Hoy en día es muy frecuente que cuando inscribimos a nuestros hijos en una actividad, la entidad organizadora quiera publicar imágenes de ésta en su pagina web o redes sociales, pero el hecho de que esto se realice de manera común no implica que se haga cumpliendo ni con la normativa en materia de protección de datos ni con el resto de las normas que recogen el derecho a la imagen:
Primeramente, hemos de tener en cuenta, que la imagen de un menor de edad, o de cualquier otra persona se trata de un dato de carácter personal, pues atendiendo a la definición del artículo 4 RGPD, los datos de carácter personal son cualquier información relacionada con una persona física identificada o identificable como una imagen.
En segundo lugar, el art 7 de la LO 1/1982 considera una intromisión ilegítima en la intimidad de las personas “la captación, reproducción o publicación por fotografía, filme, o cualquier otro procedimiento, de la imagen de una persona en lugares o momentos de su vida privada o fuera de ellos”, salvo en los siguientes casos:
- Que se trate de personas que ejerzan un cargo público o una profesión de notoriedad o proyección pública y la imagen se capte durante un acto público o en lugares abiertos al público.
- La utilización de la caricatura de dichas personas, de acuerdo con el uso social.
- La información gráfica sobre un suceso o acaecimiento público cuando la imagen de una persona determinada aparezca como meramente accesoria.
Por lo tanto, como podemos comprobar y en base al precepto referenciado, para poder captar, reproducir o publicar la fotografía de una persona es necesario que dicho uso esté expresamente autorizado por ley, o que el titular de los derechos hubiera consentido expresamente (art 2.2 Ley 1/1982). A mayor abundamiento, en el caso de los menores de edad habrá que contar con el consentimiento expreso de sus progenitores.
El caso concreto sobre el que vamos a hablar en nuestro blog deriva de una reclamación la cual produce una sanción por parte de la Agencia Española de Protección de Datos (AEPD) a un club deportivo, PS 00494/2023;
Inicialmente la parte reclamante remitió una consulta al delegado de protección de datos del ayuntamiento de la ciudad del club deportivo al que reclama y que no fue contestada. En el citado escrito solicitaba información relativa a las siguientes cuestiones:
- Que determinasen el criterio que legitimaba la difusión de las imágenes de los menores en la página web y en las redes sociales del patronato deportivo. En este sentido, significaba que no recuerda haber autorizado la difusión de las imágenes de su hija (que en la actualidad se visualiza).
- Que le concretasen en cuál de las actividades que constan en el inventario del registro de actividades del tratamiento publicado por la parte reclamada se encuentra el realizado por las escuelas deportivas del Patronato Deportivo.
- Que le contestasen en qué momento y mediante que sistemática tienen evidencia de que los titulares de la patria potestad o tutela de los niños y niñas de 1º a 6º de primaria que participan en las escuelas deportivas han recibido la información requerida por los artículos 13 y 14 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD).
- Si disponen de contratos de protección de datos con todos los encargados de tratamiento de las escuelas deportivas del Patronato Deportivo.
- Si se ha efectuado una evaluación de impacto.
- Si la parte reclamada cumple con las medidas de seguridad establecidas en la disposición adicional primera de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD).
- Si la brecha de seguridad ocurrida el 19 de abril de 2022 había sido notificada a la AEPD.
La AEPD tras el requerimiento recibe información, en la que se pone de manifiesto que el Club informa a los tutores legales sobre la política de protección de datos y deben firmar un consentimiento. El escrito de autorización para el tratamiento de datos de menores del Club consta firmado por el reclamante en su condición de tutor, en fecha 2 de enero de 2021. Otorgando asimismo su consentimiento, marcando la casilla al efecto, para comunicaciones publicitarias y la utilización de los datos personales en cualquier medio (marketing directo, redes sociales, correo electrónico) para la promoción del Club.
En base a esto la AEPD da por cerrado el expediente en primera instancia. No obstante, la reclamante procede a interponer recurso de reposición ante la autoridad de control indicando lo siguiente:
El consentimiento facilitado al Club fue firmado el 2 de enero de 2021, y las imágenes publicadas de su hija menor corresponden a la temporada 2019-2020. Además, aparecen premarcadas las casillas de consentimiento para envío de publicidad y de publicación de datos personales en redes sociales.
Se resuelve por parte de la AEPD el recurso potestativo de reposición presentado por la parte reclamante, acordándose, por parte de la directora de la AEPD, que no se han aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la reclamación presentada frente al Ayuntamiento. No obstante, de las actuaciones previas de investigación realizadas sí se habría detectado una presunta actuación contraria a la normativa de protección de datos por parte del Club.
A este respecto, la AEPD considera incumplidos los siguientes preceptos del RGPD:
Los principios que han de regir el tratamiento se encuentran enumerados en el artículo 5 del RGPD. En este sentido, el apartado 1 letra a), señala que: “Los datos personales serán: a) Tratados de manera lícita, leal y transparente en relación con el interesado (licitud, lealtad y transparencia); (…)”. El principio de licitud se regula, fundamentalmente, en el artículo 6 del RGPD.
Los supuestos que permiten considerar lícito el tratamiento de los datos personales se enumeran en el artículo 6.1 del RGPD:
“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.”
Por su parte, el Artículo 7 del RGPD “Condiciones para el consentimiento” establece:
“1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento”.
En consecuencia, dado que el club deportivo no ha probado contar con el consentimiento de la parte reclamada para la publicación de imágenes de su hija en las fechas que se referencian, se entiende que está incumpliendo el Art.6.1.a) RGPD.
El balance de las circunstancias contempladas permite fijar como valoración inicial una multa de MIL EUROS (1.000 €) por la infracción del artículo 6.1 del RGPD.
Como se desprende del análisis que hemos realizado de la resolución de la AEPD, hemos de tener mucha precaución a la hora de realizar y publicar fotografías/videos de terceros sin consentimiento (o cualquier otra base legitimadora del art. 6.1. RGPD) en plataformas digitales, por lo que a continuación os damos una serie de recomendaciones a tener en cuenta antes de publicar imágenes en vuestros canales de difusión (RRSS, o página Web):
- No olvides solicitar el consentimiento del tercero/s que aparece/n en la fotografía que quiere publicar. Además, ten en cuenta, que, si ese tercero es un menor de 14 años, deberás de contar con el consentimiento de sus progenitores o tutores legales para la publicación de su imagen.
- Si no estás seguro de contar con el consentimiento u otra legitimación para la publicación de imágenes en las que aparecen terceros, utiliza técnicas, como el difuminado o pixelado, para que no se les reconozca. Utilizando estas técnicas no estaríamos ante un dato de carácter personal (Art. 4 RGPD) pues la persona no es identificable.
- Debes tener en cuenta que, aunque una persona te preste su consentimiento para publicar una fotografía suya en tus redes sociales este puede ser revocado en cualquier momento y deberás de suprimir la imagen o video en el que aparezca.
- No olvides cumplir con el principio de minimización de datos y solamente publicar los estrictamente necesarios y para los que cuentes con el consentimiento u otra base de legitimación.
- El consentimiento ha de solicitarse antes de realizar la publicación de la imagen, si este es posterior no será válido.
Si quieres conocer más sobre publicación de imágenes puedes visualizar otras entradas de nuestro blog como ésta o ésta.
