1/8 Expediente N.º: EXP202306196 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Con fecha 30/03/2023 tiene entrada en la Agencia Española de Protección de Datos oficio del Consejo de Transparencia y Protección de Datos de la CCAA de Andalucía en el que da traslado de la reclamación presentada por A.A.A. (en adelante, la parte reclamante). La reclamación se dirige contra FACTOR DEPORTE, S.L. con NIF B04681581 (en adelante, la parte reclamada) y los motivos en los que se basa la reclamación son los siguientes: la publicación en la red social FACEBOOK de la imagen de su hija, menor de edad, sin contar con autorización para ello; se aporta referencia de enlace donde se encuentra publicada la imagen de la menor. El Consejo de Transparencia y Protección de Datos de Andalucía adjunta a su escrito la siguiente documentación: - Reclamación presentada por la parte reclamante, a la que se adjunta copia del libro de familia. - Pliego de condiciones del contrato de arrendamiento para el equipamiento, gestión, explotación conservación y mantenimiento de instalaciones deportivas al aire libre del albergue-campamento juvenil de Aguadulce perteneciente a la red andaluza - Informe de la DPD de la Empresa Andaluza de gestión de instalaciones y turismo juvenil, S.A. (INTURJOVEN), de la Consejería de Inclusión Social, Juventud, Familias e Igualdad, al que adjunta documentación adicional. - Acuerdo de no admisión de la reclamación y su traslado a la AEPD. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 19/06/2023 se dio traslado a la parte reclamada y a C.D. Solas Brothers de la reclamación presentada, para que procedieran a su análisis e informasen a esta Agencia en el plazo de un mes. La parte reclamada no dio respuesta alguna al requerimiento de información. La empresa C.D. Solas Brothers respondió en fecha 19/06/2023 manifestando, en síntesis, que la página web en la que aparece la imagen de la hija del demandante no es propiedad de C.D. Solas Brothers, quedando acreditado que la página en cuestión pertenece a la parte reclamada, empresa de monitoraje que tenía suscrito contrato de servicios con INTURJOVEN y que por tanto a quien corresponde la responsabilidad de los tratamientos llevados a cabo y que son objeto de reclamación por el padre de la menor. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 También el DPD de INTURJOVEN una vez analizada la información recabada relativa a la incidencia ha señalado en su Informe que: “Por tanto, la relación jurídica entre INTURJOVEN y FACTOR DEPORTE, S.L. no conlleva una cesión del tratamiento de datos personales, sino que éstos son recabados directamente por el reclamado en el desarrollo de sus actividades propias. Por otro lado, comprobada la titularidad de la página de Facebook en la que se encuentra publicada la imagen de la hija del interesado, se verifica que ésta pertenece efectivamente al reclamado”. El Consejo de Transparencia entre la documentación aportada remitió un enlace a las imágenes de Facebook. La AEPD el 10/05/2023 comprobó que en las actividades programadas en el citado enlace se obtenían imágenes de menores y posteriormente eran publicadas en la red social Facebook. TERCERO: Con fecha 30/06/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 17/05/2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción de los artículos 5.1.
- f)y 6.1 del RGPD, tipificadas en el artículo 83.5.
- a)del RGPD, con multas de 5.000 € cada una. QUINTO: Notificado el acuerdo de inicio, con fecha 28/05/2024 la parte reclamada presentó escrito de alegaciones formulando en síntesis, las siguientes: que la madre de la menor inscribió a la misma en la escuela de verano, el verano de 2022; que la madre autorizó la publicación de las imágenes de la alumna en los medios en los que se publica nuestra escuela y las actividades que realizaran; que con el objetivo de evitar conflictos, el día 19/05/2023 retiraron todas las imágenes publicadas en nuestra página de Facebook, en las que figuraba o aparecía la alumna; SEXTO: Con fecha 29/05/2024 se inició un período de práctica de pruebas, acordándose las siguientes - Dar por reproducidos a efectos probatorios la reclamación interpuesta por la parte reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por la parte reclamada y la documentación que a ellas acompaña. SÉPTIMO: Con fecha 3 de abril de 2025 se formuló propuesta de resolución, proponiendo el archivo del procedimiento y otorgando plazo de alegaciones para que aportara lo que estimara conveniente, sin que, una vez transcurrido el mismo, se haya recibido escrito alguno. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 HECHOS PROBADOS PRIMERO. El 30/03/2023 tiene entrada en la AEPD oficio del Consejo de Transparencia y Protección de Datos de la CCAA de Andalucía dando traslado de la reclamación presentada por la parte reclamante; en ella manifiesta que se ha publicado en la red social FACEBOOK la imagen de su hija, menor de edad, sin contar con autorización para ello. SEGUNDO. Consta aportada la referencia del enlace donde se encuentra publicada la imagen de la menor. TERCERO. El Consejo de Transparencia y Protección de Datos de Andalucía, además, ha aportado a su oficio la siguiente documentación: El Pliego de condiciones del contrato de arrendamiento para el equipamiento, gestión, explotación conservación y mantenimiento de instalaciones deportivas al aire libre del albergue-campamento juvenil de Aguadulce, Escuela de Verano Juan de Austria, perteneciente a la red andaluza, donde estuvo la menor en el verano de 2022. El Informe de la DPD de INTURJOVEN. El acuerdo de no admisión de la reclamación presentada por el padre de la menor, que fue trasladada a la AEPD. CUARTO. Consta escrito de fecha 19/06/2023, de la empresa C.D. Solas Brothers en el que manifiesta que la página web en la que aparece la imagen de la hija de la parte reclamante no es de su titularidad sino de la parte reclamada, quien tenía suscrito contrato de servicios con INTURJOVEN. QUINTO. La parte reclamada en escrito de 28/05/2024 ha manifestado que: “(…) En el formulario de inscripción, la madre de la alumna, responsable de la inscripción, marcó la casilla mediante la que SÍ NOS AUTORIZA para publicar imágenes de la alumna en los medios en los que se publica nuestra escuela y las actividades que realizamos. (…) Con el objetivo de evitar conflictos, el día 19 de mayo de 2023 RETIRAMOS todas las imágenes publicadas en nuestra página de Facebook, en las que figuraba o aparecía la alumna la menor y así de esta manera atendimos la petición del padre, aunque la madre se reafirma en que SÍ nos autoriza a mantener dichas imágenes. (…)” SEXTO. La parte reclamada ha aportado el formulario de inscripción de la menor en la escuela de verano Juan de Austria de fecha 19/07/2022; en el epígrafe NORMATIVA Y CONDICIONES DE INSCRIPCION figura que “Autorizo a Factor Deporte a utilizar las imágenes y fotografías de las actividades en las que participe el alumno/a inscrito para su publicación en los diferentes medios en los que se publican las actividades realizadas en esta escuela de verano”. Incluyen las opciones “Sí Autorizo” y “No C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8 autorizo”, apareciendo marcada la primera de ellas; así como la firma de la madre de la menor. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Análisis del caso Los hechos puestos de manifiesto en la presente reclamación se materializan en la publicación de la imagen de la hija de la parte reclamante, menor de edad, en la red social Facebook sin acreditar autorización alguna. En primer lugar, dicho tratamiento podría ser constitutivo de una infracción del artículo 6.1 del RGPD, Licitud del tratamiento, que dispone: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. Asimismo, la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), en su artículo 92, Protección de datos de los menores en Internet, establece que: “Los centros educativos y cualesquiera personas físicas o jurídicas que desarrollen actividades en las que participen menores de edad garantizarán la protección del interés superior del menor y sus derechos fundamentales, especialmente el derecho a la protección de datos personales, en la publicación o difusión de sus datos personales a través de servicios de la sociedad de la información. Cuando dicha publicación o difusión fuera a tener lugar a través de servicios de redes sociales o servicios equivalentes deberán contar con el consentimiento del menor o sus representantes legales, conforme a lo prescrito en el artículo 7 de esta ley orgánica.” Y el Considerando 40 de la RGPD, dispone que “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato”. Por otra parte, el artículo 4, Definiciones, apartado 1, define el dato personal de la siguiente forma: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; Por tanto, la imagen física de una persona está considerada como un dato personal de acuerdo a la definición de dato personal proporcionada por el artículo 4 del RGPD, y como tal, cualquier tratamiento que se realice de imágenes de personas identificadas o identificables ha de cumplir con los requisitos, obligaciones y principios del RGPD. Hay que señalar que el tratamiento de datos de carácter personal requiere la existencia de una base legal que lo legitime. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular. En el caso analizado, la parte reclamada ha acreditado el consentimiento de la madre de la menor para la publicación de su imagen en aquellas actividades desarrolladas por la escuela de verano en las que participara la alumna. Así, constan aportados los formularios de inscripción en la Escuela de Verano Juan de Austria, de fecha 19/07/2022 correspondientes, donde figuraba como alumna inscrita la menor, hija de la parte reclamante, para dos períodos del verano de 2022. En los citados formularios, suscritos por la madre de la menor, en el epígrafe NORMATIVA Y CONDICIONES DE INSCRIPCION figura que “Autorizo a Factor Deporte a utilizar las imágenes y fotografías de las actividades en las que participe el alumno/a inscrito para su publicación en los diferentes medios en los que se publican las actividades realizadas en esta escuela de verano”. Considerando la reclamación formulada por la parte reclamante, casi un año después, puede entenderse que éste se opone a la publicación de las imágenes de su hija menor de edad. Sin embargo, dicha publicación se llevó a cabo por la parte reclamada con el consentimiento expreso de la madre, sin que, en el momento de la inscripción, y la siguiente publicación de las imágenes, se hubiera puesto de manifiesto ante la parte reclamada ninguna circunstancia que hiciera pensar que existía controversia al respecto entre ambos progenitores. Se considera, en consecuencia, que el consentimiento prestado por la madre de la menor, como su representante legal es válido a los efectos pretendidos. En los términos indicados en el artículo 7.2 de la LOPDGDD, "El tratamiento de los datos de los menores de catorce años, fundado en el consentimiento, solo será lícito si consta el del titular de la patria potestad o tutela, con el alcance que determinen los titulares de la patria potestad o tutela." En el caso que nos ocupa, nada hace pensar que la madre de la menor no ostentase la patria potestad en el momento en que prestó el consentimiento para el tratamiento de los datos personales descrito. Tampoco la parte reclamante lo pone en cuestión, habiéndose limitado en su reclamación a señalar que la parte reclamada no contaba con su consentimiento. Las situaciones de controversia entre ambos progenitores requieren tener en consideración la regulación específica que respecto de las relaciones paterno-filiales establece el Código Civil, en particular en su artículo 156, en lo que se refiere a la patria potestad de los hijos no emancipados, siendo válidos los actos que realice uno de ellos conforme al uso social y a las circunstancias o en situaciones de urgente necesidad. Una regulación similar se contiene respecto de los tutores en el artículo 237. En el caso de desacuerdo de ambos progenitores, respecto del tratamiento de los datos de carácter personal de hijos menores de catorce años, deben tenerse en consideración el contexto y las circunstancias en los que se tratan los datos y si estos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 son reservados o íntimos y su tratamiento puede ser contrario al interés del menor o afectar a su intimidad. En todo caso, esta Agencia no es competente para dilucidar cuál de los progenitores ha de prevalecer en su interpretación, ya que el Código Civil reserva al juez, después de oír a ambos, y al hijo, en su caso, la facultad de atribuir la capacidad de decidir a uno o a otro de ellos. Por tanto, no existen evidencias fehacientes que permitan concluir que la actuación de la parte reclamada, como entidad responsable del tratamiento, haya vulnerado la normativa sobre protección de datos personales. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ARCHIVAR a FACTOR DEPORTE, S.L., con NIF B04681581, el procedimiento seguido por una supuesta infracción de los artículos 5.1.
- f)y 6.1 del RGPD tipificadas en el artículo 83.5.
- a)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a FACTOR DEPORTE, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-100325 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es