1/13 Expediente N.º: EXP202300161 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 18/11/2022, tuvo entrada en esta Agencia un escrito presentado por A.A.A. (en adelante, la parte reclamante) mediante el que formula reclamación contra B.B.B. con NIF ***NIF.1 (en adelante, la parte reclamada) por un posible incumplimiento de lo dispuesto en la normativa de protección de datos de carácter personal. Los motivos en que basa la reclamación son los siguientes: “El Jueves 17-11-2022 una amiga me contacta por medio de WhatsApp diciendo que un amigo suyo me había visto publicada en el Instagram de un centro médico, su amigo le mandó el link a mi amiga y ella me lo envió a mí, una foto con el antes y el después de un procedimiento medico facial. Yo no me lo podía creer, pero si, era mi cara. Llamé a la clínica y la quitaron, esta clínica yo ni sabía dónde estaba, ni me había tratado nunca, pero lo peor es que está en frente de mi casa (…). La foto habrá estado publicada 24 horas, no más porque avisé, sino no sé cuánto tiempo habría estado publicada sin mi permiso.” Junto a la reclamación se aportan dos capturas de pantalla en las que se observan lo siguiente: - Conversación de WhatsApp donde la parte reclamante recibe un link que dirige a la publicación del perfil de Instagram de @EMPRESA.1 donde aparece la fotografía objeto de reclamación. - Perfil de Instagram de @EMPRESA.1 donde figura como segunda publicación la fotografía objeto de reclamación. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 11/01/2023 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/13 Públicas (en adelante, LPACAP), fue recogido en fecha 11/01/2023 como consta en el acuse de recibo que obra en el expediente. Con fecha 25/01/2023 se recibe en esta Agencia escrito de respuesta manifestando lo siguiente: “Buenos días. Dando continuidad a la denuncia recibida, indicar que esta cliente nos dio el consentimiento verbal de poder subir su imagen a nuestras redes sociales. Al tiempo, cuando me comunicó que no quería salir, quite la imagen inmediatamente. A partir de ahora, dicho consentimiento lo recojo a través de consentimiento explicito, el cliente me firma un documento donde me da autorización a ello.” Junto al escrito aporta copia de la Política de Privacidad. TERCERO: Con fecha 18/02/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 13/09/2023, se realiza diligencia que se incorpora al expediente administrativo y en la que se deja constancia de la eliminación de la publicación objeto de reclamación en el perfil de Instagram EMPRESA.1. QUINTO: Con fecha 02/10/2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por las presuntas infracciones de los artículos 9 y 6.1 del RGPD, tipificadas en el artículo 83.5.
- a)del RGPD. Este acuerdo de inicio, que se notificó conforme a las normas establecidas en la LPACAP mediante notificación electrónica, fue entregado a la parte reclamada el 03/10/2023. SEXTO: Transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
- f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
- f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/13 HECHOS PROBADOS PRIMERO: En la reclamación de 18/11/2022, la parte reclamante manifiesta que unos conocidos a través de WhatsApp le avisaron de la publicación de una fotografía en la que se aprecia parte de su rostro antes y después de someterse a un procedimiento médico facial, en el perfil de Instagram de la clínica estética de la parte reclamada, @EMPRESA.1. Este extremo queda probado con la captura de pantalla del perfil de la red social aportada por la parte reclamante. SEGUNDO: El documento que aporta la parte reclamada tras el requerimiento de información de esta Agencia lleva por título “Autorizaciones pacientes” y su contenido es el siguiente: “Murcia, en fecha ... Nombre ..., con NIF ... Representante legal de …, con NIF ... B.B.B. es el Responsable del tratamiento de los datos personales del Interesado y le informa de que estos datos se tratarán de conformidad con lo dispuesto en el Reglamento (UE) 2016/679, de 27 de abril (GDPR), y la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD), por lo que se le facilita la siguiente información del tratamiento: Fines y legitimación del tratamiento: Prestación y gestión de servicios de estética integral incluyendo la gestión de los servicios de administración que impliquen los mismos: citas, emisión de justificantes, atención de consultas, atención de incidencias, etc.; para lo que puede ser necesario el tratamiento de datos relativos a su salud. Para la ejecución de un contrato en el que usted es parte (art. 6.1.b GDPR) y con su consentimiento para tratar los datos de salud (art. 9.2.a GDPR).Facturación, cobro y contabilización de nuestros servicios. Para el cumplimiento de una obligación legal (art. 6.1.c GDPR) Grabación de imágenes y vídeos de los tratamientos estéticos llevados a cabo por el Responsable del tratamiento a usted, para dar publicidad de los mismos en los medios de comunicación. En ningún caso se publicará su nombre. Con su consentimiento explícito (art. 6.1.a GDPR). Criterios de conservación de los datos: se conservarán durante no más tiempo del necesario para mantener el fin del tratamiento o mientras existan prescripciones legales que dictaminen su custodia y cuando ya no sea necesario para ello, se suprimirán con medidas de seguridad adecuadas para garantizar la anonimización de los datos o la destrucción total de los mismos. Comunicación de los datos: solo se comunicarán mediante publicación en medios de comunicación (RRSS, Web...) su imagen contenida en fotografías y/o vídeos de los tratamientos estéticos integrales llevados a cabo, si usted da su consentimiento. El resto de datos personales no se comunicará a terceros, salvo obligación legal. El Interesado puede consentir o no el tratamiento relativo a la grabación de imágenes y vídeos de los servicios de estética integral y bienestar, marcando con una «x» la casilla correspondiente de SÍ (doy el consentimiento) o NO (no doy el consentimiento): SÍ NO AUTORIZACIÓN PARA PUBLICAR SU IMAGEN C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/13 Publicación de imágenes y vídeos en medios de comunicación del Responsable: blogs, webs, redes sociales, etc. Derechos que asisten al Interesado: Derecho a retirar el consentimiento en cualquier momento. Derecho de acceso, rectificación, portabilidad y supresión de sus datos, y de limitación u oposición a su tratamiento. Derecho a presentar una reclamación ante la Autoridad de control (www.aepd.
- es)si considera que el tratamiento no se ajusta a la normativa vigente. Datos de contacto para ejercer sus derechos: B.B.B.***DIRECCIÓN.1. E-mail: ***USUARIO.1@gmail.com Firma” TERCERO: No consta en el expediente administrativo que la parte reclamante firmara la autorización anterior. La parte reclamada manifiesta que la parte reclamante otorgó su consentimiento verbalmente. CUARTO: En fecha 13/09/2023, esta Agencia accedió al perfil de Instagram @EMPRESA.1 quedando probado la eliminación de la publicación objeto de reclamación. FUNDAMENTOS DE DERECHO I Competencia y normativa aplicable De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas El artículo 4 “Definiciones” del RGPD define los siguientes términos a efectos del Reglamento: "1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/13 un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; 15) «datos relativos a la salud»: datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud.” En el presente caso, a tenor del artículo 4.1 del RGPD, la imagen física de una persona es un dato personal, por lo que, su inclusión en publicaciones que identifica o hace identificable a una persona, supone un tratamiento de datos personales. Además, afecta a datos de salud de la parte reclamante, toda vez que permite conocer el procedimiento médico facial al que se ha sometido la parte reclamante haciendo uso de fotografías del antes y el después. La parte reclamada realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. III Tratamiento de categorías especiales de datos personales Los datos relativos a la salud, por su naturaleza, pertenecen a categorías especiales de datos, reguladas en el artículo 9 del RGPD, que establece una prohibición general de su tratamiento. En este artículo se dispone lo siguiente: “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/13
- a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
- b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
- c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
- d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
- e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
- f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
- g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
- h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
- i)C/ Jorge Juan, 6 28001 – Madrid el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas grawww.aepd.es sedeagpd.gob.es 7/13 ves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional,
- j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud.” En el presente supuesto, consta un tratamiento de datos relativos a la salud desde el momento en que se publica en el perfil de Instagram de la clínica estética de la parte reclamada, @EMPRESA.1, fotografías de la cara de la parte reclamante antes y después de someterse a un procedimiento médico facial. En la publicación no se aprecia por completo el rostro de la parte reclamante, pero sí parte. Esto, unido al hecho de que ha sido reconocida por otras personas, hace que se pueda identificar de manera clara y unívoca. La Sentencia del Tribunal Supremo, Sala de lo Civil, de fecha 12/07/2004, número de recurso 1702/200, indica lo siguiente en relación con la imagen: “La sentencia recurrida funda su pronunciamiento absolutorio en no ser identificable la demandante en la fotografía razonando que como se observa en la referida fotografía, el “rostro” de la persona que aparece desnuda no es “visible”; de otro lado, la “silueta” no ofrece signos especiales, singulares, específicos, que en la normal convivencia y relación pública ciudadana permitan su atribución a una concreta y determina persona… En el presente caso ha de tacharse de ilógica y arbitraria la conclusión a que llega la Sala de apelación de no ser identificable la actora en la citada fotografía, siendo así que los testigos que declararon en la instancia, todos los cuales conocían a la Srª Lina desde hacía varios años, identificaron la fotografía como reproducción de la figura de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/13 la misma, siendo indiferente que el círculo de conocidos de esa señora sea mayor o menor. Se impone, por tanto, la estimación del motivo, con la consecuencia de tener como hecho probado que la fotografía de la mujer que aparece en la fotografía publicada en la portada del ejemplar del 28 de junio de 1998 reproduce la imagen de la demandante… Declarado probado que la fotografía publicada corresponde a la demandante recurrente y no existiendo controversia alguna sobre la circunstancia de haber sido tomada y publicada sin el consentimiento de la fotografía, no siendo ésta personaje público, tal publicación constituyó una intromisión ilegítima en el derecho a la propia imagen, prevista en el art. 7.5 de la Ley Orgánica 1/1982, no concurriendo en el caso ninguna de las circunstancias de justificación recogidas en el art. 8.2 de la propia Ley.” Por otra parte, no consta en las actuaciones, y tampoco ha sido justificado por la parte reclamada, que concurra ninguna de las circunstancias que salven la prohibición de tratamiento de tales datos personales. Si bien es cierto que la parte reclamada ha manifestado contar con el consentimiento de la parte reclamante, no ha quedado acreditado en modo alguno, habiéndose limitado a indicar que dicho consentimiento fue verbal. En consecuencia, de conformidad con las evidencias de las que se dispone en esta fase de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 9 del RGPD. IV Tipificación y calificación de la infracción del artículo 9 del RGPD La citada infracción del artículo 9 del RGPD supone la comisión de la infracción tipificada en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A efectos del plazo de prescripción, el artículo 72.1 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/13
- a)(…)
- e)El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas en dicho precepto y en el artículo 9 de esta ley orgánica; (…)” V Sanción por la infracción del artículo 9 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: Como circunstancia agravante: - La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2.
- b)de la LOPDGDD): la parte reclamada en el desarrollo de su actividad profesional necesita tratar de forma habitual datos personales, lo que supone que tiene experiencia suficiente y debería contar con el adecuado conocimiento para el tratamiento de dichos datos. El balance de las circunstancias contempladas permite fijar una multa de 3.000€ (tres mil euros) por la infracción del artículo 9 del RGPD. VI Licitud del tratamiento de datos personales El tratamiento de categorías especiales de datos personales también exige la concurrencia de alguna de las causas de legitimación del artículo 6 del RGPD. Pues, en este caso, las circunstancias que pudieran concurrir para el levantamiento de las prohibiciones del tratamiento de los datos de salud por si solas no constituyen bases de legitimación para el tratamiento de esos datos. El citado precepto enumera los siguientes supuestos que permiten considerar lícito el tratamiento de los datos personales:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- a)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- b)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/13
- c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- d)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- e)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” En el presente caso, la parte reclamada manifiesta tener la autorización de la parte reclamante para publicar las fotografías objeto de reclamación, constituyendo el consentimiento la base jurídica para el tratamiento de datos mencionados anteriormente. Sin embargo, de conformidad con el artículo 7 del RGPD, corresponde a la parte reclamada, como responsable del tratamiento, la carga de acreditar que existe dicho consentimiento; no habiendo aportado ningún elemento probatorio. Por tanto, de conformidad con las evidencias de las que se dispone en esta fase de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 6.1 del RGPD. VII Tipificación y calificación de la infracción del artículo 6.1 del RGPD La citada infracción del artículo 6.1 del RGPD supone la comisión de la infracción tipificada en el artículo 83.5 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” A efectos del plazo de prescripción, el artículo 72.1 “Infracciones consideradas muy graves” de la LOPDGDD indica: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/13 una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)(…)
- a)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679; (…)” VIII Sanción por la infracción del artículo 6.1 del RGPD A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que el balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 6.1 del RGPD permite fijar una sanción de multa administrativa de 2.000€ (dos mil euros). IX Imposición de medidas De conformidad con lo establecido en el citado artículo 58.2
- d)del RGPD, cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Así pues, se estima procedente ordenar a la parte reclamada que, en el plazo de un mes desde la fecha en la que la presente resolución le sea notificada, acredite ante esta Agencia lo siguiente: Haber adoptado las medidas necesarias a fin de evitar la publicación de imágenes de personas cuando no concurra alguna de las circunstancias del artículo 9.2 del RGPD, ni del artículo 6.1 del RGPD. Haber adecuado el documento “Autorizaciones pacientes” a la normativa de protección de datos de carácter personal vigente, para que cada uno de los consentimientos recogidos se preste de manera separada según los fines específicos. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución sancionadora podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/13 la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a B.B.B., con NIF ***NIF.1, por las infracciones: Por una infracción del artículo 9 del RGPD, tipificada en el artículo 83.5.
- a)del RGPD, con multa administrativa de cuantía 3.000€ (tres mil euros). Por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
- a)del RGPD, con multa administrativa de cuantía 2.000€ (dos mil euros). SEGUNDO: ORDENAR a B.B.B., con NIF ***NIF.1, que en el plazo de un mes desde que la presente resolución le sea notificada acredite ante esta Agencia lo siguiente: Haber adoptado las medidas necesarias a fin de evitar la publicación de imágenes de personas cuando no concurra alguna de las circunstancias del artículo 9.2 del RGPD, ni del artículo 6.1 del RGPD. Haber adecuado el documento “Autorizaciones pacientes” a la normativa de protección de datos de carácter personal vigente, para que cada uno de los consentimientos recogidos se preste de manera separada según los fines específicos TERCERO: NOTIFICAR la presente resolución a B.B.B.. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la LPACAP, en el plazo de pago voluntario establecido en el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el artículo 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-00000000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/13 interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-21112023 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es