PS-00178-2020

(32)del RGPD, pues este se ha dado mediante un acto afirmativo claro de carácter verbal, informado e inequívoco. Alega que la Escuela es una entidad sin ánimo de lucro. Ahora bien, teniendo en cuenta que el Ayuntamiento de ***LOCALIDAD.1 no subvenciona el 100 % de su actividad, viene obligada a prestar una serie de servicios que permitan captar fondos adicionales que cubran el pago de materiales deportivos no cubiertos por la subvención. Uno de estos servicios fue la creación de un álbum de cromos, así como cromos con la imagen de los componentes del equipo. Añade, que, a principios de temporada, la Escuela, informó a todos los padres, inclusive al reclamante, de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 creación de un álbum de cromos, así como de cromos con la imagen de los componentes del equipo, con la finalidad de obtener fondos adicionales. TERCERO: En fecha 11 de julio de 2019, tras analizarse la documentación que obraba en el expediente, se dictó resolución por la directora de la AEPD, acordando el archivo de la reclamación. La resolución fue notificada al recurrente en fecha 14 de julio de 2019, por medio de la Carpeta Ciudadana, según confirmación de la recepción que figura en el expediente. CUARTO: El 11 de julio de 2019, el reclamante interpone recurso potestativo de reposición a través del Registro Electrónico de la AEPD, contra la resolución recaída en el expediente E/02227/2019, en el que muestra su disconformidad con la resolución impugnada, exponiendo que la entidad reclamada disponía del consentimiento paterno para hacer fotos en las que pudiera aparecer su hijo destinadas a ser publicadas en la web o boletín municipal, redes sociales o prensa, pero no reservadas a otra finalidad. Asimismo, se constata que la cláusula informativa en materia de protección de datos no informaba la cesión a terceros de los datos personales de los alumnos, y aunque confirma la recepción de un WhatsApp para que los menores fueran con un uniforme determinado para la toma de fotografías del álbum de fotos y calendarios de Navidad, niega que se comentase que dichas fotografías eran para comercializar la imagen de los menores en un álbum o en cromos. Igualmente, alega, que la matrícula no autorizaba la cesión de las imágenes y datos de su hijo a una empresa extranjera que es la que ha imprimido los cromos. QUINTO: El 11 de junio de 2020 se dicta resolución del recurso de reposición RR/00538/2019, interpuesto por el reclamante contra la resolución de esta Agencia dictada en fecha 11 de julio de 2019, tras la nueva documentación aportada se acuerda la estimación de dicho recurso de reposición y la admisión a trámite de la reclamación presentada contra la reclamada. SEXTO: Con fecha 23 de junio de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 6.1 a) en relación con el artículo 8.1 del RGPD, tipificada en el artículo 83.5 del RGPD. SEPTIMO: Notificado el citado acuerdo de inicio, el reclamado presentó el 9 de julio de 2020, escrito de alegaciones en el que, en síntesis, manifestaba la falta de legitimación activa del reclamante porque la normativa de protección de datos personales no le reconoce la condición de interesado en el procedimiento sancionador, ya que el poder punitivo corresponde únicamente a la Administración, pues es la que tiene encomendada la potestad sancionadora, y por consiguiente, solo ésta tiene un interés tutelado por el ordenamiento jurídico en que el infractor pueda ser sancionado. El reclamado manifiesta además que la denuncia interpuesta adolece de falta de forma, pues, no indica la fecha de la comisión de los hechos que pudieran constituir una infracción en materia de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 Por lo tanto considera que no existe argumentación jurídica suficiente para acordar el inicio del procedimiento sancionador habida cuenta de que en primera instancia el procedimiento fue archivado y no constan nuevas pruebas y/o hechos aportados. En consecuencia, no habiéndose aportado por el reclamante nuevos indicios de posibles hechos constitutivos de infracción, debe primar la resolución acorada en primera instancia, es decir no existen elementos suficientes para desvirtuar el principio de presunción de inocencia, y en consecuencia debe acodarse el archivo de las presentes actuaciones. Concluye sus alegaciones manifestando que el consentimiento prestado por el reclamante, es conforme al considerando

(32)del RGPD, es decir, mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada e inequívoca del interesado de aceptar el tratamiento de su datos personales, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal, o cualquier otra declaración o conducta que indique claramente que el interesado acepta el tratamiento propuesto. OCTAVO: Con fecha 5 de agosto de 2020, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/04933/2020, así como los documentos aportados por el reclamado. NOVENO: Con fecha 10 de agosto de 2020 se formuló propuesta de resolución, proponiendo que la Directora de la Agencia Española de Protección de Datos, imponga a CLUB FÚTBOL BASE DENIA, con NIF G53492013, por una infracción del artículo 6.1 a) en relación con el artículo 8.1 del RGPD, tipificada en el artículo 83.5 del RGPD, una sanción de apercibimiento. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: CLUB FÚTBOL BASE DÉNIA entidad en la que juega el menor de edad hijo del reclamante, suscribió un documento con el progenitor, ahora reclamante, consintiendo la realización de fotos de su hijo en las que pudiera aparecer, con una finalidad concreta: su publicación en la web o boletín municipal, redes sociales o prensa. SEGUNDO: CLUB FÚTBOL BASE DÉNIA ha utilizado la imagen del menor de edad, hijo del reclamante, con fines comerciales, estampando su imagen en unos cromos que fueron expuestos a la venta en sobres al precio de un euro. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 TERCERO: CLUB FÚTBOL BASE DÉNIA manifestó que el consentimiento prestado para el tratamiento de la imagen de su hijo con la finalidad de crear los cromos objeto de este procedimiento, es conforme al Considerando

(32)del RGPD, pues este se ha dado mediante un acto afirmativo claro de carácter verbal, informado e inequívoco. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD y en los art. 47 y 48.1 de LOPDGDD. II El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales, en concreto en su apartado 1.a) se indica que se entenderá lícito el tratamiento de los datos personales si este dio su consentimiento. Asimismo, el artículo 7.1 del RGPD, regula las condiciones para el consentimiento estableciendo lo siguiente: “Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.” En este sentido, y en aplicación al presente caso, donde se trata el derecho a la protección de la imagen de los menores, señalar que el artículo 8 del RGPD regula las condiciones aplicables al consentimiento del niño en relación con los servicios de la sociedad de la información, indicando que: “1- Cuando se aplique el artículo 6, apartado 1, letra a), en relación con la oferta directa a niños de servicios de la sociedad de la información, el tratamiento de los datos personales de un niño se considerará lícito cuando tenga como mínimo 16 años. Si el niño es menor de 16 años, tal tratamiento únicamente se considerará lícito si el consentimiento lo dio o autorizó el titular de la patria potestad o tutela sobre el niño, y solo en la medida en que se dio o autorizó. Los Estados miembros podrán establecer por ley una edad inferior a tales fines, siempre que esta no sea inferior a 13 años.

1. El responsable del tratamiento hará esfuerzos razonables para verificar en tales casos que el consentimiento fue dado o autorizado por el titular de la patria potestad o tutela sobre el niño, teniendo en cuenta la tecnología disponible.
2. El apartado 1 no afectará a las disposiciones generales del Derecho contractual de los Estados miembros, como las normas relativas a la validez, formación o efectos de los contratos en relación con un niño.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 Por lo tanto, para que sea lícito el tratamiento de los datos personales de los menores objeto de este caso, se requerirá el consentimiento de quien ostenta su patria potestad o tutela. El considerando 32 del RGPD, establece que “el consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta.” III En el presente caso, la reclamación se centra en el uso no autorizado de la imagen del hijo menor de edad del reclamante, con fines comerciales. El reclamado manifiesta que el consentimiento prestado por el reclamante es conforme al considerando

(32)del RGPD, que permite que este se realice mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal pudiendo esta ser por escrito, por medios electrónicos, o una declaración verbal. Sin embargo, se ha constatado que la cláusula informativa de la entidad reclamada en materia de protección de datos no informaba de la cesión a terceros de los datos personales de los alumnos, y aunque se confirma por el reclamante la recepción de un WhatsApp para que los menores fueran con un uniforme determinado para la toma de fotografías del álbum de fotos y calendarios de Navidad, niega que se le informase de que dichas fotografías eran para comercializar la imagen de los menores en un álbum o en cromos. Así las cosas, se considera que los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por el tratamiento de datos personales, regulado en el art. 6.1

1. a)del RGPD, en relación con el artículo 8.1 del RGPD al tratar la imagen de los menores, sin el consentimiento de quien ostenta su patria potestad, consentimiento que debe ser especificado para cada finalidad, en este caso concreto, debe pedirse consentimiento tanto para la toma de fotos para calendarios de Navidad como para comercializar la imagen de los menores en un álbum de cromos. IV C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8 En virtud de lo establecido en el artículo 58.2 del RGPD, la Agencia Española de Protección de Datos, en cuanto autoridad de control, dispone de un conjunto de poderes correctivos en el caso de que concurra una infracción a los preceptos del RGPD. El artículo 58.2 del RGPD dispone lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
2. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...) “
3. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” “
4. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” El artículo 72.1.
5. b)de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
6. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. V Los hechos expuestos constituyen, por parte del reclamado, una infracción a lo dispuesto en el artículo 6.1
7. a)en relación con el artículo 8.1 del RGPD. Esta infracción se sanciona con una multa de apercibimiento, de acuerdo con el artículo 58.2.
8. b)del RGPD, al recogerse a través de dicho formulario datos básicos de los usuarios y considerar que la multa administrativa que pudiera recaer con arreglo a lo dispuesto en el artículo 83.5.
9. b)del RGPD constituiría una carga desproporcionada para el reclamado, cuya actividad principal no está directamente vinculada al tratamiento de datos personales, ya que no consta la comisión de ninguna infracción anterior en materia de protección de datos. Asimismo, al confirmarse la existencia de infracción, de acuerdo con lo establecido en el citado artículo 58.2.
10. d)del RGPD, en la resolución se ordena al reclamado, como responsable del tratamiento, la adopción de las medidas necesarias para que garanticen que no se realicen ni difundan fotografías a los menores de dicho centro educativo, siempre y cuando la entidad reclamada no cuente con el consentimiento de los padres, o de quienes ostenten la patria potestad de los menores objeto de dichas fotografías, de conformidad con lo establecido en el artículo 6.1
11. a)en relación con el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 artículo 8.1 del RGPD, así como la aportación de medios de prueba acreditativos del cumplimiento de lo requerido. Por otra parte, en el artículo 83.7 del RGPD se dispone que, sin perjuicio de los poderes correctivos de las autoridades de control en virtud del art. 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a CLUB FÚTBOL BASE DENIA, con NIF G53492013, por una infracción del artículo 6.1
12. a)en relación con el artículo 8.1 del RGPD, tipificada en el artículo 83.5 del RGPD, una sanción de apercibimiento. SEGUNDO: REQUERIR a la parte reclamada para que en el plazo de un mes acredite ante este organismo el cumplimiento de que proceda a:  la adopción de las medidas necesarias que garanticen que no se realicen ni difundan fotografías a los menores de dicho centro educativo, siempre y cuando la entidad reclamada no cuente con el consentimiento de los padres, o de quienes ostenten la patria potestad de los menores objeto de dichas fotografías, de acuerdo con lo regulado en el art. 6.1
13. a)del RGPD en relación con el art. 8.1 del RGPD. TERCERO: NOTIFICAR la presente resolución a CLUB FÚTBOL BASE DENIA. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
14. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es