1/7
Procedimiento Nº: PS/00405/2020
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: En fecha 31 de julio de 2019 tuvo entrada en esta Agencia escrito de
reclamación presentado por A.A.A. relativa a la difusión de imágenes de su hijo menor
de cuatro años, sin el consentimiento de los padres, por la Asociación Cultural
***ASOCIACIÓN.1, a la que el menor asistía para recibir clases de chino, en varios
grupos de Wechat (según manifiesta la reclamante, un servicio similar a WhatsApp
utilizado por la comunidad china).
Los motivos en que basa la reclamación son la difusión de imágenes de un menor de
cuatro años, sin el consentimiento de los padres, por la Asociación Cultural
***ASOCIACIÓN.1, a la que el menor asistía a clases de chino, en varios grupos de
WeChat (según manifiesta la reclamante, un servicio similar a WhatsApp utilizado por
la comunidad china).
La reclamante manifiesta que las imágenes, en las que parece que se oculta
parcialmente la cara del menor mediante la superposición de una pegatina digital, se
difundieron desde el número de teléfono de una profesora de la Asociación a los
grupos.
Acredita haberse dirigido a la Asociación para que eliminen esas publicaciones y pidan
disculpas en esos mismos foros, manifestando que han desatendido dichas peticiones.
Que según el denunciante tuvieron lugar a fecha de: 31 de mayo de 2019
Y, entre otra, anexa la siguiente documentación:
Diversas capturas de las fotos distribuidas mediante mensajería WeChat
Escrito dirigido a la asociación
La reclamante manifiesta que las imágenes, en las que se oculta parcialmente la cara
del menor mediante la superposición de un sticker, se habrían difundido desde el
número de teléfono de una profesora de la Asociación a los grupos denominados:
***GRUPO.1, ***GRUPO.2 o ***GRUPO.3 de dicha Asociación, todos ellos
compuestos por una media de cuatrocientas personas.
Asimismo, la reclamante acredita haberse dirigido a la Asociación para que eliminen
esas publicaciones y pidan disculpas en esos mismos foros, manifestando que han
desatendido dichas peticiones.
SEGUNDO: En fecha 3 de septiembre de 2019, tras analizarse la documentación que
obraba en el expediente, se dictó resolución por la Directora de la Agencia Española
de Protección de Datos, acordando el archivo de la reclamación, al no apreciarse
elementos que permitieran investigar una vulneración de los derechos reconocidos en
el ámbito competencial de la Agencia Española de Protección de Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/7
La resolución fue notificada a la afectada en fecha 6 de septiembre de 2019, según
aviso de recibo que figura en el expediente.
TERCERO: En fecha 4 de octubre de 2019 A.A.A. ha presentado recurso de
reposición -RR/00669/2019-, reiterando los argumentos expuestos en su escrito de
reclamación y añadiendo que las imágenes controvertidas se volvieron a publicar
desde el número de teléfono ***TELÉFONO.1, número de contacto de la Asociación,
junto con comentarios sobre el mal comportamiento del menor.
Asimismo, la reclamante señala que, a pesar de que la cara del menor se intenta
ocultar, continúa siendo identificable, sobre todo para el resto de padres que llevan a
sus hijos a la Asociación.
CUARTO: Con fecha de 19 de noviembre de 2019 se resuelve estimar el recurso de
reposición interpuesto por la reclamante contra la resolución de esta Agencia dictada
en fecha 3 de septiembre de 2019, y acordar la admisión a trámite de la reclamación
presentada contra la reclamada.
Se notifica al reclamante con fecha de 3 de diciembre de 2019 y se abre un nuevo
expediente con número de referencia E/08183/2020.
QUINTO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), con número de referencia E/08183/2020, se dio traslado de
dicha reclamación al reclamado, el día 3 de septiembre de 2020, para que procediese
a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones
llevadas a cabo para adecuarse a los requisitos previstos en la normativa de
protección de datos.
SEXTO: A la vista de los hechos denunciados en la reclamación y de los documentos
aportados por el reclamante, la Subdirección General de Inspección de Datos procedió
a la realización de actuaciones previas de investigación para el esclarecimiento de los
hechos en cuestión, en virtud de los poderes de investigación otorgados a las
autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento
General de Protección de Datos, en adelante RGPD), y de conformidad con lo
establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018,
de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos
digitales (en lo sucesivo LOPDGDD).
Como resultado de las actuaciones de investigación practicadas, se constatan los
siguientes extremos:
Realizado requerimiento de información sobre los hechos reclamados mediante
servicio postal certificado a la Asociación investigada, a la dirección facilitada
por la reclamante, con fecha de 26 de junio de 2020 resulta devuelta por
“Desconocido”.
Se comprueba en Google Maps que consta dicha Asociación en la referida
dirección postal.
La reclamante señala que la difusión se produjo, en primera instancia, el 31 de
mayo de 2019 a las 11:30 desde el número de teléfono ***TELÉFONO.2 que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/7
manifiesta pertenece a una profesora de la Asociación. Realizado
requerimiento sobre la titularidad de este número de teléfono a VODAFONE
ESPAÑA S.A.U., operadora de este número, con fecha de 6 de octubre de
2020 se recibe en esta Agencia, escrito de respuesta al requerimiento
manifestando que en la fecha que señala la reclamante el número de teléfono
no estaba asignado a ningún usuario. No aparece este número de teléfono en
los mensajes de WeChat aportados pero si unos caracteres en chino, en
sustitución del número de teléfono, que podrían corresponder al titular del
mismo que tuviera grabado en la agenda la reclamante.
La reclamante si aporta evidencias de una segunda difusión de vídeos desde
un segundo número de teléfono el 31 de mayo de 2019 a las 11:45 que se
corresponde con el número de contacto de la asociación. En las imágenes
aportadas correspondientes a fotogramas de un video del menor, el rostro del
menor está totalmente tapado por una pegatina digital excepto en una de ellas
que se encuentra parcialmente tapado y en el que se puede identificar
claramente al menor.
Se comprueba, por las capturas de pantalla de los mensajes, que esta difusión
se produjo a grupos que contenían entre 400 y 500 seguidores.
Con fecha de 26 de octubre de 2020 se reitera la solicitud de información sobre
los hechos denunciados a la Asociación investigada resultando devuelta por
destinatario desconocido el 29 de octubre de 2020.
Solicitado el número de identificación fiscal de la Asociación Cultural
***ASOCIACIÓN.1 a la AGENCIA TRIBUTARIA SERVICIO DE
PLANIFICACION Y RELACIONES INSTITUCIONALES, con fecha de 28 de
octubre, se recibe en esta Agencia la información solicitada.
SEPTIMO: Con fecha 12 de enero de 2021, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la
presunta infracción del artículo 6.1.a) del RGPD, tipificada en el artículo 83.5 del
RGPD.
OCTAVO: El acuerdo de inicio del presente procedimiento sancionador fue notificado
al reclamado el 26 de enero de 2021, pero éste no ha emitido alegación alguna en el
plazo dado para ello.
A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos
en el presente procedimiento se consideran hechos probados los siguientes,
HECHOS
PRIMERO: La difusión de imágenes de un menor de cuatro años, sin el
consentimiento de los padres, por la Asociación Cultural ***ASOCIACIÓN.1, a la que
el menor asistía a clases de chino.
SEGUNDO: En fecha 3 de septiembre de 2019, se acordó el archivo de la
reclamación, al no apreciarse elementos que permitieran investigar una vulneración de
los derechos reconocidos en el ámbito competencial de la Agencia Española de
Protección de Datos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/7
No obstante, el 19 de noviembre de 2019 se resuelve estimar el recurso de reposición
interpuesto por la reclamante el 4 de octubre de 2019 reiterando los argumentos
expuestos en su escrito de reclamación y añadiendo que las imágenes controvertidas
se volvieron a publicar desde el número de teléfono ***TELÉFONO.1, número de
contacto de la Asociación, y se abre un nuevo expediente con número de referencia
E/08183/2020.
TERCERO: Con fecha 26 de enero de 2021 se notifica el acuerdo de inicio de este
procedimiento, convirtiéndose el mismo en propuesta de resolución de conformidad
con los artículos 64.2.f) y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento
Administrativo Común de las Administraciones Públicas (LPACAP), al no efectuar el
reclamado alegaciones en el plazo indicado.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora
de la Agencia Española de Protección de Datos es competente para iniciar y para
resolver este procedimiento.
II
El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el
tratamiento de datos personales, en concreto en su apartado 1.a) se indica que se
entenderá lícito el tratamiento de los datos personales si este dio su consentimiento.
En este sentido, y en aplicación al presente caso, donde se trata el derecho a la
protección de la imagen de los menores, señalar que el artículo 8 del RGPD regula las
condiciones aplicables al consentimiento del niño en relación con los servicios de la
sociedad de la información, indicando que:
“1- Cuando se aplique el artículo 6, apartado 1, letra a), en relación con la oferta
directa a niños de servicios de la sociedad de la información, el tratamiento de los
datos personales de un niño se considerará lícito cuando tenga como mínimo 16 años.
Si el niño es menor de 16 años, tal tratamiento únicamente se considerará lícito si el
consentimiento lo dio o autorizó el titular de la patria potestad o tutela sobre el niño, y
solo en la medida en que se dio o autorizó.
Los Estados miembros podrán establecer por ley una edad inferior a tales fines,
siempre que esta no sea inferior a 13 años.
2. El responsable del tratamiento hará esfuerzos razonables para verificar en tales
casos que el consentimiento fue dado o autorizado por el titular de la patria potestad o
tutela sobre el niño, teniendo en cuenta la tecnología disponible.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/7
3. El apartado 1 no afectará a las disposiciones generales del Derecho contractual de
los Estados miembros, como las normas relativas a la validez, formación o efectos de
los contratos en relación con un niño.”
Por lo tanto, para que sea lícito el tratamiento de los datos personales de los menores
objeto de este caso, se requerirá el consentimiento de quien ostenta su patria potestad
o tutela.
III
En el presente caso, la reclamación se centra en el uso no autorizado de la imagen del
hijo menor de edad del reclamante, sin la legitimación legal exigida al efecto.
Señalar que no serían de aplicación las excepciones del artículo 2 del RGPD, entre las
que se contempla el uso doméstico de los datos personales ya que la imagen objeto
de la presente reclamación ha sido enviada a más de 400 personas, todas ellas
miembros de la asociación denunciada.
De conformidad con los hechos denunciados, nos encontramos ante una infracción,
imputable al reclamado, por el tratamiento de datos personales, regulado en el art. 6.1
a) del RGPD, en relación con el artículo 8.1 del RGPD al tratar la imagen de un menor,
sin el consentimiento de quien ostenta su patria potestad.
IV
En virtud de lo establecido en el artículo 58.2 del RGPD, la Agencia Española de
Protección de Datos, en cuanto autoridad de control, dispone de un conjunto de
poderes correctivos en el caso de que concurra una infracción a los preceptos del
RGPD.
El artículo 58.2 del RGPD dispone lo siguiente:
“2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos
indicados a continuación:
(…)
b) sancionar a todo responsable o encargado del tratamiento con apercibimiento
cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente
Reglamento;”
(...)
“d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado;”
“i) imponer una multa administrativa con arreglo al artículo 83, además o en lugar de
las medidas mencionadas en el presente apartado, según las circunstancias de cada
caso particular;”
El artículo 72.1.b) de la LOPDGDD señala que “en función de lo que establece el
artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/7
a los tres años las infracciones que supongan una vulneración sustancial de los
artículos mencionados en aquel y, en particular, las siguientes:
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.
V
Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por la
de mayor cuantía, de acuerdo con el artículo 83.5 del RGPD.
Asimismo, se considera que procede graduar la sanción a imponer de acuerdo con los
siguientes criterios que establece el artículo 83.2 del RGPD:
Como agravantes los siguientes:
En el presente caso estamos ante acción negligente no intencional, pero
significativa (artículo 83.2 b)
Se encuentran afectados identificadores personales básicos, en este caso la
imagen del menor, según el artículo 83.2 g).
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a ASOCIACIÓN CULTURAL ***ASOCIACIÓN.1, con NIF
G98925795, por una infracción del artículo 6.1.a) del RGPD, tipificada en el artículo
83.5 del RGPD, una multa de 3.000 euros (tres mil euros).
SEGUNDO: NOTIFICAR la presente resolución a ASOCIACIÓN CULTURAL
***ASOCIACIÓN.1.
TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una
vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el
art. 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago
voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado
por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003,
de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número
de procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia
Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso
contrario, se procederá a su recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/7
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es