter grave, teniendo en cuenta el elevado número de afectados, aun cuando este procedimiento sancionador se inicie por una única reclamación. Asimismo, la ausencia de información, una información incompleta o errónea impide alcanzar el objetivo último previsto por el RGPD, que el interesado cuente con la información suficiente para oponerse o negar su consentimiento al tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/41 Por otra parte, se recalca la duración en el tiempo de la infracción, existente, al menos, desde el año 2012, de acuerdo con uno de los formularios de matrícula facilitados a la AEPD. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 83.2
k)del RGPD en conexión con el artículo 76.2, letra b), de la LOPDGDD): el COLEGIO como consecuencia de su actividad en tanto que centro escolar, realiza de forma habitual y continua tratamientos de datos de carácter personal de un elevado número de interesados (principalmente menores de edad) imprescindible para el desarrollo de su actividad. La función educativa, que es su actividad principal, implica necesariamente operaciones de tratamiento de datos personales, para la matriculación de los alumnos o la evaluación de exámenes, entre otros. Así, los hechos se producen en el marco de un tratamiento de datos personales que habitualmente realiza la parte denunciada en el ejercicio de su actividad principal y ligada a esta. La afectación a los derechos de los menores (artículo 76.2, letra f), de la LOPDGDD), teniendo en cuenta que el objeto de la infracción tiene que ver con el tratamiento de imágenes de menores. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 13 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 5.000,00 euros. XIII Medidas correctivas De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin a los incumplimientos de la legislación de protección de datos personales, en este caso de los artículos 5.1 f), 6.1 y 30 del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/41 de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a COLEGIO para que, en el plazo de tres meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: - Acreditar la aplicación efectiva de las medidas técnicas y organizativas adecuadas conforme al artículo 5.1
f)del RGPD, destinadas a evitar, paliar y mitigar el posible acceso por terceros no autorizados a datos personales de alumnos. - El cese del tratamiento correspondiente a la grabación de imágenes audiovisuales de menores sin contar alguna de las bases de legitimación exigidas por el artículo 6 del RGPD. - Acreditar la puesta a disposición de la información exigida por el artículo 13 del RGPD a los interesados. La imposición de estas medidas es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a COLEGIO VIRGEN DE EUROPA, S.L., con NIF B28773794, por las presuntas infracciones: - Del artículo 5.1
f)del RGPD, tipificada en el artículo 83.5 a). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/41 - Del artículo 6.1 del RGPD, tipificada en el artículo 83.5 a). - Del artículo 13 del RGPD, tipificada en el artículo 83.5 b). SEGUNDO: NOMBRAR como instructor a C.C.C. y, como secretaria, a D.D.D., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudieran corresponder sería de multa administrativa de un total de CUARENTA MIL EUROS (40.000,00 EUROS), sin perjuicio de lo que resulte de la instrucción, correspondiente a las siguientes infracciones: - Por el incumplimiento del artículo 5.1
f)del RGPD, multa administrativa de 15.000,00 euros. - Por el incumplimiento del artículo 6.1 del RGPD, multa administrativa de 20.000,00 euros. - Por el incumplimiento del artículo 13 5.000,00 euros. del RGPD, multa administrativa de QUINTO: NOTIFICAR el presente acuerdo a COLEGIO VIRGEN DE EUROPA, S.L., con NIF B28773794, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 32.000,00 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 32.000,00 euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/41 La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 24.000,00 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (32.000,00 euros o 24.000,00 euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección junto con la comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción para continuar con el procedimiento en concordancia con la cantidad ingresada. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 1479-130325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 17 de mayo de 2025, el COLEGIO ha procedido al pago de la sanción en la cuantía de 24.000,00 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. TERCERO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/41 tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/41 El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 24.000,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, el COLEGIO ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total 40.000,00 euros. Tras haber procedido COLEGIO VIRGEN DE EUROPA, S.L. al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 24.000,00 euros. La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR la terminación del procedimiento EXP202315180, de conformidad con lo establecido en el artículo 85 de la LPACAP. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/41 TERCERO: ORDENAR a COLEGIO VIRGEN DE EUROPA, S.L. para que en el plazo de 3 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del acuerdo de inicio transcrito en la presente resolución. CUARTO: NOTIFICAR la presente resolución a COLEGIO VIRGEN DE EUROPA, S.L.. QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3.
a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1259-260325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.