PS-00135-2020

(28290)Las Rozas, Madrid, calle Rozabella nº

1. Parque Europa Empresarial. A tal efecto, se considere que los datos que el socio/& proporciona son ciertos… Los datos de patrón biométrico DECIMOCUARTA: El socio autoriza a la empresa a ceder sus derechos y obligaciones a un tercero. Mediante esta cesión no se podrán modificar los derechos y obligaciones de los socios”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales que ha previsto un mecanismo, previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos, consistente en trasladarlas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, o a éstos cuando no los hubieren designado, con fecha 09/01/19 se dio traslado de la reclamación presentada a la entidad reclamada para que procediese a su análisis y diera respuesta al reclamante y a esta Agencia. TERCERO: Con fecha 22/02/19, se recibió en esta Agencia escrito de alegaciones, presentado por la entidad reclamada, en la que exponía, entre otras, lo siguiente: “Condicionado adaptado a la normativa de protección de datos. En la solicitud de información se nos solicita modificación de las cláusulas novena, decimosegunda, decimotercera y decimocuarta para su adaptación al Reglamento 679/2016 de 27 de abril (RGPD). Dando cumplimiento a lo requerido hemos procedido a modificar dicho condicionado y a adaptarlo a la normativa vigente. En prueba de ello les remitimos como DOC 1 de este escrito copia del condicionado en sus nuevos términos. Para dar mayor protección y seguridad al cliente y asegurar que la aceptación es libre, voluntaria, informada e inequívoca del tratamiento específico de sus datos, se ha introducido además de las modificaciones del clausulado un anexo específico denominado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/22 “ficha de protección de datos” que suscriben todas las nuevas altas sea vía presencial o vía web. Acompañamos copia de dicha ficha como DOC
2. En relación a los contratos existentes y para su adaptación a la nueva normativa se han adoptado las siguientes medidas, que se encuentran en fase de implementación debido al volumen de clientes: iii) Suscripción de anexo comunicando la modificación de las condiciones del contrato relativas a protección de datos y comunicación de ficha de protección de datos. Se está realizando de forma presencial en los gimnasios. Remisión de comunicación electrónica a todos los clientes informando de la necesidad de aceptar expresamente el consentimiento para el tratamiento de sus datos. Requerimiento personal a los suscriptores mediante control de accesos (tornos) para la suscripción de la ficha "Protección de Datos" y captación de su firma bien en soporte papel o bien en soporte Tablet Todas las medidas se encuentran en fase de implementación y tomarán un tiempo llevarlas a efecto por completo puesto que: La campaña de mailing ha tenido baja acogida por los suscriptores No todos los suscriptores acuden a diario al gimnasio”. CUARTO: Con fecha 01/03/19, por parte de la Directora de la Agencia Española de Protección de Datos, se dicta resolución de archivo de actuaciones en marco del expediente, E/0065/2019, al considerar que no procede el inicio de un procedimiento sancionador al haber sido atendida la reclamación presentada por parte del reclamado. A) Respecto del Procedimiento E/03498/2019: QUINTO: Con fecha 26/09/19, tuvo entrada en esta Agencia, el segundo escrito presentado por el reclamante, que dio lugar a la apertura del expediente E/3498/2019 en el que, entre otras, se indicaba: Se comprueba en estas últimas inspecciones que la mercantil expedientada continúa emitiendo con las personas consumidoras y usarías el mismo e idéntico contrato predispuesto, que el motivado presunta vulneración de los derechos reconocidos de protección de datos en la campaña de inspección y Control de Gimnasios
3. Recepcionado el escrito de la AEPD de fecha 01.03.19, en el que se informa de la subsanación por la mercantil en la modificación del condicionado y adopción de medidas correctoras en lo que interesa en sus competencias, resolviendo el archivo de actuaciones. Debiéndose proceder por esta Unidad de Consumo a informar de nuevo a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/22 la AEPD de lo constatado en el suministro por la mercantil denunciada, de información inexacta o falsa y el incumplimiento de los requerimientos de subsanación. Estudiado el expediente, originado por las actuaciones de los Servicios Técnicos de Inspección de Calidad y Consumo de este Distrito Latina en la Campaña de inspección y Control de Gimnasios 2019, y la documentación anexa al mismo, se comprueba que la mercantil expedientada continúa emitiendo con las personas consumidoras y usuarias el mismo e idéntico contrato predispuesto, que el motivado la inhibición en la Campaña de inspección y Control de Gimnasios 2018, por la inclusión de cláusulas abusivas en el condicionado del contrato presentado al expediente, a tenor del Real Decreto Legislativo 1/2007, de 16 noviembre, que aprueba el Texto Refundido de la ley General para la Defensa de los Consumidores y Usuarios y otras leyes complementarias (TRLGDCU), conforme al análisis de los Distritos y valoración del instituto Municipal de Consumo. SEXTO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales que ha previsto un mecanismo, previo a la admisión a trámite de las reclamaciones que se formulen ante la Agencia Española de Protección de Datos, consistente en trasladarlas a los Delegados de Protección de Datos designados por los responsables o encargados del tratamiento, o a éstos cuando no los hubieren designado, con fecha 24/10/19, se dio traslado de la reclamación presentada a la entidad reclamada para que procediese a su análisis y diera respuesta al reclamante y a esta Agencia. SÉPTIMO: Con fecha 26/11/19, se recibió en esta Agencia escrito de alegaciones, presentado por la entidad reclamada, en la que exponía, entre otras, lo siguiente: “En fecha 20 de febrero de 2019 esta compañía contestó a la Subdirección General de Inspección de la AEPD comunicando que habíamos procedido a la adaptación del condicionado general a la normativa de protección de datos. remitiendo copia del nuevo condicionado junto con ficha de protección de datos y comunicábamos las medidas que habíamos adoptado y que éstas se encontraban en fase de implementación. En concreto explicábamos que se estaban llevando a efecto las actuaciones concretas y los tiempos necesarios para ello indicando que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/22 En relación a los contratos existentes y para su adaptación a la nueva normativa se han adoptado las siguientes medidas, que se encuentran en fase de implementación debido al volumen de clientes: - Suscripción de anexo comunicando la modificación de las condiciones del contrato relativas a protección de datos y comunicación de la ficha de protección de datos. Se está realizando de forma presencial en los gimnasios. - Remisión de comunicación electrónica a todos los clientes informando de la necesidad de aceptar expresamente el consentimiento para el tratamiento de sus datos. - Requerimiento personal a los suscriptores mediante control de accesos (tomos) para la suscripción de la ficha, ”Protección de Datos" y captación de su firma bien en soporte papel o bien en soporte Tablet Todas las medidas se encuentran en fase de implementación y tomarán un tiempo llevarlas a efecto por completo puesto que la campaña de mailing ha tenido baja acogida por los suscriptores No todos los suscriptores acuden a diario al gimnasio. El control en tornos se hace en bloques de personas para evitar colapsar los accesos. Los trabajos de adaptación que se han llevado a cabo entre el mes de febrero de 2019 y la actualidad son los siguientes: - Modificación de clausulado en página web para contratación online — > Hemos procedido a modificar el clausulado de condiciones generales y la ficha de protección de datos en página web para que las contrataciones online estén dotadas de todas las garantías y adaptadas a la nueva normativa. Acompañamos captura de pantalla como DOC
4. - Adquisición de todas las nuevas tabletas con el oportuno software para la captura de firma de los nuevos suscriptores y la captura de firma de los suscriptores que ya tenían contrato mediante suscripción de anexo al contrato principal. Acompañamos facturas de las nuevas tabletas como DOC 3 - Implementación del software cloud en servidor central de almacenamiento con comunicación segura entre el centro administrativo y los centros operativos (un total de veinte gimnasios). Acompañamos factura de la consultora informática que actualiza el software de gestión como DOC 4 A día de hoy, podemos certificar que la campaña de implementación ha concluido en todas sus fases con éxito, tanto en servicios centrales como en cada uno de los VEINC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/22 TE

(20)gimnasios HOLIDAY GYM. Cabe destacar en el presente informe nuestra sorpresa al ver que la denunciante ha sido el Departamento de Consumo del Ayuntamiento de Madrid, desde su distrito de Aluche. Y decimos esto porque nuestra compañía está en comunicación con el Departamento de Consumo del Ayuntamiento de Madrid distrito Chamartín sito en Calle del Príncipe de Vergara nº 140 a quiénes hemos acudido precisamente a solicitar ayuda para no incumplir ninguna obligación legal en materia de consumo y protección a consumidores. Podemos manifestar que parte del proceso de implementación de las nuevas condiciones ha pasado por mantener reuniones con personas de ese Departamento de Consumo del distrito de Chamartín, quiénes nos han ayudado a precisar mucho mejor los términos y condiciones para evitar que nuestra empresa esté cometiendo irregularidades o infracciones en esta materia. Cabe reseñar que el día 5 de noviembre de 2019 hemos mantenido una reunión con ellos con el fin de informarles de esta desagradable situación y que nos indicaran las pautas oportunas por si estuviéramos cometiendo alguna irregularidad. En particular, a dicha reunión han asistido la Consejera Técnica coordinadora de los 21 distritos de Consumo de Madrid, el Jefe de Unidad de Procedimiento Sancionador, el Técnico de consumo de distrito Príncipe de Vergara y Representantes de Holiday Gym. A día de hoy estamos a la espera de recibir la conformidad por parte de dicha Oficina del Consumidor, al contrato que en su momento la AEPD con fecha 01 de Marzo de 2019 archivó por dar el visto bueno al condicionado propuesto. En definitiva, ninguna irregularidad ha cometido esta empresa, aunque si bien debemos reconocer que el proceso de implementación ha sido más lento de lo que estaba proyectado. Nos ha sido requerido copia de los últimos contratos de septiembre de 2019 y así los aportamos, indicando que los mismos no cumplen con los requisitos exigibles porque son contratos firmados en el gimnasio resultando que el software operativo con el nuevo sistema y condicionado no ha estado operativo hasta finales del mes de octubre de 2019. Acompañamos copia de estos contratos como DOC 5. Para demostrar que la compañía ha implementado correctamente el nuevo condicioC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/22 nado acompañamos como DOC 6 copia de los últimos contratos firmados en el mes de noviembre, dónde se puede constatar el cumplimiento de nuestras obligaciones. En definitiva, asumimos el retraso en la implementación, pero demostramos que hemos cumplido con nuestras obligaciones de adaptarnos”. Dentro del DCO 6 aportado junto con el escrito de alegaciones, se comprueba los siguientes apartados: “(…) NOVENA. Todos los socios están obligados a identificarse suficientemente a requerimiento de los empleados/as del centro, con el fin de poder comprobar la identidad, en su caso, del socio que haya incumplido las normas. La inobservancia de esta norma imposibilitará el acceso o la permanencia en el gimnasio en tanto no se subsane dicho requisito. A la aceptación del contrato se requerirá a cada socio/a que lo desee la lectura de los parámetros biométricos de su huella digital que se empleará para su entrada y salida de los centros, a través del mecanismo previsto para ello. Se informa al socio que el dato correspondiente al patrón biométrico que se facilita será utilizado para el acceso de los usuarios del gimnasio y que en ningún caso será cedido a terceros. La lectura de los datos biométricos no implica la grabación de la huella y los datos obtenidos no son en ningún caso tratables como huella dactilar. (…) DUODECIMA. Con la firma del presente contrato el socio concede autorización para que la empresa pueda utilizar indistintamente todas las imágenes. fotografías, videos, archivos de voz. material gráfico, etc., (en adelante las imágenes) en las que intervenga, o sea parte de las mismas. Asimismo. el socio autoriza la comunicación o cesión de las imágenes a las personas que la empresa considere oportunas. con el mismo objeto indicado en el apartado anterior, informándole expresamente de que en algunos casos para dicha cesión se realizarán transferencias internacionales de datos. En concreto, estos datos podrán ser comunicados a terceros, sin ningún consentimiento adicional por su parte, siempre que esta comunicación se limite a esta finalidad. El socio concede esta autorización con un ámbito territorial y temporal amplio, por lo que la empresa podrá utilizarlas imágenes, o parte de las mismas, en todo el territorio español y en todos los países del mundo sin limitación geográfica de ninguna clase. El socio concede esta autorización para la utilización de las imágenes en las que aparece. o parte de las mismas. en el ámbito y finalidades tanto de comunicación y difusión de la actividad de la empresa, como de cualquier otro C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/22 proyecto. entendido éste en su forma más amplia, destinado de forma enunciativa, pero no limitativa a la promoción de las actividades de la empresa, en sus propios centros, su página web y en cualquier otro medio que la empresa, considere, pudiendo ser explotados en todos los medios conocidos en la actualidad y los que pudieran desarrollarse en el futuro, todo ello con la única salve dad y limitación de aquellas utilizaciones o aplicaciones que pudieran atentar al derecho al honor, a la moral y/o al orden público, en los términos previstos en la legislación vigente en cada país. Esta autorización se entiende hecha con carácter gratuito. Como consecuencia de la cesión, el socio exime expresamente a la empresa de toda responsabilidad sobre cualquier uso que pueda hacer un tercero de las imágenes, fuera del ámbito territorial, temporal y material objeto del presente contrato. Todo ello al amparo de lo dispuesto en la Ley Orgánica 1/1982, de 5 de mayo. de Protección Civil del Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia imagen. así como el RGPD y demás normativa de protección de datos aplicable. DECIMOTERCERA. De conformidad con lo establecido en la normativa vigente en Protección de Datos de Carácter Personal, la empresa informa de que los datos de los socios serán incorporados al sistema de tratamiento titularidad de la sociedad HOLIDAY M. OESTE, S.L, y domicilio social sito en la calle Rozabella, nº 6, 28290, Las Rozas de Madrid, Madrid, con la finalidad de tratamiento de la base de datos de los clientes, para facilitar la gestión y control de los servicios prestados por HOLIDAY M. OSTE, S.L así como para comunicaciones comerciales y promocionales de carácter publicitario. En cumplimiento con la normativa vigente, la empresa informa de que los datos serán conservados durante el plazo estrictamente necesario ' para cumplir con los preceptos mencionados con anterioridad en base al interés legítimo. Mientras el socio no comunique lo contrario, se entenderá que sus datos no han sido modificados, comprometiéndose a notificar cualquier variación y dando a la empresa su consentimiento para utilizarlos para las finalidades mencionadas. La empresa informa de que tratará los datos de manera licita, leal, transparente, adecuada, pertinente. limitada, exacta y actualizada. Es por ello que se compromete a adoptar todas las medidas razonables para que estos se supriman o rectifiquen sin dilación cuando sean inexactos. De acuerdo con los derechos que le confiere la normativa vigente en protección de datos el socio podrá ejercer los derechos de acceso, rectificación, limitación de tratamiento, supresión, portabilidad y oposición al tratamiento de sus datos de carácter personal, así como, del consentimiento prestado para el tratamiento de los mismos, dirigiendo su petición al departamento jurídico de HOLIDAY M. OESTE, SL. en la dirección calle Rozabella, nº 6, 28290, Las Rozas de Madrid, Madrid, o al correo electrónico ***EMAIL.1.Igualmente podrá dirigirse a la Autoridad de Control competente para presentarla reclamación que considere oportuna en el supuesto de que considere que se infringen sus derechos de protección de datos (Reglamento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/22 UE 2016/679, de 27 de abril de 2016). El cliente puede aceptar expresamente el uso del padrón biométrico para el acceso al gimnasio. La lectura biométrica no implica la grabación de la huella dactilar y los datos obtenidos no son en ningún caso tratables como huella dactilar. En las tecnologías de la información (TI) la “autentificación biométrica" o “biometría informática” es la aplicación de las técnicas matemáticas y estadísticas sobre los rasgos físicos o de conducta de un individuo para su autentificación, es decir, “verificar” su identidad. Los datos se emplearán para dar cumplimiento a la prestación de los servicios contratados por el socio, así como la gestión comercial y el envío o comunicación de publicidad o información de carácter comercial o bien de encuestas de satisfacción por cualquier medio. En caso de que ella socio/a desee recibir publicidad o información comercial deberá marcar la casilla correspondiente a la aceptación del contrato. La aceptación del contrato implica el consentimiento del socio para la comunicación de sus datos personales a cualquier empresa del grupo HOLIDAY GYM. con la finalidad de permitir el acceso a los gimnasios. además de las finalidades anteriormente indicadas. DECIMOCUARTA. El socio autoriza a la empresa a ceder sus derechos y obligaciones a un tercero. Mediante esta cesión no se podrán modificar los derechos y obligaciones de los socios”. OCTAVO: A la vista de los hechos denunciados, de conformidad con las evidencias de que se dispone, la Inspección de Datos de esta Agencia Española de Protección de Datos considera lo indicado anteriormente, no cumple con la normativa vigente, por lo que procede la apertura del presente procedimiento sancionador. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD), de aplicación desde el 25 de mayo de 2018, recoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/22 noce a cada autoridad de control, es competente para resolver esta reclamación la Directora de la Agencia Española de Protección de Datos, de conformidad con el artículo 12.2, apartados

1. i)y
2. j)del Real Decreto 428/1993, de 26 de marzo, por el que se aprueba el Estatuto de la Agencia de Protección de Datos (RD 428/1993) y la Disposición transitoria primera de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). De conformidad con lo establecido en el artículo 55 RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar el motivo de las mismas. II En el presente caso, se debe tener en cuenta que, con carácter previo a la incoación del presente expediente sancionador (PS/135/2020), se había tramitado previamente un expediente de investigación por los mismos hechos, en esta Agencia, (E/0065/2019), durante el cual se dio traslado a la entidad reclamada para que procediese a su análisis y diera respuesta. Asimismo, se le requirió también que informara de las medidas que adoptarían para evitar situaciones similares en el futuro. El proceso de todas las actuaciones seguidas en los dos expedientes ha sido el siguiente: 1.- Con fecha 16/04/18 y 09/05/18, los Servicios Técnicos de Calidad y Consumo del Ayuntamiento de Madrid realizaron sendas visitas de inspección a la entidad reclamada detectando una serie de irregularidades en las cláusulas del contrato que realizaban con los clientes y que atentaban contra la normativa de protección de datos. 2.- Con fecha 26/11/18, los Servicios Técnicos de Calidad y Consumo del Ayuntamiento de Madrid notificaron a esta Agencia los hechos detectados en dichas inspecciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/22 3.- Con fecha 09/01/19, por parte de esta Agencia, se requirió a la entidad reclamada información sobre los hechos denunciados. 4.- Con fecha 22/02/19, la entidad reclamada afirma que ya habían modificado las cláusulas abusivas del contrato con los clientes, en concreto las cláusulas denunciadas por no estar adaptadas al nuevo RGPD (la novena, decimosegunda, decimotercera y decimocuarta). 5.- Con fecha 01/03/19, por parte de esta Agencia, se procedió al archivo de las actuaciones previas de investigación (E/0065/2019), al considerar que se había atendido correctamente el requerimiento. 6.- Con fecha 26/09/19, tuvo entrada en esta Agencia, una nueva denuncia por parte de los Servicios Técnicos de Calidad y Consumo del Ayuntamiento de Madrid, indicando que en las últimas inspecciones realizadas a la mercantil expedientada, se había vuelto a comprobar que ésta continúa emitiendo el mismo contrato predispuesto. 7.- Con fecha 24/10/19, se dio traslado de este hecho a la entidad reclamada para que procediese a su análisis y diera respuesta a esta Agencia. 8.- Con fecha 26/11/19, se recibió en esta Agencia escrito de alegaciones, presentado por la entidad reclamada, alegando que: - Con relación a los contratos antiguos, ya existentes hasta el mes de febrero de 2019, se procedió a la eliminación de las cláusulas denunciadas y a una nueva redacción de las mismas. Pero su adaptación no se había completado en su totalidad, ya que, al llevarse a cabo de forma presencial, y debido a la gran cantidad de socios repartidos entre los 20 gimnasios que la entidad tiene en la Comunidad de Madrid, muchos de los cuales no asisten asiduamente a los centros, este proceso se estaba alargando en el tiempo. - En los contratos firmados desde febrero de 2019 hasta octubre de 2019, la entidad alega que “los mismos no cumplían con los requisitos exigibles porque el software operativo instalado en la red informática de la entidad no ha estado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/22 operativo hasta finales del mes de octubre de 2019”, fecha coincidente con la recepción del segundo requerimiento por parte de esta Agencia. - Respecto de los contratos firmados a partir de noviembre de 2019, se aporta copia de los mismos, pudiéndose constatar la modificación de las cláusulas denunciadas y su adaptación al nuevo RGPD. Pues bien, se constata que la entidad reclamada tuvo conocimiento de las irregularidades en sus contratos con los clientes en abril/mayo de 2018, a través de las actas de inspección que levantó el Negociado de Servicios Sanitarios del Ayuntamiento de Madrid y donde también se le requería que subsanara las deficiencias y adaptara las cláusulas abusivas a la normativa vigente sobre protección de datos. Después, en febrero de 2019, por parte de esta Agencia, se le requirió que subsanara las irregularidades detectadas. La entidad reclamada afirmó en dicha ocasión que, atendía el requerimiento y procedía a eliminar las cláusulas abusivas denunciadas y a redactar unas nuevas acorde con el RGPD, pero no es hasta el mes de noviembre de 2019, después de haber recibido el segundo requerimiento de esta Agencia, (el 24/10/19), cuando, según la entidad, se implantan definitivamente los nuevos contratos. En consecuencia, un año y 5 meses después de que el Negociado de Servicios Sanitarios del Ayuntamiento de Madrid requiriera a la entidad, por dos veces, que modificase las cláusulas abusivas contrarias a la normativa de protección de datos y 8 meses después de que esta Agencia requiriese por primera vez su modificación, la entidad reclamada, procede a modificar los contratos. Si a ello unimos que, muchos de los antiguos contratos, realizados antes del mes de noviembre de 2019, con las antiguas cláusulas siguen activos, los hechos denunciados son claramente contrarios a los estipulado en el RGPD. III Los hechos expuestos podrían ser constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 13 del RGPD, donde se establece la información que se debe proporcionarse al interesado en el momento de recogida de sus datos personales, indicándose en el mismo que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/22 “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
3. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
4. b)los datos de contacto del delegado de protección de datos, en su caso;
5. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
6. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
7. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
8. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
9. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/22
10. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
11. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
12. d)el derecho a presentar una reclamación ante una autoridad de control;
13. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
14. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. Por su parte, el artículo 72.1.
15. h)de la LOPDGDD, considera muy grave, a efectos de prescripción, “la omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del RGPD”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/22 De acuerdo con los preceptos indicados, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción a imponer en el presente caso, se considera que procede graduar la sanción a imponer de acuerdo con los siguientes criterios que establece el artículo 83.2 del RGPD: a).- Como criterios agravantes: - La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido. En nuestro caso, la entidad reclamada conocía desde el mes de mayo de 2018, a través de las inspecciones del Ayuntamiento de Madrid la existencia de cláusulas abusivas en el contrato que firmaba con los clientes (apartado a). - La intencionalidad o negligencia en la infracción. En el presente caso estamos ante acción negligente pues no es hasta el segundo requerimiento de esta Agencia, cuando la entidad reclamada modifica las cláusulas contrarias al nuevo RGPD, (apartado b). - Las categorías de los datos de carácter personal afectados por la infracción. Los datos tratados son de marcado carácter personal y por tanto identificadores de personas, (apartado g). - La forma en que la autoridad de control tuvo conocimiento de la infracción. La forma en que esta AEPD ha tenido conocimiento ha sido por la comunicación de la infracción por parte del Ayuntamiento de Madrid, (apartado h).
16. b)Como criterios atenuantes: - Medidas tomadas por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados, al constatarse que se ha modificado el contrato adaptándole al vigente RGPD, (apartado c). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/22 - La no existencia infracción anterior cometida por el responsable o el encargado del tratamiento, por los mismos hechos, (apartado e). - El grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos, (apartado f). El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en su artículo 13 permite fijar una sanción de 5.000 euros, (cinco mil euros). Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: INICIAR: PROCEDIMIENTO SANCIONADOR a la entidad SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L. con CIF: B82887514, por la infracción del artículo 13 del RGPD, sancionable conforme a lo dispuesto en los art. 83 de la citada norma. NOMBRAR: como Instructor a D. A.A.A., y Secretaria, en su ca-so, a Dª B.B.B., indicando que cualquiera de ellos podrá ser recusa-do, en su caso, conforme a lo establecido en los art 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). INCORPORAR: al expediente sancionador, a efectos probatorios, la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por la Subdirección General de Inspección de Datos durante la fase de investigaciones, todos ellos parte del presente expediente administrativo. QUE: a los efectos previstos en el art. 64.2
17. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/22 pudiera corresponder sería de una multa de 5.000 euros, (cinco mil euros), sin perjuicio de lo que resulte de la instrucción. NOTIFICAR: el presente acuerdo de inicio de expediente sancionador a la entidad SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L., otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
18. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 1.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.000 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 1.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.000 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 3.000 euros (tres mil euros). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/22 En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Si se optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente, deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos. >> SEGUNDO: En fecha 2 de julio de 2020, el reclamado ha procedido al pago de la sanción en la cuantía de 3.000 euros haciendo uso de las dos reducciones previstas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/22 en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para sancionar las infracciones que se cometan contra dicho Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c),
19. d)e
20. i)y 38.4 d),
21. g)y
22. h)de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo 43.1 de dicha Ley. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/22 De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00135/2020, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L.U.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
23. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es