← España

PS-00509-2025

1/26  Expediente N.º: EXP202406960 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO DE RESPONSABILIDAD Y PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 3 de diciembre de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a FUNDACIÓN TRILEMA (en adelante, F.T.), mediante el acuerdo que se transcribe: << Expediente N.º: EXP202406960 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes, HECHOS PRIMERO: Con fecha 25/04/2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a FUNDACIÓN TRILEMA con NIF G98478175 (en adelante, F.T.). Los hechos que se ponen en conocimiento de esta autoridad son: La parte reclamante manifiesta que es padre de un menor de edad, que ha estado matriculado en el ***CENTRO.1, gestionado por la entidad reclamada, y que dicho colegio ha publicado imágenes de su hijo en sus redes sociales y en internet, sin contar con su autorización. Manifiesta expresamente la parte reclamante: “Este colegio no tiene consentimiento para publicarlas. Tal es así que les pedí que me reenviaran el documento en el que daba mi consentimiento para la publicación y me han reconocido que no lo tienen. El de este año porque no lo entregué y el resto de los años que no lo guardan, por lo que no pueden demostrar que yo se lo hubiera dado”. Manifiesta además que tanto su mujer como él, solicitaron del colegio que borrasen todo rastro de su hijo en redes sociales y en una primera respuesta, el colegio les aseguró que no había fotos de su hijo, si bien el reclamante les contestó que seguía habiendo fotografías de su hijo publicadas en redes sociales. Además, la mujer del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/26 reclamante solicitó a F.T. que le facilitaran copia de la autorización para la publicación de las imágenes del menor, obteniendo como respuesta que carecían de las mismas. Junto al escrito, se aportan las siguientes imágenes con sus correspondientes URL: - Imágenes publicadas en la red social ***PLATAFORMA.1 de la cuenta TRILEMA, de fecha de publicación 24/09/20XX, en las que aparecen 15 menores de edad dentro de un aula. En la publicación se incluye la frase: “(…). - Imagen extraída de un vídeo publicado en la red social ***PLATAFORMA.2 de la cuenta (…) de fecha de publicación 25/01/20XX, en la que se aprecia a 17 menores de edad en un gimnasio. Se incluye mensaje: (…) - Imagen de un video publicado en la red social ***PLATAFORMA.2 de la cuenta (…) y de fecha de publicación 6/11/20XX, en la que aparecen 8 menores de edad y 8 mayores de edad. (…). - Imagen de un video publicado en ***PLATAFORMA.3 en el que aparecen 6 mayores de edad dentro de un aula del colegio. La cuenta de dicha red social es Fundación Trilema y el título (…). - Imagen de un video publicado en ***PLATAFORMA.3 en el que aparece una mayor de edad con una menor. - Imagen de un video publicado en ***PLATAFORMA.3 en el que aparecen 4 menores de edad, dentro de un aula del colegio. La cuenta de dicha red social es Fundación Trilema y el título (…) - Imagen de un video publicado en ***PLATAFORMA.3 en el que aparece 6 mayores de edad. - Imagen de un video publicado en ***PLATAFORMA.3 en el que aparece varios mayores de edad. - Imagen en (…) de ***CENTRO.1 – Fundación Trilema en el que aparecen, al menos 12 menores de edad, dentro de un aula del colegio, bajo el lema “(…).” Esta Agencia, en fecha 7/05/2024, comprobó las mencionadas publicaciones en las diferentes redes sociales e internet, dejando constancia en el expediente de la veracidad de estas, mediante diligencia. Se aporta, además, por la parte reclamante los siguientes correos electrónicos: C/ Jorge Juan, 6 28001 – Madrid Correo electrónico de fecha 8/04/2024 de ***EMAIL.1 (madre del menor), por el que solicita de F.T. el ejercicio del derecho de acceso y supresión de www.aepd.es sedeaepd.gob.es 3/26 sus datos personales y los de su hijo menor de edad, y las imágenes y videos en los que aparecen ambos. Solicita también la supresión de dichas imágenes y videos y adjunta los formularios para el ejercicio de los derechos citados. - Correo electrónico de fecha 9/04/2024 de ***EMAIL.1 por el que solicita a F.T. las autorizaciones, de todos los años, para tomar y usar los datos que tiene el colegio sobre su hijo y de ellas misma. Manifiesta además que F.T., el día 5/04/2024, le comunicó verbalmente que no disponían de esas autorizaciones. - Correo electrónico de fecha 11/04/2024 de ***EMAIL.2 a ***EMAIL.1 y asunto “solicitud de acceso y supresión de datos personales”, por el que contesta a los anteriores correos, manifestando entre otros que se había revisado su petición y que algunos documentos no podrían ser entregados. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a F.T. para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. En fecha 11/06/2024 F.T. contestó al requerimiento de esta Agencia aportando los siguientes documentos: - “Contestación 2 - Gestión de riesgos difusión de imágenes - Informe técnico DPD - Consentimiento publicación imágenes.” En dichos documentos, F.T. manifestaba:  En relación con la solicitud de eliminación de imágenes: “El día 8 de abril, se recibió una comunicación electrónica por parte de la madre de un alumno, en la cual revoca su autorización previamente otorgada para la publicación de imágenes de su persona y de su hijo. En dicho correo, la madre manifiesta haber observado la publicación de fotografías de ambos y expresa su deseo de que dichas imágenes sean eliminadas. Como primer paso, se procede inmediatamente a revisar todas las redes sociales y plataformas donde pudieran estar publicadas las imágenes, con el objetivo de eliminarlas a la mayor brevedad posible. Para llevar a cabo esta tarea de manera eficiente, se solicitó la colaboración de los padres, ya que la madre declaró conocer la ubicación exacta de las imágenes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/26 Sin embargo, el proceso resultó ser arduo y desproporcionado, debido a que los padres no facilitaron información específica que permitiera localizar rápidamente las imágenes en cuestión, agravado por la amplitud temporal de la solicitud. Como segundo paso, se procede a revisar minuciosamente el proceso seguido para la obtención y publicación de las imágenes de ambos sujetos involucrados, con el fin de verificar la correcta obtención del consentimiento conforme a la normativa vigente.”  En relación con la obtención del consentimiento del menor y de la madre, para la publicación de sus imágenes: “Consentimiento del menor: Se dispone de consentimiento para la publicación de imágenes del menor proveniente de cursos anteriores, el cual fue facilitado por los padres al inicio de cada curso escolar. En caso de haya aparecido en alguna imagen de este curso escolar es porque se ha determinado que no era posible su identificación en el proceso de publicación. Consentimiento de la madre: En cuanto a la publicación de las fotos de la madre, se verifica que se procedió a informar y solicitar el consentimiento de manera verbal en el momento de la toma de la imagen. Esta comunicación y aceptación fueron realizadas de forma directa y presencial, asegurándose de que la madre comprendiera el propósito y el uso de las imágenes, dando su conformidad en el acto. Consentimiento: De esta manera, se asegura que ambos procesos de información y obtención de consentimiento se han realizado de acuerdo con los procedimientos establecidos y respetando los derechos de las personas involucradas. Revocación del consentimiento: Se considera que se ha atendido con premura la solicitud de retirar el consentimiento para la publicación de las imágenes, actuando en la medida de lo posible y a pesar de la escasa colaboración del solicitante. Ya no aparecen imágenes publicadas del menor ni de la madre.”  En relación con la actualización y revisión de los protocolos de información y obtención de consentimiento para la publicación de imágenes: “Conservación de documentos de consentimiento: Se ha determinado que la práctica anterior de conservar únicamente el consentimiento para la publicación de imágenes de alumnos del año en curso por considerar que es el último consentimiento otorgado y por tanto el válido es insuficiente. En consecuencia, a partir de ahora se conservarán los documentos de obtención de consentimiento durante el plazo de 5 años. Actualización del proceso de obtención de consentimiento para familias en eventos: Se ha decidido que el proceso de informar y la obtención del consentimiento para la publicación de imágenes de familias en eventos debe ser actualizado. En adelante se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/26 informará y se obtendrá el consentimiento de manera escrita, además de la colocación de carteles informativos en dichos eventos.”  En relación con las causas que han motivado la incidencia que ha originado la reclamación: “El 18 de febrero de 2024, en las instalaciones destinadas a la enseñanza de Biología del centro educativo, específicamente en el aula asignada a la clase (…) se había programado una actividad pedagógica, con los alumnos matriculados en la clase de (…) bajo la supervisión de la docente titular de Biología, consistente en la observación y documentación del crecimiento de semillas, integrada en el currículo de la asignatura de Biología. Esta actividad tenía como fin principal educar a los alumnos en métodos científicos de observación y registro de datos experimentales. Con antelación al inicio del proyecto, se procedió a la distribución de comunicaciones escritas mediante notas en las agendas escolares de cada alumno, solicitando el consentimiento informado de los padres o tutores legales. Dicha comunicación detallaba el propósito educativo de la actividad, su duración y la necesidad del uso de dispositivos móviles personales para la documentación gráfica del proyecto. Previamente al comienzo del proyecto, la profesora encargada revisó exhaustivamente las normativas de uso de dispositivos móviles con los alumnos, clarificando el procedimiento a seguir para la captura y almacenamiento de las imágenes. Además, se efectuó la formación de grupos de trabajo para facilitar una organización estructurada y supervisada. Era requisito indispensable que los alumnos presentaran la nota de consentimiento firmada por sus tutores a la profesora para validar su participación en la actividad educativa. Los estudiantes emplearon sus dispositivos personales conforme a las directrices establecidas, capturando imágenes periódicas que documentaban el crecimiento de las semillas. Durante la realización del proyecto, la docente supervisó de manera continua el uso de los dispositivos, no registrándose anomalías ni incidencias comunicadas por los participantes. Subsecuentemente, se recibió una notificación por parte de la madre de un alumno, indicando que el 18 de febrero, otro estudiante había capturado y divulgado una fotografía de su hijo en un contexto no autorizado, difundiéndola a través de un grupo de ***PLATAFORMA.4 externo al ámbito escolar. El 8 de mayo se recibió un correo electrónico de la madre del alumno revocando su autorización sobre los derechos de imagen de su hijo, el centro procedió a revisar todas las redes para eliminar cualquier foto del alumno. Aunque el trabajo fue desproporcionado y arduo por no ser facilitados por la madre ningún dato específico para poder localizar las imágenes, se hizo todo lo posible por cumplir esta solicitud, notificando a la solicitante por medio de contestación a su correo electrónico del curso de dicha solicitud. El equipo docente actuó con diligencia para investigar la alegación, confirmándose la transgresión de las políticas de privacidad del centro y detectándose indicios de acoso. El alumno responsable fue identificado y admitió su falta, colaborando y emitiendo disculpas formales a los afectados. El centro dio curso al proceso disciplinario siguiendo los protocolos habilitados a tal efecto. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/26  En relación con el ejercicio de derechos en materia de protección de datos: “Fundación Trilema incorpora información sobre el proceso para el ejercicio de derechos relacionados con la protección de datos personales a través de los siguientes canales: o Política de Privacidad de la web: ***URL.1 o Firma de los correos electrónicos. o Documento para la obtención del consentimiento que se facilita a las familias al inicio de cada curso escolar. o Otros medios: facturas, documentos informativos para las familias, difusiones, etc. Directamente preguntando en las oficinas principales de Fundación Trilema y desde la secretaría de cada uno de los coles. Se puede solicitar el ejercicio de derechos a través del email de contacto (…), por medio de carta a la dirección C/ ***DIRECCIÓN.1 Valencia o personándose en las oficinas principales de Fundación Trilema en la dirección física antes facilitada o a través de cada una de las secretarías habilitadas en (…). Trilema dispone de modelos de documentos habilitados para facilitar la solicitud de ejercicio de derechos, se adjuntan”. TERCERO: En fecha 13/06/2024 la entonces Directora de la AEPD dictó resolución de inadmisión a trámite de la reclamación presentada, en base a que “Una vez analizadas las razones expuestas por la parte reclamada, que obran en el expediente, esta Agencia considera que el responsable ha atendido la reclamación presentada”. CUARTO: La parte reclamante en fecha 29/06/2024, interpuso recurso de reposición contra la citada resolución de inadmisión, por entender probada la inadecuada actuación de F.T. respecto al tratamiento de datos personales en relación con la recogida de consentimientos, publicación en redes y eliminación de imágenes y vídeos. Para ello, aportó nuevos enlaces de redes sociales (***PLATAFORMA.5), en los que aparecen publicadas imágenes de las personas a las que se refiere la reclamación. En fecha 4/12/2024 se dio trámite de audiencia a F.T. del recurso de reposición presentado y el 11/12/2024 la parte reclamada presentó las alegaciones entre las que caben destacar: “(…) 1. Sobre el consentimiento para la publicación de imágenes • Recogida anual del consentimiento: El centro educativo solicita el consentimiento para el tratamiento de imágenes al inicio de cada curso escolar para garantizar que se respeta cualquier cambio de opinión de los tutores legales. Durante el curso 20232024, la madre del menor afectado no entrego el documento de consentimiento, lo que llevo al centro a clasificar al menor como "no autorizado" y a adoptar las medidas necesarias para evitar su aparición en imágenes publicadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/26 • Prueba del cumplimiento: A lo largo del curso, se han publicado numerosas fotografías de la clase del menor afectado. En estas, el niño no aparece, salvo en una ocasión puntual donde su imagen se muestra de lejos. Este hecho demuestra el esfuerzo continuo del centro por cumplir con las instrucciones de privacidad proporcionadas por los padres. De no haberse respetado la normativa, el menor habría aparecido en todas las imágenes del grupo, lo cual no ha sido el caso. • Error puntual y corrección: La aparición del menor en una imagen publicada se debió a un error de identificación. En cuanto se nos informó del incidente, se revisaron nuevamente todas las publicaciones y se eliminaron de forma inmediata las imágenes señaladas. Reiteramos que, de haber tenido conocimiento de estas imágenes desde el inicio, habrían sido retiradas con la misma diligencia. Esto no fue posible porque la madre solo proporciono los enlaces directamente a la AEPD y no al centro, pese a nuestras reiteradas solicitudes de colaboración tanto por escrito como de forma telefónica. 2. Sobre el consentimiento de la madre para la publicación de imágenes • Consentimiento verbal: Durante eventos escolares, como celebraciones de aprendizaje, la madre poso directamente para el fotógrafo en varias ocasiones, lo que demuestra la existencia de un consentimiento verbal. Sin embargo, reconocemos que este consentimiento no fue complementado con un documento escrito, lo que constituye un fallo administrativo que hemos subsanado. • Actualización del procedimiento: Desde la reclamación, se ha implementado un proceso estricto que incluye: ◦ Obtención de consentimientos por escrito de todos los familiares presentes (tutores, abuelos, hermanos, etc.). ◦ Colocación de carteles informativos en eventos, garantizando la transparencia. • Reconocemos las dificultades asociadas a este proceso, ya que implica una logística compleja para la obtención de autorizaciones de todos los familiares. A pesar de ello, nunca habíamos enfrentado problemas con este procedimiento hasta la fecha, lo que refleja el cuidado con el que el centro aborda estas cuestiones. 3. Sobre los nuevos enlaces proporcionados • En cuanto recibimos los enlaces proporcionados por la AEPD, procedimos a retirar las imágenes el día siguiente a su recepción. Este proceso se habría realizado igualmente de forma inmediata si la madre hubiese compartido esta información con nosotros desde el primer momento. Reiteramos nuestra disposición para colaborar y garantizar el cumplimiento de sus derechos, y lamentamos las dificultades adicionales que este proceso pudo generar.” (…) QUINTO: En fecha 21/01/2025 se estimó el recurso de reposición interpuesto por la parte reclamante, contra la resolución de inadmisión dictada en fecha 13/06/2024, y se admitió a trámite la reclamación formulada de acuerdo con lo establecido en el artículo 65 de la LOPDGDD. SEXTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/26 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: En fechas 6/05/2024 y 7/05/2024, esta Agencia recopiló evidencias de la publicación de las imágenes a que hacía referencia la parte reclamante, en (…) (***PLATAFORMA.2), ***PLATAFORMA.3, ***PLATAFORMA.1 y en la web del colegio. En fecha 11/06/2024, F.T. presentó escrito de contestación al traslado que consta reseñado en el Hecho Segundo. En fecha 29/07/2025 F.T. presentó escrito de contestación, al requerimiento de esta Agencia, en el que, entre otros aspectos, manifestaba: “1. Acreditación del consentimiento de la madre del menor, supuestamente recabado verbalmente. En relación con las imágenes de la madre del menor, manifestamos que no se dispone de consentimiento firmado por escrito. La autorización fue recabada de forma verbal durante su participación en actividades escolares presenciales abiertas, con información proporcionada en ese contexto sobre el posible uso institucional de las imágenes. Igualmente, en cuanto a las imágenes del menor de edad, informamos que no se recibió por parte de los progenitores el consentimiento firmado correspondiente al curso escolar 2023-2024, documento que es solicitado a todas las familias al inicio del año escolar. En ausencia de dicho consentimiento firmado, el menor fue tratado como "no autorizado" en todos los registros del centro, y no se ha procedido a la publicación consciente de imágenes identificables de su persona durante dicho curso. Cabe señalar que, en cursos anteriores, sí existió consentimiento firmado, aunque dicho documento no se conserva, ya que en el momento se aplicaba una política de conservación de solo un año, la cual ha sido modificada a partir del presente curso para asegurar una conservación mínima de cinco años. 2. Acreditación del consentimiento para llevar a cabo el tratamiento de datos realizado al publicar el vídeo. Con respecto al vídeo mencionado, publicado en canales institucionales del centro, informamos que: • En el caso del menor, si aparece en dicho vídeo, fue de forma no identificable y en un contexto en el que no constaba oposición expresa por parte de la familia en ese momento, ni petición concreta sobre dicho material. • En el caso de la madre, no existía consentimiento escrito, por lo que tras su solicitud se procedió a la eliminación inmediata del contenido. Reiteramos que el protocolo del centro se ha actualizado desde entonces para restringir cualquier publicación sin consentimiento documental y para establecer revisiones periódicas de los materiales existentes. 3. Confirmación sobre el tratamiento indefinido de datos y medidas de bloqueo El documento de consentimiento que estaba vigente hasta el curso 2024-2025 establece expresamente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/26 “Estos datos se mantendrán en el sistema de forma indefinida en tanto el interesado no solicite su supresión. ” Por tanto, la política actual del centro es mantener las imágenes y datos personales cuya publicación fue consentida, mientras no se ejercite expresamente el derecho de supresión por parte del interesado o su representante legal. Cuando se recibe una solicitud de eliminación, se procede con la máxima diligencia a: • Retirar el contenido de todos los canales de difusión gestionados por el centro. • Aplicar medidas internas de bloqueo digital, que impiden su futura reutilización. • Registrar la solicitud y los pasos dados como parte de las actuaciones de cumplimiento. 4. Finalidad de la difusión de las imágenes y cómo se informa de la misma. La difusión de imágenes en redes sociales, web y medios impresos del centro tiene exclusivamente fines: • Educativos y pedagógicos. • Institucionales y de transparencia educativa. • Comunicativos dentro del entorno escolar, como boletines o revistas. Estas finalidades están especificadas en el formulario de consentimiento entregado al inicio del curso escolar. Además, en actividades presenciales se informa mediante cartelería y comunicaciones por correo electrónico, incluyendo el recordatorio de derechos como la oposición y la supresión. 5. Información incluida en el Registro de Actividades de Tratamiento (RAT) La actividad de tratamiento referida está documentada en el Registro de Actividades de Tratamiento de Fundación Trilema, e incluye:  Nombre de la actividad: “Gestión y difusión de imagen de alumnado y familiares”.  Base jurídica: Consentimiento expreso del interesado o su representante legal.  Finalidad: Promoción educativa e institucional del centro.  Categorías de datos: Imagen, voz, nombre.  Conservación: Indefinida salvo oposición o supresión.  Seguridad: Acceso restringido, registros de supresión, trazabilidad de acciones.” SEPTIMO De acuerdo con el informe recogido de la herramienta AXESOR, la entidad F.T. es una empresa constituida en el año 2018 y con un importe neto de la cifra de negocios de 79.282€ para el año 2023. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/26 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de las presuntas infracciones cometidas, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.

  1. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/26 El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que F.T. realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas: nombre y apellidos, fecha de nacimiento, dirección postal, correo electrónico y fotos y videos de alumnos y sus padres, entre otros. F.T. realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. IV La imagen es un dato personal La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un “dato personal” y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” V Obligación incumplida. Artículo 6.1.
  2. a)RGPD. Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;” En este sentido, el Considerando 32 del RGPD establece que: “El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen, como una declaración C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/26 por escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta.” A su vez, el artículo 4 del RGPD, relativo a definiciones, establece en el apartado 11: “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen;” Por otra parte, el artículo 24 del RGPD desarrolla el principio de responsabilidad proactiva del responsable del tratamiento, exigiendo que su actuación no solo sea conforme al RGPD sino que, además, sea capaz de demostrarlo: “Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario”. El artículo 7 de la LOPDGDD, en referencia al consentimiento de los menores de edad, establece: “1. El tratamiento de los datos personales de un menor de edad únicamente podrá fundarse en su consentimiento cuando sea mayor de catorce años. Se exceptúan los supuestos en que la ley exija la asistencia de los titulares de la patria potestad o tutela para la celebración del acto o negocio jurídico en cuyo contexto se recaba el consentimiento para el tratamiento. 2. El tratamiento de los datos de los menores de catorce años, fundado en el consentimiento, solo será lícito si consta el del titular de la patria potestad o tutela, con el alcance que determinen los titulares de la patria potestad o tutela.” En definitiva, el tratamiento de datos personales requiere la existencia de una base legal que lo legitime. La elección de la base más adecuada del tratamiento, en caso de existir varias, corresponde al responsable, igual que compete a este acreditar que el tratamiento se realiza conforme a una base de legitimación. En el presente caso, como se ha detallado en el apartado Hechos, F.T. manifiesta que en relación a la acreditación del consentimiento, para publicar las imágenes del menor “no se recibió por parte de los padres el consentimiento firmado correspondiente al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/26 curso escolar 2023-2024, por lo que el menor fue tratado como "no autorizado”. Si bien, F.T. en su escrito de contestación al recurso de reposición, presentado por la reclamante, manifestó: “Prueba del cumplimiento: A lo largo del curso, se han publicado numerosas fotografías de la clase del menor afectado. En estas, el niño no aparece, salvo en una ocasión puntual donde su imagen se muestra de lejos ... Error puntual y corrección: La aparición del menor en una imagen publicada se debió a un error de identificación…” . Por lo que respecta a cursos escolares anteriores, manifiesta F.T. que “sí existió consentimiento firmado, aunque dicho documento no se conserva, ya que en el momento se aplicaba una política de conservación de solo 1 año, la cual ha sido modificada a partir del presente curso para asegurar una conservación mínima de 5 años”. Debe tomarse en consideración, también, el correo electrónico “Contestación del DPD del día 11 de abril de 2024”, a la madre del menor: (…) “Sin embargo, debo informarle que algunos documentos solicitados no pueden ser entregados por las razones especificas en el informe adjunto. En particular, la copia del consentimiento de Protección de Datos no está disponible, dado que el documento no fue devuelto al centro al comienzo del curso 2023-2024, resultando que el alumno haya sido considerado como no autorizado para ciertas actividades… Quiero añadir que resulta un esfuerzo desproporcionado facilitar el documento de obtención de consentimiento de todos los cursos escolares anteriores. Considerando que el consentimiento más relevante es el del año vigente, el cual rige la gestión actual de los datos personales de su hijo. Esta aproximación está en línea con nuestras políticas de eficiencia y con el propósito de centrarnos en la relevancia y actualidad de la documentación proporcionado.” (el subrayado es de la AEPD) Así como, el correo electrónico de fecha 10/05/2024 de la madre del menor dirigido a F.T.: (…) “Es importante destacar que el centro educativo ***CENTRO.1 no ha contado con autorización durante el curso escolar 2023/2024 para la captura de fotografías y videos del menor, ni tampoco ha obtenido mi consentimiento en ningún momento. No obstante, hasta la fecha presente, dichas imágenes de este curso escolar (sin autorización) continúan siendo difundidas en redes sociales, a pesar de haber solicitado formalmente su eliminación. (el subrayado es de la AEPD) Por lo que respecta a las imágenes de la madre del menor, manifiesta F.T. que “no se dispone de consentimiento firmado por escrito. La autorización fue recabada de forma verbal durante su participación en actividades escolares presenciales abiertas, con información proporcionada en ese contexto sobre el posible uso institucional de las imágenes.” Dicho consentimiento verbal es negado por la parte reclamante (el subrayado es de la AEPD). En definitiva, F.T. no habría aportado al expediente, el consentimiento de los padres, como manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, publicar imágenes del menor y de su madre en las diferentes redes sociales e internet. Más aún, la madre niega haber consentido dicha publicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/26 Por lo que respecta a la búsqueda, por F.T., en redes sociales e internet de las fotos del menor y su madre, llama la atención el correo electrónico de fecha 16/05/2024 de F.T. (…), dirigido a la madre del menor: (…) “Hemos realizado una exhaustiva revisión de todas nuestras plataformas y redes sociales para identificar y eliminar cualquier imagen o video, atendiendo a su derecho a revocar su consentimiento… Debe tener en cuenta que no nos ha facilitado información alguna sobre la localización de las imágenes que usted ha detectado para facilitar la gestión de su derecho de cancelación. La revisión total de las redes y plataformas en una extensión de tiempo muy amplia supone un esfuerzo desproporcionado para esta entidad. Le agradeceríamos su colaboración facilitándonos enlaces de las imágenes que se hayan podido pasar por alto durante nuestro proceso de revisión. De lo contrario, el ejercicio de su solicitud puede suponer un esfuerzo desproporcionado para esta entidad y no quisiéramos que esta tarea repercutiera de manera adversa en la capacidad de la entidad para cumplir las obligaciones inherentes a su función.” (el subrayado es de la AEPD) Y llamaría la atención por cuanto, se solicita de la parte reclamante que facilite la localización de imágenes que haya detectado, porque para F.T. supone un esfuerzo desproporcionado. Se recuerda que los nombres de las cuentas en redes sociales de F.T. son: - ***PLATAFORMA.1: (…). - ***PLATAFORMA.2: (…). - ***PLATAFORMA.3: (…). - (…): ***CENTRO.1 – (…). Es decir, F.T. habría dado de alta dichas cuentas en redes sociales, a su nombre, y sería quien debiera conocer las publicaciones que se hacen en ellas, las fechas y quien las realiza, al necesitar usuario y contraseña. Según la documentación que obra en el expediente, se publicaron imágenes en dichas redes sociales e internet, al menos durante los años 2021, 2023 y 2024. Por ello, el tratamiento de la imagen del menor podría no sería licito al no haber podido acreditar F.T., el consentimiento dado por sus padres y ello por cuanto, la parte reclamante ha aportado al expediente imágenes tanto del menor como de su madre, difundidas en internet y redes sociales por F.T. VI Tipificación de la infracción del artículo 6.1.
  4. a)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUROS como máximo o, tratándose de una empresa, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/26 de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  5. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  6. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679." VII Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  7. a)a
  8. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  9. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  10. b)la intencionalidad o negligencia en la infracción;
  11. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  12. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  13. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  14. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  15. g)las categorías de los datos de carácter personal afectados por la infracción; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/26
  16. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  17. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  18. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  19. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  20. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  21. a)El carácter continuado de la infracción.
  22. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  23. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  24. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  25. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  26. f)La afectación a los derechos de los menores.
  27. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  28. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de F.T. en 79.282€ para el año 2023. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/26 Con carácter previo, se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): de las evidencias diligenciadas por esta Agencia, así como, de los documentos aportados por el reclamante, obran en el expediente fotografías y videos del menor y su madre, publicados en al menos 4 redes sociales e internet (***PLATAFORMA.1, ***PLATAFORMA.3, (…)), correspondientes a 3 años (2021,2023 y 2024) • Negligencia en la infracción (artículo 83.2, letra b), del RGPD): como ya se ha expuesto, F.T. solicitó la colaboración de la parte reclamante para que le facilitaran los enlaces de las imágenes, publicadas en sus cuentas de redes sociales y que se hubieran podido pasar por alto durante su proceso de revisión. De lo contrario, hacerlo F.T. por sí mismo con su personal, manifiesta que sería un esfuerzo desproporcionado para esa entidad. Los escritos presentados por F.T. a lo largo del expediente, demuestran que era conocedor de la normativa de protección de datos y por tanto conocería que el tratamiento de datos personales de menores exige un mayor nivel de diligencia en su gestión. Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2, letra g), del RGPD): Esto se refiere, como mínimo, a los tipos de datos cubiertos por los artículos 9 y 10 del RGPD, y a los datos fuera del ámbito de aplicación de estos artículos cuya difusión causa daños o dificultades inmediatas al interesado, como ocurre cuando el tratamiento se refiere a la imagen d ellos interesados y a su difusión. En general, cuanto más se trate de tales categorías de datos o más sensibles sean los datos, más peso podrá atribuir la autoridad de control a este factor. Además, la cantidad de datos relativos a cada interesado es relevante, teniendo en cuenta que la vulneración del derecho a la privacidad y a la protección de los datos personales aumenta con la cantidad de datos (Directrices sobre el cálculo de multas, apartados 57 y 58). Este criterio de graduación se establece en la LOPDGDD de acuerdo con lo previsto en el artículo 83.2.
  29. k)del RGPD, según el cual las multas administrativas se impondrán teniendo en cuenta cualquier “factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”, entendiéndose que evitar una pérdida tiene la misma naturaleza a estos efectos que la obtención de beneficios.  La afectación a los derechos de los menores (artículo 76.2, letra f), de la LOPDGDD): en el presente caso, un menor de edad se ha visto afectado, al haber sido su imagen publicada, sin consentimiento, en internet y en diversas redes sociales. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que el balance de las circunstancias contempladas en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/26 artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1.
  30. a)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 3.000€ euros. VIII Obligación incumplida. Artículo 5.1 RGP e). Limitación del plazo de conservación La letra
  31. e)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  32. e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»);" En el presente caso, F.T. en su respuesta al traslado aportó el documento “Información sobre el tratamiento de datos de carácter personal- menores de 14 años” en el que se expone: “Estos son los datos que podemos solicitar sobre el propio alumno: (…) - Datos carácter identificativo: imagen o voz (…) Que los datos personales que usted nos proporciona se conservarán durante los siguientes plazos en función de las finalidades de tratamiento para las que han sido recogidos y mientras usted no solicite su supresión. (…) - Difusión de imágenes del alumno en la web, redes sociales, actos escolares o eventos y la revista del centro escolar: estos datos se mantendrán en el sistema de forma indefinida en tanto el interesado no solicite su supresión.” En fecha 29/07/2025 la parte reclamada presentó escrito de contestación al requerimiento de información, exponiendo: “3. Confirmación sobre el tratamiento indefinido de datos y medidas de bloqueo. El documento de consentimiento que estaba vigente hasta el curso 2024-2025 establece expresamente: “Estos datos se mantendrán en el sistema de forma indefinida en tanto el interesado no solicite su supresión.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/26 Por tanto, la política actual del centro es mantener las imágenes y datos personales cuya publicación fue consentida, mientras no se ejercite expresamente el derecho de supresión por parte del interesado o su representante legal.” Es decir, que las imágenes de los menores de edad y mayores publicadas en las redes sociales y pagina web del colegio, podrían estar disponibles incluso hasta cuando los alumnos fuesen mayores de edad o ya no cursaran estudios en dicho colegio, salvo que el interesado solicitara su supresión. Parece excesivo y por más tiempo del necesario para los fines del tratamiento, tanto es así que el F.T. ha cambiado el plazo a 5 años. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a F.T., por vulneración del artículo transcrito anteriormente. IX Tipificación de la infracción del artículo 5.1.
  33. e)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  34. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  35. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." X Propuesta de sanción A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, anteriormente transcritos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/26 En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de F.T. 79.282€ para el año 2023. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): F.T. publicó en sus redes sociales y página web, imágenes y videos del menor y su madre, sin prueba de consentimiento, desde 2021 a 2024. • La afectación a los derechos de los menores (artículo 76.2, letra f), de la LOPDGDD): ya se ha dicho que las imágenes publicadas son principalmente de menores de edad, realizando actividades escolares, siendo perfectamente identificables. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  36. e)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 3.000€ euros. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a F.T., por vulneración del artículo transcrito anteriormente. XI Medidas correctivas De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del Artículo 5.1.
  37. e)del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/26 RGPD y Artículo 6.1.
  38. a)del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
  39. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a F.T. para que, en el plazo máximo de 3 meses, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: Acreditar la adopción de las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el artículo 6.1.
  40. a)del RGPD, a fin de disponer del consentimiento de los padres o tutores legales de los menores, que aparezcan en las publicaciones de las redes sociales o página web del colegio. Acreditar la retirada total de imágenes del hijo y de su madre en las redes sociales e internet del colegio, que a fecha actual pudieran subsistir. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/26 PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a FUNDACIÓN TRILEMA, con NIF G98478175, por la presunta infracción de los Artículo 5.1.
  41. e)del RGPD y Artículo 6.1.
  42. a)del RGPD, tipificadas ambas en el artículo 83.5 del RGPD. SEGUNDO: NOMBRAR como instructora a A.A.A. y, como secretaria, a B.B.B., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
  43. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de: - Multa administrativa de 3.000€ euros por la infracción del artículo 6 del RGPD. - Multa administrativa de 3.000€ euros por la infracción del artículo 5.1.
  44. e)del RGPD. Todo ello sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a FUNDACIÓN TRILEMA, con NIF G98478175, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.800€ euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.800€ euros y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/26 este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 3.600€ euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (4.800€ euros o 3.600€ euros), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. En cumplimiento de los artículos 14, 41 y 43 de la LPACAP, se advierte de que, en lo sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma electrónica, a través de la Dirección Electrónica Habilitada única (dehu.redsara.
  45. es)y de la Sede electrónica (sedeaepd.gob.es), y que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 1479-021025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 12 de diciembre de 2025, F.T. ha procedido al pago de la sanción en la cuantía de 3.600,00 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. TERCERO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/26 acto, de acuerdo con lo establecido en el citado artículo 58.2
  46. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/26 del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 3.600,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, F.T. ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total de 6.000,00 euros. Tras haber procedido FUNDACIÓN TRILEMA al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 3.600,00 euros. La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/26 SEGUNDO: DECLARAR la terminación del procedimiento EXP202406960, de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a FUNDACIÓN TRILEMA para que en el plazo de 3 meses desde que la presente resolución sea firme y ejecutiva, notifique a la Agencia la adopción de las medidas que se describen en los fundamentos de derecho del acuerdo de inicio transcrito en la presente resolución. CUARTO: NOTIFICAR la presente resolución a FUNDACIÓN TRILEMA. QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez la resolución haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  47. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. No obstante, conforme a lo previsto en el artículo 90.3.
  48. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 1259-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.