Recientemente, la Agencia Española de Protección de Datos (AEPD) ha sancionado a dos entidades deportivas por publicar imágenes de menores de edad en redes sociales sin tener el consentimiento expreso de sus progenitores/tutores legales, teniendo en cuenta lo establecido en el Reglamento General de Protección de Datos (RGPD).

Consentimiento del padre, pero no de la madre

En los últimos meses, la AEPD ha multado a dos clubes deportivos por una práctica que muchas entidades realizan sin tener en cuenta las implicaciones legales que conlleva: publicar imágenes de los menores de edad que participan en las actividades sin la autorización de los padres. Concretamente, las sanciones impuestas han sido de 10.000 euros a un club de esquí de la provincia de León y de 5.000 euros a un club de gimnasia rítmica de Baleares.

El primero de los casos toma especial relevancia ya que la menor en cuestión era hija de padres separados y el club contaba con la autorización de difusión de imágenes firmada por el padre, pero no por la madre. El caso se remonta a octubre de 2019, cuando la madre presentó una reclamación ante la AEPD. La progenitora alegaba que el club de esquí en el que participaba su hija había publicado un vídeo en su página web en el que aparecía la menor y ella no había dado su consentimiento para ello. Asimismo, ponía de manifiesto que en el momento de realizar una inscripción, el club obligaba a aceptar la política de privacidad del club, en la que se incluía el consentimiento del tratamiento de imágenes. Es decir, no había posibilidad de poder decir que sí o que no a tal práctica.

Después de que la Agencia enviara un requerimiento informativo a la entidad reclamada, el club puso en antecedentes a la autoridad de control informando que, a pesar de que contaban con la autorización de uso de imagen firmada por parte del padre, retiraron el vídeo al día siguiente que la madre pusiera en su conocimiento el hecho, en agosto de 2020.

A pesar de las alegaciones presentadas por la entidad deportiva, en agosto de 2021 la AEPD resolvió sancionar a la entidad deportiva con varias multas: una de 5.000 euros por infracción del artículo 7 del RGPD, al no posibilitar al usuario ofrecer un consentimiento libre del tratamiento de sus datos personales para otros fines ajenos a los que realmente fueron especificados. Asimismo, una multa de 5.000 euros por la infracción del artículo 7 del RGPD, por el tratamiento ilícito de los datos personales, es decir por publicar imágenes de la menor sin el consentimiento expreso de ambos progenitores. También se apercibió al club por una infracción del artículo 6 del RGPD, al impedir que el usuario realizase el consentimiento de forma libre e inequívoca durante el tiempo que estuvo la casilla de aceptación premarcada. Finalmente, se archivó la sanción relativa a los artículos 12 y 15 del RGPD, ya que el club procedió de forma diligente al eliminar las imágenes de la menor de edad de las redes sociales, en menos de 24 horas.

Retirada de las imágenes de las redes sociales

El segundo caso que nos ocupa también tiene relación con el uso de imágenes de menores. En esta ocasión, una madre presentó una denuncia ante la Guardia Civil y una reclamación ante la AEPD en febrero de 2021 explicando que había solicitado al club de gimnasia rítmica en el que participan sus dos hijas, de 10 y 12 años, que retiraran de sus redes sociales todas las fotos y vídeos en las que aparecieran las dos menores. Ella no tenía constancia de haber dado tal consentimiento y, en caso de haberlo hecho, ahora negaba expresamente su autorización.

Transcurrido el plazo concedido para que el reclamado respondiera a la notificación enviada por la Agencia sin ninguna alegación, la AEPD inició un procedimiento sancionador contra el club de gimnasia y le impuso una multa de 5.000 euros por una infracción del Artículo 6 del RGPD, sobre la licitud del tratamiento de los datos personales. Además, ordenaba a la entidad que disponía de un mes de plazo para retirar todas las imágenes de las dos menores de los perfiles de las redes sociales.

Aumento del sistema de videovigilancia

En enero de 2020, un vecino decidió denunciar a una Comunidad de Propietarios ante la AEPD a causa de la instalación de una nueva cámara en el sistema de videovigilancia del edificio. Según recoge el procedimiento sancionador, la Comunidad ya contaba con un sistema de videovigilancia de 4 cámaras, en el portal de acceso, que captaban imágenes de toda la Comunidad. La causa de la reclamación fue que dicho sistema se había visto ampliado con una 5ª cámara de 360º, cuyo objetivo podía subir y bajar, y contaba con visión nocturna y zoom de aumento. Esta se había instalado junto a la propiedad de la persona que presentó la reclamación a la AEPD, y sus prestaciones permitían grabar en el interior de la misma, así como de varias propiedades colindantes. Asimismo, el denunciante informaba que el cartel informativo que se había instalado junto al sistema no cumplía con los requisitos establecidos en la normativa de protección de datos.

La AEPD admitió a trámite la reclamación en agosto de 2020, previa notificación a la Comunidad de Propietarios, conforme a lo establecido en el artículo 65.4 de la LOPDGDD, a pesar de que la Comunidad no recogió las notificaciones. Posteriormente, se solicitó a la empresa que instaló el sistema más información sobre dicha instalación, pero la comunicación expiró después de que la empresa tampoco recogiera la notificación, ni por correo postal ni por comunicación electrónica.

Multa de 1.000 euros por no hacer un tratamiento de datos adecuado

En abril de 2021, la AEPD sancionó a la Comunidad de Propietarios por una infracción del artículo 5.1.c) del RGPD con una multa de 1.000 euros. Dicho artículo establece que los tratamientos de los datos personales deben ser “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”)”.

Asimismo, también se apercibió a la Comunidad por una infracción del artículo 13 del RGPD, es decir, por no facilitar al interesado toda la información que establece la norma en caso de que una entidad recabe datos personales de un interesado.

Finalmente, la Agencia ordenó a la Comunidad que en un plazo de diez días (tal y como establece el artículo 58.5.d) del RGPD) debía:

• Aportar las imágenes observadas con los dispositivos en cuestión, indicando en un plano de situación las partes que se corresponden con su propiedad particular.
• Acreditar haber procedido a la retirada de las cámaras de los lugares actuales, o bien a la reorientación de las mismas hacia su zona particular.
• Acreditar haber procedido a la colocación del dispositivo informativo en las zonas videovigiladas o a completar la información ofrecida en el mismo (tratamiento, identidad del responsable y posibilidad de ejercitar los derechos previstos), ubicando este dispositivo en lugar suficientemente visible, tanto en espacios abiertos como cerrados.
• Acreditar que mantiene a disposición de los afectados la información a la que se refiere el citado RGPD.

Incumplimiento del Artículo 13 del RGPD

Seguro que más de una persona se sentirá identificada con la situación: enviar un currículum a través de internet a una empresa y no saber nunca más sobre qué ha pasado con el puesto de trabajo o con el documento que les hemos mandado. En este sentido, la Agencia Española de Protección de Datos (AEPD) ha sancionado a una empresa por no contestar a un candidato que les hizo llegar su currículo mediante WhatsApp.

El afectado vio el anuncio del trabajo en un portal de empleo de internet y remitió su currículum por WhatsApp a través del teléfono que constaba en el anuncio. Al no recibir acuse de recibo decidió denunciar la situación a la AEPD, quien investigó los hechos.

En la resolución del procedimiento sancionador, publicada el paso 23 de agosto, la Agencia considera que la empresa vulneró la normativa de protección de datos al no informar a la persona solicitante de empleo sobre qué tipo de tratamiento se haría con sus datos incluidos en el currículum, ni tampoco cómo podría ejercer sus derechos ante el responsable del tratamiento.

El artículo 13 del Reglamento General de Protección de Datos (RGPD) establece qué tipo de información deberá facilitar el responsable del tratamiento (en este caso la empresa) al interesado (la persona que ha enviado el currículo) en el momento de obtener sus datos: identidad y datos de contacto del responsable, fines del tratamiento a que se destinan los datos personales, intención de transferir los datos, plazo de conservación o la existencia de los derechos de acceso, rectificación u oposición, entre otros.

Además, la empresa también incurrió en una falta al no identificar de forma apropiada en su página web a su responsable de protección de datos, los derechos que asisten a sus usuarios ni las vías para ejercer sus derechos. Por esto, y lo mencionado anteriormente, la AEPD le ha impuesto una sanción de 2.000 euros.