← España

PS-00148-2021

1/8 Procedimiento Nº: PS/00148/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: Dña. A.A.A. (en adelante, la reclamante) con fecha 22 de agosto de 2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra GERCO FIT, S.L. con NIF B86306206 (en adelante, la reclamada). La reclamante manifiesta que suscribió contrato con la sociedad Vasco-Andaluza Inversiones, S.L., titular de los centros deportivos Fitness Place. Pues bien, Vasco-Andaluza Inversiones, S.L. comunico sus datos personales a la reclamada, no siendo informada de dicha circunstancia. Añade, que tampoco se comunicaron con ella para indicarle quién es el responsable ahora de sus datos y cuál es el tratamiento de los mismos. Y, entre otra, aporta la siguiente documentación: - Contrato de utilización de las instalaciones deportivas del establecimiento Fitness Place Sport Center suscrito con la titular, Vasco-Andaluza Inversiones, S.L., de los centros deportivos Fitness Place, el 30 de diciembre de 2011. - Hoja de reclamaciones entregada en el establecimiento Fitness Place Sport Center donde aparece el sello de la reclamada, entidad diferente con la que contrató. Con fecha de 14 de febrero de 2021, la reclamante manifiesta a esta Agencia que le ha llegado un cargo de una tercera empresa con denominación Body Tonic Shop S.L. de la que sospecha que también ha sido destinataria de sus datos. La reclamante, expone que ejerció el derecho de acceso a sus datos personales a la empresa con la que firmó el contrato. Y entre otros, adjunta los siguientes documentos: Devolución del recibo bancario girado por Body Tonic Shop S.L. Respuesta de la reclamada a la reclamación realizada a Vasco-Andaluza Inversiones, S.L. Impresión del correo electrónico enviado a fp@fitness-place.com ejerciendo el derecho de acceso a sus datos personales. SEGUNDO: Con carácter previo a la admisión a trámite esta reclamación, se trasladó a la reclamada el día 28 de septiembre de 2020, de conformidad con lo establecido en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), en las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/8 actuaciones con referencia E/07530/2020. La notificación se realiza electrónicamente, y figura como fecha de rechazo automático el 9 de octubre de 2020. TERCERO: De conformidad con lo dispuesto en el artículo 65.2 de la LOPDGDD, en fecha 23 de diciembre de 2020 se firma el acuerdo de admisión a trámite de la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. Solicitada información a la sociedad propietaria Vasco Andaluza, sobre la posible relación de esta con Gerco Fit y Body Tonic Shop, con fecha de 17 de marzo de 2021 se recibe en esta Agencia, escrito informando de que todas las sociedades mencionadas tienen el mismo administrador único. Se comprueba la misma titularidad de las tres entidades en el Registro Mercantil Central (en adelante, RMC). Se constata que en la cláusula decimotercera del contrato de utilización de las instalaciones deportivas del establecimiento Fitness Place Sport Center suscrito por la reclamante con Vasco Andaluza el 30 de diciembre de 2011, se establece: “De acuerdo con lo establecido en la Ley Orgánica 15/1999, el cliente, queda informado y acepta la incorporación de sus datos a los ficheros automatizados, propiedad de la sociedad titular del centro, cuyos datos y domicilio figuran en el sello estampado en el frontal de este documento; dirección a la que pueden dirigir escrito acompañándolo de fotocopia del DNI o documento acreditativo de su identidad, para ejercitar sus Derechos de acceso, rectificación, cancelación y oposición.” QUINTO: Con fecha 14 de mayo de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la reclamada, por la presunta infracción del Artículo 6 del RGPD, tipificada en el Artículo 83.5.

  1. a)del citado RGPD. SEXTO: Habiendo sido notificado electrónicamente, el acuerdo de inicio. Siendo la fecha de puesta a disposición el día 14 de mayo de 2021 y la fecha de rechazo automático el día 25 del mismo mes y año. SÉPTIMO: Notificado formalmente el acuerdo de inicio, la reclamada al tiempo de la presente resolución no ha presentado escrito de alegaciones, por lo que es de aplicación lo señalado en el artículo 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, que en su apartado
  2. f)establece que en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada, por lo que se procede a dictar Resolución. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/8 A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes: HECHOS PRIMERO: Consta que la reclamante firmó contrato de utilización de las instalaciones deportivas con Vasco Andaluza Inversiones, S.L., titular de los centros deportivos Fitness Place. SEGUNDO: La cláusula decimotercera del contrato de utilización de las instalaciones deportivas del establecimiento Fitness Place Sport Center suscrito por la reclamante con Vasco Andaluza el 30 de diciembre de 2011, dice: “De acuerdo con lo establecido en la Ley Orgánica 15/1999, el cliente, queda informado y acepta la incorporación de sus datos a los ficheros automatizados, propiedad de la sociedad titular del centro, cuyos datos y domicilio figuran en el sello estampado en el frontal de este documento; dirección a la que pueden dirigir escrito acompañándolo de fotocopia del DNI o documento acreditativo de su identidad, para ejercitar sus Derechos de acceso, rectificación, cancelación y oposición.” Se constata que la reclamante aceptó comunicar sus datos únicamente a la sociedad propietaria del centro deportivo Vasco Andaluza. TERCERO: Consta que la reclamante interpuso reclamación a la sociedad propietaria. Sin embargo, quien tramitó la misma fue la reclamada. CUARTO: El 14 de mayo de 2021, se inició este procedimiento sancionador por la infracción del artículo 6 del RGPD, siendo notificado el día 25 del mismo mes y año. No habiendo efectuado alegaciones, la reclamada, al acuerdo de inicio. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Se imputa a la reclamada la comisión de una infracción por vulneración del Artículo 6 del RGPD, “Licitud del tratamiento”, que señala en su apartado 1 los supuestos en los que el tratamiento de datos de terceros es considerado lícito: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/8 “1. El tratamiento sólo será lícito si se cumple al menos una de las siguientes condiciones:
  3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” La infracción se tipifica en el Artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  5. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La Ley Orgánica 3/2018, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD) en su artículo 72, bajo la rúbrica “Infracciones consideradas muy graves” dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (U.E.) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquél y, en particular, las siguientes: (…)
  6. a)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE)2016/679.” III La documentación que obra en el expediente ofrece evidencias de que la reclamada, vulneró el artículo 6.1 del RGPD, toda vez que realizó el tratamiento de los datos personales de la reclamante sin que tuviese ninguna legitimación para ello. La cláusula decimotercera del contrato de utilización de las instalaciones deportivas del establecimiento Fitness Place Sport Center suscrito por la reclamante con Vasco Andaluza el 30 de diciembre de 2011, dice: “De acuerdo con lo establecido en la Ley Orgánica 15/1999, el cliente, queda informado y acepta la incorporación de sus datos a los ficheros automatizados, propiedad de la sociedad titular del centro, cuyos datos y domicilio figuran en el sello estampado en el frontal de este documento; dirección a la que pueden dirigir escrito C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/8 acompañándolo de fotocopia del DNI o documento acreditativo de su identidad, para ejercitar sus Derechos de acceso, rectificación, cancelación y oposición.” Pues bien, la reclamante aceptó comunicar sus datos a la sociedad propietaria del centro deportivo Vasco Andaluza, no al resto de sociedades pertenecientes a la misma. Consta en el expediente que la reclamante interpuso una reclamación a la sociedad propietaria. Sin embargo, quien tramitó la misma fue la reclamada. De aquí que se haya producido un tratamiento sin legitimación. En cuanto al ejercicio de derechos que la reclamante manifiesta haber realizado, no queda acreditado que se identificara correctamente, y además, lo hace a una dirección de correo electrónico que no es el lugar especificado en el contrato y a una dirección que no consta habilitada para ello. IV La determinación de la sanción que procede imponer en el presente caso exige observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que, respectivamente, disponen lo siguiente: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  7. a)a
  8. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  9. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  10. b)la intencionalidad o negligencia en la infracción;
  11. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  12. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  13. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  14. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  15. g)las categorías de los datos de carácter personal afectados por la infracción;
  16. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/8
  17. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  18. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  19. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” (El subrayado es de la AEPD) A fin de concretar la cuantía de la sanción a imponer a la reclamada por vulneración del artículo 83.5.
  20. a)del RGPD, es imprescindible examinar y valorar si concurren las circunstancias descritas en el artículo 83.2 del RGPD y si intervienen atenuando o agravando la responsabilidad de la entidad responsable. De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso se considera a la parte reclamada como responsable de una infracción tipificada en el artículo 83.5.
  21. a)del RGPD, en una valoración inicial, se estiman concurrentes los siguientes factores. Como agravantes los siguientes: - En el presente caso estamos ante una acción negligente sobre datos significativos que permiten la identificación de una persona (artículo 83.2 b). - Se encuentran afectados identificadores personales básicos (artículo 83.2 g). Es por lo que se considera procedente graduar la sanción a imponer a la reclamada y fijarla en la cuantía de 2.000 € por la infracción del artículo 6 del RGPD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a GERCO FIT, S.L. con NIF B86306206, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
  22. a)del RGPD, una multa de 2.000 euros (dos mil euros). SEGUNDO: NOTIFICAR la presente resolución a GERCO FIT, S.L. con NIF B86306206. TERCERO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  23. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/8 Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  24. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/8 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.