E-02945-2018

1/7 Expediente Nº: E/02945/2018 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad INGESPORT HEALTH AND SPA CONSULTING, S.L. en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 14 de mayo de 2018, tuvo entrada en esta Agencia escrito del Ayuntamiento de Madrid trasladando copia de la reclamación interpuesta en la Oficina de Consumo el 4/09/2017 por D. A.A.A. (en lo sucesivo el denunciante) contra INGESPORT HEALTH AND SPA CONSULTING, S.L. (en lo sucesivo INGESPORT) comunicando que es usuario del gimnasio GO FIT VALLEHERMOSO y para poder reservar clases le dicen que debe descargarse la aplicación móvil “MY GO FIT”, la cual le obliga a facilitar datos, dando opción a compartirlos en redes sociales y toma datos de salud de su actividad física. La solicitud de consentimiento no es acorde con la Ley de Protección de Datos. El citado Ayuntamiento adjunta copia de la reclamación interpuesta y de las gestiones realizadas, entre ellas Inspección realizada el 13/04/2018 y copia de los Términos y Condiciones de la aplicación denunciada. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1 Con fecha 20 de septiembre de 2018 se realiza una visita de inspección en la sede de INGESPORT, poniéndose de manifiesto los siguientes hechos, recogidos así en el Acta de Inspección: 1.1. INGESPORT tiene como actividad la consultoría estratégica en el deporte y la actividad física. Gestiona centros deportivos y programas que estimulan hábitos de vida saludables. En España ha implantado la cadena de centros deportivos GO FIT, constituyendo un grupo de 20 empresas, de la que INGESPORT es matriz y presta los servicios centrales siendo corresponsable de los tratamientos de datos personales. Entre las filiales se incluye CENTRO DEPORTIVO VALLERHERMOSO, S.A., en adelante CD VALLEHERMOSO 1.2. CD VALLEHERMOSO e INTELINOVA SOFTWARE S.L. han suscrito un contrato de cesión el uso, sin exclusiva, del programa de software “TRAININGYM”, la aplicación móvil “MY GO FIT” y de los servicios soporte y mantenimiento técnico del mismo, y actualizaciones. 1.3. Las personas que desean contratar los servicios de uno de los centros debe dirigirse a la zona de recepción del centro, donde se realiza el procedimiento C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7 de alta del abonado, a través de una aplicación informatica, con la que se recaban los siguientes datos: Datos personales básicos, el producto que se contrata y los datos de cobro, así como los consentimientos para el envío de publicidad, tratamiento de imágenes en los medios del grupo y tratamiento de Imágenes para redes sociales, tanto del cliente como de los posibles menores en abonos familiares. 1.4. El proceso finaliza con la firma de del contrato a través de un dispositivo móvil (TABLET), momento en el que se remite a la dirección de correo electrónico facilitada por el usuario copia del contrato suscrito, además de las claves de acceso a la zona personal de la página web del centro (www.go-fit.es). La contraseña facilitada es temporal siendo requerido su cambio en el primer acceso. El contrato incluye las cláusulas informativas sobre los tratamientos de datos de carácter personal y los derechos del interesado. 1.5. Tras la firma del contrato, se toma fotografía y se le asigna una llave electrónica para el acceso al centro deportivo. 1.6. También voluntariamente, se facilita al usuario un cuestionario para valorar su estado físico con el fin de recomendar un plan de entrenamiento personalizado. 1.7. Además, existe un campo de observaciones en el que se anota información sobre patologías informadas voluntariamente por el usuario que puedan afectar al entrenamiento (por ejemplo, lesiones). 1.8. Los usuarios pueden consultar en cualquier momento la política de privacidad en la página web, para conocer cómo puede ejercer sus derechos, e incluso ejercer el derecho a la portabilidad de sus datos, darse de baja o solicitar el borrado de sus datos personales. 1.9. Los usuarios que deseen utilizar las instalaciones de distintos centros deportivos tienen que repetir el proceso de alta en cada uno de ellos. Cada uno de los centros deportivos solamente tiene acceso a los datos de los usuarios que han suscrito el correspondiente contrato en el proceso de alta, no teniedo acceso a datos de usuarios de otros centros. No obstante, INGESPORT, como corresponsable de los tratamientos de datos personales, tiene acceso a todos los datos de los usuarios de todos los centros. 1.10. Durante el uso de las instalaciones, el usuario puede introducir la llave electrónica en algunos aparatos para recoger la información de las distintas actividades desarrolladas con objeto de que posteriormente pueda hacer un seguimiento a través de su área personal de la página web. 1.11. Además, los centros ponen a disposición de los usuarios una aplicación móvil gratuita denominada “MY GO FIT”. El acceso a esta aplicación requiere la identificación y autenticación del usuario mediante las claves que le fueron facilitadas durante el proceso de alta del usuario en el centro deportivo. 1.12. Esta aplicación permite a los usuarios gestionar su área personal, realizar seguimiento de los entrenamientos y la reserva de las actividades programadas en el centro. La aplicación no recoge datos sobre la actividad del usuario a través de los sensores del terminal móvil, solamente permite el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7 acceso a los datos existentes en la zona privada. También permite introducir manualmente datos sobre actividades. 1.13. La aplicación permite consultar en cualquier momento la política de privacidad para conocer cómo puede ejercer sus derechos, e incluso ejercer el derecho a la portabilidad de sus datos, darse de baja o solicitar el borrado de sus datos personales. 1.14. Los datos de salud del usuario se recaban directamente mediante un cuestionario de salud inicial en el centro deportivo, con la finalidad de elaborar un plan de entrenamiento de forma individualizada. Una vez realizada la entrevista, los datos recabados a través del software de gestión del centro deportivo, se sincronizan directamente con la aplicación móvil. 1.15. En el fichero de usuarios constan los datos personales relativos al denunciante, datos básicos, de pago y de acceso al centro, no encontrándose datos relativos a actividades, de salud ni de realización de test. 1.16. Se recabó copia del contrato suscrito por el cliente con CD VALLEHERMOSO. S.A., fechado el día 14 de septiembre de 2015 y del clausulado del mismo, que incluye una cláusula de protección de datos y privacidad en la que se informa de los tratamientos, finalidades y derechos de protección de datos y se solicita autorización para el envío de publicidad y tratamiento de imagen, no constando cumplimentado las casillas correspondientes a dichos consentimientos. Además, se informa de que el responsable de los tratamientos es INGESPORT y el resto de empresas que forman parte del grupo GO Fit. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 126.1, apartado segundo, del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre (RLOPD) establece: “Si de las actuaciones no se derivasen hechos susceptibles de motivar la imputación de infracción alguna, el Director de la Agencia Española de Protección de Datos dictará resolución de archivo que se notificará al investigado y al denunciante, en su caso.” III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 El artículo 5 de la LOPD señala que: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
2. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
3. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
4. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
5. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
6. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.” En presente cado el citado Ayuntamiento adjuntó copia de la Inspección realizada el 13/04/2018 y copia de los Términos y Condiciones de la aplicación denunciada. Términos y Condiciones que eran acordes con el contenido del art. 5 de la LOPD. IV No obstante, desde el 25 de mayo de 2018 resulta de aplicación el Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos -RGPD), cuyo artículo 13 ha desplazado al artículo 5 de la LOPD, por lo que se ha estimado oportuno analizar la información en materia de protección de datos que se ofrece a través de la web a la que se refieren las actuaciones, para comprobar su adecuación al citado Reglamento. El artículo 13 de dicho Reglamento establece lo siguiente: “Información que deberá facilitarse cuando los datos personales se obtengan del interesado. 1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
7. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
8. b)los datos de contacto del delegado de protección de datos, en su caso;
9. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 del tratamiento;
10. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
11. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
12. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
13. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
14. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
15. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
16. d)el derecho a presentar una reclamación ante una autoridad de control;
17. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
18. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. La información actual que ofrece en esta materia la entidad denunciada, que consta detallada en el Hecho Segundo, hace referencia al cumplimiento de lo establecido en el 13 RGPD citado, detallando los apartados que en el mismo se establecen. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 V Así mismo, el artículo 12 de la LOPD “acceso a datos por cuenta de terceros”, establece lo siguiente: “1. No se considerará comunicación de datos el acceso de un tercero a los datos cuando dicho acceso sea necesario para la prestación de un servicio al responsable del tratamiento. 2. La realización de tratamientos por cuenta de terceros deberá estar regulada en un contrato que deberá constar por escrito o en alguna otra forma que permita acreditar su celebración y contenido, estableciéndose expresamente que el encargado del tratamiento únicamente tratará los datos conforme a las instrucciones del responsable del tratamiento, que no los aplicará o utilizará con fin distinto al que figure en dicho contrato, ni los comunicará, ni siquiera para su conservación, a otras personas. En el contrato se estipularán, asimismo, las medidas de seguridad a que se refiere el artículo 9 de esta Ley que el encargado del tratamiento está obligado a implementar. 3. Una vez cumplida la prestación contractual, los datos de carácter personal deberán ser destruidos o devueltos al responsable del tratamiento, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento. 4. En el caso de que el encargado del tratamiento destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del contrato, será considerado, también, responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido personalmente”. El citado artículo 12 de la LOPD permite que el responsable del fichero habilite el acceso a datos de carácter personal por parte de la entidad que va a prestarle un servicio –encargado del tratamiento- sin que, por mandato expreso de la ley, pueda considerarse dicho acceso como una cesión de datos. La LOPD exige que el acceso a datos por cuenta de terceros figure reflejado en un contrato por escrito o en alguna otra forma que permita acreditar su celebración y contenido, y prevé unos contenidos mínimos, tales como seguir las instrucciones del responsable del tratamiento, no utilizar los datos para un fin distinto, no comunicarlos a otras personas, estipular las medidas de seguridad del artículo 9 y, cumplida la prestación, destruir los datos o proceder a su devolución al responsable del tratamiento. En el presente caso, ha quedado acreditado que INGESPORT en España ha implantado la cadena de centros deportivos GO FIT, constituyendo un grupo de 20 empresas, de la que INGESPORT es matriz y presta los servicios centrales siendo corresponsable de los tratamientos de datos personales. Entre las filiales se incluye CD VALLEHERMOSO. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 Así mismo ha quedado acreditado que CD VALLEHERMOSO e INTELINOVA SOFTWARE S.L. han suscrito un contrato de cesión el uso, sin exclusiva, del programa de software “TRAININGYM”, la aplicación móvil “MY GO FIT” y de los servicios soporte y mantenimiento técnico del mismo, y actualizaciones. Dicho acuerdo suscrito el 1/08/2017 es conforme con el citado art. 12 de la LOPD. En consecuencia, no ha quedado acreditado que se haya producido vulneración de la normativa de protección de datos en relación con el tratamiento de los datos por parte de las citadas entidades. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a INGESPORT HEALTH AND SPA CONSULTING, S.L. y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en los artículos 112 y 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es