← España

PS-00126-2023

1/18  Expediente Nº: EXP202209078 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 22 de junio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a COLEGIO VIRGEN DE EUROPA, S.L. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202209078 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 14/08/2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra COLEGIO VIRGEN DE EUROPA, S.L. con NIF B28773794 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son: Tratamiento ilícito de imágenes de su hijo de 3 años por parte del centro educativo en el que está matriculado desde abril 2022 y no tienen autorización para dicho tratamiento. Añade que “en el proceso de inscripción por escrito manifestaron en el contrato que no autorizaban el tratamiento de imágenes”. Manifiesta que el Colegio ha publicado esas fotos: 1) En su perfil de FACEBOOK el 26 y 28/04/2022, “día del deporte” (26/04/2022). Aporta documento 2, con imágenes de niños que ha emborronada las caras para que no se identifiquen, si bien sin ello serían identificables por la distancia y el tipo de toma. 2) En una lista de difusión de WhatsApp, estando en su clase, en fecha 27/05/2022. Manifiesta que, al recibir las imágenes, “llamé de inmediato al responsable de comunicación, siendo este el remitente de las fotos, solicitándole que las eliminara, y se le volvió a insistir en que no se autorizaba”. Sin embargo, al haberse remitido las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 imágenes a una “lista de difusión” a través de WhatsApp no ha sido posible borrarlas. Tras finalizar la conversación telefónica, el responsable de comunicación continuó compartiendo más fotos, en una de las cuales puso un emoticono en la cara de mi hijo como se puede ver en el anexo “Documento 3” que contiene las comunicaciones. En este caso, a pesar de que me dijeron que “habían hecho lo que estaba en su mano para eliminar las referidas imágenes, no se envió ninguna comunicación a las personas de la lista de difusión advirtiendo del error cometido y solicitando su eliminación, por lo que siguen en poder de terceros sin saber el uso que se ha podido hacer o se hará de las mismas y sin advertencia por el centro de que son ilícitas. En el documento 3 se pueden ver una imagen de un teléfono con fotografías de un grupo de niños en el interior del colegio, emborronando las caras para que no se identifiquen, si bien sin ello serían identificables por la distancia y la toma, y remite a conversaciones de viernes 27/05, y lunes 30/05, con parte de una conversación: en la que se dice lo que han comido los niños de 2, 3 y 4 años, y lo que han hecho esta mañana, y: “Ok pero en las que enviaste primero sigue saliendo”, “La he borrado dentro de mis posibilidades, para la gente que no ha accedido a ellas todavía”, “Te pido de nuevo disculpas y trataremos de evitar que no esté en las actividades de grupo que se envíen” Continua el reclamante indicando que “Posteriormente a esto, mantuve una reunión en persona con la Gerente del centro sobre los hechos sucedidos, avisándole de nuevo que no tienen autorización para ello, hechos que ya conocía según me dijo”, y además el poco control que se tiene sobre las mismas, que podrían ser usadas por cualquier persona que tenga acceso a las mismas y sin conocimiento de que son ilícitas. -En 27/07/2022, acabado el curso escolar, en asistencia al campamento de verano organizado por el reclamado y en sus instalaciones, junto con otros menores que no asisten en época lectiva, “se ha creado nueva lista de difusión con todas las familias”, ”manteniéndose el mismo consentimiento relativo a la protección de datos que ya había durante el curso escolar para los menores que asistan a clases, por lo que en nuestro caso, seguimos oponiéndonos al tratamiento de imágenes por escrito, sin haber ningún cambio en este sentido.” “En este caso, por un error en el alta de la lista de difusión, mi esposa y yo fuimos incluidos en la misma dos semanas más tarde. “ “Debido a ello, pedí a la Gerente que nos remitieran las imágenes del campamento que ya habían sido enviadas con anterioridad para conocer las actividades realizadas hasta la fecha. En atención de nuestra petición, recibimos una gran cantidad de imágenes. Sin embargo, faltaban imágenes de alguna actividad como, por ejemplo, una excursión a una escuela granja, por lo que comprobamos las imágenes recibidas con otras familias. Al realizar dicha comprobación, descubrimos que mi hijo volvía a salir en imágenes que fueron enviadas al resto de familias del campamento, pero casualmente nosotros no habíamos recibido, y en este caso con más agravio ya que se le ve en primer plano, de cuerpo entero y en bañador. Tampoco se han podido borrar por las razones descritas anteriormente. Se adjunta como anexo “Documento 4”, que, según el reclamante, acredita el incumplimiento. En la imagen se podrían ver dos niños en cabecera de imagen y otro señalado con una flecha detrás pudiendo todos ser identificados si no fuera porque ha emborronado la imagen para que no sean identificados terceros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 -Con fecha 29/07/2022, en el último día de campamento, por parte del colegio se envió, mediante lista de difusión a todas las familias, un enlace a una carpeta de Google Drive con una serie de fotografías de la última semana de campamento, y de nuevo se ve a mi hijo en una de ellas, si bien en esta fotografía se le ve más alejado del plano principal y no es totalmente nítido, pero aun así podría ser identificado y se remite para que la valore la propia Agencia. En la foto se ve (con rostros emborronados) en primer plano a un niño al que se le identifica y a unos tres metros a la derecha, detrás, de perfil, un niño que lleva el mismo bañador que se aprecia en documento 4. Manifiesta el reclamante que esta carpeta de Google Drive no tiene restricciones de acceso y cualquier persona con el enlace puede entrar, ya que no tiene ningún filtro de email incluido. En consecuencia, ese mismo día se intentó contactar con el centro y la persona responsable de publicar las imágenes sin éxito, además de denunciar la imagen en Google Drive, de donde les habría llegado una notificación vía email. El día 1/08/2022, tras habernos puesto en contacto con la tutora de mi hijo, desde el centro procedieron a la retirada de la foto, manifiesta que se “adjunta como anexo “documento 5” que, según el reclamante, acreditan el incumplimiento”. Junto al título “***TÍTULO.1”, se pueden ver 15 imágenes JPG numeradas (todas ellas con el rostro emborronado), señalando la XXXX y ampliándola se distingue con más claridad en un primer plano un niño y otro en línea posterior, a su derecha, señalado con una flecha, viéndose de perfil, portando el mismo bañador que el de la foto de documento 4. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 7/09/2022, como consta en el acuse de recibo que obra en el expediente. En el traslado se le solicitaba, con el fin de conocer las circunstancias del caso concreto y admitir o no a trámite la reclamación: • Aportación de los informes técnicos o recomendaciones elaborados por el Delegado de Protección de Datos o por el responsable de seguridad, cualquiera que fuera su formato, respecto de los tratamientos sobre los que se solicita información, así como sobre las acciones posteriores adoptadas o su ausencia, derivadas de los citados informes técnicos o recomendaciones. • La decisión adoptada a propósito de esta reclamación. •Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 •Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. •Cualquier otra que considere relevante. Además, sí la reclamación está relacionada con la publicación de datos personales en Internet: •Datos de la cuenta utilizada para la publicación (correo electrónico, IPs, etc.). •Información proporcionada a la persona afectada sobre el tratamiento de sus datos a la que se refiere el art. 13 del RGPD. •Procedimiento habilitado para que los afectados puedan oponerse a la publicación de sus datos o solicitar su supresión. •Documento justificativo del consentimiento de la persona afectada para la publicación o, en su caso, de la base jurídica que legitimaría la publicación. •Documento justificativo de la supresión de los datos, en su caso. •Documento justificativo de la corrección del error (en casos de cruces de datos, por ejemplo). Con fecha 7/10/2022 se recibe en esta Agencia escrito de respuesta indicando: 1-Desde el DPD se ha trasladado al responsable la obligación del cumplimiento de los principios del RGPD. Distinguen:

  1. a)Toma de imágenes como parte de la función educativa, en cuyo caso, los centros se encuentran legitimados para ello.
  2. a)Las que no responden a dicha función, ejemplo la difusión del centro y de sus actividades, para lo que se deberá disponer del consentimiento. “Asimismo, resulta posible la toma de imágenes de los alumnos en determinados eventos desarrollados en el entorno escolar para la única finalidad de que los padres pudieran tener acceso a ellas. Este acceso a las imágenes debería siempre llevarse a cabo en un entorno seguro”. 2-Indica que los titulares de los datos pueden ejercer sus derechos, las formas de ejercerlo. 3- Indica que tienen una política de seguridad como base establecida para el proceso de adaptación normativa del responsable, reproduciendo principios del RGPD como la limitación en la recogida de datos a su finalidad, la información de la recogida de datos, la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 confidencialidad en la comunicación de datos, el compromiso de confidencialidad de todos los intervinientes en el tratamiento. 4- En cuanto a la decisión adoptada a propósito de la reclamación señalan:
  3. a)Han revisado procedimientos y documentación, entre los que se encuentra el proceso de verificación de los documentos de “consentimiento informado en materia de protección de datos”, con la intención de “mitigar el riesgo de sufrir incidencias como la acaecida en este caso”. “han adoptado medidas de supervisión adicionales a las ya existentes en el proceso de revisión del clausulado. 5- Sobre acreditación de la respuesta a los posibles ejercicios de derechos formulados, indica que no se ha reclamado. 6-Sobre las causas que han motivado la incidencia que ha originado la reclamación, señala que fue el “envío de las fotografías a las familias de los alumnos del curso”, y que se “procedió a la revisión del clausulado y consentimiento otorgado en materia de protección de datos para esta finalidad especifica”. 7-Sobre las medidas adoptadas para evitar que se produzcan incidencias similares, señala la revisión del clausulado en cumplimiento del deber de información, así como el consentimiento del titular para cada una de las finalidades. Se procederá a reforzar el “procedimiento de consulta de la política de privacidad al menos cada tres meses, incorporándose esa modificación en el procedimiento de gestión de las matrículas de los alumnos” -Ha planificado un programa formativo para los trabajadores encargados de la gestión de comunicaciones. -Estima que los hechos denunciados no tienen como objeto la búsqueda de ningún tipo de lucro por parte del Colegio TERCERO: Con fecha 14/10/2022, se solicita adicionalmente: “Acreditación de que las imágenes del menor publicadas sin el consentimiento de sus padres han sido eliminadas tanto de la página de Facebook del centro escolar como del resto de aplicaciones en las que fueran publicadas.” Con fecha 21/10/2022, el reclamado indica: Los medios de publicación fueron 1) la red social FACEBOOK, en el día del deporte, se subieron y se “ha procedido a la supresión de esta publicación en su totalidad” 2) A través del “grupo de tutores” de los menores de WhatsApp, enviando fotos del campamento con enlace a una carpeta de DRIVE para que los tutores accediesen a las carpetas. Las carpetas se encontraban protegidas, en cumplimiento de las medidas de seguridad oportunas al tratamiento de datos. Esta carpeta de DRIVE se suprimió al día siguiente de la solicitud por parte del tutor del menor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 Otra fotografía enviada, de la actividad denominada “Guiñol”, a través del grupo de WhatsApp, fue suprimida sin dilación indebida. Además, todo el contenido del grupo ha sido suprimido, para todos los participantes. Con fecha 26/10/2022, considerando la reclamación atendida, se inadmitió a trámite la reclamación CUARTO: El reclamante presentó recurso de reposición, manifestando, en síntesis: -Las fotos publicadas no tienen finalidad educativa, las expuestas en redes sociales son las de dar publicidad al centro o para el recreo de los propios padres. Las imágenes han sido enviadas a familias del colegio y las del campamento a familias de niños que estaban matriculados en dicha actividad. Sobre las fotos “que se enviaron en una carpeta de GOOGLE”, solo fueron las de la última semana del campamento, y “después de reclamarles que estaba la foto de nuestro hijo, borraron esa foto, la carpeta no fue eliminada hasta meses después, y no fue subida con filtros de acceso ya que yo mismo entré desde varias cuentas de correo electrónico sin ningún tipo de problema.” “Las imágenes de los menores eran enviadas a los padres a través de listas de difusión y no por grupos de WhatsApp, así que cada padre recibía un mensaje directamente desde el número de teléfono del responsable de las fotografías, el requisito para recibir las imágenes de una lista de difusión es que tengas ese número guardado en tu agenda”. Aporta captura 1 indicando que es como “yo tengo el contacto guardado en mi teléfono” en el que se ve en la aplicación WhatsApp, la “info del contacto” con el logo del Colegio. En estas listas de difusión, la eliminación de mensajes no funciona de igual forma que en los chats privados o grupos de WhatsApp. Aporta captura parcial en la que se indica: “los mensajes enviados a una lista de difusión no pueden eliminarse”. “Si bien en la respuesta del centro docente manifiestan haber eliminado las imágenes para todos los participantes, cuando es por listas de difusión y llegan de forma individual, y ellos eran conocedores que en el momento de producirse estos hechos, las imágenes no podían ser borradas si la persona que las había recibido ya había accedido a ellas o bien las había descargado de forma automática en el teléfono, hechos que el responsable del envío de las imágenes me reconoció por escrito, captura que se adjunta en la CAPTURA 2 y se puede ver en el mensaje recibido el 27 de mayo a las 16:00.” Captura 2 es un envío por chat acompañado de tres fotos (en esta ocasión sin emborronado de cara) en las que se ve a los menores en la clase, +10 fotos con el literal de una persona que va contando lo que hacen los niños y un mensaje que indica en 27-05-2022 OK, pero en las que enviaste primero sigue saliendo, y la respuesta, “La he borrado dentro de mis posibilidades, para la gente que no ha accedido a ellas todavía”. “Se adjunta también captura de pantalla tomada este mes donde se puede apreciar la fecha y que demuestra que las fotos no han sido borradas y cabe añadir que no podrán ser borradas ya de ninguna manera, captura 3, correspondiendo al día del guiñol, siendo no una sino varias imágenes en las que salía mi hijo, perfectamente reconocible” Se puede ver en esta captura 3 una foto con primeros planos de las caras de los menores en clase, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 viernes 11/11/2022. Esa captura coincide con la que se ve en captura de documento 3 de la reclamación, en la que se ve la fecha viernes 27/05 y lunes 31/05. “Por esta misma razón es por la que después mantuve reuniones con más responsables del centro advirtiendo del error cometido, además de las dificultades, por no decir imposibilidad, de poder eliminar la información de los servidores de WhatsApp, y si por parte del centro docente en ese momento se hubiera hecho algo como avisar al resto de receptores de las imágenes se podría haber hecho un seguimiento de las fotografías, y de haber elaborado un protocolo real de protección de datos no nos hubiéramos encontrado con los posteriores fallos, que los hubo.” “Respecto a la enviada al resto de familias en la primera semana del campamento y de la que tuvimos conocimiento por terceros ya que nosotros no la recibimos tal y como expliqué en la primera denuncia” y que se adjunta en la CAPTURA 4, (con imagen de su hijo en bañador), esa imagen la descubrimos un mes después de que se la enviarán a sus listas de difusión por lo que, en este caso, como en los anteriores, aunque se hiciera un borrado para todos no sería posible ya que, desde agosto, WhatsApp permite el borrado como máximo hasta 60 horas después de su envío, por lo que ya sería imposible. Manifiesta el reclamante que “De hecho, he tenido la ocasión hace pocos días de coincidir con algunos de los padres de antiguos compañeros de mi hijo de ese colegio y me han confirmado que ellos siguen teniendo todas las fotos y ninguna notificación de que sean ilícitas, y que de hecho siguen usando la aplicación de WhatsApp de la misma forma para recibir fotos del colegio.” Indica el reclamante que “como aclaración, toda la información relacionada con WhatsApp se puede comprobar revisando su histórico de actualizaciones, por ejemplo, del borrado hasta 60 horas después de su envío es de agosto y tiene número YYYYYY de su actualización.” Considera incongruente la respuesta del reclamado, además que no presentan acreditación de que las imágenes hayan sido borradas, ya que es imposible, solicita que se inicie procedimiento sancionador El recurso con la documentación presentada por el reclamante se traslada al reclamado el 5/12/2022. El reclamado aporta copia de certificados de empleados que han realizado acciones formativas en el RGPD desde 31/10 a 24/11/2022, de 30 horas para 9 empleados, y el 26/10/2022 una sesión formativa presencial con todo el personal de la entidad para el fomento de la cultura de protección de datos. Manifiesta que se han recordado los criterios que debían mantener las imágenes publicadas en redes sociales y página web, que representan actividades grupales del centro y que transmitan el proyecto pedagógico, pero nunca niños en primer plano sin desarrollo de actividad. El resto del escrito aparece oscurecido con tachado. -Aportan copia de informe de auditoría de sistemas de información en materia de protección de datos, sin apreciarse la fecha ni parte de su contenido por figurar oscurecido en forma de tachado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 -Se ha procedido a marcar instrucciones claras y por escrito de las indicaciones mínimas y exigidas a los usuarios intervinientes en esta captación y difusión de imágenes siendo fundamentalmente la necesidad de contraste previo de consentimiento, información mínima, orientación de imágenes no a primeros planos, imágenes en lejanía etcétera entre otros: Manifiestan que remiten comunicado enviado el 12/09/2022 para ratificar cada una de las medidas implementadas por el trabajador que tiene encomendada esta tarea en anexo cuatro. -Respecto al concepto de función educativa, el envío general se efectúa a padres madres y tutores legales de los menores, no siendo la finalidad en ningún caso la publicidad o lucro en algún modo del colegio, sino la participación en comunicación constante con los mismos, siendo la finalidad que se encuentren informados de las actividades y estado de los menores. Sobre el envío de fotografías de menores que no se encuentren en el curso escolar en el momento en que se inicia, en este caso en un campamento se realiza una lista de difusión previa autorización de los padres madres o tutores del menor, y abierto a todas las familias que matriculan a sus hijos en la actividad, pero en ningún caso es un envío indiscriminado, sino que obedece a la anterior. En cuanto al espacio habilitado en DRIVE para compartir las imágenes, se encontraba limitado a los padres, madres y tutores de los menores pertenecientes al campamento. Se ha procedido a establecer una comunicación formal obligatoria en cada envío que se efectúe. Con fecha 14/03/2023 se resuelve estimando el recurso de reposición y admitiendo a trámite la reclamación formulada. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad COLEGIO VIRGEN DE EUROPA, S.L. es una empresa de tamaño mediano (PYME), constituida el 25/06/1982 y con un volumen de negocios en el año 2020, de (...) €, y en 2021: (...) €, variación de 12.33%, con (...) empleados “fijos”, y “no fijos” “(...)”. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II , el RGPD define datos personales en su artículo 4.1 como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” Desde el punto de vista del formato o el soporte en que la información está contenida, el concepto de datos personales incluye la información disponible en cualquier forma, alfabética, numérica, gráfica, fotográfica o sonora, por ejemplo. Desde este punto de vista, el concepto incluye la información conservada en papel, así como la información almacenada en una memoria de ordenador, utilizando un código binario, o en una cinta de video, por ejemplo. Se trata de una consecuencia lógica de la inclusión en su ámbito de aplicación del tratamiento automático de datos personales. El RGPD define tratamiento de datos en el artículo 4.2 del RGPD: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción” El reclamado es responsable del tratamiento llevado a cabo por el personal que presta servicios en su organización, y como tal, responde a la definición de responsable del tratamiento del artículo 4.7 del RGPD, que señala: “responsable del tratamiento o responsable: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;” La imagen de una persona es un dato personal ya que permite identificarle sin lugar a dudas, y además puede ofrecer o contener otra serie de información adicional como podría ser el colegio al que acude, por poner solo un ejemplo. Como tal, de acuerdo con la LOPDGDD en su artículo 70: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 “1. Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica:
  4. a)Los responsables de los tratamientos El tratamiento de datos personales en forma de imágenes, en este caso en fotos, que se envían a través de “listas de difusión” a WhatsApp, en la página FACEBOOK del Colegio, en abierto, y en GOOGLE, carpeta DRIVE, tanto en período escolar como en el campamento del curso 2022, ha de contar con una base de legitimación, de algunas enumeradas en el artículo 6.1 del RGPD. 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  5. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  6. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales
  7. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  8. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  9. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  10. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  11. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Por el ámbito afectado, cobra relevancia lo dispuesto en el artículo 92 de la LOPDGDD, que señala: “Los centros educativos y cualesquiera personas físicas o jurídicas que desarrollen actividades en las que participen menores de edad garantizarán la protección del interés superior del menor y sus derechos fundamentales, especialmente el derecho a la protección de datos personales, en la publicación o difusión de sus datos personales a través de servicios de la sociedad de la información. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 Cuando dicha publicación o difusión fuera a tener lugar a través de servicios de redes sociales o servicios equivalentes deberán contar con el consentimiento del menor o sus representantes legales, conforme a lo prescrito en el artículo 7 de esta ley orgánica.2 Las fotos se enviaban con diversas referencias al estado de los menores o lo que estaban haciendo, siendo reconocibles por captar primeros planos o planos cercanos, y no se contaba con el consentimiento documentado del reclamante. En cuanto a la exposición de imágenes que responden al concepto de la “función educativa”, que señala el reclamado se debe indicar que las publicaciones realizadas en abierto en el FACEBOOK del Colegio, las enviadas a los padres o tutores a través de WhatsApp o mediante una carpeta en GOOGLE DRIVE con un enlace, durante el campamento de verano difícilmente parecen encajar en la calificación de función docente o educativa como en estos casos, bien porque van acompañadas de literales resumen de lo que hicieron los niños, por el contexto en el que se han realizado y en el que son expuestas. Se imputa a la reclamada una infracción del citado artículo 6.1 del RGPD, ya que, pese a no tener el consentimiento del reclamante, recogió imágenes y las publicó en diferentes fechas y medios como Facebook, DRIVE o lista de difusión de WhatsApp, por lo que presuntamente no dispone de base legitimadora para su tratamiento. III El artículo 83.5 señala que “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  12. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” Las multas que se impongan deberán ser, en cada caso individuales, efectivas, proporcionadas y disuasorias, de acuerdo con el artículo 83.1 del RGPD. A fin de determinar la multa administrativa a imponer se han de observar las previsiones del artículo 83.2 del RGPD, que indica: “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  13. a)a
  14. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  15. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  16. b)la intencionalidad o negligencia en la infracción;
  17. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18
  18. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  19. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  20. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  21. g)las categorías de los datos de carácter personal afectados por la infracción;
  22. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  23. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  24. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42,
  25. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, en relación con la letra
  26. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  27. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  28. a)El carácter continuado de la infracción.
  29. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  30. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  31. d)La posibilidad de que la conducta del afectado hubiera podido incluir a la comisión de la infracción.
  32. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente
  33. f)La afectación a los derechos de los menores C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18
  34. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  35. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. Para la infracción del artículo 6.1 del RGPD, a efectos de fijar el importe de la sanción de las mencionadas circunstancias, concurren en el presente supuesto: - artículo 83.2.
  36. a)“la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. Las imágenes se han cursado por tres vías distintas, cuando fehacientemente el reclamante no había dado el consentimiento para tal fin. Una de las vías por las que se envían las fotos, en listas de difusión, no permite el borrado común para todos cuando se envían las imágenes o después de enviarse, perdiéndose el control de los datos porque terceros que los reciben podrían reenviarlos o exponerlos en público. Por otro lado, también se repiten los hechos cuando acabado el curso, el reclamado organiza la actividad del campamento lo que se suma a lo anterior y no puede sino constituir agravantes. -artículo 82.2
  37. b)“la intencionalidad o negligencia en la infracción”; que denota que no ha sucedido una vez, sino que se ha repetido tras haberlo advertido el reclamante, lo cual denota que no se le dio importancia al asunto, volviendo después a enviarse fotos, sin revisarse, debiéndose extremar el cuidado cuando se produce intercambio de datos sobre los niños, lo cual solo puede suponer un agravante. Además, de acuerdo a lo previsto en el artículo 76.2.
  38. f)de la LOPDGDD, se tiene en cuenta en este caso, que se afectan los derechos de los menores. La suma de circunstancias permite en este acuerdo de inicio que la sanción se cifre en 15.000 euros, sin perjuicio de lo que resulte de la instrucción del procedimiento. La LOPDGDD indica en su artículo 71: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica.” La especificación se contiene en el artículo 72.1 de la LOPDGDD que señala: “En función de su tipificación se establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18
  39. a)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. IV El artículo 58.2 del RGPD dispone: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: “
  40. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” “
  41. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; “ En este supuesto procede imponer una multa administrativa por la reiteración de la conducta en la opción de disposición de sus datos que, a pesar de haberse realizado por el reclamante, no ha sido tenida en cuenta, y porque afecta a menores de edad. V De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  42. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR al COLEGIO VIRGEN DE EUROPA, S.L., con NIF B28773794, por la presunta infracción del artículo 6.1 del RGPD, de conformidad con el artículo 83.5
  43. a)del RGPD, tipificada a efectos de prescripción en el artículo 72.1.
  44. b)de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18 SEGUNDO: NOMBRAR como instructor a R.R.R. y, como secretaria, a S.S.S., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1/10, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos. CUARTO: QUE a los efectos previstos en el art. 64.2
  45. b)de la LPCAP, la sanción que pudiera corresponder sería de 15.000 euros sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a COLEGIO VIRGEN DE EUROPA, S.L., con NIF B28773794, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  46. f)de la LPACAP. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 12.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 12.000 euros, y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 9.000 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente 12.000 euros o 9.000 euros, deberá hacerlo efectivo mediante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma electrónica, a través de la Dirección Electrónica Habilitada Única (dehu.redsara.es), y que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-100523 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 1 de julio de 2023, la parte reclamada ha procedido al pago de la sanción en la cuantía de 9000 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202209078, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a COLEGIO VIRGEN DE EUROPA, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  47. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.