← España

PS-00418-2021

1/16  Expediente N.º: PS/00418/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 23/04/2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el Grupo Municipal de VOX en el Ayuntamiento de Madrid con NIF G86867108 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: el grupo municipal realizo una visita a las instalaciones del IES Ramiro de Maeztu apoyando el deporte base junto a la Directiva del Club de Baloncesto Estudiantes; en dicha visita se realizó un video de un minuto que se difundió en redes sociales, twiter e instagram, en el citado video aparecen menores sin que se haya consentido en el tratamiento de sus datos. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), en el ámbito del expediente E/06285/2021, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 21/06/2021 se recibe en esta Agencia escrito de respuesta del reclamado indicando que el Grupo municipal del Ayuntamiento de Madrid de VOX hicieron una visita a las instalaciones del IES Ramiro de Maeztu, apoyando el deporte base y de esa visita se llevó a cabo un video de un minuto que se publicó en redes sociales; que la información gráfica es sobre un suceso o acontecimiento público y la imagen de los menores aparecen como meramente accesoria y de manera proporcional, sin que en ningún caso se produzca menoscabo de la honra o reputación de los menores, ni la publicación es contraria a sus intereses. TERCERO: Con fecha 04/08/2021 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 03/02/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador al reclamado por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.

  1. a)del RGPD, considerando que la sanción que pudiera corresponderle seria de apercibimiento. QUINTO: Notificado el acuerdo de inicio, el reclamado presentó escrito de alegaciones el 09/02/2022 en el que manifiesta, en síntesis, lo siguiente: que el reclamado realizo una vista institucional a las instalaciones del club de baloncesto por invitación del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 mismo; que de esa visita se llevó a cabo un video de un minuto que se publicó en redes sociales; que la información gráfica es sobre un suceso público, provocado por el propio club con su invitación al grupo municipal, y la imagen de los menores que figura es meramente accesoria, no se distinguen a los jugadores que están grabados a mucha distancia y que llevan puesta la mascarilla, siendo grabación proporcional y accesoria; que en este caso, un grupo municipal acuda a una reunión para promocionar el deporte, y que publicite la propia reunión, forma parte de sus competencias y dela misma manera se trata de un lugar abierto al público, tiene un interés político, cultural y deportivo relevante sin que en ningún caso se produzca menoscabo de la honra o reputación de los menores; que no es preciso el consentimiento de los menores en supuestos en que su imagen sea captada en relación con un suceso o acontecimiento público y su imagen aparezca como meramente accesoria; que se acuerde el archivo del procedimiento. SEXTO: Con fecha 13/10/2021 se inició el período de práctica de pruebas, acordándose las siguientes: Dar por reproducidos a efectos probatorios la reclamación interpuesta por la reclamante y su documentación, los documentos obtenidos y generados que forman parte del procedimiento E/06285/2021. Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por el reclamado. SEPTIMO: El 01/08/2022 fue emitida Propuesta de Resolución en el sentido de que por la Directora de la AEPD se sancionara al reclamado por una infracción del artículo 6.1.
  2. a)del RGPD, tipificada en el artículo 83.5 del RGPD, con una sanción de apercibimiento. En escrito de 08/08/2022 el reclamado respondía reiterando las alegaciones presentadas en anteriores escritos, incidiendo en que el artículo 25 de la Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen Local, establece como competencia propia de los municipios, la promoción del deporte y que la ley 7/1985, de 2 de Abril, Reguladora de las Bases de Régimen Local, en su redacción dada por la Ley 27/2013, de 27 de diciembre, de racionalización y sostenibilidad de la Administración Local (LRSAL), en relación al deporte municipal, establece como competencia propia del municipio, en su artículo 25, apartado
  3. l)“Promoción del deporte e instalaciones deportivas y de ocupación del tiempo libre” y que el artículo 6 del RGPD, establece expresamente que el tratamiento será licito, al margen del consentimiento, cuando
  4. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento . C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes, HECHOS PROBADOS PRIMERO. El 23/04/2021 el reclamante interpuso reclamación ante la AEPD manifestando que el reclamado realizo una visita a las instalaciones del IES Ramiro de Maeztu apoyando el deporte base junto a la Directiva del Club de Baloncesto Estudiantes; en dicha visita se realizó un video que se difundió en redes sociales, twiter e instagram, en el que aparecen menores sin que se haya consentido en el tratamiento de sus datos. SEGUNDO. Consta que el 04/03/2021 apareció en las redes sociales Instagram y Twitter vídeo de 1:07 minutos de duración en el que aparecen imágenes de menores durante su entrenamiento. TERCERO. El reclamante se dirigió mediante e-mail de fecha 05/03/2021 al Club Estudiantes manifestando su disconformidad con la visita da las instalaciones del reclamado y su sorpresa por el video del que tuvo conocimiento vía Wasap en el que se ve momentos del entrenamiento de uno de sus hijos, no resultándole tolerable el uso de dichas imágenes con fines políticos. CUAARTO. El 05/03/2021 el Club Estudiantes de Baloncesto respondía remitiendo escrito en el que señalaba lo siguiente: “…en su condición de club formador de referencia ha recibido en los últimos meses diversas visitas institucionales de los distintos grupos políticos municipales del Ayuntamiento de Madrid, con el objetivo de tratar con las mencionadas fuerzas políticas los proyectos deportivos que estamos implementando actualmente y que queremos desarrollar en el futuro. En este contexto, el pasado día 3 de marzo de 2021, recibimos en el Movistar Academy Magariños la visita de los componentes del grupo municipal de VOX, tomando medios y responsables de comunicación de VOX, imágenes de la reunión mantenida y de las instalaciones deportivas donde desarrollamos nuestras actividades. Al encontrarse en el pabellón en ese momento diversos equipos de nuestra cantera realizando entrenamientos, tomaron imágenes, entre otros elementos del pabellón, de algunos de los jugadores que en ese momento se encontraban ejercitándose. El Club va a trasladar al Departamento de Comunicación del grupo municipal de VOX en el Ayuntamiento de Madrid, la petición de editar nuevamente el vídeo con la finalidad de que no se emitan imágenes de los jugadores que fueron filmados”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 QUINTO. En escrito de 05/03/2021 el Club Estudiantes se dirigió al reclamado señalando lo siguiente: “Estimado …, Desde el Club Estudiantes de Baloncesto estamos recibiendo alguna queja de padres de jugadores menores de edad por haber sido grabados mientras entrenaban durante la visita que realizó el grupo municipal de VOX en el Ayto de Madrid el pasado día 3 de marzo, al no haber autorizado los padres el uso y reproducción de esas imágenes. Por este motivo y al no haber autorizado los padres la mencionada grabación, os solicitamos que editéis el vídeo de la visita eliminando las imágenes de los menores de edad que aparecen”. En esta misma línea fu remitido escrito el 11/03/2021, solicitando nuevamente la retirada de las imágenes de los menores ante las quejas de los tutores y padres y, que en el caso de no atender las peticiones reiteradas, se verían obligados a actuar conjuntamente en las acciones oportunas. SEXTO. En escrito de 21/06/2021 Vox ha señalado en relación con el video que: “La información gráfica es sobre un suceso o acontecimiento público y la imagen de los menores aparecen como meramente accesoria y de manera proporcional, de igual manera se trata de un lugar abierto al público, y tiene un interés político, cultural y deportivo relevante. En ningún caso se produce menoscabo de la honra o reputación de los menores, ni la publicación contraria a sus intereses. Nadie se ha dirigido a este partido ejerciendo derecho alguno” SEPTIMO. El 21/07/2021 el Club Estudiantes respondía al requerimiento de la AEPD manifestando que: “(…) Por consiguiente, CLUB ESTUDIANTES no ha intervenido en los hechos objeto de la reclamación, ya que en ningún momento se permitió la grabación de imágenes de los alumnos del Club, sino que solamente se permitió la entrada a los miembros del grupo parlamentario VOX como parte de una visita institucional a un recinto propiedad del Ayuntamiento de Madrid. Por tanto, los datos personales del reclamante (su imagen) no han sido objeto de tratamiento por CLUB ESTUDIANTES sin su consentimiento ni ha existido cesión de dichos datos personales a favor del citado partido político para sus propios fines. (…)”. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Los hechos denunciados se materializan en la publicación de un video realizado en las instalaciones del IES Ramiro de Maeztu conteniendo imágenes de menores lo que podría suponer la vulneración de la normativa en materia de protección de datos de carácter personal. Hay que señalar que la imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales. Es, por tanto, pertinente analizar si el tratamiento de datos personales (imagen de las personas físicas) llevado a cabo a través de la filmación de un video y su descarga en redes sociales es acorde con lo establecido en el RGPD. Artículo 6, Licitud del tratamiento, del RGPD en su apartado 1, establece que: 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  5. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  6. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  7. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  8. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  9. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16
  10. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  11. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones”. Por otra parte, el artículo 4 del RGPD, Definiciones, en sus apartados 1, 2 y 11, señala que: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. III 1. El tratamiento de datos requiere la existencia de una base legal que lo legitime, como el consentimiento del interesado para el tratamiento de los datos personales para uno o varios fines específicos. De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular. en particular, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. En el presente caso, se imputa al reclamado la vulneración del artículo 6.1.
  12. a)del RGPD al evidenciarse la ilicitud del tratamiento llevado a cabo por el reclamado al incluir en la grabación imágenes de menores y difundir en las redes sociales twiter e Instagram el video realizado en las instalaciones del IES Ramiro de Maeztu, sin que conste que los representantes de aquellos hubieran otorgado su consentimiento. Como consta en los hechos el reclamante, padre de uno de los menores, mostró su sorpresa por el video grabado del que tuvo conocimiento vía Wasap en el que se ve reproducen momentos del entrenamiento de uno de sus hijos. El propio club en el que se desarrollaron los acontecimientos se dirigió al reclamado indicándole que “Por este motivo y al no haber autorizado los padres la mencionada grabación, os solicitamos que editéis el vídeo de la visita eliminando las imágenes de los menores de edad que aparecen” y que “en ningún momento se permitió la grabación de imágenes de los alumnos del Club, sino que solamente se permitió la entrada a los miembros del grupo parlamentario VOX como parte de una visita institucional a un recinto propiedad del Ayuntamiento de Madrid”. Por tanto, se considera que el tratamiento llevado a cabo vulnera el principio de licitud consagrado en el artículo 6, no siendo aceptable como señala el reclamado que “La información gráfica es sobre un suceso o acontecimiento público y la imagen de los menores aparecen como meramente accesoria y de manera proporcional”. 2. El reclamado ha alegado que la publicación y difusión en redes sociales del video cuenta con suficiente legitimación en el apartado
  13. e)del artículo 6.1 RGPD que dispone”
  14. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento”. Este apartado justifica y legitima los tratamientos basados en actividades realizadas por las entidades del sector público entre las que se encuentran las comprendidas en la Administración Local, cuando dichas entidades ejercen potestades públicas o una misión de interés público, que no necesariamente debe de estar fundamentada en una concreta obligación jurídica, sino en la realización de los propios fines de interés público que ejercen, en este caso, los Ayuntamientos. Respecto de los tratamientos de datos personales realizados al amparo de la letra
  15. e)del artículo 6.1 del RGPD, es preciso realizar las siguientes matizaciones: En primer lugar, que tal y como prevén los apartados 2 y 3 del artículo 6 del RGPD, las normas jurídicas que habiliten dicho tratamiento podrán establecer disposiciones específicas en relación con los mismos: “2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
  16. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
  17. c)y e), deberá ser establecida por:
  18. a)el Derecho de la Unión, o
  19. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido”. El reclamado manifiesta que el fomento del deporte por parte de los grupos municipales del Ayuntamiento de Madrid es una misión claramente de interés público, provocado por la propia institución deportiva con su invitación y que el artículo 25 de la Ley 7/1985, de 2 de abril, reguladora de las Bases del Régimen Local (LRBRL), establece expresamente, como competencia propia de los municipios, la promoción del deporte. Sin embargo, tal manifestación no puede ser compartida; es cierto que en la LRBRL señala como una de las competencias municipales la promoción del deporte en el apartado
  20. l)del artículo 25: “
  21. l)Promoción del deporte e instalaciones deportivas y de ocupación del tiempo libre”. De la misma forma, la Ley 15/1994, de 28 de diciembre, del Deporte de la Comunidad de Madrid, en su Capitulo II, que lleva por título de las entidades locales, en el artículo 23, Funciones y competencias, establece que: “1. De conformidad con la presente Ley y con lo establecido en la legislación del Estado sobre Régimen Local, los Ayuntamientos ejercerán en sus respectivos términos las siguientes competencias y funciones:
  22. a)Promover de forma general la actividad física y el deporte en su ámbito territorial, fomentando las actividades físicas de carácter formativo y recreativo, especialmente entre los escolares. (…)” Hay que señalar que el tratamiento de datos estará amparado por la letra
  23. e)del artículo 6.1 si el derecho aplicable ha atribuido una competencia a la Administración C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 por una norma con rango de ley, artículo 8.2 de la LOPDGDD, y no lo estará en caso contrario. El artículo 6.1.
  24. e)del RGPD tan sólo considera lícito el tratamiento de datos personales sobre la base de dicho precepto si el mismo es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Por ello, si un determinado tratamiento no es “necesario” para el cumplimiento de la misión realizada en interés público o en el ejercicio de los poderes públicos conferidos por el ordenamiento, dicho tratamiento carecería de base jurídica suficiente legitimadora prevista en el apartado e). En el presente caso, si consideramos que el interés público invocado por el reclamado viene determinado por el mandato genérico establecido en las anteriores normas dirigido a las entidades locales para la promoción física y deportiva, de las instalaciones deportivas, así como la ocupación del tiempo libre, etc., el tratamiento llevado a cabo mediante la grabación de las imágenes de menores y su difusión en las redes sociales twiter e Instagram a través del video realizado en las instalaciones del IES Ramiro de Maeztu no es necesario para el cumplimiento de esa misión de interés público, estimándose que vulnera el artículo 6.1 del RGPD y, además, en la norma invocada no se impone la obligación de dicho tratamiento, no se determina esa misión de interés público y no se confiere poder público para llevar a cabo el tratamiento. 3. En relación con el consentimiento de los menores, establece el artículo 7, Consentimiento de los menores de edad, de la LOPDGDD que: “1. El tratamiento de los datos personales de un menor de edad únicamente podrá fundarse en su consentimiento cuando sea mayor de catorce años. Se exceptúan los supuestos en que la ley exija la asistencia de los titulares de la patria potestad o tutela para la celebración del acto o negocio jurídico en cuyo contexto se recaba el consentimiento para el tratamiento. 2. El tratamiento de los datos de los menores de catorce años, fundado en el consentimiento, solo será lícito si consta el del titular de la patria potestad o tutela, con el alcance que determinen los titulares de la patria potestad o tutela”. Y el artículo 92, Protección de datos de los menores en Internet, de la LOPDGDD dispone que: “Los centros educativos y cualesquiera personas físicas o jurídicas que desarrollen actividades en las que participen menores de edad garantizarán la protección del interés superior del menor y sus derechos fundamentales, especialmente el derecho a la protección de datos personales, en la publicación o difusión de sus datos personales a través de servicios de la sociedad de la información. Cuando dicha publicación o difusión fuera a tener lugar a través de servicios de redes sociales o servicios equivalentes deberán contar con el consentimiento del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/16 menor o sus representantes legales, conforme a lo prescrito en el artículo 7 de esta ley orgánica”. De la normativa señalada se deduce que para publicar o difundir la imagen de menores de edad se requiere el consentimiento de los padres o tutores si es menor de 14 años y, en todo caso, si es mayor de 14 el consentimiento del menor. El RGPD considera la imagen como un dato de carácter personal y sujeto, por tanto, a protección. Para poder tratar cualquier dato personal se exige un consentimiento expreso por parte de su titular, por lo que, para tratar (publicar) las grabaciones o vídeos en la que figura la imagen de una persona, necesitamos su consentimiento o el de su representante o tutor. 4. Hay que señalar, que la imagen está considerada como un dato personal de acuerdo a la definición de dato personal proporcionada por el artículo 4 del RGPD y, como tal, cualquier tratamiento que se realice de las imágenes de personas identificadas o identificables ha de cumplir con los requisitos, obligaciones y principios establecidos en la normativa sobre protección de datos de carácter personal, RGPD y LOPDGDD. De esta forma, en este caso concreto, la persona que es grabada tiene derecho a consentir sobre la recogida y uso de su imagen y, además, corresponde al responsable del tratamiento asegurarse de que aquel a quien se solicita su consentimiento efectivamente lo da. En este sentido, la imagen es un dato de carácter personal y el responsable que graba dicha imagen, necesita obtener el consentimiento de la persona debiendo cumplir con la normativa de protección de datos de carácter personal. A estos efectos, la captación y registro de la imagen y/o la voz en un soporte físico tienen consideración de tratamiento de datos de carácter personal cuando permiten determinar, directa o indirectamente, la identidad de su titular, y en este caso, dicho tratamiento sólo será legítimo si está basado en alguno de los fundamentos jurídicos que enumera el art. 6.1 del RGPD. El Tribunal Constitucional, en relación con los datos amparados por el derecho fundamental a la protección de datos personales ha señalado que “De todo lo dicho resulta que el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/16 su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que los rectifique o los cancele.” El objeto del derecho fundamental a la protección de datos, no se reduce sólo a los datos íntimos de la persona, sino a cualquier tipo de dato personal, sea o no íntimo, cuyo conocimiento o empleo por terceros pueda afectar a sus derechos, sean o no fundamentales, porque su objeto no es sólo la intimidad individual, que ya estaría protegido por el artículo 18.1 de la Constitución, sino los datos de carácter personal. Es decir, el TC viene a extender este derecho fundamental a los datos personales públicos, que por el hecho de ser públicos no pueden escapar al poder de disposición del propio interesado o afectado, no constriñéndose a los relativos a la vida privada o íntima de la persona, sino que los datos amparados y protegidos son todos aquellos que identifiquen o permitan la identificación de la persona, que puedan configurar su perfil ideológico, racial, sexual, económico, etc. IV La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo 83.5
  25. a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/16 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  26. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…) V No obstante, la LOPDGDD en su artículo 77, Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento, establece lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  27. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
  28. b)Los órganos jurisdiccionales.
  29. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
  30. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
  31. e)Las autoridades administrativas independientes.
  32. f)El Banco de España.
  33. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
  34. h)Las fundaciones del sector público.
  35. i)Las Universidades Públicas.
  36. j)Los consorcios.
  37. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/16 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los aparta-dos anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica”. De conformidad con las evidencias de las que se dispone, la conducta del reclamado constituye una infracción de lo dispuesto en el artículo 6.1.
  38. a)del RGPD, al carecer del consentimiento de los padres o tutores de los menores que aparecen en el video difundido a través de las redes sociales twiter e Instagram. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/16 La LOPDGDD contempla en su artículo 77 la sanción de apercibimiento en relación con los tratamientos de datos personales que no se adecúen a sus previsiones. A este respecto, el artículo 83.7 del RGPD contempla que “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro”. Asimismo, se contempla que la resolución que se dicte se podrán establecer medidas que proceda adoptar para que cese la conducta, se corrijan los efectos de la infracción que se hubiese cometido y su adecuación a las exigencias contempladas en el artículo 6.1.
  39. a)del RGPD, así como la aportación de medios acreditativos del cumplimiento de lo requerido. Se hace necesario señalar que reiterar la conducta puesta de manifiesto en la reclamación y que es causa del presente procedimiento, así como no informar seguidamente a esta AEPD de las medidas adoptadas para evitar incidencias como la señalada podría dar lugar al ejercicio de posibles actuaciones ante el responsable del tratamiento a fin de que se apliquen de manera efectiva las medidas que garanticen y no comprometan la licitud del tratamiento de los datos de carácter personal y la intimidad de las personas. VI Los poderes correctivos que el RGPD atribuye a la AEPD como autoridad de control se relacionan en su artículo 58.2, apartados
  40. a)a j). El artículo 83.5 del RGPD fija una sanción de multa administrativa (artículo 58.2.
  41. i)para las conductas que en él se tipifican, sin perjuicio de que, como dispone el artículo 83.2. del RGPD, las multas administrativas puedan imponerse juntamente con otras medidas correctivas previstas en el artículo 58.2 del RGPD. Al haberse confirmado la infracción, procede imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  42. d)del RGPD, según el cual cada autoridad de control podrá “
  43. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado”. En el presente caso, se requiere al reclamado para que en el plazo de un mes a partir de la notificación de la presente resolución: - Acredite la adopción de medidas para que no vuelvan a producirse incidencias como la que dio lugar al procedimiento sancionador: la captación y difusión de imágenes de menores en un vídeo sin el consentimiento de sus progenitores y que los tratamientos efectuados se ajustan a las disposiciones del presente Reglamento y suprimir la imagen de todos los menores que aparezcan en el vídeo que tienen publicado en redes sociales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/16 Se advierte que no atender el requerimiento puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER al GRUPO MUNICIPAL VOX AYUNTAMIENTO DE MADRID, con NIF G86867108, por una infracción del artículo 6.1.
  44. a)del RGPD, tipificada en el artículo 83.5.
  45. a)del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución al GRUPO MUNICIPAL VOX AYUNTAMIENTO DE MADRID. TERCERO: REQUERIR al GRUPO MUNICIPAL VOX AYUNTAMIENTO DE MADRID, para que en el plazo de un mes desde la notificación de esta resolución, acredite: la adopción de medidas para que no vuelvan a producirse incidencias como la que dio lugar al procedimiento sancionador: la captación y difusión de imágenes de menores en un vídeo sin el consentimiento de sus progenitores y que los tratamientos efectuados se ajustan a las exigencias contempladas en el artículo 6.1 del RGPD y a suprimir la imagen de todos los menores que aparezcan en el vídeo que tienen publicado en redes sociales. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  46. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/16 presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.