El Informe 0194/2009 del Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) aborda la cuestión de la publicación no consentida de fotos de una alumna en la página web de un centro escolar, analizando la actuación procedente conforme a la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal (LOPD).
El informe comienza determinando si las imágenes de la menor pueden considerarse datos de carácter personal. Según la LOPD, cualquier información concerniente a personas físicas identificadas o identificables se considera un dato personal. El artículo 5.1 del Reglamento de desarrollo de la LOPD especifica que las imágenes fotográficas también entran en esta categoría si permiten la identificación de las personas que aparecen en ellas.
Dado que las imágenes de la alumna permiten su identificación, se considera que su publicación en la web del colegio constituye un tratamiento de datos personales. Este tratamiento implica la recogida, grabación, conservación, elaboración, modificación, bloqueo, cancelación y cesión de datos, tal como define el artículo 3 de la LOPD.
El centro escolar, como responsable del fichero, tiene la obligación de obtener el consentimiento de los afectados para el tratamiento o cesión de sus datos y de informar sobre los derechos que les asisten, así como sobre la identidad y dirección del responsable y el uso que se dará a esos datos. El artículo 6.1 de la LOPD establece que el tratamiento de datos personales requiere el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. Este consentimiento debe ser libre, inequívoco, específico e informado.
En el caso de menores de edad, el artículo 13 del Reglamento de desarrollo de la LOPD establece que se requiere el consentimiento de los padres o tutores para el tratamiento de datos de menores de catorce años. La publicación de las fotos en la web del colegio se considera una cesión de datos, definida como la revelación de datos a una persona distinta del interesado.
El informe concluye que tanto la toma de las fotografías como su publicación en Internet requieren el consentimiento del afectado o de sus padres si se trata de un menor de 14 años. En caso de no obtenerse este consentimiento, la LOPD establece el derecho de cancelación de datos, que debe ser atendido en un plazo de 10 días. Los padres del menor afectado pueden ejercitar este derecho ante el centro escolar, y en caso de denegación, pueden recurrir a la AEPD.
Además, el informe hace referencia al Dictamen 2/2009 del Grupo de Trabajo del artículo 29 de la UE, que recomienda un cumplimiento más riguroso de los principios de protección de datos en el caso de sitios web creados por colegios. Se aconseja implementar mecanismos de acceso restringido y evaluar cuidadosamente la pertinencia y el objetivo de la publicación de fotos de alumnos en Internet. La AEPD también ha publicado recomendaciones específicas para la protección de datos de los menores, advirtiendo sobre los riesgos de publicar fotos que identifiquen a niños en contextos como el escolar.