Multa imposada a la Trilema Foundation per publicar imatges sense consentiment

1. Qüestions clau relacionades amb l'incident

El procediment es deriva d'una reclamació presentada davant l'AEPD l'abril de 2024 contra la Fundació Trilema (d'ara endavant, F.T.), l'organisme que gestiona un centre educatiu, relativa a la publicació d'imatges i vídeos d'un menor i la seva mare a les xarxes socials i a internet, sense el consentiment necessari per a aquest tractament.

El reclamant, el pare d'un alumne matriculat al centre educatiu gestionat per la F.T., va declarar que l'escola havia publicat fotografies i vídeos del seu fill en diverses xarxes socials (incloent-hi Instagram, YouTube, Facebook i el lloc web del mateix centre) sense haver obtingut la seva autorització. El reclamant va declarar que, després de sol·licitar una còpia de l'autorització, el centre va reconèixer que no en tenia cap.

Segons la documentació de l'expedient, es van publicar imatges del menor i de la seva mare en almenys quatre plataformes i xarxes socials, corresponents als anys 2021, 2023 i 2024. L'AEPD va verificar l'exactitud de les publicacions denunciades el maig de 2024.

F.T. va declarar que el centre sol·licitava el consentiment per a la publicació d'imatges a l'inici de cada curs escolar. No obstant això, van reconèixer que, per al curs acadèmic 2023-2024, no s'havia rebut el consentiment signat del pare o mare del menor en qüestió, i que, per tant, el menor estava classificat com a «no autoritzat». Pel que fa als cursos acadèmics anteriors, F.T. va admetre que no es conservava el consentiment signat, ja que s'aplicava una política de conservació d'un any. Pel que fa a les imatges de la mare de l'infant, F.T. va reconèixer que només havia obtingut el consentiment verbal, el qual va ser denegat per la interessada.

L'AEPD va analitzar diversos aspectes del tractament de dades personals dut a terme per F.T., en particular l'existència d'una base jurídica vàlida per a la publicació de les imatges (article 6 del RGPD), així com el compliment del principi de limitació del termini de conservació (article 5.1.e del RGPD), atès que la política de l'organització preveia la conservació indefinida de les imatges publicades. El procediment va concloure amb una sanció total de 6.000 €, rebaixada a 3.600 € després que F.T. reconegués la seva responsabilitat i en pagués voluntàriament l'import.

2. Incompliments del RGPD

Basant-se en els fets descrits i les investigacions realitzades, l'AEPD va considerar que F.T. havia incomplert diverses obligacions establertes al RGPD, i va determinar que s'havien comès dues infraccions diferents:

1. Llicitud del tractament – Manca de consentiment vàlid (article 6.1.a del RGPD)

La base jurídica invocada per F.T. per a la publicació d'imatges d'alumnes i familiars a les xarxes socials i a internet era el consentiment de l'interessat (article 6, paràgraf 1, lletra a), del RGPD). No obstant això, l'AEPD va constatar que F.T. no va poder demostrar que aquest consentiment s'hagués obtingut de manera vàlida.

Pel que fa a les imatges del menor, F.T. va admetre que durant el curs acadèmic 2023-2024 no es va rebre cap consentiment signat dels pares, tot i que va reconèixer que el menor apareixia en almenys una imatge publicada a causa d'un «error d'identificació». Pel que fa als cursos acadèmics anteriors, l'organització va afirmar que s'havia obtingut el consentiment signat, però que no en conservava els documents, ja que aplicava una política de conservació d'un any. A més, pel que fa a les imatges de la mare del menor, F.T. va reconèixer que només havia obtingut el consentiment verbal, no documentat per escrit, cosa que l'interessada va negar expressament.

L'AEPD va assenyalar que el consentiment, d'acord amb el Considerant 32 del RGPD, ha de ser atorgat mitjançant un acte afirmatiu clar que reflecteixi una indicació lliure, específica, informada i inequívoca del desig del titular de les dades. En conseqüència, l'AEPD va concloure que F.T. no havia obtingut el consentiment vàlid dels pares per publicar imatges del menor i la seva mare a les xarxes socials i a internet, i va considerar que s'havia infringit l'article 6, paràgraf 1, lletra a), del RGPD, per la qual cosa es va imposar una multa de 3.000 euros.

2. Principi de limitació de l'emmagatzematge (article 5.1.e) del RGPD)

L'article 5.1.e) del RGPD estableix que les dades personals s'han de conservar en una forma que permeti la identificació dels interessats durant no més temps del necessari per a les finalitats per a les quals es tracten les dades. L'AEPD va constatar que el formulari de consentiment utilitzat per F.T. fins al curs acadèmic 2024-2025 indicava expressament que les dades es conservarien «indefinidament, tret que l'interessat sol·liciti la seva supressió».

L'AEPD va considerar que aquesta pràctica era excessiva i desproporcionada, en la mesura que les imatges de menors i d'alumnes majors d'edat publicades a les xarxes socials i al lloc web de l'escola podien continuar estant disponibles fins i tot després que els alumnes haguessin assolit la majoria d'edat o ja no estudiessin en aquell centre, tret que l'interessat sol·licités expressament la seva supressió.

En conseqüència, l'AEPD va constatar una infracció del principi de limitació de la conservació, i va imposar una multa de 3.000 € per aquest motiu. Cal destacar que, després de l'inici del procediment, F.T. va modificar la seva política de conservació, establint un període màxim de cinc anys, la qual cosa es va considerar una mesura correctiva adoptada per l'organització, tot i que no l'eximí de responsabilitat per la infracció comesa.

3. Conclusions

Aquesta decisió destaca l'enfocament particular de l'AEPD en la publicació d'imatges i vídeos de menors a les xarxes socials i a internet per part de les institucions educatives, així com la necessitat que aquestes institucions tinguin mecanismes sòlids i verificables per obtenir i conservar el consentiment.

L'AEPD assenyala que, quan la base jurídica per al tractament de dades personals és el consentiment de l'interessat, aquest ha de ser lliure, específic, informat i inequívoc, i el responsable del tractament ha de poder demostrar que s'ha obtingut en tot moment. Per tant, no és suficient obtenir el consentiment verbal o afirmar l'existència d'autoritzacions que no es conservin o no es puguin demostrar. A més, la conservació de les dades personals —incloses les imatges— ha de sotmetre's a terminis de temps definits i proporcionats, i no és admissible una política de conservació indefinida.

Nota informativa del Departament de Protecció de Dades d'ECIJA Madrid.