1/5 Procedimiento Nº: PS/00089/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos ante la ASOCIACIÓN DE MADRES Y PADRES DEL COLEGIO MARÍA BLANCHARD, (en adelante, el reclamado) en virtud de reclamación presentada por A.A.A. (en adelante, el reclamante) en base a los siguientes: ANTECEDENTES PRIMERO: El reclamante con fecha 18 de junio de 2018 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el reclamado porque sin su consentimiento, ha realizado fotografías a sus hijos, con el fin de comercializar unos calendarios, contraviniendo el artículo 6.1.
- a)en relación con el artículo 8 del RGPD, ya que sólo había dado consentimiento al colegio. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Como resultado de las actuaciones de investigación practicadas, se constata que el responsable del tratamiento es el reclamado. Asimismo, se constatan los siguientes extremos: El reclamado manifiesta que no ha recibido nunca oposición para tomar las fotografías indicadas, no obstante, tras conocer la presente reclamación, se ha procedido a retirar las fotografías. TERCERO: Con fecha 21 de marzo de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 6.1 del RGPD en relación con el artículo 8 del RGPD, de conformidad con lo previsto en el artículo 58 apartado 2º del RGPD. CUARTO: Con fecha 5 de abril de 2019, el reclamado presenta alegaciones al presente procedimiento sancionador indicando lo siguiente: “Para el curso escolar 2.018-2.019 y sucesivos, se ha decidido incorporar una serie de mejoras que permitan cumplir estrictamente con el Reglamento de Protección de Datos, evitándose cualquier error de interpretación, o ausencia de información para todos los entes implicados. En consecuencia el reclamado, en su deseo de cumplir con la legalidad vigente, ha implementado para el curso lectivo 2018-2019 un sistema acorde al nuevo Reglamento de Protección de Datos, para evitar que se produzcan situaciones similares a las ocurridas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es Este sistema consta de los siguientes formularios: Anexo 1: Modelo de cláusula informativa para recoger datos vinculados a servicios o actividades extraescolares que presta el centro. Anexo 2: Modelo para ejercer el derecho de acceso. Anexo 3: Modelo para ejercer el derecho de rectificación. Anexo 4: Modelo para ejercer el derecho de cancelación. Anexo 5: Modelo para ejercer el derecho de oposición. Anexo 6: Modelo para ejercer el derecho de portabilidad. Los citados anexos fueron aportados por esta parte a la AEPD, como consecuencia del requerimiento de información recibido en S/REF: E/03942/2018, y son de obligada cumplimentación por parte de las familias que procedan a asociarse, para cumplir plenamente con la legislación vigente en lo concerniente a protección de datos. Igualmente en el tablón de anuncios del reclamado sito en el centro escolar, se procedió a la colocación del cartel donde se comunica a las familias la fecha de inicio del plazo para la incorporación como socios del reclamado para el presente curso escolar 2018-2019, así como se informa a las mismas expresamente la obligatoriedad por su parte de cumplimentar la documentación referida (citado documento fue igualmente aportado por esta parte a la AEPD, mediante escrito de fecha 14 de Septiembre de 2.018). Finalmente, y en relación a la problemática específica surgida con los calendarios escolares elaborados por el reclamado, debemos comunicar que en el presente curso escolar, ya se ha procedido por el reclamado a solicitar el consentimiento expreso de los padres/tutores de los menores al objeto de contar con su autorización, tanto para la obtención, como para el uso a tal efecto de la imagen de los menores. Adjunto se acompaña la circular remitida a tal efecto. Se manifiesta además la falta de voluntad y conocimiento por parte del reclamado de encontrarse en el desarrollo de su actividad, cometiendo una infracción de la normativa de protección de datos, al carecer de los conocimientos específicos al respecto, lo cual ya ha sido subsanado, haciendo especial hincapié en el cumplimiento escrupuloso de la misma, a fin de que no se vuelva a ocasionar una situación como esta. Igualmente poner de manifiesto que esta parte, tal y como ya acreditó ante la AEPD, consiguió comunicar fehacientemente al denunciante con fecha 25 de octubre de 2.018 la decisión adoptada por el reclamado al haber resultado infructuosa la anterior comunicación remitida al mismo con fecha 6 de junio de 2.018. Tal y como consta, se ha informado debidamente al mismo, del nuevo sistema utilizado por el reclamado acorde al Reglamento de Protección de Datos de carácter personal, reiterando al reclamante, que salvo consentimiento expreso firmado por su parte mediante la cumplimentación del formulario correspondiente a tal fin, no se procederá a utilizar por el reclamado las imágenes de sus hijos en ninguna de las actividades gestionadas por la misma.” 3/5 A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: El reclamado ha realizado fotografías a los hijos del reclamante, con el fin de comercializar unos calendarios, contraviniendo el artículo 6.1.
- a)en relación con el artículo 8 del RGPD, ya que sólo había dado consentimiento al colegio SEGUNDO: El reclamante manifiesta la falta de voluntad y conocimiento de estar cometiendo una infracción de la normativa de protección de datos, al carecer de los conocimientos específicos al respecto, lo cual ya ha sido subsanado, haciendo especial hincapié en el cumplimiento escrupuloso de la misma, a fin de que no se vuelva a ocasionar una situación como esta. Se manifiesta además, que así se lo ha comunicado al reclamante el 25/10/2018. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDPGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales, en concreto en su apartado 1.
- a)se indica que se entenderá lícito el tratamiento de los datos personales si este dio su consentimiento. En este sentido, y en aplicación al presente caso, donde se trata el derecho a la protección de la imagen de los menores, señalar que el artículo 8 del RGPD regula las condiciones aplicables al consentimiento del niño en relación con los servicios de la sociedad de la información, indicando que: “1- Cuando se aplique el artículo 6, apartado 1, letra a), en relación con la oferta directa a niños de servicios de la sociedad de la información, el tratamiento de los datos personales de un niño se considerará lícito cuando tenga como mínimo 16 años. Si el niño es menor de 16 años, tal tratamiento únicamente se considerará lícito si el consentimiento lo dio o autorizó el titular de la patria potestad o tutela sobre el niño, y solo en la medida en que se dio o autorizó. Los Estados miembros podrán establecer por ley una edad inferior a tales fines, siempre que esta no sea inferior a 13 años. 2. El responsable del tratamiento hará esfuerzos razonables para verificar en tales casos que el consentimiento fue dado o autorizado por el titular de la patria potestad o tutela sobre el niño, teniendo en cuenta la tecnología disponible. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3. El apartado 1 no afectará a las disposiciones generales del Derecho contractual de los Estados miembros, como las normas relativas a la validez, formación o efectos de los contratos en relación con un niño.” Por lo tanto, para que sea lícito el tratamiento de los datos personales de los menores objeto de este caso, se requerirá el consentimiento de quien ostenta su patria potestad o tutela. III De conformidad con las evidencias de las que se dispone en el presente momento, y sin perjuicio de lo que resulte de la instrucción, los hechos conocidos podrían ser constitutivos de una infracción, imputable al reclamado, por el tratamiento de datos personales, regulado en el art. 6.1
- a)del RGPD, en relación con el artículo 8.1 del RGPD al tratar la imagen de los menores, sin el consentimiento de quien ostenta su patria potestad, infracción considerada muy grave a efectos de prescripción, en el artículo 72.1.
- a)de la LOPDGDD. IV En virtud de lo establecido en el artículo 58.2 RGPD, la Agencia Española de Protección de Datos, en cuanto autoridad de control, dispone de un conjunto de poderes correctivos, entre los que se encuentra la potestad para imponer multas, en el caso de que concurra una infracción de los preceptos del RGPD. El artículo 58 apartado 2º RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado.
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular. En el presente caso, se tiene en cuenta que en virtud del principio de exactitud, los datos personales deberán estar actualizados y se adoptarán todas las medidas razonables para que se supriman o rectifiquen sin dilación los datos personales que sean inexactos con respecto a los fines para los que se tratan. En este caso concreto, se ha acreditado en virtud de los documentos aportados con sus alegaciones al acuerdo de inicio que el reclamado ha adoptado una serie de medidas adecuadas que garantizan que no se realicen ni difundan fotografías de los menores por el reclamado cuando no cuente con el consentimiento de los padres, o de quienes ostenten la patria potestad de los menores objeto de dichas fotografías, de acuerdo con lo regulado en el art. 6.1
- a)del RGPD en relación con el art. 8.1 del RGPD. 5/5 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: APERCIBIR al reclamado, por una por la infracción del artículo 6.1 del RGPD en relación con el artículo 8 del RGPD, de conformidad con lo previsto en el artículo 58 apartado 2º del RGPD. SEGUNDO: NOTIFICAR la presente resolución al reclamado y, conforme al artículo 77.2 del RGPD, INFORMAR al reclamante sobre el resultado de la reclamación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 114.1
- c)de la LPACAP, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es