← España

PS-00483-2017

1/23 Procedimiento Nº PS/00483/2017 RESOLUCIÓN: R/00308/2018 En el procedimiento sancionador PS/00483/2017, instruido por la Agencia Española de Protección de Datos a la entidad ***COLEGIO.1, vista la denuncia presentada por Don A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 13 de enero de 2017 se registra de entrada en esta Agencia escrito de Don A.A.A., (en lo sucesivo el denunciante), poniendo de manifiesto que con fecha 14 de octubre de 2016 solicitó al ***COLEGIO.1., en adelante el denunciado, la eliminación de todas las imágenes de sus hijos que tuvieran en sus ordenadores o servidores, recibiendo respuesta un mes después confirmando la eliminación de las mismas. Sin embargo, ha comprobado que en la sección noticias, página 5, en “Celebramos el Carnaval Nursey” de la página web del Colegio sigue alojado un video colgado en youtube en el que aparece su hijo, añadiendo que en la primera foto que aparece en esa sección también se le ve de refilón. Entre otra, anexa la siguiente documentación:  Copia de un documento firmado con fecha 30/04/2015 por los tutores del alumno B.B.B., entre ellos el denunciante, autorizando el uso de la imagen del menor con la finalidad de la publicación de las fotografías en la página web del centro de trabajo y redes sociales para el curso escolar 2015-2016, entendiéndose que su publicación hace que sean accesibles a cualquier persona conectada a Internet.  Copia del escrito del Colegio de fecha 3 de noviembre de 2016 comunicando la eliminación de las imágenes de los hijos del denunciante en los ordenadores del centro, que respondía a la petición efectuada en tal sentido con 13 de octubre de 2016 por los tutores de dichos menores. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, los Servicios de Inspección de esta Agencia tienen conocimiento de los siguientes extremos: 1. Con fecha 26 de enero de 2017, se accede a la dirección: ***URL.1, constatando la existencia de un video en el que aparece un menor como el descrito en la denuncia. 2. Con fecha 17 de abril de 2017, se realiza la misma búsqueda comprobándose que ya no se acceden a las imágenes objeto de denuncia, dando acceso a una página donde se solicita usuario y contraseña. 3. Con fecha 10 de mayo de 2017, se recibe escrito del ***COLEGIO.1, en el que en contestación a las manifiesto que: C/ Jorge Juan, 6 28001 – Madrid solicitudes de información de esta Agencia se pone de www.agpd.es sedeagpd.gob.es 2/23 3.1. La dirección ***URL.2 corresponde al Centro. 3.2. Las imágenes no se encuentran en su web, debiendo tratarse de un enlace privado. 3.3. No tienen constancia de que se haya publicado ninguna imagen del menor desde ningún canal de su responsabilidad, desde al menos octubre de 2016, que es cuando tiene lugar la comunicación del denunciante al Colegio. 3.4. Adjuntan sendos documentos de solicitud de plaza y criterios de admisión del reseñado Centro que están firmados, con fechas 13 de marzo de 2013 y 17 de marzo de 2014, por ambos tutores del menor citado en el anterior antecedente de hecho, en cuyo respectivo “Aviso Legal” se señala: “Asimismo, los Padres o Tutores autorizan expresamente al ***COLEGIO.1 para que su hij@ pueda ser fotografiado y/o grabado en audio/video como consecuencia de su participación en actividades escolares, extracurriculares y extraescolares, y a utilizar dicho material, u otro obtenido con tal motivo, a efectos de promoción (Página Web, Galería de imágenes, promoción en Internet, vallas publicitarias, folletos actos y exposiciones) siempre que no exista oposición expresa previa por parte del Padre o Tutor.(…)” 4. Con fecha 24 de mayo de 2017 se accede a la dirección ***URL.1 dando un error de Página no encontrada. TERCERO: Con fecha 5 de octubre de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador al ***COLEGIO.1., por presunta infracción de los artículos 6.1 y 10 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificadas como graves en el artículo 44.3.

  1. b)y 44.3.d), respectivamente, de dicha norma. CUARTO: Notificado el acuerdo de inicio y recibida copia de la documentación obrante en el procedimiento sancionador junto con el acuerdo de ampliación de plazo para formular alegaciones, el Colegio denunciado solicitó el sobreseimiento del procedimiento con fundamento, en síntesis, en las siguientes alegaciones: -Existía consentimiento expreso de ambos progenitores del menor B.B.B. para el uso por parte del ***COLEGIO.1. de imágenes del citado menor con la finalidad de la publicación de las fotografías, grabaciones, vídeos en la página web del centro y redes sociales, conforme prueban los documentos de matrícula firmados desde marzo de 2013 hasta marzo de 2016 aportados al procedimiento y el consentimiento informado suscrito también por los padres del reseñado menor con fecha 30 de marzo de 2015 para que Colegio pudiera hacer uso de imágenes de su hijo, "con la finalidad de la publicación de las fotografías en la página web del centro de trabajo y redes sociales" . -Se discute que el día 26 de enero de 2017 pudiera existir un vídeo con tres años de antigüedad, ya que la página web del colegio se actualiza constantemente con eventos de fechas recientes. Además, se observa que en la fecha en la que supuestamente se realizó el vídeo (año 2014) existían consentimientos expresos firmados por los padres del menor de fechas 13 de marzo de 2013 y 17 de marzo de 2014 para el uso de imágenes. - Recibido con fecha 14 de octubre de 2017 escrito únicamente firmado por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/23 padre del reseñado menor, en el que éste solicitaba la eliminación de las imágenes de sus hijos en los ordenadores del colegio y el envío de los consentimientos firmados, dicha petición fue contestada por el ***COLEGIO.1 con fecha 3 de noviembre de 2016 en el sentido solicitado por el denunciante. En relación con la reseñada solicitud unilateral del denunciante, se alega “que hubiera sido necesario la solicitud por parte de ambos progenitores que ostentan, salvo que se demuestre lo contrario, la patria potestad del menor, por lo que el documento enviado no tiene la validez jurídica necesaria ni la potestad completa para realizar esa gestión. Entendemos con ello, que la madre sí está de acuerdo en el uso de las imágenes de su hijo menor de acuerdo con lo firmado y no ha sido revocado hasta la fecha de hoy como así establece el artículo 156 del Código Civil. “ - La entidad siempre ha actuado de buena fe, recabando las correspondientes autorizaciones de los tutores de acuerdo a lo establecido en el artículo 6.1 la LOPD y eliminado las imágenes / vídeos cuando se solicitó en noviembre de 2016, mientras que los padres del menor no han manifestado discrepancia alguna hasta la formulación de la denuncia tres años más tarde (enero de 2017), momento que coincide con el abandono del hijo menor del centro escolar existiendo una deuda a favor de la entidad. - Se niega la vulneración del deber de secreto acerca del tratamiento de los datos de carácter personal del menor. El ***COLEGIO.1 no tiene constancia que con fecha 26 de enero de 2017 existieran imágenes de los menores en la página web del Colegio, pudiendo, en todo caso, tratarse de un enlace privado sólo accesible para aquellos que conozcan el mismo, y respecto del que el Colegio no tiene responsabilidad alguna puesto que la entidad ha eliminado todas las imágenes de los ordenadores. - Conforme a la definición recogida en el artículo 3.
  2. a)de la LOPD el tratamiento realizado no estaría amparado por la LOPD, ya que las imágenes del menor estudiadas no permiten su fácil identificación por terceras personas. -Se invoca la Instrucción 2/2006 de 15 de marzo de la Fiscalía General del Estado, entendiendo que autorizando la participación en fiestas y/o carnavales grupales del colegio se está consintiendo al consintiendo al uso de esas imágenes procedentes de actos públicos. Asimismo, se alega que es aplicable lo establecido en la Disposición Adicional Vigesimotercera Ley Orgánica 2/2006, de 3 de mayo, de Educación. -Respecto de la sanción, el acuerdo de inicio no establece claramente su calificación, ya que señalando que es una infracción grave se fija una sanción de 3.000€, importe dentro del baremo de las sanciones leves. Falta de aplicación del principio de proporcionalidad, dado que sin existir ninguno de los supuestos establecidos los apartados del artículo 45.4 de la LOPD se pasa del mínimo de 900€ a 3.000€ sin fundamentación alguna. Se discrepa de que concurra la agravante de reiteración, ya que la resolución del PS/00155/2016 ha sido recurrida ante los tribunales de justicia y está pendiente de resolución La entidad ha actuado en todo momento de buena fe, no existiendo intencionalidad o engaño para terceras personas y habiendo contestado todos los requerimientos realizados por la AEPD y el denunciante. Subsidiariamente, se solicita la reducción de la sanción inicialmente propuesta para adecuarla a los principios de la potestad sancionadora. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/23 QUINTO: Con fecha 3 de noviembre de 2017 se inició período de práctica de pruebas, en cuyo marco se acordó practicar las siguientes pruebas: -Incorporar al expediente del procedimiento arriba indicado, y por tanto dar por reproducida a efectos probatorios, la documentación recabada en las actuaciones previas de inspección que forman parte del expediente E/01002/2017, así como las alegaciones al acuerdo de inicio del procedimiento PS/00483/2017 presentadas por el referido Colegio Todo ello con su correspondiente documentación adjunta. - Incorporar al expediente del procedimiento arriba indicado, y por tanto dar por reproducida a efectos probatorios copia de la Instrucción 2/2006, de la FGE, sobre el Fiscal y la protección del derecho al honor, intimidad y propia imagen de los menores, de fecha 15 de marzo de 2006. - Solicitar al ***COLEGIO.1.:
  3. a)Remisión de copia del escrito remitido por el denunciante a ese Colegio en octubre de 2016 solicitando la eliminación de las imágenes de sus dos hijos menores, o, en su caso, el que originó la contestación de ese Centro al mismo de fecha 3 de noviembre de 2016 (folio 4).
  4. b)Especificación del motivo por el cual con posterioridad a la referida solicitud no se eliminaron las correspondientes al hijo menor del denunciante que aparecían en la Sección de Noticias de la página web de ese colegio, localizadas por esta Agencia con fecha 26 de enero de 2017 en el enlace detallado en el punto 1 del hecho segundo del acuerdo de inicio del procedimiento sancionador PS/00483/2017. SEXTO: Aceptada con fecha 15 de noviembre de 2017 la ampliación de plazo solicitada para la aportación de las pruebas cuya práctica fue requerida, con fecha 4 de diciembre de 2017 se registra de entrada en esta Agencia contestación del ***COLEGIO.1 adjuntando copia del Burofax remitido por el denunciante a dicho Centro con fecha 13/10/2016 y certificado en el que consta que, con fecha 15/10/2016, el Centro procedió al barrido y eliminación de todas las imágenes de los menores B.B.B. en ordenadores del Colegio a través de su departamento informático. SÉPTIMO: Con fecha 8 de febrero de 2018 se incorpora al procedimiento sancionador impresión del resultado de las búsquedas efectuadas en los siguientes enlaces: - ***URL.3 . Aparece el mensaje de que la página solicitada no existe. ***URL.4. Aparece el mensaje “Este vídeo no está disponible” ***URL.5. OCTAVO: Con fecha 13 de febrero de 2018 se formuló propuesta de resolución, proponiendo la imposición de una sanción de 3.000 € (Tres mil euros) al ***COLEGIO.1. por la comisión de una infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
  5. b)de dicha norma. En dicha propuesta, que se notificó con fecha 13 de febrero de 2018, se indicaba al mencionado Colegio que podría llevar a cabo el pago voluntario de la sanción propuesta, lo que supondría una reducción de un 20% del importe de la misma, equivalente en este caso a 600 euros, por lo que la sanción quedaría establecida en 2.400 euros. Se recordaba que la efectividad de la reducción señalada estaría condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/23 NOVENO: Con fecha 2 de marzo de 2018, se registra de entrada escrito del Colegio denunciado reiterando los argumentos expuestos en las alegaciones anteriores para solicitar el archivo del expediente. De no estimarse tal petición, solicita, subsidiariamente, la reducción de la sanción inicialmente propuesta para adecuarla a los principios de la potestad sancionadora, sin perjuicio de la interposición de los recursos que estime convenientes. HECHOS PROBADOS PRIMERO: Con fecha 13 de enero de 2017 se recibe denuncia de Don A.A.A., (el denunciante), manifestando que, con posterioridad a que el ***COLEGIO.1. le confirmase que se había procedido a la eliminación de todas las imágenes de sus hijos en los ordenadores del Centro, ha constatado que “en la sección noticias, página 5, en Celebramos el Carnaval *** reception de la web del colegio sigue apareciendo un video colgado en youtube en el que aparece mi hijo con el resto de su clase vestido con pantalón rojo y camisa verde,(…)” . (folios 1 al 5) SEGUNDO: Don A.A.A. y Dña. D.D.D. son padres del menor B.B.B. ., en adelante el menor o B.B.B., alumno durante los cursos 2015/2016 del ***COLEGIO.1 TERCERO: Con fecha 13 de octubre de 2016 ***COLEGIO.1 solicitando: (folio 48) el denunciante dirigió escrito al “Muy Sres. Míos, Por la presente, vuelvo a reclamarles la entrega de los consentimientos para tomar fotos de menores, de mis hijos, F.F.F. y B.B.B. , del pasado curso 2015/2016. Igualmente aprovecho la ocasión para solicitarles una copia de todas las imágenes que guarden de ambos en sus ordenadores, así como la eliminación definitiva de las mismas. “ CUARTO: Con fecha 3 de noviembre de 2016 el ***COLEGIO.1. dirigió escrito a los padres del menor B.B.B. , ya que en el encabezamiento aparecía la identificación de ambos progenitores, con el siguiente texto: (folio 4) “Muy Sr. Nuestro: En respuesta a su carta de fecha 13 de Octubre de 2016, por la que solicita la entrega de los consentimientos para el uso o publicación de imágenes de sus hijos, F.F.F. y B.B.B. , del pasado curso 2015/2016, adjuntamos copia de los citados documentos. Asimismo le indicamos que siguiendo sus deseos se ha procedido a la eliminación de todas las imágenes de ambos menores en los ordenadores del Centro. “ QUINTO: Con fechas 13 de marzo de 2013 y 17 de marzo de 2014 los padres del menor B.B.B. , en su condición de tutores del mismo, firmaron sendas solicitudes de matrícula en cuyo apartado de “Aviso Legal” se les informaba, en cumplimiento de lo establecido en el artículo 5 de la LOPD, de lo siguiente: (folios 22 y 23) “Asimismo, los Padres o Tutores autorizan expresamente al ***COLEGIO.1 para que su hij@ pueda ser fotografiado y/o grabado en audio/ video como consecuencia de su participación en actividades escolares, extracurriculares y extraescolares, y a utilizar dicho material , u otro obtenido con tal motivo, a efectos de promoción (Página Web, Galería de imágenes, promoción en Internet, vallas publicitarias, folletos, actos y C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/23 exposiciones) siempre que no exista oposición expresa previa por parte del Padre o Tutor. (…). “ SEXTO: Con fecha 16 de marzo de 2016 los padres del menor B.B.B. , en su condición de tutores del mismo, firmaron solicitud de matrícula del curso 2016/2017 en cuyo “Aviso Legal”, en la que en cumplimiento de lo establecido en el artículo 5 de la LOPD, se informaba: (folio 19) “Asimismo, le informamos que con motivo del normal desarrollo de las actividades del Centro pueden tener lugar tomas de fotografías y/o grabaciones en audio/vídeo tanto de los profesores y personal del Centro, como de los propios alumn@s y sus padres o tutores, con motivo de su participación en actividades escolares, extracurriculares y extraescolares, así como que dicho material podría ser utilizado a efectos de difusión de las actividades del Centro y promoción del mismo (Página Web, Galería de imágenes, promoción en Internet, vallas publicitarias, folletos, actos y exposiciones) siempre que no exista oposición expresa previa. (…). “ Dicha solicitud tenía marcada la casilla de Acepto. SÉPTIMO: Con fecha 30 de abril de 2015, los dos progenitores del menor B.B.B. , en su condición de tutores del mismo, suscribieron “Autorización para el Uso de Imágenes o/y su Publicación en la Web del Centro”, referido al año escolar 2015/2016. En dicho documento constaba en relación con el uso de la imagen del referido menor que: “Mediante la presente, da su autorización a ***COLEGIO.1 SL, para que pueda hacer uso de su imagen, con la finalidad de la publicación de las fotografía en la página Web del Centro de trabajo y Redes Sociales. Se entiende que su publicación hace que sean accesibles a cualquier persona conectada a Internet (…).” (folio 20) OCTAVO: Con fecha 26 de enero de 2017 se verifica desde la AEPD que al visitar la dirección web ***URL.1 se accede a un video de la plataforma YouTube en el que aparece la imagen de un menor con las características reseñadas por el denunciante en su escrito de denuncia. El acceso a las imágenes de dicho vídeo se efectuó sin utilizar usuario y contraseña. (folios 1, 6 al 8) NOVENO: Con fecha 17 de abril de 2017 al realizar la misma búsqueda se comprueba que ya no se accede directamente a las imágenes objeto de denuncia, dando acceso a una página donde se solicita usuario y contraseña. DÉCIMO: Como resultado de los accesos efectuados desde la AEPD con fechas 24 de mayo de 2017 y 7 de febrero de 2018 a la dirección ***URL.1 se comprobó que aparecía un error de Página no encontrada. (folios 24, 25, 98 y 99 ) UNDÉCIMO: Como resultado del acceso efectuado con fecha 7 de febrero de 2018 a la dirección ***URL.6 apareció el siguiente mensaje: “Este vídeo no está disponible. “ (folio 101) DUODÉCIMO: El ***COLEGIO.1 es titular y propietario del sitio web ***URL.2 (folio 102) FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/23 Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  6. g)en relación con el artículo 36 de la LOPD. II El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. En cuanto al ámbito de aplicación de la citada norma el artículo 2.1 de la misma señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
  7. a)del artículo 3 de la citada Ley Orgánica 15/1999, como “Cualquier información concerniente a personas físicas identificadas o identificables”, añadiendo el apartado 1.
  8. f)del artículo 5 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD), que dato de carácter personal es “cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables”. La definición de persona identificable aparece en la letra
  9. o)del citado artículo 5.1 del RLOPD, que considera como tal “toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados”. En este mismo sentido se pronuncia el artículo 2.
  10. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Asimismo, el Considerando 26 de esta Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. La Directiva 95/46/CE en su Considerando 14 lo afirma expresamente al señalar lo siguiente: “Considerando que, habida cuenta de la importancia que, en el marco de la sociedad de la información, reviste el actual desarrollo de las técnicas para captar, transmitir, manejar, registrar, conservar o comunicar los datos relativos a las personas físicas constituidos por sonido e imagen, la presente Directiva habrá de aplicarse a los tratamientos que afectan a dichos datos”. Por lo tanto, la imagen de una persona constituye un dato de carácter personal, toda vez que la información captada concierne a personas que las hacen identificadas o identificables y suministra información sobre la imagen personal de éstas, el lugar de su captación y la actividad desarrollada por el individuo al que la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/23 imagen se refiere. En consecuencia, la imagen del hijo del denunciante publicada a través de la página web del Colegio denunciado se ajustará a este concepto siempre que permita la identificación de la persona que aparece en la misma. Por otra parte, la aplicabilidad de la normativa de protección de datos de carácter personal, de acuerdo con lo indicado en el citado artículo 2.1 de la LOPD, requiere que dichos datos aparezcan registrados en un soporte físico que los haga susceptibles de tratamiento. El artículo 3 de la LOPD define en su letra
  11. c)el tratamiento de datos como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. Asimismo, dicho artículo 3 de la LOPD define en su apartado
  12. b)como “Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.”, mientras que en su apartado
  13. e)describe como “Afectado o interesado” a la “Persona física titular de los datos que sean objeto del tratamiento a que se refiere el apartado
  14. c)del presente artículo.” Por tanto, la garantía del derecho a la protección de datos conferida por la normativa de referencia requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. De acuerdo con la definición de tratamiento de datos personales, la incorporación, conservación y exposición de imágenes de persona físicas en una página web puede considerarse un tratamiento de datos personales incluido en el ámbito de aplicación de la normativa citada, debiendo analizarse en cada caso si este tratamiento se efectúa sobre información concerniente a personas físicas identificadas o identificables. Respecto de esta cuestión, se considera que la imagen obtenida con fecha 26 de enero de 2017 por esta Agencia a través del enlace ***URL.1, permite identificar sin esfuerzos desproporcionados al menor situado en la segunda fila del grupo de niños cuya descripción responde a la efectuada por el denunciante en los siguientes términos: “(…) en la sección noticias, página 5, en Celebramos el Carnaval *** reception de la web del colegio sigue apareciendo un video colgado en youtube en el que aparece mi hijo con el resto de su clase vestido con pantalón rojo y camiseta verde”, debe concluirse que se ha producido un tratamiento de datos de carácter personal del hijo del denunciante (imagen) al que resultan de plena aplicabilidad de los principios y garantías expuestos en la normativa de protección de datos de carácter personal. En esta línea la Audiencia Nacional en su sentencia de 08/03/2002, señalaba que para que exista dato de carácter personal (en contraposición con dato disociado) no es imprescindible una plena coincidencia entre el dato y una persona concreta, sino que es suficiente con que tal identificación pueda efectuarse sin esfuerzos desproporcionados, tal y como se desprende del mencionado artículo 3 de la Ley, en sus apartados
  15. a)y
  16. f)y también del Considerando 26 de la invocada Directiva 95/46/CE que expresamente señala que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona, para identificar a dicha persona; que los principios de la protección no se aplicarán a aquellos datos hechos anónimos de manera tal que ya no sea posible C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/23 identificar al interesado”. Atendido el amplio concepto de dato personal, aunque en las imágenes estudiadas el menor en cuestión no aparezca con el uniforme del colegio al estar disfrazado, no impide que fuera perfecta y fácilmente identificable como alumno de ese Centro por el personal docente y directivo, por otros de alumnos por los padres de sus compañeros de clase o incluso de cualquier tercero ajeno ese específico ámbito escolar que lo pudiera reconocer, amén de que la imagen del menor obtenida con fecha 26 de enero de 2017 (Hecho probado 7) resulta clara y definida, permitiendo su identificación sin esfuerzos desproporcionados, aunque no sea un primer plano. Asimismo, en la Sentencia de la Audiencia Nacional de 17/03/2007, Recurso 621/2004 señala en su Fundamento de Derecho Cuarto que “…un sitio Web exige siempre cualquiera que sea su finalidad una organización o estructura que permita el acceso a la información en él contenida por terceros. Cumpliría así la primera de las exigencias de un fichero, la estructural u organizativa. Pero es que además, y esto es obvio, el sitio Web XXXXXXX contuvo datos de carácter personal, precisamente los referidos al denunciante, que fueron difundidos a través de dicho sitio, lo que supone tratamiento…si hubo tratamiento de datos de carácter personal consistente en la incorporación y difusión de éstos desde una estructura organizada (fichero) como era el sitio Web, es indudable que el régimen de protección contenido en la Ley Orgánica 15/1999 es plenamente aplicable, sin que altere la anterior conclusión el hecho de los datos tratados se refieran a una sola persona pues la ley no exige en ningún caso la existencia de una pluralidad de personas afectadas para que podamos hablar de tratamiento y fichero…” y, continúa, citando la sentencia del Tribunal de Justicia de la Unión Europea, de 06/11/2003, caso Linqvist. Asunto C-101/01, que señalaba “Por tanto, procede responder a la primera cuestión que la conducta que consiste en hacer referencia, en una página web, a diversas personas y en identificarlas por su nombre o por otros medios, como su número de teléfono o información relativa a sus condiciones de trabajo y a sus aficiones, constituye un “tratamiento total o parcialmente automatizado de datos personales” en el sentido del artículo 9 3, apartado1 de la Directiva 95/46.” III La vigente LOPD atribuye la condición de responsables de las infracciones a los responsables de los ficheros (art. 43), concepto que debe integrarse con la definición que de los mismos recoge el artículo 3.d), que define como “Responsable del fichero o tratamiento” a la “Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento.”. Este precepto incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Es preciso, por tanto, determinar si en el presente caso la actividad desarrollada por el ***COLEGIO.1 puede subsumirse o no en tales definiciones legales, es decir, si es responsable del fichero y/o tratamiento, y en caso afirmativo si está o no legitimado para el tratamiento de datos del menor, y por ende verificar la prestación del consentimiento sus progenitores o la ausencia del mismo. En el presente caso el citado centro gestiona la página web ***URL.2, decidiendo la finalidad, contenido y uso de los datos de carácter personal que se tratan en el portal de su propiedad, motivo por el cual el tratamiento de datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/23 realizado por el mencionado Colegio al publicar, en abierto, en el sitio web citado un video alojado en la plataforma YouTube en el que aparecía la imagen del menor de edad B.B.B. , alumno de dicho centro, cae bajo la órbita del régimen sancionador de la LOPD. IV El artículo 6.1 de la LOPD dispone lo siguiente: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Por su parte, el apartado 2 del mencionado artículo contiene una serie de excepciones a la regla general contenida en aquel apartado 1, estableciendo que: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un interés vital del interesado en los términos del artículo 7, apartado 6, de la presente Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El artículo 3 de la LOPD define en su letra
  17. h)“Consentimiento del interesado” como “toda manifestación de voluntad, libre, inequívoca, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernen”. El tratamiento de datos sin consentimiento de los afectados constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer párrafo) “…consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Son, pues, elementos característicos del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. En términos similares, el artículo 10 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, (RDLOPD), que bajo el epígrafe “Supuestos que legitiman el tratamiento o cesión de los datos”, determina en su apartado 1 que: “1. Los datos de carácter personal únicamente podrán ser objeto de tratamiento o cesión si el interesado hubiera prestado previamente su consentimiento para ello.“ C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/23 Asimismo, conviene recordar que los apartados 1 y 3 del artículo 12 del RLOPD establecen como “Principios generales” del consentimiento que: “1. El responsable del tratamiento deberá obtener el consentimiento del interesado para el tratamiento de sus datos de carácter personal salvo en aquellos supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes. La solicitud del consentimiento deberá ir referida a un tratamiento o serie de tratamientos concretos, con delimitación de la finalidad para los que se recaba, así como de las restantes condiciones que concurran en el tratamiento o serie de tratamientos. 2 (…) 3. Corresponderá al responsable del tratamiento la prueba de la existencia del consentimiento del afectado por cualquier medio de prueba admisible en derecho. “ Además, como el tratamiento de datos estudiado afecta a un menor de edad, resulta de aplicación lo dispuesto en el artículo 13 del RLOPD, que en relación con el “Consentimiento para el tratamiento de datos de menores de edad”, establece que: “1. Podrá procederse al tratamiento de los datos de los mayores de catorce años con su consentimiento, salvo en aquellos casos en los que la Ley exija para su prestación la asistencia de los titulares de la patria potestad o tutela. En el caso de los menores de catorce años se requerirá el consentimiento de los padres o tutores. 2. En ningún caso podrán recabarse del menor, datos que permitan obtener información sobre los demás miembros del grupo familiar, o sobre las características del mismo, como los datos relativos a la actividad profesional de los progenitores, información económica, datos sociológicos o cualesquiera otros, sin el consentimiento de los titulares de tales datos. No obstante, podrán recabarse los datos de identidad y dirección del padre, madre o tutor con la única finalidad de recabar la autorización prevista en el apartado anterior. 3. Cuando el tratamiento se refiera a datos de menores de edad, la información dirigida a los mismos deberá expresarse en un lenguaje que sea fácilmente comprensible por aquéllos, con expresa indicación de lo dispuesto en este artículo. 4. Corresponderá al responsable del fichero o tratamiento articular los procedimientos que garanticen que se ha comprobado de modo efectivo la edad del menor y la autenticidad del consentimiento prestado en su caso, por los padres, tutores o representantes legales.” Por lo que corresponde siempre al responsable del tratamiento comprobar que tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos personales de éste. A este respecto, la Audiencia Nacional, en sentencia de fecha 31/05/2006 señaló lo siguiente: “Por otra parte es el responsable del tratamiento (por todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien corresponde asegurarse de que aquel a quien se solicita el consentimiento, efectivamente lo da, y que esa persona que está dando el consentimiento es efectivamente el titular de esos datos personales, debiendo conservar la prueba del cumplimiento de la obligación a disposición de la Administración, encargada de velar por el cumplimiento de la ley”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/23 V En el presente caso debe dilucidarse si el mantenimiento a partir del 3 de noviembre de 2016 de la publicación en la página web del citado colegio de la imagen del menor de edad B.B.B. , obtenida durante la celebración en el centro del carnaval del año 2014, contaba con el consentimiento inequívoco de los padres del menor, en su condición de representantes legales y tutores del mismo. A este respecto, señalar que en el procedimiento consta que con fecha 3 de noviembre de 2016 el ***COLEGIO.1 confirmó al denunciante, en contestación a su solicitud de fecha 13 de octubre de 2016, que se había procedido a eliminar todas las imágenes de sus dos hijos menores de edad de los ordenadores del centro. El ***COLEGIO.1 niega en sus alegaciones al acuerdo de inicio y a la propuesta de resolución que las imágenes del menor objeto de denuncia se encontrarán expuestas en su página web, ya que con fecha 15 de octubre de 2016 el Centro había procedido a retirar todas las imágenes de los hijos del denunciante a solicitud de su padre. No obstante lo cual, con fecha 26 de enero de 2017, desde esta Agencia se verificó que la imagen del menor que el denunciante había descrito en su denuncia de fecha 13 de enero de 2017 era visible sin ningún tipo de restricción desde un video alojado en YouTube que resultaba accesible a través de la página web de Internet ***URL.1, de la que el Colegio denunciado es responsable. El certificado de fecha 20 de noviembre de 2017 al que se refiere la denunciada, y que acompañaba al escrito de contestación de pruebas que se detalla con el nº 18 en la relación de documentos obrantes en el procedimiento adjuntado a la propuesta de resolución, es un documento de parte que no prueba por sí mismo que las imágenes del vídeo objeto de denuncia fueran, efectivamente, eliminadas de la página web administrada por el ***COLEGIO.1 con fecha 15 de octubre de 2016. Respecto de las manifestaciones efectuadas por dicho centro en sus escritos de fecha 3 de abril y 4 de mayo de 2017, alegando que dichas imágenes no se encontraban en la web del colegio, reseñar que en nada modifican la responsabilidad del Colegio en los hechos que se constataron por la AEPD con anterioridad a las fechas de abril y mayo señaladas, tal y como prueba la Diligencia levantada el día 26 de enero de 2017 a fin de comprobar los hechos expuestos en la denuncia recibida el 13 de enero de 2017. El uso y publicación de la imagen del citado menor a través de la página web titularidad del Colegio denunciado constituye un tratamiento de datos de carácter personal que exige disponer del consentimiento inequívoco de los representantes legales (padres) del menor de edad en cuestión, del que el ***COLEGIO.1 no disponía desde que el 3 de noviembre de 2016 contestara la solicitud de cancelación de imágenes de sus dos hijos en la forma transcrita en el Hecho Probado 4). A pesar de lo cual, el Colegio denunciado no mostró la diligencia necesaria para eliminar la imagen del menor correspondiente al Carnaval de 2014 que aparecía en el video accesible desde la página web citada. En este procedimiento no se cuestiona que hasta el 3 de noviembre de 2016 el Colegio denunciado contase con el consentimiento de los padres del menor para tratar la imagen de su hijo con fines promocionales en la página web del Colegio, ya que hasta esa fecha dicho uso estaba amparado por las autorizaciones firmadas por ambos progenitores con fechas 13/03/2013, 17/04/2014, 30/04/2015 y 16/03/2016 en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/23 su condición de tutores legales del menor B.B.B. . Sin embargo, después de que con fecha 3 de noviembre de 2016 el mencionado Centro escolar contestase la petición efectuada por el denunciante mediante escrito dirigido a ambos progenitores(folio 4) en el que comunicaba la eliminación de las imágenes de sus hijos existentes en los ordenadores del centro, resulta evidente que a partir de la reseñada fecha el uso y mantenimiento en la página web del Colegio denunciado de imágenes del menor B.B.B. tomadas durante el año 2014 no contaba con el consentimiento inequívoco de los representantes legales del mencionado menor. En consecuencia, resulta irrelevante que en el año 2014 el Colegio dispusiera del consentimiento de los padres del menor para usar su imagen en la página web del Centro, ya que ha quedado acreditado que el padre del menor solicitó la cancelación de las imágenes de su hijo en fecha posterior a la firma de las autorizaciones a las que se refiere el Colegio denunciado en sus alegaciones. En relación con dichas autorizaciones y con la posterior solicitud unilateral de cancelación de las imágenes del padre conviene traer a colación lo dispuesto en los artículos 156 del Código Civil, que dispone que: (El subrayado es de la AEPD) “Artículo 156. La patria potestad se ejercerá conjuntamente por ambos progenitores o por uno solo con el consentimiento expreso o tácito del otro. Serán válidos los actos que realice uno de ellos conforme al uso social y a las circunstancias, o en situaciones de urgente necesidad. En caso de desacuerdo, cualquiera de los dos podrán acudir al Juez quien, después de oír a ambos y al hijo si tuviera suficiente juicio y, en todo caso, si fuera mayor de doce años, atribuirá sin ulterior recurso la facultad de decidir al padre o a la madre. Si los desacuerdos fueran reiterados o concurriera cualquier otra causa que entorpezca gravemente el ejercicio de la patria potestad, podrá atribuirla total o parcialmente a uno de los padres o distribuir entre ellos sus funciones. Esta medida tendrá vigencia durante el plazo que se fije, que no podrá nunca exceder de dos años. En los supuestos de los párrafos anteriores, respecto de terceros de buena fe, se presumirá que cada uno de los progenitores actúa en el ejercicio ordinario de la patria potestad con el consentimiento del otro. En defecto o por ausencia, incapacidad o imposibilidad de uno de los padres, la patria potestad será ejercida exclusivamente por el otro. Si los padres viven separados la patria, potestad se ejercerá por aquel con quien el hijo conviva. Sin embargo, el Juez, a solicitud fundada del otro progenitor, podrá, en interés del hijo, atribuir al solicitante la patria potestad para que la ejerza conjuntamente con el otro progenitor o distribuir entre el padre y la madre las funciones inherentes a su ejercicio.” “Artículo 162 Los padres que ostenten la patria potestad tienen la representación legal de sus hijos menores no emancipados. Se exceptúan: 1. Los actos relativos a derechos de la personalidad u otros que el hijo, de acuerdo con las leyes y con sus condiciones de madurez, pueda realizar por sí mismo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/23 2. Aquellos en que exista conflicto de intereses entre los padres y el hijo. 3. Los relativos a bienes que estén excluidos de la administración de los padres. Para celebrar contratos que obliguen al hijo a realizar prestaciones personales se requiere el previo consentimiento de éste si tuviere suficiente juicio, sin perjuicio de lo establecido en el artículo 158”. A la vista de dichos preceptos, se colige que la solicitud de cancelación de las imágenes de sus hijos realizada por el denunciante como representante legal de los mismos, ha de presumirse válida, entendiendo que actuaba en el ejercicio ordinario de la patria potestad con el consentimiento de la madre de los niños. En cualquier caso, no consta acreditado en el procedimiento que existan distintos criterios entre los progenitores del menor respecto de la cancelación de las imágenes concernientes a éste y su hermana de la página web del Centro. A tenor de todo lo cual, el Centro escolar debió atender correctamente la solicitud del denunciante eliminando todas las imágenes que de su hijo aparecían en la página web del Colegio denunciado con anterioridad al 3 de noviembre de 2016, por lo que el mantenimiento y difusión de la imagen del menor B.B.B. en un video accesible, como mínimo, hasta el 26 de enero de 2017 en la dirección web ***URL.1 vulnera el principio del consentimiento recogido en el artículo 6.1 de la LOPD en lo que respecta a esas concretas imágenes no eliminadas. Por tanto, el ***COLEGIO.1 realizó un tratamiento de los datos personales de un alumno sin el consentimiento inequívoco de los progenitores del menor y sin estar legalmente habilitado para ello, no concurriendo tampoco ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD. En definitiva, por todo lo que antecede se considera infringido el artículo 6.1 de la LOPD por parte del mencionado centro escolar, que es responsable de dicha infracción en tanto que mantuvo expuesto el dato personal de la imagen del menor en la página web de su titularidad con posterioridad a que confirmase al padre del menor que se habían eliminado todas sus imágenes. VI Alega el centro denunciado que dentro del ámbito educativo en el que nos encontramos es aplicable lo establecido en la Disposición Adicional Vigesimotercera Ley Orgánica 2/2006, de 3 de mayo, de Educación, cuyo tenor literal es el siguiente: "1. Los centros docentes podrán recabar los datos personales de su alumnado que sean necesarios para el ejercicio de su función educativa. Dichos datos podrán hacer referencia al origen y ambiente familiar y social, a características o condiciones personales, al desarrollo y resultados de su escolarización, así como a aquellas otras circunstancias cuyo conocimiento sea necesario para la educación y orientación de los alumnos. 2. Los padres o tutores y los propios alumnos deberán colaborar en la obtención de la información a la que hace referencia este artículo. La incorporación de un alumno a un centro docente supondrá el consentimiento para el tratamiento de sus datos y, en su caso, la cesión de datos procedentes del centro en el que hubiera estado escolarizado con anterioridad, en los términos establecidos en la legislación sobre protección de datos. En todo caso, la información a la que se refiere este apartado será C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/23 la estrictamente necesaria para la función docente y orientadora, no pudiendo tratarse con fines diferentes del educativo sin consentimiento expreso.” No cabe duda que la recogida y tratamiento de los datos personales de los alumnos resulta imprescindible para el ejercicio de la función docente y orientadora. Sin embargo, el tratamiento de las imágenes de los alumnos menores de 14 años en la página web del centro para difundir las actividades del ***COLEGIO.1 no responde a finalidades mera y exclusivamente docentes, sino que también constituyen un medio de promocionar y publicitar el mismo, motivo por el que el tratamiento estudiado requiere del consentimiento de los padres o tutores de los menores con arreglo a lo previsto en los artículos 6.1 de la LOPD y 13 del RLOPD citados y en la propia Disposición Adicional invocada. Por otra parte, también debe rechazarse que de acuerdo con la Instrucción 2/2006, de 15 de marzo, de la Fiscalía General del Estado, la participación de un menor en actos del colegio como festivales y/o celebraciones suponga el consentimiento a prestar su imagen. El Colegio denunciado defiende tal manifestación en sus alegaciones al acuerdo de inicio partiendo de la siguiente consideración incluida en el punto 6 de dicha Instrucción: "Tampoco debe incurrirse en extremismos injustificados. Ha de partirse de que tanto los menores como los medios de comunicación forman parte de la sociedad y de la vida ordinaria, y de que la especial tutela del honor, intimidad e imagen de los menores no implica la expulsión de éstos de los medios. Incluso deben admitirse supuestos para los que no sean necesarios ni consentimientos ni autorizaciones, cuando la afectación a los derechos sea irrelevante si, de acuerdo con los usos sociales, la emisión de la imagen o ciertos datos del menor puede considerarse totalmente inocua para sus intereses" (El subrayado es del Colegio denunciado) Atendido que el mencionado título 6 de la reseñada Instrucción lleva por título“6. Protección de los derechos del menor y derecho a emitir y recibir información veraz” y visto el contexto en el que se incluye el párrafo transcrito invocado, no cabe duda que viene referido a la posible colisión entre el derecho a comunicar y recibir libremente información veraz de los ciudadanos y el derecho a la intimidad de los menores en relación con el uso de imágenes de menores de edad, situación que no tiene relación alguna con el supuesto analizado en el que no divulgan noticias de interés público de menores de edad a través de medios de comunicación, sino que se usa y difunde sin restricción alguna para terceros y con fines publicitarios la imagen de un alumno menor de 14 años en la página web (Internet) de un Centro escolar privado sin mediar el consentimiento inequívoco de los representantes legales del menor para ello. Además, dicho párrafo se saca de su contexto general, por lo que su literalidad no constituye un criterio absoluto ajeno a las observaciones previas y posteriores a dicha afirmación, máxime cuando en el propio apartado 6 de dicha Instrucción se indica “que se trata ésta de una materia casuística por definición en la que consiguientemente cada caso concreto habrá de resolverse mediante la técnica de ponderación”. Con arreglo a todo lo cual, debe rechazarse que las fotografías y/o vídeos en actos o festivales escolares son públicos y que autorizando la participación del menor se considera que también presta su imagen, incluso de forma tácita, como pasa a señalar el Colegio en sus alegaciones a la propuesta de resolución. A mayor abundamiento, existen procedimientos técnicos para velar o difuminar las imágenes de las personas para impedir su identificación que podían haber sido usados por el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 16/23 Centro, que, a su vez, tiene la obligación de adoptar las medidas necesarias para no difundir en la página web que administra fotografías o vídeos en los que aparezcan menores cuyos padres se han negado al tratamiento de las imágenes de sus hijos en dicho medio. Sentado lo anterior, resulta conveniente traer a colación en relación con el tratamiento de datos personales de menores en Internet, la sentencia de la Audiencia Nacional de 2 de enero de 2013, Sala de lo Contencioso-Administrativo, Sección Primera, recurso 577/201, que en su Fundamento de Derecho Cuarto establece: <<…En cuanto al fondo, el recurrente esgrime como ya se ha expuesto, que el hecho no es antijurídico, al haber sido captadas las imágenes de los menores en un lugar abierto al público, sin finalidad comercial, por cuanto la Ley Orgánica 1/1982, de 5 de mayo, que es la legislación específica que regula el uso de la imagen, no prohíbe el uso de imágenes ajenas en dichas circunstancias. Respecto a dicho alegato cabe reseñar que nos encontramos en el ámbito de la protección de datos de carácter personal y que la imagen personal de los menores que aparecían en el video en cuestión, que miran a la cámara y permite su identificación, tiene la consideración de dato de carácter personal, ex artículo 3.
  18. a)de la LOPD y 5.1.f del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de Desarrollo de la LOPD, sujeto al ámbito de protección de la citada Ley Orgánica 15/1999, como así lo ha reconocido la STC 14/2003, de 30 de enero, y viene señalando esta Sala y Sección (SAN, de 24 de enero de 2003 (Rec. 400/2001), 28 de marzo de 2007 (Rec. 303/2005) 1 de octubre de 2008 (Rec. 1/2007), 8 de mayo 2009 (Rec. 514/2007) etc, entre otras muchas). Habiendo también reiterado la Sala en sendas sentencias de fecha uno de octubre de 2008, recaídas en los recursos 1/2007 y 47/2007, la compatibilidad del procedimiento sancionador o de tutela seguidos ante la AEPD con los procesos civiles promovidos al amparo de la Ley Orgánica 1/1982. La resolución impugnada razona pormenorizadamente sobre la existencia de tratamiento automatizado de datos de carácter personal de los menores, sus imágenes, sin que en la demanda se suscite cuestión alguna sobre dichos extremos, no ofreciendo dudas a la Sala la existencia del tratamiento de datos de carácter personal de los menores dado el amplio concepto de tratamiento de datos que ofrece el artículo 3.
  19. c)LOPD y 5.1.
  20. t)RLOPD. Debe señalarse que la Directiva 95/46/CE es aún más minuciosa en la enumeración de las operaciones o procedimientos que constituyen tratamiento: recogida, registro, organización, conservación, elaboración o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexión, así como bloqueo, supresión o destrucción. Y en el presente caso la divulgación por medio de video de la imagen de los menores, constituye un tratamiento de sus datos de carácter personal, que al ser menores de 14 años de edad, pues contaban entre 7 y 8 años de edad, requiere para poder efectuarlo el consentimiento de sus padres o tutores, como exige el artículo 13.1 del RLOPD en relación con el artículo 6 LOPD que regula el principio del consentimiento para el tratamiento de los datos de carácter personal del afectado. Por tanto, las alegaciones referentes a si los menores no se encontraban acompañados por sus profesoras en el concreto momento en que se grababa el video, resultan irrelevantes a los efectos del presente procedimiento, pues los menores por su edad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 17/23 no podían consentir ni la grabación ni la difusión de su imagen y el citado artículo 6.1 de la LOPD dispone, con carácter general, que el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. Cabe resaltar que la imagen del menor tiene una consideración legal especialmente protectora, como ha señalado la STS, Sala 1ª, de 13 julio 2006 (Rec. 2947/2000) tras referirse a su jurisprudencia y a lo dispuesto en los arts. 18.1 y 20.1 CE, los arts. 2.2, 3, 7.5 y 8.2 de la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, y el art. 4.1 de la Ley Orgánica 1/1996, de 15 de enero, de protección jurídica del menor. Esta consideración especialmente protectora de la imagen de los menores es la que viene a destacar la resolución recurrida…>> Por otra parte, el hecho de que en la página web del centro escolar en el que el menor cursa estudios en la actualidad puedan aparecer fotografías del mismo no enerva la responsabilidad del ***COLEGIO.1 en la comisión de la infracción que nos ocupa, que se sustenta en los hechos que han resultado probados durante la tramitación del procedimiento, y no en conjeturas como el supuesto “ánimo vengativo de los denunciantes contra esta entidad y no el objetivo de proteger la imagen de su hijo menor”. Además, no hay constancia de que la publicación de las citadas fotografías sea un tratamiento no consentido por los padres del menor. En definitiva, en el caso analizado, el Colegio denunciado es responsable del tratamiento y publicación en Internet de la imagen del menor B.B.B. sin consentimiento de sus representantes legales (padres), ya que consta probado que a fecha 26 de enero de 2017 continuaba apareciendo la imagen del citado alumno en un video alojado en YouTube accesible, sin restricción alguna, desde la página web administrada por el ***COLEGIO.1, conducta que constituye un incumplimiento de principio de consentimiento regulado en el artículo 6 de la LOPD. VII El artículo 44.3.
  21. b)de la LOPD considera infracción grave: “
  22. b)Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo.” El principio del consentimiento cuya vulneración se imputa al ***COLEGIO.1. se configura como principio básico en materia de protección de datos, habiéndose conculcado el mismo por dicha sociedad al continuar tratando la imagen del hijo menor del denunciante con posterioridad a que, con fecha 3 de noviembre de 2016, confirmase al denunciante que había procedido a la eliminación (cancelación) de todas las imágenes de sus dos hijos menores solicitada por éste con fecha 13 de octubre de 2016, tal y como prueba que con fecha 26 de enero de 2017 desde la página web propiedad del citado centro escolar resultase accesible sin ningún tipo de restricción un video alojado en la plataforma YouTube en el que se trataba la imagen del hijo menor del denunciante. En este caso, el ***COLEGIO.1 ha incurrido en la infracción descrita ya que ha vulnerado el principio citado, consagrado en el artículo 6.1 de la LOPD, conducta que encuentra su tipificación en el artículo 44.3.
  23. b)de la citada Ley Orgánica. VIII C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 18/23 En el presente procedimiento, también se analiza la posible comisión por parte del Colegio denunciado de una posible infracción a lo dispuesto en el artículo 10 de la LOPD, que respecto del “Deber de secreto” dispone lo siguiente: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo.” El deber de confidencialidad obliga no sólo al responsable del fichero sino a todo aquel que intervenga en cualquier fase del tratamiento. El deber de secreto comporta que el responsable de los datos almacenados no pueda revelar ni dar a conocer su contenido teniendo el “deber de guardarlos, obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. Este deber es una exigencia elemental y anterior al propio reconocimiento del derecho fundamental a la libertad informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta que los datos tratados automatizadamente no pueden ser conocidos por ninguna persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso consiste precisamente el secreto. Este deber de sigilo resulta esencial en las sociedades actuales cada vez más complejas, en las que los avances de la técnica sitúan a la persona en zonas de riego para la protección de derechos fundamentales, como la intimidad o el derecho a la protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto contiene un “instituto de garantía de los derechos de los ciudadanos que, además, es en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento mecanizado de datos” (STC 292/2000). Este derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino (STC 292/2000) que impida que se produzcan situaciones atentatorias con la dignidad de la persona, es decir, el poder de resguardar su vida privada de una publicidad no querida. Por lo tanto, se trata de valorar si la difusión de los datos personales del hijo menor del denunciante en la página web gestionada por el ***COLEGIO.1, S.L. supone una vulneración del principio del deber de secreto, consagrado en el artículo 10 de la LOPD, que obliga al responsable del fichero y a quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal. En el caso que nos ocupa, ha quedado acreditado que el ***COLEGIO.1. difundió con fines promocionales la imagen del hijo del denunciante a través de un video de la plataforma YouTube expuesto en abierto en la sección de noticias de la web del Colegio. A partir del 3 de noviembre de 2016 la exposición de la imagen del menor objeto de análisis se produjo sin que el propietario de la página web estableciese las medidas necesarias para evitar su difusión y visualización entre los usuarios que visitaban el reseñado video con imágenes de la celebración del carnaval de 2014 en el centro, conforme prueba que con fecha 26 de enero de 2017 la AEPD tuviese acceso a la imagen del menor descrita por el denunciante contenida en el mencionado video. En definitiva, la falta de eliminación por parte del Colegio denunciado de la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 19/23 imagen del menor contenida en el video publicado en su página web permitió que, a partir del 3 de noviembre de 2016, dicho dato de carácter personal del menor continuara siendo accesible a terceros sin mediar el consentimiento de los representantes legales del alumno para ello, tal y como se ha razonado en los anteriores fundamentos de derecho, no concurriendo tampoco en este supuesto habilitación legal que permitiera dicha comunicación a terceros. Por tanto, queda acreditado que por parte del ***COLEGIO.1., responsable de la custodia de los datos de carácter personal del menor en cuestión, se vulneró el deber de secreto garantizado en el artículo 10 de la LOPD, al haber posibilitado el acceso por terceros a la imagen del menor B.B.B. sin contar con el consentimiento de los padres del menor titular de tales datos. IX La conducta del Colegio denunciado se incardina en el artículo 44.3.
  24. d)de la LOPD que tipifica como infracción grave: “La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley.” En el presente caso ha quedado acreditado, que la imagen del menor B.B.B. fue divulgada a terceros a través de un video de la plataforma YouTube publicado en la página web del ***COLEGIO.1 ***URL.1 , sin que existiera consentimiento de los padres del reseñado alumno para tal difusión de datos de carácter personal del menor a terceros, exposición que, por otra parte, se comprobó con fecha 24 de mayo de 2017 que ya no se producía. De acuerdo con los fundamentos de derecho anteriores, dicha conducta se ajusta a la tipificación prevista en el artículo 44.3.
  25. d)de la LOPD, por lo que se estima que el reseñado Colegio es responsable, a título de culpa, de la vulneración del deber de secreto que impone el mencionado artículo 10 de la LOPD por haber revelado a terceros el dato personal de la imagen del menor a través de la página web del Centro escolar en las circunstancias ya descritas, máxime cuando debió cerciorarse de que habían sido canceladas todas las imágenes del menor que resultaban accesibles desde su página web. X El hecho constatado del tratamiento inconsentido de los datos personales y la vulneración del deber de secreto por parte de la entidad denunciada, establece la base de facto para fundamentar la imputación de las infracciones de los artículos 6.1 y 10 de la LOPD. No obstante, nos encontramos ante un supuesto en el que un mismo hecho deriva en dos infracciones, dándose la circunstancia que la comisión de una implica necesariamente la comisión de la otra. Esto es, del mantenimiento de las imágenes del menor que permanecieron accesibles a través del sitio web titularidad del Colegio denunciado, como mínimo, hasta después del 26 de enero de 2017, se deriva un tratamiento inconsentido de datos personales de B.B.B. por parte de dicho Centro, que, a su vez, ha derivado en una vulneración del deber de secreto al difundirse tales imágenes sin ningún tipo de restricción entre los terceros que accedían al portal. Por lo tanto, aplicando el artículo 29.5 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, que señala que “Cuando de la comisión de una C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 20/23 infracción derive necesariamente la comisión de otra u otras, se deberá imponer únicamente la sanción correspondiente a la infracción más grave cometida”, procede subsumir ambas infracciones en una. Dado que, en este caso, se ha producido una vulneración del principio del consentimiento para el tratamiento de los datos, calificada como grave por el artículo 44.3.
  26. b)de la LOPD, y también un incumplimiento del deber de guardar secreto, calificado como grave en el artículo 44.3.
  27. d)de la misma norma, únicamente procede imponer la sanción correspondiente a la infracción del artículo 6.1 de la LOPD, por constituir la infracción originaria que ha dado lugar a la comisión de la infracción del artículo 10 de dicha norma. XI El artículo 45 de la LOPD, apartados 1 a 5, establece: “1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros. 2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000 euros. 3. Las infracciones muy graves serán sancionadas con multa de 300.001 a 600.000 euros. 4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios:
  28. a)El carácter continuado de la infracción.
  29. b)El volumen de los tratamientos efectuados.
  30. c)La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal.
  31. d)El volumen de negocio o actividad del infractor.
  32. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  33. f)El grado de intencionalidad.
  34. g)La reincidencia por comisión de infracciones de la misma naturaleza.
  35. h)La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas.
  36. i)La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor.
  37. j)Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. 5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate, en los siguientes supuestos:
  38. a)Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo.
  39. b)Cuando la entidad infractora haya regularizado la situación irregular de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 21/23 forma diligente.
  40. c)Cuando pueda apreciarse que la conducta del afectado ha podido inducir a la comisión de la infracción.
  41. d)Cuando el infractor haya reconocido espontáneamente su culpabilidad.
  42. e)Cuando se haya producido un proceso de fusión por absorción y la infracción fuese anterior a dicho proceso, no siendo imputable a la entidad absorbente.” El apartado 5 del artículo 45 de la LOPD deriva del principio de proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate", pero para ello es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad del infractor, o bien de la antijuridicidad del hecho, o bien de alguna otra de las circunstancias que el mismo precepto cita. Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y cuando se den suficientes circunstancias para ello. En el presente caso se considera que opera el supuesto
  43. a)previsto en el artículo 45.5 de la citada norma, al apreciarse una cualificada disminución de la culpabilidad de la denunciada como consecuencia de la concurrencia significativa de los criterios
  44. c)y
  45. e)del apartado 4 del artículo 45 de la citada Ley Orgánica. A estos efectos se estima que la actividad del Centro con la realización de tratamientos de datos de carácter personal es limitada, al estar vinculada su actividad principal con la de la enseñanza (criterio c), y se valora que, este caso, no consta acreditado la existencia de beneficios como consecuencia de la comisión de la infracción descrita (criterio e). Por lo que como consecuencia de la minoración cualificada de la sanción a imponer prevista en el apartado
  46. a)del citado artículo 45.5 de la LOPD procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, debiendo fijarse la multa a imponer en el rango comprendido entre 900 y 40.000 euros. Asimismo, a los efectos de la graduación de la sanción a imponer se considera que operan como circunstancias atenuantes los criterios f),
  47. h)e
  48. i)del artículo 45.4 de la LOPD. Sin perjuicio de la existencia de culpa en su conducta, no hay constancia de actuación dolosa o intencionada, dado que tan pronto como el Centro recibió la solicitud de cancelación de las imágenes de los hijos del denunciante en los ordenadores del Centro procedió a la eliminación de las mismas, con excepción de la imagen del hijo del denunciante que aparecía en el vídeo correspondiente al Carnaval *** de 2014 alojado en la plataforma YouTube, dato de carácter personal del menor B.B.B. que resultaba accesible sin ningún tipo de restricción con fecha 26 de enero de 2017, según se constató ese mismo día por la AEPD , desde el enlace incluido en la página web administrada por el ***COLEGIO.1, y de cuya existencia no se cercioró dicha entidad, que es titular y propietaria (criterio f). Tampoco hay elementos de juicio que permitan entender que se han causado perjuicios a las personas interesadas o a terceros con motivo de la continuidad del tratamiento de dicha imagen (criterio h). Igualmente, se valora que con anterioridad a los hechos constitutivos de infracción el Colegio denunciado tenía implantados procedimientos de actuación a los efectos de obtener el consentimiento de los tutores de los alumnos para poder usar las imágenes y/o publicarlas en la página web del centro de trabajo y redes sociales (criterio i). C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 22/23 A su vez, se estima que el criterio
  49. j)del artículo 45.4 de la LOPD opera como agravante, toda vez que se estima que la entidad denunciada debe mostrar especial cuidado y control en comprobar que cuenta con el consentimiento de los representantes legales de los alumnos cuyas imágenes trata y difunde a través de su página web, puesto que afectan a datos de menores de edad. En el Fundamento de Derecho V de esta resolución se han expuesto los motivos por los que el Colegio no podía utilizar imágenes del menor en la página web del centro a partir del 3 de noviembre de 2016, con independencia de que hubieran sido tomadas en fechas en las que mediara el consentimiento inequívoco de los padres del menor. Por último, en cuanto a la buena fe mostrada al no existir ánimo culposo, la Audiencia Nacional en su Sentencia de 24 de mayo de 2002 ha señalado que “la buena fe en el actuar, para justificar la ausencia de culpa –como se hace en el presente caso-; basta con decir que esa alegación queda enervada cuando existe un deber específico de vigilancia derivado de la profesionalidad del infractor. En esta línea tradicional de reflexión, la STS de 12 de marzo de 1975 y 10 de marzo de 1978, rechazan la alegación de buena fe, cuando sobre el infractor pesan deberes de vigilancia y diligencia derivados de su condición de profesional”, Se rechaza la solicitud de rebajar la multa indicada en la propuesta de resolución por considerar que en dicho acto se justificaban pormenorizadamente los criterios de ponderación en los que sustentaba la cuantía de la multa propuesta, que está en el tercio inferior de la horquilla establecida para las infracciones leves. Por ello, en aplicación del principio de proporcionalidad contenido en el artículo 29.3 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, y con arreglo a los criterios de graduación de las sanciones del artículo 45.4 y 5 de la LOPD antes señalados, se considera adecuado a la gravedad de los hechos constitutivos de la infracción imponer una sanción de 3.000 euros al ***COLEGIO.1. como responsable de una infracción del artículo 6.1 de la LOPD. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER al ***COLEGIO.1, por la infracción del artículo 6.1 de la LOPD, tipificada como Grave en el artículo 44.3.
  50. b)de la LOPD, una multa de 3.000 € (Tres mil euros), de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la citada Ley Orgánica. SEGUNDO: NOTIFICAR la presente resolución al ***COLEGIO.1. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  51. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 23/23 Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.