PS-00136-2017

1/7 Procedimiento Nº: PS/00136/2017 RESOLUCIÓN R/01559/2017 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO En el procedimiento sancionador PS/00136/2017, instruido por la Agencia Española de Protección de Datos a la entidad CRENE XXXXX S.L., vista la denuncia presentada por Doña A.A.A., y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 28 de abril de 2017, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad CRENE XXXXX S.L., mediante el Acuerdo que se transcribe: <<Procedimiento Nº: PS/00136/2017 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad CRENE XXXXX S.L., en virtud de denuncia presentada ante la misma por doña A.A.A. y en base a los siguientes HECHOS PRIMERO: Con fecha de 03 de mayo de 2016 tiene entrada en esta Agencia un escrito de doña A.A.A. (en lo sucesivo denunciante), en el que expone que la CLÍNICA CRENE (denunciada), donde fue tratada de una parálisis facial, colgó vídeos en “youtube” y en su web (http://crene.es), del tratamiento recibido y de la evolución que había experimentado sin haber prestado su consentimiento para ello, con fines publicitarios. Sigue manifestando la Sra. A.A.A., que en el vídeo se observa su cara entera, junto con datos que no son reales, ya que lo que promocionan era la recuperación del músculo risorio en quince días tras una cirugía maxilofacial, nada que ver con su caso, y por lo tanto, entiende que se hace una publicidad engañosa. Por último, indica la denunciante que el vídeo está subido en youtube desde octubre del AA hasta marzo del AA1. Se aporta CD donde se incluye:  Impresiones de pantalla de: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/7  Resultado de la búsqueda en Google de “youtube crene maxilofacial”, que devuelve un vídeo asociado a http://crene.es, y donde consta 23 oct.AA- Subido por XXXXX.  Publicación del 23 oct.AA, en la web http://crene.es de “Tratamiento de parálisis facial producida por cirugía maxilofacial.  Reproducción del vídeo subido en youtube al que remite Google tras la búsqueda indicada con el apartado anterior. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se solicita información a la entidad CRENE XXXXX S.L., teniendo conocimiento de que: “(…) 1. Con fechas 6 de mayo de 2016 y 7 de marzo de 2017, desde la Inspección de Datos se han realizado diversas consultas en Google sobre “crene maxilofacial” son obtener constancia de la existencia de los videos denunciados. 2. Con fecha 19 julio de 2016 se remite solicitud de información a la clínica CRENE y de la respuesta recibida en fecha 4 de agosto de 2016, se desprende: Clínica CRENE manifiesta que todo paciente que contrata servicios en la clínica cumplimenta diferentes documentos, que se incorporan a su expediente, en los que se incluye la siguiente cláusula respecto de la LOPD: “De acuerdo con lo establecido por la Ley Orgánica 1571999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD), consiento que mis datos sean incorporados a un fichero del que es titular CRENE XXXXX, S.L. con la finalidad de prestarle la asistencia médica solicitada, realizar su gestión contable, fiscal y administrativa y poder proporcionarle información que consideremos pueda serle útil referentes a nuevos tratamiento. Asimismo, declaro haber sido informado de la posibilidad de ejercer los derechos de acceso, rectificación, cancelación y oposición de mis datos en el domicilio de CRENE XXXXX S.L.….”. No obstante, clínica CRENE manifiesta que en el expediente de la denunciante no se ha podido encontrar documentos firmados donde consta la mencionada cláusula de Protección de Datos. 3. Clínica CRENE manifiesta que desconocía la publicación del video de la denunciante en Youtube y que tuvo conocimiento de ello, por la propia denunciante, en un WhatsApp remitido a la clínica en fecha 26 de febrero de 2016 a las 13,21 horas, y después de contactar con la denunciante nuevamente en fecha 3 de marzo de 2016, se procedió de forma inmediata a retirar de Youtube el video en fecha 4 de marzo de 2016. Clínica CRENE ha aportado copia de los WhatsApp intercambiados con la denunciante en los que figura:  26/02/2016 A.A.A. …”he visto un video mío en Youtube….”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/7  26/02/2016 constan diversos mensajes de contestación con objeto de conocer donde se encuentra publicado el video.  03/03/2016 figura un mensaje de la denunciante donde indica que no le han dado ninguna explicación sobre la publicación del video.  03/03/2016 un mensaje de la denunciante indicando que la directora había contactado con ella. 4. Clínica CRENE manifiesta que no ha existido intención alguna de perjudicar a la denunciante ya que siempre han mantenido una excelente relación, incluso ha participado voluntariamente como paciente en los cursos de formación impartidos por la Directora de la Clínica. Asimismo manifiesta que atienden una media de cien pacientes al mes y desconocen el motivo por el cual no aparece el documento firmado de consentimiento ya que sí figuran el resto de documentos”. Por último, la Clínica Crene aporta un modelo de “contrato de cesión de derechos de imagen” por el cual los pacientes de la misma autorizan a la empresa a que indistintamente, puedan utilizar todas las imágenes, o partes de las mismas en las que interviene como paciente, y en concreto su publicación en la web de la empresa, en redes sociales y redes profesionales; si bien, no se aporta el firmado por la denunciante. FUNDAMENTOS DE DERECHO PRIMERO: Los hechos expuestos, concretados en la utilización de las imágenes de la denunciante para publicar vídeos en youtube y en la web http://crene.es, con fines publicitarios sin su consentimiento, podrían suponer la comisión de infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de carácter personal (en lo sucesivo LOPD), que señala: “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa.” Infracción tipificada como grave en el artículo 44.3.b de la LOPD, que considera como tal, “Tratar los datos de carácter personal sin recabar el consentimiento de las personas afectadas, cuando el mismo sea necesario conforme a lo dispuesto en esta Ley y sus disposiciones de desarrollo”, pudiendo ser sancionada con multa de 40.001 € a 300.000 € de acuerdo con el artículo 45.2 de la citada Ley Orgánica. SEGUNDO: Asimismo, también podrían suponer una vulneración del deber de secreto al revelar, sin su consentimiento, el tratamiento al que se sometió la denunciante, y así dispone el artículo 10 de la LOPD: “lEl responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”, responsable del fichero y quienes intervengan en cualquier fase del tratamiento de l los mismos y al deber de guardarlos, obligaciones que subsistiráInfracción tipificada como grave en el artículo 44.3 letra “d” de dicha norma que considera como tal: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/7 “

1. d)La vulneración del deber de guardar secreto acerca del tratamiento de los datos de carácter personal al que se refiere el artículo 10 de la presente Ley”. Pudiendo ser sancionada con multa de 40.001 € a 300.000 €, de acuerdo con el artículo 45.2 de la citada Ley Orgánica. TERCERO: De conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera, de conformidad con el art. 45.5 LOPD, que procede la aplicación de la escala de sanciones que precede inmediatamente en gravedad a aquella en que se integra la considerada en el presente caso, por la concurrencia del supuesto previsto en el punto
2. a)del citado artículo que establece: “Cuando se aprecie una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho como consecuencia de la concurrencia significativa de varios de los criterios enunciados en el apartado 4 de este artículo”. A este respecto puede apreciarse la concurrencia de los siguientes criterios:
3. d)El volumen de negocio o actividad del infractor, en la medida que la Clínica Crene fue constituida el 29/03/2006 con un capital social de 3.006 €, y en el año 2015 consta que tiene 10 empleados con unas ventas de 437.327; y figura como una pequeña empresa.
4. e)Los beneficios obtenidos como consecuencia de la comisión de la infracción. En este caso no constan beneficios obtenidos como consecuencia de la comisión de la infracción
5. f)El grado de intencionalidad, la clínica denunciada manifiesta que no ha existido intención alguna de perjudicar a la denunciante ya que siempre ha mantenido una excelente relación, incluso ha participado voluntariamente como paciente en los cursos de formación impartidos por la Directora de la Clínica.
6. g)La reincidencia por comisión de infracciones de la misma naturaleza. La entidad denunciada no figura como responsable de infracciones de la misma naturaleza que la cometida en el presente procedimiento.
7. j)El vídeo fue retirado de youtube, de modo que en fecha 06 de mayo de 2016 la Inspección de Datos no obtuvo constancia del vídeo denunciado en el citado canal. A los citados criterios que se consideran como atenuantes, se une el
8. c)que opera como agravante: la vinculación de la actividad de la entidad infractora con la realización de tratamientos de datos de carácter personal, puesto que su actividad está estrechamente relacionada con el tratamiento de datos personales relacionados con la salud. Teniendo en cuenta la concurrencia de los citados criterios del artículo 45.4 de la LOPD, se considera que procede graduar la sanción a imponer a la entidad CRENE XXXXX S.L., y fijarla en la cuantía de 9.000 € por la infracción de los artículos 6 y 10 de la LOPD. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/7 SE ACUERDA: 1. INICIAR PROCEDIMIENTO SANCIONADOR a CRENE XXXXX S.L. con arreglo a lo dispuesto en el artículo 127 del Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, aprobado por Real Decreto 1720/2007, de 21 de diciembre, (RLOPD) por la presunta infracción de los artículos 6 y 10 de la LOPD, tipificadas como graves en las letras b y d del artículo 44.3 de la citada norma. 2. NOMBRAR como Instructor a doña ***INSTRUCTOR.1, (y Secretario, en su caso a doña ***INSTRUCTOR.2 indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), y de acuerdo con lo establecido en el artículo 127 del RLOPD. 3. INCORPORAR al expediente sancionador, a efectos probatorios, la denuncia interpuesta por la denunciante y su documentación; los documentos obtenidos y generados por los Servicios de Inspección durante la fase de investigaciones; así como el informe de actuaciones previas de Inspección; todos ellos parte del expediente. 4. QUE a los efectos previstos en el art. 64.2
9. b)de la ley 39/2015, de 1 de octubre y art. 127 letra
10. b)del RLOPD, la sanción que pudiera corresponder sería de 3.500 euros, sin perjuicio de lo que resulte de la instrucción. 5. NOTIFICAR el presente Acuerdo a CRENE XXXXX S.L. indicándole expresamente su derecho a la audiencia en el procedimiento y otorgándole un plazo de DIEZ DÍAS HÁBILES para que formule las alegaciones y proponga las pruebas que considere procedentes, de acuerdo con lo preceptuado en el apartado
11. f)del artículo 127 del RLOPD. Asimismo, de conformidad con los artículos 64.2.
12. f)y 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), se le informa de que si no efectuara alegaciones en plazo a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución. También se le informa de que, de conformidad con lo dispuesto en el artículo 85.1 LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 1800 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 7.200 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, de conformidad con lo establecido en el artículo 85.2 LPACAP, lo que supondrá una reducción de un 20% del importe de la misma, equivalente en este caso a 1800 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 7.200 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/7 reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 5.400 Euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente (7.200 Euros o 5.400 Euros), de acuerdo con lo previsto en el artículo 85.2 referido, le indicamos que deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del PS/00136/2017 y la causa de reducción del importe de la sanción a la que se acoge, y enviando el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento de acuerdo con la cantidad ingresada. De conformidad con lo establecido en los artículos 37.
13. g)y 36 de la LOPD, en relación con los artículos 120 y 127 del RLOPD, la competencia para resolver el presente Procedimiento Sancionador corresponde a la Directora de la Agencia Española de Protección de Datos. Conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 24 de mayo de 2017, la entidad CRENE XXXXX, S.L., ha procedido al pago de la sanción en la cuantía de 5.400 € euros haciendo uso de las reducciones previstas en el Acuerdo de inicio, que conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad. TERCERO: En fecha 25 de mayo de 2017 tuvo entrada en esta Agencia escrito de la entidad CRENE XXXXX S.L., de fecha del día anterior, en que reconoce expresamente su responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.g), en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/7 II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente” De acuerdo con lo señalado, La Directora de la Agencia Española de Protección de Datos RESUELVE PRIMERO: DECLARAR la terminación del procedimiento conformidad con lo establecido en el artículo 85 de la LPACAP. PS/00136/2017, de SEGUNDO: NOTIFICAR la presente resolución a CRENE XXXXX S.L. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, el presente Acuerdo se hará público, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del reglamento de desarrollo de la LOPD aprobado por el Real Decreto 1720/2007, de 21 diciembre. Podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de esta resolución, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es