Öğrenci görüntülerinin izinsiz kaydı ve güvenliği

1/41

 Expediente N.º: EXP202315180

RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO
DE RESPONSABILIDAD Y PAGO VOLUNTARIO

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 29 de abril de 2025, la Presidencia de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a COLEGIO VIRGEN
DE EUROPA, S.L. (en adelante, el COLEGIO), mediante el acuerdo que se transcribe:

<<
Expediente N.º: EXP202315180

ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR

De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes

HECHOS

PRIMERO: Con fecha 27/09/2023 se interpuso reclamación ante la Agencia Española
de Protección de Datos por una posible infracción imputable al COLEGIO VIRGEN DE
EUROPA, S.L. con NIF B28773794 (en adelante, el COLEGIO).

La parte reclamante indica que el 29/06/2022 tuvo conocimiento, a través de la
Guardia Civil, de que su hija menor de edad había sido grabada “(…)”. De acuerdo con
la reclamación, parte de los archivos que obran en poder de la Guardia Civil fueron
encontrados en una carretera, en una cámara que fue encontrada por un viandante y
entregada a la Guardia Civil y parte en el domicilio personal de A.A.A. (en adelante,
A.A.A.), profesor del COLEGIO, por lo que se habrían vulnerado el principio de
integridad y confidencialidad del tratamiento de esos datos.

A fecha de la reclamación, por estos hechos se estaba instruyendo un proceso judicial,
con diligencias previas número ***DILIGENCIAS.1, ante el Juzgado de Instrucción
***JUZGADO.1.

Según la reclamación, la captura de imágenes fue realizada sin conocimiento ni
consentimiento de los progenitores y sin la observancia del más mínimo protocolo de
custodia de los archivos. Considera además que se habría vulnerado el principio de
transparencia del tratamiento al haberse captado las imágenes sin informar
previamente a los afectados y por este desconocimiento tampoco ha podido ejercer
sus derechos respecto de los datos personales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

2/41

Junto con la reclamación, aporta la siguiente documentación:

- Auto de ***AUTO.1, del Juzgado de Instrucción ***JUZGADO.1 en el seno de
las Diligencias Previas ***DILIGENCIAS.1, en el que se autoriza a la Guardia
Civil a volcar y procesar soportes y dispositivos informáticos hallados en el
domicilio de A.A.A.

En este documento consta que en el domicilio (…).

- Copia del atestado ***ATESTADO.1, del Área de Investigación Comandancia
de la Guardia Civil de (…).

Del contenido del atestado cabe destacar, por tener relevancia para este
procedimiento, (…).

En el texto del atestado constan las siguientes afirmaciones, por tener
relevancia para este procedimiento:

“(…).
(…)
(…).
(…)
(…).
(…).”

- Oficio remitido por el Área de Investigación Comandancia de la Guardia Civil de
***LOCALIDAD.1, al Juzgado de Instrucción ***JUZGADO.1, el 27/06/2023 en
el marco de las Diligencias Previas ***DILIGENCIAS.1. En dicho oficio se
informa al Juzgado sobre el visionado de los dispositivos, aún no finalizado en
ese momento. En el oficio consta lo siguiente:

“(…).

(…).”

- Declaraciones de varios testigos en el procedimiento judicial antes indicado.

SEGUNDO: Con fecha 30/10/2023, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación.

TERCERO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VIII, de la LOPDGDD.

En el marco de dichas actuaciones previas de investigación, se han hecho
requerimientos de información al COLEGIO, en las siguientes fechas:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

3/41

- Requerimiento de 09/02/2024, respondido por el COLEGIO el 27/02/2024

- Requerimiento de 28/06/2024, respondido el 12/07/2024

- Requerimiento de 11/07/2024, respondido el 26/07/2024

- Requerimiento de 29/07/2024, respondido el 29/08/2024

Asimismo, se requirió información al profesor A.A.A., en fecha 09/02/2024 que
respondió con fecha 22/03/2024.

A continuación, se hace referencia a la información obtenida en dichas actuaciones
previas de investigación, mencionando la fecha de los escritos de respuesta del
COLEGIO o de A.A.A. en los que consta.

En su escrito de 27/02/2024, el COLEGIO informa de que la obtención del
consentimiento de los progenitores para la grabación de imágenes de los alumnos
menores se lleva a cabo en el momento de reserva de plaza y matriculación y, por ello,
el consentimiento resulta revisado como mínimo de forma anual.

Adjunta a su respuesta un formulario de matriculación, que contiene una casilla de
autorización de fotos y vídeos con el siguiente texto:

“□ SÍ Autorizo al "Colegio Virgen de Europa S.L." para que realice fotos y/o
grabaciones audiovisuales de mi hijo/a, en el desarrollo de las actividades
programadas por el mismo, con la única finalidad de incluirlas en la página
Web y/o Anuarios del Centro, folletos y/o soportes varios publicitarios, y su
posible difusión por cualquier otro medio de comunicación del Centro, incluido
redes sociales, con el único fin de dar a conocer y promocionar las actividades
del Centro, así como pasar dichas imágenes a formar parte del archivo del
colegio.
Dichas imágenes serán tratadas por ésta de acuerdo con la Legislación vigente
en materia de Protección de Datos de Carácter Personal. No obstante, dicha
autorización será revocable en cualquier momento.

□ NO autorizo el tratamiento de dichas imágenes.

Puede ejercitar gratuitamente los derechos de acceso, rectificación,
cancelación, oposición, portabilidad y limitación del tratamiento, dirigiéndose
por escrito a "Colegio Virgen de Europa S.L.", C/ ***DIRECCIÓN.1, o bien
mediante e-mail dirigido a (...).”

En relación con la información sobre el tratamiento de datos personales facilitada a
progenitores y profesorado, adjunta varios documentos (anexos I, II y III) y remite a
información adicional en la página web:

“(…) Tal y como hemos indicado con anterioridad, la información otorgada a los
padres y tutores de los menores cumple con lo establecido en los artículos 13 y
14 del RGPD. En este sentido, cualquier comunicación efectuada o recogida
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

4/41

de datos llevada a cabo, el Colegio dispone mediante clausulado de la
información mínima que debe otorgar.

Asimismo, el Colegio, en relación al deber de información (…) tiene en
consideración las siguientes cuestiones:
o En primer lugar, la obligación de informar a las personas interesadas
sobre las circunstancias relativas al tratamiento de sus datos recae
sobre el Colegio, en nuestra condición de responsable del tratamiento.

o La información se debe poner a disposición de los interesados en el
momento en que se soliciten los datos, previamente a la recogida o
registro, si es que los datos se obtienen directamente del interesado.

o En el caso de que los datos no se obtengan del propio interesado por
proceder de alguna cesión legítima, o de fuentes de acceso público, el
responsable informará a las personas interesadas dentro de un plazo
razonable, pero, en cualquier caso:

 Antes de un mes desde que obtuvieron los datos personales.

 Antes o en la primera comunicación con el interesado.

 Antes de que los datos, en su caso, se hayan comunicado a
otros destinatarios.

o Esta obligación se debe cumplir sin necesidad de requerimiento alguno,
y el responsable deberá poder acreditar con posterioridad que la
obligación de informar ha sido satisfecha.

En prueba de lo anterior, aportamos la siguiente documentación o información
facilitada al efecto:

o En primer lugar, reiteramos la información de la matrícula para la
gestión de la relación docente (Anexo I).

o En segundo lugar, la información otorgada en la gestión del Classroom,
así como, las medidas o consideraciones en la gestión del mismo, en
cumplimiento de los artículos 24 y 32 del RGPD (Anexo II).

o En tercer lugar, aportamos la información facilitada en diferentes
comunicaciones a través de correo electrónico, por parte del personal
del Colegio (Anexo III).

o En cuarto lugar, a través de la página web corporativa del centro, se
otorga información sobre la gestión de los datos (…).

Desde la entidad responsable del tratamiento, el Colegio, somos plenamente
conscientes de la necesaria obligación del deber de información, reconocido
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

5/41

por la normativa al titular de los datos o representante del mismo, es por ello
que, en las diferentes comunicaciones, contactos recurrentes, recogida de
datos, entre otras acciones llevadas a cabo, reiteramos la información mínima
regulada por el legislador”.

Revisados los documentos anexos aportados, se observa que:

- El anexo I se corresponde con un formulario genérico de “Registro del alumno
y reserva de plaza” que incluye un apartado denominado “Autorización de fotos
y vídeos” en el que se facilitan dos opciones, que ya ha sido previamente
expuesto.

- El supuesto documento informativo de Classroom se refiere a un modelo de
solicitud de consentimiento, sin complementar, para la creación y gestión de un
usuario de “Google Workspace For Education Plus” con “con el dominio del
Colegio y fines exclusivamente didácticos”.

- En cuanto al Anexo III se remite un texto, fuera de todo contexto, que señala:
“Tanto este mensaje como todos los posibles documentos adjuntos al mismo
son confidenciales y están dirigidos a los destinatarios de los mismo. Por favor,
si usted no es uno de dichos destinatarios, notifíquenos este hecho y elimine el
mensaje. (…) Puede ejercitar gratuitamente los derechos de acceso, oposición,
rectificación, cancelación o supresión, revocación del consentimiento,
portabilidad y limitación del tratamiento de los datos dirigiéndose a Colegio
Virgen de Europa S.L. (…)”.

En cuanto a la finalidad de las grabaciones y motivos para conservación, aporta un
informe con el título “INFORME CUMPLIMIENTO NORMATIVA DE PROTECCIÓN DE
DATOS”, que afirma que es su procedimiento actual de gestión. El documento carece
de fecha y señala, en síntesis:

“El presente informe es con motivo del tratamiento de datos de carácter
personal efectuado por el Responsable del tratamiento, el Colegio Virgen de
Europa S.L., en relación al dato de imagen, tanto para fines docentes como
fines de promoción de la actividad del centro. En este sentido, a través del
presente documento se otorgan instrucciones básicas y recomendaciones
sobre el citado tratamiento de datos.

(…)

En cuanto a la cuestión relativa a la captación de imágenes durante las
actividades escolares, deben tenerse en cuenta los siguientes escenarios:
A) La toma de imágenes como parte de la función educativa, en cuyo caso, los
centros se encuentran legitimados para ello.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

6/41

B) Las grabaciones que no responden a la función educativa, por ejemplo, la
difusión del centro y de sus actividades, para lo que se deberá disponer del
consentimiento de los interesados o de sus padres o tutores.

Así mismo, resulta posible la toma de imágenes de los alumnos en
determinados eventos desarrollados en el entorno escolar para la única
finalidad de que los padres pudieran tener acceso a ellas. Este acceso a las
imágenes debería siempre llevarse a cabo en un entorno seguro.

A) Celebración de actos escolares o eventos en el centro
educativo:

En este sentido, con ocasión de la celebración de actos escolares o de eventos
en centros educativos en los que los alumnos y los profesores son los
protagonistas, tanto por los familiares como por el propio centro se toman
fotografías y graban vídeos en los que se recogen sus imágenes. Estos
hechos, comunes en los eventos escolares, dan lugar a que se planteen
muchas cuestiones sobre quién y cómo se pueden captar las imágenes, qué
requisitos se han de cumplir, con qué finalidad y a quién se pueden comunicar.
Según quién vaya a grabar las imágenes y la finalidad para la que se graben
será necesario observar unos determinados requisitos.

Si la grabación de las imágenes se produjera por el centro escolar con fines
educativos, como trabajos escolares o evaluaciones, el centro o la
Administración educativa estarían legitimados para dicho tratamiento sin
necesidad del consentimiento de los alumnos o de sus padres o tutores.

Cuando la grabación de las imágenes no se corresponda con dicha función
educativa, sino que se trate de imágenes de acontecimientos o eventos que se
graban habitualmente con fines de difusión en la revista escolar o en la web del
centro, se necesitará contar con el consentimiento de los interesados, a
quienes se habrá tenido que informar con anterioridad de la finalidad de la
grabación, en especial de si las imágenes van a estar accesibles de manera
indiscriminada o limitada a la comunidad escolar.

(…)

A) Grabación de imágenes de actividades desarrolladas fuera del
centro escolar:

La grabación de imágenes fuera del recinto escolar por los centros requiere el
consentimiento de los interesados, o de sus padres o tutores, siempre que no
se realice en ejercicio de la función educativa. Si la grabación se realiza por
terceros, por ejemplo, por los responsables de la empresa, museo, exposición
o club deportivo que se esté visitando, o en el que se desarrolle una actividad
deportiva, será obligación de estos terceros disponer del consentimiento de los
interesados que habrán podido recabar a través del centro.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

7/41

B) Publicación de datos en redes sociales.

La publicación de datos personales en redes sociales por parte de los centros
educativos requiere contar con el consentimiento de los interesados, a los que
habrá que informar previamente de manera clara de los datos que se van a
publicar, en qué redes sociales, con qué finalidad, quién puede acceder a los
datos, así como de la posibilidad de ejercitar sus derechos de acceso,
rectificación, oposición y supresión. Se entenderá el consentimiento como una
manifestación de voluntad libre, específica, informada e inequívoca, mediante
declaración o clara acción afirmativa. La normativa incluye la obligación de
informar sobre el plazo durante el que se conservarán las imágenes o, si no
fuera posible, de los criterios para determinarlo.

III. CUESTIONES ESENCIALES CON RELACIÓN AL TRATAMIENTO DEL
DATO DE IMAGEN.

A continuación, otorgamos respuesta a cuestiones resueltas por la autoridad de
control, la Agencia Española de Protección de Datos, en su guía para Centros
Educativos.

(…)

¿Pueden los centros educativos captar imágenes de los alumnos durante las
actividades escolares?

Cabría distinguir entre la toma de imágenes como parte de la función
educativa, en cuyo caso los centros estarían legitimados para ello, de las
grabaciones que no responderían a dicha función, por ejemplo, la difusión del
centro y de sus actividades, para lo que se deberá disponer del consentimiento
de los interesados o de sus padres o tutores. También sería posible la toma de
imágenes de los alumnos en determinados eventos desarrollados en el entorno
escolar para la única finalidad de que los padres pudieran tener acceso a ellas.
Este acceso a las imágenes debería siempre llevarse a cabo en un entorno
seguro que exigiera la previa identificación y autenticación de los alumnos,
padres o tutores (por ejemplo, en un área restringida de la intranet del centro),
limitándose a las imágenes correspondientes a eventos en los que el alumno
concreto hubiera participado. En todo caso, sería preciso recordar a quienes
acceden a las imágenes que no pueden, a su vez, proceder a su divulgación
de forma abierta.

- ¿Puede un profesor grabar imágenes de los alumnos para una actividad
escolar?

Los profesores, en el desarrollo de la programación y enseñanza de las áreas,
materias y módulos que tengan encomendados, pueden disponer la realización
de ejercicios que impliquen la grabación de imágenes, normalmente de los
propios alumnos, que sólo deberán estar accesibles para los alumnos
involucrados en dicha actividad, sus padres o tutores y el profesor
correspondiente.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

8/41

Es decir, en ningún caso el mero hecho de realizar la grabación supone que la
misma se pueda difundir de forma abierta en internet y que se pueda acceder
de manera indiscriminada. En estos casos el responsable del tratamiento es el
propio centro o la Administración educativa (…)”

Afirma el COLEGIO que se hizo una revisión exhaustiva y que se documentaron y
trasladaron instrucciones a la persona encargada en el centro de la gestión de las
imágenes utilizadas a través de redes sociales o web corporativa, aportando como
prueba un correo electrónico que figura como anexo VI al escrito. El escrito está
fechado el 12/09/2022. Buena parte del contenido no es visible por estar el documento
anonimizado y no consta el destinatario, el contexto o finalidad para la que se envía ni
el medio de envío o constancia de su recepción. En la parte no anonimizada se puede
leer lo siguiente:

“Adicionalmente, y de manera constante, se le han recordado los criterios que
debían mantener las imágenes publicadas en redes sociales y página web,
tales como:
- Imágenes que representen actividades grupales del centro y que transmitan
el proyecto pedagógico, pero nunca niños en primer plano sin desarrollo de la
actividad.
- Imágenes de niños correctamente vestidos en las que se respete la dignidad
del menor.
- Número reducido de imágenes por publicación (nunca más de 15).
- Imágenes de buena calidad que transmitan la imagen corporativa de la
institución.

En relación con las medidas técnicas organizativas de custodia de las imágenes de
menores en el centro educativo, el COLEGIO indica, en síntesis, que se han elaborado
clausulados y documentos sobre las obligaciones de su personal para que éste los
firmara, en concreto:

“- Cláusulas informativas elaboradas para los distintos documentos que son
usados para la actividad habitual de la entidad.
- Procedimiento implantado ante ejercicio de derechos por parte de titulares.
- Procedimiento ante brechas o incidentes de seguridad.
- De igual modo, en su día, se procedió a la designación de la figura del
Delegado de Protección de Datos, así como a su comunicación ante esta
autoridad de control, en el plazo legal establecido a tal efecto.

De igual modo, a pesar de lo anterior, nuestra prioridad es la protección del
menor, es por ello que, las instrucciones marcadas a las personas encargadas
de esta toma de fotografías y posterior envío, es que la orientación de la toma
de imágenes resulte lo menos identificativa posible, teniendo como prioridad,
captaciones de espalda, imágenes desde la lejanía etc. Asimismo, la captación
se efectúa con dispositivos propiedad del Colegio, que disponen de las
medidas técnicas de contraseña en el acceso y restricción de uso por parte de
aquellos usuarios no autorizados al tratamiento de estos datos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

9/41

En cuanto al almacenamiento de las citadas imágenes, resultan custodiadas a
través de un servidor (…) conectado a la red, que tan solo permite acceso con
usuario y contraseñas a los perfiles habilitados a tal efecto.

Además, debemos trasladar el hecho de que, en todas las ocasiones, cuando
nos encontramos con un alumno/a que el padre/madre o tutor, no ha otorgado
el consentimiento para la captación y envío de estas imágenes, se tiene en
cuenta este extremo desde el principio, optando por aprovechar momentos en
los que el menor no se encuentra con el grupo para la toma de imágenes.

Sobre el hecho de comunicar a los padres/padres y tutores de los menores, las
limitaciones en el uso de imágenes, cabe aclarar que, en nuestra política y
procesos de gestión, contemplamos esta comunicación constante a los tutores,
para que sean conscientes de los límites de uso de estas imágenes, y,
además, las posibles responsabilidades en el supuesto de un mal uso de las
mismas. A pesar de lo anterior, dado que es fundamental la continua mejora y
avance en la gestión de riesgos, se ha procedido a establecer una
comunicación formal obligatoria, en cada envío que se efectúe.

(…)

En relación a otras medidas adoptadas, se han desarrollado las siguientes
acciones:

- En primer lugar, siendo conscientes de que un proceso de adaptación y
cumplimiento efectivo, conlleva la necesaria concienciación de los usuarios
intervinientes en el tratamiento de los datos, durante el ejercicio de 2022 se
procedió a la impartición de una sesión formativa presencial, con todo el
personal de la entidad, para el fomento de la cultura de protección de datos.

- Además de lo anterior, para que esta formación resultase más efectiva, con
fecha 31 de octubre de 2022 se iniciaron 9 acciones formativas, siendo la
denominación de las acciones “Nuevo Reglamento Europeo de Protección de
Datos”, con una duración de 30 horas y realizándose por un total de 9
trabajadores/as. En este caso, aportamos títulos de los trabajadores/as,
acreditativos de lo anterior (Anexo VII). En cuanto al incide de la formación
realizada, adjunto remitimos (Anexo VIII).

De igual modo, el plan formativo en esta materia, programado por la entidad,
cuenta con una formación destinada a todos los usuarios intervinientes en el
tratamiento de los datos de forma progresiva y en constante actualización, para
el fomento de la cultura de protección de datos.

- Asimismo, tal como indicamos anteriormente, se ha procedido a marcar
instrucciones claras y por escrito, de las indicaciones mínimas y exigidas a los
usuarios intervinientes en esta captación y difusión de imágenes, siendo
fundamentalmente: necesidad de contraste previo del consentimiento,
información mínima a otorgar en el supuesto de ser requerido, orientación de
imágenes (no primeros planos, imágenes en lejanía, etc.), entre otros.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

10/41

A la solicitud de información efectuada por la AEPD relativa a que informe sobre las
causas que han motivado que las grabaciones hubieran salido del centro, el COLEGIO
señala:

“(…) desde la entidad responsable del tratamiento, no entendemos la información que
se solicita sobre las posibles causas que han motivado que las grabaciones hayan
salido del centro, dado que la entidad dispone del control de las mismas” (…).

Asimismo, el COLEGIO aporta “el documento de Registro de Actividades con el
tratamiento identificado y las medidas implementadas a tal efecto (Anexo IX)”. Este
documento hace referencia exclusivamente al tratamiento “PUBLICIDAD Y REDES
SOCIALES”, y a medidas de seguridad generales. En el mismo se califica el nivel de
seguridad de este tratamiento como nivel básico. No constan el responsable del
tratamiento, el delegado de protección de datos, plazo previsto para eliminación de los
datos, ni descripción general de las medidas de seguridad con las que se tratarán los
datos. No consta que exista registro de tratamiento de imágenes con otra finalidad
(archivo, hemeroteca, etc).

En lo relativo a las medidas de seguridad tomadas por el centro, el citado Anexo IX
que recoge las medidas de seguridad a aplicar para tratamientos de nivel básico y alto
señaladas por la entidad que actúa como DPD y que se deberían implementar como
por ejemplo “Confección de una relación actualizada de usuarios y perfiles de usuarios
[…]”, “Deben establecerse mecanismos […]”, “La salida de soportes y documentos
que contengan datos de carácter personal, […] fuera de los locales bajo el control del
Responsable del Tratamiento deberá ser autorizada por el Responsable del
Tratamiento o encontrarse debidamente autorizada en el Registro de Actividades de
Tratamiento”, “En el traslado de la documentación se adoptarán las medidas dirigidas
a evitar la sustracción, pérdida o acceso indebido a la información durante su
transporte”, “Fijar procedimientos para la recuperación de los datos […]”, etc.

Este documento se encuadra dentro del informe jurídico elaborado por la entidad que
actúa como DPD (capitulo 7 “Determinación de las medidas de seguridad a aplicar tras
el inicial análisis de riesgos de protección de datos”). No consta en la documentación
remitida por el COLEGIO si estas medidas han sido llevadas a la práctica, o no, ni el
procedimiento o recursos para su implementación.

En su escrito de 12/07/2024 en respuesta a requerimiento de esta Agencia, A.A.A.
comunica que desde (...) ya no es empleado. En relación con la finalidad de las
grabaciones y su conservación, indica que

“Las grabaciones que se realizaban en el ejercicio de mi labor (…) tenían la
finalidad de cumplir con el programa de docencia, así como también para
promocionar la actividad del centro.
En la asignatura (…) se pretendía enseñar a los alumnos las siguientes
competencias:
- Competencia para aprender a aprender.
- Competencia en comunicación lingüística.
- Tratamiento de la información y competencia digital. - Autonomía e iniciativa
personal.
- Competencia artística y cultural.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

11/41

(…)

Sobre las causas de que las imágenes hayan salido del centro, afirma lo siguiente:

“(…).

(…).”

Respecto de las medidas técnicas y organizativas de custodia de las imágenes, afirma
que

“(…).

(…).

(…).”

El 28 de junio de 2024 la AEPD requirió al COLEGIO la remisión de la siguiente
documentación e información:

1. Copia del documento de matrícula firmado correspondiente a la hija de B.B.B.
2. Copia del Registro de Actividades de Tratamiento completo.
3. Dado que en documento presentado en esta Agencia el día 27 de febrero de
2024, que el centro educativo “tiene el control de las grabaciones” realizadas
en el centro, se requiere que se exponga las causas que han podido concurrir
para que las imágenes de los menores salieran de la custodia del centro y se
encontraran en una mochila en una carretera y en el domicilio de D. A.A.A.
4. Copia de la autorización, en caso de su existencia, permitiendo que D. A.A.A.
pudiera sacar grabaciones de los alumnos del centro educativo y el
almacenamiento en su domicilio.

En su respuesta de 12/07/2024, el COLEGIO aporta documentos con título “Registro y
reserva de plaza” de la hija del reclamante, con firma del padre y la madre,
correspondientes a los cursos 2012/2013, 2013/2014 y 2015/2016, así como
comunicaciones con la madre de la menor sobre la gestión y cambio de su expediente
de 20 de junio de 2023 en el que se indica “necesitaría el certificado de notas y de
traslado (…)”.

En dichos formularios de registro y reserva de plaza consta el siguiente texto para la
autorización sobre imágenes:

12/41

autorización será revocable en cualquier momento. Para ejercitar los Derechos
de acceso, impugnación, rectificación, cancelación u oposición de sus datos,
deberán dirigirse a “Colegio Virgen de Europa S.L.”, ***DIRECCIÓN.1,
mediante comunicación por escrito.
En el caso de no autorizar el tratamiento de dichas imágenes con la finalidad
anteriormente descrita, marque con una cruz.
□ NO autorizo el tratamiento de dichas imágenes.”

Aporta también copia completa del RAT, de cuyo contenido cabe destacar lo siguiente:

- En la página 6/49 figura la siguiente información:

“Tratamiento: ALUMNOS Y EXALUMNOS
Sistema: MIXTO Nivel de seguridad: ALTO Tipo: PRIVADO
Descripción de la Finalidad: GESTIÓN INTEGRAL DE LAS
RELACIONES CON LOS ALUMNOS Y EXALUMNOS DE LA ENTIDAD
Otras Finalidades: DIFUSION EN PÁGINA WEB/REDES SOCIALES,
EDUCACION Y CULTURA, GESTIÓN CONTABLE, FISCAL Y
ADMINISTRATIVA, GESTIÓN Y CONTROL SANITARIO, HISTORIAL
CLÍNICO.
Colectivos: ESTUDIANTES.
CARACTERÍSTICAS Y TIPOLOGÍA DE LOS DATOS DEL
TRATAMIENTO ALUMNOS Y
Origen: El propio interesado o su representante legal.
Especialmente Protegidos: Religión. Salud.
Identificativos: NIF.NºSS / Mutualidad. Nombre y Apellidos. Dirección.
Firma Manual (Manuscrita o Digitalizada). Teléfono. Imagen/ Voz.
Caracteristicas Personales: Datos de Características Personales.
Academicos Profesionales: Datos Académicos y Profesionales.”

- En la página 12/49 figura la siguiente información:

“Tratamiento: PUBLICIDAD Y REDES SOCIALES
Sistema: MIXTO Nivel de Seguridad: BÁSICO Tipo: PRIVADO
Descripción de la Finalidad: DIFUSIÓN EN PÁGINA WEB / REDES
SOCIALES
Otras Finalidades: DIFUSION EN PÁGINA WEB/REDES SOCIALES.
Colectivos: ALUMNOS, EX-ALUMNOS, PERSONAL DOCENTE,
PERSONAL NO DOCENTE.
CARACTERÍSTICAS Y TIPOLOGÍA DE LOS DATOS DEL
TRATAMIENTO PUBLICIDAD Y
Origen: El propio interesado o su representante legal.
Identificativos: Nombre y Apellidos. Imagen/ Voz.”

- En la página 38/49, dentro del apartado “DETERMINACIÓN DE LAS MEDIDAS
DE SEGURIDAD A APLICAR TRAS EL INICIAL ANÁLISIS DE RIESGOS DE
PROTECCIÓN DE DATOS”, se indica lo siguiente:

“Independientemente de que exista la obligación legal o no de realizar
un Evaluación de Impacto, y en aplicación del principio de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

13/41

Responsabilidad Proactiva que le incumbe al Responsable, se han
determinado las medidas técnico-organizativas que se consideran
necesarias adoptar, tras el inicial análisis de riesgos realizado, con el
objetivo de eliminar o minimizar dichos riesgos que entraña el
Tratamiento de Datos de Carácter Personal para la seguridad de la
información (integridad, confidencialidad-privacidad y disponibilidad de
los mismos).”

En cuanto a la salida de imágenes del centro, el COLEGIO afirma lo siguiente:

“Tal como aportamos como Anexo III, el colegio ha mantenido el control de las
grabaciones y datos contenidos en los dispositivos, con la oportuna limitación
de extracción de dispositivos bajo autorización otorgada al responsable de
estas gestiones en el Colegio, D. A.A.A..”

Así, además de remitir el mencionado Anexo III, señalan sobre la autorización al
profesor en relación con la salida de dispositivos del centro:

“En el documento de autorización, el Colegio mantiene el control de la
información y datos contenidos en los dispositivos, dado que se requiere del
registro de salidas y devoluciones de los mismos.”

El citado Anexo III consiste en un documento de autorización en favor del profesor, con
fecha de 30/04/2018, firmado por A.A.A. como trabajador y por el COLEGIO, en el que
se puede leer lo siguiente

“AUTORIZACIÓN PARA LA SALIDA DE SOPORTES Y ACCESO REMOTO A
SERVIDORES

COLEGIO VIRGEN DE EUROPA S.L., Autoriza a D/Dª A.A.A., con NIF (…) a
realizar la salida de soportes, tanto en equipos informatizados (ordenadores,
memorias externas, etc.), como en formato papel, de las instalaciones de la
entidad.

Dichas salidas de información en soportes informáticos o en papel, así como
su devolución, deberán quedar registrados.

La citada autorización se hará extensiva hasta comunicación expresa en
contrario.” (El subrayado es de la AEPD).

Por otra parte, el 11 de julio de 2024 la AEPD realizó al COLEGIO un nuevo
requerimiento de información por el que solicitaba información sobre los siguientes
aspectos:

1. Funciones docentes del profesor A.A.A.. Acreditación del director del centro o
departamento de recurso humanos.
2. Documento con las instrucciones facilitadas por el colegio a los profesores que
tienen acceso a los medios audiovisuales y soportes de grabación.
3. Base de legitimación para la grabación de imágenes de los menores en
bañador por A.A.A..
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

14/41

4. Medidas de revisión del buen uso de los medios y soportes que realiza el
colegio. (custodia, acceso, conservación).
5. Plazos de conservación del material audiovisual grabado y conservado en el
centro.
En su respuesta de 26/07/2024, el COLEGIO, en relación con las funciones del
profesor A.A.A., sobre las que se solicitaba acreditación del director del centro o del
departamento de recursos humanos, se limita a informar lo siguiente:

“Las funciones del docente eran las propias como (…), además de llevar a
cabo la promoción del centro, bajo diferentes proyectos desarrollados a lo largo
de su contratación.”

En cuanto a las instrucciones facilitadas por el COLEGIO a los profesores en relación
con medios audiovisuales y soportes de grabación, adjuntan “documento de
compromiso de confidencialidad”, así como “informe jurídico con las instrucciones
facilitadas sobre sus funciones de gestión de imágenes de los menores a las personas
responsables de estas funciones y el procedimiento interno de gestión del
tratamiento”.

En el documento de compromiso de confidencialidad adjuntado tiene por título
“POLITICA GENERAL DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL”,
está fechado a 30/04/2018 y firmado por el profesor A.A.A. Entre otras cuestiones
menciona el deber de secreto como trabajador del COLEGIO en relación con los datos
de carácter personal a los que tenga acceso en el ejercicio de sus funciones, así como
las obligaciones como interviniente en tratamientos de datos. No se hace mención
expresa al tratamiento de imágenes de los alumnos.

El informe jurídico indicado es el ya presentado en su respuesta de 27/02/2024, con el
título “INFORME CUMPLIMIENTO NORMATIVA DE PROTECCIÓN DE DATOS”.

En cuanto a la base de legitimación para la grabación de imágenes de los menores en
bañador por parte del profesor A.A.A., afirma el COLEGIO lo siguiente:

“Las instrucciones otorgadas por el centro, a tal efecto, resultan acordes a lo
establecido por la normativa actual, indicando en todo momento, la necesidad
de evitar primeros planos, imágenes que respeten la intimidad del menor, entre
otras.”

En cuanto a las medidas de revisión del buen uso de los medios y soportes que realiza
el colegio (custodia, acceso, conservación), afirma que

“Tal como ha resultado aportado en la solicitud de información anterior, las
medidas de seguridad implementadas, resultan contenidas en el Registro de
Actividades del tratamiento. En prueba de lo anterior, aportamos el documento
de referencia. (ANEXO II). Además de lo anterior, estas medidas de buen uso e
instrucciones resultan detalladas en el informe jurídico y el procedimiento de
gestión del consentimiento.”

Por último, sobre la base legitimadora y los plazos de conservación del material
audiovisual grabado y conservado en el centro, indica lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

15/41

“La base legitimadora del tratamiento de las imágenes contenidas en los
sistemas, propias de la función docente, se fundamenta en el artículo 6.1.e del
RGPD, dado que el tratamiento es necesario para el cumplimiento de una
misión realizada en interés público o en el ejercicio de poderes públicos
conferidos al responsable del tratamiento, por lo cual no sería necesario el
consentimiento.

Tal como establece la normativa actual, estos datos se conservarán durante el
tiempo necesario para cumplir con la finalidad para la cual se recogieron y para
determinar las posibles responsabilidades que se pudieron derivar de esta
finalidad y del tratamiento de los datos, resultando aplicable lo dispuesto en la
normativa de archivos y documentación.

En este sentido, la normativa de referencia que se tiene en consideración para
la determinación de los citados plazos: la Ley Orgánica 2/2006, de 3 de mayo,
de Educación, Real Decreto 217/2022, de 29 de marzo, por el que se establece
la ordenación y las enseñanzas mínimas de la Educación Secundaria
Obligatoria.

En el documento de Registro de Actividades se otorga información detallada al
respecto.”

Por último, aporta un documento, sin fechar, con el título “Procedimiento interno de
gestión de grabaciones audiovisuales”, en el que se indica lo siguiente:

“Este procedimiento tiene por objeto informar de las normas de actuación que
cualquier usuario del sistema de tratamiento de datos del COLEGIO VIRGEN
DE EUROPA, que en su actividad recoja autorizaciones para grabación de
imágenes de alumnos, o bien que las realice o utilice”.

El documento contiene una descripción de un procedimiento de recogida y control de
autorizaciones en los formularios de inscripción de la matrícula y de “formularios
inscripción en campamento y actividades para externos”.

El 29 de julio de 2024 la AEPD realiza un nuevo requerimiento de información en el
marco de las actuaciones previas de investigación, por el que solicita:

1. Consentimiento recabado de B.B.B. para el tratamiento de imágenes de su hija
durante los cursos (…).
2. Se solicita nuevamente de forma excepcional el Registro de Actividades
completo en los términos establecidos en el artículo 30.4 del RGPD, al haberse
enviado previamente parcialmente censurado “por contener datos de carácter
personal”.
3. Registro de salidas y devoluciones de cada uno de los dispositivos y soportes
(cámaras, tarjetas, DVDs, discos duros, etc) desde el (…).

Finalmente, en su escrito de 29/08/2024 de contestación a este último requerimiento,
el COLEGIO no aporta los formularios de matrícula de la hija del reclamante
correspondientes a los cursos (…), requeridos por esta Agencia. Al respecto, señala:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

16/41

“(…) Tal como indicamos en la solicitud de información anterior, la base
legitimadora del tratamiento de las imágenes contenidas en los sistemas,
propias de la función docente, se fundamenta en el artículo 6.1.e del RGPD,
dado que el tratamiento es necesario para el cumplimiento de una misión
realizada en interés público o en el ejercicio de poderes públicos conferidos al
responsable del tratamiento, por lo cual no sería necesario el consentimiento.
Tal como establece la normativa actual, estos datos se conservarán durante el
tiempo necesario para cumplir con la finalidad para la cual se recogieron y para
determinar las posibles responsabilidades que se pudieron derivar de esta
finalidad y del tratamiento de los datos, resultando aplicable lo dispuesto en la
normativa de archivos y documentación. En este sentido, la normativa de
referencia que se tiene en consideración para la determinación de los citados
plazos: la Ley Orgánica 2/2006, de 3 de mayo, de Educación, Real Decreto
217/2022, de 29 de marzo, por el que se establece la ordenación y las
enseñanzas mínimas de la Educación Secundaria Obligatoria. En el
documento de Registro de Actividades se otorga información detallada al
respecto.

Asimismo, para la gestión de imágenes destinadas a la promoción del centro,
tal como se ha remitido en la solicitud anterior, se otorgó el consentimiento a tal
efecto por el tutor de la menor.”

Sobre el registro de salidas y devoluciones de los dispositivos desde (…) hasta (…),
que se había requerido, afirma:

“Sobre la solicitud del registro de salidas y devoluciones de cada uno de los
dispositivos y soportes en el período señalado, debemos indicar que no existe
ninguna autorización que se haya otorgado para la salida y posterior
devolución al docente, es decir, no se ha producido ninguna autorización para
poder extraer dispositivos ni soportes en estos ejercicios.”

Adjunta de nuevo el RAT, sin anonimizar, en el que se indica la fecha 29/08/2024.

CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
COLEGIO es una empresa constituida en el año 1982, y con un volumen de negocios
de 11.181.007 euros en el año 2023.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Presidencia de la Agencia Española de
Protección de Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

17/41

II
Procedimiento

Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos”.

De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las
características de las presuntas infracciones cometidas, se inicia un procedimiento
sancionador.

El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en
consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el
artículo 64 de la LOPDGDD.

Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).

III
Cuestiones previas

El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.

Así, la imagen de una persona física es un dato personal.

El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto
de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya
sea por procedimientos automatizados o no, como la recogida, registro, organización,
estructuración, conservación, adaptación o modificación, extracción, consulta,
utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.”

El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable»
como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que,
solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la
Unión o de los Estados miembros determina los fines y medios del tratamiento, el
responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

18/41

4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la
persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos
personales por cuenta del responsable del tratamiento.

En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD,
consta la realización de un tratamiento de datos personales, toda vez que el COLEGIO
realiza, entre otros tratamientos, la realización de fotografías y grabaciones en vídeo
de sus alumnos, así como su conservación y, en su caso, su publicación.

El COLEGIO realiza esta actividad en su condición de responsable del tratamiento,
dado que es quien determina los fines y medios de tal actividad, en virtud del artículo
4.7 del RGPD.

IV
Obligación incumplida. Integridad y confidencialidad

La letra f) del artículo 5.1 del RGPD propugna:

"1. Los datos personales serán:
(…)
f) tratados de tal manera que se garantice una seguridad adecuada de los
datos personales, incluida la protección contra el tratamiento no autorizado o
ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación
de medidas técnicas u organizativas apropiadas («integridad y
confidencialidad»)."

En este sentido, los responsables han de garantizar la integridad y confidencialidad de
los datos personales objeto de tratamiento a través de medidas técnicas y
organizativas de todo tipo. El cumplimiento de dicho precepto se constataría, por lo
tanto, mediante la adopción y cumplimiento de medidas técnicas y organizativas de
todo tipo cuyo objetivo sea garantizar la confidencialidad y la integridad de los datos
personales objeto de tratamiento y, por otra parte, mediante la ausencia de situaciones
de pérdida de confidencialidad o integridad de los datos personales tratados. Su
incumplimiento, por el contrario, devendría de la ausencia de medidas o
incumplimiento de las adoptadas y de una pérdida de confidencialidad de los datos
objeto de tratamiento.

En definitiva, con arreglo al artículo 5.1.f) RGPD transcrito, el responsable de todo
tratamiento de datos personales está obligado a garantizar una seguridad adecuada
de los datos a través de medidas técnicas, organizativas de todo tipo, que comprende
su protección contra el tratamiento no autorizado o ilícito y, por consiguiente, implica la
inexistencia de filtraciones o brechas de confidencialidad.

El considerando 39 del RGPD así lo confirma cuando dice: “Los datos personales
deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas
de los datos personales, inclusive para impedir el acceso o uso no autorizados de
dichos datos y del equipo utilizado en el tratamiento.”

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

19/41

Por su parte, la Sentencia del Tribunal Constitucional (STC) 292/2000 con ocasión de
analizar el contenido del derecho fundamental a la protección de datos personales,
dice en su Fundamento de Derecho 7:

“[…] resulta que el contenido del derecho fundamental a la protección de datos
consiste en un poder de disposición y de control sobre los datos personales
que faculta a la persona para decidir cuáles de esos datos proporcionar a un
tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y
que también permite al individuo saber quién posee esos datos personales y
para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de
disposición y control sobre los datos personales, que constituyen parte del
contenido del derecho fundamental a la protección de datos se concretan
jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a
los datos personales, su posterior almacenamiento y tratamiento, así como su
uso o usos posibles, por un tercero, sea el Estado o un particular.” (El
subrayado es nuestro)

En el presente caso, de las evidencias que constan en el expediente se deduce que se
habría producido una brecha de datos personales en la medida en que, al menos un
tercero no autorizado habría accedido a las imágenes de menores, incluidos los de la
parte reclamante, contenidas en un dispositivo de grabaciones audiovisuales. En
concreto, un dispositivo que contenía estas imágenes habría sido extraviado y
encontrado en el interior de una mochila por un viandante en una carretera, quien, tras
su visualización, y a la vista de su contenido, habría acudido a la Guardia Civil para
entregarlo.

A este respecto, se señala, que el COLEGIO en contestación a los requerimientos de
información efectuados por la AEPD sobre las causas que motivaron la salida de las
grabaciones del centro y, en concreto, las causas que hubieran podido concurrir para
que las imágenes de los menores salieran de la custodia del centro y se encontraran
en una mochila en una carretera, ha asegurado, en sus respuestas de 27 de febrero,
12 de julio de 2024 que “la entidad dispone del control de las mismas [las
grabaciones]”.

Además, en su respuesta de 27 de febrero enumera una serie de medidas con las que
asegura contar: formaciones y sesiones de concienciación al profesorado en materia
de datos personales, la existencia de medidas de seguridad conforme al artículo 32 y
25 del RGPD, así como lo recogido en el RAT.

En relación con lo anterior, se remarca que las formaciones son posteriores a que se
conociera la brecha de seguridad y se iniciara la investigación de la Guardia Civil y el
procedimiento judicial, por lo que no queda acreditado que el COLEGIO contara con
estas medidas formativas en el momento en que se produjeron los hechos en que se
basa la reclamación.

Por otra parte, examinado el RAT se observa que en este se indica que “la salida de
soportes y documentos que contengan datos de carácter personal, incluidos los
comprendidos y/o anejos a un correo electrónico, fuera de los locales bajo el control
del Responsable del Tratamiento deberá ser autorizada por el Responsable del

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

20/41

Tratamiento o encontrarse debidamente autorizada en el Registro de Actividades de
Tratamiento.”

En su contestación de 12 de julio de 2024 insiste en que “el colegio ha mantenido el
control de las grabaciones y datos contenidos en los dispositivos, con la oportuna
limitación de extracción de dispositivos bajo autorización otorgada al responsable de
estas gestiones en el Colegio, D. A.A.A. (…) En el documento de autorización, el
Colegio mantiene el control de la información y datos contenidos en los dispositivos,
dado que se requiere del registro de salidas y devoluciones de los mismos”.

Se señala que la autorización a la que se hace referencia, y que consta en el
expediente, data de 2018 y en ella no se indica ni la finalidad o motivos para los que
se autoriza a su titular, ni se establece una limitación temporal de sus efectos (se
concede hasta nueva orden), ni precisión sobre el contenido de la documentación o las
características de la misma.

Además, si bien en la propia autorización se indica que deberá registrarse la salida y la
devolución de los dispositivos, requerido el COLEGIO para que aporte documentación
sobre el registro de las salidas y devoluciones de dispositivos entre (…), el COLEGIO,
en contradicción con lo anteriormente señalado asegura que “no existe ninguna
autorización que se haya otorgado para la salida y posterior devolución al docente, es
decir, no se ha producido ninguna autorización para poder extraer dispositivos ni
soportes en estos ejercicios.” Se subraya, no obstante, que la autorización concedida
en el año 2018 establecía que esta perduraría en tanto que no fuera revocada. En
consecuencia, el COLEGIO no ha acreditado que contara con un sistema de registro
de entradas y salidas de dispositivos, como asegura, que le permitiera conocer en todo
momento qué dispositivos habían sido extraídos del centro, su contenido, la persona
que habría realizado la extracción o la ubicación de estos.

No debe olvidarse que la salida de dispositivos que contienen grabaciones
audiovisuales con imágenes de menores implica la salida de datos personales del
centro, por lo que este hecho implicaba un riesgo que exige la adopción de medidas
por el responsable en cuanto a su custodia, posible extravío y utilización para fines no
autorizados. Por ello, no cabe entender que una autorización realizada sin ninguna
limitación pueda considerarse una medida que asegure la protección de los datos
personales contra la pérdida y tratamiento no autorizado de los datos, en los términos
exigidos por el artículo 5.1 f).

Al contrario, la autorización que consta en el expediente por la que se permite la salida
del centro de cualquier dispositivo o documento, conteniendo cualquier tipo de dato,
por tiempo ilimitado, sin indicar la finalidad ni mencionar ninguna medida de seguridad
a adoptar, no puede considerarse una acreditación de que el COLEGIO contara con
medidas de seguridad y mantuviera un control sobre los datos personales de los
menores afectados. Al contrario, evidenciaría una falta de diligencia en el control de las
imágenes de los alumnos, así como una ausencia de las medidas exigidas por el
artículo 5.1 f) lo que facilitó que la brecha de datos personales derivada de que un
viandante (tercero no autorizado) accediera las imágenes, tuviera lugar.

Por último, debe remarcarse que el artículo 5.2 del RGPD establece que el
responsable de un tratamiento no solo es responsable de garantizar lo dispuesto en el
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

21/41

apartado 5.1 (entre otros principios, una seguridad adecuada de los datos personales),
sino también “capaz de demostrarlo <<responsabilidad proactiva>>”.

Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de acuerdo de inicio de procedimiento sancionador, se considera que los hechos
conocidos podrían ser constitutivos de una infracción, imputable al COLEGIO, por
vulneración del artículo 5.1 f) transcrito anteriormente.

V
Tipificación de la infracción del artículo 5.1.f) del RGPD y calificación a efectos de
prescripción

El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del
artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas
administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 4 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:

"a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;"

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:

“Constituyen infracciones los actos y conductas a las que se refieren los
apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las
que resulten contrarias a la presente ley orgánica”.

A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD
establece lo siguiente:

"En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679
se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y,
en particular, las siguientes:
b) El tratamiento de datos personales sin que concurra alguna de las
condiciones de licitud del tratamiento establecidas en el artículo 6 del
Reglamento (UE) 2016/679."

VI
Propuesta de sanción por incumplimiento del artículo 5.1 f) del RGPD.

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del
presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso
individual efectivas, proporcionadas y disuasorias.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

22/41

2. Las multas administrativas se impondrán, en función de las circunstancias
de cada caso individual, a título adicional o sustitutivo de las medidas
contempladas en el artículo 58, apartado 2, letras a) a h) y j). Al decidir la
imposición de una multa administrativa y su cuantía en cada caso individual se
tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento
para paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del
tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan
aplicado en virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner
remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso,
en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos
de certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción”.

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del
Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de
graduación establecidos en el apartado 2 del citado artículo.

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE)
2016/679 también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos
de datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión
de la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

23/41

g) Disponer, cuando no fuere obligatorio, de un delegado de protección de
datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado”.

En el presente caso, considerando la gravedad de la posible infracción, atendiendo
especialmente a las consecuencias que su comisión provoca en los afectados,
correspondería la imposición de multa, además de la adopción de medidas, si
procede.

La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar
estos principios, se considera, con carácter previo, el volumen de negocio del
COLEGIO era de 11.181.007 euros en el año 2023, de acuerdo con el informe
recogido de la herramienta AXESOR que obra en el expediente.

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone en el presente momento de
acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que procede graduar la sanción a imponer de acuerdo con
las circunstancias siguientes, contempladas en los preceptos antes citados.

Con carácter previo, se estima que concurren las circunstancias siguientes:

- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta
la naturaleza, alcance o propósito de la operación de tratamiento de que se
trate, así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD). En el presente
caso se considera que la infracción tiene un carácter grave. En primer lugar,
porque afecta a una pluralidad de alumnos menores de edad, sin perjuicio de
que el procedimiento se haya iniciado como consecuencia de una única
reclamación. Así, en palabras de la Guardia Civil se habla de una “(…)”. En
segundo lugar, porque los hechos suponen una pérdida de control sobre los
datos personales de los afectados, siendo este uno de los elementos
esenciales del RGPD. Por último, se subraya que algunas de las imágenes
encontradas mostraban, de acuerdo con el atestado de la Guardia Civil, a
menores de edad con escasa ropa, lo que afecta de manera directa a la
dignidad de estos menores y hace que algunas de las imágenes tengan la
consideración de especialmente sensibles.

Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:

24/41

tratamientos de datos de carácter personal de un elevado número de
interesados (principalmente menores de edad) imprescindible para el desarrollo
de su actividad. La función educativa, que es su actividad principal, implica
necesariamente operaciones de tratamiento de datos personales, para la
matriculación de los alumnos o la evaluación de exámenes, entre otros. Así,
los hechos se producen en el marco de un tratamiento de datos personales que
habitualmente realiza la parte denunciada en el ejercicio de su actividad
principal y ligada a esta.

- La afectación a los derechos de los menores (artículo 76.2, letra f), de la LOPDGDD),
teniendo en cuenta que el objeto de la infracción tiene que ver con el tratamiento de
imágenes de menores.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 5.1 f) del RGPD, permite fijar inicialmente una sanción de multa administrativa
de 15.000,00 euros.

VII
Obligación incumplida. Artículo 6 del RGPD. Licitud del tratamiento

El primer apartado del artículo 6 del RGPD establece lo siguiente:

"1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos
personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal
aplicable al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o
de otra persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable
del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos
perseguidos por el responsable del tratamiento o por un tercero, siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del interesado que requieran la protección de datos personales,
en particular cuando el interesado sea un niño.

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al
tratamiento realizado por las autoridades públicas en el ejercicio de sus
funciones."

De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen
otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con
la autorización de su titular, en particular, cuando sea necesario para la ejecución de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

25/41

un contrato en el que el afectado es parte o para la aplicación, a petición de este, de
medidas precontractuales, o cuando sea necesario para la satisfacción de intereses
legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del afectado que requieran la protección de tales datos. El tratamiento
también se considera lícito cuando sea necesario para el cumplimiento de una
obligación legal aplicable al responsable del tratamiento, para proteger intereses
vitales del afectado o de otra persona física o para el cumplimiento de una misión
realizada en interés público o en el ejercicio de poderes públicos conferidos al
responsable del tratamiento.

Por su parte, el artículo 7 del RGPD determina que:

“1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable
deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos
personales.

2. Si el consentimiento del interesado se da en el contexto de una declaración escrita
que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de
tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de
fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte
de la declaración que constituya infracción del presente Reglamento (…)”.

En relación con el consentimiento, el considerando 32 del RGPD establece que: “El
consentimiento debe darse mediante un acto afirmativo claro que refleje una
manifestación de voluntad libre, específica, informada, e inequívoca del interesado de
aceptar el tratamiento de datos de carácter personal que le conciernen, como una
declaración por escrito, inclusive por medios electrónicos, o una declaración verbal.
Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros
técnicos para la utilización de servicios de la sociedad de la información, o cualquier
otra declaración o conducta que indique claramente en este contexto que el interesado
acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las
casillas ya marcadas o la inacción no deben constituir consentimiento. El
consentimiento debe darse para todas las actividades de tratamiento realizadas con el
mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el
consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a
raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no
perturbar innecesariamente el uso del servicio para el que se presta.”

A su vez, el artículo 4 del RGPD, relativo a definiciones, establece en el apartado 11:

“11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica,
informada e inequívoca por la que el interesado acepta, ya sea mediante una
declaración o una clara acción afirmativa, el tratamiento de datos personales que le
conciernen;”

Por otra parte, el artículo 24 del RGPD desarrolla el principio de responsabilidad
proactiva del responsable del tratamiento, exigiendo que su actuación no solo sea
conforme al RGPD sino que, además, sea capaz de demostrarlo:

“Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del
tratamiento, así como los riesgos de diversa probabilidad y gravedad para los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

26/41

derechos y libertades de las personas físicas, el responsable del tratamiento
aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y
poder demostrar que el tratamiento es conforme con el presente Reglamento.
Dichas medidas se revisarán y actualizarán cuando sea necesario”.

En definitiva, el tratamiento de datos personales requiere la existencia de una base
legal que lo legitime. La elección de la base más adecuada del tratamiento, en caso de
existir varias, corresponde al responsable, igual que compete a este acreditar que el
tratamiento se realiza conforme a una base de legitimación.

En el presente caso, el COLEGIO en su respuesta a la AEPD de 27 de febrero de
2024 señalaba el consentimiento como base de legitimación para la grabación de
imágenes de los alumnos. Así, determinaba: “con relación al procedimiento de
obtención del consentimiento expreso de los padres o tutores legales de los menores
sobre el tratamiento de datos derivado de la grabación, debemos indicar que se lleva a
cabo en el momento de matriculación del alumno”. A estos efectos, aportaba un
documento en blanco denominado “Registro y reserva de plaza” en el que figuraba el
siguiente texto precedido por dos casillas en blanco antes del SÍ y del NO:

“SÍ Autorizo al "Colegio Virgen de Europa S.L." para que realice fotos y/o grabaciones
audiovisuales de mi hijo/a, en el desarrollo de las actividades programadas por el
mismo, con la única finalidad de incluirlas en la página Web y/o Anuarios del Centro,
folletos y/o soportes varios publicitarios, y su posible difusión por cualquier otro medio
de comunicación del Centro, incluido redes sociales, con el único fin de dar a conocer
y promocionar las actividades del Centro, así como pasar dichas imágenes a formar
parte del archivo del colegio. Dichas imágenes serán tratadas por ésta de acuerdo con
la Legislación vigente en materia de Protección de Datos de Carácter Personal. No
obstante, dicha autorización será revocable en cualquier momento.

NO autorizo el tratamiento de dichas imágenes”

En su escrito de 29 de agosto de 2024 el COLEGIO, ante la solicitud de esta Agencia
de que aportara el consentimiento expreso del progenitor de la menor para la
grabación de las imágenes de esta, el COLEGIO señala: “la base legitimadora del
tratamiento de las imágenes contenidas en los sistemas, propias de la función
docente, se fundamenta en el artículo 6.1.e del RGPD, dado que el tratamiento es
necesario para el cumplimiento de una misión realizada en interés público o en el
ejercicio de poderes públicos conferidos al responsable del tratamiento, por lo cual no
sería necesario el consentimiento”. Añadido a lo anterior, insiste, sin embargo, en que
“para la gestión de imágenes destinadas a la promoción del centro (…), se otorgó el
consentimiento a tal efecto por el tutor de la menor”.

En definitiva, el colegio insiste en que contaba con el consentimiento de los
progenitores de la menor para realizar el tratamiento, siendo esta la base de
legitimación aplicable al caso y que este se recaba durante el proceso de matriculación
y se actualiza cada año.

A este respecto conviene señalar que el COLEGIO ha remitido los documentos con
título “Registro y reserva de plaza” de la menor afectada, con firma del padre y la
madre, correspondientes a los cursos 2012/2013, 2013/2014 y 2015/2016.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

27/41

No obstante, el COLEGIO no ha acreditado, a pesar de los reiterados requerimientos
efectuados por esta Agencia, las matrículas, con los correspondientes consentimientos
de los cursos académicos 2014/2015; 2016/2017; 2018/2019; 2019/2020; 2020/2021,
2021/2022 o 2022/2023, lo que supone que el consentimiento no ha sido demostrado
por el responsable.

En definitiva, en este caso concreto no se aprecia la existencia de base legal que
ampare el tratamiento datos personales de la menor mediante la captación de
imágenes con equipos de grabación en los términos anteriormente señalados.

VIII
Tipificación de la infracción del artículo 6.1 del RGPD y calificación a efectos de
prescripción

"a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9;"

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:

A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD
establece lo siguiente:

IX
Propuesta de sanción por incumplimiento del artículo 6 del RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

28/41

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, así como el artículo 76.2 de la
LOPDGDGG, reproducidos anteriormente.

Con carácter previo, se estima que concurren las circunstancias siguientes:

Por último, se señala que la falta de acreditación de la existencia de una base
de legitimación para efectuar el tratamiento supone una violación del principio
de responsabilidad proactiva prevista en el artículo 5.2 del RGPD, principio
esencial de la normativa de protección de datos

Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:

- Toda infracción anterior cometida por el responsable o el encargado del
tratamiento (artículo 83.2, letra e), del RGPD), ya que existe una sanción
anterior impuesta al COLEGIO por esta Agencia, con fecha de resolución
07/07/2023, en el seno expediente Nº: EXP202209078, por infracción del
artículo 6.1 del RGPD.

29/41

datos de carácter personal de un elevado número de interesados
(principalmente menores de edad) imprescindible para el desarrollo de su
actividad. La función educativa, que es su actividad principal, implica
necesariamente operaciones de tratamiento de datos personales, para la
matriculación de los alumnos o la evaluación de exámenes, entre otros. Así,
los hechos se producen en el marco de un tratamiento de datos personales que
habitualmente realiza la parte denunciada en el ejercicio de su actividad
principal y ligada a esta.

- La afectación a los derechos de los menores (artículo 76.2, letra f), de la
LOPDGDD), teniendo en cuenta que el objeto de la infracción tiene que ver con
el tratamiento de imágenes de menores.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 6.1 del RGPD, permite fijar inicialmente una sanción de multa administrativa
de 20.000 euros.

X
Obligación incumplida. Infracción del artículo 13 del RGPD

El artículo 13 del RGPD establece lo siguiente:

“Artículo 13. Información que deberá facilitarse cuando los datos personales se
obtengan del interesado

1. Cuando se obtengan de un interesado datos personales relativos a él, el
responsable del tratamiento, en el momento en que estos se obtengan, le
facilitará toda la información indicada a continuación:

a) la identidad y los datos de contacto del responsable y, en su caso, de su
representante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales y la base
jurídica del tratamiento;
d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los
intereses legítimos del responsable o de un tercero;
e) los destinatarios o las categorías de destinatarios de los datos personales,
en su caso;
f) en su caso, la intención del responsable de transferir datos personales a un
tercer país u organización internacional y la existencia o ausencia de una
decisión de adecuación de la Comisión, o, en el caso de las transferencias
indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo,
referencia a las garantías adecuadas o apropiadas y a los medios para obtener
una copia de estas o al hecho de que se hayan prestado.

2. Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado, en el momento en que se obtengan los

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

30/41

datos personales, la siguiente información necesaria para garantizar un
tratamiento de datos leal y transparente:

a) el plazo durante el cual se conservarán los datos personales o, cuando no
sea posible, los criterios utilizados para determinar este plazo;
b) la existencia del derecho a solicitar al responsable del tratamiento el acceso
a los datos personales relativos al interesado, y su rectificación o supresión, o
la limitación de su tratamiento, o a oponerse al tratamiento, así como el
derecho a la portabilidad de los datos;
c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el
artículo 9, apartado 2, letra a), la existencia del derecho a retirar el
consentimiento en cualquier momento, sin que ello afecte a la licitud del
tratamiento basado en el consentimiento previo a su retirada;
d) el derecho a presentar una reclamación ante una autoridad de control;
e) si la comunicación de datos personales es un requisito legal o contractual, o
un requisito necesario para suscribir un contrato, y si el interesado está
obligado a facilitar los datos personales y está informado de las posibles
consecuencias de que no facilitar tales datos;
f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a
que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos,
información significativa sobre la lógica aplicada, así como la importancia y las
consecuencias previstas de dicho tratamiento para el interesado.

3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de
datos personales para un fin que no sea aquel para el que se recogieron,
proporcionará al interesado, con anterioridad a dicho tratamiento ulterior,
información sobre ese otro fin y cualquier información adicional pertinente a
tenor del apartado 2.

4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en
la medida en que el interesado ya disponga de la información.”

Este precepto, determina en sus apartados 1 y 2 la información que el responsable del
tratamiento deberá ofrecer en el momento de la recogida de los datos. No obstante, la
previsión del artículo 13, apartados 1 y 2, hay que ponerla en relación con el artículo
13.4 que dispensa de la obligación a la que se refieren ambas disposiciones “cuando y
en la medida en que el interesado ya disponga de la información.”

Los considerandos del RGPD reiteran la misma idea. Así, el considerando 61 indica
que “Se debe facilitar a los interesados la información sobre el tratamiento de sus
datos personales en el momento en que se obtengan de ellos o, si se obtienen de otra
fuente, en un plazo razonable, dependiendo de las circunstancias del caso(...)” Y el
considerando 62 dice que “Sin embargo, no es necesario imponer la obligación de
proporcionar información cuando el interesado ya posea la información, (...)”

En todo caso debe tenerse en cuenta que conforme al considerando 60 incumbe al
responsable la obligación de “facilitar al interesado cuanta información
complementaria sea necesaria para garantizar un tratamiento leal y transparente,
habida cuenta de las circunstancias y del contexto específicos en que se traten los
datos personales”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

31/41

El responsable del tratamiento debe facilitar al interesado cuanta información sea
necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las
circunstancias y del contexto específicos en el que se traten los datos personales.

El considerando 39 del RGPD afirma que: “El principio de transparencia exige que
toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente
accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho
principio se refiere en particular a la información de los interesados sobre la identidad
del responsable del tratamiento y los fines del mismo y a la información añadida para
garantizar un tratamiento leal y transparente con respecto a las personas físicas
afectadas y a su derecho a obtener confirmación y comunicación de los datos
personales que les conciernan que sean objeto de tratamiento. Las personas físicas
deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos
relativos al tratamiento de datos personales, así como del modo de hacer valer sus
derechos en relación con el tratamiento. En particular, los fines específicos del
tratamiento de los datos personales deben ser explícitos y legítimos, y deben
determinarse en el momento de su recogida (…)”

Por ello, se debe facilitar a los interesados la información sobre el tratamiento de sus
datos personales en el momento en que se obtengan de ellos. Cuando se obtengan
del interesado datos personales relativos a él, el responsable del tratamiento, en el
momento en que estos se obtengan, debe facilitarle toda la información sobre el
tratamiento de sus datos tal como se indica en el artículo 13 del RGPD.

Por otra parte, conviene resaltar que la obligación de informar recogida en el artículo
13 del RGPD ha de entenderse en el marco de los derechos de los interesados en
relación con la transparencia, principio que debe regir el tratamiento de los datos
conforme al artículo 5.1 a) del RGPD. En este sentido, el artículo 12.1 del RGPD
determina que:

“El responsable del tratamiento tomará las medidas oportunas para facilitar al
interesado toda información indicada en los artículos 13 y 14 (…) en forma
concisa, transparente, inteligible y de fácil acceso con un lenguaje claro y
sencillo (…)”.

A este respecto, resulta esencial hacer referencia al considerando 39 del RGPD, que
establece que:

“(39) Todo tratamiento de datos personales debe ser lícito y leal. Para las
personas físicas debe quedar totalmente claro que se están recogiendo,
utilizando, consultando o tratando de otra manera datos personales que les
conciernen, así como la medida en que dichos datos son o serán tratados. El
principio de transparencia exige que toda información y comunicación relativa
al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y
que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en
particular a la información de los interesados sobre la identidad del
responsable del tratamiento y los fines del mismo y a la información añadida
para garantizar un tratamiento leal y transparente con respecto a las personas
físicas afectadas y a su derecho a obtener confirmación y comunicación de los
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

32/41

datos personales que les conciernan que sean objeto de tratamiento. Las
personas físicas deben tener conocimiento de los riesgos, las normas, las
salvaguardias y los derechos relativos al tratamiento de datos personales así
como del modo de hacer valer sus derechos en relación con el tratamiento. En
particular, los fines específicos del tratamiento de los datos personales deben
ser explícitos y legítimos, y deben determinarse en el momento de su recogida.
Los datos personales deben ser adecuados, pertinentes y limitados a lo
necesario para los fines para los que sean tratados. Ello requiere, en particular,
garantizar que se limite a un mínimo estricto su plazo de conservación. Los
datos personales solo deben tratarse si la finalidad del tratamiento no pudiera
lograrse razonablemente por otros medios. Para garantizar que los datos
personales no se conservan más tiempo del necesario, el responsable del
tratamiento ha de establecer plazos para su supresión o revisión periódica.
Deben tomarse todas las medidas razonables para garantizar que se
rectifiquen o supriman los datos personales que sean inexactos. Los datos
personales deben tratarse de un modo que garantice una seguridad y
confidencialidad adecuadas de los datos personales, inclusive para impedir el
acceso o uso no autorizados de dichos datos y del equipo utilizado en el
tratamiento”.

En el presente caso, de acuerdo con la respuesta facilitada por el COLEGIO el 27 de
febrero de 2024 el deber de información previsto en el artículo 13 del RGPD se cumple
mediante la información contenida en la matrícula, así como mediante la información
facilitada relativa a Classroom, las diferentes comunicaciones realizadas a través de
correo electrónico, y lo contenido en la página web corporativa del centro.

No obstante, tal y como se ha señalado en los antecedentes de hecho, ni el aviso
relativo a Classroom, ni la supuesta información facilitada al pie de los correos
electrónicos hacen referencia a la obtención de imágenes de personas físicas
mediante grabaciones audiovisuales.

En cuanto a la información contenida en el formulario de matrícula o inscripción de los
alumnos figura en el modelo actualizado, como ya se ha señalado, lo siguiente:

“□ SÍ Autorizo al "Colegio Virgen de Europa S.L." para que realice fotos y/o gra-
baciones audiovisuales de mi hijo/a, en el desarrollo de las actividades progra-
madas por el mismo, con la única finalidad de incluirlas en la página Web y/o
Anuarios del Centro, folletos y/o soportes varios publicitarios, y su posible difu-
sión por cualquier otro medio de comunicación del Centro, incluido redes socia-
les, con el único fin de dar a conocer y promocionar las actividades del Centro,
así como pasar dichas imágenes a formar parte del archivo del colegio.
Dichas imágenes serán tratadas por ésta de acuerdo con la Legislación vigente
en materia de Protección de Datos de Carácter Personal. No obstante, dicha
autorización será revocable en cualquier momento.
□ NO autorizo el tratamiento de dichas imágenes.

Puede ejercitar gratuitamente los derechos de acceso, rectificación, cancela-
ción, oposición, portabilidad y limitación del tratamiento, dirigiéndose por
escrito a "Colegio Virgen de Europa S.L.", C/ ***DIRECCIÓN.1, o bien
mediante e-mail dirigido a (...).”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

33/41

En los formularios de inscripción de la menor afectada el texto es el siguiente:

“Autorizo al “Colegio Virgen de Europa S.L.” para que realice fotos de mi hijo/a
en las instalaciones del Centro y en excursiones y actividades programadas
por el mismo, con la única finalidad de incluirlas en la página Web y/o Anuarios
del centro, folletos y/o soportes varios publicitarios.
Dichas imágenes serán tratadas por ésta de acuerdo con la Legislación vigente
en materia de protección de datos de carácter personal. No obstante, la autori-
zación será revocable en cualquier momento. Para ejercitar los Derechos de
acceso, impugnación, rectificación, cancelación u oposición de sus datos,
deberán dirigirse a “Colegio Virgen de Europa S.L.”, C/ ***DIRECCIÓN.1,
mediante comunicación por escrito.
En el caso de no autorizar el tratamiento de dichas imágenes con la finalidad
anteriormente descrita, marque con una cruz.
□ NO autorizo el tratamiento de dichas imágenes.”

En ninguno de los textos se menciona el plazo de conservación de los datos o los
criterios para determinar dicho plazo o la posibilidad de retirar el consentimiento en
cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el
consentimiento previo a la retirada. La ausencia del plazo de conservación es
especialmente relevante en el presente caso, teniendo en cuenta que imágenes
habrían sido almacenadas durante un amplio periodo de tiempo.

Tampoco consta una referencia a la posibilidad de presentar una reclamación ante una
autoridad de control o los destinatarios del tratamiento.

Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de acuerdo de inicio de procedimiento sancionador, se considera que los hechos
conocidos podrían ser constitutivos de una infracción, imputable a COLEGIO, por
vulneración del artículo 13 del RGPD transcrito anteriormente.

XI
Tipificación de la infracción del artículo 13 del RGPD y calificación a efectos de
prescripción

" b) los derechos de los interesados a tenor de los artículos 12 a 22;”

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

34/41

A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD
establece lo siguiente:

"En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679
se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y,
en particular, las siguientes:
h) La omisión del deber de informar al interesado acerca del tratamiento de sus
datos personales conforme a lo dispuesto en los artículos 13 y 14 del
Reglamento (UE) 2016/679 y 12 de esta ley orgánica (…)”

XII
Propuesta de sanción por incumplimiento del artículo 13 RGPD.

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD y artículo 76.2 de la LOPDGDD,
preceptos anteriormente reproducidos.

Con carácter previo, se estima que concurren las circunstancias siguientes:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

35/41

Por otra parte, se recalca la duración en el tiempo de la infracción, existente, al
menos, desde el año 2012, de acuerdo con uno de los formularios de matrícula
facilitados a la AEPD.

Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:

- La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales (artículo 83.2 k) del RGPD en conexión con el artículo 76.2,
letra b), de la LOPDGDD): el COLEGIO como consecuencia de su actividad en
tanto que centro escolar, realiza de forma habitual y continua tratamientos de
datos de carácter personal de un elevado número de interesados
(principalmente menores de edad) imprescindible para el desarrollo de su
actividad. La función educativa, que es su actividad principal, implica
necesariamente operaciones de tratamiento de datos personales, para la
matriculación de los alumnos o la evaluación de exámenes, entre otros. Así,
los hechos se producen en el marco de un tratamiento de datos personales que
habitualmente realiza la parte denunciada en el ejercicio de su actividad
principal y ligada a esta.

- La afectación a los derechos de los menores (artículo 76.2, letra f), de la
LOPDGDD), teniendo en cuenta que el objeto de la infracción tiene que ver con
el tratamiento de imágenes de menores.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 13 del RGPD, permite fijar inicialmente una sanción de multa administrativa de
5.000,00 euros.

XIII
Medidas correctivas

De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas
correctivas que la entidad infractora deberá adoptar para poner fin a los
incumplimientos de la legislación de protección de datos personales, en este caso de
los artículos 5.1 f), 6.1 y 30 del RGPD, de acuerdo con lo establecido en el citado
artículo 58.2.d) del RGPD, según el cual cada autoridad de control podrá “ordenar al
responsable o encargado del tratamiento que las operaciones de tratamiento se
ajusten a las disposiciones del presente Reglamento, cuando proceda, de una
determinada manera y dentro de un plazo especificado…”

Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la
normativa de protección de datos personales, con el alcance expresado en los
anteriores Fundamentos de Derecho.

En el presente acto se establece cuál es la presunta infracción cometida y los hechos
que podrían dar lugar a esa posible vulneración de la normativa de protección de
datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

36/41

de que el tipo de procedimientos, mecanismos o instrumentos concretos para
implementarlas corresponda a la parte sancionada, pues es el responsable del
tratamiento quien conoce plenamente su organización y ha de decidir, en base a la
responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la
LOPDGDD.

No obstante, en este caso, con independencia de lo anterior, de conformidad con las
evidencias de que se dispone en el presente momento de acuerdo de inicio de
procedimiento sancionador, en la resolución que se adopte se podrá requerir a
COLEGIO para que, en el plazo de tres meses, a contar desde la fecha de ejecutividad
de la resolución finalizadora de este procedimiento, adopte las medidas siguientes:

- Acreditar la aplicación efectiva de las medidas técnicas y organizativas
adecuadas conforme al artículo 5.1 f) del RGPD, destinadas a evitar, paliar y
mitigar el posible acceso por terceros no autorizados a datos personales de
alumnos.

- El cese del tratamiento correspondiente a la grabación de imágenes
audiovisuales de menores sin contar alguna de las bases de legitimación
exigidas por el artículo 6 del RGPD.

- Acreditar la puesta a disposición de la información exigida por el artículo 13 del
RGPD a los interesados.

La imposición de estas medidas es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el art. 83.2 del RGPD.

Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución del presente procedimiento sancionador podrá ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.

Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su
caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de
adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de
la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa
obligación.

Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia
Española de Protección de Datos,

SE ACUERDA:

PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a COLEGIO VIRGEN DE
EUROPA, S.L., con NIF B28773794, por las presuntas infracciones:

- Del artículo 5.1 f) del RGPD, tipificada en el artículo 83.5 a).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

37/41

- Del artículo 6.1 del RGPD, tipificada en el artículo 83.5 a).

- Del artículo 13 del RGPD, tipificada en el artículo 83.5 b).

SEGUNDO: NOMBRAR como instructor a C.C.C. y, como secretaria, a D.D.D.,
indicando que podrán ser recusados, en su caso, conforme a lo establecido en los
artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector
Público (LRJSP).

TERCERO: INCORPORAR al expediente, a efectos probatorios, la reclamación
interpuesta por la parte reclamante y su documentación, así como, así como los
documentos obtenidos y generados por la Subdirección General de Inspección de
Datos en las actuaciones previas al inicio del presente procedimiento sancionador.

CUARTO: QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la
sanción que pudieran corresponder sería de multa administrativa de un total de
CUARENTA MIL EUROS (40.000,00 EUROS), sin perjuicio de lo que resulte de la
instrucción, correspondiente a las siguientes infracciones:

- Por el incumplimiento del artículo 5.1 f) del RGPD, multa administrativa de
15.000,00 euros.

- Por el incumplimiento del artículo 6.1 del RGPD, multa administrativa de
20.000,00 euros.

- Por el incumplimiento del artículo 13 del RGPD, multa administrativa de
5.000,00 euros.

QUINTO: NOTIFICAR el presente acuerdo a COLEGIO VIRGEN DE EUROPA, S.L.,
con NIF B28773794, otorgándole un plazo de audiencia de diez días hábiles para que
formule las alegaciones y presente las pruebas que considere convenientes. En su
escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura
en el encabezamiento de este documento.

De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su
responsabilidad dentro del plazo otorgado para la formulación de alegaciones al
presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la
sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta
reducción, la sanción quedaría establecida en 32.000,00 euros, resolviéndose el
procedimiento con la imposición de esta sanción.

Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción,
la sanción quedaría establecida en 32.000,00 euros y su pago implicará la terminación
del procedimiento, sin perjuicio de la imposición de las medidas correspondientes.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

38/41

La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 24.000,00 euros.

En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.

En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente (32.000,00 euros o 24.000,00 euros), deberá hacerlo
efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000
(BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de
Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el
concepto el número de referencia del procedimiento que figura en el encabezamiento
de este documento y la causa de reducción del importe a la que se acoge.

Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección junto con la comunicación expresa del desistimiento o renuncia a cualquier
acción o recurso en vía administrativa contra la sanción para continuar con el
procedimiento en concordancia con la cantidad ingresada.

Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.

1479-130325
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

SEGUNDO: En fecha 17 de mayo de 2025, el COLEGIO ha procedido al pago de la
sanción en la cuantía de 24.000,00 euros haciendo uso de las dos reducciones
previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el
reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el
acuerdo de inicio y su calificación jurídica.

TERCERO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de
confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

39/41

tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.

Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de
las medidas incluidas en el acuerdo de inicio.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Terminación del procedimiento

El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:

“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.

2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.

3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

40/41

El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”

III
Pago voluntario y reconocimiento de responsabilidad

De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo
de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y
de realizar el pago voluntario de la sanción propuesta, lo que supondría dos
reducciones acumulables de un 20% cada una. Con la aplicación de estas dos
reducciones, la sanción quedaría establecida en 24.000,00 euros y su pago implicaría
la terminación del procedimiento, sin perjuicio de la imposición de las medidas
correspondientes.

Tras la notificación del citado acuerdo de inicio, el COLEGIO ha procedido al
reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose
a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85
LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento
o renuncia de cualquier acción o recurso en vía administrativa contra la sanción.

Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como
de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago
voluntario por el presunto responsable no exime a la administración de la obligación de
resolver y notificar todos los procedimientos, cualquiera que sea su forma de
iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución
que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones, la Presidencia de la Agencia Española de Protección de
Datos RESUELVE:

PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones
determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente
resolución.

La suma de las citadas cuantías arroja una cantidad total 40.000,00 euros.

Tras haber procedido COLEGIO VIRGEN DE EUROPA, S.L. al pronto pago y
reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP,
a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de
24.000,00 euros.

La efectividad de las citadas reducciones está condicionada, en todo caso, al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa.

SEGUNDO: DECLARAR la terminación del procedimiento EXP202315180, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

41/41

TERCERO: ORDENAR a COLEGIO VIRGEN DE EUROPA, S.L. para que en el plazo
de 3 meses desde que la presente resolución sea firme y ejecutiva, notifique a la
Agencia la adopción de las medidas que se describen en los fundamentos de derecho
del acuerdo de inicio transcrito en la presente resolución.

CUARTO: NOTIFICAR la presente resolución a COLEGIO VIRGEN DE EUROPA,
S.L..

QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la
reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento
o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución
será firme en vía administrativa y plenamente ejecutiva a partir de su notificación.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

No obstante, conforme a lo previsto en el artículo 90.3.a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.

1259-260325
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeaepd.gob.es

Öğrenci görüntülerinin izinsiz kaydı ve güvenliği

Türkçe özet

Hukuki mesele

Sonuç

Karar metni