¿Qué permiso necesitamos de los padres para poner fotos y vídeos de niños en Internet?

Hola Liher: en relación con la consulta planteada, paso a informarle lo siguiente: en primer lugar, la protección de los datos personales de los menores adquiere una especial relevancia en la sociedad de la información. Los menores son sujetos cuyos datos poseen gran relevancia en sectores como el colego o el consumo de productos de ocio. Además, el acceso generalizado a Internet prácticamente desde los diez años define una generación de niños que navegan, juegan online, publican fotos, usan chats privados o se inscriben en redes sociales.
Esta realidad incide particularmente sobre el derecho fundamental a la protección de datos de los menores puesto que:
-Los menores no tienen, salvo que reciban una formación adecuada, capacidad de entender y discernir sobre su derecho fundamental.
-Su información personal es valiosa para muchos sectores de actividad.
-El menor puede ser utilizado de modo instrumental para obtener información sobre su entorno familiar.
-El propio menor, cuando carece de formación adecuada, incurre en prácticas de riesgo para su privacidad y seguridad o la de terceros. Ello se debe a que gran parte de las conductas de riesgo en la red parten de una captación inicial de datos personales como una fotografía o una dirección de correo asociada a una mensajería privada.
De acuerdo con lo expuesto, distintas normas se han ocupado de proteger los derechos a la intimidad, el honor o la propia imagen del menor como la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar, y a la propia imagen o la Ley Orgánica 1/1996, de 15 de enero, de Protección Jurídica del Menor.
Por consiguiente, para tratar datos de menores deben respetarse ciertas reglas:
- Sólo pueden consentir por si mismos los mayores de catorce años.
De este modo, la Agencia Española de Protección de Datos –en adelante, AEPD- entiende que las personas mayores de catorce años reúnen las condiciones suficientes de madurez para prestar su consentimiento al tratamiento de los datos, toda vez que nuestro ordenamiento jurídico viene, en diversos casos, a reconocer a los y las mayores de catorce años la suficiente capacidad de discernimiento y madurez para adoptar por sí solos/as determinados actos de la vida civil (adquisición de la nacionalidad española por ejercicio del derecho de opción o por residencia, capacidad para testar, etc.).
Respecto de los y las restantes menores de edad, la AEPD entiende que no puede ofrecerse una solución claramente favorable a la posibilidad de que por los/las mismos/as pueda prestarse el consentimiento al tratamiento, por lo que la referencia deberá buscarse en el artículo 162.1º del Código Civil, tomando en cuenta, fundamentalmente, sus condiciones de madurez.
En consecuencia, será necesario recabar el consentimiento de los y las menores para la recogida de sus datos, con expresa información de la totalidad de los extremos contenidos en el artículo 5.1 de la Ley, recabándose, en caso de menores de catorce años cuyas condiciones de madurez no garanticen la plena comprensión por los mismos del consentimiento prestado, el consentimiento de sus representantes legales.
El Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal incorpora, de manera definitiva, el criterio interpretativo de la Agencia Española de Protección de Datos plasmado en su Memoria 2000, regulando, asimismo, otros aspectos de importancia en referencia a la captación de datos de menores:
Artículo 13. Consentimiento para el tratamiento de datos de menores de edad. 1. Podrá procederse al tratamiento de los datos de los mayores de catorce años con su consentimiento, salvo en aquellos casos en los que la Ley exija para su prestación la asistencia de los titulares de la patria potestad o tutela. En el caso de los menores de catorce años se requerirá el consentimiento de los padres o tutores. 2. En ningún caso podrán recabarse del menor datos que permitan obtener información sobre los demás miembros del grupo familiar, o sobre las características del mismo, como los datos relativos a la actividad profesional de los progenitores, información económica, datos sociológicos o cualesquiera otros, sin el consentimiento de los titulares de tales datos. No obstante, podrán recabarse los datos de identidad y dirección del padre, madre o tutor con la única finalidad de recabar la autorización prevista en el apartado anterior. 3. Cuando el tratamiento se refiera a datos de menores de edad, la información dirigida a los mismos deberá expresarse en un lenguaje que sea fácilmente comprensible por aquéllos, con expresa indicación de lo dispuesto en este artículo. 4. Corresponderá al responsable del fichero o tratamiento articular los procedimientos que garanticen que se ha comprobado de modo efectivo la edad del menor y la autenticidad del consentimiento prestado en su caso, por los padres, tutores o representantes legales.
De esta forma, el apartado 1 del citado artículo 13 sitúa definitivamente la barrera del consentimiento para el tratamiento de los datos de las personas menores de edad en los catorce años, señalando que podrá procederse al tratamiento de los datos de los mayores de catorce años con su consentimiento, salvo en aquellos casos en los que la Ley exija para su prestación la asistencia de los titulares de la patria potestad o tutela y que en el caso de los menores de catorce años se requerirá el consentimiento de los padres o tutores.
Así, por ejemplo, para registrarse en una red social que admita menores de esta edad no necesitarán autorización de los padres, o para realizar actos de consumo para los que puedan consentir como alquilar videojuegos aptos para su edad.

-Por su parte, se necesita autorización de padre, madre o tutor legal cuando:
- Se recojan y traten datos de menores de catorce años.
De esta suerte, cuando un menor realiza una actividad extraescolar prestada por un tercero, como cursos voluntarios no ofrecidos por el colegio o excursiones con alojamiento, se necesitará el consentimiento paterno o materno, o cuando proceda de un representante legal.
-Los mayores de catorce años cuando una Ley de forma expresa exija la autorización.
-Se prohíbe utilizar al menor para recabar datos que permitan obtener información sobre los demás miembros del grupo familiar, o sobre las características del mismo sin el consentimiento de los titulares de tales datos.
Ya no es admisible, por ejemplo, exigir en el registro de un menor en una página de Internet obligarle a facilitar datos personales de sus padres como el nivel de renta, el tipo vivienda, el coche que utilizan etc.
- Podrán recabarse los datos de identidad y dirección del padre, madre o tutor con la única finalidad de recabar la autorización para el tratamiento de los datos de los menores.
Esta posibilidad se establece para que el responsable pueda dirigirse a los padres y obtener la autorización correspondiente.
-Cuando el tratamiento se refiera a datos de menores de edad, la información dirigida a los mismos deberá expresarse en un lenguaje que sea fácilmente comprensible.
Las políticas de privacidad habituales con tecnicismos legales de difícil comprensión o expresiones formales que no se corresponden con la edad del niño no son admisibles. Deberá recurrirse a un lenguaje didáctico y coloquial.
-El responsable del fichero o tratamiento debe disponer de procedimientos para verificar la edad del menor y la autenticidad del consentimiento prestado en su caso, por los padres, tutores o representantes legales.
No basta, especialmente en Internet, con lo que el menor declare. Algunas entidades solicitan que se rellenen formularios de declaración de la edad y/o autorización parental y que se remitan por fax o se digitalicen y envíen por correo electrónico acompañados de documentación acreditativa también digitalizada.
-El colegio o las actividades extraescolares son espacios donde se tratan múltiples datos de menores. El centro escolar, el AMPA o el servicio de autobús, deben cumplir con la Ley Orgánica de Protección de Datos. Debe prestarse mucha atención a actividades extraescolares prestadas por terceros ajenos al centro. En ellas deben respetar el derecho fundamental a la protección de datos. Por ejemplo, la captación de fotos de los niños y su uso posterior en alojamientos, actividades deportivas etc. debería realizarse con el conocimiento y consentimiento de los padres o con el del niño, si fuera mayor de catorce años.
Con todo lo anterior, siendo la imagen de un menor un dato personal, la toma de fotos y vídeos de menores en Internet y en boletines informativos, tal como la que nos traslada mediante un archivo adjunto, en mi opinión, respecto a la Ficha de Inscripción, en la parte relativa a la Autorización establecida en la página 2 del archivo pdf., donde dice “En cumplimiento de lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre de Protección de datos de carácter personal –en adelante, LOPD-, el Grupo Scout 179 “Maravillas” le informa (y Vd. comprende, acepta y consiente expresamente y sin reservas en este acto) que, al cumplimentar el presente formulario, los datos e información que Vd. facilita (tanto propios como los de sus hijos o menores que tutela) serán incluidos en los ficheros propiedad del Grupo Scout (automatizados, electrónicos o tradicionales) con la única finalidad de poderle prestar y ofrecer los servicios propios de la Asociación. A modo de ejemplo, le informamos que sus datos de contacto se consultarán y facilitarán para posibilitar las relaciones y comunicaciones entre los asociados (circulares, proyectos de actividades, etc.); las imágenes, fotografías, etc. se incluirán en las memorias anuales de actividades del Grupo; etc.
Si Vd. lo desea, en cualquier momento podrá ejercitar sus derechos de acceso, rectificación y cancelación de sus datos que hayan sido recogidos en nuestros ficheros mediante un escrito remitido, a tal efecto, al Jefe del Grupo Scout 179 “Maravillas”, debería decir: “En cumplimiento de lo dispuesto en la Ley Orgánica 15/1999, de 13 de diciembre de Protección de datos de carácter personal, el Grupo Scout 179 “Maravillas” le informa (y Vd. comprende, acepta y consiente expresamente y sin reservas en este acto) que, al cumplimentar el presente formulario, los datos e información que Vd. facilita (tanto propios como los de sus hijos o menores que tutela) serán incluidos en un fichero debidamente registrado debidamente registrado en la Agencia Española de Protección de Datos, de acuerdo con lo establecido en la Ley Orgánica 13/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, con la única finalidad de poderle prestar y ofrecer los servicios propios de la Asociación. A modo de ejemplo, le informamos que sus datos de contacto se consultarán y facilitarán para posibilitar las relaciones y comunicaciones entre los asociados (circulares, proyectos de actividades, etc.); las imágenes, fotografías, etc. se incluirán en las memorias anuales de actividades del Grupo; etc.
En cualquier caso, le informamos que podrá ejercitar de forma gratuita los derechos de acceso, rectificación, cancelación y oposición de sus datos que hayan sido recogidos en nuestros fichero privado mediante un escrito remitido, a tal efecto, al Jefe del Grupo Scout 179 “Maravillas”.
Ello, debido a que están obligados a notificar la creación, modificación o supresión de ficheros para su inscripción en el Registro General de Protección de Datos dependiente de la AEPD, de acuerdo a lo dispuesto en la LOPD, aquellas personas físicas o jurídicas, de naturaleza pública o privada, u órgano administrativo, que procedan a la creación de ficheros que contengan datos de carácter personal, entendiéndose que el Grupo Scout 179 Maravillas “La Salle”, tenga personalidad jurídica para llevar a cabo dicha inscripción de fichero; en su defecto, debería ser llevado a cabo por aquella entidad privada a la que pertenezca o esté integrada y tenga personalidad jurídica.
En concreto, los ficheros de datos de carácter personal de titularidad privada serán notificados a la Agencia Española de Protección de Datos por la persona o entidad privada que pretenda crearlos, con carácter previo a su creación. El Registro General de Protección de Datos inscribirá el fichero si la notificación se ajusta a los requisitos exigibles. La inscripción del fichero en el RGPD es totalmente gratuita.
En este sentido, no se encuentran dentro del ámbito de aplicación de la LOPD, y por tanto no deben notificarse, los tratamientos referidos a personas jurídicas, ni a los ficheros que se limiten únicamente a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, las funciones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales, por lo que a “contrario sensu”, quedan dentro del ámbito de aplicación de la LODP aquellos ficheros que incorporan datos de menores de edad –menores de 14 años con el consentimiento paterno o materno-.
De otra parte, en cuanto a los requisitos que debe de cumplir esa entidad asociativa para la obtención del respectivo permiso por parte del padre, madre, tutor/a para utilizar fotos y vídeos de los y las menores en Internet y en boletines informativos, cabe traer a colación el informe de la AEPD núm. 0194/2009, del Gabinte Jurídico de la AEPD, en el cual se vierten las siguientes consideraciones jurídicas de especial interés para la cuestión suscitada por vuestra parte:
“…La primera cuestión que resulta del presente supuesto consiste en determinar si las imágenes de la menor pueden ser consideradas como datos de carácter personal, de conformidad con lo establecido en dicha Ley. Con carácter general, debe indicarse que los artículos 1 y 2 de la LOPD, extienden su protección a los derechos de los ciudadanos en lo que se refiere al tratamiento automatizado de sus datos de carácter personal, siendo definidos éstos en el artículo 3.a) de la citada Ley como “cualquier información concerniente a personas físicas identificadas o identificables“.
Por su parte, el artículo 5.1 del Reglamento de desarrollo de la LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, precisa que constituyen un dato de carácter personal “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables.”
En consecuencia, las imágenes a las que se refiere la consulta tendrán la consideración de datos de carácter personal en caso de que las mismas permitan la identificación de las personas que en ellas aparecen, no encontrándose amparadas por la LOPD en caso contrario.
Siendo la imagen un dato personal, en los términos vistos, la toma de fotos de los alumnos efectuada por el colegio constituye, por consiguiente, un tratamiento de datos personales, tal y como prevé el artículo 3 de la LOPD que configura este como “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.”
En lo que se refiere al tratamiento de datos de carácter personal, entre las obligaciones del responsable del fichero, en el presente caso el centro escolar, está la de obtener el consentimiento del interesado para el tratamiento o cesión de los datos y la de informar sobre los derechos que les asisten, así como sobre la identidad y dirección del responsable y sobre el uso que se va a dar a esos datos.
En este sentido, tal y como dispone el artículo 6.1 de la LOPD, “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”. Este consentimiento deberá ser, conforme a lo dispuesto en el artículo 3 h) “libre, inequívoco, específico e informado”, debiendo en consecuencia aparecer vinculado a las finalidades determinadas, específicas y legítimas que justifican el tratamiento de los datos, siendo así que los datos únicamente podrían ser tratados en el ámbito de las mencionadas finalidades, tal y como dispone el artículo 4.1 de la misma norma, no pudiendo ser tratados para fines incompatibles con aquéllas (artículo 4.2 de la LOPD).
La manifestación de los requisitos legalmente exigidos al consentimiento del afectado se realiza en la práctica a través de la información al afectado, en el momento de la recogida de sus datos de carácter personal, de los extremos esenciales relacionados con el tratamiento, recabando a tal efecto su consentimiento en relación con los aspectos específica e inequívocamente hechos constar en la mencionada información. El deber de información al afectado aparece regulado en la LOPD por su artículo 5, cuyo apartado 1, aplicable al supuesto de recogida de datos del propio afectado, como sucedería en el caso descrito en la consulta, establece que:
“Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
a) De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
b) Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
c) De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
d) De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
e) De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.”
En el presente caso, las imágenes tratadas afectan a un menor de edad, por lo que, debe tenerse en cuenta lo previsto en número primero del artículo 13 del Reglamento de desarrollo de la LOPD, según el cual “Podrá procederse al tratamiento de los datos de los mayores de catorce años con su consentimiento, salvo en aquellos casos en los que la Ley exija para su prestación la asistencia de los titulares de la patria potestad o tutela. En el caso de los menores de catorce años se requerirá el consentimiento de los padres o tutores.”
Asimismo, la publicación en la página web del colegio de las fotos de los alumnos constituye una cesión o comunicación de datos de carácter personal, definida por el artículo 3 j) de la LOPD como “Toda revelación de datos realizada a una persona distinta del interesado”.
En relación con las cesiones de datos, prescribe el artículo 11.1 de la LOPD que “Los datos de carácter personal objeto del tratamiento sólo podrán ser comunicados a un tercero para el cumplimiento de fines directamente relacionados con las funciones legítimas del cedente y del cesionario con el previo consentimiento del interesado”.
En consecuencia, tanto la toma de las fotografías, como su publicación en Internet requieren el consentimiento, en los términos antes señalados, del afectado o de sus padres si se trata de un menor de 14 años, de forma que cuando se tratan y ceden dichos datos personales sin el pertinente consentimiento, la LOPD establece el correspondiente mecanismo reactivo, constituido por el derecho de cancelación de datos de carácter personal, recogido en su artículo 16.
A este respecto, el artículo 31.2 del Reglamento de Desarrollo de la LOPD, precisa que “El ejercicio del derecho de cancelación dará lugar a que se supriman los datos que resulten ser inadecuados o excesivos, sin perjuicio del deber de bloqueo conforme a este reglamento”.
Añade el artículo 18.2 de la LOPD que “el interesado al que se deniegue, total o parcialmente, el ejercicio de los derechos de oposición, acceso, rectificación o cancelación, podrá ponerlo en conocimiento de la Agencia Española de Protección de Datos o, en su caso, del organismo competente de cada Comunidad autónoma, que deberá asegurarse de la procedencia o improcedencia de la denegación”.
Por consiguiente, los padres del menor afectado podrán ejercitar su derecho de cancelación ante el centro escolar como responsable del fichero, a fin de que se retiren las imágenes del menor de la página web. Dicho derecho deberá ser atendido en el plazo de 10 días que señala el artículo 16 de la LOPD, en otro caso, los afectados podrán recabar la tutela de esta Agencia en la forma prevista en el artículo 18 de la misma norma. Ello sin perjuicio de la posibilidad de instar de esta Agencia el ejercicio de su potestad sancionadora…”.
De acuerdo con lo expuesto, y, extrapolando este informe del Gabinete Jurídico de la AEPD al supuesto en ciernes, cabe significar que tanto la toma de las fotografías, como su publicación en Internet requieren el consentimiento del afectado o de su padre, madre o tutor/a, si se trata de un menor de 14 años, de forma que cuando se tratan y ceden dichos datos personales sin el pertinente consentimiento, la LOPD establece el correspondiente mecanismo reactivo, constituido por el derecho de cancelación de datos de carácter personal, recogido en su artículo 16
Siendo, pues, la imagen un dato personal, la toma de fotos de los miembros de esa entidad asociativa constituye, por consiguiente, un tratamiento de datos personales, debiendo obtenerse el consentimiento del menor, en los términos antedichos, si es menor o mayor de 14 años, y la de informar de los derechos que les asisten, así como sobre la identidad y dirección del responsable y sobre el uso que se va a dar a esos datos, lo cual conlleva a que la Autorización para la Publicación de Imágenes en las que aparecen Menores, tal como la que le remito en archivo adjunto, debería llevar a su finalización la siguiente apostilla:
“Les informamos, conforme a lo previsto en la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal, que sus datos de carácter personal serán incluidos en un fichero denominado …………………….,inscrito en el Registro de la Agencia de Protección de Datos y cuyo Responsable del fichero es …………………………..con Código de Identificación Fiscal ………
La finalidad de esta recogida de datos de carácter personal es poder prestarle r y ofrecer los servicios propios de la Asociación. A modo de ejemplo, le informamos que sus datos de contacto se consultarán y facilitarán para posibilitar las relaciones y comunicaciones entre los asociados (circulares, proyectos de actividades, etc.); las imágenes, fotografías, etc. se incluirán en las memorias anuales de actividades del Grupo; etc.
En cualquier caso, le informamos que podrá ejercitar de forma gratuita los derechos de acceso, rectificación, cancelación y oposición de sus datos que hayan sido recogidos en nuestros fichero privado mediante un escrito remitido, a tal efecto, al Jefe del Grupo Scout 179 “Maravillas”.
Espero haberle ayudado.
Cordialmente.
Rafael Pérez Castillo.
rperezcastillo@gmail.com