PS-00021-2025

(28290)Las Rozas, Madrid, calle Rozabella nº 6, Parque Europa Empresarial. A tal efecto, se considera que los datos que el socio/a proporciona son ciertos. Los datos de patrón biométrico serán utilizados como confirmación para la aceptación del contrato así como para el acceso al gimnasio. La lectura biométrica no implica la grabación de la huella y los datos obtenidos no son en ningún caso tratables como huella dactilar. La finalidad de dicho fichero es dar cumplimiento a la prestación de los servicios contratados por el socio, así como la gestión comercial y el envío o comunicación de publicidad o información de carácter comercial o bien de encuestas de satisfacción por cualquier medio. En caso de que el/la socio/a no desee recibir publicidad o información comercial deberá marcar la casilla correspondiente a la aceptación del contrato. ☐ No deseo recibir publicidad. (…). (…). - Copia del contrato suscrito entre (…) reclamante y la entidad HOLIDAY FIT TRES CANTOS, S.L. (en adelante, HOLIDAY FIT), en fecha 13 de octubre de 2022, por una validez de 12 meses. En la copia constan dos firmas, la de “El socio” ((…) reclamante), que se corresponde con un código alfanumérico de socio/a ((…)), y la de HOLIDAY FIT TRES CANTOS, S.L. con una firma manuscrita. - En el contenido de la reclamación, se aporta el texto plano de un correo electrónico que, según (…) reclamante, recibió de la dirección electrónica “No replay Holiday Gym (…)”, en fecha 8 de febrero de 2021 a las 14:51 horas, en contestación a la reclamación que presentó a través de la página web del gimnasio. El contenido es el siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/45 “A.A.A. Gracias por contactarnos a través de sugerencias. Hemos derivado su solicitud al departamento correspondiente para ser analizada (le reenviamos su contrato donde especifica el apartado al que usted se refiere) DUODÉCIMA.- Con la firma del presente contrato el socio concede autorización para que la empresa pueda utilizar indistintamente todas las imágenes, fotografías, vídeos, archivos de voz, material gráfico, etc., (en adelante las imágenes) en las que intervenga, o sea parte de las mismas. Asimismo, el socio autoriza la comunicación o cesión de las imágenes a las personas que la empresa considere oportunas, con el mismo objeto indicado en el apartado anterior, informándole expresamente de que en algunos casos para dicha cesión se realizarán transferencias internacionales de datos. En concreto, estos datos podrán ser comunicados a terceros, sin ningún consentimiento adicional por su parte, siempre que esta comunicación se limite a esta finalidad. Él socio concede esta autorización con un ámbito territorial y temporal amplio, por lo que la empresa podrá utilizar las imágenes, o parte de las mismas, en todo el territorio español y en todos los países del mundo sin limitación geográfica de ninguna clase. El socio concede esta autorización para la utilización de las imágenes en las que aparece, o parte de las mismas, en el ámbito y finalidades tanto de comunicación y difusión de la actividad de la empresa, como de cualquier otro proyecto, entendido éste en su forma más amplia, destinado de forma enunciativa, pero no limitativa a la promoción de las actividades de la empresa, en sus propios centros, su página web y en cualquier otro medio que la empresa, considere, pudiendo ser explotados en todos los medios conocidos en la actualidad y los que pudieran desarrollarse en el futuro, todo ello con la única salvedad y limitación de aquellas utilizaciones o aplicaciones que pudieran atentar al derecho al honor, a la moral y/o al orden público, en los términos previstos en la legislación vigente en cada país. Esta autorización se entiende hecha con carácter gratuito. Como consecuencia de la cesión, el socio exime expresamente a la empresa de toda responsabilidad sobre cualquier uso que pueda hacer un tercero de las imágenes, fuera del ámbito territorial, temporal y material objeto del presente contrato. Todo ello al amparo de lo dispuesto en la Ley Orgánica 1/1982, de 5 de mayo, de Protección Civil del Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen, así como el Reglamento UE 2016/679, de 27 de abril de 2016 y demás normativa de protección de datos aplicable. Gracias por ser parte de la familia Holiday Gym. Le informamos que esta cuenta de correo electrónico únicamente es de emisión de correos. El buzón de entrada de esta cuenta no recibe correos. Para contactar con nosotros puede hacerlo a través del Formulario de Sugerencias en nuestra web o APP. Un cordial saludo, B.B.B. Departamento de Atención cliente Holiday Gym El contenido de la reclamación a la que daba respuesta la comunicación anterior es el siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/45 “Lo arriba indicado se trata de una cláusula o respuesta abusiva, a sabiendas que he comunicado muy claramente y en repetidas ocasiones que no consiento ni que me graben ni que usen grabaciones en las que aparezco. Por lo que se puede deducir que, además, están infringiendo la ley traficando ilegalmente con los datos. (…) Vuelvo a solicitar que borren todos los videos, fotos o imágenes desde el (…) ya que no se puede saber sin me han grabado o no (aunque sea parte de mi cuerpo o aunque no se me haya enfocado la cara. Siempre va a ser su palabra contra la mía, ya que yo no puedo acceder a los videos grabados. Solicito que borren todos mis datos y mi huella dactilar, que la usan para el acceso al centro. El borrado de datos también implica que no me envíen ningún tipo de publicidad. A pesar de que no me permiten entrar al gimnasio y han rescindido unilateralmente el contrato, me siguen enviando publicidad por medios electrónicos. (…) SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 6 de julio de 2023 se dio traslado de dicha reclamación a SCHOOL FITNESS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la LPACAP mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el artículo 43.2 de la LPACAP en fecha 17 de julio de 2023, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 20 de julio de 2023. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos; resultado notificado el 25 de julio de 2023. Con fecha 7 de agosto de 2023 se recibe en esta Agencia escrito de respuesta de SCHOOL FITNESS, en el que negaba los hechos objeto de reclamación y el incidente de 9 de mayo de 2023 y realizaba las siguientes manifestaciones: - En relación con la grabación de imágenes, “en el contrato de suscripción los socios consienten de forma expresa la grabación y difusión de las imágenes en la práctica de sesiones individuales y colectivas y además se solicita verbalmente el consentimiento al interesado“ y “No se almacenan ni publican grabaciones de las sesiones sin consentimiento del usuario.”. - Respecto al ejercicio de derechos de (…) reclamante, “no hay base para la reclamación de protección de datos por la sencilla razón de que no se ha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/45 obtenido ninguna imagen de ella, ni se ha almacenado por lo que no hay nada que cancelar”. - En cuanto a la adopción de medidas, “Entiende la compañía que no procede adoptar ninguna medida al respecto si bien tras la recepción de la presente comunicación se ha mantenido una reunión con el departamento de atención al cliente para revisar el caso concreto informando a los empleados de las últimas novedades sobre protección de datos.”. Junto al escrito, se aportó la siguiente documentación: - Documento nº1 “Reclamación día 7221.pdf”. Reclamación presentada por (…) reclamante ((...). Cliente. Tres Cantos), en fecha 7 de febrero de 2021, a través de la página web de HOLIDAY FIT TRES CANTOS. En su contenido expone (

1. i)la queja sobre las presuntas grabaciones de imágenes de clientes sin su consentimiento, (
2. ii)el malestar sufrido y las consecuencias que está padeciendo la parte reclamante por ello y (iii) que no consiente ni autoriza a que se le hagan fotos ni videos en ninguno de sus centros y en general. - Documento nº2 “Contestación día 8221.pdf”. Contestación emitida por el Departamento de Atención al cliente de Holiday Gym, en fecha 8 de febrero de 2021, a la queja presentada por (…) reclamante. En la cabecera del documento figura “08/02/2021 (...) Email enviado al cliente” y el siguiente contenido: “A.A.A., Te informamos que como te hemos indicado en anteriores reclamaciones nunca se graba a nadie que no autorice ser grabado para la promoción de las actividades del centro por parte de la marca, de nuevo si ha habido una confusión con este tema te pedimos disculpas puesto que nunca enfocamos a ningún usuario que no desee ser grabado haciendo mucho énfasis en esto. Gracias por ser parte de la familia Holiday Gym. Esta cuenta de correo electrónico únicamente es de emisión de correos. El buzón de entrada de esta cuenta no recibe correos. Para contactar con nosotros puede hacerlo a través del Formulario de Sugerencias en nuestra web o APP. Un saludo, B.B.B. Dpto. de Atención cliente Holiday Gym” - Documento “Contrato baja devoluciones.pdf”. En su contenido figura: C/ Jorge Juan, 6 28001 – Madrid o Copia del contrato suscrito entre (…) reclamante y la entidad HOLIDAY FIT TRES CANTOS, S.L., en fecha 13 de septiembre de 2022, por una validez de 12 meses. En la copia constan dos firmas, la de “El socio” ((…) reclamante), que se corresponde con un código alfanumérico de socio/a ((...)), y la de la HOLIDAY FIT TRES CANTOS, S.L. con una firma manuscrita. o Copia del contrato de baja de (…) reclamante, de fecha 18 de mayo de 2023, firmado únicamente por HOLIDAY FIT TRES CANTOS, S.L., con el siguiente contenido: www.aepd.es sedeagpd.gob.es 6/45 “(…)” En el apartado “Anexo” figura la siguiente cláusula en materia de protección de datos de carácter personal: “2. En este momento, en el que usted solicita la baja, le recordamos que puede ejercer sus derechos de acceso, rectificación cancelación u oposición, dirigiéndose a School Fitness Holiday Franchising (a la atención del Departamento Jurídico) como responsable del Fichero en la dirección de email: ***EMAIL.1, o en la siguiente dirección postal: ***DIRECCIÓN.1” o Copia del extracto bancario sobre el cobro de la cuota y la devolución parcial tras la baja a (…) reclamante, con “fecha de impresión 7 de agosto de 2023”. TERCERO: Con fecha 30 de agosto de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: Debido a la naturaleza del caso, se ha considerado necesario la realización de una inspección presencial para poder constatar de manera fehaciente la existencia de cámaras grabación, toma de imágenes de clientes y otros aspectos relacionados. Asimismo, poder verificar in situ los protocolos y operativas existentes al respecto, en el entorno en el que presuntamente se han producido los hechos reclamados. Se realizaron dos inspecciones presenciales, la primera inspección tuvo lugar el 22 de noviembre de 2023, mientras que la segunda se realizó el 19 de diciembre de 2023. Esto fue debido a que la primera de ella se solicitó la autorización únicamente para la realización de actuaciones de investigación a SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L. y la segunda a la otra entidad investigada, HOLIDAY FIT TRES CANTOS S.L., que es la entidad que gestiona el establecimiento físico del gimnasio. Tomando como referencia la actuación AT/03558/2023, en la que se dispuso el traslado de la reclamación a SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L., fue esta misma entidad la que respondió a la solicitud de información y no manifestó en ningún momento otra casuística organizativa diferente. Sin embargo, durante el transcurso de la primera inspección, a partir de las manifestaciones aportadas por los representantes de la entidad y la revisión de la documentación facilitada en la reclamación, se aclaró el marco empresarial en el que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/45 se enmarcan las entidades investigadas y la organización del grupo comercial, como se detallará posteriormente. Los resultados obtenidos en ambas inspecciones fueron similares, siendo además el principal representante de las entidades, en calidad de apoderado, la misma persona en ambos casos. La inspección se compuso de dos partes, tal como refleja el acta de inspección. En una primera, el equipo de inspección de esta Agencia se reunió con los representantes de la parte reclamada, expuso el motivo de su visita y detalle de los hechos reclamados y atendieron las manifestaciones de la parte reclamada al resto. La segunda parte consistió en la recopilación de evidencias junto con la realización de diferentes pruebas en los sistemas de información empleados por el gimnasio. 1. Información obtenida.  Organización empresarial Los representantes de HOLIDAY FIT señalaron que (
3. i)HOLIDAY FIT TRES CANTOS S.L. forma parte del grupo de empresas que actúan bajo la marca comercial HOLIDAY GYM, siendo la matriz del grupo la empresa SCHOOL FITNESS HOLIDAY & FRANCHISING S.L. y que (
4. ii)cada empresa del grupo dispone de personalidad jurídica propia y autonomía de gestión. No obstante, la empresa matriz actúa como coordinadora y se encarga de gestiones comunes del grupo como la promoción de la marca comercial. De hecho, es la encargada de gestionar las distintas cuentas que el grupo dispone en redes sociales para estas promociones y de la publicación de contenidos. El gimnasio ubicado en Tres Cantos, por tanto, es competencia de HOLIDAY FIT TRES CANTOS S.L., siendo el personal que allí trabaja empleados de esta entidad. Los roles que desempeñan ambas entidades son los de corresponsables del tratamiento, como se comentará a continuación. Cabe señalar que este modelo se ha ido adaptando durante el tiempo, motivo por el que parte de la documentación aportada hacía referencia a una relación directa entre (…) reclamante y SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L. Respecto de esta cuestión, HOLIDAY FIT aportó la siguiente documentación: - Documento “Docs 4, 5, 6.pdf”. Copia del “Acuerdo de colaboración y tratamiento de datos personales” sobre el grupo empresarial y las relaciones que articulan el funcionamiento entre SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L. y HOLIDAY FIT TRES CANTOS S.L. (en adelante, el gimnasio), en fecha 1 de julio de 2018. Figura la firma manuscrita de C.C.C.. Los roles definidos según este acuerdo son los de corresponsables, tal como se indica: “las citadas empresas van a colaborar con la finalidad de optimizar la experiencia para los clientes, constituyéndose en corresponsables del tratamiento de los datos personales”. Posteriormente, se indica que este aspecto será informado a los clientes: “El GIMNASIO informará a los clientes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/45 de la citada relación de corresponsabilidad como parte del proceso de alta de nuevos clientes”. Respecto al tratamiento que realizará cada uno, se señala: “El GIMNASIO tratará los datos personales de sus clientes con la finalidad de gestionar la facturación y el cobro del servicio, para prestar el servicio presencial de entrenamiento físico y para la venta presencial de productos para entrenamiento”. Por otra parte, “SCHOOL FITNESS HOLIDAY & FRANCHISING SL. tratará los datos personales que reciba del GIMNASIO con las siguientes finalidades: - Gestionar el acceso de los socios al gimnasio, en función de la tarifa de cada uno. - Ofrecer servicios digitales (rutinas de entrenamiento, música para entrenar, etc.) a todos los clientes del GIMNASIO a través de la web holidaygym.es, y la aplicación móvil del mismo nombre. - Enviar información comercial en formato electrónico. - Venta online de productos para entrenamiento. - Mantenimiento del fichero “Derechos de Admisión - Publicar imágenes y videos promocionales de los gimnasios en la web y en las redes sociales (exclusivamente de los empleados del GIMNASIO y de los clientes que hayan prestado su consentimiento).” En relación con el ejercicio de derechos, se indica la siguiente operativa de trabajo: “El ejercicio de derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, que las personas ejerzan presencialmente se atenderán en la recepción del GIMNASIO. Si el ejercicio de derechos que realiza una persona lo hace de forma postal, o electrónica, las solicitudes las atenderá SCHOOL FITNESS HOLIDAY & FRANCHISING SL.”  Grabación de vídeos e imágenes: Los representantes de HOLIDAY FIT manifestaron que (
5. i)la grabación y toma de imágenes se realiza con la finalidad de promocionar comercialmente el gimnasio, mostrando las diferentes actividades que se realizan en él, pero que es ocasional, por ejemplo, en alguna festividad o fechas señaladas; y que (
6. ii)en el caso del establecimiento de Tres Cantos (HOLIDAY FIT TRES CANTOS S.L.), es el (…) de ese centro la única persona que graba imágenes de los clientes. Se toman mediante un único teléfono móvil corporativo que custodia el mismo (…). Asimismo, los representantes de la citada entidad señalaron que disponen de un protocolo escrito respecto a la grabación de imágenes, contenido dentro del manual existente a disposición de los monitores, junto con las cláusulas de protección de datos del contrato de trabajo. Dentro de las medidas indicadas por el responsable, está también el que no se empleen teléfonos personales de los monitores dentro de las aulas mientras imparten clases. También existe una formación básica sobre tratamiento de datos a su incorporación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/45 Respecto de esta cuestión, HOLIDAY FIT( TRES CANTOS aportó la siguiente documentación: - Documento “Doc.3 MPO General.pdf”. Copia del “Manual de procedimiento general” que existente a disposición de los empleados de aplicación para esta casuística. No consta fecha de publicación y en todas las páginas aparece el logo “Holiday Gym”. En el apartado “Protección de datos” (página 4 y siguientes), se destacan los siguientes aspectos: “(…)” “(…)” “(…)” En el apartado “Monitores” (página 15 y siguientes), se destacan las siguientes cuestiones: “(…)” “(…)” - Documento “Docs 4, 5, 6.pdf”. Copia de un “Contrato de trabajo indefinido” suscrito en febrero de 2022 entre HOLIDAY FIT TRES CANTOS S.L. y un empleado con cargo de “monitor polivalente”, cuyos datos aparecen anonimizados; así como de las cláusulas de protección de datos y confidencialidad que figuran en dicho contrato (Páginas 1 a 16). Entre las cláusulas consta un “Compromiso de confidencialidad” con HOLIDAY FIT TRES CANTOS S.L., señalando que el empleado: “(…).” Se concreta también que no deberá recopilar ninguna información a la finalización de la relación laboral “(…)”. Existen dos apartados sobre el uso de los sistemas informáticos. En ellos no se ha localizado mención al empleo de teléfonos móviles. Sobre la autorización del uso de imágenes, se orienta a la publicación de imágenes de los propios empleados, no así de los clientes (…). Y, se detallan los siguientes aspectos: “(…)”. Figura al final de este apartado un recuadro para autorizar o rechazar el tratamiento de la imagen propia.  Difusión de vídeos e imágenes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/45 Respecto a la difusión del material multimedia, Los representantes de HOLIDAY FIT señalaron (
7. i)que estas imágenes se publican en redes sociales, concretamente en Instagram en la cuenta del grupo, en las denominadas historias de la aplicación, que tienen una duración de 24 horas, (
8. ii)que se han utilizado en Facebook y están en vías de emplearlas en TikTok, (iii) que para publicaciones fijas, cartelería, etc., emplean material de un banco de imágenes, etiquetando a los propios clientes en algunas de estas publicaciones temporales de redes sociales; y (
9. iv)que la publicación de estos contenidos la realiza el departamento de marketing de la matriz, ubicado en sus servicios centrales. No se publican desde cada gimnasio concreto. Respecto a la operativa empleada para la grabación en sí, así como la motivación de la misma, los representantes de HOLIDAY FIT TRES CANTOS manifestaron que el departamento de marketing es el encargado de tomar la iniciativa sobre las distintas campañas que se realizan, generalmente, para fechas o eventos señalados. Para ello solicitan a los distintos gimnasios que tomen imágenes y vídeos de las actividades u otros aspectos como la decoración. Estas solicitudes se realizan mediante correo electrónico corporativo. Los archivos multimedia se comparten empleando la herramienta OneDrive, a través de una carpeta compartida entre cada uno de los gimnasios y el departamento de marketing. Una vez el contenido ha sido descargado por el departamento de marketing, proceden a borrarlo de OneDrive. Señalaron que los archivos se borran del teléfono móvil de forma periódica por el (…) del centro y, respecto al correo electrónico, el (…) del centro (…) no borra específicamente los correos enviados según manifiestan. Tampoco existe una configuración de correo para la eliminación automática de manera periódica.  Relación e información para los clientes respecto a las grabaciones: Respecto al consentimiento aportado por los clientes, los representantes de HOLIDAY FIT TRES CANTOS manifestaron que el consentimiento para la grabación, además de las cláusulas contractuales que se tratarán a continuación, se recaba de forma verbal al inicio de cada clase que vaya a ser grabada. En el mismo acto se informa de la finalidad de la grabación. En caso de que alguna persona indique que no quiere ser grabada, se le solicita que se retire para no salir en la grabación o que abandone el aula durante ese momento. Los representantes de HOLIDAY FIT manifiestan que los clientes son informados de sus derechos de protección de datos, tanto en la aplicación móvil como en la página web. En el proceso de registro y suscripción es de obligada aceptación la política de privacidad y los términos legales. Consta en este apartado la forma de contacto para poder ejercer sus derechos, según manifestaciones. Respecto de esta cuestión, HOLIDAY FIT aporta la siguiente documentación: - Documento “Docs 4, 5, 6.pdf”. Copia de las “Condiciones de contratación” entre las que se encuentran la información en materia de protección de datos que se proporciona a los clientes durante el proceso de registro (Páginas 11 a 16). En el apartado “2. Aceptación del contrato y protección de datos”, se recogen los siguientes aspectos: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/45 “Información sobre protección de datos. Responsable del Tratamiento: El tratamiento de mis datos será realizado por dos corresponsables del tratamiento: SCHOOL FITNESS HOLIDAY & FRANCHISING SL. y HOLIDAY FIT TRES CANTOS SL. Finalidad del tratamiento: SCHOOL FITNESS HOLIDAY & FRANCHISING SL. es la titular de la marca Holiday Gym, del sitio web holidaygym.es y de la aplicación móvil del mismo nombre, tratará mis datos para gestionar mi acceso a los distintos gimnasios en función de mi tarifa, para ofrecerme los servicios digitales a los que tengo derecho como socio, para enviarme información en formato electrónico, para la venta online de productos para entrenamiento, para el mantenimiento del fichero de derecho de admisión y y en caso de que les otorgue mi consentimiento, para publicar imágenes o videos en la web o redes sociales. HOLIDAY FIT TRES CANTOS SL es la titular de la explotación del gimnasio en el que estoy contratando el servicio y tratará mis datos para gestionar la facturación y cobro del servicio y para prestarme los servicios presenciales de entrenamiento físico y la venta presencial de productos para entrenamiento. Legitimación: La base de legitimación general del tratamiento es la relación contractual con los dos corresponsables. El envío puntual de información comercial, el tratamiento de videovigilancia y control del derecho de admisión, por el interés legítimo de los corresponsables. Adicionalmente, mi consentimiento, si decido otorgarlo, es la base legitimación del tratamiento de las fotografías o videos en que aparezca mi imagen. Destinatarios: Mis datos personales y las imágenes de videovigilancia podrán ser compartidas con las Fuerzas y Cuerpos de Seguridad y con los Juzgados y Tribunales, en caso de ser necesarias para la investigación de faltas o delitos. En caso de que haya otorgado mi consentimiento, mi imagen podrá aparecer en fotografías o videos publicados en la web y redes sociales de Holiday Gym. No se cederán mis datos personales a otros terceros salvo obligación legal. Derechos: Tengo derecho a acceder, rectificar, suprimir y oponerme al tratamiento de mis datos personales. También tengo derecho a la portabilidad y a la limitación del tratamiento de mis datos, dirigiéndome a SCHOOL FITNESS HOLIDAY & FRANCHISING SL. ***DIRECCIÓN.1 o bien solicitándolo a la siguiente dirección de correo electrónico: ***EMAIL.1 También tengo derecho a presentar una reclamación ante la Agencia Española de Protección de Datos si considero que mis derechos han sido vulnerados. Condiciones de contratación. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/45 acepto el contrato incluyendo sus condiciones generales y específicas y las normas del gimnasio, y acepto expresamente el tratamiento de mis datos personales por parte de la empresa con los fines recogidos en el presente contrato/condiciones generales de contratación”. Mediante diligencia realizada por esta Agencia en fecha 8 de enero de 2025, se ha revisado el proceso de contratación a través de la página web ((...)) detectando información relevante que se ha omitido en la documentación aportada. En particular, durante el proceso de contratación consta el siguiente punto: (...) Este apartado es de obligada aceptación para la contratación de los servicios. Por tanto, podría entrar en contradicción con otras actuaciones y garantías relativas a la obtención del consentimiento de los interesados. Se ha verificado que la empresa a la que se hace referencia en este clausulado varía en función de la sede para la que se esté haciendo el registro online. El texto anteriormente citado se reproduce para el caso de realizar la contratación en el gimnasio ubicado en Tres Cantos Por otra parte, en el proceso de contratación online no se ha encontrado mención dentro del clausulado a lo indicado previamente relativo al consentimiento para el tratamiento de imágenes (“mi consentimiento, si decido otorgarlo, es la base legitimación del tratamiento de las fotografías o videos en que aparezca mi imagen.”). 2. Evidencias obtenidas. Pasando a continuación a las evidencias obtenidas durante la inspección presencial, el equipo de inspección de esta Agencia solicitó en primera instancia permiso a los representantes de HOLIDAY FIT TRES CANTOS para que les permitieran el acceso a sus instalaciones y les mostraran la operativa de grabación de imágenes, así como la transferencia de estos archivos y su posterior eliminación. Se realizaron las siguientes comprobaciones en el teléfono móvil y en el correo corporativo (mediante un ordenador) del (…) del centro, estando él presente y siendo quien manipuló los dispositivos: - A través del administrador de archivos del terminal móvil se revisaron distintas carpetas en las que se almacena contenido multimedia del sistema, no encontrando contenido relativo a clientes. - Se revisó el buzón de correo del (…) del centro, en las diferentes carpetas existentes. Se realizaron las comprobaciones de forma cronológica revisando los elementos más antiguos del buzón para constatar los procedimientos de conservación. Como resultados obtenidos, se verificó que no se encuentran envíos de vídeos antiguos cuyo material sea accesible. Sí se encontró un correo electrónico enviado al departamento de marketing del grupo corporativo con algunas fotografías de clientes, de fecha del 25 de mayo de 2023. Dichas fotografías no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/45 se enviaron mediante OneDrive, como es el procedimiento habitual, sino que se adjuntaron como documentos. Los representantes de la entidad manifiestan que se enviaron así ya que fueron proporcionadas por el propio cliente mediante correo electrónico y de forma excepcional se gestionó de esta manera por comodidad. Los inspectores comprueban que estas imágenes efectivamente proceden de un correo electrónico con el dominio Gmail.com. - No existen políticas de correo configuradas para la eliminación automática de correos electrónicos antiguos que contengan material multimedia (imágenes, vídeos), por lo que el borrado debe realizarse de manera manual. Adicionalmente se comprobó que el gimnasio no tiene cámaras fijas de grabación en las aulas ni en las instalaciones deportivas empleadas por los clientes, verificando las diferentes estancias de las que se compone el local. Sí dispone de una cámara a la entrada del establecimiento, pero no capta imágenes durante las actividades, únicamente de control de accesos. 3. Otras evidencias obtenidas. Los representantes de HOLIDAY FIT TRES CANTOS manifiestan que no hay transferencia de datos a terceros países. Indican que la referencia que figura en cierta documentación que era en contratos antiguos, para los que tampoco se hacía uso, pero figuraba para una mayor seguridad jurídica. Manifiestan que actualmente ya no consta. Por último, se señala que la Delegada de Protección de Datos no ha emitido un informe específico sobre este tratamiento. No existe un análisis de riesgo por escrito para este tratamiento, no obstante, manifiestan que en las reuniones mantenidas a nivel de dirección de la entidad se han tratado las medidas de seguridad que se deben llevar a cabo, aunque no se ha plasmado por escrito. 4. Publicación de imágenes y vídeos de clientes en redes sociales. A raíz de los hechos manifestados, se han revisado las publicaciones en redes sociales, en particular en Instagram, efectuadas desde la cuenta corporativa del grupo (***URL.2). En ella, la mayoría de las publicaciones son de monitores (que así lo señalan al inicio de las grabaciones) y las publicaciones temporales, cuya duración es de 24 horas, son con frecuencia de clientes que envían ellos mismos y que el grupo comparte desde la cuenta corporativa. No obstante, se han localizado las siguientes publicaciones del año 2024 relativas a la grabación de clases, realizadas directamente desde la cuenta corporativa, en las que sí aparecen clientes: - ***URL.3 ***URL.4 ***URL.5 ***URL.6 ***URL.7 ***URL.8 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/45 - ***URL.9 Al ser una cuenta común para la marca comercial, no consta en qué gimnasio particular han sido grabados estos vídeos. 5. Marco normativo y documentación adicional obtenida. HOLIDAY FIT TRES CANTOS ha facilitado, además de los documentos reseñada en este este informe, la siguiente documentación: - Documento “Doc.1. Registro actividades tratamiento School.pdf”. El registro, de “fecha de impresión” 2 de enero de 2024, se encuentra elaborado por SCHOOL FITNESS HOLIDAY & FRANCHISING S.L. y consta de 12 puntos. En el apartado “1. Atención derechos de las personas (ARCO)”, se recogen las siguientes cuestiones: “(…) (…) (…) (…) (…) (…) (…).” En el apartado “3. Clientes” se recogen los siguientes aspectos: “(…) (…) (…) (…) (…).” En el apartado “8. Imágenes”, se recogen los siguientes aspectos: “(…) (…) (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/45 (…).” En el apartado “12. Videovigilancia”, se recogen los siguientes aspectos: “(…) (…) (…) (…) (…).” - Documento “Doc 2. Contrato suscrito con Holiday Fit Tres Cantos.pdf”. o Copia del contrato suscrito entre (…) reclamante y la entidad HOLIDAY FIT TRES CANTOS, S.L., en fecha 13 de septiembre de 2022, por una validez de 12 meses, la copia del contrato de baja de (…) reclamante, de fecha 18 de mayo de 2023, firmado únicamente por HOLIDAY FIT TRES CANTOS, S.L. y copia del extracto bancario sobre el cobro de la cuota y la devolución parcial tras la baja a (…) reclamante, con “fecha de impresión 7 de agosto de 2023”. Esta documentación es idéntica a la aportada por SCHOOL FITNESS en su respuesta al traslado, de fecha 7 de agosto de 2023. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad SCHOOL FITNESS es una empresa constituida en el año 2001, y con un volumen de negocios de 978.207€ euros en el año 2023. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/45 en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de las presuntas infracciones cometidas, se inicia un procedimiento sancionador. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
10. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas Tratamiento de datos personales El artículo 4.1) del RGPD define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” En el presente caso, la grabación y publicación de imágenes y vídeos captados durante las clases impartidas en gimnasios supone un tratamiento de datos personales por cuanto la imagen es un dato personal. Dicho tratamiento se pone de manifiesto en la documentación aportada en el marco de las actuaciones previas de investigación realizadas por esta Agencia. Roles respecto de la grabación y publicación de imágenes y vídeos con fines promocionales El artículo 4.7) del RGPD define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/45 solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. El artículo 4.8) del RGPD define al «encargado del tratamiento» o «encargado» como “la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. El artículo 26 del RGPD define “Corresponsables del tratamiento” como: “1. Cuando dos o más responsables determinen conjuntamente los objetivos y los medios del tratamiento serán considerados corresponsables del tratamiento. Los corresponsables determinarán de modo transparente y de mutuo acuerdo sus responsabilidades respectivas en el cumplimiento de las obligaciones impuestas por el presente Reglamento, en particular en cuanto al ejercicio de los derechos del interesado y a sus respectivas obligaciones de suministro de información a que se refieren los artículos 13 y 14, salvo, y en la medida en que, sus responsabilidades respectivas se rijan por el Derecho de la Unión o de los Estados miembros que se les aplique a ellos. Dicho acuerdo podrá designar un punto de contacto para los interesados.” En el Acta de inspección de 19 de diciembre de 2023 se destacan las siguientes manifestaciones de los representantes de HOLIDAY FIT TRES CANTOS: 1. “HOLIDAY FIT TRES CANTOS SL forma parte del grupo de empresas que actúan bajo la marca comercial HOLIDAY GYM, siendo la matriz del grupo la empresa SCHOOL FITNESS HOLIDAY & FRANCHISING SL. Cada empresa del grupo dispone de personalidad jurídica propia y autonomía de gestión, no obstante, la empresa matriz actúa como coordinadora y se encarga de gestiones comunes del grupo como la promoción de la marca comercial. De hecho, es la encargada de gestionar las distintas cuentas que el grupo dispone en redes sociales para estas promociones.” (el subrayado es de esta Agencia). 2. “La grabación y toma de imágenes se realiza con la finalidad de promocionar comercialmente el gimnasio, mostrando las diferentes actividades que se realizan en él.(…) En el caso del establecimiento de Tres Cantos, es el (…) la única persona que graba imágenes de los clientes. Se toman mediante un único teléfono móvil corporativo que custodia el mismo (…). Estas imágenes se publican en redes sociales, concretamente en Instagram en la cuenta del grupo, en las denominadas historias de la aplicación, que tienen una duración de 24 horas. También indican que se han utilizado en Facebook y están en vías de emplearlas en TikTok. Para publicaciones fijas, cartelería, etc., emplean material de un banco de imágenes. Los propios clientes son etiquetados en algunas de estas publicaciones temporales de redes sociales.” (el subrayado es de esta Agencia). 3. “La publicación de estos contenidos lo realiza el departamento de marketing de la matriz, ubicado en sus servicios centrales. No se publican desde cada gimnasio concreto. El departamento de marketing es el encargado de tomar la iniciativa sobre las distintas campañas que se realizan, que generalmente se realizan para fechas o eventos señalados. Para ello solicitan a los distintos gimnasios que tomen imágenes y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/45 vídeos de las actividades u otros aspectos como la decoración. Estas solicitudes se realizan mediante correo electrónico corporativo. Los archivos multimedia se comparten empleando la herramienta OneDrive, a través de una carpeta compartida entre cada uno de los gimnasios y el departamento de marketing. Una vez el contenido ha sido descargado por el departamento de marketing, proceden a borrarlo de OneDrive.(…)” (el subrayado es de esta Agencia). El 4 de enero de 2024 HOLIDAY FIT TRES CANTOS aporta la documentación solicitada por esta Agencia, en la que se destaca: - Documento 1. El Registro de Actividades de Tratamiento, elaborado por SCHOOL FITNESS HOLIDAY & FRANCHISING S.L. y con fecha de impresión de 2 de enero de 2024. En el apartado “8. Imágenes”, consta lo siguiente: “(…) (…) (…) (…) (…).” - Documento 2. Una copia del contrato suscrito entre (…) reclamante y HOLIDAY FIT TRES CANTOS, S.L., de fecha 13 de septiembre de 2022, en el que no consta ninguna cláusula en materia de protección de datos; así como copia del contrato de baja de (…) reclamante, de fecha 18 de mayo de 2023, en el que se identifica a SCHOOL FITNESS HOLIDAY & FRANCHISING como responsable del fichero a efectos de ejercer los derechos previstos en el RGPD. - Documento 3. El Manual de operativa para los empleados de HOLIDAY GYM, en el que figura un apartado (“Protección de datos”) donde se trata el protocolo para la recogida de imágenes, solicitud de consentimiento de los clientes, operativa de trabajo y eliminación de archivos. En dicho manual se identifica a SCHOOL FITNESS HOLIDAY & FRANCHISING S.L., como responsable del tratamiento de las imágenes y vídeos grabados y publicados. - Documento 4,5 y 6. Una copia de un “Contrato de trabajo indefinido” suscrito en febrero de 2022 entre HOLIDAY FIT TRES CANTOS S.L. y un empleado, donde figura un acuerdo de confidencialidad y un apartado relativo a la cesión de imágenes para promoción de la marca orientado únicamente hacia los propios trabajadores. En él, se identifica a HOLIDAY FIT TRES CANTOS S.L. como responsable del tratamiento. Asimismo, copia de las “Condiciones de contratación”, en donde se detalla la información en materia de protección de datos que se proporciona a los clientes durante el proceso de registro. En ella se identifica a HOLIDAY FIT C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/45 TRES CANTOS S.L. y SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L. como corresponsables del tratamiento. Por último, copia del “Acuerdo de colaboración y tratamiento de datos personales” suscrito entre SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L. y HOLIDAY FIT TRES CANTOS S.L. (“gimnasio”), en fecha 1 de julio de 2018, en el que se prevé que ambas entidades actuarán como corresponsables del tratamiento y realizarán los siguientes tratamientos: “El GIMNASIO tratará los datos personales de sus clientes con la finalidad de gestionar la facturación y el cobro del servicio, para prestar el servicio presencial de entrenamiento físico y para la venta presencial de productos para entrenamiento. SCHOOL FITNESS HOLIDAY & FRANCHISING SL. tratará los datos personales que reciba del GIMNASIO con las siguientes finalidades: - Gestionar el acceso de los socios al gimnasio, en función de la tarifa de cada uno. - Ofrecer servicios digitales (rutinas de entrenamiento, música para entrenar, etc.) a todos los clientes del GIMNASIO a través de la web holidaygym.es, y la aplicación móvil del mismo nombre. - Enviar información comercial en formato electrónico. - Venta online de productos para entrenamiento. - Mantenimiento del fichero “Derechos de Admisión”. - Publicar imágenes y videos promocionales de los gimnasios en la web y en las redes sociales (exclusivamente de los empleados del GIMNASIO y de los clientes que hayan prestado su consentimiento).” Como puede observarse, de las manifestaciones y documentación aportada por HOLIDAY FIT TRES CANTOS en el marco de las actuaciones previas de investigación, se infiere que existen contradicciones en cuanto a los roles que desempeñan SCHOOL FITNESS y HOLIDAY FIT. De acuerdo con las Directrices 07/2020 del CEPD, la corresponsabilidad del tratamiento se produce cuando existen varios participantes en el tratamiento que ostentan la condición de responsables de tratamiento y determinan conjuntamente los objetivos y medios de una operación de tratamiento. Al igual que ocurre con los conceptos de “responsable del tratamiento” y “encargado del tratamiento”, el “corresponsable del tratamiento” es un concepto funcional, siendo necesario establecerlo en virtud de sus actividades concretas en el caso analizado y no en función de la designación formal que pueda figurar en el acuerdo o contrato: “52. La evaluación de la corresponsabilidad debe basarse en un análisis fáctico, y no en un análisis formal, de la influencia real sobre los fines y los medios del tratamiento. Todos los acuerdos existentes o previstos deben ser objeto de verificación en relación con las circunstancias de hecho en las que se desarrolla la relación entre las partes. Para ello, no basta con guiarse por un mero criterio formal, al menos por dos razones: en algunos casos, puede faltar el nombramiento formal de un responsable del tratamiento —por ejemplo, en virtud de la ley o de un contrato—; en otros, puede ocurrir que el nombramiento formal no refleje la realidad de los acuerdos, por haberse C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/45 encomendado formalmente la función de responsable del tratamiento a un ente que, en la práctica, no esté en condiciones de «determinar» los fines y los medios del tratamiento.” En el presente caso, esta Agencia considera que, si bien existe un acuerdo entre HOLIDAY FIT TRES CANTOS y SCHOOL FITNESS por el que actuarían como corresponsables del tratamiento, en la práctica, es SCHOOL FITNESS quien determina los fines y medios del tratamiento consistente en la grabación y publicación de imágenes y vídeos en la web y redes sociales de las empresas del grupo a fin de promocionar la marca comercial. Es quien decide cuándo, cómo y qué campañas comerciales han de realizarse; mientras que HOLIDAY FIT TRES CANTOS se limita a realizar la toma de imágenes y vídeos de las actividades u otras cuestiones que el departamento de marketing de SCHOOL FITNESS le indica. Por tanto, esta Agencia concluye que SCHOOL FITNESS realiza esa operación de tratamiento en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7) del RGPD. Por su parte, HOLIDAY FIT TRES CANTOS, tiene la consideración de encargado del tratamiento, actuando por cuenta de SCHOOL FITNESS en la grabación de las imágenes y vídeos utilizados con fines promocionales. Finalmente, cabe señalar que el apartado 11 del mencionado art. 4 RGPD dispone lo siguiente: 11. “consentimiento del interesado”: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. IV Obligación incumplida. Consentimiento del interesado El artículo 6 “Licitud del tratamiento” del RGPD establece: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
11. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
12. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales
13. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
14. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
15. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/45
16. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
17. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” El artículo 6 del RGPD determina en su apartado 1 los supuestos en los que la normativa permite realizar el tratamiento de datos personales de un tercero, que se denominan como “bases de licitud”. Si no concurre alguno de estos supuestos o condiciones, el tratamiento no será legítimo, o considerado lícito por el RGPD. En el presente caso, de la documentación que obra en el expediente se infiere que el consentimiento del interesado constituiría la base jurídica que legitimaría a HOLIDAY FIT TRES CANTOS a realizar el tratamiento consistente en la grabación y publicación de imágenes y vídeos de los clientes durante las clases que se imparten en sus instalaciones. Ello se desprende de las afirmaciones realizadas por la entidad en el sentido de que los clientes habrían consentido a la grabación de las imágenes y a su posterior difusión. Respecto a esta cuestión, (…) reclamante aportó documentos señalados en el apartado de “Hechos”, primer punto, de este acuerdo. En el contrato de 13 de abril de 2022 suscrito entre (…) reclamante y HOLIDAY FIT TRES CANTOS, no se ha localizado un apartado que recabe el consentimiento del cliente para la grabación y publicación de su imagen en la web y redes sociales de la entidad. Cabe señalar que, en el momento que se suscribió el contrato de septiembre de 2016 entre ambas partes, el RGPD todavía no resultaba de aplicación. Asimismo, en el presente momento de acuerdo de inicio de procedimiento sancionador, y comparando el contenido de las respuestas a la queja planteada por (…) reclamante a través de la web de HOLIDAY FIT TRES CANTOS adjuntas a la reclamación y al escrito de contestación al traslado de SCHOOL FITNESS, en el documento de SCHOOL FITNESS no figura la transcripción de ninguna cláusula del contrato relativa al uso de la imagen. No obstante, el remitente en el pie de firma es la misma persona, “B.B.B. Departamento de Atención al cliente Holiday Gym”. En el escrito de respuesta al traslado de 7 de agosto de 2023, SCHOOL FITNESS señaló que (
18. i)“en el contrato de suscripción los socios consienten de forma expresa la grabación y difusión de las imágenes en la práctica de sesiones individuales y colectivas y además se solicita verbalmente el consentimiento al interesado” y (
19. ii)“La legitimación del consentimiento del resto de usuarios viene dada por la aceptación expresa al momento de firmar el contrato de suscripción y, adicionalmente, se solicita consentimiento verbal al socio que se pueda ver afectado”. Como prueba de estas manifestaciones, aportó una copia idéntica del contrato de alta aportado por (…) reclamante y, por tanto, donde no figura una cláusula de consentimiento para el tratamiento en cuestión. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/45 Por su parte, los representantes de HOLIDAY FIT TRES CANTOS manifestaron durante la inspección presencial realizada por esta Agencia, en fecha 19 de diciembre de 2023, que el consentimiento es la base jurídica que ampara el tratamiento de datos personales consistente en la grabación y publicación de imágenes y vídeos de los clientes de HOLIDAY FIT TRES CANTOS. En concreto, señalaron que (
20. i)“El consentimiento para la grabación, además de las cláusulas contractuales, se recaba de forma verbal al inicio de cada clase que vaya a ser grabada. En el mismo acto se informa de la finalidad de la grabación. En caso de que alguna persona indique que no quiere ser grabada, se le solicita que se retire para no salir en la grabación o que abandone el aula durante ese momento” y que (
21. ii)“Hay un protocolo escrito respecto a la grabación de imágenes, contenido dentro del manual existente a disposición de los monitores, junto con las cláusulas de protección de datos del contrato de trabajo”. Como prueba de estas manifestaciones, aportaron documentación en la que se destaca: - Documento 1. En el apartado “8. Imágenes” del Registro de Actividades de Tratamiento elaborado por SCHOOL FITNESS, con fecha de impresión de 2 de enero de 2024, consta que la base jurídica que legitima a SCHOOL FITNESS a tratar el dato personal de la imagen es el consentimiento del interesado, y que la finalidad es publicar imágenes y vídeos promocionales en la web y redes sociales. - Documento 2. En la copia del contrato suscrito entre (…) reclamante y HOLIDAY FIT TRES CANTOS, de fecha 13 de septiembre de 2022 y firmado, no consta ninguna cláusula en materia de protección de datos, cuyo contenido es idéntico al aportado por (…) reclamante. - Documento 3. En el apartado “Protección de datos” del manual de procedimiento general, se indica a los trabajadores que graben mientras leen el siguiente texto a los clientes antes de realizar la toma de imágenes con fines promocionales: “Texto que se debe grabar como prueba: Hola a todos. Por protocolo de protección de datos tengo que leeros este texto: La participación es totalmente libre y voluntaria, y aquella persona que no quiera aparecer en fotografías o videos, por favor que se sitúe fuera de la zona de grabación que os he indicado. Aquellos que os ubiquéis en la zona de grabación, estáis dando vuestro consentimiento para aparecer en las fotografías o en el video que montemos. El Responsable del tratamiento de estas imágenes es SCHOOL FITNESS HOLIDAY & FRANCHISING SL, que las podrá utilizar para la promoción de los gimnasios Holiday Gym en nuestra web holidaygym.es o en nuestras cuentas de redes sociales. Podréis ejercer vuestro derechos de protección de datos en la web holidaygym.es o en el correo electrónico ***EMAIL.1” - Documento 4,5 y 6. En la copia de las “Condiciones de contratación”, sin fecha ni firma, se indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/45 “Finalidad: (…) En caso de que les otorgue mi consentimiento, para publicar imágenes o videos en la web o redes sociales. Legitimación: (…) Adicionalmente, mi consentimiento, si decido otorgarlo, es la base legitimación del tratamiento de las fotografías o videos en que aparezca mi imagen. Destinatarios: (…). En caso de que haya otorgado mi consentimiento, mi imagen podrá aparecer en fotografías o videos publicados en la web y redes sociales de Holiday Gym. (…) Condiciones de contratación: (…) acepto el contrato incluyendo sus condiciones generales y específicas y las normas del gimnasio, y acepto expresamente el tratamiento de mis datos personales por parte de la empresa con los fines recogidos en el presente contrato/condiciones generales de contratación”. Teniendo en cuenta lo descrito en los párrafos anteriores, se significa, en primer lugar, que en el Registro de Actividades de Tratamiento elaborado por SCHOOL FITNESS, la base legitimadora del tratamiento de imágenes con fines promocionales es el consentimiento del interesado. En este sentido, resulta necesario señalar que el artículo 7 del RGPD se refiere a las circunstancias que deben concurrir para el otorgamiento del consentimiento, a saber: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato.” Por su parte, la LOPDGDD señala en su artículo 6, lleva por rúbrica “Tratamiento basado en el consentimiento del afectado” lo siguiente: “1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/45 declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. 2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas. 3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual.” (el subrayado es de esta Agencia). Sobre estas cuestiones, las Directrices 5/2020 del CEPD ofrecen unos mecanismos para ayudar a la interpretación de estos criterios y a su cumplimiento por los responsables de los tratamientos. De lo indicado en este documento, interesa destacar algunos aspectos relacionados con la validez del consentimiento, en concreto sobre los elementos “específico”, “informado” e “inequívoco”: “3.2. Manifestación de voluntad específica El artículo 6, apartado 1, letra a), confirma que el consentimiento del interesado para el tratamiento de sus datos debe darse «para uno o varios fines específicos» y que un interesado puede elegir con respecto a cada uno de dichos fines. El requisito de que el consentimiento deba ser «específico» tiene por objeto garantizar un nivel de control y transparencia para el interesado. Este requisito no ha sido modificado por el RGPD y sigue estando estrechamente vinculado con el requisito de consentimiento «informado». Al mismo tiempo, debe interpretarse en línea con el requisito de «disociación» para obtener el consentimiento «libre». En suma, para cumplir con el carácter de «específico» el responsable del tratamiento debe aplicar:
22. i)la especificación del fin como garantía contra la desviación del uso,
23. ii)la disociación en las solicitudes de consentimiento, y iii) una clara separación entre la información relacionada con la obtención del consentimiento para las actividades de tratamiento de datos y la información relativa a otras cuestiones. (…) “3.3. Manifestación de voluntad informada El RGPD refuerza el requisito de que el consentimiento debe ser informado. De conformidad con el artículo 5 del RGPD, el requisito de transparencia es uno de los principios fundamentales, estrechamente relacionado con los principios de lealtad y licitud. Facilitar información a los interesados antes de obtener su consentimiento es esencial para que puedan tomar decisiones informadas, comprender qué es lo que están autorizando y, por ejemplo, ejercer su derecho a retirar su consentimiento. Si el responsable no proporciona información accesible, el control del usuario será ilusorio y el consentimiento no constituirá una base válida para el tratamiento de los datos. Si no se cumplen los requisitos relativos al consentimiento informado, el consentimiento no será válido y el responsable podrá estar incumpliendo el artículo 6 de RGPD. 3.3.1. Requisitos mínimos de contenido para que el consentimiento sea «informado» C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/45 Para que el consentimiento sea informado es necesario comunicar al interesado ciertos elementos que son cruciales para poder elegir. Por tanto, el GT29 opina que se requiere, al menos, la información siguiente para obtener el consentimiento válido:
24. i)la identidad del responsable del tratamiento,
25. ii)el fin de cada una de las operaciones de tratamiento para las que se solicita el consentimiento, iii) qué (tipo
26. de)datos van a recogerse y utilizarse,
27. iv)la existencia del derecho a retirar el consentimiento,
28. v)información sobre el uso de los datos para decisiones automatizadas de conformidad con el artículo 22, apartado 2, letra c), cuando sea pertinente, e
29. vi)información sobre los posibles riesgos de transferencia de datos debido a la ausencia de una decisión de adecuación y de garantías adecuadas, tal y como se describen en el artículo 46”. Sin embargo, en el caso que nos ocupa, el consentimiento recabado por SCHOOL FITNESS y presuntamente otorgado por el interesado no reuniría los 4 presupuestos legalmente exigidos SCHOOL FITNESS y HOLIDAY FIT TRES CANTOS afirman que el consentimiento del interesado para la grabación y publicación de su imagen con fines promocionales se recaba en dos momentos, en el contrato de suscripción y, adicionalmente, de forma verbal. Sin embargo, de la documentación que obra en el expediente administrativo, se infiere que los contratos de alta, por lo menos, a fecha 13 de abril de 2022 —fecha en la que (…) reclamante firmó un contrato de alta con HOLIDAY FIT TRES CANTOS—, no mencionan ninguna cláusula para el uso general de imágenes de clientes. El hecho de que el modelo de contrato de SCHOOL FITNESS no contemple dicha cláusula supone que el consentimiento de sus clientes está viciado, toda vez que no concurren los 4 presupuestos exigidos por el artículo 7 del RGPD para que se considere válido y, por tanto, concurra la base de legitimación del artículo 6.1.
30. a)del RGPD. Asimismo, ha de indicarse que en las “Cláusulas de contratación”, copia aportada por HOLIDAY FIT TRES CANTOS en fecha 4 de enero de 2024, la información relativa al otorgamiento del consentimiento para la grabación y publicación de imágenes y vídeos del interesado resulta confusa. Si bien parece que el interesado es libre para otorgar su consentimiento a fin de que se pueda utilizar su imagen en la web y redes sociales, en la práctica, no cumpliría las condiciones del consentimiento al no ser libre e informado. Pues, la firma del documento conlleva la aceptación íntegra y expresa de todas las cláusulas del contrato y, por tanto, del tratamiento de su imagen también, como se desprende de la siguiente cláusula: “Condiciones de contratación: (…) acepto el contrato incluyendo sus condiciones generales y específicas y las normas del gimnasio, y acepto expresamente el tratamiento de mis datos personales por parte de la empresa con los fines recogidos en el presente contrato/condiciones generales de contratación” (el subrayado corresponde a esta Agencia). Lo mismo ocurre en el proceso de contratación online con HOLIDAY FIT TRES CANTOS ((...)), diligenciado por esta Agencia en fecha 8 de enero de 2025. La contratación de sus servicios se ve condicionada a la aceptación de varios apartados, entre los que se encuentra el relativo a la imagen y su obtención y difusión con fines promocionales y de uso interno y externo de la compañía. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/45 Por último, cabe señalar que, si bien ambas entidades manifiestan que el consentimiento del interesado también se recoge verbalmente al inicio de las grabaciones, no consta en la documentación del expediente administrativo prueba alguna que así lo acredite. En consecuencia, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a SCHOOL FITNESS, por vulneración del artículo 7 del RGPD. V Tipificación de la infracción del artículo 7 del RGPD y calificación a efectos de prescripción De confirmarse, la citada infracción del artículo 6.1 del RGPD podría suponer la comisión de la infracción tipificada en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
31. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A efectos del plazo de prescripción, el artículo 72.1 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
32. c)El incumplimiento de los requisitos exigidos por el artículo 7 del Reglamento (UE) 2016/679; (…)”; (…)” VI Propuesta de sanción por la infracción del artículo 7 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/45 “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
33. a)a
34. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
35. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
36. b)la intencionalidad o negligencia en la infracción;
37. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
38. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
39. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
40. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
41. g)las categorías de los datos de carácter personal afectados por la infracción;
42. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
43. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
44. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
45. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
46. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
47. a)El carácter continuado de la infracción.
48. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/45
49. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
50. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
51. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
52. f)La afectación a los derechos de los menores.
53. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
54. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de las posibles infracciones, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de SCHOOL FITNESS de 978.207€ euros en el año 2023. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): En el presente caso, la infracción cometida reviste una gravedad notable, ya que la grabación y posterior publicación de ese contenido en la web y redes sociales supone la posibilidad de una difusión inmediata y de gran alcance, teniendo en consideración que puede acceder cualquier persona. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): SCHOOL FITNESS es la matriz de un grupo de empresas dedicadas a las actividades de los gimnasios que, para desempeñar su actividad, requiere un tratamiento continuo de datos personales. SCHOOL FITNESS, como consecuencia de su actividad empresarial realiza de forma habitual y continua tratamientos de datos de carácter personal de un elevado número de interesados, lo que supone forzosamente operaciones de tratamiento de datos personales de las personas físicas clientes. Así, la infracción se produce en el marco de un tratamiento de datos personales, en el presente caso, consistente en la grabación y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/45 publicación de imágenes y vídeos a fin de promocionar la marca comercial, que habitualmente realiza. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 7 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 15.000€ (quince mil euros). VII Obligación incumplida. Plazo de conservación El artículo 5 “Principios relativos al tratamiento” establece: “1. Los datos personales serán: (…)
55. e)mantenidos de forma que se permita la identificación de los interesados durante no más tiempo del necesario para los fines del tratamiento de los datos personales; los datos personales podrán conservarse durante períodos más largos siempre que se traten exclusivamente con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las medidas técnicas y organizativas apropiadas que impone el presente Reglamento a fin de proteger los derechos y libertades del interesado («limitación del plazo de conservación»); (…)” El principio de limitación del plazo de conservación recogido en el citado artículo supedita el mantenimiento de los datos personales a la finalidad para la que fueron recabados, pudiendo superar ese periodo de tiempo cuando se trate de fines de archivo en interés público, de investigación científica o historia, o estadísticos. En el presente caso, el Registro de Actividades de Tratamiento elaborado por SCHOOL FITNESS, y con fecha de impresión 2 de enero de 2024, señala en el apartado referente al tratamiento de imágenes y plazo de supresión, que “se conservarán durante tiempo indefinido”. Resulta evidente que SCHOOL FITNESS, al establecer el plazo de conservación como indefinido no cumple con lo requerido en el precepto señalado en el sentido de que los datos serán considerados por el tiempo estrictamente necesario al objeto de realizar el tratamiento. La conservación por tiempo indefinido no se ajusta a esa interpretación estricta del plazo de conservación de los datos que prevé la normativa. Por ello, cabe entender que SCHOOL FITNESS ha detallado un plazo de conservación de las imágenes destinadas a ser publicadas en la web y redes sociales que no se ajustaría a lo estipulado en el precepto citado, toda vez que la conservación de las imágenes no sólo no tendría un tiempo determinado de conservación sino que, también y precisamente por ello, ese plazo de conservación se excedería de la finalidad para la que fueron recogidas. Por tanto, de conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/45 resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a SCHOOL FITNESS, por vulneración del artículo 5.1.
56. e)del RGPD. VIII Tipificación de la infracción del artículo 5.1.
57. e)del RGPD y calificación a efectos de prescripción Los hechos conocidos podrían ser constitutivos de una infracción, imputable a SCHOOL FITNESS, tipificada en el 83.5 RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
58. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72 de la LOPDGDD, que califica de muy grave la siguiente conducta:
59. a)“El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679; (…)” IX Propuesta de sanción por la infracción del artículo 5.1.
60. e)del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
61. a)a
62. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
63. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/45
64. b)la intencionalidad o negligencia en la infracción;
65. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
66. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
67. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
68. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
69. g)las categorías de los datos de carácter personal afectados por la infracción;
70. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
71. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
72. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
73. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
74. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
75. a)El carácter continuado de la infracción.
76. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
77. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
78. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
79. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
80. f)La afectación a los derechos de los menores.
81. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
82. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/45 En el presente caso, considerando la gravedad de las posibles infracciones, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de SCHOOL FITNESS de 978.207€ euros en el año 2023. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): En el presente caso, la infracción cometida reviste una gravedad notable, ya que supone la posibilidad de una difusión inmediata y de gran alcance, teniendo en consideración que puede acceder cualquier persona. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): SCHOOL FITNESS es la matriz de un grupo de empresas dedicadas a las actividades de los gimnasios que, para desempeñar su actividad, requiere un tratamiento continuo de datos personales. SCHOOL FITNESS, como consecuencia de su actividad empresarial realiza de forma habitual y continua tratamientos de datos de carácter personal de un elevado número de interesados, lo que supone forzosamente operaciones de tratamiento de datos personales de las personas físicas clientes. Así, la infracción se produce en el marco de un tratamiento de datos personales, en el presente caso, consistente en la grabación y publicación de imágenes y vídeos a fin de promocionar la marca comercial, que habitualmente realiza. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
83. e)del RGPD, permite fijar inicialmente una sanción de multa administrativa de 15.000€ (quince mil euros). X Obligación incumplida. Encargado de tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/45 Las previsiones respecto al encargado del tratamiento están recogidas en el artículo 28 del RGPD que estipula lo siguiente: "1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
84. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
85. b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza legal;
86. c)tomará todas las medidas necesarias de conformidad con el artículo 32;
87. d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
88. e)asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
89. f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
90. g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros; pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/45 incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
91. h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. 4. Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado. 5. La adhesión del encargado del tratamiento a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá utilizarse como elemento para demostrar la existencia de las garantías suficientes a que se refieren los apartados 1 y 4 del presente artículo. 6. Sin perjuicio de que el responsable y el encargado del tratamiento celebren un contrato individual, el contrato u otro acto jurídico a que se refieren los apartados 3 y 4 del presente artículo podrá basarse, total o parcialmente, en las cláusulas contractuales tipo a que se refieren los apartados 7 y 8 del presente artículo, inclusive cuando formen parte de una certificación concedida al responsable o encargado de conformidad con los artículos 42 y 43. 7. La Comisión podrá fijar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el procedimiento de examen a que se refiere el artículo 93, apartado 2. 8. Una autoridad de control podrá adoptar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el mecanismo de coherencia a que se refiere el artículo 63. 9. El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 constará por escrito, inclusive en formato electrónico. 10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/45 Tal y como se ha detallado en el Fundamento de Derecho III del presente acuerdo de inicio, al que nos remitimos en aras de brevedad, esta Agencia analizó la realidad de los hechos para dilucidar el verdadero rol de SCHOOL FITNESS y HOLIDAY FIT TRES CANTOS respecto de la grabación y publicación de imágenes y vídeos de los clientes del gimnasio en la web y redes sociales a fin de promocionar la marca comercial. Y concluyó que SCHOOL FITNESS en realidad era la responsable de tratamiento de esas imágenes y vídeos, mientras que HOLIDAY FIT TRES CANTOS actúa como encargado de tratamiento. No obstante, en los documentos que rigen las relaciones entre ambas entidades ello no se ve reflejado ni, en consecuencia, se incluyen los extremos a que obliga el artículo 28.3 del RGPD. La atribución errónea de los roles de responsable y encargado del tratamiento supone la falta de una atribución clara de responsabilidades entre ambas figuras, impidiendo al responsable del tratamiento cumplir con las obligaciones que le impone el RGPD para procurar la protección debida respecto de los datos personales que se tratan por su cuenta en relación con el control de proceso de entrega que lleva a cabo. Por otra, desde el punto de vista de los interesados, cuyos datos están siendo tratados, dicha omisión también tiene consecuencias: el contrato entre el responsable del tratamiento y su encargado es un elemento que no solo articula jurídicamente la relación entre dos partes (responsable y encargado del tratamiento) sino que cumple una función de garantía de los derechos y libertades de los interesados. En este sentido, el contrato de la operación de tratamiento objeto del presente procedimiento sancionador, debe prever, entre otros aspectos, que: - Los datos únicamente sean tratados siguiendo una doble garantía para los interesados: existencia de unas instrucciones documentadas por parte del responsable y obligación del encargado de tratar los datos personales siguiendo dichas instrucciones. - Los empleados del encargado que traten los datos personales de los interesados han de respetar la confidencialidad. - El encargado ha de adoptar todas las medidas necesarias de conformidad con el artículo 32 del RGPD. - El encargado del tratamiento no puede recurrir a otro encargado sin la autorización previa por escrito, específica o general del responsable. - El encargado tiene la obligación de suprimir o devolver los datos personales al responsable una vez que finalice la prestación de los servicios del tratamiento, y suprimir las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros. En conclusión, dicho contrato regula y ordena cómo se va a desarrollar la relación entre el responsable y su encargado del tratamiento con el claro objetivo de brindar una adecuada protección de los derechos y libertades de los interesados, cuyos datos se están tratando. Lo cual no ha tenido lugar en las relaciones que rigen entre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/45 SCHOOL FITNESS y HOLIDAY FIT TRES CANTOS respecto de la grabación y publicación de imágenes y vídeos de los clientes del gimnasio en la web y redes sociales a fin de promocionar la marca comercial. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de acuerdo de inicio de procedimiento sancionador, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable a SCHOOL FITNESS, por vulneración del artículo 28 del RGPD. XI Tipificación de la infracción del artículo 28 del RGPD y calificación a efectos de prescripción El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
92. a)"las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
93. k)Encargar el tratamiento de datos a un tercero sin la previa formalización de un contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3 del Reglamento (UE) 2016/679.” XII Propuesta de sanción por la infracción del artículo 28 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/45 Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
94. a)a
95. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
96. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
97. b)la intencionalidad o negligencia en la infracción;
98. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
99. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
100. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
101. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
102. g)las categorías de los datos de carácter personal afectados por la infracción;
103. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
104. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
105. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
106. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
107. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
108. a)El carácter continuado de la infracción.
109. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
110. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/45
111. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
112. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
113. f)La afectación a los derechos de los menores.
114. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
115. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de las posibles infracciones, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de SCHOOL FITNESS de 978.207€ euros en el año 2023. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): En el presente caso, la infracción cometida reviste una gravedad notable, ya que afectaría a los clientes de HOLIDAY FIT TRES CANTOS que aparecieran en las imágenes y vídeos que este gimnasio remitiera a SCHOOL FITNESS., hasta la actualidad. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): SCHOOL FITNESS es la matriz de un grupo de empresas dedicadas a las actividades de los gimnasios que, para desempeñar su actividad, requiere un tratamiento continuo de datos personales. SCHOOL FITNESS, como consecuencia de su actividad empresarial realiza de forma habitual y continua tratamientos de datos de carácter personal de un elevado número de interesados, lo que supone forzosamente operaciones de tratamiento de datos personales de las personas físicas clientes. Así, la infracción se produce en el marco de un tratamiento de datos personales, en el presente caso, consistente en la grabación y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 39/45 publicación de imágenes y vídeos a fin de promocionar la marca comercial, que habitualmente realiza. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 del RGPD, permite fijar inicialmente una sanción de multa administrativa de 6.000€ (seis mil euros). XIII Medidas correctivas De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso de los artículos 6.1 del RGPD, 5.1.
116. e)del RGPD y 28 del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
117. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a SCHOOL FITNESS para que, en el plazo de 6 MESES a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: - Acreditar la adopción de las medidas que permitan garantizar que la grabación y publicación de imágenes y vídeos de los clientes del gimnasio HOLIDAY FIT TRES CANTOS se realiza contando con una base de legitimación adecuada, y suprimir el contenido que haya sido objeto de esta operación de tratamiento sin contar con dicha base de legitimación. - Acreditar la adopción de las medidas necesarias para garantizar el cumplimiento de lo dispuesto en el artículo 5.1.
118. e)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 40/45 - Acreditar la realización del correspondiente contrato de encargado de tratamiento con HOLIDAY FIT TRES CANTOS, S.L. La imposición de estas medidas es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L., con NIF B82887514, por: - La presunta infracción del artículo 7 del RGPD, tipificada en el artículo 83.5 del RGPD. - La presunta infracción del artículo 5.1.
119. e)del RGPD, tipificada en el artículo 83.5 del RGPD. - La presunta infracción del artículo 28 del RGPD, tipificada en el artículo 83.4 del RGPD. SEGUNDO: NOMBRAR como instructor/a a D.D.D. y, como secretario/a, a E.E.E., indicando que podrán ser recusados, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
120. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de: - Por la presunta infracción del artículo 7 del RGPD, tipificada en el artículo 83.5 del RGPD, multa administrativa de 15.000€ (quince mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 41/45 - Por la presunta infracción del artículo 5.1.
121. e)del RGPD, tipificada en el artículo 83.5 del RGPD, multa administrativa de 15.000€ (quince mil euros). - Por la presunta infracción del artículo 28 del RGPD, tipificada en el artículo 83.4 del RGPD, multa administrativa de 6.000€ (seis mil euros). QUINTO: NOTIFICAR el presente acuerdo a SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L., con NIF B82887514, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción quedaría establecida en 28.800€ (veintiocho mil ochocientos euros), resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción quedaría establecida en 28.800€ (veintiocho mil ochocientos euros), y su pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 21.600€ (veintiún mil seiscientos euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia expresos de cualquier acción o recurso en vía administrativa contra la sanción. A estos efectos, en caso de acogerse a alguna de ellas, deberá remitir a la Subdirección General de Inspección de datos comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción indicando a cuál de las dos reducciones se acoge o si es a las dos. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (28.800€ o 21.600€), deberá hacerlo efectivo mediante su ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 42/45 referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección junto con la comunicación expresa del desistimiento o renuncia a cualquier acción o recurso en vía administrativa contra la sanción para continuar con el procedimiento en concordancia con la cantidad ingresada. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 1479-290125 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía >> SEGUNDO: En fecha 11 de marzo de 2025, SCHOOL FITNESS ha procedido al pago de la sanción en la cuantía de 21.600,00 euros haciendo uso de las dos reducciones previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el acuerdo de inicio y su calificación jurídica. TERCERO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
122. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de las medidas incluidas en el acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 43/45 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” III Pago voluntario y reconocimiento de responsabilidad De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y de realizar el pago voluntario de la sanción propuesta, lo que supondría dos reducciones acumulables de un 20% cada una. Con la aplicación de estas dos reducciones, la sanción quedaría establecida en 21.600,00 euros y su pago implicaría la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras la notificación del citado acuerdo de inicio, SCHOOL FITNESS ha procedido al reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 44/45 Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La suma de las citadas cuantías arroja una cantidad total 36.000,00 euros. Tras haber procedido SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L. al pronto pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad definitiva de 21.600,00 euros. La efectividad de las citadas reducciones está condicionada, en todo caso, al desistimiento o renuncia de cualquier acción o recurso en vía administrativa. SEGUNDO: DECLARAR