Las tecnologías son herramientas que satisfacen las necesidades del hombre, como pueden ser el conocimiento, la inmediatez o como las propias relaciones sociales, entre otras. Sin embargo, cada vez tomamos más conciencia de los inconvenientes y daños que pueden acarrear dependiendo de cómo las utilicemos, sobre todo, cuando hablamos de redes sociales.
Un claro ejemplo de mal uso de las redes sociales se ha producido, precisamente, en esta resolución de la Agencia Española de Protección de Datos (en adelante, AEPD) que pasamos a analizar.
Los hechos que motivan esta reclamación que se presenta, en primera instancia, ante la Autoridad Catalana de protección de Datos con posterior traslado a la AEPD, son los siguientes:
- La reclamante, una madre de una niña de cuatro años, denuncia la toma de imágenes de menores sin su consentimiento en una fiesta de cumpleaños celebrada en el local del reclamado y su posterior publicación en el perfil de Instagram del denunciado. En concreto, la reclamante, al ser conocedora de la publicación de las imágenes en las que aparecía su hija, contactó con el autor de la publicación a través del servicio de mensajería proporcionado por el prestador del servicio, al objeto de solicitar que se eliminara la publicación o se tapara la cara de los menores. La reclamante manifiesta que no recibió respuesta y que dicha publicación estuvo disponible las 24 horas para las que, por defecto, están configuradas las stories de Instagram.
Por su parte, el reclamado, tras el traslado de esta reclamación, manifestó que los servicios que prestaba consistían simplemente en la organización de fiestas infantiles, eventos y actividades de ocio. Asimismo, declaraba que la reclamación presentada solicitaba la supresión del vídeo publicado y que, el mismo, fue retirado a las 24 horas de su publicación. Además, concreta que la solicitud de la retirada de éste se efectuó a través de una solicitud de amistad del perfil de Instagram y no del canal previsto específicamente para ello, razón por la que, hasta que no pasaron las mencionadas 24 horas, no tuvieron conocimiento de la petición de la madre.
No obstante, el reclamado también expresa que ha sido consciente del error y que han intensificado las medidas para evitar que se produzcan estas situaciones, con la específica exigencia del consentimiento y creando un protocolo para evitar incidencias. Insta a que se proceda al archivo del procedimiento sancionador, o que se proceda al apercibimiento o que, subsidiariamente, la actuación sea considerada como una infracción leve.
Pese a las alegaciones de la empresa organizadora de eventos, de la confesión del error y ánimo futuro de tratar los datos personales con las máximas garantías, la AEPD acordó iniciar procedimiento sancionador contra el reclamado.
Notificado el acuerdo de inicio y transcurrido el plazo correspondiente, el reclamado no presentó escrito de alegaciones, por lo que se procedió a dictar la resolución.
El objeto, por tanto, de esa resolución, es decidir y analizar si el tratamiento de los datos personales llevado a cabo a través de la grabación y difusión en la que figuran menores de edad en las redes sociales del reclamado es acorde a lo establecido en el Reglamento General de Protección de Datos (en adelante, RGPD).
Con carácter previo, la AEPD recuerda y aclara que la imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento.
A continuación, la autoridad de control menciona que todo tratamiento de datos requiere de una base legal que lo legitime. A este respecto, el artículo 6.1 del RGPD establece que el tratamiento sólo será lícito si se cumple, al menos, una de las siguientes condiciones:
- el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.
Por otra parte, se alega también por la AEPD el artículo 92 de la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (en adelante, LOPD) que dispone, sobre la protección de los datos de los menores en Internet, que:
“Los centros educativos y cualesquiera personas físicas o jurídicas que desarrollen actividades en las que participen menores de edad garantizarán la protección del interés superior del menor y sus derechos fundamentales, especialmente el derecho a la protección de datos personales, en la publicación o difusión de sus datos personales a través de servicios de la sociedad de la información.
Cuando dicha publicación o difusión fuera a tener lugar a través de servicios de redes sociales o servicios equivalentes deberán contar con el consentimiento del menor o sus representantes legales, conforme a lo prescrito en el artículo 7 de esta ley orgánica”.
De lo expuesto, se desprende que, en el presente caso, el reclamado, en lo relativo al tratamiento de datos de carácter personal, ni con anterioridad ni con posterioridad a la infracción (tampoco en su Política de privacidad o en el Análisis de Riesgos que aporta) prevé el tratamiento llevado a cabo: difundir o publicar imágenes de las celebraciones en redes sociales.
Por otra parte, tampoco en cuanto a la publicación de las imágenes se especifica donde se halla prevista (página web, redes sociales, etc.). Igualmente, en cuanto al consentimiento, nada señala sobre si recoge el consentimiento de los padres (en el caso de menores de 14 años) o bien, el consentimiento a los menores, mayores de 14 años.
Concluye la AEPD que, en el caso examinado, no consta acreditada base de legitimación alguna para el tratamiento de los datos de los menores con lo que se considera que se produce una infracción del artículo 6.1. y tipificada en el artículo 83.5.a) del RGPD al vulnerar los principios básicos del tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9.
A efectos de fijar el importe de la sanción, se estiman concurrentes los siguientes factores como circunstancias agravantes:
- Las categorías de los datos personales afectados por la infracción.
- La intencionalidad o negligencia en la infracción. A este respecto se cita la sentencia de la Audiencia Nacional de 17 de octubre 10 de 2007 que, si bien fue dictada antes de la vigencia del RGPD, su pronunciamiento es perfectamente extrapolable al supuesto que analizamos. La sentencia precisaba que el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible, condición que se produce en este caso en concreto.
Finalmente termina el procedimiento con la imposición una sanción de 10.000 euros a la empresa organizadora del evento por vulneración del artículo 6.1. tipificada en el artículo 83.5.a) del RGPD.
Todos ya somos conscientes del arma de doble filo que supone la exposición en las redes sociales. Esta resolución no es sino un ejemplo más de ello en la que se recuerda la importancia de publicar en los perfiles, de una manera correcta y siempre con el consentimiento de los interesados, las imágenes de las personas, en especial, cuando son menores.
A mayor abundamiento, es importante señalar, como ya expusimos en otra entrada de nuestro Blog, que, pese a que el afectado no haya utilizado los canales habilitados y publicados específicamente por el responsable para el ejercicio de los derechos, no es óbice para que no se atienda la petición de supresión del interesado, tal y como acontece en este caso a través de una solicitud de amistad del perfil de Instagram.
Si quieres leer otro caso más de publicación de imágenes de menores sin su consentimiento, esta vez en una página web, pulsa aquí.
