PS-00167-2020

1/7  Procedimiento Nº: PS/00167/2020 938-0419 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR En el procedimiento sancionador PS/00167/2020, instruido por la Agencia Española de Protección de Datos, a la entidad, “CENTRO ESCUELA DE BUCEO AMIGOS DEL AZUL”, con CIF.: B30928600, (en adelante, “la entidad reclamada”), en virtud de denuncia presentada por Dª. A.A.A., (en adelante, “la reclamante”) y teniendo como base los siguientes: ANTECEDENTES PRIMERO: Con fecha 20/10/19, tuvo entrada en esta Agencia, escrito presentado por la reclamante donde exponían, entre otras, lo siguiente: “El citado centro de buceo no tiene adaptada su web https://amigosdelazul.com a la normativa: -sus formularios no contienen casilla de aceptación -total ausencia de la política de privacidad y textos legales, (documentos 1 a 3). Para ofrecer sus servicios de buceo recogen datos de los usuarios, como son datos completos y DNI, titulaciones de buceo, copia de la póliza de seguro y certificados médicos. Todos estos datos, para ser recabados, requieren la firma por parte del interesado de un documento de consentimiento, el cual no se cumplimenta ni se presenta a la firma. En el caso de certificados médicos el carácter de estos es de datos especialmente protegidos y son recogidos por este centro sin ningún tipo de protocolo”. SEGUNDO: A la vista de los hechos expuestos en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a realizar actuaciones para su esclarecimiento, al amparo de los poderes de investigación otorgados a las autoridades de control en el art 57.1 del Reglamento (UE) 2016/679 (RGPD). Así, con fecha 10/12/19, se dirige requerimiento informativo a la entidad reclamada. TERCERO: Con fecha 20/02/20, la entidad reclamada presenta escrito en esta Agencia, en el cual, entre otra, indica que: “Que interesa al derecho de esta parte hacer constar que no ha sido hasta la recepción de la presente, cuando hemos sido conscientes de las incidencias padecidas en esta materia y que, a fin de subsanar las mismas, como se expondrá más adelante, se han contratado los servicios de una empresa dedicada la implantación de sistemas de funcionamiento acordes con la vigente normativa de protección de datos, a fin de que proceda a detectar y subsanar cualquier tipo de incidencia en este aspecto. No obstante, y previo al comienzo de los citados trabajos, a fin de salvaguardar los derechos de los posibles afectados, y paralizar la incidencia percibida, en cuanto se ha recibido el presente requerimiento, se ha procedido a cerrar la página web y no se volverá a activar de nuevo hasta que no se lleven a efecto todas las medidas oportunas para adecuar dicha página web a la vigente normativa de protección de datos. En relación al tratamiento de los datos de los clientes del Centro, esta parte quiere manifestar que dentro del margen de implantación previsto en el Reglamento, el Centro ha establecido la obligatoriedad de que todos los clientes firmen una ficha en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/7 que autorizan expresamente el tratamiento de sus datos personales, que se acompaña al presente como documento anexo nº

1. Nos hemos percatados que dicha ficha no ha sido debidamente cumplimentada por antiguos clientes. Cuestión ésta que, igualmente, será debidamente subsanada. Por último, poner de manifiesto los fines absolutamente espurios de la denunciante, que no persigue ni mucho menos obtener el tratamiento correcto de sus datos. Lo cierto es que la denunciante ha practicado buceo recreativo con este Centro en multitud de ocasiones desde tiempo atrás, dejando voluntariamente en depósito toda la documentación exigida por la legislación para poder practicar la citada actividad. Al amparo de lo establecido en el Art 6 de la LO 3/2018, debe entenderse que la denunciante ha prestado consentimiento al tratamiento de sus datos personales mediante una clara acción afirmativa de voluntad libre, específica, informada e inequívoca. Y así se ha venido desarrollando la relación entre las partes, con absoluta normalidad y cordialidad, hasta que esta parte le emitió una factura por el alquiler de equipo durante un viaje de buceo a Las Maldivas. Se acompaña dicha factura como documento anexo nº
2. Esta parte considera que esta evidente mala fe de la denunciante debe ser tenida en cuenta, junto con la rápida subsanación por esta parte de las incidencias subsanadas y la inexistencia de daño alguno ni para la denunciante ni para ningún cliente del Centro. 2.- EN EL SUPUESTO DE EJERCICIO DE LOS DERECHOS REGULADOS EN LOS ARTÍCULOS 15 A 22 DEL RGPD, ACREDITACIÓN DE LA RESPUESTA FACILITADA AL RECLAMANTE. No es el caso. Como se ha expuesto, la denunciante no ha realizado ningún tipo de solicitud ni requerimiento previo a esta parte, a fin de que se subsanasen las deficiencias advertidas, sino que ha utilizado el presente procedimiento con ánimo doloso persiguiendo exclusivamente causar perjuicios a esta parte. 3.- INFORME SOBRE LAS CAUSAS QUE HAN MOTIVADO LA INCIDENCIA QUE HA ORIGINADO LA RECLAMACIÓN. Que en la denuncia presentada se hace referencia a dos incidencias. En cuanto a los defectos advertidos en la página web del Centro, éstos son debido a la falta de utilización de dicha página que no ha sido debidamente actualizada desde la fecha de creación, ni en contenidos ni, lamentablemente, para adecuarla a la normativa en materia de protección de datos. Y no ha sido hasta este momento, en que este defecto ha sido advertido. En relación al tratamiento de los datos, esta parte entrega a todos los nuevos clientes una ficha en la que autorizan expresamente el tratamiento de sus datos, sin embargo, no había actualizado sus archivos solicitando la citada autorización a clientes que ya venían utilizando los servicios del Centro con anterioridad. Incidencia que, insistimos, ha sido completamente subsanada. 4.- INFORME SOBRE LAS MEDIDAS ADOPTADAS PARA EVITAR QUE SE PRODUZCAN INCIDENCIA SIMILARES, FECHAS DE IMPLANTACIÓN Y CONTROLES EFECTUADOS PARA COMPROBAR SU EFICACIA. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/7 Que, a fin de solventar las incidencias existentes, y adoptar todas las medidas correctivas encaminadas a poner fin al posible incumplimiento de la legislación de protección de datos, esta parte ha procedido a contratar los servicios de una empresa dedicada a la gestión y tratamiento de los datos a fin de que proceda a realizar todas las labores encaminadas al fin antes dicho. A los oportunos fines probatorios, se acompaña como documento anexo nº 3 el contrato con la mercantil Prevensystem, que se encarga, desde el día 5 de Febrero de 2020, de coordinar el proyecto de adecuación a la normativa de protección de datos y controlar periódicamente el buen funcionamiento del mismo. Como consecuencia de lo anterior, queda acreditado que esta parte ya ha adoptado todas las medidas necesarias para evitar que se produzcan incidencias similares. Quedamos a disposición de la AEPD para las comprobaciones que considere pertinentes a fin de determinar la adecuación de las medidas adoptadas por esta parte y del proyecto de implantación y control llevado a cabo por la mercantil contratada. En virtud de lo establecido en el Artículo 10 del Reglamento de Protección de datos, esta parte se encuentra legitimado para el tratamiento de los datos que solicita a los clientes del Centro. No solo por el hecho de que los clientes presten su consentimiento expreso para ello, como en el caso que nos ocupa, en el que la denunciante ha realizado actos expresos que conllevan el claro consentimiento para ello, sino que además la legitimación para el citado tratamiento viene determinado por la legislación aplicable a las actividades subacuáticas, que en el caso de la Región de Murcia, se trata del Decreto 69/2001, que se acompaña al presente escrito como documento anexo nº
3. En el Artículo 5.2 del citado Decreto, en el marco de la organización de actividades, se establece la obligatoriedad de “comprobar que los buceadores tienen la capacitación y titulación adecuadas a la exposición hiperbárica a la que se van a someter, que tienen en vigor el seguro de accidentes y de responsabilidad civil, que han superado los reconocimientos médicos establecidos y que no presentan signos evidentes de mal estado físico y psíquico. “En el Artículo 9 del mismo, en relación a la organización de cursos, se establece la obligatoriedad de solicitar exactamente la misma documentación. Y, por último, dicha documentación resulta igualmente obligatoria para la expedición de los correspondientes títulos, de conformidad con lo establecido en el Artículo 13 del citado Decreto. Los datos que la denunciante afirma que le piden en el Centro (detallados en su Hecho Segundo), esto es, datos completos, DNI, titulaciones de buceo, copia de la póliza del seguro y certificados médicos, son ni más ni menos que los que la propia legislación establece como obligatorios, sin los cuales los clientes no podrían realizar la actividad de buceo que han contratado con el Centro. En cuanto a esta documentación obligatoria, interesa hacer especial mención al Certificado médico, pues en este no se contienen datos médicos concretos, ni resultados de pruebas, ni estado del paciente. Simplemente, tras la realización de las pruebas pertinentes, el médico certifica que esa persona no adolece ninguna enfermedad que le impida la práctica del buceo. A los efectos acreditativos oportunos, se acompaña como documento anexo nº 5, un certificado médico auténtico, al que se le han borrado los datos del médico y de la persona sobre la que se certifica. Por tanto, al ser un certificado médico general en el que se establece que una persona es apta para la práctica de buceo recreativo, no se puede considerar que contenga dato alguno de carácter sensible que requiera de una protección especial. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/7 Por último, incidir nuevamente en el hecho de la legitimación para el tratamiento de todos estos datos y sobre todo, el hecho de que la documentación requerida por el Centro para la práctica de buceo, se devuelve a los clientes una vez comprobado el cumplimiento de los requisitos de la persona para poder realizar una inmersión”. CUARTO: Junto con el escrito de alegaciones presentado por la entidad reclamada, se adjunta copia de la “HOJA DE DECLARACIÓN RESPONSABLE”, en la que el usuario, además de proporcionar sus datos personales, declara que, “se encuentra en posesión del certificado médico que le permite realizar actividades de buceo submarino”. En la parte final de la hoja existe una nota informativa indicando que: “El cliente autoriza el uso de sus datos personales, incluyendo las fotografías tomadas durante su estancia, con fines comerciales, pudiendo, de conformidad con lo establecido en la LOPD, ejercer su derecho acceso, modificación, rectificación o cancelación ante el centro de buceo mediante correo electrónico dirigido a la siguiente dirección: info©amigosdelazul.com”. QUINTO: Con fecha 05/06/20, se accede a página web www.amigosdelazul.com, donde, comprobando que en la política de privacidad, https://amigosdelazul.com/politicaprivacidad/, se informa sobre el Responsable del tratamiento; cuánto tiempo conservan los datos; con quién comparten los datos; los derechos sobre tus datos y cómo protegen los datos Sobre los datos personales que recogen, se informa: “Únicamente se recopilarán los datos a través del formulario de contacto en la sección de contacto y en la de reservas (cuando estén disponibles), y serán los estrictamente necesarios para llevar a cabo la normal actividad del servicio, ajustándose al principio de minimización de datos (Art.5.b GDPR). Los datos recopilados serán en todo caso de mayores de 16 años (Art. 8.1 GDPR). Amigos del Azul, S.L. se reserva el derecho a tomar las medidas oportunas para comprobar la veracidad de la edad (Art. 8.2 GDPR). En todo caso estos datos serán de carácter personal identificativos y no sensibles, podrán ser: •Correo electrónico; •Teléfono; •Nombre y apellidos Sobre la legitimación para el tratamiento de datos personales, informan que: “La base legal para el tratamiento de tus datos personales es la aceptación explícita del tratamiento, gestión y almacenamiento de los mismos según la presente política de privacidad. La visita este Sitio Web no supone que el Usuario esté obligado a facilitar ninguna información sobre sí mismo. En el caso de que el Usuario proporcione alguna información de carácter personal, los datos recogidos en este Sitio Web serán utilizados con la finalidad, en la forma y con las limitaciones y derechos que recoge la legislación en materia de protección de datos personales. SEXTO: Notificada la incoación del expediente el día 16/09/20, a fecha de hoy, no consta que respuesta alguna se haya dado a la incoación del expediente dentro, del periodo concedido para ello, a los efectos legales oportunos por la entidad reclamada. De las actuaciones practicadas en el presente procedimiento, de la información y documentación presentada por las partes, han quedado acreditados los siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/7 HECHOS PROBADOS 1º.- Sobre la Política de Privacidad de la página web denunciada, se ha podido comprobar que la misma proporciona información sobre: Responsable del tratamiento; cuánto tiempo conservan los datos; con quién comparten los datos; los derechos sobre tus datos y cómo protegen los datos. 2º.- Sobre los datos personales que recogen, se informa: “Únicamente se recopilarán los datos a través del formulario de contacto en la sección de contacto y en la de reservas (cuando estén disponibles), y serán los estrictamente necesarios para llevar a cabo la normal actividad del servicio, ajustándose al principio de minimización de datos (Art.5.b GDPR). Los datos recopilados serán en todo caso de mayores de 16 años (Art. 8.1 GDPR). Amigos del Azul, S.L. se reserva el derecho a tomar las medidas oportunas para comprobar la veracidad de la edad (Art. 8.2 GDPR). En todo caso estos datos serán de carácter personal identificativos y no sensibles, podrán ser: •Correo electrónico; •Teléfono; •Nombre y apellidos. 3.- Sobre la legitimación para el tratamiento de datos personales, informan que: “La base legal para el tratamiento de tus datos personales es la aceptación explícita del tratamiento, gestión y almacenamiento de los mismos según la presente política de privacidad. La visita este Sitio Web no supone que el Usuario esté obligado a facilitar ninguna información sobre sí mismo. En el caso de que el Usuario proporcione alguna información de carácter personal, los datos recogidos en este Sitio Web serán utilizados con la finalidad, en la forma y con las limitaciones y derechos que recoge la legislación en materia de protección de datos personales. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD en el art. 47 de LOPDGDD. II La valoración conjunta de la prueba documental obrante en el procedimiento trae a conocimiento de la AEPD una visión de la actuación denunciada que ha quedado reflejada en los hechos declarados probados arriba relatados. Respecto del tratamiento de datos personales recogidos en la hoja de “Declaración Responsable”, aparte de recoger datos personales de los clientes como el nombre, dirección, teléfono, DNI y correo electrónico, existe una nota a pie de página informando de: “El cliente autoriza el uso de sus datos personales, incluyendo las fotografías tomadas durante su estancia, con fines comerciales, pudiendo, de conformidad con lo establecido en la LOPD, ejercer su derecho acceso, modificación, rectificación o cancelación ante el centro de buceo mediante correo electrónico dirigido a la siguiente dirección: info©amigosdelazul.com”. En el presente caso, el documento que se pone a disposición de los clientes para que declaren que se encuentran en posesión del certificado médico que les autoriza a realizar actividades de buceo submarino, implica que autorizan sin ninguna opción, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/7 tratamiento de sus datos personales incluidas las fotografías tomadas de sus actividades, para fines comerciales o promocionales. Pues bien, el tratamiento de datos requiere la existencia de una base legal que lo legitime, como sería el consentimiento del interesado. Pero en el caso que nos ocupa, los datos personales proporcionados por el usuario solo son para declarar que está en condiciones físicas aceptables para realizar el ejercicio de buceo submarino. No obstante, en la misma hoja, se le indica al usuario, sin posibilidad de rechazo, que sus datos personales junto con las fotografías que puedan obtener de su actividad serán utilizados para realizar actividades comerciales o promocionales, ofreciendo solo la opción posterior para ejercitar sus derechos de modificación, rectificación o cancelación de los datos personales o de las fotografías tomadas. Con este mecanismo, la entidad no da opción para que el cliente preste o no su consentimiento al tratamiento de sus datos personales, sino que el consentimiento se incluye como obligatorio en la hoja de declaración responsable. Pues bien, en el caso, en la hoja de “declaración responsable”, que los clientes rellenan con sus datos personales, solamente se indica, los fines del tratamiento a que se destinan los datos personales (publicidad comercial o promocional y la existencia del derecho de acceso, rectificación o supresión), pero no se ofrece más información, como por ejemplo: la identidad y los datos de contacto del responsable y, en su caso, de su representante; los datos de contacto del delegado de protección de datos, en su caso; los destinatarios o las categorías de destinatarios de los datos personales, o el plazo durante el cual se conservarán los datos personales. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, RESUELVE APERCIBIR: a la entidad la entidad, CENTRO ESCUELA DE BUCEO AMIGOS DEL AZUL , con CIF.: B30928600, por la Infracción de los artículos 13 y 7 del RGPD, respecto de la información que debe proporcionarse a los usuarios cuando se recogen sus datos personales y la opción del consentimiento para que sus datos personales incluidas las fotografías tomadas de sus actividades puedan ser utilizadas para actividades comerciales y promocionales. REQUERIR a la entidad, CENTRO ESCUELA DE BUCEO AMIGOS DEL AZUL, para que, en el plazo de un mes desde este acto de notificación, proceda a tomar las medidas necesarias para adecuar su política de privacidad a la hora de recoger los datos personales de sus clientes a lo estipulado en el artículo 13 del RGPD y adecuar el consentimiento de los clientes para que sus datos personales, incluidos las fotografías tomadas de sus actividades sean acorde a lo estipulado en el artículo 7 del RGPD, posibilitando que el consentimiento dado por los usuarios sea dado de forma libre, específica, informada e inequívoca para cada uno de los fines que la entidad tenga previsto. NOTIFICAR: la presente resolución a la entidad, CENTRO ESCUELA DE BUCEO AMIGOS DEL AZUL De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/7 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contenciosoadministrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es