La Agencia Española de Protección de Datos (AEPD) impone una nueva sanción por la publicación en sus redes sociales de imágenes de un menor sin contar con el correspondiente consentimiento de sus representantes legales. Y, junto a la infracción correspondiente por falta de base de legitimación, en esta resolución también se aprecia una vulneración del artículo 5.1.e) del Reglamento General de Protección de Datos (en adelante, RGPD), esto es, principio de limitación del plazo de conservación. Este segundo pronunciamiento, que extiende el análisis de la conservación de datos al tiempo durante el cual las imágenes permanecen publicadas en redes sociales, introduce una perspectiva de notable relevancia práctica para cualquier organización que difunda fotografías o vídeos de personas a través de sus canales digitales, la cual analizaremos en detalle a continuación.
El origen de este procedimiento sancionador (Expediente N.º: EXP202406960) se origina en una reclamación presentada ante la AEPD en relación con la publicación, en sus redes sociales corporativas, de imágenes en las que aparecía identificable un menor de edad. Esta publicación se realizó sin consentimiento válido de los progenitores o tutores legales del menor, requisito obligatorio para menores de catorce años (art. 7 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD)).
La entidad sancionada tenía en su formulario de consentimiento una cláusula que establecía sobre las imágenes lo siguiente: “Estos datos se mantendrán en el sistema de forma indefinida en tanto el interesado no solicite su supresión.”. Es decir, se conservarían de forma indefinida hasta que el interesado solicitara su supresión. Para la AEPD, eso no es un plazo: es una infracción. Y esa conclusión obliga a revisar procedimientos en cualquier organización que publique fotografías o vídeos de personas en sus canales digitales.
En aplicación del art. 6 del RGPD establece que el tratamiento de datos personales únicamente será lícito si concurre alguna de las bases jurídicas que enumera el precepto. En el supuesto analizado, la AEPD constató que la entidad sancionada no disponía de legitimación para proceder a la publicación de las imágenes del menor. Concretamente sostuvo que:
- No se había obtenido el consentimiento libre, específico, informado e inequívoco de los representantes legales del menor, en los términos que exigen los artículos 6.1.a) del RGPD y 7 de la LOPDGDD.
- No concurría ninguna otra causa que pudiera legitimar el tratamiento, como el cumplimiento de una obligación legal, la ejecución de un contrato o el interés legítimo debidamente ponderado.
La AEPD nos recuerda en esta resolución que, cuando el tratamiento tiene por base el consentimiento, la carga de la prueba de su existencia recae sobre el responsable del tratamiento. Resulta especialmente relevante señalar que el consentimiento inicialmente prestado para la captación de imágenes en el marco de una actividad no implica, por sí solo, autorización para su posterior difusión en redes sociales. Ambas operaciones de tratamiento son distintas y pueden requerir bases de legitimación independientes.
Sin embargo, el aspecto más novedoso y de mayor transcendencia de esta resolución lo encontramos en la vulneración del art.5.1.e) del RGPD. En base a este precepto, los datos personales deben mantenerse de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento.
Pues bien, aplicando este principio al contexto de la publicación de imágenes en redes sociales, la AEPD considera que las fotografías o vídeos que contienen datos personales no pueden permanecer publicados de manera indefinida o durante un período que exceda del necesario para cumplir la finalidad que motivó su publicación. La organización debe, por tanto, determinar con antelación cuánto tiempo resulta proporcionado mantener activa la publicación y proceder a su retirada o supresión una vez alcanzado dicho límite.
En el caso analizado, las imágenes del menor permanecieron accesibles en las redes sociales de la Fundación más allá del tiempo que podría considerarse necesario para la finalidad declarada, sin que existiera una política interna que definiera los plazos de conservación aplicables a este tipo de contenidos. La AEPD aprecia en esta circunstancia una infracción del principio de limitación, independiente y acumulable a la vulneración de la licitud del tratamiento.
Del contenido de la AEPD en esta resolución sobre el plazo de conservación de las imágenes publicadas, se derivan las siguientes implicaciones. Concretamente, la AEPD pone de manifiesto que el cumplimiento normativo en materia de publicación de imágenes en redes sociales no se agota con la obtención del consentimiento previo, sino que exige también una gestión activa de los plazos de conservación de los contenidos publicados.
En este sentido, puede entenderse que las organizaciones que hagan uso de sus canales en redes sociales para difundir imágenes o vídeos en los que aparezcan personas identificables deben incorporar a sus procedimientos internos al menos los siguientes elementos:
- Definir con claridad la finalidad que justifica cada publicación y determinación del plazo durante el cual dicha finalidad puede considerarse vigente.
- Establecimiento de procedimientos de revisión periódica de los contenidos publicados, con el objeto de identificar aquellos que han superado el plazo de conservación definido.
- Adopción de medidas que garanticen la supresión o el archivado de las publicaciones una vez transcurrido el plazo establecido, sin perjuicio de la conservación de la evidencia cuando resulte exigible por obligación legal.
- Documentación de los criterios utilizados para fijar los plazos de conservación, de modo que pueda acreditarse el cumplimiento del principio de responsabilidad proactiva recogido en el artículo 5.2 del RGPD.
Entonces, ¿cuánto tiempo deben o pueden permanecer publicadas las imágenes? La respuesta no es clara ni única, puesto que la AEPD no fija ni pauta en esta resolución un plazo concreto, sino que reitera el criterio de proporcionalidad: la imagen debe dejarse de publicar cuando su permanencia ya no sea necesaria para la finalidad que motivó su difusión.
Esto en definitiva obliga a cada organización a realizar un análisis caso a caso, atendiendo al tipo de actividad documentada, al contexto de la publicación y a si los interesados siguen siendo partícipes activos de dicha actividad. A modo de orientación general, por ejemplo, una fotografía de un evento puntual (un acto, una competición, una jornada de puertas abiertas) debería retirarse una vez que la actualidad informativa de ese evento haya decaído. Una imagen de un menor que ya no participa en la actividad de la organización debería suprimirse sin demora.
Esta resolución de la AEPD aporta un pronunciamiento importante en relación con una práctica extendida en numerosas entidades: la publicación de imágenes en redes sociales sin una gestión activa de los plazos de conservación de dichos contenidos. Junto a todo ello, la AEPD de nuevo, refuerza en esta resolución la necesidad de otorgar especial protección cuando estamos ante datos de carácter personal de menores de edad. Y, a mayores, puede deducirse que la ausencia de una política de conservación documentada constituye, por sí sola, un factor de riesgo ante una eventual reclamación.
La doble infracción apreciada por la AEPD, tanto del principio de licitud como del principio de limitación del plazo de conservación, pone de manifiesto que no basta con obtener el consentimiento en el momento de la publicación, sino que resulta igualmente necesario revisar periódicamente los contenidos publicados y retirar aquellos cuya permanencia haya dejado de ser necesaria.
Las organizaciones que difundan imágenes de menores o de cualquier otra persona en sus canales digitales deben revisar sus procedimientos internos para incluir criterios claros sobre los plazos de conservación aplicables a cada tipo de publicación, puesto que, dependiendo del caso puede llegar a considerarse como excesivo el plazo de conservación de las imágenes publicadas. La ausencia de dicha política, acreditada documentalmente, constituye un incumplimiento del principio de responsabilidad proactiva y un factor de riesgo ante una eventual actuación de la autoridad de control.
En definitiva, esta resolución no es una sanción más por publicar imágenes sin consentimiento, sino que, es un claro aviso de que la gestión de las imágenes en redes sociales tiene dos momentos de cumplimiento, no uno: el momento en que se publican y el momento en que deben retirarse, no debiendo adoptar por criterio general la publicación indefinida de las mismas. Puesto que, como refleja esta sanción, descuidar el segundo puede ahora tener consecuencias sancionadoras expresas e independientes del primero.
