La reclamante, presento reclamación manifestando que es madre de una menor que asistió a una fiesta de cumpleaños organizada en el local del reclamado; señala que, sin el consentimiento expreso de los padres de los niños asistentes, se tomaron imágenes de la celebración en las que figuraban los menores, posteriormente publicadas en un perfil de Instagram como un «story».

La reclamante contactó con el autor de la publicación a través del servicio de mensajería proporcionado por el prestador del servicio, al objeto de solicitar que se eliminara la publicación o bien se pixelara la cara de los menores, sin recibir respuesta estando la publicación disponible 24 horas que, son las que, por defecto, están configuradas las «stories» de Instagram.

Recuerda la AEPD que el tratamiento de datos requiere la existencia de una base legal que lo legitime. De conformidad con el art. 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular, en particular, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos.

El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento

En el presente caso, el reclamado, en lo relativo al tratamiento de datos de carácter personal, ni con anterioridad ni con posterioridad a la infracción, tampoco en su Política de privacidad o en el Análisis de Riesgos prevé el tratamiento llevado a cabo: difundir o publicar imágenes de las celebraciones en redes sociales.

Por otra parte, al respecto de la publicación de imágenes no se especifica donde se halla previsto (página web de la reclamada, redes sociales, etc.) y en cuanto al consentimiento que trasladan en su respuesta nada señala sobre este tratamiento específico, si recoge el consentimiento de los padres en el caso de menores de 14 años o bien el consentimiento a los menores, mayores de 14 años, diferenciando esta circunstancia de edad (Tampoco consta en el caso de mayores de edad si se recoge el consentimiento de los mismos para la publicación de sus imágenes, etc.).

Por todo lo anterior, considera que se ha infringido el art. 6.1 RGPD y condena a la reclamada al pago de 10.000 euros.

Resolución AEPD PS-00008-2023