La Agencia Española de Protección de Datos (AEPD) ha sancionado a un centro educativo por utilizar imágenes de trabajadores en su página web y sus RRSS sin estar legitimado para ello y por hacer caso omiso al requerimiento de supresión de datos personales. (Expediente Nº: PS/00119/2021).
En el presente caso, una ex empleada del centro educativo solicitó a este que elimine sus fotos de la página web y redes sociales corporativas. Tras reiterados requerimientos infructuosos, la trabajadora interpuso reclamación ante la AEPD.
A la vista de los hechos denunciados en la reclamación y de los documentos aportados, la Agencia dio traslado de la reclamación por vía telemática y, posteriormente, por correo postal al reclamado sin tener respuesta.
Ante el silencio del Centro educativo, la AEPD acuerda el inicio del procedimiento sancionador por las presuntas infracciones de los artículos 6.1 (Licitud del tratamiento) Y 17 (Derecho de supresión) del Reglamento General de Protección de dato (RGPD). En consideración se dio traslado al reclamado con la siguiente propuesta de sanción: multa administrativa de 6.000€ por incumplimiento del articulo 6.1 RGPD y 3.000€ por incumplimiento del artículo 17 del RGPD.
¿Se pueden utilizar imágenes de trabajadores en WEB o RR.SS sin su consentimiento?
Transcurrido el plazo otorgado para la formulación de alegaciones, se constata que no se ha recibido alegación alguna por parte del reclamado.
Por los hechos expuesto, la AEPD estableció:
I
El tratamiento de imágenes de la reclamante ha de contar con una base de legitimación de alguna de las enumeradas en el artículo 6.1 del RGPD.
Ante el silencio del reclamado, la Agencia concluye que no concurre base legitimadora para realizar dicho tratamiento de imágenes e imputa al reclamado la comisión de una infracción del artículo 6.1 del RGPD, que indica:
“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño…”
II
El ejercicio del derecho de supresión de los datos personales recogido en el artículo 17 del RGPD supone una obligación para el responsable del tratamiento.
El hecho de no atender al derecho de supresión de fotografías expuestas por el reclamado en su página web y redes sociales supone la infracción del mencionado artículo 17 del RGPD.
“1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
- a) los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
- b) el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
- c) el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
- d) los datos personales hayan sido tratados ilícitamente;”
III
Por todo lo expuesto, la AEPD resolvió imponer al centro educativo una multa de 6.000€ por infracción del artículo 6.1 de RGPD y una multa de 3.000€ por infracción del artículo 17 del RGPD.
CONCLUSIONES
Legitimación para utilizar imágenes de trabajadores
Para tratar datos personales debemos contar con una base que legitime dicho tratamiento (Artículo 6.1 del RGPD). En casos como este, cuando el tratamiento de las imágenes tiene como finalidad la difusión del centro, su organización y sus actividades, la base que debe legitimar el tratamiento es el consentimiento de los interesados (Artículo 6.1.a RGPD).
El consentimiento debe ser recabado a través de una manifestación de voluntad libre, específica, informada e inequívoca.
Derechos
Los responsables del tratamiento están obligados a responder a las solicitudes de los interesados, sin dilación indebida y a más tardar en el plazo de un mes, salvo excepciones, y explicar sus motivos en caso de que no fueran a atenderlas. (Artículo 12 RGPD).
Respuesta a los requerimientos de las autoridades
Resulta de suma importancia organizar los recursos humanos de las organizaciones para gestionar y dar respuesta en debido tiempo y forma a los requerimientos efectuados por las autoridades competentes.
Reputación
El perjuicio de una sanción de este estilo no solo afecta al “bolsillo” de las organizaciones, el mayor impacto es a nivel reputacional. Las resoluciones de la AEPD se publican en su web y están abiertas al público en general.
******
Si necesitas asesoramiento en materia de protección de datos personales o áreas relacionadas ponte en contacto con nuestro departamento de Derecho de la Nuevas Tecnologías.