1/7 Procedimiento Nº: PS/00405/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 31 de julio de 2019 tuvo entrada en esta Agencia escrito de reclamación presentado por A.A.A. relativa a la difusión de imágenes de su hijo menor de cuatro años, sin el consentimiento de los padres, por la Asociación Cultural ***ASOCIACIÓN.1, a la que el menor asistía para recibir clases de chino, en varios grupos de Wechat (según manifiesta la reclamante, un servicio similar a WhatsApp utilizado por la comunidad china). Los motivos en que basa la reclamación son la difusión de imágenes de un menor de cuatro años, sin el consentimiento de los padres, por la Asociación Cultural ***ASOCIACIÓN.1, a la que el menor asistía a clases de chino, en varios grupos de WeChat (según manifiesta la reclamante, un servicio similar a WhatsApp utilizado por la comunidad china). La reclamante manifiesta que las imágenes, en las que parece que se oculta parcialmente la cara del menor mediante la superposición de una pegatina digital, se difundieron desde el número de teléfono de una profesora de la Asociación a los grupos. Acredita haberse dirigido a la Asociación para que eliminen esas publicaciones y pidan disculpas en esos mismos foros, manifestando que han desatendido dichas peticiones. Que según el denunciante tuvieron lugar a fecha de: 31 de mayo de 2019 Y, entre otra, anexa la siguiente documentación: Diversas capturas de las fotos distribuidas mediante mensajería WeChat Escrito dirigido a la asociación La reclamante manifiesta que las imágenes, en las que se oculta parcialmente la cara del menor mediante la superposición de un sticker, se habrían difundido desde el número de teléfono de una profesora de la Asociación a los grupos denominados: ***GRUPO.1, ***GRUPO.2 o ***GRUPO.3 de dicha Asociación, todos ellos compuestos por una media de cuatrocientas personas. Asimismo, la reclamante acredita haberse dirigido a la Asociación para que eliminen esas publicaciones y pidan disculpas en esos mismos foros, manifestando que han desatendido dichas peticiones. SEGUNDO: En fecha 3 de septiembre de 2019, tras analizarse la documentación que obraba en el expediente, se dictó resolución por la Directora de la Agencia Española de Protección de Datos, acordando el archivo de la reclamación, al no apreciarse elementos que permitieran investigar una vulneración de los derechos reconocidos en el ámbito competencial de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 La resolución fue notificada a la afectada en fecha 6 de septiembre de 2019, según aviso de recibo que figura en el expediente. TERCERO: En fecha 4 de octubre de 2019 A.A.A. ha presentado recurso de reposición -RR/00669/2019-, reiterando los argumentos expuestos en su escrito de reclamación y añadiendo que las imágenes controvertidas se volvieron a publicar desde el número de teléfono ***TELÉFONO.1, número de contacto de la Asociación, junto con comentarios sobre el mal comportamiento del menor. Asimismo, la reclamante señala que, a pesar de que la cara del menor se intenta ocultar, continúa siendo identificable, sobre todo para el resto de padres que llevan a sus hijos a la Asociación. CUARTO: Con fecha de 19 de noviembre de 2019 se resuelve estimar el recurso de reposición interpuesto por la reclamante contra la resolución de esta Agencia dictada en fecha 3 de septiembre de 2019, y acordar la admisión a trámite de la reclamación presentada contra la reclamada. Se notifica al reclamante con fecha de 3 de diciembre de 2019 y se abre un nuevo expediente con número de referencia E/08183/2020. QUINTO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con número de referencia E/08183/2020, se dio traslado de dicha reclamación al reclamado, el día 3 de septiembre de 2020, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. SEXTO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Como resultado de las actuaciones de investigación practicadas, se constatan los siguientes extremos: Realizado requerimiento de información sobre los hechos reclamados mediante servicio postal certificado a la Asociación investigada, a la dirección facilitada por la reclamante, con fecha de 26 de junio de 2020 resulta devuelta por “Desconocido”. Se comprueba en Google Maps que consta dicha Asociación en la referida dirección postal. La reclamante señala que la difusión se produjo, en primera instancia, el 31 de mayo de 2019 a las 11:30 desde el número de teléfono ***TELÉFONO.2 que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 manifiesta pertenece a una profesora de la Asociación. Realizado requerimiento sobre la titularidad de este número de teléfono a VODAFONE ESPAÑA S.A.U., operadora de este número, con fecha de 6 de octubre de 2020 se recibe en esta Agencia, escrito de respuesta al requerimiento manifestando que en la fecha que señala la reclamante el número de teléfono no estaba asignado a ningún usuario. No aparece este número de teléfono en los mensajes de WeChat aportados pero si unos caracteres en chino, en sustitución del número de teléfono, que podrían corresponder al titular del mismo que tuviera grabado en la agenda la reclamante. La reclamante si aporta evidencias de una segunda difusión de vídeos desde un segundo número de teléfono el 31 de mayo de 2019 a las 11:45 que se corresponde con el número de contacto de la asociación. En las imágenes aportadas correspondientes a fotogramas de un video del menor, el rostro del menor está totalmente tapado por una pegatina digital excepto en una de ellas que se encuentra parcialmente tapado y en el que se puede identificar claramente al menor. Se comprueba, por las capturas de pantalla de los mensajes, que esta difusión se produjo a grupos que contenían entre 400 y 500 seguidores. Con fecha de 26 de octubre de 2020 se reitera la solicitud de información sobre los hechos denunciados a la Asociación investigada resultando devuelta por destinatario desconocido el 29 de octubre de 2020. Solicitado el número de identificación fiscal de la Asociación Cultural ***ASOCIACIÓN.1 a la AGENCIA TRIBUTARIA SERVICIO DE PLANIFICACION Y RELACIONES INSTITUCIONALES, con fecha de 28 de octubre, se recibe en esta Agencia la información solicitada. SEPTIMO: Con fecha 12 de enero de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 6.1.
- a)del RGPD, tipificada en el artículo 83.5 del RGPD. OCTAVO: El acuerdo de inicio del presente procedimiento sancionador fue notificado al reclamado el 26 de enero de 2021, pero éste no ha emitido alegación alguna en el plazo dado para ello. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: La difusión de imágenes de un menor de cuatro años, sin el consentimiento de los padres, por la Asociación Cultural ***ASOCIACIÓN.1, a la que el menor asistía a clases de chino. SEGUNDO: En fecha 3 de septiembre de 2019, se acordó el archivo de la reclamación, al no apreciarse elementos que permitieran investigar una vulneración de los derechos reconocidos en el ámbito competencial de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 No obstante, el 19 de noviembre de 2019 se resuelve estimar el recurso de reposición interpuesto por la reclamante el 4 de octubre de 2019 reiterando los argumentos expuestos en su escrito de reclamación y añadiendo que las imágenes controvertidas se volvieron a publicar desde el número de teléfono ***TELÉFONO.1, número de contacto de la Asociación, y se abre un nuevo expediente con número de referencia E/08183/2020. TERCERO: Con fecha 26 de enero de 2021 se notifica el acuerdo de inicio de este procedimiento, convirtiéndose el mismo en propuesta de resolución de conformidad con los artículos 64.2.
- f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), al no efectuar el reclamado alegaciones en el plazo indicado. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales, en concreto en su apartado 1.
- a)se indica que se entenderá lícito el tratamiento de los datos personales si este dio su consentimiento. En este sentido, y en aplicación al presente caso, donde se trata el derecho a la protección de la imagen de los menores, señalar que el artículo 8 del RGPD regula las condiciones aplicables al consentimiento del niño en relación con los servicios de la sociedad de la información, indicando que: “1- Cuando se aplique el artículo 6, apartado 1, letra a), en relación con la oferta directa a niños de servicios de la sociedad de la información, el tratamiento de los datos personales de un niño se considerará lícito cuando tenga como mínimo 16 años. Si el niño es menor de 16 años, tal tratamiento únicamente se considerará lícito si el consentimiento lo dio o autorizó el titular de la patria potestad o tutela sobre el niño, y solo en la medida en que se dio o autorizó. Los Estados miembros podrán establecer por ley una edad inferior a tales fines, siempre que esta no sea inferior a 13 años. 2. El responsable del tratamiento hará esfuerzos razonables para verificar en tales casos que el consentimiento fue dado o autorizado por el titular de la patria potestad o tutela sobre el niño, teniendo en cuenta la tecnología disponible. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 3. El apartado 1 no afectará a las disposiciones generales del Derecho contractual de los Estados miembros, como las normas relativas a la validez, formación o efectos de los contratos en relación con un niño.” Por lo tanto, para que sea lícito el tratamiento de los datos personales de los menores objeto de este caso, se requerirá el consentimiento de quien ostenta su patria potestad o tutela. III En el presente caso, la reclamación se centra en el uso no autorizado de la imagen del hijo menor de edad del reclamante, sin la legitimación legal exigida al efecto. Señalar que no serían de aplicación las excepciones del artículo 2 del RGPD, entre las que se contempla el uso doméstico de los datos personales ya que la imagen objeto de la presente reclamación ha sido enviada a más de 400 personas, todas ellas miembros de la asociación denunciada. De conformidad con los hechos denunciados, nos encontramos ante una infracción, imputable al reclamado, por el tratamiento de datos personales, regulado en el art. 6.1
- a)del RGPD, en relación con el artículo 8.1 del RGPD al tratar la imagen de un menor, sin el consentimiento de quien ostenta su patria potestad. IV En virtud de lo establecido en el artículo 58.2 del RGPD, la Agencia Española de Protección de Datos, en cuanto autoridad de control, dispone de un conjunto de poderes correctivos en el caso de que concurra una infracción a los preceptos del RGPD. El artículo 58.2 del RGPD dispone lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...) “
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” “
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” El artículo 72.1.
- b)de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. V Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD. Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como agravantes los siguientes: En el presente caso estamos ante acción negligente no intencional, pero significativa (artículo 83.2
- b) Se encuentran afectados identificadores personales básicos, en este caso la imagen del menor, según el artículo 83.2 g). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a ASOCIACIÓN CULTURAL ***ASOCIACIÓN.1, con NIF G98925795, por una infracción del artículo 6.1.
- a)del RGPD, tipificada en el artículo 83.5 del RGPD, una multa de 3.000 euros (tres mil euros). SEGUNDO: NOTIFICAR la presente resolución a ASOCIACIÓN CULTURAL ***ASOCIACIÓN.1. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es