Actualmente, los podcasts, ya sea en formato audio o también en video, se encuentran a la orden del día. Centenares de creadores de contenido utilizan este medio para darse a conocer y generar visualizaciones, interacciones, seguidores… etc., pero, en ocasiones, se olvidan de algo fundamental cuando realizan entrevistas a terceros: el consentimiento.
Así lo pone de manifiesto la resolución PS/00471/2023, emitida por la Agencia Española de Protección de Datos (en adelante AEPD), señalando la relevancia de la protección de datos personales, especialmente en lo que respecta a menores de edad.
Para empezar, ¿Cuáles son los hechos que motivaron la reclamación ante la AEPD?
El caso comienza con la denuncia presentada por los progenitores de una menor de 13 años al Grupo de Investigación Tecnológica de la Policía Nacional. La reclamación se centra en la publicación no autorizada de un vídeo en las redes sociales TikTok e Instagram, donde aparecía la menor respondiendo preguntas relacionadas con su vida privada, algunas de carácter íntimo.
El contenido, publicado por un creador de contenido con miles de seguidores en plataformas sociales, alcanzó una amplia difusión. La viralidad se extendió a otras redes, como Twitter, donde obtuvo millones de visualizaciones. Este acto generó un impacto directo en la menor, quien fue objeto de comentarios inapropiados y burlas, amplificando el daño causado.
Los progenitores, al desconocer la existencia de esta publicación, no habían otorgado consentimiento alguno para la captación ni la difusión de los datos personales de su hija. Aunque el vídeo fue eliminado posteriormente por el autor tras recibir la solicitud de los padres, el daño ya estaba hecho, trasladando el caso ante la AEPD.
Tras la investigación, la AEPD en la resolución constató los siguientes hechos probados:
- La publicación del vídeo ocurrió en cuentas gestionadas por el reclamado en redes sociales populares como TikTok e Instagram.
- En el contenido se utilizaban datos personales de la menor (su voz, imagen y referencias a su vida privada) sin consentimiento explícito de sus padres, necesario al tratarse de una menor de 14 años.
- El creador de contenido justificó su actuación alegando que los menores presentes habían mostrado interés en participar en la grabación y que asumió que sus progenitores no tenían objeciones al no recibir mensajes en contra tras advertirlo.
- Las acciones realizadas por el reclamado no incluyeron medidas preventivas que garantizaran la protección de datos personales de la menor.
La viralidad del contenido en múltiples plataformas demostró el alcance masivo de la publicación, y el daño psicológico y reputacional sufrido por la menor quedó documentado a través de pruebas presentadas por sus progenitores.
Una vez conocidos los hechos probados, pasamos a los fundamentos de derecho a los que nuestra autoridad de control hace referencia en la resolución. Así, se explican las vulneraciones detectadas y la interpretación legal realizada por la Agencia:
1.- Licitud del tratamiento (Artículo 6 del RGPD)
El artículo 6 del Reglamento General Protección de Datos (en adelante RGPD) establece que todo tratamiento de datos personales debe basarse en una de las bases legales enumeradas en su apartado 1. En este caso, el reclamado argumentó que asumía la autorización de los padres porque no recibió objeciones tras la grabación. Sin embargo, la AEPD aclaró que:
- De conformidad con el artículo 4.11 del RGPD El consentimiento debe ser libre, específico, informado e inequívoco. Por tanto, el consentimiento tácito no es válido en el RGPD. Aunque la menor mostrara signos de intencionalidad de participación en el video, el consentimiento debe contar con las características antes descritas, máxime cuando se trata de una menor de 14 años.
- Para menores de 14 años, como es el caso de la afectada, el consentimiento debe ser otorgado expresamente por los progenitores o representantes legales, tal como indica el artículo 7 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, en adelante LOPDGDD.
Dado que no se aportaron pruebas de un consentimiento válido y verificable, se concluyó que el tratamiento carecía de una base legal legítima.
Por ello, la AEPD manifiesta que se produce una infracción del artículo 6.1 del RGPD, ya que el tratamiento de datos personales de la menor (grabación y publicación del vídeo) careció de una base legal válida, ya que no se obtuvo el consentimiento explícito de sus padres.
La sanción impuesta a la parte reclamada por la presente vulneración es de 3.000 euros.
2.- Categorías especiales de datos (Artículo 9 del RGPD)
La imagen y la voz de la menor se utilizaron en un vídeo que revelaba información sobre su vida sexual, lo que se clasifica como datos sensibles o de categorías especiales según el artículo 9 del RGPD.
Este artículo prohíbe, de forma general, el tratamiento de datos que revelen información sensible como orientación sexual, salud o vida sexual, salvo que concurran ciertas excepciones (artículo 9.2 del RGPD). En este caso:
- No existía un consentimiento explícito que levantara esta prohibición.
- No se cumplían otras excepciones, como la necesidad del tratamiento por interés público o para la protección de intereses vitales.
Por tanto, la recopilación y difusión de esta información constituyó una infracción grave.
De esta manera, la publicación incluyó datos sensibles relacionados con la vida sexual de la menor, categoría especialmente protegida por el RGPD, sin ninguna excepción aplicable que justificara el tratamiento constituye una vulneración del articulo 9 RGPD resultando el montante de la sanción de 3.000 euros.
3.- Principio de minimización de datos (Artículo 5.1.c del RGPD)
El principio de minimización obliga a que los datos personales tratados sean adecuados, pertinentes y limitados a lo estrictamente necesario en relación con los fines del tratamiento.
En este caso, la AEPD señaló que la difusión de la voz e imagen de la menor excedía lo necesario para cumplir cualquier posible finalidad legítima, como informar o entretener a los seguidores del reclamado. Específicamente:
- La finalidad del contenido podría haberse alcanzado sin revelar la identidad de la menor.
La publicación de su imagen y voz no era indispensable, especialmente considerando la naturaleza sensible de los datos expuestos.
Respecto a este tratamiento de datos, el cual considera nuestra autoridad de control que es excesivo e innecesario ya que la identidad de la menor podía haberse preservado sin afectar la finalidad del contenido, da lugar a una vulneración de dicho principio, con la consecuente sanción aparejada de 3.000 euros.
4.- Transparencia e información (Artículo 13 del RGPD)
El artículo 13 del RGPD establece que, al recopilar datos personales, el responsable del tratamiento debe informar al interesado sobre:
- La identidad del responsable y los fines del tratamiento.
- Los derechos del interesado, como el derecho a retirar el consentimiento.
- Cualquier transferencia de datos a terceros o a plataformas públicas.
En este caso, el reclamado no proporcionó información suficiente ni a la menor ni a sus progenitores sobre el tratamiento de sus datos, incumpliendo este deber. Además, se consideró que cualquier información proporcionada a la menor era incompleta y carecía de validez, ya que debía dirigirse exclusivamente a los padres.
Por último, ya que no se informó adecuadamente a los progenitores sobre la captación y difusión de los datos personales de su hija, incumpliendo la obligación de transparencia, la AEPD interpone una sanción por la infracción del articulo 13 RGPD de 1.000 euros.
La proporcionalidad de las sanciones fue evaluada por la AEPD atendiendo a los criterios citados en el artículo 83.2 del RGPD:
- Impacto en los derechos fundamentales: La vulneración afectó gravemente la privacidad de una menor, considerada un colectivo especialmente vulnerable.
- Difusión masiva: El alcance del vídeo agravó las consecuencias para la menor, que sufrió ataques y burlas en redes.
- Negligencia del responsable: Aunque el reclamado alegó desconocimiento, la falta de diligencia en la verificación del consentimiento lo hace responsable directo de las infracciones.
El total de las multas administrativas es de 10.000 euros, además de confirmar y elevar a definitiva la medida provisional impuesta a la parte reclamada, consistente en suspender el tratamiento de datos de carácter personal de menores de 14 años en los casos en que no cuente con el consentimiento de los progenitores.
Este caso pone en evidencia los riesgos inherentes al uso irresponsable de datos personales en el entorno digital, especialmente cuando involucran a menores. La resolución de la AEPD refuerza la necesidad de que creadores de contenido y usuarios de plataformas sociales sean conscientes de las obligaciones legales que asumen al tratar datos personales. El derecho a la privacidad y a la protección de datos es esencial, y en el caso de los menores, debe prevalecer ante cualquier otra consideración.
