Resolución de la Agencia Española de Protección de Datos REPOSICION-PS-00483-2017 de 26 de abril de 2018

Cuestión

1 / 22

Procedimiento nº.: PS/00483/2017

ASUNTO: Recurso de Reposición Nº RR/00252/2018

Examinado el recurso de reposición interpuesto por la entidad COLEGIO

E.E.E. DE SEVILLA, S.L. contra la resolución dictada por la Directora de la Agencia

Española de...

Contestacion

1/22

Procedimiento nº.: PS/00483/2017

ASUNTO: Recurso de Reposición Nº RR/00252/2018

Examinado el recurso de reposición interpuesto por la entidad COLEGIO

E.E.E. DE SEVILLA, S.L. contra la resolución dictada por la Directora de la Agencia

Española de Protección de Datos en el procedimiento sancionador, PS/00483/2017, y

en base a los siguientes

HECHOS

PRIMERO: Con fecha 15 de marzo de 2018, se dictó resolución por la Directora de la

PS/00483/2017, en virtud de la cual se imponía al COLEGIO E.E.E. DE SEVILLA,

S.L., una sanción de 3.000 ?, por la vulneración de lo dispuesto en el artículo 6.1 de la

Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter

Personal (en lo sucesivo LOPD), infracción tipificada como grave en el Agencia

Española de Protección de Datos en el procedimiento sancionador, artículo 44.3.b) de

dicha norma, de conformidad con lo establecido en el artículo 45.1, 2, 4 y 5 de la

citada Ley Orgánica.

Dicha resolución, que fue notificada al COLEGIO E.E.E. DE SEVILLA, S.L.,

(en adelante el recurrente), en fecha 15 de marzo de 2018, fue dictada previa la

tramitación del correspondiente procedimiento sancionador, de conformidad con lo

dispuesto en el artículo 127 del reglamento de desarrollo de la LOPD aprobado por el

Real Decreto 1720/2007, de 21 de diciembre.

SEGUNDO: Como hechos probados del citado procedimiento sancionador,

PS/00483/2017, quedó constancia de los siguientes:

PRIMERO: Con fecha 13 de enero de 2017 se recibe denuncia de Don A.A.A., (el

denunciante), manifestando que, con posterioridad a que el COLEGIO E.E.E. DE

SEVILLA, S.L. le confirmase que se había procedido a la eliminación de todas las

imágenes de sus hijos en los ordenadores del Centro, ha constatado que ?en la

sección noticias, página 5, en Celebramos el D.D.D. de la web del colegio sigue

apareciendo un video colgado en youtube en el que aparece mi hijo con el resto de su

clase vestido (......),(?)? . (folios 1 al 5)

SEGUNDO: Don A.A.A. y Dña. B.B.B. son padres del menor C.C.C., en adelante el

menor o XXXX, alumno durante los cursos AA.1/AA.2 del COLEGIO E.E.E. DE

SEVILLA, S.L.

TERCERO: Con fecha 13 de octubre de 2016 el denunciante dirigió escrito al

COLEGIO DE SEVILLA, S.L. solicitando: (folio 48)

?Muy Sres. Míos,

Por la presente, vuelvo a reclamarles la entrega de los consentimientos para tomar

fotos de menores, de mis hijos, ***NOMBRE.1 y ***NOMBRE.2, del pasado curso

AA.1/AA.2.

Igualmente aprovecho la ocasión para solicitarles una copia de todas las imágenes

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

2/22

que guarden de ambos en sus ordenadores, así como la eliminación definitiva de las

mismas. ?

CUARTO: Con fecha 3 de noviembre de 2016 el COLEGIO E.E.E. DE SEVILLA, S.L.

dirigió escrito a los padres del menor XXXX, ya que en el encabezamiento aparecía

la identificación de ambos progenitores, con el siguiente texto: (folio 4)

?Muy Sr. Nuestro:

En respuesta a su carta de fecha 13 de Octubre de 2016, por la que solicita la entrega

de los consentimientos para el uso o publicación de imágenes de sus hijos,

***NOMBRE.1 y ***NOMBRE.2, del pasado curso AA.1/AA.2, adjuntamos copia de los

citados documentos.

Asimismo le indicamos que siguiendo sus deseos se ha procedido a la eliminación de

todas las imágenes de ambos menores en los ordenadores del Centro. ?

QUINTO: Con fechas 13 de marzo de 2013 y 17 de marzo de 2014 los padres del

menor XXXX, en su condición de tutores del mismo, firmaron sendas solicitudes de

matrícula en cuyo apartado de ?Aviso Legal? se les informaba, en cumplimiento de

lo establecido en el artículo 5 de la LOPD, de lo siguiente: (folios 22 y 23)

?Asimismo, los Padres o Tutores autorizan expresamente al Colegio E.E.E. de Sevilla

para que su hij@ pueda ser fotografiado y/o grabado en audio/ video como

consecuencia de su participación en actividades escolares, extracurriculares y

extraescolares, y a utilizar dicho material , u otro obtenido con tal motivo, a efectos

de promoción (Página Web, Galería de imágenes, promoción en Internet, vallas

publicitarias, folletos, actos y exposiciones) siempre que no exista oposición expresa

previa por parte del Padre o Tutor. (?). ?

SEXTO: Con fecha 16 de marzo de 2016 los padres del menor XXXX, en su

condición de tutores del mismo, firmaron solicitud de matrícula del curso 2016/2017

en cuyo ?Aviso Legal?, en la que en cumplimiento de lo establecido en el artículo 5 de

la LOPD, se informaba: (folio 19)

?Asimismo, le informamos que con motivo del normal desarrollo de las actividades del

Centro pueden tener lugar tomas de fotografías y/o grabaciones en audio/vídeo tanto

de los profesores y personal del Centro, como de los propios alumn@s y sus padres o

tutores, con motivo de su participación en actividades escolares, extracurriculares y

extraescolares, así como que dicho material podría ser utilizado a efectos de difusión

de las actividades del Centro y promoción del mismo (Página Web, Galería de

imágenes, promoción en Internet, vallas publicitarias, folletos, actos y exposiciones)

siempre que no exista oposición expresa previa. (?). ?

Dicha solicitud tenía marcada la casilla de Acepto.

SÉPTIMO: Con fecha 30 de abril de 2015, los dos progenitores del menor XXXX, en

su condición de tutores del mismo, suscribieron ?Autorización para el Uso de

Imágenes o/y su Publicación en la Web del Centro?, referido al año escolar

AA.1/AA.2. En dicho documento constaba en relación con el uso de la imagen del

referido menor que: ?Mediante la presente, da su autorización a COLEGIO E.E.E. DE

SEVILLA SL, para que pueda hacer uso de su imagen, con la finalidad de la

publicación de las fotografía en la página Web del Centro de trabajo y Redes Sociales.

Se entiende que su publicación hace que sean accesibles a cualquier persona

conectada a Internet (?).? (folio 20)

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

3/22

OCTAVO: Con fecha 26 de enero de 2017 se verifica desde la AEPD que al visitar la

dirección web ***WEB.1 se accede a un video de la plataforma YouTube en el que

aparece la imagen de un menor con las características reseñadas por el denunciante

en su escrito de denuncia. El acceso a las imágenes de dicho vídeo se efectuó sin

utilizar usuario y contraseña. (folios 1, 6 al 8)

NOVENO: Con fecha 17 de abril de 2017 al realizar la misma búsqueda se

comprueba que ya no se accede directamente a las imágenes objeto de denuncia,

dando acceso a una página donde se solicita usuario y contraseña.

DÉCIMO: Como resultado de los accesos efectuados desde la AEPD con fechas 24

de mayo de 2017 y 7 de febrero de 2018 a la dirección ***WEB.1 se comprobó que

aparecía un error de Página no encontrada. (folios 24, 25, 98 y 99 )

UNDÉCIMO: Como resultado del acceso efectuado con fecha 7 de febrero de 2018 a

la dirección ***DIRERCCION.1apareció el siguiente mensaje: ?Este vídeo no está

disponible. ? (folio 101)

DUODÉCIMO: El Colegio E.E.E. de Sevilla es titular y propietario del sitio web

***WEB.2/ (folio 102)

TERCERO: Con fecha 13 de abril de 2018, se registra de entrada en esta Agencia

recurso de reposición interpuesto por el recurrente, en el que solicita la anulación

de la resolución recaída por no haber incumplido la normativa de protección de datos,

lo que sustenta reiterando los argumentos utilizados durante la tramitación del

procedimiento, que en síntesis son:

- Se incide en que el menor que aparece en el supuesto vídeo de 2014 no es

identificable porque no está en primera línea y está disfrazado junto con el resto de

compañeros, siendo dicho término interpretable. Se niega que se haya vulnerado el

artículo 3 de la LOPD. Se trataba de una actuación que tiene un objetivo pura y

exclusivamente educativo, sin ninguna finalidad publicitaria. Manifiesta que no existe

analogía entre la situación estudiada y las sentencias citadas en los Fundamentos

Segundo y Tercero de la resolución recurrida.

- Se han aportado al expediente los consentimientos expresos de los

progenitores del menor, así como las justificaciones de haber desarrollado todos los

trabajos relativos a la eliminación de fotografías de los menores, por lo que el Centro

ha mostrado en todo momento la diligencia necesaria para cumplir la LOPD y los

requerimientos de la Agencia.

- Se insiste en que el supuesto vídeo del año 2014 no tiene una finalidad

publicitaria y/o promocional puesto que los niños al ir disfrazados no tienen ningún

distintivo que permita identificar el Centro escolar, y porque las actuaciones de los

menores en funciones y/o representaciones escolares tienen el objetivo de

complementar la educación de los menores, mostrando a sus padres, familiares,

profesores y/o compañeros aquello que han aprendido durante un período

determinado del curso escolar, por lo que está dentro de lo que regula en la Ley

Orgánica 2/2006, de 3 mayo, de Educación. El Colegio dispone de otros medios para

llevar a cabo la promoción y publicidad del mismo.

- En cuanto a la supuesta infracción del artículo 10 LOPD, se niega que "haya

quedado acreditado que el Colegio E.E.E. de Sevilla, S.L. difundió con fines

promocionales la imagen del hijo del denunciante a través de un vídeo....", ya que una

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

4/22

función infantil en la que los alumnos aparecen disfrazados (sin la identificación del

Colegio) no puede entenderse como un acto promocional, ya que son actuaciones en

las que los alumnos enseñan sus conocimientos y habilidades.

Reitera que no tiene constancia que con fecha 26 de enero de 2017 existieran

imágenes de los menores en la página web del Colegio, puesto que se habían

retirado todas las fotografías del menor al que se hace referencia en la denuncia. Se

repite que, en todo caso, podría tratarse de un enlace privado sólo accesible para

aquellos que conozcan el mismo y sobre el que el Colegio recurrente no tiene

responsabilidad alguna. Se insiste en la duda ya manifestada relativa a la

permanencia de dichas imágenes en la página web del colegio tres años más tarde

de su supuesta grabación.

- Inexistencia de la infracción grave a lo dispuesto en el artículo 44.3.b) de la

LOPD, al estar demostrado documentalmente mediante impreso de matrícula y un

documento específico firmado en abril de 2015 que existía consentimiento expreso de

los padres para utilizar la imagen de su hijo en la fecha en la que supuestamente se

grabó el vídeo. Además, se vuelve a afirmar que según la Directiva de la Fiscalía

General del Estado la participación en fiestas y/o carnavales grupales del colegio

supone el consintiendo el uso de esas imágenes.

- Se vuelve a alegar falta de aplicación del principio de proporcionalidad al

graduar la sanción, puesto que se fija en 3.000 ? sin fundamentación alguna y sin

que se produzca ninguno de los supuestos establecidos en el artículo 45.4 de la

LOPD. No se produce la agravante de reiteración, porque el procedimiento anterior

identificado bajo la referencia PS/00155/2016 ha sido recurrido ante los Tribunales de

Justicia, estando pendiente de resolución. Se incide en que su conducta siempre se

ha adecuado a la buena fe, no existiendo en ningún caso intencionalidad o engaño

para terceras personas, contestando a todos los requerimientos realizados por la

AEPD y por el propio denunciante. Subsidiariamente, se solicita la reducción de la

sanción para adecuarla a los principios de la potestad sancionadora.

FUNDAMENTOS DE DERECHO

I

Es competente para resolver el presente recurso la Directora de la Agencia

Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123

de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las

Administraciones Públicas (en lo sucesivo LPACAP).

II

En relación con las manifestaciones efectuadas por el recurrente, reiterándose

básicamente en las alegaciones ya presentadas a lo largo del procedimiento

sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en

los Fundamentos de Derecho II al XI, ambos inclusive, de la Resolución recurrida, tal

como se transcribe a continuación:

El artículo 1 de la LOPD dispone: ?La presente Ley Orgánica tiene por objeto

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

5/22

garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las

libertades públicas y los derechos fundamentales de las personas físicas, y

especialmente de su honor e intimidad personal y familiar?.

En cuanto al ámbito de aplicación de la citada norma el artículo 2.1 de la

misma señala: ?La presente Ley Orgánica será de aplicación a los datos de carácter

personal registrados en soporte físico que los haga susceptibles de tratamiento, y a

toda modalidad de uso posterior de estos datos por los sectores público y privado?;

definiéndose el concepto de dato de carácter personal en el apartado a) del artículo 3

de la citada Ley Orgánica 15/1999, como ?Cualquier información concerniente a

personas físicas identificadas o identificables?, añadiendo el apartado 1.f) del artículo 5

del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de

21 de diciembre (RLOPD), que dato de carácter personal es ?cualquier información

numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente

a personas físicas identificadas o identificables?.

La definición de persona identificable aparece en la letra o) del citado artículo

5.1 del RLOPD, que considera como tal ?toda persona cuya identidad pueda

determinarse, directa o indirectamente, mediante cualquier información referida a su

identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física

no se considerará identificable si dicha identificación requiere plazos o actividades

desproporcionados?.

En este mismo sentido se pronuncia el artículo 2.a) de la Directiva 95/46/CE

del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de

las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre

circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por

dato personal ?toda información sobre una persona física identificada o identificable;

se considerará identificable toda persona cuya identidad pueda determinarse, directa o

indirectamente, en particular mediante un número de identificación o uno o varios

elementos específicos, característicos de su identidad física, fisiológica, psíquica,

económica, cultural o social?. Asimismo, el Considerando 26 de esta Directiva se

refiere a esta cuestión señalando que, para determinar si una persona es identificable,

hay que considerar el conjunto de los medios que puedan ser razonablemente

utilizados por el responsable del tratamiento o por cualquier otra persona para

identificar a aquélla.

La Directiva 95/46/CE en su Considerando 14 lo afirma expresamente al

señalar lo siguiente: ?Considerando que, habida cuenta de la importancia que, en el

marco de la sociedad de la información, reviste el actual desarrollo de las técnicas

para captar, transmitir, manejar, registrar, conservar o comunicar los datos relativos a

las personas físicas constituidos por sonido e imagen, la presente Directiva habrá de

aplicarse a los tratamientos que afectan a dichos datos?.

Por lo tanto, la imagen de una persona constituye un dato de carácter

personal, toda vez que la información captada concierne a personas que las hacen

identificadas o identificables y suministra información sobre la imagen personal de

éstas, el lugar de su captación y la actividad desarrollada por el individuo al que la

imagen se refiere. En consecuencia, la imagen del hijo del denunciante publicada a

través de la página web del Colegio denunciado se ajustará a este concepto siempre

que permita la identificación de la persona que aparece en la misma.

Por otra parte, la aplicabilidad de la normativa de protección de datos de

carácter personal, de acuerdo con lo indicado en el citado artículo 2.1 de la LOPD,

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

6/22

requiere que dichos datos aparezcan registrados en un soporte físico que los haga

susceptibles de tratamiento.

El artículo 3 de la LOPD define en su letra c) el tratamiento de datos como

aquellas ?operaciones y procedimientos técnicos de carácter automatizado o no, que

permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y

cancelación, así como las cesiones de datos que resulten de comunicaciones,

consultas, interconexiones y transferencias?.

Asimismo, dicho artículo 3 de la LOPD define en su apartado b) como

?Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que

fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.?,

mientras que en su apartado e) describe como ?Afectado o interesado? a la ?Persona

física titular de los datos que sean objeto del tratamiento a que se refiere el apartado

c) del presente artículo.?

Por tanto, la garantía del derecho a la protección de datos conferida por la

normativa de referencia requiere que exista una actuación que constituya un

tratamiento de datos personales en el sentido expresado. De acuerdo con la definición

de tratamiento de datos personales, la incorporación, conservación y exposición de

imágenes de persona físicas en una página web puede considerarse un tratamiento

de datos personales incluido en el ámbito de aplicación de la normativa citada,

debiendo analizarse en cada caso si este tratamiento se efectúa sobre información

concerniente a personas físicas identificadas o identificables.

Respecto de esta cuestión, se considera que la imagen obtenida con fecha

26 de enero de 2017 por esta Agencia a través del enlace ***WEB.1, permite

identificar sin esfuerzos desproporcionados al menor situado en la segunda fila del

grupo de niños cuya descripción responde a la efectuada por el denunciante en

los siguientes términos: ?(?) en la sección noticias, página 5, en Celebramos el

D.D.D. de la web del colegio sigue apareciendo un video colgado en youtube en el

que aparece mi hijo con el resto de su clase vestido con (...)?, debe concluirse que se

ha producido un tratamiento de datos de carácter personal del hijo del denunciante

(imagen) al que resultan de plena aplicabilidad de los principios y garantías expuestos

en la normativa de protección de datos de carácter personal.

En esta línea la Audiencia Nacional en su sentencia de 08/03/2002, señalaba

que para que exista dato de carácter personal (en contraposición con dato disociado)

no es imprescindible una plena coincidencia entre el dato y una persona concreta, sino

que es suficiente con que tal identificación pueda efectuarse sin esfuerzos

desproporcionados, tal y como se desprende del mencionado artículo 3 de la Ley, en

sus apartados a) y f) y también del Considerando 26 de la invocada Directiva

95/46/CE que expresamente señala que, para determinar si una persona es

identificable, hay que considerar el conjunto de los medios que puedan ser

razonablemente utilizados por el responsable del tratamiento o por cualquier otra

persona, para identificar a dicha persona; que los principios de la protección no se

aplicarán a aquellos datos hechos anónimos de manera tal que ya no sea posible

identificar al interesado?.

Atendido el amplio concepto de dato personal, aunque en las imágenes

estudiadas el menor en cuestión no aparezca con el uniforme del colegio al estar

disfrazado, no impide que fuera perfecta y fácilmente identificable como alumno de

ese Centro por el personal docente y directivo, por otros de alumnos por los padres

de sus compañeros de clase o incluso de cualquier tercero ajeno ese específico

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

7/22

ámbito escolar que lo pudiera reconocer, amén de que la imagen del menor obtenida

con fecha 26 de enero de 2017 (Hecho probado 7) resulta clara y definida,

permitiendo su identificación sin esfuerzos desproporcionados, aunque no sea un

primer plano.

Asimismo, en la Sentencia de la Audiencia Nacional de 17/03/2007, Recurso

621/2004 señala en su Fundamento de Derecho Cuarto que ??un sitio Web exige

siempre cualquiera que sea su finalidad una organización o estructura que permita el

acceso a la información en él contenida por terceros. Cumpliría así la primera de las

exigencias de un fichero, la estructural u organizativa. Pero es que además, y esto es

obvio, el sitio Web XXXXXXX contuvo datos de carácter personal, precisamente los

referidos al denunciante, que fueron difundidos a través de dicho sitio, lo que supone

tratamiento?si hubo tratamiento de datos de carácter personal consistente en la

incorporación y difusión de éstos desde una estructura organizada (fichero) como era

el sitio Web, es indudable que el régimen de protección contenido en la Ley Orgánica

15/1999 es plenamente aplicable, sin que altere la anterior conclusión el hecho de los

datos tratados se refieran a una sola persona pues la ley no exige en ningún caso la

existencia de una pluralidad de personas afectadas para que podamos hablar de

tratamiento y fichero?? y, continúa, citando la sentencia del Tribunal de Justicia de la

Unión Europea, de 06/11/2003, caso Linqvist. Asunto C-101/01, que señalaba ?Por

tanto, procede responder a la primera cuestión que la conducta que consiste en hacer

referencia, en una página web, a diversas personas y en identificarlas por su nombre o

por otros medios, como su número de teléfono o información relativa a sus

condiciones de trabajo y a sus aficiones, constituye un ?tratamiento total o

parcialmente automatizado de datos personales? en el sentido del artículo 9 3,

apartado1 de la Directiva 95/46.?

III

La vigente LOPD atribuye la condición de responsables de las infracciones a

los responsables de los ficheros (art. 43), concepto que debe integrarse con la

definición que de los mismos recoge el artículo 3.d), que define como ?Responsable

del fichero o tratamiento? a la ?Persona física o jurídica, de naturaleza pública o

privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del

tratamiento.?. Este precepto incluye en el concepto de responsable tanto al que lo es

del fichero como al del tratamiento de datos personales.

Es preciso, por tanto, determinar si en el presente caso la actividad

desarrollada por el Colegio E.E.E. de Sevilla puede subsumirse o no en tales

definiciones legales, es decir, si es responsable del fichero y/o tratamiento, y en caso

afirmativo si está o no legitimado para el tratamiento de datos del menor, y por ende

verificar la prestación del consentimiento sus progenitores o la ausencia del mismo.

En el presente caso el citado centro gestiona la página web ***WEB.2/,

decidiendo la finalidad, contenido y uso de los datos de carácter personal que se

tratan en el portal de su propiedad, motivo por el cual el tratamiento de datos

realizado por el mencionado Colegio al publicar, en abierto, en el sitio web citado un

video alojado en la plataforma YouTube en el que aparecía la imagen del menor de

edad XXXX, alumno de dicho centro, cae bajo la órbita del régimen sancionador de la

LOPD.

IV

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

8/22

El artículo 6.1 de la LOPD dispone lo siguiente: ?El tratamiento de los datos de

carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la

Ley disponga otra cosa?.

Por su parte, el apartado 2 del mencionado artículo contiene una serie de

excepciones a la regla general contenida en aquel apartado 1, estableciendo que: ?No

será preciso el consentimiento cuando los datos de carácter personal se recojan para

el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de

sus competencias; cuando se refieran a las partes de un contrato o precontrato de una

relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o

cumplimiento; cuando el tratamiento de los datos tenga por finalidad proteger un

interés vital del interesado en los términos del artículo 7, apartado 6, de la presente

Ley, o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea

necesario para la satisfacción del interés legítimo perseguido por el responsable del

fichero o por el del tercero a quien se comuniquen los datos, siempre que no se

vulneren los derechos y libertades fundamentales del interesado?.

El artículo 3 de la LOPD define en su letra h) ?Consentimiento del interesado?

como ?toda manifestación de voluntad, libre, inequívoca, específica e informada,

mediante la que el interesado consienta el tratamiento de datos personales que le

conciernen?.

El tratamiento de datos sin consentimiento de los afectados constituye un límite

al derecho fundamental a la protección de datos. Este derecho, en palabras del

Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre (F.J. 7 primer

párrafo) ??consiste en un poder de disposición y de control sobre los datos

personales que faculta a la persona para decidir cuáles de esos datos proporcionar a

un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que

también permite al individuo saber quién posee esos datos personales y para qué,

pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control

sobre los datos personales, que constituyen parte del contenido del derecho

fundamental a la protección de datos se concretan jurídicamente en la facultad de

consentir la recogida, la obtención y el acceso a los datos personales, su posterior

almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el

estado o un particular (...)?.

Son, pues, elementos característicos del derecho fundamental a la protección

de datos personales los derechos del afectado a consentir sobre la recogida y uso de

sus datos personales y a saber de los mismos.

En términos similares, el artículo 10 del Reglamento de desarrollo de la

LOPD, aprobado por Real Decreto 1720/2007, (RDLOPD), que bajo el epígrafe

?Supuestos que legitiman el tratamiento o cesión de los datos?, determina en su

apartado 1 que:

?1. Los datos de carácter personal únicamente podrán ser objeto de

tratamiento o cesión si el interesado hubiera prestado previamente su consentimiento

para ello.?

Asimismo, conviene recordar que los apartados 1 y 3 del artículo 12 del

RLOPD establecen como ?Principios generales? del consentimiento que:

?1. El responsable del tratamiento deberá obtener el consentimiento del

interesado para el tratamiento de sus datos de carácter personal salvo en aquellos

supuestos en que el mismo no sea exigible con arreglo a lo dispuesto en las leyes.

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

9/22

La solicitud del consentimiento deberá ir referida a un tratamiento o serie de

tratamientos concretos, con delimitación de la finalidad para los que se recaba, así

como de las restantes condiciones que concurran en el tratamiento o serie de

tratamientos.

2 (?)

3. Corresponderá al responsable del tratamiento la prueba de la existencia del

consentimiento del afectado por cualquier medio de prueba admisible en derecho. ?

Además, como el tratamiento de datos estudiado afecta a un menor de

edad, resulta de aplicación lo dispuesto en el artículo 13 del RLOPD, que en

relación con el ?Consentimiento para el tratamiento de datos de menores de edad?,

establece que:

?1. Podrá procederse al tratamiento de los datos de los mayores de catorce

años con su consentimiento, salvo en aquellos casos en los que la Ley exija para su

prestación la asistencia de los titulares de la patria potestad o tutela. En el caso de los

menores de catorce años se requerirá el consentimiento de los padres o tutores.

2. En ningún caso podrán recabarse del menor, datos que permitan obtener

información sobre los demás miembros del grupo familiar, o sobre las características

del mismo, como los datos relativos a la actividad profesional de los progenitores,

información económica, datos sociológicos o cualesquiera otros, sin el consentimiento

de los titulares de tales datos. No obstante, podrán recabarse los datos de identidad y

dirección del padre, madre o tutor con la única finalidad de recabar la autorización

prevista en el apartado anterior.

3. Cuando el tratamiento se refiera a datos de menores de edad, la información

dirigida a los mismos deberá expresarse en un lenguaje que sea fácilmente

comprensible por aquéllos, con expresa indicación de lo dispuesto en este artículo.

4. Corresponderá al responsable del fichero o tratamiento articular los

procedimientos que garanticen que se ha comprobado de modo efectivo la edad del

menor y la autenticidad del consentimiento prestado en su caso, por los padres,

tutores o representantes legales.?

Por lo que corresponde siempre al responsable del tratamiento comprobar que

tiene el consentimiento del afectado cuando realiza algún tratamiento con los datos

personales de éste. A este respecto, la Audiencia Nacional, en sentencia de fecha

31/05/2006 señaló lo siguiente: ?Por otra parte es el responsable del tratamiento (por

todas, sentencia de esta Sala de 25 de octubre de 2002 Rec. 185/2001) a quien

corresponde asegurarse de que aquel a quien se solicita el consentimiento,

efectivamente lo da, y que esa persona que está dando el consentimiento es

efectivamente el titular de esos datos personales, debiendo conservar la prueba del

cumplimiento de la obligación a disposición de la Administración, encargada de velar

por el cumplimiento de la ley?.

V

En el presente caso debe dilucidarse si el mantenimiento a partir del 3 de

noviembre de 2016 de la publicación en la página web del citado colegio de la

imagen del menor de edad XXXX, obtenida durante la celebración en el centro del

carnaval del año 2014, contaba con el consentimiento inequívoco de los padres del

menor, en su condición de representantes legales y tutores del mismo. A este

respecto, señalar que en el procedimiento consta que con fecha 3 de noviembre

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

10/22

de 2016 el Colegio E.E.E. de Sevilla confirmó al denunciante, en contestación a su

solicitud de fecha 13 de octubre de 2016, que se había procedido a eliminar todas

las imágenes de sus dos hijos menores de edad de los ordenadores del centro.

El Colegio E.E.E. de Sevilla niega en sus alegaciones al acuerdo de inicio y a la

propuesta de resolución que las imágenes del menor objeto de denuncia se

encontrarán expuestas en su página web, ya que con fecha 15 de octubre de 2016

el Centro había procedido a retirar todas las imágenes de los hijos del denunciante a

solicitud de su padre. No obstante lo cual, con fecha 26 de enero de 2017, desde esta

Agencia se verificó que la imagen del menor que el denunciante había descrito en

su denuncia de fecha 13 de enero de 2017 era visible sin ningún tipo de restricción

desde un video alojado en YouTube que resultaba accesible a través de la página

web de Internet ***WEB.1, de la que el Colegio denunciado es responsable.

El certificado de fecha 20 de noviembre de 2017 al que se refiere la denunciada,

y que acompañaba al escrito de contestación de pruebas que se detalla con el nº 18

en la relación de documentos obrantes en el procedimiento adjuntado a la propuesta

de resolución, es un documento de parte que no prueba por sí mismo que las

imágenes del vídeo objeto de denuncia fueran, efectivamente, eliminadas de la

página web administrada por el Colegio E.E.E. de Sevilla con fecha 15 de octubre de

2016.

Respecto de las manifestaciones efectuadas por dicho centro en sus escritos de

fecha 3 de abril y 4 de mayo de 2017, alegando que dichas imágenes no se

encontraban en la web del colegio, reseñar que en nada modifican la responsabilidad

del Colegio en los hechos que se constataron por la AEPD con anterioridad a las

fechas de abril y mayo señaladas, tal y como prueba la Diligencia levantada el día 26

de enero de 2017 a fin de comprobar los hechos expuestos en la denuncia recibida el

13 de enero de 2017.

El uso y publicación de la imagen del citado menor a través de la página web

titularidad del Colegio denunciado constituye un tratamiento de datos de carácter

personal que exige disponer del consentimiento inequívoco de los representantes

legales (padres) del menor de edad en cuestión, del que el Colegio E.E.E. de Sevilla

no disponía desde que el 3 de noviembre de 2016 contestara la solicitud de

cancelación de imágenes de sus dos hijos en la forma transcrita en el Hecho

Probado 4). A pesar de lo cual, el Colegio denunciado no mostró la diligencia

necesaria para eliminar la imagen del menor correspondiente al Carnaval de 2014

que aparecía en el video accesible desde la página web citada.

En este procedimiento no se cuestiona que hasta el 3 de noviembre de 2016

el Colegio denunciado contase con el consentimiento de los padres del menor para

tratar la imagen de su hijo con fines promocionales en la página web del Colegio, ya

que hasta esa fecha dicho uso estaba amparado por las autorizaciones firmadas por

ambos progenitores con fechas 13/03/2013, 17/04/2014, 30/04/2015 y 16/03/2016 en

su condición de tutores legales del menor XXXX. Sin embargo, después de que

con fecha 3 de noviembre de 2016 el mencionado Centro escolar contestase la

petición efectuada por el denunciante mediante escrito dirigido a ambos

progenitores(folio 4) en el que comunicaba la eliminación de las imágenes de sus

hijos existentes en los ordenadores del centro, resulta evidente que a partir de la

reseñada fecha el uso y mantenimiento en la página web del Colegio denunciado de

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

11/22

imágenes del menor XXXX tomadas durante el año 2014 no contaba con el

consentimiento inequívoco de los representantes legales del mencionado menor.

En consecuencia, resulta irrelevante que en el año 2014 el Colegio

dispusiera del consentimiento de los padres del menor para usar su imagen en la

página web del Centro, ya que ha quedado acreditado que el padre del menor solicitó

la cancelación de las imágenes de su hijo en fecha posterior a la firma de las

autorizaciones a las que se refiere el Colegio denunciado en sus alegaciones.

En relación con dichas autorizaciones y con la posterior solicitud unilateral de

cancelación de las imágenes del padre conviene traer a colación lo dispuesto en los

artículos 156 del Código Civil, que dispone que: (El subrayado es de la AEPD)

?Artículo 156.

La patria potestad se ejercerá conjuntamente por ambos progenitores o por uno

solo con el consentimiento expreso o tácito del otro. Serán válidos los actos que

realice uno de ellos conforme al uso social y a las circunstancias, o en situaciones de

urgente necesidad.

En caso de desacuerdo, cualquiera de los dos podrán acudir al Juez quien,

después de oír a ambos y al hijo si tuviera suficiente juicio y, en todo caso, si fuera

mayor de doce años, atribuirá sin ulterior recurso la facultad de decidir al padre o a la

madre. Si los desacuerdos fueran reiterados o concurriera cualquier otra causa que

entorpezca gravemente el ejercicio de la patria potestad, podrá atribuirla total o

parcialmente a uno de los padres o distribuir entre ellos sus funciones. Esta medida

tendrá vigencia durante el plazo que se fije, que no podrá nunca exceder de dos años.

En los supuestos de los párrafos anteriores, respecto de terceros de buena fe,

se presumirá que cada uno de los progenitores actúa en el ejercicio ordinario de la

patria potestad con el consentimiento del otro.

En defecto o por ausencia, incapacidad o imposibilidad de uno de los padres, la

patria potestad será ejercida exclusivamente por el otro.

Si los padres viven separados la patria, potestad se ejercerá por aquel con quien

el hijo conviva. Sin embargo, el Juez, a solicitud fundada del otro progenitor, podrá, en

interés del hijo, atribuir al solicitante la patria potestad para que la ejerza

conjuntamente con el otro progenitor o distribuir entre el padre y la madre las

funciones inherentes a su ejercicio.?

?Artículo 162

Los padres que ostenten la patria potestad tienen la representación legal de sus

hijos menores no emancipados.

Se exceptúan:

1. Los actos relativos a derechos de la personalidad u otros que el hijo, de

acuerdo con las leyes y con sus condiciones de madurez, pueda realizar por sí

mismo.

2. Aquellos en que exista conflicto de intereses entre los padres y el hijo.

3. Los relativos a bienes que estén excluidos de la administración de los padres.

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

12/22

Para celebrar contratos que obliguen al hijo a realizar prestaciones personales se

requiere el previo consentimiento de éste si tuviere suficiente juicio, sin perjuicio de lo

establecido en el artículo 158?.

A la vista de dichos preceptos, se colige que la solicitud de cancelación de las

imágenes de sus hijos realizada por el denunciante como representante legal de los

mismos, ha de presumirse válida, entendiendo que actuaba en el ejercicio ordinario

de la patria potestad con el consentimiento de la madre de los niños. En cualquier

caso, no consta acreditado en el procedimiento que existan distintos criterios entre los

progenitores del menor respecto de la cancelación de las imágenes concernientes a

éste y su hermana de la página web del Centro.

A tenor de todo lo cual, el Centro escolar debió atender correctamente la

solicitud del denunciante eliminando todas las imágenes que de su hijo aparecían

en la página web del Colegio denunciado con anterioridad al 3 de noviembre de 2016,

por lo que el mantenimiento y difusión de la imagen del menor XXXX en un video

accesible, como mínimo, hasta el 26 de enero de 2017 en la dirección web ***WEB.1

vulnera el principio del consentimiento recogido en el artículo 6.1 de la LOPD en lo

que respecta a esas concretas imágenes no eliminadas.

Por tanto, el Colegio E.E.E. de Sevilla realizó un tratamiento de los datos

personales de un alumno sin el consentimiento inequívoco de los progenitores del

menor y sin estar legalmente habilitado para ello, no concurriendo tampoco

ninguna de las circunstancias previstas en el artículo 6.2 de la LOPD.

En definitiva, por todo lo que antecede se considera infringido el artículo 6.1 de

la LOPD por parte del mencionado centro escolar, que es responsable de dicha

infracción en tanto que mantuvo expuesto el dato personal de la imagen del menor

en la página web de su titularidad con posterioridad a que confirmase al padre del

menor que se habían eliminado todas sus imágenes.

VI

Alega el centro denunciado que dentro del ámbito educativo en el que nos

encontramos es aplicable lo establecido en la Disposición Adicional Vigesimotercera

Ley Orgánica 2/2006, de 3 de mayo, de Educación, cuyo tenor literal es el siguiente:

"1. Los centros docentes podrán recabar los datos personales de su alumnado que

sean necesarios para el ejercicio de su función educativa. Dichos datos podrán hacer

referencia al origen y ambiente familiar y social, a características o condiciones personales, al

desarrollo y resultados de su escolarización, así como a aquellas otras circunstancias cuyo

conocimiento sea necesario para la educación y orientación de los alumnos.

2. Los padres o tutores y los propios alumnos deberán colaborar en la obtención de la

información a la que hace referencia este artículo.

La incorporación de un alumno a un centro docente supondrá el consentimiento para

el tratamiento de sus datos y, en su caso, la cesión de datos procedentes del centro en el que

hubiera estado escolarizado con anterioridad, en los términos establecidos en la legislación

sobre protección de datos. En todo caso, la información a la que se refiere este apartado será

la estrictamente necesaria para la función docente y orientadora, no pudiendo tratarse con

fines diferentes del educativo sin consentimiento expreso.?

No cabe duda que la recogida y tratamiento de los datos personales de los

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

13/22

alumnos resulta imprescindible para el ejercicio de la función docente y orientadora.

Sin embargo, el tratamiento de las imágenes de los alumnos menores de 14 años en

la página web del centro para difundir las actividades del Colegio E.E.E. de Sevilla

no responde a finalidades mera y exclusivamente docentes, sino que también

constituyen un medio de promocionar y publicitar el mismo, motivo por el que el

tratamiento estudiado requiere del consentimiento de los padres o tutores de los

menores con arreglo a lo previsto en los artículos 6.1 de la LOPD y 13 del

RLOPD citados y en la propia Disposición Adicional invocada.

Por otra parte, también debe rechazarse que de acuerdo con la Instrucción

2/2006, de 15 de marzo, de la Fiscalía General del Estado, la participación de un

menor en actos del colegio como festivales y/o celebraciones suponga el

consentimiento a prestar su imagen. El Colegio denunciado defiende tal

manifestación en sus alegaciones al acuerdo de inicio partiendo de la siguiente

consideración incluida en el punto 6 de dicha Instrucción: "Tampoco debe incurrirse en

extremismos injustificados. Ha de partirse de que tanto los menores como los medios de

comunicación forman parte de la sociedad y de la vida ordinaria, y de que la especial tutela

del honor, intimidad e imagen de los menores no implica la expulsión de éstos de los medios.

Incluso deben admitirse supuestos para los que no sean necesarios ni consentimientos ni

autorizaciones, cuando la afectación a los derechos sea irrelevante si, de acuerdo con los

usos sociales, la emisión de la imagen o ciertos datos del menor puede considerarse

totalmente inocua para sus intereses" (El subrayado es del Colegio denunciado)

Atendido que el mencionado título 6 de la reseñada Instrucción lleva por

título?6. Protección de los derechos del menor y derecho a emitir y recibir información

veraz? y visto el contexto en el que se incluye el párrafo transcrito invocado, no cabe

duda que viene referido a la posible colisión entre el derecho a comunicar y recibir

libremente información veraz de los ciudadanos y el derecho a la intimidad de los

menores en relación con el uso de imágenes de menores de edad, situación que no

tiene relación alguna con el supuesto analizado en el que no divulgan noticias de

interés público de menores de edad a través de medios de comunicación, sino que

se usa y difunde sin restricción alguna para terceros y con fines publicitarios la

imagen de un alumno menor de 14 años en la página web (Internet) de un Centro

escolar privado sin mediar el consentimiento inequívoco de los representantes

legales del menor para ello.

Además, dicho párrafo se saca de su contexto general, por lo que su

literalidad no constituye un criterio absoluto ajeno a las observaciones previas y

posteriores a dicha afirmación, máxime cuando en el propio apartado 6 de dicha

Instrucción se indica ?que se trata ésta de una materia casuística por definición en la

que consiguientemente cada caso concreto habrá de resolverse mediante la técnica

de ponderación?.

Con arreglo a todo lo cual, debe rechazarse que las fotografías y/o vídeos en

actos o festivales escolares son públicos y que autorizando la participación del menor

se considera que también presta su imagen, incluso de forma tácita, como pasa a

señalar el Colegio en sus alegaciones a la propuesta de resolución. A mayor

abundamiento, existen procedimientos técnicos para velar o difuminar las imágenes

de las personas para impedir su identificación que podían haber sido usados por el

Centro, que, a su vez, tiene la obligación de adoptar las medidas necesarias para no

difundir en la página web que administra fotografías o vídeos en los que aparezcan

menores cuyos padres se han negado al tratamiento de las imágenes de sus hijos

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

14/22

en dicho medio.

Sentado lo anterior, resulta conveniente traer a colación en relación con el

tratamiento de datos personales de menores en Internet, la sentencia de la Audiencia

Nacional de 2 de enero de 2013, Sala de lo Contencioso-Administrativo, Sección

Primera, recurso 577/201, que en su Fundamento de Derecho Cuarto establece:

hecho no es antijurídico, al haber sido captadas las imágenes de los menores en un

lugar abierto al público, sin finalidad comercial, por cuanto la Ley Orgánica 1/1982, de

5 de mayo, que es la legislación específica que regula el uso de la imagen, no prohíbe

el uso de imágenes ajenas en dichas circunstancias.

Respecto a dicho alegato cabe reseñar que nos encontramos en el ámbito de

la protección de datos de carácter personal y que la imagen personal de los menores

que aparecían en el video en cuestión, que miran a la cámara y permite su

identificación, tiene la consideración de dato de carácter personal, ex artículo 3.a) de

la LOPD y 5.1.f del Real Decreto 1720/2007, de 21 de diciembre, por el que se

aprueba el Reglamento de Desarrollo de la LOPD, sujeto al ámbito de protección de la

citada Ley Orgánica 15/1999, como así lo ha reconocido la STC 14/2003, de 30 de

enero, y viene señalando esta Sala y Sección (SAN, de 24 de enero de 2003 (Rec.

400/2001), 28 de marzo de 2007 (Rec. 303/2005) 1 de octubre de 2008 (Rec. 1/2007),

8 de mayo 2009 (Rec. 514/2007) etc, entre otras muchas). Habiendo también

reiterado la Sala en sendas sentencias de fecha uno de octubre de 2008, recaídas en

los recursos 1/2007 y 47/2007, la compatibilidad del procedimiento sancionador o de

tutela seguidos ante la AEPD con los procesos civiles promovidos al amparo de la Ley

Orgánica 1/1982.

La resolución impugnada razona pormenorizadamente sobre la existencia de

tratamiento automatizado de datos de carácter personal de los menores, sus

imágenes, sin que en la demanda se suscite cuestión alguna sobre dichos extremos,

no ofreciendo dudas a la Sala la existencia del tratamiento de datos de carácter

personal de los menores dado el amplio concepto de tratamiento de datos que ofrece

el artículo 3.c) LOPD y 5.1.t) RLOPD. Debe señalarse que la Directiva 95/46/CE es

aún más minuciosa en la enumeración de las operaciones o procedimientos que

constituyen tratamiento: recogida, registro, organización, conservación, elaboración o

modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o

cualquier otra forma que facilite el acceso a los mismos, cotejo o interconexión, así

como bloqueo, supresión o destrucción.

Y en el presente caso la divulgación por medio de video de la imagen de los

menores, constituye un tratamiento de sus datos de carácter personal, que al ser

menores de 14 años de edad, pues contaban entre 7 y 8 años de edad, requiere para

poder efectuarlo el consentimiento de sus padres o tutores, como exige el artículo 13.1

del RLOPD en relación con el artículo 6 LOPD que regula el principio del

consentimiento para el tratamiento de los datos de carácter personal del afectado. Por

tanto, las alegaciones referentes a si los menores no se encontraban acompañados

por sus profesoras en el concreto momento en que se grababa el video, resultan

irrelevantes a los efectos del presente procedimiento, pues los menores por su edad

no podían consentir ni la grabación ni la difusión de su imagen y el citado artículo 6.1

de la LOPD dispone, con carácter general, que el tratamiento de los datos de carácter

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

15/22

personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley

disponga otra cosa.

Cabe resaltar que la imagen del menor tiene una consideración legal

especialmente protectora, como ha señalado la STS, Sala 1ª, de 13 julio 2006 (Rec.

2947/2000) tras referirse a su jurisprudencia y a lo dispuesto en los arts. 18.1 y 20.1

CE, los arts. 2.2, 3, 7.5 y 8.2 de la Ley Orgánica 1/1982, de 5 de mayo, de protección

civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, y el

art. 4.1 de la Ley Orgánica 1/1996, de 15 de enero, de protección jurídica del menor.

Esta consideración especialmente protectora de la imagen de los menores es la que

viene a destacar la resolución recurrida?>>

Por otra parte, el hecho de que en la página web del centro escolar en el que

el menor cursa estudios en la actualidad puedan aparecer fotografías del mismo no

enerva la responsabilidad del Colegio E.E.E. de Sevilla en la comisión de la infracción

que nos ocupa, que se sustenta en los hechos que han resultado probados durante

la tramitación del procedimiento, y no en conjeturas como el supuesto ?ánimo

vengativo de los denunciantes contra esta entidad y no el objetivo de proteger la

imagen de su hijo menor?. Además, no hay constancia de que la publicación de las

citadas fotografías sea un tratamiento no consentido por los padres del menor.

En definitiva, en el caso analizado, el Colegio denunciado es responsable del

tratamiento y publicación en Internet de la imagen del menor XXXX sin

consentimiento de sus representantes legales (padres), ya que consta probado que

a fecha 26 de enero de 2017 continuaba apareciendo la imagen del citado alumno

en un video alojado en YouTube accesible, sin restricción alguna, desde la

página web administrada por el Colegio E.E.E. de Sevilla, conducta que constituye un

incumplimiento de principio de consentimiento regulado en el artículo 6 de la LOPD.

VII

El artículo 44.3.b) de la LOPD considera infracción grave: ?b) Tratar los datos

de carácter personal sin recabar el consentimiento de las personas afectadas, cuando

el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de

desarrollo.?

El principio del consentimiento cuya vulneración se imputa al Colegio E.E.E.

de Sevilla, S.L. se configura como principio básico en materia de protección de datos,

habiéndose conculcado el mismo por dicha sociedad al continuar tratando la

imagen del hijo menor del denunciante con posterioridad a que, con fecha 3 de

noviembre de 2016, confirmase al denunciante que había procedido a la eliminación

(cancelación) de todas las imágenes de sus dos hijos menores solicitada por éste

con fecha 13 de octubre de 2016, tal y como prueba que con fecha 26 de enero de

2017 desde la página web propiedad del citado centro escolar resultase accesible

sin ningún tipo de restricción un video alojado en la plataforma YouTube en el que se

trataba la imagen del hijo menor del denunciante.

En este caso, el Colegio E.E.E. de Sevilla ha incurrido en la infracción descrita

ya que ha vulnerado el principio citado, consagrado en el artículo 6.1 de la LOPD,

conducta que encuentra su tipificación en el artículo 44.3.b) de la citada Ley Orgánica.

VIII

En el presente procedimiento, también se analiza la posible comisión por

parte del Colegio denunciado de una posible infracción a lo dispuesto en el artículo

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

16/22

10 de la LOPD, que respecto del ?Deber de secreto? dispone lo siguiente:

?El responsable del fichero y quienes intervengan en cualquier fase del

tratamiento de los datos de carácter personal están obligados al secreto profesional

respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun

después de finalizar sus relaciones con el titular del fichero o, en su caso, con el

responsable del mismo.?

El deber de confidencialidad obliga no sólo al responsable del fichero sino a

todo aquel que intervenga en cualquier fase del tratamiento.

El deber de secreto comporta que el responsable de los datos almacenados no

pueda revelar ni dar a conocer su contenido teniendo el ?deber de guardarlos,

obligaciones que subsistirán aún después de finalizar sus relaciones con el titular del

fichero o, en su caso, con el responsable del mismo?. Este deber es una exigencia

elemental y anterior al propio reconocimiento del derecho fundamental a la libertad

informática a que se refiere la STC 292/2000, y por lo que ahora interesa, comporta

que los datos tratados automatizadamente no pueden ser conocidos por ninguna

persona o entidad ajena fuera de los casos autorizados por la Ley, pues en eso

consiste precisamente el secreto.

Este deber de sigilo resulta esencial en las sociedades actuales cada vez más

complejas, en las que los avances de la técnica sitúan a la persona en zonas de riego

para la protección de derechos fundamentales, como la intimidad o el derecho a la

protección de los datos que recoge el artículo 18.4 de la CE. En efecto, este precepto

contiene un ?instituto de garantía de los derechos de los ciudadanos que, además, es

en sí mismo un derecho o libertad fundamental, el derecho a la libertad frente a las

potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un

uso ilegítimo del tratamiento mecanizado de datos? (STC 292/2000). Este derecho

fundamental a la protección de datos persigue garantizar a esa persona un poder de

control sobre sus datos personales, sobre su uso y destino (STC 292/2000) que

impida que se produzcan situaciones atentatorias con la dignidad de la persona, es

decir, el poder de resguardar su vida privada de una publicidad no querida.

Por lo tanto, se trata de valorar si la difusión de los datos personales del hijo

menor del denunciante en la página web gestionada por el Colegio E.E.E. de Sevilla,

S.L. supone una vulneración del principio del deber de secreto, consagrado en el

artículo 10 de la LOPD, que obliga al responsable del fichero y a quienes intervengan

en cualquier fase del tratamiento de los datos de carácter personal.

En el caso que nos ocupa, ha quedado acreditado que el Colegio E.E.E. de

Sevilla, S.L. difundió con fines promocionales la imagen del hijo del denunciante a

través de un video de la plataforma YouTube expuesto en abierto en la sección

de noticias de la web del Colegio. A partir del 3 de noviembre de 2016 la exposición

de la imagen del menor objeto de análisis se produjo sin que el propietario de la

página web estableciese las medidas necesarias para evitar su difusión y

visualización entre los usuarios que visitaban el reseñado video con imágenes de

la celebración del carnaval de 2014 en el centro, conforme prueba que con fecha

26 de enero de 2017 la AEPD tuviese acceso a la imagen del menor descrita

por el denunciante contenida en el mencionado video.

En definitiva, la falta de eliminación por parte del Colegio denunciado de la

imagen del menor contenida en el video publicado en su página web permitió

que, a partir del 3 de noviembre de 2016, dicho dato de carácter personal del menor

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

17/22

continuara siendo accesible a terceros sin mediar el consentimiento de los

representantes legales del alumno para ello, tal y como se ha razonado en los

anteriores fundamentos de derecho, no concurriendo tampoco en este supuesto

habilitación legal que permitiera dicha comunicación a terceros.

Por tanto, queda acreditado que por parte del Colegio E.E.E. de Sevilla, S.L.,

responsable de la custodia de los datos de carácter personal del menor en cuestión,

se vulneró el deber de secreto garantizado en el artículo 10 de la LOPD, al haber

posibilitado el acceso por terceros a la imagen del menor XXXX sin contar con el

consentimiento de los padres del menor titular de tales datos.

IX

La conducta del Colegio denunciado se incardina en el artículo 44.3.d) de la

LOPD que tipifica como infracción grave: ?La vulneración del deber de guardar

secreto acerca del tratamiento de los datos de carácter personal al que se refiere el

artículo 10 de la presente Ley.?

En el presente caso ha quedado acreditado, que la imagen del menor XXXX

fue divulgada a terceros a través de un video de la plataforma YouTube publicado

en la página web del Colegio E.E.E. de Sevilla ***WEB.1 , sin que existiera

consentimiento de los padres del reseñado alumno para tal difusión de datos de

carácter personal del menor a terceros, exposición que, por otra parte, se comprobó

con fecha 24 de mayo de 2017 que ya no se producía.

De acuerdo con los fundamentos de derecho anteriores, dicha conducta se

ajusta a la tipificación prevista en el artículo 44.3.d) de la LOPD, por lo que se estima

que el reseñado Colegio es responsable, a título de culpa, de la vulneración del

deber de secreto que impone el mencionado artículo 10 de la LOPD por haber

revelado a terceros el dato personal de la imagen del menor a través de la página

web del Centro escolar en las circunstancias ya descritas, máxime cuando debió

cerciorarse de que habían sido canceladas todas las imágenes del menor que

resultaban accesibles desde su página web.

X

El hecho constatado del tratamiento inconsentido de los datos personales y

la vulneración del deber de secreto por parte de la entidad denunciada, establece la

base de facto para fundamentar la imputación de las infracciones de los artículos 6.1 y

10 de la LOPD.

No obstante, nos encontramos ante un supuesto en el que un mismo hecho

deriva en dos infracciones, dándose la circunstancia que la comisión de una implica

necesariamente la comisión de la otra. Esto es, del mantenimiento de las imágenes

del menor que permanecieron accesibles a través del sitio web titularidad del

Colegio denunciado, como mínimo, hasta después del 26 de enero de 2017, se

deriva un tratamiento inconsentido de datos personales de XXXX por parte de

dicho Centro, que, a su vez, ha derivado en una vulneración del deber de secreto al

difundirse tales imágenes sin ningún tipo de restricción entre los terceros que

accedían al portal.

Por lo tanto, aplicando el artículo 29.5 de la Ley 40/2015, de 1 de octubre, de

Régimen Jurídico del Sector Público, que señala que ?Cuando de la comisión de una

infracción derive necesariamente la comisión de otra u otras, se deberá imponer

únicamente la sanción correspondiente a la infracción más grave cometida?, procede

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

18/22

subsumir ambas infracciones en una.

Dado que, en este caso, se ha producido una vulneración del principio del

consentimiento para el tratamiento de los datos, calificada como grave por el artículo

44.3.b) de la LOPD, y también un incumplimiento del deber de guardar secreto,

calificado como grave en el artículo 44.3.d) de la misma norma, únicamente procede

imponer la sanción correspondiente a la infracción del artículo 6.1 de la LOPD, por

constituir la infracción originaria que ha dado lugar a la comisión de la infracción del

artículo 10 de dicha norma.

XI

El artículo 45 de la LOPD, apartados 1 a 5, establece:

?1. Las infracciones leves serán sancionadas con multa de 900 a 40.000 euros.

2. Las infracciones graves serán sancionadas con multa de 40.001 a 300.000

euros.

3. Las infracciones muy graves serán sancionadas con multa de 300.001 a

600.000 euros.

4. La cuantía de las sanciones se graduará atendiendo a los siguientes

criterios:

a) El carácter continuado de la infracción.

b) El volumen de los tratamientos efectuados.

c) La vinculación de la actividad del infractor con la realización de tratamientos

de datos de carácter personal.

d) El volumen de negocio o actividad del infractor.

e) Los beneficios obtenidos como consecuencia de la comisión de la infracción.

f) El grado de intencionalidad.

g) La reincidencia por comisión de infracciones de la misma naturaleza.

h) La naturaleza de los perjuicios causados a las personas interesadas o a

terceras personas.

i) La acreditación de que con anterioridad a los hechos constitutivos de

infracción la entidad imputada tenía implantados procedimientos adecuados de

actuación en la recogida y tratamiento de los datos de carácter personal,

siendo la infracción consecuencia de una anomalía en el funcionamiento de

dichos procedimientos no debida a una falta de diligencia exigible al infractor.

j) Cualquier otra circunstancia que sea relevante para determinar el grado de

antijuridicidad y de culpabilidad presentes en la concreta actuación infractora.

5. El órgano sancionador establecerá la cuantía de la sanción aplicando la escala

relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella

en que se integra la considerada en el caso de que se trate, en los siguientes

supuestos:

a) Cuando se aprecie una cualificada disminución de la culpabilidad del

imputado o de la antijuridicidad del hecho como consecuencia de la

concurrencia significativa de varios de los criterios enunciados en el apartado 4

de este artículo.

b) Cuando la entidad infractora haya regularizado la situación irregular de

forma diligente.

c) Cuando pueda apreciarse que la conducta del afectado ha podido inducir a

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

19/22

la comisión de la infracción.

d) Cuando el infractor haya reconocido espontáneamente su culpabilidad.

e) Cuando se haya producido un proceso de fusión por absorción y la

infracción fuese anterior a dicho proceso, no siendo imputable a la entidad

absorbente.?

El apartado 5 del artículo 45 de la LOPD deriva del principio de

proporcionalidad de la sanción y permite establecer "la cuantía de la sanción aplicando

la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad

a aquella en que se integra la considerada en el caso de que se trate", pero para ello

es necesario la concurrencia de, o bien una cualificada disminución de la culpabilidad

del infractor, o bien de la antijuridicidad del hecho, o bien de alguna otra de las

circunstancias que el mismo precepto cita.

Así, el citado artículo 45.5 de la LOPD debe aplicarse de forma excepcional y

cuando se den suficientes circunstancias para ello. En el presente caso se considera

que opera el supuesto a) previsto en el artículo 45.5 de la citada norma, al

apreciarse una cualificada disminución de la culpabilidad de la denunciada como

consecuencia de la concurrencia significativa de los criterios c) y e) del apartado 4

del artículo 45 de la citada Ley Orgánica. A estos efectos se estima que la actividad

del Centro con la realización de tratamientos de datos de carácter personal es

limitada, al estar vinculada su actividad principal con la de la enseñanza (criterio c),

y se valora que, este caso, no consta acreditado la existencia de beneficios como

consecuencia de la comisión de la infracción descrita (criterio e).

Por lo que como consecuencia de la minoración cualificada de la sanción a

imponer prevista en el apartado a) del citado artículo 45.5 de la LOPD procede la

aplicación de la escala de sanciones que precede inmediatamente en gravedad a

aquella en que se integra la considerada en el presente caso, debiendo fijarse la

multa a imponer en el rango comprendido entre 900 y 40.000 euros.

Asimismo, a los efectos de la graduación de la sanción a imponer se considera

que operan como circunstancias atenuantes los criterios f), h) e i) del artículo 45.4

de la LOPD. Sin perjuicio de la existencia de culpa en su conducta, no hay

constancia de actuación dolosa o intencionada, dado que tan pronto como el Centro

recibió la solicitud de cancelación de las imágenes de los hijos del denunciante en

los ordenadores del Centro procedió a la eliminación de las mismas, con excepción

de la imagen del hijo del denunciante que aparecía en el vídeo correspondiente al

(...) alojado en la plataforma YouTube, dato de carácter personal del menor XXXX

que resultaba accesible sin ningún tipo de restricción con fecha 26 de enero de 2017,

según se constató ese mismo día por la AEPD , desde el enlace incluido en la

página web administrada por el Colegio E.E.E. de Sevilla, y de cuya existencia no se

cercioró dicha entidad, que es titular y propietaria (criterio f). Tampoco hay

elementos de juicio que permitan entender que se han causado perjuicios a las

personas interesadas o a terceros con motivo de la continuidad del tratamiento de

dicha imagen (criterio h). Igualmente, se valora que con anterioridad a los hechos

constitutivos de infracción el Colegio denunciado tenía implantados procedimientos

de actuación a los efectos de obtener el consentimiento de los tutores de los

alumnos para poder usar las imágenes y/o publicarlas en la página web del centro de

trabajo y redes sociales (criterio i).

A su vez, se estima que el criterio j) del artículo 45.4 de la LOPD opera

como agravante, toda vez que se estima que la entidad denunciada debe mostrar

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

20/22

especial cuidado y control en comprobar que cuenta con el consentimiento de los

representantes legales de los alumnos cuyas imágenes trata y difunde a través de su

página web, puesto que afectan a datos de menores de edad. En el Fundamento de

Derecho V de esta resolución se han expuesto los motivos por los que el Colegio no

podía utilizar imágenes del menor en la página web del centro a partir del 3 de

noviembre de 2016, con independencia de que hubieran sido tomadas en fechas en

las que mediara el consentimiento inequívoco de los padres del menor.

Por último, en cuanto a la buena fe mostrada al no existir ánimo culposo, la

Audiencia Nacional en su Sentencia de 24 de mayo de 2002 ha señalado que ?la

buena fe en el actuar, para justificar la ausencia de culpa ?como se hace en el

presente caso-; basta con decir que esa alegación queda enervada cuando existe un

deber específico de vigilancia derivado de la profesionalidad del infractor. En esta

línea tradicional de reflexión, la STS de 12 de marzo de 1975 y 10 de marzo de 1978,

rechazan la alegación de buena fe, cuando sobre el infractor pesan deberes de

vigilancia y diligencia derivados de su condición de profesional?,

Se rechaza la solicitud de rebajar la multa indicada en la propuesta de

resolución por considerar que en dicho acto se justificaban pormenorizadamente los

criterios de ponderación en los que sustentaba la cuantía de la multa propuesta, que

está en el tercio inferior de la horquilla establecida para las infracciones leves. Por

ello, en aplicación del principio de proporcionalidad contenido en el artículo 29.3 de la

Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, y con arreglo

a los criterios de graduación de las sanciones del artículo 45.4 y 5 de la LOPD antes

señalados, se considera adecuado a la gravedad de los hechos constitutivos de la

infracción imponer una sanción de 3.000 euros al Colegio E.E.E. de Sevilla, S.L.

como responsable de una infracción del artículo 6.1 de la LOPD. >>

III

La recurrente mantiene que las sentencias citadas en el Fundamento Segundo

de la resolución recurrida, ?en ningún caso se asemejan a la situación que nos ocupa ya

que se refieren a que en la página web se incluían teléfonos, informaciones de las

condiciones de trabajo y aficiones que nada tienen que ver con una fugaz imagen no

identificable en segundo plano de un alumno disfrazado junto con otros.?. Sobre esta

cuestión indicar que las citadas Sentencias se invocan a los efectos de reforzar que el

uso realizado por el Centro de las imágenes del menor en su página web constituye un

tratamiento de datos personales que recae bajo el ámbito de aplicación de la LOPD, no

siendo preciso para ello que deba existir identidad en el tipo de datos de carácter

personal tratados en el fichero en cuestión.

Respecto del alegato relativo a que el vídeo no tiene una finalidad publicitaria,

basta recordar el contenido del ?Aviso Legal? de las solicitudes de matrícula firmadas

por los padres del menor que se transcribe en los Hechos Probados Quinto y Sexto

de la resolución recurrida, donde se señala que las fotografías y/o grabaciones en

audio/vídeo obtenidas como consecuencia de la participación del menor XXXX en

actividades escolares, extracurriculares y extraescolares podían ser utilizadas a

efectos de promoción del Colegio E.E.E. de Sevilla, S.L.

Asimismo, no se ha producido la vulneración del principio de proporcionalidad

alegada, toda vez que en el Fundamento de Derecho XI de la resolución recurrida se

razonan pormenorizadamente los supuestos de los apartados 4 y 5 del artículo 45 en

los que se sustenta la graduación de la sanción impuesta, entre los cuales no se

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

21/22

encuentra el criterio recogido en el apartado g) del artículo 45.4 de la LOPD,

referente a la ?La reincidencia por comisión de infracciones de la misma naturaleza.?,

como tampoco se alude al de reiteración. Con arreglo a lo cual no procede rebajar

la cuantía de 3.000 euros impuesta.

Por lo tanto, en el presente recurso de reposición, el recurrente no ha aportado

nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la

resolución impugnada.

Vistos los preceptos citados y demás de general aplicación,

La Directora de la Agencia Española de Protección de Datos RESUELVE:

PRIMERO: DESESTIMAR el recurso de reposición interpuesto por el COLEGIO

E.E.E. DE SEVILLA, S.L. contra la Resolución de esta Agencia Española de

Protección de Datos dictada con fecha 15 de marzo de 2018, en el procedimiento

sancionador PS/00483/2017.

SEGUNDO: NOTIFICAR la presente resolución a la entidad COLEGIO E.E.E. DE

SEVILLA, S.L..

TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva

una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el

artículo 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo

Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el

artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto

939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de

diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000

0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco

CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período

ejecutivo.

Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se

encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el

pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si

se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del

pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.

De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD,

en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de

medidas fiscales, administrativas y del orden social, la presente Resolución se hará

pública, una vez haya sido notificada a los interesados. La publicación se realizará

conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia

Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo

a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado

por el Real Decreto 1720/2007, de 21 diciembre.

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es

22/22

Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer

en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto

según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la

Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la

Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo

dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del

referido texto legal.

Mar España Martí

Directora de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.agpd.es

28001 ? Madrid sedeagpd.gob.es