La empresa Nandivale S.L, dedicada a eventos, actividades de ocio y organización de fiestas infantiles tendrá que pagar una multa de 10.000 euros impuesta por la Agencia Española de Protección de Datos (AEPD) por publicar en Instagram imágenes de menores en redes sin permiso.
Ha incumplido el artículo 6.1 del Reglamento General de Protección de Datos (RGPD) que hace referencia a la “licitud del tratamiento”.
La reclamante es la madre de una niña de 4 años que el pasado 7 de agosto de 2022 asistió a una fiesta de cumpleaños organizada por la empresa. Manifestó que, sin el consentimiento de los padres de los niños asistentes, se tomaron imágenes de la celebración en las que aparecían los menores, las cuales se publicaron en las “historias” de Instagram.
Tras conocer los hechos, la madre decidió contactar con el autor de la publicación a través del servicio de mensajería que se presta en la red social para solicitarle que eliminase la publicación o que tapase la cara de los niños.
En concreto, les dijo en dos mensajes distintos que ella no había dado el consentimiento para subir imágenes de su hija. También les recordó que captar fotos de menores y subirlas a redes acarrea multas de hasta 300.000 euros. “No quiero imágenes de mi hija en internet”, concluyó.
La empresa no respondió a la madre
Sin embargo, le dijo a la AEPD que no recibió respuesta a la petición y que la publicación se borró a las 24 horas porque las historias de Instagram están programadas para que sólo puedan visualizarse durante un día.
Como pruebas, aportó diversas capturas de pantalla con las imágenes de los niños y los padres.
Así las cosas, la AEPD decidió pedir explicaciones a Nandivale S.L. La empresa respondió en enero de 2023 que el vídeo fue retirado a las 24 horas de su publicación y que no contestó a la madre porque la petición la hizo a través de una ”solicitud de amistad” y no del canal previsto para ello, por lo que no fue hasta pasadas dichas horas cuando tuvieron conocimiento de ello.
Reconocieron el error y manifestaron haber intensificado las medidas para evitar que se produjesen situaciones similares exigiendo ahora el consentimiento de los padres y creando un protocolo para evitar incidencias. Por lo que solicitaron que se archivase el procedimiento o que se se calificase el comportamiento como leve.
La imagen de una persona es un dato personal
Y es que, según recuerda la AEPD, la imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho reglamento.
Se entiende por “datos personales” toda información sobre una persona física identificada o identificable cuya identidad pueda determinarse mediante nombre, DNI, datos de localización, elementos propios de la identidad física, fisiológica, genética o cultural de una persona.
Por otro lado, el artículo 92 de la Ley Orgánica de Protección de Datos Personales y garantía de los derechos digitales, que hace referencia a la protección de datos de los menores en internet, señala que tanto los centros educativos como las personas físicas o jurídicas que desarrollen actividades en las que participen menores deben garantizar su protección.
“Cuando dicha publicación o difusión fuera a tener lugar a través de servicios de redes sociales o servicios equivalentes deberán contar con el consentimiento del menor o sus representantes legales, conforme a lo prescrito en el artículo 7 de esta ley orgánica”.
Incluso el artículo 6.1 del RGPD, además del consentimiento, ofrece otras posibilidades que legitiman el tratamiento de datos sin necesidad de contar con la autorización del titular.
Pero, en este caso, ni su política de privacidad o en análisis de riesgos preveía el tratamiento llevado a cabo.
La AEPD, a la hora de establecer la cuantía de la sanción, ha tenido en cuenta el agravante de que la imagen difundida sea de menores de edad, por lo que ha considerado adecuada la multa de 10.000 euros.
La sanción es firme y puede ser recurrida ante la Sala de lo Contencioso de la Audiencia Nacional.
