← España

PS-00130-2024

1/22  Expediente N.º: EXP202403915 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 28 de diciembre de 2022 A.A.A. (en adelante, la parte reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra B.B.B., con NIF ***NIF.1, (en adelante, la parte reclamada). Los motivos en que basa la reclamación son que la doctora C.C.C. (en adelante, Dª. C.C.C.), que intervino de cirugía plástica a la reclamante, facilitó a B.B.B. (en adelante, D. B.B.B.), fotos del antes y el después de la intervención de la reclamante. Dichas fotos las ha publicado la parte reclamada para la promoción de su clínica privada de cirugía plástica en las redes sociales Facebook e Instagram. Aporta Acta de constancia notarial, de 5 de julio de 2022, de la publicidad y utilización de sus datos médicos sin su consentimiento. Documentación relevante aportada por la parte reclamante: - Copia del Acta de constancia notarial, de 5 de julio de 2022, de la publicidad y utilización de sus datos médicos sin su consentimiento. - Copia de la Queja y reclamación presentada en fecha 18/07/2022 ante el Hospital ***HOSPITAL.1 por los mismos hechos que figuran en la reclamación presentada ante la AEPD. - Copia de la respuesta del Hospital ***HOSPITAL.1 de fecha 02/08/2022. - Copia del informe de alta médica de la parte reclamante de fecha 11/01/2017, emitido por Dª. C.C.C.. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a Dª. C.C.C. y a la parte reclamada, el 14/02/2023, para que procediesen a su análisis e informasen a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Ambos traslados, que se practicaron conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/22 Administraciones Públicas (en adelante, LPACAP), fueron recogidos en fecha 15/02/2023 como consta en el acuse de recibo que obra en el expediente En fecha 29/04/2023 se recibió escrito de contestación al traslado de la AEPD, donde la parte reclamada, manifiesta lo siguiente: - En fecha 30/01/2020, Dª. C.C.C. y él, llegaron a un acuerdo mercantil en el que Dª. C.C.C., podía utilizar las instalaciones de la Clínica de la parte reclamada en Cuenca, (nombre comercial (...)), para la realización de sus trabajos sanitarios de consulta y seguimiento de sus clientes/pacientes, como cirujana plástica, no realizándose operación alguna en sus instalaciones. - Por otra parte, y aprovechando la visualización que tiene la parte reclamada en redes sociales, se llegó al acuerdo que éste publicaría algunos de los trabajos de Dª. C.C.C., siempre y cuando ésta se lo indicase. Publicar los trabajos significa publicar el antes y el después mediante imágenes fotográficas, de los trabajos de cirugía que Dª. C.C.C. realiza. - Deja constancia que él, no trata datos personales de los pacientes de Dª. C.C.C., a menos que sea la publicación de estos datos, siendo él, encargado de tratamiento de Dª. C.C.C.. - También quiere dejar constancia de que él ejerce como médico estético, en Cuenca capital, no pudiendo realizar operaciones de cirugía plástica, con lo que no necesita publicidad alguna sobre los resultados de operaciones de este tipo para aumentar con ellos sus clientes o beneficiarse de tratamientos, que como profesional, no puede realizar. - No existe relación directa entre la parte reclamante y él. Toda relación se establece mediante Dª. C.C.C.. - En fecha 30/01/2020, la parte reclamada y Dª. C.C.C., firmaron el contrato de Encargado de tratamiento, tal como se establece en el artículo 28.3 del Reglamento General de Protección de Datos, donde, Dª. C.C.C. autorizaba a la parte reclamada a tratar los datos personales (ANEXO 1 contrato). - En dicho contrato las finalidades eran: o “Tratamiento de datos de pacientes/clientes atendidos en las instalaciones de la Clínica del encargado de tratamiento por el responsable de tratamiento. o - Tratamiento de datos personales de pacientes/clientes para publicidad en instalaciones, medios de comunicación y redes sociales de las actividades del responsable de seguridad, siempre y cuando el responsable, así lo indique en alguna comunicación”. El día 12/12/2021, tras conversación telefónica con Dª. C.C.C., en la que se indicaba a la parte reclamada que procediese a publicar en las redes sociales unas imágenes del resultado de una de sus operaciones, Dª. C.C.C. le envió a la parte reclamada un email, con las fotos. Desconociendo totalmente a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/22 reclamante, ni su nombre, únicamente que la doctora, había realizado la operación en Albacete. - Reconoce que la publicación de las imágenes se hizo sin previo consentimiento de la reclamante hacia él, pero siendo la parte reclamada encargado de tratamiento de Dª. C.C.C., ésta debería haber conseguido el consentimiento de la reclamante. - En el momento de recibir la reclamación, por parte de la reclamante a la cual desconocía, y cuando se le indicó qué fotos eran, se procedió inmediatamente a eliminar las fotos en las redes sociales Instagram y Facebook, conservando únicamente el mail de Dª. C.C.C., a efectos de prueba y que será igualmente eliminado la finalización de la reclamación. - Estaba cumpliendo con los trabajos encomendados, como encargado de tratamiento de datos personales de Dª. C.C.C., siendo esta última la responsable de los datos, como consecuencia de la relación mercantil existente entre ambos. - No ha realizado ningún tratamiento indebido ni ha realizado un tratamiento ilegítimo de los datos de la reclamante, ya que, únicamente actuó conforme a las finalidades encomendadas por Dª. C.C.C., siendo ésta la responsable de dicho tratamiento y de recabar el consentimiento informado de su cliente, la reclamante. La documentación relevante aportada por la parte reclamada es la siguiente: - - Copia del Contrato de Encargado de tratamiento suscrito entre D. B.B.B. y Dª. C.C.C.. En la estipulación segunda de ese contrato bajo la rúbrica “Finalidad del tratamiento” se establece que: “La finalidad del tratamiento será: o Datos de pacientes/clientes atendidos en las instalaciones de la Clínica del encargado de tratamiento por el responsable de tratamiento. o Publicidad en instalaciones, medios de comunicación y redes sociales de las actividades del responsable de seguridad, siempre y cuando el responsable, así lo indique en alguna comunicación”. Copia del correo que le envió Dª. C.C.C. en fecha 12/12/2021, en el que figura como Asunto: “más fotos de (...) dobles” y en la que se adjuntan 4 archivos, dos que contienen fotos de la reclamante y otros dos que aparecen ocultas. En fecha 22/05/2023 se recibió escrito de Dª. C.C.C. en el que entre otros aspectos manifiesta que: - Respecto a la decisión adoptada a propósito de esta reclamación, en primer lugar, se debe poner de manifiesto que tuvo conocimiento de la publicación de las imágenes en las redes sociales de la Clínica (...), nombre comercial usado por D. B.B.B. (la parte reclamada) a raíz de la reclamación que la parte reclamante interpuso ante el servicio de Atención al Cliente del Hospital C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/22 ***HOSPITAL.1. Tras recibir dicha reclamación, se puso en contacto inmediato con la Clínica (...), nombre comercial usado por D. B.B.B. (la parte reclamada) que procedió a la eliminación de las referidas imágenes. - La finalidad para la que fueron tomadas las imágenes fue “con fines de avances en la educación médica (…) con fines médicos, científicos o educativos”; tal y como se recoge en el documento n.1 que se acompaña a este escrito y que consiste en el documento de consentimiento para la cirugía firmado por la reclamante; desconociendo la publicación en los perfiles de redes sociales de la Clínica (...), nombre comercial usado por D. B.B.B. (la parte reclamada) hasta el momento de recibir la reclamación de la reclamante. - Tenía desconocimiento de la publicación de las imágenes hasta el momento de la reclamación ante el servicio de Atención al Cliente del Hospital ***HOSPITAL.1. - Se debe hacer hincapié en el hecho de que la publicación de las imágenes se hizo en las redes sociales de la Clínica (...), nombre comercial usado por D. B.B.B. (la parte reclamada) y no en las suyas. - Le consta que la Clínica eliminó las imágenes de manera inmediata en cuanto les informó de la reclamación que había recibido a través del ***HOSPITAL.1. - Que a fecha del presente escrito las fotografías no están disponibles ni hay manera posible de localizarlas. - Adjunta como Anexo I Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. En dicho Informe, entre otros aspectos, indica: C/ Jorge Juan, 6 28001 – Madrid o Que en fecha 10 de enero de 2017 Dª. C.C.C. intervino a la reclamante de una operación de cirugía estética la intervención se realizó en la Clínica actual ***HOSPITAL.1. o En el mismo día la reclamante firmó el documento de consentimiento de la intervención en cuyo apartado 6 se recoge expresamente el consentimiento para fotografiado o filmación de la operación con fines médicos científicos o educativos. o Que en fecha 11 de enero de 2017 se da de alta a la reclamante. o Que en fecha 18 de julio de 2022 la reclamante interpuso reclamación ante el servicio de atención al paciente del ***HOSPITAL.1. o Que tras recibir la reclamación se puso en contacto directo con la Clínica (...), nombre comercial usado por D. B.B.B., (la parte reclamada) que procedió a la inmediata supresión de las imágenes de sus perfiles de redes sociales o Que en fecha 15 de febrero de 2023 recibió notificación de la precedente de traslado de reclamación y solicitud de informe. www.aepd.es sedeagpd.gob.es 5/22 - o Que en relación con las causas que motivan la reclamación, parece ser que la Clínica (...), nombre comercial usado por D. B.B.B. (la parte reclamada) publicó las imágenes que se tomaron del antes y después de la operación de la reclamante en sus perfiles de Facebook e Instagram sin su consentimiento. o Que desconocía dicha publicación, por eso, cuando recibió la reclamación de la reclamante, se puso de inmediato en contacto con la Clínica (...), nombre comercial usado por D. B.B.B., (la parte reclamada), quienes a su vez suprimieron las imágenes de sus perfiles de redes sociales. o Que a fecha del presente escrito, las imágenes siguen sin estar disponibles y no hay posibilidad de que sean accesibles en internet Adjunta como Anexo II Informe sobre las medidas adoptadas a fin de evitar que se produzcan incidentes similares, fechas de implantación y controles efectuados para comprobar su eficacia, conforme se recoge en la siguiente tabla: Medida Fecha de implantación Control Actualización y mejora del documento de consentimiento para la intervención quirúrgica Mayo 2023 Revisión anual del documento a fin de comprobar su adecuación y adaptarlo, en su caso, a posibles nuevas situaciones. Revisión global del nivel de cumplimiento del RGPD y LOPDGDD en la actividad profesional. Mayo-Junio 2023 Revisión anual para verificar el cumplimiento de la normativa, detectar nuevos tratamientos y adoptar las medidas necesarias. Documentación relevante aportada por Dª. C.C.C.: - Anexo I Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Anexo II Informe sobre las medidas adoptadas a fin de evitar que se produzcan incidentes similares fechas de implantación y controles efectuados para comprobar su eficacia. - Documento N. 1 Copia del documento de “CONSENTIMIENTO PARA CIRUGÍA/PROCEDIMIENTO O TRATAMIENTO” firmado por la parte reclamante en el que autoriza a Dª. C.C.C. a realizar el procedimiento o tratamiento: (...). Y en cuyo apartado 6 se recoge que: “Con fines de avances en la educación médica, doy el consentimiento para la entrada de observadores en el quirófano y el fotografiado o la filmación de la(

  1. s)operación(
  2. es)o procedimiento(s)s que se van a realizar, con fines médicos científicos o educativos puesto que mi identidad no será revelada en las imágenes” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/22 TERCERO: Con fecha 28 de marzo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: De los hechos contenidos en la reclamación, así como de los documentos junto con ella presentados por la parte reclamante y de la contestación al traslado y los documentos que se acompañan, realizadas por D. B.B.B. (la parte reclamada) y por Dª. C.C.C., resulta no controvertida por las partes, que D. B.B.B. publicó en los perfiles de redes sociales (Facebook e Instagram) de la Clínica (...), que usa como nombre comercial, fotografías del antes y del después de la operación de (...) que Dª. C.C.C. realizó a la parte reclamante en enero de 2017. Y que dicha publicación se realizó sin el consentimiento de la parte reclamante. También ha quedado acreditado que nunca ha existido ningún tipo de relación contractual entre la parte reclamante y D. B.B.B. (la parte reclamada), o la Clínica (...), que usa como nombre comercial, así se reconoce por la parte reclamante en su reclamación y por D. B.B.B. (la parte reclamada) en su escrito de contestación al traslado. Ha quedado acreditado que la parte reclamante se sometió a una operación de (...), realizada por Dª. C.C.C. y otorgó su consentimiento para que ésta realizara el “fotografiado o la filmación de la(
  3. s)operación(
  4. es)o procedimiento(s)s que se van a realizar, con fines médicos científicos o educativos puesto que mi identidad no será revelada en las imágenes” si bien solo para “fines de avances en la educación médica”, no para fines de publicidad comercial de la actividad de Dª. C.C.C. o de terceros con los que ésta colaborase. Y que las fotografías publicadas se tomaron por Dª. C.C.C. cuando realizó la mencionada operación en enero de 2017. Las fotografías fueron enviadas desde el correo***EMAIL.1 al correo ***EMAIL.2 en fecha 12/12/2021, siendo dichas direcciones de correo electrónico de Dª C.C.C. y la parte reclamada respectivamente. Dichas fotografías no se encontraban publicadas en los mencionados perfiles (Instagram y Facebook) de la Clínica (...), nombre comercial usado por D. B.B.B., en fecha 10/02/2023, según las evidencias recogidas por la AEPD al efecto. Según manifestaciones de Dª. C.C.C. y de D. B.B.B. esas fotografías habrían sido retiradas de las redes sociales tras la reclamación presentada por la parte reclamante ante el Hospital ***HOSPITAL.1, en julio de 2022, y, siguen sin estar disponibles y no hay posibilidad de que sean accesibles en internet. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/22 Ha quedado acreditada la relación contractual entre Dª. C.C.C. y D. B.B.B., en el contrato de encargado de tratamiento existente entre ambos de fecha 30/01/2020, en dicho contrato figuran como finalidades del mismo: El tratamiento de los “datos de pacientes/clientes atendidos en las instalaciones de la Clínica del encargado de tratamiento por el responsable de tratamiento”. Así como la “publicidad en instalaciones, medios de comunicación y redes sociales de las actividades del responsable de seguridad, siempre y cuando el responsable, así lo indique en alguna comunicación” D. B.B.B. ha aportado una comunicación (correo electrónico) de Dª. C.C.C. en el que le envía las fotos por él publicadas en los perfiles de las redes sociales la Clínica (...), nombre comercial usado por D. B.B.B.. QUINTO: Con fecha 18 de marzo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD y Artículo 9 del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que manifestaba lo siguiente: “Los hechos relatados no se ajustan a la realidad fáctica, ya que se da por supuesto que las fotografías que se publicaron en las redes sociales eran para mi propio beneficio, siendo totalmente contrario a la razón, ya que yo tan sólo era el encargado del tratamiento de datos tal y como ha quedado justificado en la remisión de los documentos aportados previamente al expediente. La realidad es que Dª C.C.C. tiene arrendada una clínica en el local de mi propiedad, y que la publicidad es para tratamiento quirúrgicos, no teniendo nada que ver con mi actividad ya que solo realizo tratamientos estéticos sin intervenciones quirúrgicas, por lo que difícilmente me puedo beneficiar de la publicación de estas fotografías. Tengo que decir que no he incurrido en conducta infractora alguna y que por tanto la sanción que me ha sido impuesta debe ser nula, en primer lugar y conforme al artículo 6.1 del RGPD De conformidad con lo que he relatado anteriormente y con lo que consta en el expediente, tal y como ustedes transcriben, tan solo soy el encargado de tratamiento de datos, siendo la cirujana plástica Dª C.C.C. quien tiene que recabar el consentimiento de la paciente a la que le realiza las fotos antes y después de la intervención , y quien tal y como he demostrado y consta ya en el expediente me envío dichas fotos y tenía el consentimiento de la paciente , tal y como consta también en el expediente, desconociendo ya que no estuve en el momento en el que lo obtuvo si el mismo era con una finalidad o con varias tal y como exige el artículo 6.1 RGDP. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/22 Por tanto no siendo yo el responsable de obtener este consentimiento, ya que ni participé en la intervención ni conozco de nada a la parte reclamante, no pude actuar negligentemente tal y como se indica.” SEPTIMO: Con fecha 7 de mayo de 2024, el instructor del procedimiento acordó dar por reproducidos a efectos probatorios la reclamación interpuesta por A.A.A. y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento AI/00146/2023. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por B.B.B., y la documentación que a ellas acompaña. OCTAVO: Con fecha 8 de mayo de 2024, se dicta propuesta de resolución proponiendo lo siguiente: Que por la Directora de la Agencia Española de Protección de Datos se sancione a B.B.B., con NIF ***NIF.1, por una infracción del Artículo 6.1 del RGPD y Artículo 9 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 5.000 euros por la infracción del artículo 6.1 del RGPD, y una segunda multa de 5.000 euros por la infracción del artículo 9 del RGPD, lo que supone un total de 10.000 € (diez mil euros), Que por la Directora de la Agencia Española de Protección de Datos se ordene a B.B.B., con NIF ***NIF.1, que en virtud del artículo 58.2.
  5. d)del RGPD, en el plazo de un mes desde la notificación de la resolución del presente procedimiento sancionador, acredite documentalmente ante la AEPD, haber procedido al cumplimiento de la adopción de medidas adoptadas consistentes en evitar que las fotografías de los pacientes de esta u otra clínica, puedan ser difundidas en las redes sociales sin contar con la legitimación necesaria para ello. NOVENO: Con fecha 3 de junio de 2024 se registra entrada de las manifestaciones realizadas por la parte reclamada en respuesta a la propuesta de resolución indicando lo siguiente: “La AEPD en la página 9 de su propuesta de resolución da por probado que soy cirujano plástico pero no es cierto, siendo esta premisa muy importante para la sanción administrativa propuesta ya que vuelvo a repetir que no me he lucrado con la publicación de esas fotografías, tan solo soy propietario del inmueble en el que la Doctora que sí que es cirujana plástica tiene en arrendamiento una consulta por lo que ni la cirugía se hizo en mi establecimiento ni conozco de nada a esta persona tan solo como agente de tratamiento de datos hice lo que la responsable del tratamiento de estos datos me indicó, entendiendo en todo momento que el consentimiento que tiene la doctora es válido para dicha publicación aunque esto es algo que no lo recabo yo, ya que yo me preocupo de recabar el consentimiento de las pacientes que me autorizan para ello en mi actividad respecto a los tratamientos estéticos que yo realice. La parte reclamante expone que B.B.B., publicó en las redes sociales Facebook e Instagram las fotos del antes y el después de la intervención de cirugía plástica, realizada por Dña C.C.C., a la reclamante A.A.A.. B.B.B., actuó como encargado de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/22 tratamiento de la Dra. C.C.C., responsable de recabar consentimiento informado de su paciente, y adecuación de este a la normativa vigente LOPDGDD 3/2018, de 5 de diciembre. (La intervención quirúrgica y como consecuencia su consentimiento, como señala la reclamante, fue realizada con anterioridad a la entrada en vigor de la Ley, hecho que desconocía totalmente B.B.B.). También ha quedado claro que la reclamante no se puso en contacto conmigo directamente para solicitar que retirara las fotografías, pero aun así en el momento que la Doctora me lo indicó yo las retire de mis redes. En cuanto a que indique que se ha hecho en aras de evitar que esto vuelva a suceder se ha procedido a la eliminación de las imágenes de forma manual tanto en Instagram como en Facebook de Clínica (...). (nombre comercial e identificativo de la actividad de medicina estética de B.B.B.). También se ha realizado un barrido en buscador Google para evaluar la eliminación de las imágenes y videos de las páginas de Facebook e Instagram cuyos enlaces adjuntamos para su comprobación. ***URL.1 y ***URL.2 Es por ello por lo que se eliminaron de todas las imágenes de doña A.A.A. y enlaces al contenido en las redes sociales Facebook y Instagram. Además, se ha procedido de igual manera con las imágenes o vídeos con datos identificables de cualquier otra persona o se han pixelado, a pesar de tener consentimiento informado de las personas, clientes/pacientes de B.B.B. que aparecen en ***URL.1 y ***URL.2” De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Difusión en las redes sociales Facebook e Instagram de fotos de la parte reclamante sin contar con su consentimiento, para publicitar la clínica privada de cirugía plástica de la parte reclamada. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/22 en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso se denuncia que la parte reclamada, propietario de la Clínica (…), ha difundido en las redes sociales fotos del antes y el después de la intervención quirúrgica a la que se sometió la reclamante, para publicitar la clínica de la parte reclamada, sin contar con el consentimiento de la parte reclamante. Dichas fotos las ha publicado la parte reclamada para la promoción de su clínica privada de cirugía plástica en las redes sociales Facebook e Instagram. La AEPD, tras la realización de las actuaciones de investigación indicadas en los antecedentes, realiza las siguientes consideraciones: 1º.- Ha quedado acreditado que Dª. C.C.C. realizó un/a tratamiento/operación de (...) a la parte recurrente en 2017. 2º.- Durante dicha operación/tratamiento Dª. C.C.C. tomó fotografías del antes y del después de dicho tratamiento, contando con el consentimiento de la parte reclamante para el fotografiado para fines médicos, científicos o educativos. No constando que la parte reclamante diera su consentimiento al fotografiado para fines de publicidad comercial de la actividad de Dª. C.C.C. o de terceros con los que ésta colaborase. 3º.- Las fotografías del citado tratamiento/operación fueron enviadas desde el correo el correo ***EMAIL.1 al correo ***EMAIL.2 en fecha 12/12/2021 y publicadas en los perfiles de las redes sociales la Clínica (...), nombre comercial usado por D. B.B.B., sin contar con el consentimiento de la parte reclamante. 4º.- Existe un contrato de encargo de tratamiento, de fecha 30/01/2020, entre Dª. C.C.C. y D. B.B.B., figurando en dicho contrato como finalidades del mismo: El tratamiento de los “datos de pacientes/clientes atendidos en las instalaciones de la Clínica del encargado de tratamiento por el responsable de tratamiento”. Así como la “publicidad en instalaciones, medios de comunicación y redes sociales de las actividades del responsable de seguridad, siempre y cuando el responsable, así lo indique en alguna comunicación” 5º.- En las evidencias recabadas por la AEPD en fecha 10/02/2023, las fotografías objeto de la reclamación no se encontraban publicadas en los perfiles de las redes sociales (Instagram y Facebook) de la Clínica (...), nombre comercial usado por D. B.B.B.. III Respuesta a las alegaciones presentadas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/22 La parte reclamada en respuesta al acuerdo de inicio, remite escrito el 3 de abril de 2024, donde afirma que no es responsable de los hechos que se le imputan pues no participó en la intervención quirúrgica de la reclamante, ni conoce a la reclamante, y la difusión de tales fotografías no le suponen ningún beneficio pues solo realiza tratamientos estéticos sin intervenciones quirúrgicas, de manera que se encuentra exento de toda responsabilidad ya que sólo es el encargado del tratamiento y no el responsable. La parte reclamada en respuesta a la propuesta de resolución, remite escrito el 3 de junio de 2024, señalando que no es cirujano plástico, sino el propietario del inmueble en el que la cirujana C.C.C. ejerce su profesión, y que el consentimiento que tiene la doctora es válido para la publicación de las fotografías de la parte reclamante. La parte reclamada ha manifestado además al no ser cirujano no participó en la intervención realizada a la parte reclamante, así como que la publicación de las imágenes no le supone ningún beneficio, ya que no es el cirujano que operó a la parte reclamante, sino propietario de la Clínica (…), y que el consentimiento dado por la parte reclamante para ser operada por C.C.C., es válido para la publicación de las fotografías del antes y el después de la operación realizada a la parte reclamante. Asimismo, la parte reclamada señala que la reclamante no se puso en contacto con el para solicitar que retirara las fotografías, pero aun así en el momento que la cirujana C.C.C. se lo indicó retiró las imágenes de forma manual tanto en Instagram como en Facebook de Clínica (...), y se ha procedido de igual manera con las imágenes o vídeos con datos identificables de cualquier otra persona. En respuesta a tales manifestaciones hay que indicar que se ha constatado que la operación de estética a la que se sometió la parte reclamante, se realizó en un centro distinto a la clínica de la parte reclamada, ya que la reclamante fue operada en la Clínica ***HOSPITAL.1, el 10 de enero de 2017, y la clínica publicitada por la parte reclamada es la Clínica (...), por lo que es un hecho constatado que el reclamado sea o no cirujano, no participó en la intervención realizada a la parte reclamante, no existiendo ningún contrato que le vincule con la parte reclamante, y por ende le hubiese sido autorizado al tratamiento de las fotografías del antes y después de la operación realizada por C.C.C., a la parte reclamante. De manera que utilizar dichas fotografías para publicitar la Clínica de la que es propietario, implica la búsqueda de un lucro o beneficio. Además, las fotos de la parte reclamante fueron tomadas antes y después de la operación de estética realizada por la parte reclamada a la parte reclamante en el año 2017, es decir, años antes de la formalización del contrato de encargo del tratamiento entre la parte reclamante y C.C.C.. Por lo tanto, la AEPD ha de indicar que no estamos hablando de una retirada de consentimiento, ni ninguna otra causa de legitimación que le faculte para el tratamiento de los datos personales de la reclamada, en este caso su imagen, luego no se requiere que la parte reclamante ejerza su derecho de cancelación, ni ninguno de los demás reconocidos en el RGPD, para que cese el tratamiento de dichas fotografías por parte de la entidad reclamada, pues ello sólo procedería si alguna vez la parte C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/22 reclamante hubiese otorgado a la parte reclamada su autorización para dicho tratamiento. En definitiva, es la parte reclamada el responsable exclusivo de la difusión dada a las fotos del antes y el después de la operación realizada a la parte reclamante, en las redes sociales. IV Artículo 6.1 del RGPD La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2 del RGPD se define el concepto de “tratamiento” de datos personales El artículo 6.1 del RGPD establece los supuestos que permiten considerar lícito el tratamiento de datos personales indicando lo siguiente: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  6. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  7. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  8. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  9. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  10. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  11. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  12. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. En cuanto al tratamiento con fines de videovigilancia, el artículo 22 de la LOPDGDD establece que las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/22 Se considera que los hechos expuestos, es decir, que la parte reclamada, haya utilizado fotos del antes y el después de la intervención de C.C.C., sin contar con el consentimiento expreso de la parte reclamada, ni ninguna otra causa de legitimación, titular de la imagen de las fotografías objeto de conflicto, con la finalidad de publicarlas en redes sociales y dar publicidad a su clínica, podrían suponer un tratamiento ilícito de datos personales, lo cual supondría una infracción del artículo 6 del RGPD. La parte reclamada afirma que la reclamante en el año 2017, la reclamante firmó su consentimiento autorizando la propia intervención y la toma de fotografías y/o grabación, pero no la comunicación de esas fotos a terceros. Asimismo, la doctora C.C.C. y la parte reclamada señalan que las fotos del antes y después de la operación utilizadas para dar publicidad a la clínica de la parte reclamada se obtuvieron con el consentimiento de la parte reclamada, ya que se produjo en el B.B.B.o de un contrato de encargo de tratamiento celebrado en el año 2020. En respuesta a tales alegaciones de la parte reclamada, la AEPD considera que no puede considerarse que la publicación de las fotos del antes y el después de la operación estética de la reclamante, puedan ampararse en el contrato celebrado en el año 2020 por la parte reclamada y C.C.C., y por ende entender que se cuenta con el consentimiento de la parte reclamante, por los siguientes motivos: En primer lugar, la operación de estética a la que se sometió la parte reclamante, se realizó en un centro distinto a la clínica de la parte reclamada, ya que la reclamante fue operada en la Clínica ***HOSPITAL.1, el 10 de enero de 2017, y la clínica publicitada por la parte reclamada es la Clínica (...). En segundo lugar, las fotos de la parte reclamante fueron tomadas antes y después de la operación de estética realizada por la parte reclamada a la parte reclamante en el año 2017, es decir, años antes de la formalización del contrato de encargo del tratamiento entre la parte reclamante y C.C.C.. Por lo tanto, sería la parte reclamada el responsable exclusivo de la difusión dada a las fotos del antes y el después de la operación realizada a la parte reclamante, en las redes sociales. Así las cosas, ha de tenerse en cuenta que el presente procedimiento se centra en la presunta responsabilidad de la parte reclamada por la difusión de las fotos del antes y el después de la operación realizada por C.C.C. a la reclamante. V Tipificación del artículo 6.1 del RGPD Los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte reclamada, tipificada en el artículo 6.1 del RGPD, indicado anteriormente, en el fundamento de derecho II, por lo que podría suponer la comisión de una infracción tipificada en el artículo 83.5 del RGPD, que dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/22 “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  13. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; “ A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior se considera muy grave conforme al artículo 72.1 de la LOPDGDD, que establece que: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  14. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…) VI Propuesta de sanción por infracción del artículo 6.1 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  15. a)a
  16. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  17. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  18. b)la intencionalidad o negligencia en la infracción;
  19. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/22
  20. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  21. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  22. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  23. g)las categorías de los datos de carácter personal afectados por la infracción;
  24. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  25. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  26. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  27. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
  28. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
  29. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  30. a)El carácter continuado de la infracción.
  31. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  32. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  33. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  34. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  35. f)La afectación a los derechos de los menores.
  36. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/22 De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso al reclamado como responsable de una infracción tipificada en el artículo 83.5.
  37. a)del RGPD, en una valoración inicial, se estiman concurrentes los siguientes factores agravantes: - Intencionalidad/ Negligencia en la infracción (apartado b): la notoria negligencia apreciada en la comisión de la infracción, en la medida en que la parte reclamada, ha difundido en redes sociales fotografías de la reclamante, cedidas por C.C.C., sin contar con el consentimiento, ni ninguna otra causa de legitimación de la parte reclamante. Procede graduar la sanción a imponer a la reclamada y fijarla en la cuantía de 5.000 € de conformidad con el artículo 58.2 del RGPD VII Adopción de medidas por la infracción del artículo 6.1 del RGPD De confirmarse la infracción, podría acordarse imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  38. d)del RGPD donde se dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  39. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado. En este caso concreto, la parte reclamada y C.C.C. esta última es la persona que le cedió las fotos a la parte reclamada, han manifestado que en cuanto tuvieron conocimiento de la reclamación presentada, en fecha 18/07/2022, las fotografías de la reclamante fueron retiradas. Además, en respuesta a la propuesta de resolución la parte reclamada ha acreditado que se han tomado medidas para que no puedan volver a tratarse los datos de sus clientes sin contar con la legitimación que la normativa de protección de datos requiere para lo cual ha realizado un barrido en buscador Google para evaluar la eliminación de las imágenes y videos de las páginas de Facebook e Instagram cuyos enlaces adjunta para su comprobación. ***URL.1 y ***URL.2 Por lo tanto, se constata que se eliminaron todas las imágenes de la reclamante y enlaces al contenido en las redes sociales Facebook y Instagram. Además, se ha procedido de igual manera con las imágenes o vídeos con datos identificables de cualquier otra persona, ya sean clientes o pacientes de B.B.B. que aparecen en ***URL.1 y ***URL.2 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/22 VIII Artículo 9 del RGPD El artículo 9 del RGPD establece lo siguiente: 1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
  40. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
  41. b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
  42. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
  43. d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
  44. e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
  45. f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/22
  46. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
  47. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
  48. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional,
  49. j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud. En el presente caso la difusión en redes sociales por la parte reclamada, de las fotos del antes y el después de la operación estética realizada por la doctora C.C.C. a la parte reclamante, vulneraría el artículo 9.1 del RGPD, ya que se ha difundido datos de salud, los cuales se encuentran especialmente protegidos en el artículo 9.1 del RGPD. Hay que señalar además que no nos encontramos en ninguno de los supuestos que de manera excepcional en virtud del artículo 9.2 del RGPD, sea posible salvar la prohibición de tratar estos datos, por lo que nos encontraríamos ante una supuesta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/22 infracción del artículo 9 del RGPD, anteriormente indicado. IX Tipificación del artículo 9 del RGPD La infracción del artículo 9 del RGPD, de la que se responsabiliza al reclamado, está prevista en el artículo 83.5 del RGPD donde se establece que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 Euros como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  50. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” A su vez, la LOPDGDD en su artículo 72.1.
  51. e)califica de infracción muy grave, a efectos de prescripción, “El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del Reglamento (UE)2016/679 sin que concurra alguna de las circunstancias previstas en dicho precepto y en el artículo de esta Ley Orgánica.” X Propuesta de Sanción por infracción del artículo 9 del RGPD A fin de determinar las multas administrativas a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos ya indicados en el fundamento VI. De acuerdo con dichos preceptos, a efectos de fijar el importe de la sanción de multa a imponer a la parte reclamada como responsable de una infracción tipificada en el artículo 83.5.
  52. a)del RGPD, se estiman concurrentes en el presente caso, en calidad de agravantes, los siguientes factores: - Intencionalidad/ Negligencia en la infracción (apartado b): la notoria negligencia apreciada en la comisión de la infracción, en la medida en que la parte reclamada, responsable del tratamiento de datos de salud, datos especialmente protegidos por la normativa de protección de datos, ha difundido en redes sociales para dar publicidad a su clínica, fotografías de la reclamante que le fueron cedidas por C.C.C., pese a no encontrarse en ninguno de los supuestos excepcionales que permiten su tratamiento según el artículo 9.2 del RGPD. Procede graduar la sanción a imponer a la reclamada y fijarla en la cuantía de 5.000 € de conformidad con el artículo 58.2 del RGPD XI Adopción de medidas por la infracción del artículo 9 del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/22 Se acuerda imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
  53. d)del RGPD donde se dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
  54. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; En este caso concreto, la parte reclamada y C.C.C., la cirujana que le cedió las fotos de la parte reclamante, ha manifestado que en cuanto tuvieron conocimiento de la reclamación presentada, en fecha 18/07/2022, las fotografías de la reclamante fueron retiradas. Además, en respuesta a la propuesta de resolución la parte reclamada ha acreditado que se han tomado medidas para que no puedan volver a tratarse los datos de sus clientes sin contar con la legitimación que la normativa de protección de datos requiere para lo cual ha realizado un barrido en buscador Google para evaluar la eliminación de las imágenes y videos de las páginas de Facebook e Instagram cuyos enlaces adjunta para su comprobación. ***URL.1 y ***URL.2 Por lo tanto, se constata que se eliminaron todas las imágenes de la reclamante y enlaces al contenido en las redes sociales Facebook y Instagram. Además, se ha procedido de igual manera con las imágenes o vídeos con datos identificables de cualquier otra persona, ya sean clientes o pacientes de B.B.B. que aparecen en ***URL.1 y ***URL.2 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a B.B.B., con NIF ***NIF.1, por una infracción del Artículo 6.1 del RGPD y Artículo 9 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 5.000 euros por la infracción del artículo 6.1 del RGPD, y una segunda multa de 5.000 euros por la infracción del artículo 9 del RGPD, lo que supone un total de 10.000 € (diez mil euros), SEGUNDO: NOTIFICAR la presente resolución a B.B.B. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/22 la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  55. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  56. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-16012024 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/22 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.