Agencia Espanola Proteccion Datos (AEPD) har utfärdat en sanktionsavgift på 10 000 euro mot Escola les Carolines Coop. V. för överträdelser av dataskyddsförordningen (GDPR).
Av beslutet framgår att ärendet inleddes efter att AEPD tagit emot ett klagomål från föräldrarna till ett minderårigt barn med funktionsnedsättning. Klagomålet avsåg två affischer som hade satts upp på skolgården respektive i barnets klassrum. Affischerna innehöll ett fotografi av barnet, som framställdes som offer för aggression från en annan elev, tillsammans med piktogram som illustrerade oönskat beteende.
Skolan gjorde gällande att affischerna hade ett pedagogiskt syfte och hänvisade till lagstadgade skyldigheter enligt spansk skollagstiftning. Vidare åberopade skolan antingen berättigat intresse eller föräldrarnas samtycke, med stöd av ett tillstånd från 2021 som barnets far hade lämnat för användning av barnets bild i generell skolkommunikation.
AEPD konstaterade att skolan hade behandlat personuppgifter i form av fotografier av ett minderårigt barn utan giltig rättslig grund enligt artikel 6.1 GDPR. Myndigheten betonade särskilt vikten av samtycke vid behandling av barns personuppgifter och fann att faderns tillstånd endast omfattade användning av barnets bild för allmän skolreklam, inte för affischer som rörde en våldsincident. Det förelåg därmed inget uttryckligt, specifikt eller informerat samtycke för den aktuella behandlingen. Skolans hänvisning till rättsliga förpliktelser avfärdades också, eftersom de åberopade utbildningslagarna inte tillåter offentlig exponering av ett barns bild utan föräldrarnas samtycke.
Slutligen bedömde AEPD att behandlingen inte heller kunde grundas på berättigat intresse. Trots dess pedagogiska syfte ansågs barnets grundläggande rättigheter och värdighet väga tyngre än skolans intresse. Varken barnet eller dess föräldrar kunde rimligen ha förväntat sig denna användning av bilden. Mot denna bakgrund beslutade AEPD att påföra skolan en sanktionsavgift om 10 000 euro.