PS-00509-2023

1/22  Expediente N.º: EXP202313302 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, A.A.A.) con fecha 21 de agosto de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra AYUNTAMIENTO DE R.R.R., con NIF ***NIF.1 (en adelante, AYUNTAMIENTO). Los motivos en que basa la reclamación son los siguientes: A.A.A., manifiesta que el AYUNTAMIENTO exige, como condición para apuntarse al programa gratuito "Fun Summer" que da la Junta de Extremadura, que se acepte la publicación de fotos de los niños en sus redes sociales públicas y en su canal de difusión privado de WhatsApp. Añade que los padres que no acepten esa condición ven automáticamente excluidos a sus hijos de las actividades y del programa en sí. Según afirma, la exclusión de las actividades públicas por no dar el consentimiento para la publicación de las imágenes vulnera la normativa de protección de datos. Junto a la reclamación aporta la solicitud de participación en la que consta en el apartado de AUTORIZACIÓN: Una casilla en blanco junto a la leyenda “autorizo al Ayuntamiento de la localidad a la difusión de las imágenes del/la participante, que con carácter informativo se puedan realizar en las diferentes actividades de la campaña de verano. De acuerdo con la Ley 1/1982, de 5 de mayo, sobre el derecho al honor, y a la intimidad personal y familiar y a la propia imagen se podrá ejercer el derecho de oposición al apartado anterior, mediante escrito al Ayuntamiento de la localidad. La no aceptación de estas normas implica la no inscripción en ninguna de las actividades referidas". SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al AYUNTAMIENTO, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 29 de septiembre de 2023 como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/22 Con fecha 8 de noviembre de 2023 se recibe en esta Agencia escrito de respuesta indicando: 1. Base legitimadora del tratamiento de datos personales. Después de aclarar que las actividades a las que se refiere la reclamación se organizan por el propio AYUNTAMIENTO, y no por la Junta de Extremadura como se indica en dicha reclamación, la citada entidad señala que la base legitimadora para el tratamiento de los datos personales en el presente caso se encuentra en el artículo 6.1 apartados

1. c)y
2. e)del RGPD, que establece: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
3. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
4. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;” Añade que estos preceptos suelen aplicarse a la práctica mayoría de los tratamientos realizados por las Administraciones Públicas en el ejercicio de sus competencias, como sucede en este supuesto. En este sentido, aclara que la actividad es organizada por el AYUNTAMIENTO, y lo hace dentro de las competencias que le son propias, de conformidad con el artículo 25.2.
5. l)referido a la “promoción del deporte, instalaciones deportivas y de ocupación del tiempo libre.” En consecuencia, el AYUNTAMIENTO pone de manifiesto que todas las actividades realizadas en el marco de la ocupación del tiempo libre se publican para el conocimiento de la población, y para que los participantes tengan constancia de las mismas, así como recuerdos de su participación en las actividades. Añade que la publicación de fotografías de eventos organizados o realizados por el AYUNTAMIENTO supone una medida de transparencia y el buen gobierno en las Administraciones Públicas, al suponer un medio para que la ciudadanía tenga conocimiento del destino de los recursos públicos y fomente la participación ciudadana, siempre que se pondere adecuadamente, como sucede en este caso, a la privacidad de las personas. El AYUNTAMIENTO prosigue señalando que la autorización en los impresos de inscripción, para poder difundir las imágenes propias recogidas, eran: - por transparencia administrativa - por reciprocidad con el resto de los participantes -para una mayor fluidez en el desarrollo de la actividad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/22 En este sentido, el AYUNTAMIENTO quiere aclarar que se trataría de la difusión de imágenes de las actividades, y con ello de las personas que estarían realizando dicha actividad, y no una fotografía específica de la persona o desvinculada de la actividad en cuestión. Añade que, en la cláusula de protección de datos, se informaría del derecho de oposición y supresión de datos, una vez que éstos hayan sido tratados por el AYUNTAMIENTO, entendiendo que no existiría vulneración del RGPD. Por tanto, entienden que los datos personales a los que se refiere A.A.A. son tratados al amparo del ejercicio de poderes públicos y a satisfacción de los intereses legítimos del AYUNTAMIENTO, respetando los derechos de terceros, y en particular los derechos de los menores. Por ello, en aras de preservar estos derechos, y siendo necesario para la actividad la toma y publicación de fotografías de los participantes, la no aceptación de la difusión de las imágenes supone la exclusión de participación. 2. Medidas en materia de protección de datos. El AYUNTAMIENTO pone de manifiesto su especial preocupación por cumplir con la normativa de protección de datos, y por eso quiere manifestar que cuenta con las siguientes medidas y decisiones: -cuenta con un Delegado de Protección de Datos inscrito en el registro de esta AEPD. -se están realizando gestiones para la implementación del Registro de actividades de tratamiento, dado que aún no ha sido implementado, y en el que se procederá a registrar las actividades del AYUNTAMIENTO que supongan un tratamiento de los datos. -se han adoptado medidas técnicas y organizativas adecuada a fin de garantizar y poder demostrar que el tratamiento es conforme con el RGPD y resto de normas aplicables, y como ejemplos cita: -medidas de seguridad de la información -perfilado de accesos -reglas de organización internas -atención a la ciudadanía y privacidad -entre otras. -la ciudadanía cuenta con un procedimiento en materia de derechos ARSOPL disponible en el sitio web del AYUNTAMIENTO. 3. Decisiones adoptadas por el encargado del tratamiento derivadas de la reclamación. El AYUNTAMIENTO insiste en que cuenta con la base jurídica suficiente para excluir de la participación de las actividades de carácter público a aquellos que no acepten las condiciones de participación en las mismas, pero añade que se han adoptado las siguientes medidas: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/22
6. a)se finalizará la implantación de los Registros de Actividades de Tratamiento en el AYUNTAMIENTO, y se aprobarán las resoluciones necesarias para ello.
7. b)en las actividades en las que sean necesarias la difusión de imágenes, se procederá a una información más exhaustiva de los usos de las imágenes y las consecuencias de la autorización, así como una mejor información de los derechos de acceso, rectificación y supresión de los datos. TERCERO: Con fecha 14 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por A.A.A. CUARTO: Con fecha 26 de julio de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
8. a)del RGPD. QUINTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP, la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que: 1. Base legitimadora del tratamiento de datos personales. El AYUNTAMIENTO se reafirma en que, al presente caso, le resultan de aplicación el artículo 6.1 apartados c y e del RGPD, que suelen aplicarse a la práctica mayoría de los tratamientos realizados por las AAPP en el ejercicio de sus competencias. Insiste en que la actividad que organiza se encuentra dentro de las competencias que le son propias y que estarían atribuidas por una norma con rango de Ley, como es la Ley 7/1985, en cuyo artículo 25.2 se establece que los ayuntamientos tienen la competencia (y por consiguiente la obligación) de ejercer las siguientes competencias:
9. h)información y promoción de la actividad turística de interés y ámbito local (…)
10. l)promoción del deporte, instalaciones deportivas y de ocupación del tiempo libre
11. m)promoción de la cultura y equipamientos culturales (…) ñ) promoción en su término municipal de la participación de los ciudadanos en el uso eficiente y sostenible de las tecnologías de la información y las comunicaciones. Añade que tiene la potestad de dar contenido a las competencias que tiene atribuidas de la mejor forma posible, teniendo en cuenta el interés común, velando por la protección de los derechos de la ciudadanía y, en especial, por los menores de edad, como es el caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/22 Entiende que la norma exige al AYUNTAMIENTO que dote de contenido a la competencia legal, “pues obliga a que éste realice la promoción de los determinados bienes jurídicos que de manera expresa se explicitan en las normas” y, en este sentido, debe entenderse “que la obligación de la promoción de las actividades y servicios exige una actividad de difusión y conocimiento que obviamente no se detalla en el contenido legal, pero que, entendemos, si puede significar o incluir de forma tácita, la competencia para el tratamiento de los datos personales de los usuarios y destinatarios, porque otra cosa haría imposible las tareas de organización e implantación de los servicios municipales y, especialmente, las de difusión que explícitamente vienen contenidas en el artículo citado de la LrBRL, (Ley reguladora de las Bases del Régimen Local) norma básica y fundacional de las competencias municipales en nuestro Derecho”. El AYUNTAMIENTO insiste en que la LrBRL es una norma con rango de Ley y habilita expresamente a los municipios a que realicen actividades de promoción y de difusión de sus actividades, poniendo de manifiesto que la competencia no se agota en la implantación de servicios, instalaciones o medios determinados, sino que debe incluir la promoción de los determinados bienes jurídicos que se recogen en los diferentes apartados. Añade que no se puede cumplir con los objetivos de difusión si la ciudadanía no tiene conocimiento de las actividades que realiza el AYUNTAMIENTO en cumplimiento de sus competencias, y que tendría un triple objetivo:
12. a)cumplir con las obligaciones municipales
13. b)realizar tareas de difusión y promoción
14. c)cumplir con las normativas de transparencia municipal otorgando a todos los ciudadanos la posibilidad de comprobar que su municipio realiza actividades encaminadas a cumplir con los citados objetivos, y poner en conocimiento de la ciudadanía el destino de los recursos públicos. Por ello insiste en que el único objetivo con el que se informaba y se solicitaba la posibilidad de captar y difundir imágenes de los participantes era de facilitar información y difusión de carácter general de las actividades municipales y las imágenes que se tomaban eran de carácter genérico y de planos generales sin tomar detalles ni referencias específicas de personas menores. Añade que en los impresos se indicaba expresamente la autorización para poder difundir las imágenes propias, no solo por transparencia administrativa, sino por reciprocidad con el resto de los participantes y por una mayor fluidez en el desarrollo de la actividad. Asimismo, en la cláusula de protección de datos también informaban del derecho de oposición y supresión de los datos, una vez que hayan sido tratados por el AYUNTAMIENTO, por lo que no existe ninguna vulneración del RGPD. Por ello entiende que los datos personales de la parte reclamante son tratados al amparo del ejercicio de poderes públicos y a satisfacción de los intereses legítimos del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/22 AYUNTAMIENTO, respetando los derechos de terceros, y en particular los derechos de los menores. En este sentido, el AYUNTAMIENTO insiste en que, en aras de preservar estos derechos, y siendo necesario para la actividad la toma y publicación de fotografías de los participantes, la no aceptación de la cesión de la difusión de las imágenes supone la exclusión de participación. 2. Medidas en materia de protección de datos adoptadas por el AYUNTAMIENTO. El AYUNTAMIENTO tiene especial preocupación por cumplir con la normativa de protección de datos, y por ello, cuanta con las siguientes medidas y decisiones: - cuenta con un Delegado de Protección de Datos, interno y perteneciente a la Diputación de Badajoz, inscrito en el registro de la AEPD. - se están realizando gestiones para la implementación del Registro de Actividades de Tratamiento. -se han adoptado medidas técnicas y organizativas adecuadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el RGPD y resto de las normas aplicables. -la ciudadanía cuenta con un procedimiento en materia de derechos ARSOPL disponible en el sitio web del AYUNTAMIENTO. 3. Decisiones adoptadas por el responsable del tratamiento derivada reclamación. El AYUNTAMIENTO insiste en que cuenta con la base jurídica suficiente para excluir de la participación de las actividades de carácter público a aquellos que no acepten las condiciones de participación en las mismas, pero que ha adoptado las siguientes medidas:
15. a)se finalizará la implantación de los Registros de Actividades de Tratamiento en el AYUNTAMIENTO, y aprobación de cuantas resoluciones sean necesarias para ello.
16. b)se procederá a una información más exhaustiva de los usos de las imágenes y las consecuencias de la autorización en las actividades en las que sea necesario la difusión de imágenes, así como una mejor información de los derechos de acceso, rectificación, y supresión de los datos.
17. c)el AYUNTAMIENTO va a modificar todos los formularios en los que se exija aceptar las condiciones de tratamiento de datos para participar en las convocatorias públicas, y esta medida tendrá su reflejo en el resto de las medidas técnicas y organizativas actualmente implantadas. Por lo tanto, se va a dejar de supeditar la participación en las actividades al consentimiento en el tratamiento de los datos, en el sentido que se recoge en el acuerdo de iniciación, y, en las siguientes actividades enmarcadas en las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/22 competencias antes citadas se va a eliminar el requisito de aceptar el tratamiento de imágenes. SEXTO: Con fecha 23 de abril de 2025 se formuló propuesta de resolución, proponiendo: Que por la Presidencia de la Agencia Española de Protección de Datos se declare que AYUNTAMIENTO DE R.R.R. ha infringido lo dispuesto en el artículo 6.1 del RGPD, tipificada en el artículo 83.5.
18. a)del RGPD. Que por la Presidencia de la Agencia Española de Protección de Datos se ordene a AYUNTAMIENTO DE R.R.R. que en virtud del artículo 58.2.
19. d)del RGPD, en el plazo de 6 meses a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, acredite haber adecuado a la normativa de protección de datos personales las operaciones de tratamiento que realiza, con el alcance expresado en los Fundamentos de Derecho de la propuesta de resolución. SÉPTIMO: En fecha 4 de julio de 2025 tiene entrada en esta Agencia un escrito del AYUNTAMIENTO en el que adjunta la hoja de inscripción a la actividad FUN SUMMER para las sucesivas ediciones, y en las que se ha establecido el consentimiento de los representantes legales en caso de menores de edad para la publicación de fotografías del evento, y no se excluye de la participación en cado de no consentir dicho uso En el formulario de inscripción se puede observar que la autorización recoge una casilla en blanco y el siguiente texto: “autorizo que en el desarrollo de esta actividad puedan realizarse fotografías y/o videos para su posterior publicación en la web corporativa, redes sociales o medios de comunicación locales, sin ánimo de lucro por ello”. La hoja de inscripción también recoge: “El Ayuntamiento de R.R.R. es el responsable del tratamiento de los datos personales del interesado/a y le informa de que estos datos serán tratados de conformidad con lo dispuesto en el reglamento (UE) 2016/679 de 27 de abril (GDPR) y la Ley Orgánica 3/2018 de 5 de diciembre (LOPDGDD), por lo que facilita la siguiente información del tratamiento. Fines del tratamiento: Concilia Extremadura. Por consentimiento explícito del interesado. Para los fines antes indicados el interesado autoriza la grabación de las imágenes de la actividad, para su publicación en medios informativos, redes sociales, etc. □ En caso de que el interesado sea menor de edad, el padre/madre/tutor/representante legal ………consiente expresamente que las imágenes del menor sean grabadas, así como su publicación en redes sociales, conforme a lo establecido en el artículo 92 LOPDGDD. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/22 De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El AYUNTAMIENTO DE R.R.R., en el marco de sus competencias, convoca y desarrolla programas gratuitos de actividades dirigidos a menores de edad denominados “FUN SUMMER”. SEGUNDO: Para la inscripción de los niños en dichos programas, el AYUNTAMIENTO DE R.R.R. ha dispuesto un formulario en el que se informa a los solicitantes sobre la exclusión de aquellos cuyos tutores no autoricen la publicación de las fotografías que se les hagan a los niños, la cual, según ha manifestado el propio AYUNTAMIENTO, se lleva a cabo en redes sociales y canal privado de difusión de WhatsApp. En dicho formulario consta la inscripción siguiente: Una casilla en blanco dispuesta para que pueda ser marcada por el interesado, junto a la leyenda “autorizo al Ayuntamiento de la localidad a la difusión de las imágenes del/la participante, que con carácter informativo se puedan realizar en las diferentes actividades de la campaña de verano. De acuerdo con la Ley 1/1982, de 5 de mayo, sobre el derecho al honor, y a la intimidad personal y familiar y a la propia imagen se podrá ejercer el derecho de oposición al apartado anterior, mediante escrito al Ayuntamiento de la localidad. La no aceptación de estas normas implica la no inscripción en ninguna de las actividades referidas". TERCERO: A.A.A. ha manifestado ante esta AEPD lo siguiente: “Los padres que no aceptamos esa condición automáticamente nuestros hijos son excluidos de las actividades y del programa en sí”. CUARTO: El AYUNTAMIENTO DE R.R.R. ha presentado el formulario de inscripción a las actividades “FUN SUMMER” en el que se comprueba que el consentimiento de los representantes legales en caso de menores de edad para la publicación de fotografías del evento no excluye la participación en caso de no consentir dicho uso. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/22 LOPDGDD, es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. III Cuestiones previas El artículo 4 “Definiciones” del RGPD define los siguientes términos a efectos del Reglamento: "1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;” En el presente caso, a tenor del artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que el AYUNTAMIENTO realiza la recogida de, entre otros, los siguientes datos personales de personas físicas: el nombre y apellidos, el número de teléfono o la imagen personal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/22 El AYUNTAMIENTO realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. IV Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se procede a indicar lo siguiente: 1. Base legitimadora del tratamiento de datos personales. El AYUNTAMIENTO insiste, en su escrito de alegaciones al acuerdo de inicio, que su actuación está amparada en lo dispuesto en el artículo 6.1.
20. c)y
21. e)del RGPD, al estar prevista en el artículo 25.2 de la Ley 7/1985. En relación con esta manifestación hay que tener en cuenta lo recogido en el artículo 6.3 del RGPD, que establece: “3. La base del tratamiento indicado en el apartado 1, letras
22. c)y e), deberá ser establecida por:
23. a)el Derecho de la Unión, o
24. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido.” Asimismo, el artículo 8 del RGPD dispone: “1. El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una obligación legal exigible al responsable, en los términos previstos en el artículo 6.1.
25. c)del Reglamento (UE) 2016/679, cuando así lo prevea una norma de Derecho de la Unión Europea o una norma con rango de ley, que podrá determinar las condiciones generales del tratamiento y los tipos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/22 de datos objeto del mismo así como las cesiones que procedan como consecuencia del cumplimiento de la obligación legal. Dicha norma podrá igualmente imponer condiciones especiales al tratamiento, tales como la adopción de medidas adicionales de seguridad u otras establecidas en el capítulo IV del Reglamento (UE) 2016/679. 2. El tratamiento de datos personales solo podrá considerarse fundado en el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable, en los términos previstos en el artículo 6.1
26. e)del Reglamento (UE) 2016/679, cuando derive de una competencia atribuida por una norma con rango de ley.” Así las cosas, cuando el tratamiento se encuentre fundado en una norma de derecho interno, la misma deberá tener rango de ley. Además, dicha ley deberá respetar en todo caso el principio de proporcionalidad, tal y como recuerda la Sentencia del Tribunal Constitucional 14/2003, de 28 de enero: “En otras palabras, de conformidad con una reiterada doctrina de este Tribunal, la constitucionalidad de cualquier medida restrictiva de derechos fundamentales viene determinada por la estricta observancia del principio de proporcionalidad. A los efectos que aquí importan basta con recordar que, para comprobar si una medida restrictiva de un derecho fundamental supera el juicio de proporcionalidad, es necesario constatar si cumple los tres requisitos o condiciones siguientes: si la medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad); si, además, es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad); y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto; SSTC 66/1995, de 8 de mayo [ RTC 1995, 66] , F. 5; 55/1996, de 28 de marzo [ RTC 1996, 55] , FF. 7, 8 y 9; 270/1996, de 16 de diciembre [ RTC 1996, 270] , F. 4.e; 37/1998, de 17 de febrero [ RTC 1998, 37] , F. 8; 186/2000, de 10 de julio [ RTC 2000, 186] , F. 6).” La misma doctrina sostiene el Tribunal de Justicia de la Unión Europea (TJUE), por todas STJUE de 6 de octubre de 2020, asunto C-623/17, que señala que “Cabe añadir que el requisito de que cualquier limitación del ejercicio de los derechos fundamentales deba ser establecida por ley implica que la base legal que permita la injerencia en dichos derechos debe definir ella misma el alcance de la limitación del ejercicio del derecho de que se trate (sentencia de 16 de julio de 2020, Facebook Ireland y Schrems, C-311/18, EU:C:2020:559, apartado 175 y jurisprudencia citada).” Es pues, la misma ley que establece la injerencia en el derecho fundamental la que ha de determinar las condiciones y garantías, esto es, el alcance y la limitación, que han de observarse en dichos tratamientos En definitiva, para que se tengan en cuenta las bases jurídicas previstas en el artículo 6.1.
27. c)y
28. e)del RGPD, deben venir previstas en el Derecho de la Unión o en una norma con rango de Ley. Además, la finalidad del tratamiento debe quedar determinada en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/22 norma que establezca la obligación legal, o ser necesaria para el cumplimiento de la misión realizada en interés público o en ejercicio de poderes públicos, y en todo caso el tratamiento deberá ser proporcional a los objetivos del interés público perseguidos. Por todo ello, el tratamiento de datos personales que realiza el AYUNTAMIENTO no puede fundarse en las bases jurídicas previstas en el artículo 6.1 letras
29. c)y
30. e)del RGPD, en la medida en que la difusión de imágenes de menores en las redes sociales de acceso público, así como en el canal privado de WhatsApp no se encuentra impuesta en ninguna norma con rango de Ley ni resulta necesaria para el cumplimiento de una misión realizada en interés público derivada de una Ley que defina las garantías y el alcance de la limitación. Por lo tanto, esta alegación no puede ser tenida en cuenta. Por otro lado, el AYUNTAMIENTO pone de manifiesto que la publicación de las fotografías estaría relacionada con la necesidad de cumplir con la normativa de transparencia, para que la ciudadanía tenga conocimiento de las actividades que realiza el AYUNTAMIENTO, y que tendría como objetivo:
31. a)cumplir con las obligaciones municipales
32. b)realizar tareas de difusión y promoción
33. c)cumplir con las normativas de transparencia municipal otorgando a todos los ciudadanos la posibilidad de comprobar que su municipio realiza actividades encaminadas a cumplir con los citados objetivos, y poner en conocimiento de la ciudadanía el destino de los recursos públicos. En relación con esta cuestión, la disposición Adicional Segunda de la LOPDGDD, relativa a la “protección de datos y transparencia y accesos a la información pública” establece que “La publicidad activa y el acceso a la información pública regulados en el Título I de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, así como las obligaciones de publicidad activa establecidas por la legislación autonómica, se someterán, cuando la información contenga datos personales, a lo dispuesto en los artículos 5.3 y 15 de la Ley 19/2013, en el Reglamento (UE) 2016/679, y en la presente ley orgánica.” En este sentido, el artículo 5.1 de la Ley 19/2013 establece que se publicará de forma periódica y actualizada la información cuyo conocimiento sea relevante para garantizar la transparencia de su actividad relacionada con el funcionamiento y control de la actuación pública. Asimismo, en el apartado 3 se establece: “Serán de aplicación, en su caso, los límites al derecho de acceso a la información pública previstos en el artículo 14 y, especialmente, el derivado de la protección de datos de carácter personal, regulado en el artículo 15. A este respecto, cuando la información contuviera datos especialmente protegidos, la publicidad sólo se llevará a cabo previa disociación de los mismos” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/22 Por su parte, el artículo 8 de esa misma Ley recoge la información relativa a los actos de gestión administrativa con repercusión económica o presupuestaria que deberán hacerse públicos, que son: “
34. a)Todos los contratos, con indicación del objeto, duración, el importe de la licitación y de adjudicación, el procedimiento utilizado para su celebración, los instrumentos a través de los que, en su caso, se ha publicitado, el número de licitadores participantes en el procedimiento y la identidad del adjudicatario, así como las modificaciones del contrato. Igualmente serán objeto de publicación las decisiones de desistimiento y renuncia de los contratos. La publicación de la información relativa a los contratos menores podrá realizarse trimestralmente. Asimismo, se publicarán datos estadísticos sobre el porcentaje en volumen presupuestario de contratos adjudicados a través de cada uno de los procedimientos previstos en la legislación de contratos del sector público. Además, se publicará información estadística sobre el porcentaje de participación en contratos adjudicados, tanto en relación con su número como en relación con su valor, de la categoría de microempresas, pequeñas y medianas empresas (pymes), entendidas como tal según el anexo I del Reglamento (UE) n.º 651/2014 de la Comisión, de 17 de junio de 2014, para cada uno de los procedimientos y tipologías previstas en la legislación de contratos del sector público. La publicación de esta información se realizará semestralmente, a partir de un año de la publicación de la norma.
35. b)La relación de los convenios suscritos, con mención de las partes firmantes, su objeto, plazo de duración, modificaciones realizadas, obligados a la realización de las prestaciones y, en su caso, las obligaciones económicas convenidas. Igualmente, se publicarán las encomiendas de gestión que se firmen, con indicación de su objeto, presupuesto, duración, obligaciones económicas y las subcontrataciones que se realicen con mención de los adjudicatarios, procedimiento seguido para la adjudicación e importe de la misma.
36. c)Las subvenciones y ayudas públicas concedidas con indicación de su importe, objetivo o finalidad y beneficiarios.
37. d)Los presupuestos, con descripción de las principales partidas presupuestarias e información actualizada y comprensible sobre su estado de ejecución y sobre el cumplimiento de los objetivos de estabilidad presupuestaria y sostenibilidad financiera de las Administraciones Públicas.
38. e)Las cuentas anuales que deban rendirse y los informes de auditoría de cuentas y de fiscalización por parte de los órganos de control externo que sobre ellos se emitan.
39. f)Las retribuciones percibidas anualmente por los altos cargos y máximos responsables de las entidades incluidas en el ámbito de la aplicación de este título. Igualmente, se harán públicas las indemnizaciones percibidas, en su caso, con ocasión del abandono del cargo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/22
40. g)Las resoluciones de autorización o reconocimiento de compatibilidad que afecten a los empleados públicos así como las que autoricen el ejercicio de actividad privada al cese de los altos cargos de la Administración General del Estado o asimilados según la normativa autonómica o local.
41. h)Las declaraciones anuales de bienes y actividades de los representantes locales, en los términos previstos en la Ley 7/1985, de 2 de abril, Reguladora de las Bases del Régimen Local. Cuando el reglamento no fije los términos en que han de hacerse públicas estas declaraciones se aplicará lo dispuesto en la normativa de conflictos de intereses en el ámbito de la Administración General del Estado. En todo caso, se omitirán los datos relativos a la localización concreta de los bienes inmuebles y se garantizará la privacidad y seguridad de sus titulares.
42. i)La información estadística necesaria para valorar el grado de cumplimiento y calidad de los servicios públicos que sean de su competencia, en los términos que defina cada administración competente. (…) 3. Las Administraciones Públicas publicarán la relación de los bienes inmuebles que sean de su propiedad o sobre los que ostenten algún derecho real.” Por lo tanto, de conformidad con lo establecido, la alegación presentada por el AYUNTAMIENTO, en la que se manifiesta que la necesidad de publicar las fotografías de los menores en las actividades organizadas por el AYUNTAMIENTO se realizaba por cuestiones de transparencia, no puede ser tenida en cuenta. Tampoco las obligaciones de promoción y difusión de las actividades a las que se refiere el AYUNTAMIENTO justifican aquella publicación de las imágenes de los menores que participan en las mismas, por cuanto aquellas obligaciones pueden perfectamente atenderse con pleno respeto a la protección de datos personales de los interesados. 2, y 3. Medidas en materia de protección de datos adoptadas por el AYUNTAMIENTO. Decisiones adoptadas por el responsable del tratamiento derivada reclamación. En relación con esta cuestión, el AYUNTAMIENTO pone de manifiesto que - cuenta con un Delegado de Protección de Datos, - se están realizando gestiones para la implementación del Registro de Actividades de Tratamiento. -se han adoptado medidas técnicas y organizativas adecuadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el RGPD y resto de las normas aplicables. -la ciudadanía cuenta con un procedimiento en materia de derechos ARSOPL disponible en el sitio web del AYUNTAMIENTO. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/22 - se procederá a una información más exhaustiva de los usos de las imágenes y las consecuencias de la autorización en las actividades en las que sea necesario la difusión de imágenes, así como una mejor información de los derechos de acceso, rectificación, y supresión de los datos. - el AYUNTAMIENTO va a modificar todos los formularios en los que se exija aceptar las condiciones de tratamiento de datos para participar en las convocatorias públicas, y esta medida tendrá su reflejo en el resto de las medidas técnicas y organizativas actualmente implantadas. Y se va a dejar de supeditar la participación en las actividades al consentimiento en el tratamiento de los datos, en el sentido que se recoge en el acuerdo de iniciación, y, en las siguientes actividades enmarcadas en las competencias antes citadas se va a eliminar el requisito de aceptar el tratamiento de imágenes. En relación con estas manifestaciones es necesario señalar que el hecho de que haya adoptado este tipo de medidas no contradice el hecho de que la infracción no se haya producido, ya que el incumplimiento ha quedado acreditado a lo largo de este documento. Asimismo, en relación con la manifestación referida a que va a modificar todos los formularios en los que se exija aceptar las condiciones de tratamiento de datos para participar en las convocatorias públicas es necesario señalar que además de adecuar estos formularios a las medidas correctivas recogidas en el acuerdo de inicio, deberá acreditarlo ante esta Agencia, en los términos recogidos en el apartado VII de este documento. En cualquier caso, interesa señalar que la modificación del repetido formulario para dejar de supeditar la difusión de imágenes en el contexto descrito a la prestación del consentimiento por los interesados, sobre la base de que dicha difusión puede realizarse al amparo de las otras bases de legitimación invocadas por el AYUNTAMIENTO, no respetaría los principios aplicables a la protección de datos personales, según ha quedado indicado anteriormente. V Contestación a las alegaciones aducidas a la propuesta de resolución El AYUNTAMIENTO ha presentado un escrito en fecha 4 de julio de 2025 mediante el que adjunta la hoja de inscripción a la actividad “FUN SUMMER” para las sucesivas ediciones, en las que ha establecido el consentimiento de los representantes legales en caso de menores de edad para la publicación de fotografías del evento y en el que no se excluye la participación en caso de no consentir dicho uso. En lo que respecta a esta manifestación, se procede a estimar la alegación, no considerándose necesario imponer más medidas. VI Los principios que han de regir el tratamiento se encuentran enumerados en el artículo 5 del RGPS. Principio de licitud C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/22 En este sentido, el artículo 5.1.
43. a)establece que “Los datos personales serán:
44. a)tratados de manera lícita, leal y transparente en relación con el interesado (licitud, lealtad y transparencia).” Por su parte, el artículo 6.1 del RGPD referido a la “Licitud del tratamiento” establece: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
45. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
46. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
47. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
48. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
49. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
50. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
51. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” El Considerando 40 del RGPD señala que “Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.” En el caso que nos ocupa, A.A.A. ponía de manifiesto que, en la solicitud de participación en el programa “Fun summer”, que ofertaba el AYUNTAMIENTO, era necesario aceptar la publicación de fotografías con imágenes de los participantes, (menores de edad) en sus redes sociales públicas y en el canal de difusión de privado de WhatsApp, puesto que, si no se aceptaba dicha cláusula, los menores quedaban excluidos del programa en sí. Tras efectuarse el traslado de esta reclamación al AYUNTAMIENTO, éste ha contestado que dicho tratamiento se encuentra legitimado en virtud de lo dispuesto en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/22 el artículo 6.1 apartados
52. c)y
53. e)del RGPD; cuestión esta que ha sido respondida en el punto primero del Fundamento de Derecho IV anterior. Por tanto, la base jurídica en la que debe basarse este tratamiento es el consentimiento, previsto en el artículo 6.1.
54. a)del RGPD. En este sentido el artículo 4.11 del RGPD se refiere al consentimiento del interesado, como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. A su vez, el artículo 92 de la LOPDGDD, referido a la protección de datos de los menores en internet, establece: “Los centros educativos y cualesquiera personas físicas o jurídicas que desarrollen actividades en las que participen menores de edad garantizarán la protección del interés superior del menor y sus derechos fundamentales, especialmente el derecho a la protección de datos personales, en la publicación o difusión de sus datos personales a través de servicios de la sociedad de la información. Cuando dicha publicación o difusión fuera a tener lugar a través de servicios de redes sociales o servicios equivalentes deberán contar con el consentimiento del menor o sus representantes legales, conforme a lo prescrito en el artículo 7 de esta ley orgánica.” (el subrayado es nuestro) En este sentido, el considerando 42 del RGPD recoge: “Cuando el tratamiento se lleva a cabo con el consentimiento del interesado, el responsable del tratamiento debe ser capaz de demostrar que aquel ha dado su consentimiento a la operación de tratamiento. En particular en el contexto de una declaración por escrito efectuada sobre otro asunto, debe haber garantías de que el interesado es consciente del hecho de que da su consentimiento y de la medida en que lo hace. De acuerdo con la Directiva 93/13/CEE del Consejo