PS-00078-2021 | Europaius

1/36  Expediente Nº: PS/00078/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 08/01/2019, a través del “Sistema de Información del Mercado Interior” (en lo sucesivo IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se recibió en esta Agencia Española de Protección de Datos (AEPD) una reclamación formulada por A.A.A. (en lo sucesivo el reclamante), ciudadano holandés, ante la autoridad de protección de datos de Países Bajos (Autoriteit Persoonsgegevens -AP). El traslado de esta reclamación a la AEPD se realiza de conformidad con lo establecido en el artículo 56 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (en lo sucesivo Reglamento General de Protección de Datos o RGPD), teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal. La citada reclamación se formula contra la entidad MARINS PLAYA, S.A. (en lo sucesivo MARINS PLAYA o entidad reclamada), con sede social en España, por los motivos siguientes: El reclamante indica que en el proceso de registro del hotel le solicitaron el pasaporte, que fue escaneado digitalmente, a pesar de su oposición. El cliente se opone a que dicho documento fuese escaneado completamente alegando que no todos los datos incluidos en el mismo son necesarios, a lo que el empleado del hotel le respondió que dicho escaneo se realizaba siguiendo instrucciones de la policía. Por otro lado, asegura haber visto a los empleados del hotel con la foto del pasaporte en sus tablets. En relación con la cuestión suscitada por el reclamante, la autoridad remitente preguntó si realmente la ley española obliga a escanear el pasaporte completamente o sólo son necesarios algunos datos para cumplir el proceso de registro. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, se han declarado interesadas en el presente procedimiento la autoridad de control que ha comunicado el caso (Países Bajos). SEGUNDO: A la vista de los hechos expuestos, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/36 poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del RGPD. En el marco de estas actuaciones, se dirigió un requerimiento a la entidad reclamada, que informó lo siguiente: 1. Al realizar el registro de entrada del cliente se escanea su pasaporte con el objetivo de pasar a texto la imagen para la incorporación de los campos correspondientes al programa de gestión hotelera. 2. Únicamente se escanea la página en la que se encuentra la identificación del cliente: los datos de identificación del viajero, en los que se comprenden el número, tipo y fecha de expedición del documento de identidad presentado, nombre y apellidos, sexo, la fecha y país de nacimiento, así como la fotografía. 3. No hay instrucciones específicas de las Fuerzas y Cuerpos de Seguridad del Estado sobre el copiado del citado documento, salvo las relativas al envío telemático de la información. 4. La información también se utiliza, contablemente, para generar las correspondientes facturas; sólo puede acceder el personal administrativo de contabilidad. 5. Cuando el cliente se registra se le proporciona una tarjeta magnética que le permite, además del acceso a la habitación, el pago de los consumos con cargo a su cuenta que abonará al finalizar su estancia; en el momento de realizar un consumo, el cliente facilita esa tarjeta al empleado, quien, al pasarla para realizar el cargo, puede comprobar la fotografía del pasaporte. Con ello se pretende verificar la identidad del cliente, a fin de evitar el uso fraudulento de la tarjeta por parte de terceros e impedir causar un grave perjuicio, económico, al cliente. Sólo puede ver la fotografía el empleado que cobra, en la tablet de TPV. 6. La normativa aplicable para la identificación de los clientes en el proceso de registro o alta en el hotel es la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana y Orden INT/1922/2003 de 3 de julio. TERCERO: Tras revisar las contestaciones obtenidas durante la fase previa de investigación, reseñada en el Hecho anterior, esta Agencia consideró que el tratamiento de datos personales objeto de la reclamación se encuentra legitimado por el artículo 6.1.

c)del RGPD y es proporcionado y necesario de acuerdo con lo establecido en el artículo 24 de la Ley Orgánica 4/2015 citada, que dispone en su apartado primero: “Las personas físicas o jurídicas que ejerzan actividades relevantes para la seguridad ciudadana, como las de hospedaje… quedarán sujetas a las obligaciones de registro documental e información en los términos que establezcan las disposiciones aplicables”. Y que se detalla en la Orden mencionada (Orden INT/1922/2003 de 3 de julio). Por otra parte, se tuvo en cuenta que no se constataron los hechos denunciados referidos al escaneo de todas las páginas del pasaporte. En segundo lugar, se concluyó que el tratamiento de datos personales consistente en el uso de la fotografía obtenido del pasaporte con la finalidad de verificar la identidad del cliente en los consumos que realiza, al realizar cargos en la cuenta de una habitación, y evitar el uso fraudulento de la tarjeta del hotel por parte de terceros distintos al usuario del servicio, está legitimado en el artículo 6.1.
f)del RGPD, ya que existe un interés legítimo por parte del hotel en cobrar al verdadero usuario del servicio y para el cliente, ya que se evita que se utilicen las tarjetas de forma fraudulenta y se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/36 carguen en la cuenta de un cliente los consumos efectuados por otros. En consecuencia, aclaradas las dudas suscitadas, se consideró que no existían indicios de infracción, por lo que, con fecha 28/09/2020, se dictó Proyecto de Resolución de archivo de la reclamación (Draft decisión). CUARTO: Con fecha 10/11/2020, el Proyecto de Decisión se incorporó al Sistema IMI a fin de que las autoridades interesadas se manifestaran al respecto. Al término del plazo establecido, formuló objeciones al citado proyecto de archivo la autoridad de protección de datos de Países Bajos (Autoriteit Persoonsgegevens - AP). En cuanto a los hechos, dicha autoridad de control advierte que el reclamante manifestó que el personal del hotel disponía en su dispositivo de la copia completa de su pasaporte (primera página), incluida su foto, y que ello difiere ligeramente de lo señalado en el Proyecto de Decisión, aunque no cambia la evaluación realizada sobre el mismo. La AP admite que el tratamiento de los datos personales recogidos en el pasaporte (número, tipo y fecha de emisión del documento de identidad presentado, nombre y apellidos, sexo y la fecha y país de nacimiento, así como la fotografía) sea necesario para el cumplimiento de la legislación nacional y, por tanto, lícito de conformidad con el artículo 6.1.
c)del RGPD, pero cuestiona el tratamiento de dichos datos personales en virtud de lo establecido en el artículo 6.1.
f)del mismo RGPD, por la existencia de un interés legítimo del hotel responsable en evitar el uso fraudulento de la tarjeta que proporciona a los clientes, la cual sirve para realizar consumos en las instalaciones y también como llave de la habitación; y también del cliente, ya que impide que las tarjetas se utilicen de forma fraudulenta y se le cobren consumos realizados por otros. Sobre este tratamiento de datos personales basado en el interés legítimo, se refiere la AP al requisito de necesidad, que exige evaluar la proporcionalidad y subsidiariedad del tratamiento, comprobando que tales intereses no puedan lograrse razonablemente de manera efectiva por otros medios menos restrictivos de los derechos y libertades fundamentales de los interesados, en particular los derechos al respeto de la vida privada y a la protección de los datos personales garantizados por los artículos 7 y 8 de la Carta. Y añade que el Tribunal de Justicia de la Unión Europea declaró, además, que el requisito relativo a la necesidad de tratamiento debe examinarse, conjuntamente, con el principio de “minimización de datos” consagrado en el artículo 5.1.
c)del RGPD. En este caso, señala la AP, existen otras formas menos intrusivas para verificar si el titular de la tarjeta magnética es el legítimo titular de la tarjeta en el momento del pago y, así, evitar que dichas tarjetas se utilicen de forma fraudulenta. Como ejemplo de estas acciones menos intrusivas, indica la posibilidad de que el empleado del hotel, cuando se produce algún consumo, consulte algunos datos de control al cliente, como el apellido o el número de habitación, para verificar si coincide con el titular legítimo de la tarjeta; o exigir la firma de un recibo por el consumo, que también actúa como barrera para terceros. En caso de pérdida de la tarjeta, ésta puede ser bloqueada para impedir su uso fraudulento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/36 La combinación de los escenarios anteriores requiere una cantidad mínima de procesamiento adicional de datos, es menos intrusivo y se ajustan al principio de minimización de datos. Aún así, posibilitan lograr los intereses perseguidos con prácticas comunes en la mayoría de los hoteles. Frente a ello, la eficacia adicional que proporciona el uso de los datos personales del pasaporte para prevenir fraudes no supera la invasión de la protección de datos. Entiende que estos datos pueden utilizarse para el fraude de identidad en caso de una violación de datos o el abuso por parte de los empleados del hotel que tienen acceso a los mismos, de modo que no se considera proporcionado su uso para evitar posibles fraudes en el pago de los servicios del hotel. Según la AP, el tratamiento de todos estos datos es contrario al principio de minimización de datos de conformidad con el artículo 5.1.c. del RGPD, ya que el tratamiento sólo de un nombre y número de habitación es suficiente para minimizar eficazmente el fraude. Además, algunas de las categorías de datos antes mencionadas pueden considerarse categorías especiales de datos personales de conformidad con el artículo 9 del RGPD, sin que pueda aplicarse a este caso ninguna de las excepciones del artículo 9.2 del RGPD. En resumen, la AP no comparte que el uso de los datos del pasaporte esté permitido en virtud del artículo 6.1.f del RGPD en las circunstancias indicadas. Esto podría conducir al uso de datos de pasaportes por muchos hoteles y proveedores de servicios similares, a una utilización más amplia que podría dar lugar a fraudes de identidad en casos de violaciones de datos o abusos por parte de los empleados del hotel que tienen acceso a los mismos, de modo que, ante el riesgo para las libertades y derechos expresado, no considera proporcionado su uso para evitar posibles fraudes en el pago de los servicios del hotel. Si un hotel desea procesar los datos del pasaporte con el fin de verificar la identidad de los clientes durante su estancia, añade la AP, el hotel debe invocar otro motivo del artículo 6 del RGPD, como el consentimiento, o volver a la práctica más común, como se ha descrito anteriormente. QUINTO: Con fecha 11/05/2021, por la Subdirección General de Inspección de Datos se accede a la información disponible sobre la entidad MARINS PLAYA en “Axesor”. (…). La citada entidad figura de alta en el código de actividad económica correspondiente a “Hoteles y alojamientos similares”. (…). SEXTO: Con fecha 03/06/2021, de conformidad con lo establecido en el artículo 64 de la LOPDGDD, apartados 2 (párrafo tercero) y 3, se dictó proyecto de acuerdo de inicio de procedimiento sancionador, motivado por la reclamación recibida a través del Sistema IMI que consta reseñada en el Antecedente Primero. Este proyecto toma en consideración las objeciones reseñadas en el Antecedente Cuarto (proyecto de decisión revisada). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/36 Siguiendo el procedimiento establecido en el artículo 60 del RGPD, con fecha 25/06/2021, el citado proyecto de apertura de procedimiento sancionador fue transmitido a través del Sistema IMI a la autoridad de control interesada, haciéndole saber que, en caso de que no se formulase objeciones en el plazo de dos semanas desde la consulta, se adoptaría el preceptivo acuerdo de apertura de procedimiento sancionador. La autoridad de control interesada no formuló objeción alguna al proyecto de acuerdo de apertura de procedimiento sancionador adoptado por la AEPD, entendiéndose, por tanto, que existe acuerdo sobre el mismo. De conformidad con lo establecido en el artículo 64 de la LOPDGDD, el proyecto de acuerdo de inicio de procedimiento sancionador reseñado fue notificado a la entidad reclamada. SÉPTIMO: Con fecha 15/06/2021, se recibió en esta Agencia escrito presentado por la entidad reclamada en el que solicita el archivo de las actuaciones de acuerdo con las consideraciones siguientes: 1. Describe el procedimiento que siguen en el tratamiento de los datos personales de un cliente desde su llegada al hotel, señalando que se solicita la documentación acreditativa de la identidad de todas las personas mayores de 16 años que se alojan en sus instalaciones, que se somete a un proceso de escaneo para el proceso de registro, el cual completa la ficha de recogida de datos sin guardar en los sistemas informáticos la imagen del documento. Se trata de un reconocimiento óptico de caracteres conocido con las siglas OCR (“Optical Character Recognition”), que posibilita la digitalización de textos (el proceso identifica automáticamente los caracteres de un determinado alfabeto y los almacena en forma de datos). Según la reclamada, este proceso solo se aplica a la página del documento en la que se identifica al viajero, recogiendo los datos personales relativos a número, tipo y fecha de expedición del documento en cuestión (DNI, pasaporte, permiso de conducir, permiso de residencia o carta de identidad), nombre, apellidos, sexo, fecha y país de nacimiento, así como la fotografía. Seguidamente se recaba la firma del viajero en soporte digital, a través de Tablet, en la que se informa sobre la normativa de protección de datos personales; y se le proporciona una tarjeta de acceso a las habitaciones, utilizada también para el uso de los servicios del hotel. Los datos son tratados por el personal de administración y de servicios (bar y comedor) para el pago de los consumos. Además, son remitidos a las Fuerzas y Cuerpos de Seguridad del Estado, en cumplimiento de la normativa de seguridad ciudadana. 2. Niega que el personal del hotel dispusiera en su dispositivo de la copia completa de la primera página del pasaporte del reclamante, ya que los únicos datos que aparecen en los dispositivos utilizados por el personal de bar y comedor con acceso a TPV son el número de habitación, fecha de salida, nombre y apellido del viajero, fotografía y régimen de alojamiento, necesarios para llevar a cabo el mantenimiento, desarrollo y control negocial, legitimador del tratamiento. A este respecto, destaca que, de los datos disponibles en esos dispositivos, únicamente el nombre, apellidos y fotografía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/36 son tomados del check-in). 3. Teniendo en cuenta los datos que se utilizan para el control de los consumos y evitar el uso fraudulento de las instalaciones, no entiende la reclamada que se cuestione el interés legítimo, especialmente cuando la propia Agencia admite el tratamiento de los datos personales recogidos en el pasaporte para el cumplimiento de la legislación nacional, considerándolo lícito de acuerdo con el artículo 6.1.
c)del RGPD. Sobre las formas menos intrusivas para identificar al cliente a las que se refieren en el acuerdo de apertura, señala que solicitar de forma verbal el número de habitación o el apellido resulta insuficiente y no impide que otra persona pueda oír estos datos y utilizarlos; lo mismo que la firma de un recibo, que el empleado no podría cotejar. Añade que por estos motivos se incluyó la fotografía en los sistemas digitales del personal de bar y comedor, como medio de autenticación, incluso cuando el cliente no está en posesión de la tarjeta por olvido, extravío o sustracción. En cuanto a los riesgos en caso de una posible violación de datos, advierte que tiene implementados los mecanismos establecidos en el RGPD y que los empleados han suscrito un contrato de confidencialidad. 4. La reclamada no trata categorías especiales de datos personales en ningún momento. Sobre esta cuestión, manifiesta que la imagen del cliente es solo una fotografía de la que no se extraen plantillas biométricas ni se utilizan para reconocimiento facial ni otros medios específicos. Por tanto, a su juicio, el tratamiento que realiza de la obtención de la fotografía que realiza no se ajusta al concepto de tratamiento de categorías especiales de datos (Considerando 51 y artículo 4.15 del RGPD). En consecuencia, concluye la entidad reclamada que el tratamiento de los datos utilizados para autenticar la identidad de la persona que realiza un gasto no infringe lo dispuesto en el artículo 6.1.
f)del RGPD, al resultar necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento (evitar perjuicios y demandas por cobros indebidos), así como del interesado (evitar cobros indebidos). Aporta una fotografía en la que puede verse el detalle de la información disponible en los dispositivos del personal del hotel sobre una persona en concreto: en el apartado “Datos de la reserva” incluye el número de habitación, número de la reserva, número de personas y fecha de salida; en el apartado “Componentes de la reserva” se indica el nombre y apellidos de la persona, régimen, tipo de VIP y número de visitas, además de la fotografía del cliente. OCTAVO: Con fecha 19/07/2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad MARINS PLAYA, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del artículo 6 del RGPD, tipificada en el artículo 83.5.
a)del mismo Reglamento, y calificada como muy grave a efectos de prescripción en el artículo 72.1.
b)de la LOPDGDD; determinando que la sanción que pudiera corresponder, considerando las evidencias existentes en el momento de la apertura y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/36 sin perjuicio de lo que resulte de la instrucción, ascendería a un total de 30.000 euros (treinta mil euros). En el mismo acuerdo de apertura del procedimiento se advertía que la infracción imputada, de confirmarse, podrá conllevar la imposición de medidas, de acuerdo con lo establecido en el citado artículo 58.2
d)del RGPD. NOVENO: Notificado el citado acuerdo de inicio, la reclamada presentó escrito de fecha 22/07/2021, en el que solicita nuevamente el archivo del procedimiento sancionador. En este nuevo escrito reproduce literalmente sus alegaciones anteriores, que constan reseñadas en el Antecedente Séptimo. Únicamente añade que el Considerando 47 del RGPD admite el tratamiento de datos personales necesario para la prevención del fraude en base al interés legítimo del responsable y que se considera como fraude un engaño económico llevado a cabo con la intención de conseguir un beneficio, y con el cual alguien queda perjudicado. DÉCIMO: Con fecha 24/082021, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por reproducidos a efectos probatorios la reclamación interpuesta, los documentos obtenidos y generados por la Subdirección General de Inspección de Datos y los Servicios de Inspección, y el Informe de Actuaciones Previas de Inspección que forma parte del expediente E/01088/2019; y por presentadas las alegaciones formuladas por MARINS PLAYA y la documentación que a ellas acompaña. Asimismo, se acordó requerir a la entidad la entidad reclamada para que aportase la información y/o documentación siguiente: “
a)Copia del registro de todas las actividades de tratamiento de datos personales de clientes efectuadas bajo la responsabilidad de MARINS PLAYA. Dicho registro, al que se refiere el artículo 30 del RGPD, deberá aportarse en su versión inicial, junto con cualquier adición, modificación o exclusión en el contenido del mismo.
b)Si dispone de ellas, copia de la/s evaluación/es del impacto en la protección de datos personales relativa/s a cualquier tipo de operaciones de tratamiento de datos personales de clientes efectuadas bajo la responsabilidad de MARINS PLAYA que entrañen un alto riesgo para los derechos y libertades de las personas físicas. Deberá aportarse la versión inicial de esta/s evaluación/es de impacto y, en su caso, el detalle de las modificaciones o actualizaciones que pudieran haberse realizado. Asimismo, de haberse producido un cambio del riesgo que representen las operaciones de tratamiento y de haberse estimado necesario, deberá aportar el resultado del examen que MARINS PLAYA haya podido realizar para determinar si el tratamiento es conforme con la evaluación de impacto relativa a la protección de datos (artículo 35.11 del RGPD).
c)Copia de los documentos en los que conste la evaluación realizada sobre la prevalencia o no de los intereses y derechos fundamentales de los clientes frente a los intereses de MARINS PLAYA, en relación con las operaciones de tratamiento de datos personales de clientes efectuadas bajo la responsabilidad de MARINS PLAYA con las que se pretenda la satisfacción de intereses legítimos perseguidos por la propia entidad MARINS PLAYA o por un tercero. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/36
d)Copia de la información en materia de protección de datos (política de privacidad) facilitada a través de cualquier canal a los clientes de esa entidad, en su versión actual y versiones anteriores vigentes a partir del 25/05/2018, en su caso, con indicación del período de vigencia de cada versión. Si hubiera adendas o variaciones, u otros avisos de privacidad o informaciones adicionales, relativas al tratamiento de datos personales, se solicita copia de todos los documentos empleados para informar en materia de protección de datos personales distintos a la política de privacidad.
e)Detalle de los canales y procedimientos habilitados para dar a conocer a sus clientes toda la información en materia de protección de datos personales (política de privacidad o cualquier otro documento).
f)Información relativa a los canales, mecanismos y metodología utilizados por esa entidad para recabar la aceptación por parte de sus clientes de la política de privacidad o cualquier otro documento empleado por esa entidad para informar en materia de protección de datos personales; así como para la prestación de los consentimientos previstos en tales documentos, en su caso.
g)Impresiones de pantalla correspondientes a toda la información que conste registrada en su sistema de información relativa al reclamante en el expediente sancionador de referencia.
h)Detalle sobre el programa informático empleado por esa entidad para la toma de los datos de los clientes mediante escaneo de documentos y su conversión a texto”. En respuesta a este requerimiento, se recibió en esta Agencia escrito de la reclamada acompañado de la documentación que seguidamente se indica. En este escrito, dicha entidad manifestó no poder aportar las impresiones de las tablets de bar y comedor con la información sobre el reclamante disponible en estos dispositivos debido a que esta información se suprime en el momento en que el cliente hace el check-out, ni los accesos al wifi, en su caso, que son borrados a los doce meses (Ley 25/2007). Del contenido de la documentación aportada cabe destacar lo siguiente: 1. Registro de actividades de tratamiento de datos personales de clientes. . Finalidad: gestión contable, fiscal y administrativa; . Categoría de interesados: clientes y usuarios; . Tipos de datos: DNI o NIF, nombre y apellidos, dirección postal o electrónica, teléfono, imagen y firma manual; . Otro tipo de datos: características personales, circunstancias sociales, información comercial, transacciones de bienes y servicios; . Cesiones: Fuerzas y Cuerpos de Seguridad. . Acceso a equipos: se accede mediante usuario y contraseña personalizados. 2. Análisis de riesgo sobre el tratamiento de datos personales de clientes. Después de analizar la estructura de datos, el cumplimiento normativo, la organización y recursos, así como la seguridad desde el diseño y por defecto, se concluye que “no existen riesgos en los recursos utilizados”. 3. Información en materia de protección de datos (política de privacidad) facilitada a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/36 través de la web de la entidad reclamada.
a)Aporta copia de la “Hoja de Registro”, que incluye un apartado relativo al establecimiento y otro a los “datos del viajero” (número de documento de identidad, tipo de documento y fecha de expedición, nombre, apellidos, sexo, fecha de nacimiento, país de nacionalidad, fecha de entrada y firma del viajero). Esta “Hoja” incluye una leyenda informativa en materia de protección de datos personales que detalla, entre otros aspectos, la identidad del responsable, la finalidad para la que serán tratados los datos, la inexistencia de comunicaciones de datos salvo por obligación legal, los derechos del interesado, modo de ejercicio y posibilidad de interponer reclamación ante la AEPD. Se acompaña una actualización de esta “Hoja Registro”

(2019)que contiene una nueva cláusula informativa. En esta se informa sobre la recogida y tratamiento de los datos con la finalidad de prevención, investigación, detección o enjuiciamiento de infracciones penales al amparo de la Ley Orgánica 4/2015, de 30 de marzo, de Protección de la Seguridad Ciudadana; que los datos se conservarán durante tres años y estarán a disposición de las Fuerzas y cuerpos de Seguridad; derechos de los interesados y modo de ejercitarlos y posibilidad de reclamar ante la AEPD. Por otra parte, la entidad reclamada aporta copia de la política de protección de datos disponible en su web. Se distribuye en dos partes, que denomina “Política de Privacidad” y “Cláusulas de segunda capa” (esta última parte se encuentra divida en epígrafes: fichero de clientes reserva, facturas/contabilidad, newsletter, usuarios web, empleados, etc.). El apartado “Política de Privacidad” está referido a los datos personales recabados de los clientes “con el fin de prestarles los servicios contratados consistentes en la reserva de alojamiento en establecimientos hoteleros”. En la información de “Segunda capa”, epígrafe “Fichero de clientes reserva” se informa que la reclamada trata la información que los clientes facilitan “con el fin de prestarles el servicio y venderle los productos solicitados, realizar la facturación del mismo y gestionar el envío de información y prospección comercial”. En esta información, nada se indica sobre la utilización de la fotografía del cliente para el control de los consumos y evitar el uso fraudulento de las instalaciones. 4. Impresión de pantalla correspondiente a la información registrada relativa al reclamante (datos durante el check-in). Se presenta con el rótulo “Carga de datos de la ficha del cliente”, e incluye campos relativos a nombre y apellidos, número de documento y fecha de expedición, nacionalidad, fecha de nacimiento, últimas visitas y fotografía. Según esta información, la entrada en el hotel del reclamante tuvo lugar en fecha 27/08/2018. 5. Detalle sobre el programa informático (***PROGRAMA.1”) empleado para la toma de los datos de los clientes mediante escaneo de documentos y su conversión a texto, facilitado por la empresa desarrolladora del software: “Procedimiento de captura de datos de los clientes mediante escaneo de documentos. En el momento de la entrada en el hotel se solicita al cliente su DNI/PASAPORTE para hacer C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/36 el escaneo de dicho documento. En este escaneo y mediante un proceso OCR (de la empresa…) se capturan los datos y se integran en la base de datos ya que son necesarios para cumplimentar 2 documentos imprescindibles en el normal funcionamiento del hotel: 1. Rellenar el parte de entrada de viajeros. La recogida y tratamiento de estos datos se hará conforme l Reglamento (UE) 2016/679, de 27 de abril (GDPR) y a Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD), con la finalidad de prevención, investigación, detección o enjuiciamiento de infracciones penales, y al amparo de la Ley Orgánica 4/2015, de 30 de marzo, de Protección de la Seguridad Ciudadana, artículo 25.1. 2. Emisión de la facturación de los gastos realizados en el hotel. La imagen con la foto del cliente se captura y se guarda para securizar el proceso de crédito a clientes en los diferentes departamentos ya que facilita al personal del hotel la identificación del cliente que está haciendo uso de la tarjeta del crédito o habitación. De igual forma permite identificar a dicho cliente por parte del personal del hotel a la hora de controlar el acceso al establecimiento”. DECIMOPRIMERO: Con fecha 29/11/2021 se formuló propuesta de resolución en el sentido siguiente: 1. Que por la Directora de la Agencia Española de Protección de Datos se sancione a la entidad MARINS PLAYA, por una infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5.

a)del RGPD y calificada como muy grave a efectos de prescripción en el artículo 72.1.
b)de la LOPDGDD, con una multa de 30.000 euros (treinta mil euros). 2. Que por la Directora de la Agencia Española de Protección de Datos se imponga a la entidad MARINS PLAYA, S.A., en el plazo que se determine, la adopción de las medidas necesarias para adecuar su actuación a la normativa de protección de datos personales, con el alcance expresado en el Fundamento de Derecho VI de la citada propuesta de resolución. DECIMOSEGUNDO: Notificada la citada propuesta de resolución, con fecha 15/12/2021 se recibe escrito de la entidad reclamada en el que reitera su petición de archivo del procedimiento, fundamentando su solicitud en las alegaciones siguientes: 1. El reclamante, durante el proceso de registro en el establecimiento hotelero, que tuvo lugar el 27/08/2018, tres meses después de la entrada en vigor del RGPD, facilitó su pasaporte sin mostrar oposición alguna. En ese momento fue informado sobre los extremos que impone el RGPD mediante un documento informativo redactado en español y tenía a su disposición un “display” con una cláusula informativa relativa a los tratamientos de datos que se realizaban. Actualmente, esta información se facilita en los idiomas más frecuentes entre los clientes de la entidad. 2. El Considerando 47 del RGPD recoge de manera expresa que el tratamiento de datos personales estrictamente necesario para la prevención del fraude constituye también un interés legítimo del responsable del tratamiento, que opera “ex lege” cuando el tratamiento obedece a esta finalidad y concurran los parámetros que deben ser tenidos en cuenta para realizar la ponderación, como son que el interesado sea cliente o está al servicio, la realización de un análisis previo y que los tratamientos no se produzcan en circunstancias en las que el interesado no espere que se realice un tratamiento posterior (la perspectiva del interesado). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/36 En este caso, se da el primer aspecto; el segundo fue objeto de análisis cuando se implantó la solución tecnológica para el check-in, concluyéndose la necesidad de informar, limitar el acceso a la imagen exclusivamente a los operadores de cobro por consumo y conservar el dato solo durante la estancia del cliente; además, la identificación por imagen ha sido valorada favorablemente por los clientes, pues han evitado cargos erróneos, especialmente cuando se ofertan estancias de “todo incluido”. 3. No existen alternativas que ofrezcan igual garantía minimizando el tratamiento de la información personal. Reitera que las propuestas de la autoridad de protección de datos de Países Bajos sobre otras prácticas menos intrusivas, como son la consulta al interesado de algunos datos (apellido o número de habitación) o la firma de un recibo, no son efectivas o implican el tratamiento de otros datos, como la firma, que no tienen menor exigencia de protección. 4. La imagen del cliente solo se visualiza por el personal que atiende los pagos por consumo, que suscriben un documento de confidencialidad, no se realiza ningún otro tratamiento de dicha imagen y se elimina al finalizar la estancia del cliente. 5. La argumentación sostenida por la reclamada es la que sostuvo la propia Agencia cuando estimó inicialmente que no existían indicios de infracción. Con su escrito de alegaciones, MARINS PLAYA aporta copia del documento informativo al que se refiere en sus alegaciones. En este documento se explica el proceso de check-in y el tratamiento de la imagen del documento identificativo mediante un programa de reconocimiento de caracteres. En relación con la fotografía se indica lo siguiente: “Asimismo, la foto que aparece en el pasaporte o DNI que haya proporcionado para el check-in será registrada en el sistema de gestión hotelera del hotel de destino. La finalidad es permitir al personal del hotel identificarle como un cliente alojado y controlar el cargo de los consumos que realice durante su estancia a su habitación. Esta foto será suprimida en el momento del check-out. Este tratamiento se basa sobre nuestro interés legítimo en identificar a los clientes alojados para fines de seguridad y de control de cargos. Para la ponderación de este interés respecto a sus derechos y libertades se ha determinado que el tratamiento tenía un impacto limitado en su privacidad, ya que: - Prexiste una relación contractual y el tratamiento s realicen en conexión con dicha relación; - Esta medida de seguridad beneficia a los propios clientes al garantizar la correcta imputación de los cargos a su habitación y evitar posibles suplantaciones; - El acceso a su imagen es restringido al personal del hotel; - El plazo de conservación de su imagen queda limitado al tiempo de su estancia” . De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/36 HECHOS PROBADOS 1. La entidad MARINS PLAYA está dedicada a la prestación de servicios hoteleros y de alojamientos similares. 2. Para el registro de clientes (check-in), en el momento de la llegada de éstos al hotel, solicita la documentación identificativa y la somete a un proceso de escaneo que posibilita la digitalización de textos (el proceso identifica automáticamente los caracteres de un determinado alfabeto y los almacena en forma de datos), mediante un programa informático de reconocimiento óptico de caracteres (OCR). Este proceso convierte la imagen en texto e incorpora los datos al programa de gestión hotelera, cumplimentando la “ficha del cliente” o “parte de entrada de viajeros”, con campos relativos a número, tipo y fecha de expedición del documento de identidad presentado, nombre y apellidos, sexo, fecha y país de nacimiento. Este proceso aplicado por la entidad reclamada también incorpora a su base de datos la fotografía del cliente. En este momento se facilita al cliente una tarjeta magnética que puede utilizar tanto para el acceso a la habitación como para hacer uso de los servicios del hotel. 3. Los datos recabados del cliente por MARINS PLAYA son tratados por el personal de administración y de servicios (bar y comedor); y son remitidos a las Fuerzas y Cuerpos de Seguridad del Estado, en cumplimiento de la normativa de seguridad ciudadana. El personal de servicios utiliza un dispositivo que tiene incorporada información relativa a los clientes: en el apartado “Datos de la reserva” incluye el número de habitación, número de la reserva, número de personas y fecha de salida; en el apartado “Componentes de la reserva” se indica el nombre y apellidos de la persona, régimen, tipo de VIP y número de visitas, además de la fotografía del cliente. La entidad MARINS PLAYA ha manifestado que la imagen con la foto del cliente se utiliza para facilitar al personal del hotel la identificación del cliente que está haciendo uso de la tarjeta del crédito o habitación (en el momento de realizar un consumo, el cliente facilita esa tarjeta al empleado, quien, al pasarla para realizar el cargo, puede comprobar la fotografía), así como para controlar el acceso al establecimiento. 4. El Registro de Actividades de Tratamiento (RAT) aportado por MARINS PLAYA incluye la siguiente información sobre el tratamiento de datos personales de clientes: . Finalidad: gestión contable, fiscal y administrativa; . Categoría de interesados: clientes y usuarios; . Tipos de datos: DNI o NIF, nombre y apellidos, dirección postal o electrónica, teléfono, imagen y firma manual; . Otro tipo de datos: características personales, circunstancias sociales, información comercial, transacciones de bienes y servicios; . Cesiones: Fuerzas y Cuerpos de Seguridad. . Acceso a equipos: se accede mediante usuario y contraseña personalizados. 5. MARINS PLAYA ha manifestado durante la instrucción del procedimiento que después del escaneo del documento identificativo del cliente, realizado durante el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/36 proceso de registro, se recaba la firma del viajero en soporte digital, a través de Tablet, en la que se informa sobre la normativa de protección de datos personales. MARINS PLAYA ha aportado a las actuaciones copia de la “Hoja de Registro”, que incluye un apartado relativo al establecimiento y otro a los “datos del viajero” (nº de documento de identidad, tipo de documento y fecha de expedición, nombre, apellidos, sexo, fecha de nacimiento, país de nacionalidad, fecha de entrada y firma del viajero). Esta “Hoja” incluye una leyenda informativa en materia de protección de datos personales que detalla, entre otros aspectos, la identidad del responsable, la finalidad para la que serán tratados los datos, la inexistencia de comunicaciones de datos salvo por obligación legal, los derechos del interesado, modo de ejercicio y posibilidad de interponer reclamación ante la AEPD. Consta, asimismo, una actualización de esta “Hoja Registro”

d)el de: “notificar al responsable o encargo del tratamiento las presuntas infracciones del presente Reglamento”; y en el 2.
i)el de: “imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso”. El caso examinado está motivado por una reclamación de carácter transfronterizo formulada ante la autoridad de protección de datos de Países Bajos (Autoreit Persoonsgegevens -AP), contra MARINS PLAYA, que tiene sede en España. Dicha sede es el establecimiento principal de la citada entidad, en el sentido de la definición del artículo 4.16 del RGPD. Así, conforme a lo dispuesto en el artículo 56.1 del RGPD, la AEPD es la competente para actuar como autoridad de control principal. Se tienen en cuenta las siguientes “definiciones” establecidas en el artículo 4 del RGPD: “16) establecimiento principal:
a)en lo que se refiere a un responsable del tratamiento con establecimientos en más de un Estado miembro, el lugar de su administración central en la Unión, salvo que las decisiones sobre los fines y los medios del tratamiento se tomen en otro establecimiento del responsable en la Unión y este último establecimiento tenga el poder de hacer aplicar tales decisiones, en cuyo caso el establecimiento que haya adoptado tales decisiones se considerará establecimiento principal”. “21) autoridad de control: la autoridad pública independiente establecida por un Estado miembro con arreglo a lo dispuesto en el artículo 51”. “22) autoridad de control interesada: la autoridad de control a la que afecta el tratamiento de datos personales debido a que: a.- El responsable o encargado del tratamiento está establecido en el territorio del Estado miembro de esa autoridad de control; b.- Los interesados que residen en el Estado miembro de esa autoridad de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento, o c.- Se ha presentado una reclamación ante esa autoridad de control”. “23) tratamiento transfronterizo:
a)el tratamiento de datos personales realizado en el contexto de las actividades de establecimientos en más de un Estado miembro de un responsable o un encargado del tratamiento en la Unión, si el responsable o el encargado está establecido en más de un Estado miembro, o
b)el tratamiento de datos personales realizado en el contexto de las actividades de un único establecimiento de un responsable o un encargado del tratamiento en la Unión, pero que afecta sustancialmente o es probable que afecte sustancialmente a interesados en más de un Estado miembro”. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, en el presente procedimiento actúa en calidad de “autoridades de control interesadas” la autoridad de protección de datos personales de Países Bajos (Autoriteit Persoonsgegevens -AP). II C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/36 El artículo 56.1 del RGPD, relativo a la “Competencia de la autoridad de control principal”, establece lo siguiente: “1. Sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60”. Dicho artículo 60 regula la “Cooperación entre la autoridad de control principal y las demás autoridades de control interesadas”: “1. La autoridad de control principal cooperará con las demás autoridades de control interesadas de acuerdo con el presente artículo, esforzándose por llegar a un consenso. La autoridad de control principal y las autoridades de control interesadas se intercambiarán toda información pertinente. 2. La autoridad de control principal podrá solicitar en cualquier momento a otras autoridades de control interesadas que presten asistencia mutua con arreglo al artículo 61, y podrá llevar a cabo operaciones conjuntas con arreglo al artículo 62, en particular para realizar investigaciones o supervisar la aplicación de una medida relativa a un responsable o un encargado del tratamiento establecido en otro Estado miembro. 3. La autoridad de control principal comunicará sin dilación a las demás autoridades de control interesadas la información pertinente a este respecto. Transmitirá sin dilación un proyecto de decisión a las demás autoridades de control interesadas para obtener su dictamen al respecto y tendrá debidamente en cuenta sus puntos de vista. 4. En caso de que cualquiera de las autoridades de control interesadas formule una objeción pertinente y motivada acerca del proyecto de decisión en un plazo de cuatro semanas a partir de la consulta con arreglo al apartado 3 del presente artículo, la autoridad de control principal someterá el asunto, en caso de que no siga lo indicado en la objeción pertinente y motivada o estime que dicha objeción no es pertinente o no está motivada, al mecanismo de coherencia contemplado en el artículo 63. 5. En caso de que la autoridad de control principal prevea seguir lo indicado en la objeción pertinente y motivada recibida, presentará a dictamen de las demás autoridades de control interesadas un proyecto de decisión revisado. Dicho proyecto de decisión revisado se someterá al procedimiento indicado en el apartado 4 en un plazo de dos semanas. 6. En caso de que ninguna otra autoridad de control interesada haya presentado objeciones al proyecto de decisión transmitido por la autoridad de control principal en el plazo indicado en los apartados 4 y 5, se considerará que la autoridad de control principal y las autoridades de control interesadas están de acuerdo con dicho proyecto de decisión y estarán vinculadas por este. 7. La autoridad de control principal adoptará y notificará la decisión al establecimiento principal o al establecimiento único del responsable o el encargado del tratamiento, según proceda, e informará de la decisión a las autoridades de control interesadas y al Comité, incluyendo un resumen de los hechos pertinentes y la motivación. La autoridad de control ante la que se haya presentado una reclamación informará de la decisión al reclamante. (…) 12. La autoridad de control principal y las demás autoridades de control interesadas se facilitarán recíprocamente la información requerida en el marco del presente artículo por medios electrónicos, utilizando un formulario normalizado”. Sobre las cuestiones reguladas en estos preceptos, se tiene en cuenta lo señalado en los Considerandos 124, 125, 126 y 130 del RGPD, en particular lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/36

(124)“…Dicha autoridad (la autoridad principal) debe cooperar con las demás autoridades interesadas…”.

(125)“En su calidad de autoridad principal, la autoridad de control debe implicar estrechamente y coordinar a las autoridades de control interesadas en el proceso de toma de decisiones”.

(126)“La decisión debe ser acordada conjuntamente por la autoridad de control principal y las autoridades de control interesadas…”.

(130)“Cuando la autoridad de control ante la cual se haya presentado la reclamación no sea la autoridad de control principal, esta última debe cooperar estrechamente con la primera con arreglo a las disposiciones sobre cooperación y coherencia establecidas en el presente Reglamento. En tales casos, la autoridad de control principal, al tomar medidas concebidas para producir efectos jurídicos, incluida la imposición de multas administrativas, debe tener en cuenta en la mayor medida posible la opinión de la autoridad de control ante la cual se haya presentado la reclamación y la cual debe seguir siendo competente para realizar cualquier investigación en el territorio de su propio Estado miembro en enlace con la autoridad de control competente”. De acuerdo con lo establecido en el artículo 4.24 del RGPD, se entiende por “objeción pertinente y motivada” lo siguiente: “La objeción a una propuesta de decisión sobre la existencia o no de infracción del presente Reglamento, o sobre la conformidad con el presente Reglamento de acciones previstas en relación con el responsable o el encargado del tratamiento, que demuestre claramente la importancia de los riesgos que entraña el proyecto de decisión para los derechos y libertades fundamentales de los interesados y, en su caso, para la libre circulación de datos personales dentro de la Unión”. De conformidad con lo establecido en las normas anteriores, en el presente supuesto, referido a una reclamación presentada ante la autoridad de control de un Estado miembro (Países Bajos), en relación con tratamientos en el contexto de las actividades de un establecimiento de un responsable que afectan o es probable que afecten sustancialmente a interesados en más de un Estado miembro (tratamientos de datos transfronterizos), la autoridad de control principal, en este caso la Agencia Española de Protección de Datos, está obligada a cooperar con las demás autoridades interesadas. La Agencia Española de Protección de Datos, en aplicación de los poderes que le confiere el RGPD, es la competente para adoptar las decisiones concebidas para producir efectos jurídicos, ya sea la imposición de medidas que garanticen el cumplimiento de las normas o la imposición de multas administrativas. No obstante, viene obligada a implicar estrechamente y coordinar a las autoridades de control interesadas en el proceso de toma de decisiones y tener en cuenta su opinión en la mayor medida. Se establece, asimismo, que la decisión vinculante que deba adoptarse se acuerde conjuntamente. El artículo 60 del RGPD regula esta cooperación entre la autoridad de control principal y las demás autoridades de control interesadas. El apartado 3 de este artículo establece expresamente que la autoridad de control principal transmitirá a las demás autoridades de control interesadas, sin dilación, un proyecto de decisión para obtener su dictamen al respecto y tendrá debidamente en cuenta sus puntos de vista, siguiendo para ello el procedimiento previsto en los apartados 4 y siguientes. Las autoridades de control interesadas disponen de un plazo de cuatro semanas para formular objeciones motivadas acerca del proyecto de decisión, entendiéndose que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/36 existe acuerdo sobre dicho proyecto si ninguna autoridad presenta objeciones en el plazo indicado, en cuyo caso todas ellas quedan vinculadas por el repetido proyecto. En otro caso, es decir, si cualquiera de las autoridades interesadas formula una objeción pertinente y motivada acerca del proyecto de decisión, la autoridad de control principal podrá seguir lo indicado en la objeción, presentando a dictamen de las demás autoridades de control interesadas un proyecto de decisión revisado, que se someterá al procedimiento indicado en el apartado 4 en un plazo de dos semanas. De no seguir lo indicado en la objeción o si se estima que la misma no es pertinente, la autoridad de control principal debe someter el asunto al mecanismo de coherencia contemplado en el artículo 63 del RGPD. En el presente caso, la AEPD estimó inicialmente que no existían indicios de infracción, por lo que, con fecha 28/09/2020, se dictó Proyecto de Decisión, mediante el que se sometía a la consideración del resto de autoridades de control interesadas el archivo de la reclamación (Draft decisión). Al término del plazo establecido, formuló objeciones al citado Proyecto de Decisión la autoridad de protección de datos de Países Bajos (Autoriteit Persoonsgegevens -AP), en el sentido expresado en los Antecedentes del presente acto. Teniendo en cuenta los motivos expuestos en las objeciones formuladas, y de conformidad con lo establecido en el apartado 1 del artículo 60 del RGPD, antes transcrito, que obliga a la autoridad de control principal a cooperar con las demás autoridades, esforzándose por llegar a un consenso, se siguió el procedimiento previsto en el apartado 5 del citado artículo 60, en lugar de acudir al mecanismo de coherencia contemplado en el artículo 63 del RGPD. Aunque esta Agencia consideró inicialmente que no existían indicios de infracción, una vez analizadas las observaciones u objeciones planteadas por la autoridad de control interesada se pusieron de manifiesto algunas circunstancias que no habían sido suficientemente valoradas en el proyecto de archivo de actuaciones (Draft decisión), que serán expuestas en los Fundamentos de Derecho que siguen. Por ello, procedía la elaboración de un Proyecto de Decisión Revisado que contemplase la apertura de un procedimiento sancionador a MARINS PLAYA. Esta actuación es acorde con el procedimiento de cooperación regulado en el artículo 60 del RGPD; y tiene en cuenta lo establecido en el artículo 58.4 del mismo Reglamento, según el cual el ejercicio de los poderes conferidos a la autoridad de control debe respetar las garantías procesales establecidas en el Derecho de la Unión y de los Estados miembros. Las normas procesales españolas, en concreto, la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), establece que los procedimientos de naturaleza sancionadora se iniciarán siempre de oficio por acuerdo del órgano competente, el cual debe contener, entre otras indicaciones, la identificación de la persona o personas presuntamente responsables, los hechos que motivan la incoación del procedimiento, su posible calificación y las sanciones que pudieran corresponder C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/36 La adopción de este proyecto de acuerdo de inicio de procedimiento sancionador está prevista en el artículo 64 de la LOPDGDD, apartados 2 (párrafo tercero) y 3, estableciéndose la obligación de dar conocimiento formal al interesado. Esta notificación interrumpe la prescripción de la infracción. El Proyecto de Decisión Revisado elaborado por la AEPD, en forma de proyecto de apertura de procedimiento sancionador, fue sometido a la consideración de la autoridad interesada, a fin de que formulase las objeciones que estimasen pertinentes o prestase su conformidad. Para ello, fue transmitido a través del Sistema IMI a dichas autoridades, haciéndole saber que, en caso de que no formulase objeciones en el plazo de dos semanas desde la consulta, se adoptaría el preceptivo acuerdo de apertura de procedimiento sancionador. La autoridad de control interesada no formuló objeción alguna, por lo que se entendió que existía acuerdo sobre el citado proyecto. En consecuencia, con fecha 19/07/2021, la AEPD acordó iniciar el presente procedimiento sancionador, de acuerdo con los argumentos y las imputaciones contenidas en el Proyecto de Decisión Revisado. Por otra parte, en el apartado 4 del citado artículo 64 de la LOPDGDD establece que los plazos de tramitación establecidos en este artículo quedarán automáticamente suspendidos cuando deba recabarse información, consulta, solicitud de asistencia o pronunciamiento preceptivo de un órgano u organismo de la Unión Europea o de una o varias autoridades de control de los Estados miembros conforme con lo establecido en el RGPD, por el tiempo que medie entre la solicitud y la notificación del pronunciamiento a la Agencia Española de Protección de Datos. III El artículo 6 del RGPD se refiere a la “Licitud del tratamiento” en los términos siguientes: Artículo 6 del RGPD. “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:

a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/36 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
c)y e), deberá ser establecida por:
a)el Derecho de la Unión, o
b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización”. Se tiene en cuenta lo expresado en los considerandos 40 a 45 y 47 del RGPD en relación con lo establecido en los artículos 6 y 7 del RGPD antes reseñados. En el presente caso, se formula reclamación contra la entidad MARINS PLAYA por realizar, durante el proceso de registro del reclamante en el hotel, un escaneo digital de su pasaporte, de todo el documento, a pesar de la oposición manifestada por el mismo; así como por la utilización de los datos personales contenidos en el citado documento, incluida la fotografía, para el control y facturación de los consumos del cliente durante su estancia. Las actuaciones desarrolladas han permitido constatar que el proceso de escaneado al que se somete el documento identificativo del cliente a su llegada al hotel no tiene por objeto obtener una imagen digital de todo el documento. Según consta detallado en el Hecho Probado 2, dicho escaneo se realiza utilizando un programa informático C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/36 de reconocimiento óptico de caracteres (OCR) que identifica automáticamente los caracteres de un determinado alfabeto y los almacena en forma de datos, es decir, convierte la imagen en texto. Se trata de un programa de apoyo que captura los datos del cliente, los integra en el sistema de información de la entidad y posibilita la cumplimentación de la “ficha del cliente” o “parte de entrada de viajeros”. No existe prueba que acredite que la entidad responsable disponga de una imagen completa del documento de identidad de los clientes. Tampoco consta que la imagen escaneada de este documento se incorporase a los dispositivos que utiliza el personal de servicios del hotel (bar y comedor). Si consta acreditado, en cambio, y así lo ha reconocido la propia entidad MARINS PLAYA, que mediante aquel proceso la citada entidad recaba los datos personales de sus clientes relativos a número, tipo y fecha de expedición del documento de identidad presentado, nombre y apellidos, sexo, la fecha y país de nacimiento, así como la fotografía; y que son remitidos a las Fuerzas y Cuerpos de Seguridad del Estado en cumplimiento de la normativa de seguridad ciudadana y utilizados para la “gestión hotelera”, según los términos empleados por la propia entidad en su respuesta a los Servicios de Inspección de la AEPD. Esto incluye la utilización de los datos personales por el personal de administración y de servicios. Según la documentación aportada por la entidad reclamada, el personal de servicios utiliza un dispositivo que tiene incorporada información relativa a los clientes, que incluye el número de habitación y de la reserva, número de personas y fecha de salida; nombre y apellidos de la persona, régimen, tipo de VIP y número de visitas, además de la fotografía del cliente, que se comprueba para verificar la identidad del cliente cuando realiza consumos en el hotel; pero no disponen de la imagen escaneada del documento de identidad. Los datos recabados, salvo la fotografía, resultan necesarios para la ejecución del contrato en el que el interesado es parte y para el cumplimiento de una obligación legal aplicable al responsable del tratamiento. Por tanto, el tratamiento de estos datos queda amparado por lo establecido en el artículo 6.1, letras
b)y c), del RGPD. La normativa que regula los libros-registros y partes de entrada de viajeros en establecimientos de hostelería, así como la obligación de comunicar la información contenida en las hojas-registro a las dependencias policiales, está constituida, básicamente, por la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana, y la Orden INT/1922/2003, de 3 de julio, sobre libros-registro y partes de entrada de viajeros en establecimientos de hostelería y otros análogos. El artículo 24 de la Ley Orgánica 4/2015 dispone en su apartado primero lo siguiente: “Las personas físicas o jurídicas que ejerzan actividades relevantes para la seguridad ciudadana, como las de hospedaje… quedarán sujetas a las obligaciones de registro documental e información en los términos que establezcan las disposiciones aplicables”. Esta norma, y la Orden mencionada, en la que se detallan aquellas obligaciones, legitima la recogida de los datos personales relativos a número de documento de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/36 identidad, tipo de documento y fecha de expedición, nombre y apellidos, sexo, fecha de nacimiento y país de nacionalidad, fecha de entrada y firma del viajero; los cuales deben incorporarse a la “Hoja-registro” que la entidad responsable del hotel debe trasladar a las Fuerzas y Cuerpos de Seguridad del Estado. Resta, por tanto, determinar el alcance que debe otorgarse, desde el punto de vista de la protección de datos personales, a la recogida y utilización de las fotografías de los clientes que lleva a cabo MARINS PLAYA. Sobre esta cuestión, lo primero que debe destacarse es que la información en materia de protección de datos personales que la entidad reclamada facilitaba a los clientes no incluía ningún detalle sobre la recogida y utilización de la fotografía, por lo que eran desconocidas por los interesados. De hecho, ni siquiera el tratamiento de datos a que es sometida la fotografía figura en el Registro de Actividades de Tratamiento. Debe rechazarse, por tanto, lo manifestado por MARINS PLAYA en su escrito de alegaciones a la propuesta de resolución cuando señala que los clientes eran informados durante el proceso de registro en el establecimiento hotelero. Es cierto que con este escrito de alegaciones ha aportado un documento informativo que sí hace referencia al registro de la fotografía en los sistemas de la entidad, pero no ha acreditado la entrega de este documento a los clientes y tampoco ha justificado cuándo implantó su utilización. A este respecto, interesa destacar que en la fase de pruebas del procedimiento el instructor requirió expresamente a la entidad reclamada copia de su política de privacidad, en todas sus versiones vigentes a partir de 25/05/2018 y de cualquier aviso de privacidad o informaciones adicionales, además de un detalle sobre los canales habilitados para dar a conocer esta información, y dicha entidad no aportó el documento informativo que ahora aporta con sus alegaciones a la propuesta de resolución. En relación con las fotografías de los clientes, MARINS PLAYA ha manifestado que dicha imagen se utiliza para facilitar al personal del hotel la identificación del cliente que está haciendo uso de la tarjeta del crédito o habitación (en el momento de realizar un consumo, el cliente facilita esa tarjeta al empleado, quien, al pasarla para realizar el cargo, puede comprobar la fotografía), así como para controlar el acceso al establecimiento. Cuando el cliente se registra, se le proporciona una tarjeta magnética que le permite, además del acceso a la habitación, el pago de los consumos con cargo a su cuenta, que abonará al finalizar su estancia. En el momento de realizar un consumo, el cliente facilita esa tarjeta al empleado, quien, al pasarla por su dispositivo para realizar el cargo, ve la fotografía del cliente. La recogida y utilización de las fotografías de los clientes no quedan amparadas por las bases jurídicas antes indicadas (ejecución del contrato y cumplimiento de una obligación legal). Según MARINS PLAYA, se pretende verificar la identidad del cliente a fin de evitar el uso fraudulento de la tarjeta por parte de terceros e impedir causar un grave perjuicio económico al cliente; que no se abonen gastos con una tarjeta extraviada que no corresponda al usuario del servicio. En base a ello, considera la citada entidad que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/36 este tratamiento está amparado por lo dispuesto en el artículo 6.1.
f)del RGPD, ya que existe un interés legítimo del responsable en cobrar al verdadero usuario del servicio y del cliente, evitando la utilización de las tarjetas de forma fraudulenta y que se carguen en las cuentas de unos clientes los consumos efectuados por terceros. Se invoca la existencia de un interés legítimo de la entidad responsable y del propio cliente como base jurídica que presta cobertura al tratamiento de la fotografía de los clientes. En relación con la base jurídica del interés legítimo, el artículo 6 citado establece: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño...”. El Considerando 47 del RGPD precisa el contenido y alcance de esta base legitimadora del tratamiento: “

(47)El interés legítimo de un responsable del tratamiento, incluso el de un responsable al que se puedan comunicar datos personales, o de un tercero, puede constituir una base jurídica para el tratamiento, siempre que no prevalezcan los intereses o los derechos y libertades del interesado, teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el responsable. Tal interés legítimo podría darse, por ejemplo, cuando existe una relación pertinente y apropiada entre el interesado y el responsable, como en situaciones en las que el interesado es cliente o está al servicio del responsable. En cualquier caso, la existencia de un interés legítimo requeriría una evaluación meticulosa, inclusive si un interesado puede prever de forma razonable, en el momento y en el contexto de la recogida de datos personales, que pueda producirse el tratamiento con tal fin. En particular, los intereses y los derechos fundamentales del interesado podrían prevalecer sobre los intereses del responsable del tratamiento cuando se proceda al tratamiento de los datos personales en circunstancias en las que el interesado no espere razonablemente que se realice un tratamiento ulterior. Dado que corresponde al legislador establecer por ley la base jurídica para el tratamiento de datos personales por parte de las autoridades públicas, esta base jurídica no debe aplicarse al tratamiento efectuado por las autoridades públicas en el ejercicio de sus funciones. El tratamiento de datos de carácter personal estrictamente necesario para la prevención del fraude constituye también un interés legítimo del responsable del tratamiento de que se trate. El tratamiento de datos personales con fines de mercadotecnia directa puede considerarse realizado por interés legítimo”. Los criterios interpretativos que se extraen de este Considerando son, entre otros, (

i)que el interés legítimo del responsable prevalezca sobre los intereses o derechos y libertades fundamentales del titular de los datos, a la vista de las expectativas razonables que éste tenga, fundadas en la relación que mantiene con el responsable del tratamiento; (
ii)será imprescindible que se efectúe una “evaluación meticulosa” de los derechos e interés en juego, también en aquellos supuestos en los que el interesado pueda prever de forma razonable, en el momento y en el contexto de la recogida de datos, que pueda producirse el tratamiento con tal fin; (iii) los intereses y derechos fundamentales del titular de los datos personales podrían prevalecer frente a los intereses legítimos del responsable cuando el tratamiento de los datos se efectúe en circunstancias tales en las que el interesado “no espere razonablemente” que se lleve a cabo un tratamiento ulterior de sus datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/36 MARINS PLAYA no ha justificado este interés legítimo de forma suficiente para permitir la prueba de ponderación entre el interés del responsable y los derechos del interesado, necesaria para determinar la licitud de los tratamientos llevados a cabo. En este caso, además, no consta que la citada entidad haya realizado esa prueba de ponderación y haya informado debidamente al reclamante sobre esta base legitimadora. Durante la fase de prueba del procedimiento, el instructor solicitó expresamente a la reclamada que aportara “Copia de los documentos en los que conste la evaluación realizada sobre la prevalencia o no de los intereses y derechos fundamentales de los clientes frente a los intereses de MARINS PLAYA, en relación con las operaciones de tratamiento de datos personales de clientes efectuadas bajo la responsabilidad de MARINS PLAYA con las que se pretenda la satisfacción de intereses legítimos perseguidos por la propia entidad MARINS PLAYA o por un tercero”. Esta entidad respondió a la solicitud de prueba acordada, pero no aportó documentación alguna relativa al tratamiento de datos personales basados en el interés legítimo. La entidad reclamada no realizó este análisis previo, aunque se refiera al mismo en su escrito de alegaciones a la propuesta, y en ningún momento informa a los clientes sobre esta base jurídica del tratamiento. Sobre el documento informativo aportado con dicho escrito de alegaciones, que contiene una referencia al interés legítimo, nos remitimos a lo indicado anteriormente sobre dicho escrito informativo. Al faltar la información relativa a la prueba de ponderación, el interesado se ve privado de su derecho a conocer la base jurídica del tratamiento alegada por el responsable, y en concreto, al referirse al interés legítimo, se ve privado de su derecho a conocer cuáles son dichos intereses legítimos alegados por el responsable o de un tercero que justificarían el tratamiento sin tener en cuenta su consentimiento. Del mismo modo, el interesado se ve privado de su derecho a alegar por qué causas dicho interés legítimo alegado por el responsable podría ser contrarrestado por los derechos o intereses del interesado. No habiéndosele dado oportunidad al interesado de alegarlos frente al responsable, cualquier sopesamiento que realice el responsable sin tener en cuenta las circunstancias que pudiera alegar el interesado a quien no se la ha permitido hacerlo estaría viciado, por ser un acto contrario a una norma imperativa. Es difícil aceptar que un tratamiento se base en el interés legítimo del responsable cuando ese tratamiento se lleva a cabo de forma oculta. No cabe, por tanto, invocar esta base jurídica del interés legítimo con ocasión de un trámite administrativo, como el de traslado de la reclamación o el de alegaciones a la apertura del procedimiento sancionador. Aceptarlo sería tanto como admitir un interés legítimo sobrevenido, o a posteriori, respecto del cual no se han respetado las exigencias previstas en la normativa de protección de datos personales y sobre el que no se informa a los interesados. Aunque el interés legítimo no es aplicable, interesa analizar los términos en que debe llevarse a cabo la ponderación que prevé el artículo 6.1.
f)del RGPD entre el legítimo interés del responsable de los datos y la protección de datos de carácter personal del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/36 interesado, es decir, cómo juega dicho interés legítimo, si fuera aplicable. El TJUE, en su sentencia de 04/05/2017, C-13/16, Rigas Satskime, apartado 28 a 34, determinó cuáles son los requisitos para que un tratamiento pueda resultar lícito sobre la base del interés legítimo. La sentencia TJUE de 29/07/2019, C-40/17, Fashion ID, haciéndose eco de la sentencia citada, recoge dichos requisitos. 28. A tal respecto, el artículo 7, letra f), de la Directiva 95/46 -(actual artículo 6.1.
f)del RGPD)fija tres requisitos acumulativos para que el tratamiento de datos personales resulte lícito: primero, que el responsable del tratamiento o el tercero o terceros a quienes se comuniquen los datos persigan un interés legítimo; segundo, que el tratamiento sea necesario para la satisfacción de ese interés legítimo y, tercero, que no prevalezcan los derechos y libertades fundamentales del interesado en la protección de los datos. Esta base jurídica requiere la existencia de intereses reales, no especulativos y que, además, sean legítimos. Y no solo la existencia de ese interés legítimo significa que puedan realizarse aquellas operaciones de tratamiento. Es preciso también que estos tratamientos sean necesarios para satisfacer ese interés y considerar la repercusión para el interesado, el nivel de intrusismo en su privacidad y los efectos que pueden repercutirle negativamente. En cuanto al primero de los requisitos, es decir, que el responsable del tratamiento o terceros persigan un interés legítimo, como es evitar el uso fraudulento de la tarjeta que la reclamada entrega a sus clientes, nos encontramos ante un interés que podría considerarse legítimo en sí mismo, si bien habrá de ser ponderado dicho interés con el de los particulares. Esto es, aunque el responsable tenga dicho interés legítimo, ello no significa, en sí mismo considerado, que pueda simplemente invocarse esta base jurídica como fundamento del tratamiento. La legitimidad de este interés es solo un punto de partida, uno solo de los elementos que deben ponderarse. En cuanto al segundo de los requisitos, sin embargo, se considera que el tratamiento de datos personales que realiza MARINS PLAYA no es necesario o estrictamente necesario para la satisfacción del interés legítimo alegado (la sentencia citada de 04/05/2017, C-13/16, Rigas Satskime, en su apartado 30, declara “Por lo que atañe al requisito de que el tratamiento de datos sea necesario, procede recordar que las excepciones y restricciones al principio de protección de los datos de carácter personal deben establecerse sin sobrepasar los límites de lo estrictamente necesario”). Este principio, según el cual el tratamiento debe ser estrictamente necesario para la satisfacción del interés legítimo, hay que interpretarlo de conformidad con lo establecido en el artículo 5.1.
c)RGPD, que hace referencia al principio de minimización de datos, señalando que los datos personales serán “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”. De esta forma, deberán preferirse siempre medios menos invasivos para servir a un mismo fin. Necesidad supone aquí que el tratamiento resulte imprescindible para la satisfacción del referido interés, de modo que, si dicho objetivo se puede alcanzar de forma razonable de otra manera que produzca menos impacto o menos intrusiva, el interés legítimo no puede ser invocado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/36 El término “necesidad” que utiliza el artículo 6.1
f)del RGPD tiene a juicio del TJUE un significado propio e independiente en la legislación comunitaria. Se trata de un “concepto autónomo del Derecho Comunitario” (STJUE de 16/12/2008, asunto C524/2006, apartado 52). De otra parte, el Tribunal Europeo de Derechos Humanos (TEDH) ha ofrecido también directrices para interpretar el concepto de necesidad. En su Sentencia de 25/03/1983 precisó que, Sin perjuicio de que el tratamiento de los datos de los reclamantes sea “útil”, “deseable” o “razonable”, como precisó el TEDH en su Sentencia de 25/3/1983, el término “necesario” no tiene la flexibilidad que está implícita en esas expresiones. Cuanto más “negativo” o “incierto” pueda ser el impacto del tratamiento, más improbable es que el tratamiento en su conjunto pueda considerarse legítimo. Como puede apreciarse, lo expresado anteriormente se ajusta a la doctrina del Tribunal Constitucional sobre el juicio de proporcionalidad que debe realizarse sobre una medida restrictiva de un derecho fundamental. Según esta doctrina, deberán constatarse tres requisitos: idoneidad (si la medida permite conseguir el objetivo propuesto); necesidad (que no exista otra medida más moderada); proporcionalidad en sentido estricto (más beneficios o ventajas que perjuicios). En definitiva, dejando aparte el hecho de que el interesado no conoce para qué fines o con qué base jurídica se han recogido sus datos, se entiende que la recogida y utilización de la fotografía de los clientes que MARINS PLAYA realiza supone un tratamiento de datos personales excesivo. En relación con esta cuestión, sirven todos los argumentos puestos de manifiesto por la autoridad de protección de datos de Países Bajos, reseñados en el Antecedente Cuarto, para cuestionar el tratamiento de dichos datos personales en virtud de lo establecido en el artículo 6.1.
f)del mismo RGPD, considerando que existen otras formas menos intrusivas para verificar si el titular de la tarjeta magnética es el legítimo titular de la misma en el momento del pago y, así, evitar que dichas tarjetas se utilicen de forma fraudulenta. Por otra parte, tampoco consta en las actuaciones que MARINS PAYA haya establecido garantías adicionales que pudieran favorecer la aceptación de esta base jurídica del tratamiento de datos, como la de favorecer el derecho de oposición del interesado o establecer, incluso, mecanismos de exclusión voluntaria. En definitiva, el interés legítimo invocado por MARINS PLAYA no prevalece frente los derechos y libertades fundamentales de los interesados en la protección de sus datos personales, por lo que no cabe considerar que el tratamiento de datos personales que lleva a cabo esté amparado por el interés legítimo que prevé el artículo 6.1.
f)del RGPD. Y tampoco el interesado presta su consentimiento para dicho tratamiento de datos. De acuerdo con lo expresado en las normas reseñadas, los tratamientos de datos personales objeto de la reclamación requieren la existencia de una base legal que lo legitime, como el consentimiento del interesado prestado válidamente, necesario C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/36 cuando no concurra alguna otra base jurídica de la mencionadas en el artículo 6.1 del RGPD o el tratamiento persiga un fin compatible con aquel para el que se recogieron los datos. El artículo 4 del RGPD define el “consentimiento” en los términos siguientes: “Artículo 4 Definiciones A efectos del presente Reglamento se entenderá por: 11. «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. En relación con la prestación del consentimiento, debe tenerse lo establecido en el artículo 6 del RGPD, ya citado, y en los artículos 7 del RGPD y 7 de la LOPDGDD. Artículo 7 “Condiciones para el consentimiento” del RGPD: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato”. Artículo 6 “Tratamiento basado en el consentimiento del afectado” de la LOPDGDD: “1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. 2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas. 3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual”. El consentimiento se entiende como un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernan, prestada con garantías suficientes para acreditar que el interesado es consciente del hecho de que da su consentimiento y de la medida en que lo hace. Y debe darse para todas las actividades de tratamiento realizadas con el mismo o mismos fines, de modo que, cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/36 ellos de manera específica e inequívoca, sin que pueda supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de sus datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación negocial. A este respecto, la licitud del tratamiento exige que el interesado sea informado sobre los fines a que están destinados los datos (consentimiento informado). El consentimiento ha de prestarse libremente. Se entiende que el consentimiento no es libre cuando el interesado no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno; o cuando no se le permita autorizar por separado las distintas operaciones de tratamiento de datos personales pese a ser adecuado en el caso concreto, o cuando el cumplimiento de un contrato o prestación de servicio sea dependiente del consentimiento, aún cuando éste no sea necesario para dicho cumplimiento. Esto ocurre cuando el consentimiento se incluye como una parte no negociable de las condiciones generales o cuando se impone la obligación de estar de acuerdo con el uso de datos personales adicionales a los estrictamente necesarios. Sin estas condiciones, la prestación del consentimiento no ofrecería al interesado un verdadero control sobre sus datos personales y el destino de los mismos, y ello haría ilegal la actividad del tratamiento. El Grupo de Trabajo del Artículo 29 analizó estas cuestiones en su documento “Directrices sobre el consentimiento en virtud del Reglamente 2016/679”, revisadas y aprobadas el 10/04/2018; que ha sido actualizado por el Comité Europeo de Protección de Datos el 04/05/2020 mediante el documento “Directrices 05/2020 sobre el consentimiento con arreglo al Reglamento 2016/679”. De lo indicado en este documento, interesa ahora destacar algunos aspectos relacionados con la validez del consentimiento, en concreto sobre los elementos “específico”, “informado” e “inequívoco”: “3.2. Manifestación de voluntad específica El artículo 6, apartado 1, letra a), confirma que el consentimiento del interesado para el tratamiento de sus datos debe darse «para uno o varios fines específicos» y que un interesado puede elegir con respecto a cada uno de dichos fines. El requisito de que el consentimiento deba ser «específico» tiene por objeto garantizar un nivel de control y transparencia para el interesado. Este requisito no ha sido modificado por el RGPD y sigue estando estrechamente vinculado con el requisito de consentimiento «informado». Al mismo tiempo, debe interpretarse en línea con el requisito de «disociación» para obtener el consentimiento «libre». En suma, para cumplir con el carácter de «específico» el responsable del tratamiento debe aplicar:
i)la especificación del fin como garantía contra la desviación del uso,
ii)la disociación en las solicitudes de consentimiento, y iii) una clara separación entre la información relacionada con la obtención del consentimiento para las actividades de tratamiento de datos y la información relativa a otras cuestiones. Ad. i): De conformidad con el artículo 5, apartado 1, letra b), del RGPD, la obtención del consentimiento válido va siempre precedida de la determinación de un fin específico, explícito y legítimo para la actividad de tratamiento prevista. La necesidad del consentimiento específico en combinación con la noción de limitación de la finalidad que figura en el artículo 5, apartado 1, letra b), funciona como garantía frente a la ampliación o difuminación gradual de los fines para los que se realiza el tratamiento de los datos una vez que un interesado haya dado su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/36 autorización a la recogida inicial de los datos. Este fenómeno, también conocido como desviación del uso, supone un riesgo para los interesados ya que puede dar lugar a un uso imprevisto de los datos personales por parte del responsable del tratamiento o de terceras partes y a la pérdida de control por parte del interesado. Si el responsable del tratamiento se basa en el artículo 6, apartado 1, letra a), los interesados deberán siempre dar su consentimiento para un fin específico para el tratamiento de los datos. En consonancia con el concepto de limitación de la finalidad, con el artículo 5, apartado 1, letra b), y con el considerando 32, el consentimiento puede abarcar distintas operaciones, siempre que dichas operaciones tengan un mismo fin. Huelga decir que el consentimiento específico solo puede obtenerse cuando se informa expresamente a los interesados sobre los fines previstos para el uso de los datos que les conciernen. Sin perjuicio de las disposiciones sobre la compatibilidad de los fines, el consentimiento debe ser específico para cada fin. Los interesados darán su consentimiento entendiendo que tienen control sobre sus datos y que estos solo serán tratados para dichos fines específicos. Si un responsable trata datos basándose en el consentimiento y, además, desea tratar dichos datos para otro fin, deberá obtener el consentimiento para ese otro fin, a menos que exista otra base jurídica que refleje mejor la situación… Ad.
ii)Los mecanismos de consentimiento no solo deben estar separados con el fin de cumplir el requisito de consentimiento «libre», sino que también deben cumplir con el de consentimiento «específico». Esto significa que un responsable del tratamiento que busque el consentimiento para varios fines distintos, debe facilitar la posibilidad de optar por cada fin, de manera que los usuarios puedan dar consentimiento específico para fines específicos. Ad. iii) Finalmente, los responsables del tratamiento deben facilitar, con cada solicitud de consentimiento separada, información específica sobre los datos que se tratarán para cada fin, con el objeto de que los interesados conozcan la repercusión de las diferentes opciones que tienen. De este modo, se permite a los interesados dar un consentimiento específico. Esta cuestión se solapa con el requisito de que los responsables faciliten información clara, tal y como se ha expuesto anteriormente en la sección 3.3”. “3.3. Manifestación de voluntad informada El RGPD refuerza el requisito de que el consentimiento debe ser informado. De conformidad con el artículo 5 del RGPD, el requisito de transparencia es uno de los principios fundamentales, estrechamente relacionado con los principios de lealtad y licitud. Facilitar información a los interesados antes de obtener su consentimiento es esencial para que puedan tomar decisiones informadas, comprender qué es lo que están autorizando y, por ejemplo, ejercer su derecho a retirar su consentimiento. Si el responsable no proporciona información accesible, el control del usuario será ilusorio y el consentimiento no constituirá una base válida para el tratamiento de los datos. Si no se cumplen los requisitos relativos al consentimiento informado, el consentimiento no será válido y el responsable podrá estar incumpliendo el artículo 6 de RGPD. 3.3.1. Requisitos mínimos de contenido para que el consentimiento sea «informado» Para que el consentimiento sea informado es necesario comunicar al interesado ciertos elementos que son cruciales para poder elegir. Por tanto, el GT29 opina que se requiere, al menos, la información siguiente para obtener el consentimiento válido:
i)la identidad del responsable del tratamiento,
ii)el fin de cada una de las operaciones de tratamiento para las que se solicita el consentimiento, iii) qué (tipo
de)datos van a recogerse y utilizarse,
iv)la existencia del derecho a retirar el consentimiento,
v)información sobre el uso de los datos para decisiones automatizadas de conformidad con el artículo 22, apartado 2, letra c), cuando sea pertinente, e
vi)información sobre los posibles riesgos de transferencia de datos debido a la ausencia de una decisión de adecuación y de garantías adecuadas, tal y como se describen en el artículo 46”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/36 En el supuesto denunciado no existen evidencias sobre la prestación de un consentimiento válido por parte de los clientes de MARINS PLAYA que ampare los tratamientos de datos personales que MARINS PLAYA lleva a cabo con la fotografía de dichos clientes. Esta entidad ni siquiera informa sobre esta utilización de la fotografía, ni ha establecido ningún mecanismo para que los clientes puedan consentir esta utilización mediante un acto afirmativo separado para estas concretas operaciones de tratamiento, las cuales tampoco constan recogidas en el Registro de Actividades de Tratamiento. En consecuencia, de conformidad con las evidencias expuestas, los citados hechos suponen una vulneración de lo dispuesto en el artículo 6 del RGPD, que da lugar a la aplicación de los poderes correctivos que el artículo 58 del citado Reglamento otorga a la Agencia Española de Protección de datos. Como puede apreciarse de lo expuesto anteriormente, las conclusiones obtenidas sobre los hechos analizados van más allá de la concreta actuación de MARINS PLAYA respecto de la recogida y tratamiento de datos personales del reclamante, y tienen que ver con el proceso de gestión de datos personales implantado por esta entidad con carácter general. Por tanto, en contra de lo manifestado por esta entidad en su escrito de alegaciones a la propuesta de resolución, resulta irrelevante si el reclamante se opuso o no a la entrega de su pasaporte en el momento del registro en el hotel. Resulta igualmente irrelevante que la fotografía de los clientes únicamente se visualizara por el personal de servicios. Lo relevante es el tratamiento que se realiza, que conlleva el registro de la fotografía en los sistemas de información de la reclamada, y las circunstancias en que dicho registro se lleva a cabo. Por último, cabe señalar que las pruebas completadas en el procedimiento permiten rechazar la afirmación realizada por MARINS PLAYA en su escrito de alegaciones a la propuesta de resolución, sobre la conservación de la fotografía únicamente durante la estancia del cliente en el hotel y su eliminación con posterioridad. La propia ficha del reclamante, que fue requerida por el instructor, prueba que en la actualidad su fotografía sigue conservándose en el sistema de información de la reclamada. IV Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (...)
d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/36 ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (…)
i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;”. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra
d)anterior es compatible con la sanción consistente en multa administrativa. V Los hechos expuestos incumplen lo establecido en el artículo 6 del RGPD, lo que supone la comisión de una infracción tipificada en el apartado 5.
a)del artículo 83 del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone lo siguiente: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9”. A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica: “Artículo 72. Infracciones consideradas muy graves. 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679”. A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
a)a
h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/36 alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
b)la intencionalidad o negligencia en la infracción;
c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
g)las categorías de los datos de carácter personal afectados por la infracción;
h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
a)El carácter continuado de la infracción.
b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
f)La afectación a los derechos de los menores.
g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. De acuerdo con los preceptos indicados, a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar dicha sanción de acuerdo con los siguientes criterios: Se estiman concurrentes como agravantes los criterios de graduación siguientes: . Artículo 83.2.
a)del RGPD: “
a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/36 nivel de los daños y perjuicios que hayan sufrido”. . En relación con la duración de la infracción, consta en las actuaciones que la recogida de datos personales que realiza la reclamada, que incluye la recogida de la fotografía de los clientes, se ha venido produciendo, al menos, desde el 27/08/2018, fecha de entrada en el hotel del reclamante, y se mantiene en la actualidad. . Número de interesados: la infracción afecta a todos los clientes de la entidad. . La naturaleza de los perjuicios causados a las personas interesadas, que han visto incrementado el riesgo en su privacidad. . Artículo 83.2.
b)del RGPD: “
b)la intencionalidad o negligencia en la infracción". Es preciso destacar que el procedimiento de recogida de datos personales implantado por MARINS PLAYA supone, desde el punto de vista de los interesados titulares de los datos recabados, la pérdida de la disposición y control sobre sus datos, por cuanto ni siquiera conocen que esa recogida de datos incluye la fotografía que aparece en el documento identificativo facilitado por el cliente a su llegada al hotel. Estas circunstancias, además de las significadas en el apartado anterior, ponen de manifiesto la actuación negligente de MARINS PLAYA. A este respecto, se tiene en cuenta lo declarado en Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006) que, partiendo de que se trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos de clientes, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. Se trata de una empresa que realiza tratamientos de datos personales de sus clientes de manera sistemática y continua y que debe extremar el cuidado en el cumplimiento de sus obligaciones en materia de protección de datos. Además, se considera que ha tenido conocimiento en varias ocasiones, durante la tramitación de la reclamación, sobre la posible irregularidad de su actuación y no ha tomado ninguna medida dirigida a su subsanación. . Artículo 83.2.
d)del RGPD: “
d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32”. La entidad imputada no tiene implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, de modo que la infracción no es consecuencia de una anomalía en el funcionamiento de dichos procedimientos sino un defecto del sistema de gestión de los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/36 personales diseñado por la responsable. . Artículo 83.2.
g)del RGPD: “
g)las categorías de los datos de carácter personal afectados por la infracción”. Si bien no se han visto afectadas “Categorías especiales de datos personales”, según define el RGPD en el artículo 9, ello no significa que los datos sustraídos no fueran de naturaleza sensible. El dato personal afectado por el tratamiento (la fotografía de los clientes) tiene una naturaleza especialmente sensible, por cuanto permite la pronta identificación de los interesados y aumenta los riesgos sobre su privacidad, especialmente cuando se registra asociado a todos los datos que constan en el documento de identidad del titular, como ocurre en este caso. . Artículo 76.2.
a)de la LOPDGDD: “
a)El carácter continuado de la infracción”. El procedimiento de recogida y tratamiento de datos personales implantado por la reclamada se aplica a todos los clientes durante, al menos, el período señalado al referir la duración de la infracción. Se trata de una pluralidad de acciones que siguen la actuación diseñada por MARINS PLAYA, las cuales infringen el mismo precepto. . Artículo 76.2.
b)de la LOPDGDD: “
b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales”. La alta vinculación de la actividad del infractor con la realización de tratamientos de datos personales, considerando la actividad que desarrolla en el sector hotelero y su volumen de actividad (en el Antecedente Quinto se recogen algunos detalles al respecto). . Artículo 83.2.
k)del RGPD: “
k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. La condición de mediana empresa y volumen de negocio de MARINS PLAYA (en el Antecedente Quinto se recogen algunos detalles al respecto). Se considera, asimismo, que concurren como atenuantes las circunstancias siguientes: . Artículo 83.2.
k)del RGPD: “
k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Aunque se considera excesiva la recogida del dato personal relativo a la fotografía del cliente y la utilización posterior que se realiza de la misma, se tiene en cuenta la finalidad pretendida por la entidad reclamada, de evitar fraudes en los consumos de servicios, y que no se ha acreditado otro uso distinto de este dato personal. Considerando los factores expuestos, la valoración que alcanza la multa, por la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/36 Infracción del artículo 6 del RGPD, es de 30.000 euros (treinta mil euros). Interesa destacar que MARINS PLAYA no ha formulado alegación alguna respecto de la graduación de la sanción en el escrito presentado en respuesta a la propuesta de resolución elaborada por el instructor del procedimiento. VI Las infracciones cometidas pueden conllevar la imposición al responsable de la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2.
d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. En este caso, procede requerir a la entidad responsable para que, en el plazo que se indica en la parte dispositiva, cese en la recogida y tratamiento de la fotografía de sus clientes. En otro caso, deberá adecuar la información en materia de protección de datos que ofrece a los clientes, especialmente la relativa a la recogida y utilización de la fotografía y la base jurídica que fundamenta el tratamiento, estableciendo mecanismos que permitan acreditar que dicha información es accedida por los interesados; y llevar a cabo la necesaria adecuación de las operaciones de tratamiento a las que se refiere el presente acto a las exigencias contempladas en el artículo 6.1 del RGPD, con el alcance expresado en los Fundamentos de Derecho anteriores. Asimismo, deberá corregir los efectos de la infracción cometida, lo que conlleva la supresión de todas las fotografías recabadas de los clientes en las circunstancias que han determinado la declaración de la infracción que se sanciona en este acto. Se advierte que no atender los requerimientos de este organismo puede ser considerado como una infracción administrativa grave al “no cooperar con la Autoridad de control” ante los requerimientos efectuados, pudiendo ser valorada tal conducta a la hora de la apertura de un procedimiento administrativo sancionador con multa pecuniaria. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad MARINS PLAYA, S.A., con CIF A07158223, por una infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5.
a)del RGPD y calificada como muy grave a efectos de prescripción en el artículo 72.1.
b)de la LOPDGDD, una multa de 30.000 euros (treinta mil euros). SEGUNDO: Requerir a la entidad MARINS PLAYA, S.A. para que, en el plazo de un mes, adopte las medidas necesarias para adecuar su actuación a la normativa de protección de datos personales, con el alcance expresado en el Fundamento de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/36 Derecho VI. En el plazo indicado, la citada entidad deberá justificar ante esta Agencia Española de Protección de Datos la atención del presente requerimiento”. TERCERO: NOTIFICAR la presente resolución a la entidad MARINS PLAYA, S.A. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/36 938-231221 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.