1/15 Procedimiento Nº PS/00214/2015 RESOLUCIÓN: R/02252/2015 En el procedimiento sancionador PS/00214/2015, instruido por la Agencia Española de Protección de Datos a la entidad ECOLE, S.A.., vista la denuncia presentada por Dª. A.A.A. y en virtud de los siguientes, ANTECEDENTES PRIMERO: Con fecha 20 de mayo y 22 de junio de 2014, tienen entrada en esta Agencia sendos escritos de Dª. A.A.A., en el que expone que: En diversos canales de comunicación del Colegio ECOLE, del que son alumnos sus hijos, en concreto en la página web del colegio, su perfil de Facebook y su blog, así como en YOUTUBE, se han publicado fotografías de sus hijos sin su consentimiento. Tras ponerse en contacto con la Directora del Colegio, en fecha 22 de junio de 2014, continúan publicados. En ningún momento el Colegio ha recabado su consentimiento. Se adjuntan copias de todas las fotografías publicadas. Asimismo, manifiesta que el Colegio no tiene establecido ningún procedimiento para el ejercicio de los derechos ARCO. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. Con fecha 8 de enero de 2015, se recibe en esta Agencia escrito de la Directora de la sociedad ECOLE, S.A.., en el que se pone de manifiesto, entre otros, que: 1.1. En las actuales matrículas aparece el consentimiento para la publicación de las fotos, no obstante, para los alumnos matriculados con anterioridad, se remitió a los padres el consentimiento, en este caso concreto, se enviaron dos consentimientos diferentes, cuyas copias se adjuntan. 1.2. Uno de ellos se refiere a fotos concretas, y están marcados con “no” la autorización para que se disponga de las fotos en todos los medios que se relacionan. El segundo, solo autoriza a que se publiquen fotografías C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 en el Boletín informativo del Colegio, Paneles del Colegio y Anuario. 1.3. Tras conversaciones con la madre se procedió al borrado de las fotos. 1.4. Con relación al procedimiento establecido para el ejercicio de los derechos ARCO, se adjunta copia del impreso de Reserva de plaza en el Colegio, donde consta una leyenda en su pie de página, con relación al artículo 5 de la LOPD, así como para obtener el consentimiento para la publicación de fotos. TERCERO: Con fecha 23 de abril de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ECOLE, S.A.., por presunta infracción de los artículos 6.1 y 10 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en los artículos 44.3.
- b)y 44.3.
- d)de dicha norma, pudiendo ser sancionada cada una, con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio la entidad ECOLE, S.A.. formuló alegaciones, significando, que: “Que disconforme con el mismo paso a formular las siguientes, (…) Es importante señalar, de cara a posibles responsabilidades, que el comportamiento del colegio frente a la reclamación efectuada fue de total diligencia. La madre se comunica con el centro de manera informal (en el sentido de que no ejercita sus derechos ARCO mediante un escrito como el que fácilmente puede encontrarse en la página web de la Agencia Española de protección de datos), ante eso las fotos se retiran en un plazo razonable de tiempo, máxime teniendo en cuenta que la afectada no ha seguido los trámites previstos por la propia ley. Por otra parte, las fotos se publicaron por un error humano consideramos que entendible puesto que se trata de fotografías de grupo en las que los menores no se ven claramente y es fácil confundirlos con otros alumnos del centro. Estas fotografías colectivas no permiten una fácil identificación de los alumnos, por lo que incluso podrían no estar sujetas a la normativa de protección de datos pues las imágenes que tienen consideración de datos de carácter personal a los efectos de la ley son aquellas que permiten la identificación de las personas que en ellas aparecen. (…) En este caso si bien es cierto que las fotos estuvieron publicadas hasta el momento en el que la madre advirtió al centro de su disconformidad en la publicación de una serie de fotografías que en ningún momento relacionó, esa fecha no puede tomarse para el cómputo de la prescripción, debiendo acreditarse en qué momento se produjo la publicación de las fotografías, pues de no ser así entendemos que se produce una indefensión que por sí misma supone el archivo del presente expediente sancionador, pues de no poder acreditarse el momento en el que se produjo la supuesta sanción esta debe entenderse prescrita. (…) Recordemos que las fotos que publicó el centro eran en todo caso fotos de grupo tomadas desde varios metros de distancia, realizando actividades en las que no siempre era visible la totalidad de la cara (de ahí que por error pasaran el filtro y fueran publicadas). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 Por otra parte, actualmente existen numerosas publicaciones en las que puede verse perfectamente la cara de la menor y estas ni han sido publicadas ni provienen del colegio, sino de la cuenta personal que la menor tiene en varias redes sociales. (…) Entendemos que en todo caso procedería (de no estimarse la alegación relativa a la prescripción), conforme al artículo 45.6 de la LOPD, realizar un apercibimiento y, si se estimara oportuno realizar más correcciones a las ya realizadas voluntariamente por el centro escolar (y las indicadas por la consultora externa), se indicaran la adopción de las medidas correctoras que en cada caso resultasen pertinentes. Ello puesto que se cumplen los requisitos recogidos en el apartado sexto del artículo 45 al tratarse de una infracción calificada como grave y no haber sido el COLEGIO ECOLE sancionado ni apercibido con anterioridad.” Concluyen las alegaciones solicitando el archivo del procedimiento sancionador o en su caso que se proceda a acordar el apercibimiento. QUINTO: Con fecha 12 de junio de 2015 se inició el período de práctica de pruebas, acordándose practicar las siguientes: 1. Se dan por reproducidos a efectos probatorios la denuncia interpuesta por Dª. A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante la entidad ECOLE, S.A. y el Informe de actuaciones previas de Inspección que forman parte del expediente E/03679/2014. 2. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00214/2015 presentadas por la entidad ECOLE, S.A., y la documentación que a ellas acompaña. SEXTO: Con fecha 21 de agosto de 2015 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 6.000 € a la entidad ECOLE, S.A.., por la comisión de una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha Ley. SÉPTIMO: Notificada la propuesta de resolución, la entidad ECOLE, S.A.. presentó escrito de alegaciones frente a la misma en las que comunica: “…La supuesta infracción se habría cometido al verter las fotografías en internet, la difusión es un efecto de la infracción no el resultado directa de que el agente continúe realizando la acción. El responsable de los datos no realiza una pluralidad de omisiones del deber de guardar secreto sino que esta se consuma y se agota en el momento en el que se produce la publicación en la web. En este caso si bien es cierto que las fotos estuvieron publicadas hasta el momento en el que la madre advirtió al centro de su disconformidad en la publicación de una serie de fotografías que en ningún momento relacionó, esa fecha no puede tomarse para el cómputo de la prescripción, debiendo acreditarse en qué momento se produjo la publicación de las fotografías, pues de no ser así entendemos que se produce una indefensión que por sí misma supone el archivo del presente expediente sancionador, pues de no poder acreditarse el momento en el que se produjo la supuesta sanción esta debe entenderse prescrita. (…) Teniendo en cuenta que se dan prácticamente la totalidad de los atenuantes, en caso de ser impuesta sanción económica alguna esta debe ser cuantificada en su grado mínimo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 En este caso, puesto que hay que aplicar la horquilla de las infracciones leves, serían 900 euros.” Concluyen las alegaciones solicitando que se acuerde el archivo del expediente sancionador o en su caso, la imposición de sanción en la cuantía de 900 euros. HECHOS PROBADOS PRIMERO: Se ha presentado un escrito en esta Agencia comunicando que se han publicado fotografías de los hijos de la denunciante sin su consentimiento en diversos canales de comunicación del Colegio ECOLE del que son alumnos, en concreto en la página web del colegio, su perfil de Facebook, su blog y en YOUTUBE. Manifiesta la denunciante que las fotografías continúan publicadas tras ponerse en contacto con la Directora del Colegio en fecha 22 de junio de 2014. Adjunta copias de todas las fotografías publicadas y manifiesta que el Colegio no tiene establecido ningún procedimiento para el ejercicio de los derechos ARCO. SEGUNDO: A solicitud de esta Agencia la entidad respecto de los hechos denunciados, lo siguiente: ECOLE, S.A.. ha informado, En las matrículas en la actualidad, se incluye la solicitud del consentimiento para la publicación de las fotos. Para los alumnos matriculados con anterioridad, se remite a los padres el consentimiento, en este caso se enviaron dos consentimientos diferentes. Uno de ellos se marca con un “no” la autorización para disponer de las fotos en todos los medios que se relacionan. El segundo consentimiento, solo autoriza a que se publiquen fotografías en el Boletín informativo del Colegio, Paneles del Colegio y Anuario. Manifiesta la directora del colegio que son conscientes del error en las fotos publicadas en la web y en el Facebook del colegio donde aparecían los menores porque debido al volumen de fotos y la cantidad de niños que aparecen, el filtrado es bastante complicado. Expone también que tras conversaciones con la madre se procedió al borrado de las fotos. TERCERO: Con relación al procedimiento para el ejercicio de los derechos ARCO, se adjunta copia del impreso de Reserva de plaza en el Colegio, donde consta una leyenda en su pie de página, con relación al artículo 5 de la LOPD, así como para obtener el consentimiento para la publicación de fotografías. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
- g)C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 en relación con el artículo 36 de la LOPD. II Por lo que respecta a la alegación hecha por la entidad ECOLE, S.A.. sobre la apreciación de la prescripción de la infracción imputada, habrá que estar a lo dispuesto en el artículo 47 de la LOPD, que establece, en sus apartados 1, 2 y 3 lo siguiente: “1. Las infracciones muy graves prescribirán a los tres años, las graves a los dos años y las leves al año. 2. El plazo de prescripción comenzará a contarse desde el día en que la infracción se hubiera cometido. 3. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviere paralizado durante más de seis meses por causas no imputables al presunto infractor”. Dado que las infracciones imputadas son constitutivas de una infracción denominada permanente, caracterizada porque la conducta merecedora de reproche administrativo se mantiene durante un espacio de tiempo prolongado, el cómputo del plazo de prescripción no llega a iniciarse hasta tanto dicha conducta se interrumpe. En este caso, la lesión al bien jurídico protegido (tratamiento inconsentido de datos personales y vulneración del deber de secreto) se prolonga en el tiempo, durante todo el periodo en el que las imágenes denunciadas permanecieron indebidamente publicadas. Tales infracciones se cometen mientras se mantienen los efectos lesivos de dicho eventual comportamiento infractor. Alega la entidad denunciada en su escrito de respuesta a la propuesta de resolución, que el presente caso no constituye una infracción continuada y lo fundamenta con una sentencia del Tribunal Supremo de 16 de marzo de 2010 que define lo que se entiende por infracción continuada. Ante esta alegación cabe exponer que la acción que se juzga en el presente procedimiento no se ha calificado de infracción continuada sino de infracción permanente y para valorar la diferencia entre ambos conceptos se puede recordar la Sentencia del Tribunal Supremo de 4 de noviembre de 2013: “En la aplicación del plazo de prescripción hemos de decidir la fecha de inicio del cómputo del plazo aplicable de 2 años, que de conformidad con el artículo 47.2 LOPD comenzará a contarse desde el día en que la infracción se hubiera cometido. Tal regla, similar a la establecida con carácter general en el artículo 132 LRJPAC, es de aplicación en los casos de infracciones instantáneas ya finalizadas, pero obliga a efectuar algunas matizaciones, a fin de determinar cuándo se han de considerar cometidas las infracciones continuadas y las infracciones permanentes. A la infracción continuada se refiere el artículo 4.6, párrafo 2º, del Reglamento de procedimiento para el ejercicio de la potestad sancionadora, aprobado por Real Decreto 1398/1993, de 4 de agosto (RPEPS), que establece que "... será sancionable, como infracción continuada, la realización de una pluralidad de acciones u omisiones que infrinjan el mismo o semejantes preceptos administrativos, en ejecución de un plan preconcebido o aprovechando idéntica ocasión". C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 A diferencia de la infracción continuada que exige pluralidad de acciones que infrinjan el mismo precepto, y por ello constituye un concurso real de ilícitos, la infracción permanente no requiere un concurso de ilícitos, sino una única acción de carácter duradero, cuyo contenido antijurídico se prolongue a lo largo del tiempo, en tanto el sujeto activo no decida cesar en la ejecución de su conducta. En el ámbito del derecho penal la diferenciación entre las distintas clases de infracciones tiene trascendencia a los efectos de determinar la fecha inicial del cómputo del plazo de prescripción, como resulta 6 del artículo 132.1 del Código Penal, que al lado de la regla general de que los plazos de prescripción se computarán desde el día en que se haya cometido la infracción, establece reglas específicas para los casos de delito continuado y delito permanente, en que los plazos se computarán, respectivamente, desde el día en que se realizó la última infracción o desde que cesó la conducta. Estas reglas y criterios procedentes del Derecho Penal han tenido acogida en la jurisprudencia de esta Sala a la hora del cómputo de los plazos de prescripción de las infracciones. En materia de protección de datos como la que nos ocupa, esta Sala ha distinguido, en sentencias de 7 de marzo de 2006 (recurso 1728/2002 ) y 20 de noviembre de 2007 (recurso 170/2003 ), entre infracciones continuadas, en los términos que las define el artículo 4.6 del RPEPS antes citado, y las infracciones permanentes, entendiendo como tales "aquellas conductas antijurídicas que persisten en el tiempo y no se agotan con un sólo acto, determinando el mantenimiento de la situación antijurídica a voluntad del autor" , y la sentencia de 23 de mayo de 2011 (recurso 912/2011 ), también contempla un supuesto que califica como infracción permanente, derivada en ese caso de mantener los datos inexactos en el fichero de morosos tras la cancelación de la deuda, con la consecuencia de considerar que el plazo prescriptivo no empieza a computarse mientras se mantiene la infracción.” Según este criterio sentado por el Tribunal Supremo, la infracción permanente requiere una única acción de carácter duradero con contenido antijurídico que se prolonga en el tiempo en tanto el sujeto activo no decida cesar en la ejecución de su conducta. Este criterio resulta determinante respecto del cómputo de los plazos de prescripción de las infracciones porque en una infracción permanente el plazo prescriptivo no empieza a computarse mientras se mantiene la infracción. En el presente caso, el plazo de prescripción no empieza a computarse mientras los datos de los hijos menores de la denunciante se mantienen publicados, sin su consentimiento, en la página web de la entidad denunciada. Así, respecto de las infracciones imputadas a la entidad ECOLE, S.A.., el plazo de prescripción de las mismas comenzaría a computarse desde el día en que los datos personales de los hijos menores de la denunciante dejaron de estar indebidamente publicados en la página web y el Facebook del colegio. La entidad ECOLE, S.A.. ha manifestado que en el momento en que la madre envía el mail, 12 de mayo de 2014, se realizó un repaso de las fotografías eliminando todas en las que pudieran aparecer sus hijos, de forma que esta es la fecha a considerar como inicio del cómputo de la prescripción de la infracción, la fecha a partir de la cual el colegio reconoce que procedió a eliminar las fotos de los hijos de la denunciante. De manera que la infracción imputada no habría prescrito el 27 de abril de 2015, cuando se comunicó al interesado la iniciación del presente procedimiento sancionador. Por lo expuesto, hay que concluir que en la fecha de la notificación del Acuerdo de inicio del presente procedimiento sancionador no habían transcurrido los dos años de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 prescripción señalados en el artículo transcrito para las infracciones graves. En consecuencia, las referidas alegaciones deben ser desestimadas. III Se imputa a la entidad ECOLE, S.A.. el tratamiento de los datos de los hijos menores de la denunciante sin su consentimiento. En este sentido, el artículo 6.1 y .2 dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. Para que el tratamiento de los datos de los hijos menores de la denunciante realizado por la entidad ECOLE, S.A.. resultara conforme con los preceptos de la LOPD, hubiera debido concurrir alguno de los supuestos contemplados en el artículo 6 de la LOPD. Sin embargo, no se ha acreditado que la denunciante hubiera prestado el consentimiento para el tratamiento de los datos de sus hijos menores, y tampoco se ajusta el presente caso a ninguno de los supuestos exentos de tal consentimiento que recoge el apartado 2 del artículo 6 citado. El artículo 3 de la LOPD define en su apartado
- h)como “Consentimiento del interesado” a “Toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen.” La LOPD no requiere que el consentimiento se preste por escrito o con formalidades determinadas, pero sí exige que el consentimiento de los afectados sea “inequívoco”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, Fundamento Jurídico 7 primer párrafo, “(...) consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son pues elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Se ha alegado al acuerdo de inicio del presente procedimiento que “La madre se comunica con el centro de manera informal (en el sentido de que no ejercita sus derechos ARCO mediante un escrito como el que fácilmente puede encontrarse en la página web de la Agencia Española de protección de datos), ante eso las fotos se retiran en un plazo razonable de tiempo, máxime teniendo en cuenta que la afectada no ha seguido los trámites previstos por la propia ley.” En un caso como el presente, en el que no se dispone del consentimiento para el tratamiento de los datos personales, no cabe solicitar el derecho de cancelación de los mismos toda vez que la cuestión es que nunca debieron haberse publicado. Los derechos ARCO se ejercen respecto de datos personales de los que se dispone de consentimiento para su tratamiento. El concepto de dato de carácter personal se define en el apartado
- a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. El artículo 5.1.
- f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, define datos de carácter personal como: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. El artículo 3 de la LOPD define en su letra
- c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. De lo anteriormente expuesto se desprende que el concepto de dato personal, según la definición de la LOPD, requiere la concurrencia de un doble elemento: por una parte, la existencia de una información o dato y, por otra, que dicho dato pueda vincularse a una persona física identificada o identificable, por lo que la imagen de una persona física identificada o identificable constituye un dato de carácter personal. La imagen de una persona constituye un dato de carácter personal, toda vez que la información captada concierne a personas que las hacen identificadas o identificables y suministra información sobre la imagen personal de éstas, el lugar de su captación y la actividad desarrollada por el individuo al que la imagen se refiere. La publicación, en una página web, de la imagen de una persona identificada o identificable constituye un tratamiento de datos de carácter personal que tiene que contar con el consentimiento del afectado o, en su defecto, debe acreditarse que los datos provienen de fuentes accesibles al público, que existe una Ley que ampara ese tratamiento o una relación contractual o negocial entre el titular de los datos y el responsable del tratamiento que sea necesaria para el mantenimiento del contrato. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 IV El artículo 2.1 de la LOPD define su ámbito de aplicación: “1. La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado…” El artículo 3 de la LOPD define en su apartado
- c)como “Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.” Asimismo, dicho artículo 3 define en su apartado
- b)como “Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.” En el presente caso, ha quedado acreditado que se publicaron fotografías de los hijos menores de la denunciante en la página web y en el Facebook del colegio ECOLE, sin su consentimiento. La Sentencia de la Audiencia Nacional de 17/03/2007, Recurso 621/2004 señala en su Fundamento de Derecho Cuarto que “…un sitio Web exige siempre cualquiera que sea su finalidad una organización o estructura que permita el acceso a la información en él contenida por terceros. Cumpliría así la primera de las exigencias de un fichero, la estructural u organizativa. Pero es que además, y esto es obvio, el sitio Web XXXXXXX contuvo datos de carácter personal, precisamente los referidos al denunciante, que fueron difundidos a través de dicho sitio, lo que supone tratamiento… si hubo tratamiento de datos de carácter personal consistente en la incorporación y difusión de éstos desde una estructura organizada (fichero) como era el sitio Web, es indudable que el régimen de protección contenido en la Ley Orgánica 15/1999 es plenamente aplicable, sin que altere la anterior conclusión el hecho de los datos tratados se refieran a una sola persona pues la ley no exige en ningún caso la existencia de una pluralidad de personas afectadas para que podamos hablar de tratamiento y fichero…” y, continúa, citando la sentencia del Tribunal de Justicia de la Unión Europea, de 06/11/2003, caso Linqvist. Asunto C-101/01, que señalaba “Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un “tratamiento total o parcialmente automatizado de datos personales” en el sentido del artículo 9 3, apartado1 de la Directiva 95/46.” Por tanto, para el caso del actual procedimiento, se realizó un tratamiento con los datos personales de los hijos de la denunciante, al incluir fotografías suyas en los medios digitales del colegio sin su consentimiento, sin que se haya acreditado que se contara con el consentimiento de la denunciante para ello, infringiendo así el artículo 6.1 de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 V El artículo 44.3.
- b)de la LOPD, dispone que es infracción grave: “
- b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” En el presente caso, la descripción de conductas que establece el artículo 44.3.
- b)de la LOPD cumple las exigencias derivadas del principio de tipicidad, toda vez que del expresado precepto se desprende con claridad cuál es la conducta prohibida. El tipo aplicable considera infracción grave “
- b)Tratar datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”, por tanto, se está describiendo una conducta, el tratamiento automatizado de datos personales o su uso posterior, que precisa, para configurar el tipo, que dicha conducta haya vulnerado los principios que establece la LOPD. El principio del consentimiento se configura como principio básico en materia de protección de datos y así se recoge en la doctrina y jurisprudencia de los Tribunales Ordinarios como del Tribunal Constitucional (STC 292/2002). Concretamente, por lo que ahora interesa, el artículo 6 de la LOPD recoge el citado principio que exige la necesidad de consentimiento del afectado para que puedan tratarse sus datos de carácter personal. Por tanto, la conducta ilícita por la que se sanciona a la entidad denunciada vulnera el citado principio, toda vez que ha quedado acreditado el tratamiento de los datos personales de los hijos de la denunciante sin su consentimiento, al publicar su imagen en la página web y el Facebook del colegio, sin su consentimiento. VI El artículo 10 de la LOPD establece: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. El deber de secreto profesional que incumbe a los responsables de los ficheros y a todos aquellos que intervengan en cualquier fase del tratamiento de los datos de carácter personal, recogido en el artículo 10 de la LOPD, comporta su obligación de no revelar ni dar a conocer su contenido, así como “deber de guardarlos”. Continúa dicho artículo añadiendo: “obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática, a que se refiere la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, y por lo que ahora interesa, comporta que los datos tratados no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste, precisamente, el secreto. Este deber de sigilo resulta esencial en la sociedad contemporánea, cada vez C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 más compleja, en las que los avances de la técnica sitúan a la persona en zonas de riesgo para la protección de los derechos fundamentales, como el derecho a la protección de los datos personales, que recoge el artículo 18.4 de la Constitución Española. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (Sentencia del Tribunal Constitucional 292/2000). Este derecho fundamental a la protección de datos persigue garantizar a la persona un poder de control sobre sus datos personales, sobre su uso y destino que impida que se produzcan situaciones atentatorias de la dignidad de la persona. En este caso concreto, se han difundido datos personales de los hijos menores de la denunciante por parte de la entidad ECOLE, S.A.. Se trata de valorar si se ha vulnerado el principio del deber de secreto, consagrado en el artículo 10 de la LOPD, que obliga al responsable del fichero y a quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal. En este caso ha quedado acreditado que en la página web y el Facebook del colegio ECOLE se publicaron fotografías de los hijos de la denunciante. La directora del colegio ha manifestado en las alegaciones al acuerdo de inicio que son conscientes del error en las fotos publicadas en la web y en el Facebook del colegio donde aparecían los menores porque debido al volumen de fotos y la cantidad de niños que aparecen, el filtrado es bastante complicado. Expone también que tras conversaciones con la madre se procedió al borrado de las fotos. VII La conducta de la denunciada se incardina en el artículo 44.3.
- d)de la LOPD que indica como tal: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” De acuerdo con los fundamentos anteriores, hay que entender que por parte de la entidad ECOLE, S.A.. se ha producido una vulneración del deber de secreto, dado que se han difundido los datos de carácter personal concernientes a sus alumnos, y que procede calificar la infracción como infracción grave. El hecho constatado de la difusión de datos personales fuera del ámbito de los afectados, establece la base de facto para fundamentar la imputación de la infracción del artículo 10 de la LOPD. VIII El hecho constatado del tratamiento inconsentido de los datos personales y la vulneración del deber de secreto por parte de la entidad ECOLE, S.A.., establece la base de facto para fundamentar la imputación de las infracciones de los artículos 6.1 y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 10 de la LOPD. No obstante, nos encontramos ante un supuesto en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica necesariamente la comisión de la otra. Esto es, con la publicación de las fotografías de los menores, se produce un tratamiento inconsentido de datos personales por la entidad responsable de los mismos que a su vez deriva en una vulneración del deber de secreto. Por lo tanto, aplicando el artículo 4.4 del Real Decreto 1398/1993, de 4 de agosto, por el que se aprueba el Reglamento del procedimiento para el ejercicio de la potestad sancionadora que señala que: “en defecto de regulación específica establecida en la norma correspondiente, cuando de la comisión de una infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida”, procede subsumir ambas infracciones en una. Dado que, en este caso, se ha producido una vulneración del principio del consentimiento, calificada como grave por el artículo 44.3.
- b)de la LOPD y también un incumplimiento del deber de guardar secreto calificado como grave en el artículo 44.3.
- d)de la misma norma, procede imputar únicamente la infracción del artículo 6.1 de la LOPD por tratarse de la infracción originaria que ha dado lugar a la comisión de la otra. IX Se solicita en el escrito de alegaciones al acuerdo de inicio la posibilidad de la aplicación de lo establecido en el nuevo régimen sancionador de la LOPD dado que, a su parecer, se cumplen los presupuestos del artículo 45.6 de la ley para apercibir en lugar de acordar la apertura de un procedimiento sancionador. Del análisis de la concurrencia de los criterios establecidos en dicho precepto, se concluye que, atendida la naturaleza de los hechos constatados, debe valorarse que en un caso como el presente de una entidad con una actividad relacionada con el tratamiento de datos personales de menores, un colegio, y teniendo en cuenta el tipo de datos que se tratan, datos de carácter personal de menores de edad, esta Agencia entiende que no procede la aplicación de la previsión contenida en el apartado 6 del artículo 45 LOPD, que permite no acordar la apertura de un procedimiento sancionador, y en su lugar, apercibir al sujeto responsable. Por lo que cabe desestimar lo alegado. X El artículo 45 de la LOPD, apartados 1 a 5, según redacción introducida por la Ley 2/2011, de 4 de marzo, de Economía Sostenible, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
- a)El carácter continuado de la infracción.
- b)El volumen de los tratamientos efectuados.
- c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
- d)El volumen de negocio o actividad del infractor.
- e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
- f)El grado de intencionalidad.
- g)La reincidencia por comisión de infracciones de la misma naturaleza.
- h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
- i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
- j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
- a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
- b)Cuando la entidad infractora haya regularizado la situación irregular de forma diligente.
- c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
- d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
- e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” Expone la entidad denunciada en sus alegaciones que una vez comunicado el malestar de la madre, se procedió a la inmediata retirada de las fotografías que resultó ser una tarea laboriosa y considera que concurren los criterios a, b, c y d del artículo 45.5 para la graduación de las sanciones. El citado apartado 45.5 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer “la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de una cualificada disminución de la culpabilidad el imputado, o bien de la antijuridicidad del hecho, o bien alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 En el presente caso de los supuestos previstos en el artículo 45.5 puede estimarse la concurrencia de los puntos b y c porque se regularizó la situación irregular de forma diligente y porque se reconoció espontáneamente su culpabilidad por lo que debe entenderse que operan dichas circunstancias atenuantes de la responsabilidad. En segundo lugar, el art. 45.4 recoge una serie de criterios relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, según las indicaciones del art. 131.3 de la LRJPAC (Ley 30/92 de 26 de noviembre), que establece: “en la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
- a)la existencia de intencionalidad o reiteración,
- b)la naturaleza de los perjuicios causados,
- c)la reincidencia”. Pues bien la secuencia de hechos expuesta en este caso, valoradas en aplicación de dichos criterios, permiten, que en este caso, se considere procedente que se fije la cuantía de la sanción en 1.000 euros, al haberse constatado una disminución cualificada de la culpabilidad. Vistos los preceptos citados y demás de general aplicación, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ECOLE, S.A.., por una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
- b)de dicha norma, una multa de 1.000 € (mil euros) de conformidad con lo establecido en el artículo 45.1.2.4 y .5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución a la entidad ECOLE, S.A.. y a Dª. A.A.A.. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco Bilbao Vizcaya Argentaria, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es