← España

PS-00199-2021

1/18  Expediente Nº: PS/00199/2021 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 11 de junio de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a A.A.A. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 2 de febrero de 2022 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente nº: PS/00199/2021 PROPUESTA DE RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: B.B.B. (en adelante, el reclamante) con fecha 4/12/2020 interpuso reclamación ante la Agencia Española de Protección de Datos que se dirige contra A.A.A. con NIF ***NIF.1 (en adelante, la reclamada). Los motivos en que basa la reclamación son: El 4/12/2019 contrató con la reclamada una prestación médico- estética de varias sesiones que inició ese mismo día, autorizando que se le hicieran fotografías “de la zona tratada para que puedan ser utilizadas con fines documentales, de formación y comerciales de la clínica”. Acudió a la clínica el 10/01/2020 y, mientras esperaba, pudo observar en una de las pantallas que había “un vídeo publicitario” en el que aparecía grabado el tratamiento, sin su consentimiento. Acto seguido se quejó al responsable y exigió su retirada. “Sin embargo, días más tarde volvió a la clínica y el vídeo permanecía allí”. “En julio de 2020 se exigió mediante correo electrónico que eliminaran sus datos como cliente, a lo que la clínica se negó y nunca procedió a ello.” “En fecha 10/11/2020, contactamos en nombre del reclamante a través de un burofax exigiendo la cantidad de 4.800 euros por haber vulnerado el derecho fundamental a la intimidad y a la propia imagen. Aún no hemos obtenido respuesta. “ C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 “El 20/11/2020…el vídeo al que hacemos referencia aparecía publicado en la cuenta de FACEBOOK de la Dra. A.A.A., el cual se publicó en fecha 11/12/2019. Es decir, después de quejarse desde el primer mes de una grabación y publicación de vídeo… Acto seguido contactamos con la clínica y exigimos su retirada, pero tampoco nos comunicaron nada al respecto. Eso sí, unos días más tarde retiraron el vídeo de la página.” Aporta: 1-Archivo denominado “documentación de la contratación” en el que se agrupan:

  1. a)Documento de cuatro páginas: “consentimiento informado para peeling químico” de 12/03/2020 (fecha posterior a cuando se firma el contrato y manifiesta que aparece el video en la clínica). Se contienen diversas informaciones sobre el tratamiento médico, la técnica usada, y riesgos. En el pie de las páginas figura una clausula informativa sobre los datos, indicando a efectos de ejercicio de derechos, el domicilio de la reclamada o una dirección de correo electrónico, “debiéndose identificar debidamente y solicitar claramente el derecho a ejercer”. La página 3 del documento indica: “AUTORIZO a que se me practiquen fotografías de la zona intervenida que puedan ser utilizadas con fines científicos, docentes o médicos, quedando entendido que su uso no constituye ninguna violación a la intimidad o confidencialidad a las que tengo derecho”. “Me consta que mis datos van a ser tratados de forma automatizada lo cual autorizo habiéndome sido explicado mis derechos de conformidad con la vigente LOPD. Se me ha informado, igualmente, de mi derecho a rechazar la intervención o revocar este consentimiento. He podido aclarar todas mis dudas acerca de todo lo anteriormente expuesto y entendido totalmente este documento de consentimiento reafirmando en todas y cada uno de sus puntos y con la firma del documento en todas las páginas por duplicado ratifico y consiento que el tratamiento se realice” A continuación, figuran dos líneas para que señale con una x, indicando en la primera: “Señale con una x si autoriza la realización de imágenes. Estas que pueden ser utilizadas para los fines anteriormente descritos.”, y la segunda: “Señale con una x si desea ser informado sobre nuestros productos y servicios.” Ninguna de las dos opciones está marcada con la X, al menos en este ejemplar aportado.
  2. a)Copia de factura emitida 4/12/2019 por la reclamada constando la misma leyenda sobre el tratamiento y la información sobre ejercicio de derechos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18
  3. b)En folios 6 y 7 “SWT y Láser “ CONSENTIMIENTO INFORMADO SWT”, tratamiento de luz pulsada intensa con equipo ELLIPSE. Ambos folios llevan el logo de “ELLIPSE” En este caso, la información es que “los datos se incorporan a un fichero titularidad de ELLIPSE SPAIN SL” y su dirección “para realizar todas las gestiones necesarias para el mantenimiento de nuestra relación comercial”, informando de los derechos a ejercitar. “La empresa forma parte del Grupo Ellipse, al cual podrían ser cedidos mis datos” aunque conste como Doctora la firma de la reclamante a 4/12/2019. En un literal figura: “Autorizo a que se me practiquen fotografías de la zona tratada para que puedan ser utilizadas con fines documentales, de formación y comerciales de la clínica”. En esta ocasión no figura posibilidad de si no autoriza. 2-Archivo titulado “comunicaciones con la clínica”. Se contienen intercambios de correos electrónicos por representantes del reclamante con la dirección de la reclamada, @A.A.A.. Entre ellos, el de 21/06/2020, en que se informa de lo preciso para poder ejercitar el derecho de supresión de datos: ha de estar firmada la solicitud con copia del DNI, sí no, no podría tramitarse. Además, informa sobre su petición de supresión de datos con referencia a que son datos de historia clínica y tienen una regulación especifica. 3- Burofax dirigido a la reclamada, entregado el 11/11/2020, solicitando el abono de 4800€ porque el día 10/01/2020 estando el reclamante en la sala de espera observó que en las pantallas se mostraba un video con sus imágenes, con sus iniciales, pues no autorizó ninguna grabación de video de su cara al completo con sus iniciales, sino únicamente fotografías de la zona tratada. Añade que lo grabó con el móvil y se lo comunicó al responsable exigiendo su retirada, desconociendo hasta que fecha exacta estuvo expuesta la grabación, calculando 32 días en pantalla, desde la primera sesión, 4/12/2019, al 10/01/2020. 4-Correo de representante de reclamante de 20/11/2020 , 17 h 42 en el que le informa que el reclamante “me ha informado que en FACEBOOK de la reclamada aparece la misma grabación que aparecía en pantallas de la clínica. Dicha grabación se publicó el 11/11/2019 y aun continua en la red social a fecha de hoy”, pide se retiren todos los videos. Como respuesta uno de la reclamada, indicando el 22/11/2020, “Ese tema esta en manos de nuestros abogados, y ellos contactaran contigo cuando consideren oportuno” 5-Un video proyectado en una pantalla en el interior de un local, duración 1.20 segundos , y el video comienza a los 19 segundos. En el principio figura el logo de la clínica de la reclamante Dra. A.A.A. Medicina estética, y “láser IPL ELIPSE”. En el video se ve tumbada en una camilla una persona, y se le aplica sobre la cara una sustancia y con un aparato que podría ser el láser acciona sobre la misma. El paciente tiene los ojos tapados con unas gafas que luego le son retiradas, en el minuto 15 segundos. Mientras se proyecta el video aparece en imagen: MEJORA:-Rojeces -Cuperosis- Rosácea. Financiamos 100% tu tratamiento. En la parte superior de la pantalla figura “Láser (…) video 29019 12-11-11.mp4” si bien cuando va reproduciéndose desaparece el titulo. 6- Otro video, expuesto en una página FACEBOOK de la reclamante, visible con fecha 20/11/2020, según la pestaña. El contenido, parecido al anterior, de menor duración, no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 comenzando desde el principio, sino ya empezado puede leerse en pantalla: “Financiamos 100% tu tratamiento” y con el añadido de “Infórmate sin compromiso”, con una línea telefónica que se corresponde a la que figura como contacto en la página de FACEBOOK. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió al traslado de la reclamación el 5/02/2021, con el siguiente contenido: “El reclamante denuncia a la reclamada que le practicó un tratamiento médico estético, por grabar y difundir un vídeo del tratamiento efectuado donde se puede ver su cara al completo e iniciales sobreimpresas. Dicho vídeo se reproducía en la sala de espera de la clínica y en la cuenta de Facebook de la misma. Con fecha 03/07/20 solicitó la supresión de sus datos como cliente, no recibiendo respuesta. En fecha 20/11/20 requirió nuevamente la eliminación del vídeo en cuestión de la cuenta de Facebook de la clínica. Pasados unos días fue retirado. Se denuncia el tratamiento de los datos personales del reclamante sin base legitimadora, la vulneración de la confidencialidad de sus datos personales y la falta de atención al derecho de supresión de sus datos”. Con fecha 7/03/2021, la reclamada respondió: 1) “El reclamante contrató unos servicios médicos estéticos de tratamiento con Láser IPL ELLIPSE, firmó el documento: AUTORIZACIÓN PARA EL TRATAMIENTO DE DATOS DE CARÁCTER PERSONAL" Adjunta en archivo anexo el documento titulado “AUTORIZACIÓN PARA EL TRATAMIENTO DE DATOS DE CARÁCTER PERSONAL" de 28/11/2019, que no coincide con el aportado por el reclamante descrito como “consentimiento informado para peeling químico” y tiene una redacción de clausulado distinta. En el que aporta “autorización…” figura dentro del apartado de FINALIDAD DE SUS DATOS “las imágenes realizadas con su consentimiento pueden ser utilizadas con fines científicos, docentes médicos, quedando entendido que su uso no constituye ninguna violación a la intimidad o confidencialidad a las que tenga derecho.” En otro apartado, dentro de DERECHOS, indica: “por el presente documento da consentimiento a” la reclamada “a captar imágenes, ya sea a través de cámaras o videocámaras, en que el afectado resulte claramente identificable. El ejercicio de la captación de las imágenes o vídeos por parte de” la reclamada ”u otra empresa delegada estará limitado al conjunto de actividades desarrolladas dentro del ámbito de su actividad profesional. “ “Le informamos que sus datos serán incorporados en tratamiento del titular y la reclamada.” aparece marcado el apartado de que “si autoriza la realización imágenes fines científicos, docentes o médicos”. 1) Asimismo, firmó el documento:"CONSENTIMIENTO INFORMADO (SWT)". Este documento es el mismo que el que figura aportado por el reclamante en el punto 1.c). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 2) Le consta según una copia de reseñas de visitas a la clínica que esta aporta, en forma listado, una relación, por fechas en que acude a sesiones de tratamientos, y anotaciones (desde 29/11/2019 en que figura que acude y lo que refiere el paciente, tratamiento propuesto y coste, primera y sucesivas sesiones: 4/12/2019, 10/01/2020, 14/02/2020. En la sesión de 17/02/2020 figuran efectos secundarios y se realizan tres sesiones de otro tratamiento, decidiendo no realizar el tratamiento inicial el 12/03/2020. Ultima fecha que consta 4/06/2020. Se contienen en comentarios, indicaciones medicas ofertadas, comentarios que se hacen, costes y ciclos de tratamientos y figura que “se realizan fotografías”. En la visita de 10/01/2020 figura por ejemplo que “se realiza protocolo de fotos antes y después”, en la de 14/02, también, añadiendo “fotos antes y después, se observa mejoría”. 3) Aporta un escrito de respuesta a una queja del reclamante, fechada a 15/11/2020 en el que le manifiesta que antes del tratamiento se le comenta que se tomaran algunas imágenes en video para analizar la evolución del caso, “a lo que tampoco muestra disconformidad” (referido a una sesión en que se aplicó el tratamiento, la de 4/12/2019). Manifiesta la reclamante que en la visita de control de 10/01/2020, revisó y decidió no aplicar la segunda sesión ese día y aplazarla. Figura: “La pantalla en la que observa el video es la única pantalla de la clínica situada en la zona de entrada y en ella no se pone publicidad, sino videos de tratamientos facilitados por los proveedores de la clínica …””El momento en que este señor observó su video era la única persona en la clínica aparte de la doctora y su auxiliar” El 14 de febrero vuelve el paciente. En el horario de 14 a 16 hicimos formación en la clínica y se revisó el video del paciente con el personal sanitario, por eso el paciente pudo verlo antes de ser atendido”. 4) Sobre la respuesta a ejercicio de derechos, indica que el “3/07/2020, notifica a la Dra. A.A.A. el ejercicio del derecho de SUPRESIÓN/CANCELACIÓN. Al que evidentemente se le respondió y se comunica de forma efectiva la realización de dicho derecho, teniendo en cuenta como profesional de la medicina no pueden borrar y destruir ninguna documentación referente a historiales clínicos o médicos.” “A partir de dicha fecha se suprimió cualquier acceso datos y/o a visualización a imágenes de carácter personal.” “Adjuntamos los dos documentos de correo electrónico de respuesta, de los cuales copiamos parte en el presente documento. El primero informándole que se requiere una solicitud firmada fehacientemente ya que ésta se recibió desde un correo electrónico desconocido. El segundo acusando recibo e informando del bloqueo de los datos.” TERCERO: En el tramite de traslado, el servicio de traslados indica: “Se comprueba “12/4/21 compruebo FACEBOOK que ya no figura publicado el vídeo.” CUARTO: Además, ante la falta de respuesta por la reclamada al reclamante, se le remite escrito de 12/04/2021 instando que aporte copia de la comunicación que le haya dirigido al reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 Con fecha 25/04/2021 “Se responde al reclamante en el mismo sentido que a la AEPD.”, llevando el escrito fecha de firma 23/04/2021. QUINTO: Con fecha 11/06/2021, la Directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR a A.A.A., con NIF ***NIF.1, por la presunta infracción del artículo 6.1 del RGPD, de conformidad con el artículo 83.5.
  4. a)del RGPD.” “a los efectos previstos en el art. 64.2
  5. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, (en lo sucesivo, LPACAP), la sanción que pudiera corresponder sería de 60.000 euros, sin perjuicio de lo que resulte de la instrucción.” SEXTO: Con fecha 17/06/2021, se recibe escrito del reclamante en el que indica que renuncia a su denuncia, “en virtud de lo establecido en el artículo 94 y siguientes de la LPCAP, solicitando el archivo de la misma”. SÉPTIMO: Con fecha 8/07/2021, la reclamada efectuar alegaciones, manifestando: 1) Solicita que se declare concluso el procedimiento porque el reclamante ha presentado renuncia. “Ello evidencia que el tratamiento de sus datos fue lícito y expresamente consentido”, y tal como consta en el propio acuerdo de inicio, no existen terceros perjudicados al margen del propio reclamante. 1) No se ha dado trámite de audiencia, vista del expediente. Se le ha generado situación de indefensión, al no haber podido ver o analizar y comprobar el contenido de la documentación y de los vídeos aportados por el reclamante. El derecho a la vista del expediente se desprende de la lectura del propio artículo 82.1 de la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), cuando señala que instruidos los procedimientos se pondrán de manifiesto a los interesados. 2) Desproporcionalidad de la sanción, considerando las circunstancias concurrentes. El reclamante fue atendido el 14 de febrero, fuera del horario comercial, lo que explica el visionado del video con fines formativos para el personal de la clínica. Ella es titular autónoma de la actividad de una pequeña clínica, con dos empleados. Acompaña copia de la declaración del IRPF del año 2020, en la que figuran “ingresos de explotación” 187.349, 29 euros , y total gastos deducibles 157.991,11, con suma de rendimientos netos reducidos 29.359,18, que es la base imponible general. Acompaña: -Copia de respuesta informativa de la AEPD al reclamante, de 19/02/2021 sobre “ si es posible retirar una denuncia presentada el 4/12/2020”, indicando que ese acto no era para retirarla sino para consultar. La respuesta cita el artículo 94 de la LPCAP. A dicha fecha, el acuerdo de inicio no había sido firmado, presentando escrito de renuncia unos días después de dictarse el acuerdo de inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 -El resto de los documentos que aporta ya los había aportado antes: (documento seguridad: en el que figura el tratamiento de datos de “CLIENTES / EXPEDIENTES-Categorías de datos: NIF/DNI, Nº SS/Mutua, Nombre y apellidos, Dirección, Teléfono, Firma, Imagen/Voz, Dirección de correo electrónico, Características personales, Circunstancias sociales, Datos relativos a la salud, Datos genéticos, Datos biométricos, nivel de seguridad muy alto”. OCTAVO: De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS 1) El reclamante contrató con la reclamada la prestación de un servicio de estética de tratamiento Láser &IPL ELLIPSE el 4/12/2019, iniciando el tratamiento ese mismo día. 1) El reclamante reclama contra la reclamada porque se grabaron sus imágenes en video y se difundieron en una pantalla de la clínica y en FACEBOOK, sin contar con su consentimiento para esos tratamientos. Aportó “con el fin de acreditarlo” en su reclamación que formula el 4/12/2020, dos videos que grabó con su móvil. 2) En el primer video, de 1 minuto 19 segundos de duración, comenzando en el segundo 19, se ve proyectado en una pantalla en el interior de un local, el logo de la clínica y las palabras Dra. A.A.A. Medicina estética, y “láser IPL ELIPSE”. Manifestó el reclamante que el video lo había visto en la segunda sesión que acudió, 10/01/2020, y añade que lo volvió a ver “días mas tarde”. Según manifestó la reclamada y así se infiere de sus notas, la siguiente vez que acudió fue el 14/02/2020. El video comienza desde una toma mas lejana y se aproxima a la cara del paciente que aparece con unos protectores en los ojos, mientras aplica el laser en la cara, apareciendo en la imagen “MEJORA:-Rojeces -CuperosisRosácea. Financiamos 100% tu tratamiento”, luego se le quitan los protectores de los ojos, 1,16, finalizando en el 1,19. El reclamante declara que pidió la supresión de ese video, aunque no aporta acreditación de ello, ignorándose si se suprimió a partir de la misma, aunque en la petición de indemnización que hace el reclamante a la reclamada por ese video exclusivamente, el 10/11/2020, (hecho 6), solo cuenta como permanencia del mismo, hasta 10/01/2020 3) Se acredita que la reclamada dio respuesta al ejercicio del derecho de supresión del reclamante, con envío de correo electrónico de 6/07/2020, que va precedido de otro explicativo del deber de conservar los datos de la historia clínica. No se acredita que en la petición de supresión se hiciera expresa mención al video, no constando tampoco en la respuesta. 4) En el otro video, de 35 segundos de duración, es una reducción del anterior, aparece expuesto en una página FACEBOOK de la reclamada. En la parte superior e inferior figura el nombre de la doctora y las fechas de 11/12/2019 y 5/12/2019. Se visiona la fecha en que es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 vista la reproducción en el ordenador, 20/11/2020, pestaña visible (parte superior derecha). El video en su contenido es el mismo que el anterior, no comenzando desde el principio del otro, sino ya empezado, puede leerse en pantalla: “Financiamos 100% tu tratamiento” con una línea telefónica que se corresponde a la que figura como contacto en la página de FACEBOOK. 5) Figura en el expediente copia de escrito de petición de indemnización por el primer video a la reclamante, de 10/11/2020, dirigido a la reclamada por burofax y entregado el mismo día. En el, informa que cuando el reclamante acudió a la clínica, el 10/01/2020, en una de las pantallas, figuraba un video en el que era reconocible. Manifiesta que lo grabó con el móvil y que lo comunicó a la responsable exigiendo su retirada. Añade a tal fecha: “En función de que si la primera sesión se realizó el 4/12/2019 y se vio la grabación el 10/01/2020, pudo estar desde el día siguiente hasta el mismo día 10, y considera en base a esos 32 días en pantalla, se le debería una indemnización de €4800 euros, por “ utilizar dicho video sin el consentimiento “. No se acredita que tras la fecha hasta la que considera pudo haber estado expuesto por el reclamante, continuara. No se alude a la continuación de la exposición del video en ningún escrito posterior. Sin embargo, con fecha 20/11/2020, el reclamante añade a esa demanda, a través de correo electrónico que “la misma grabación aparece en la red social de la reclamada”, a día de hoy, y pide “supresión de todos los videos”. Se acredita que el video en FACEBOOK es una versión acortada del primero. En la fase del traslado de la reclamación se verifica que el video en FACEBOOK no aparecía, pero ya incluso en el momento de la reclamación, el reclamante indica que “a los pocos días fue retirado”. 6) Ni en el contrato o clausulado que aportó el reclamante: folios 6 y 7 “SWT y Láser “ CONSENTIMIENTO INFORMADO SWT”, tratamiento de luz pulsada intensa con equipo ELLIPSE de 4/12/2019, ni el aportado por la reclamada, titulado “AUTORIZACIÓN PARA EL TRATAMIENTO DE DATOS DE CARÁCTER PERSONAL" de 28/11/2019, se contiene consentimiento valido para la exposición o difusión de los datos a través de imagen en video del tratamiento medico realizado al reclamante, sea en la clínica de la reclamada, sea en su página de FACEBOOK. En el primero, ambos folios llevan el logo de “ELLIPSE”. En este caso, la información es que “los datos se incorporan a un fichero titularidad de ELLIPSE SPAIN SL” y su dirección “para realizar todas las gestiones necesarias para el mantenimiento de nuestra relación comercial”, informando de los derechos a ejercitar. “La empresa forma parte del Grupo Ellipse, al cual podrían ser cedidos mis datos” aunque conste como Doctora la firma de la reclamante a 4/12/2019. En un literal figura: “Autorizo a que se me practiquen fotografías de la zona tratada para que puedan ser utilizadas con fines documentales, de formación y comerciales de la clínica”. En esta ocasión no figura posibilidad de si no autoriza. En el segundo, figura identificada como responsable del tratamiento la reclamada, dentro del apartado de FINALIDAD DE SUS DATOS “las imágenes realizadas con su consentimiento pueden ser utilizadas con fines científicos, docentes médicos, quedando entendido que su uso no constituye ninguna violación a la intimidad o confidencialidad a las que tenga derecho.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 En otro apartado, dentro de DERECHOS, indica: “por el presente documento da consentimiento a” la reclamada “a captar imágenes, ya sea a través de cámaras o videocámaras, en que el afectado resulte claramente identificable. El ejercicio de la captación de las imágenes o vídeos por parte de” la reclamada ”u otra empresa delegada estará limitado al conjunto de actividades desarrolladas dentro del ámbito de su actividad profesional. “ “Le informamos que sus datos serán incorporados en tratamiento del titular y la reclamada.” Aparece marcado a mano con una equis, el apartado de que “si autoriza la realización imágenes fines científicos, docentes o médicos”. FUNDAMENTOS DE DERECHO I La renuncia del reclamante se regula en LPACAP, artículo 94, que indica: ”Desistimiento y renuncia por los interesados “ “1. Todo interesado podrá desistir de su solicitud o, cuando ello no esté prohibido por el ordenamiento jurídico, renunciar a sus derechos. […]” 4. La Administración aceptará de plano el desistimiento o la renuncia, y declarará concluso el procedimiento salvo que, habiéndose personado en el mismo terceros interesados, instasen éstos su continuación en el plazo de diez días desde que fueron notificados del desistimiento o renuncia. 5. Si la cuestión suscitada por la incoación del procedimiento entrañase interés general o fuera conveniente sustanciarla para su definición y esclarecimiento, la Administración podrá limitar los efectos del desistimiento o la renuncia al interesado y seguirá el procedimiento.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 En este caso, el procedimiento no se inicia por la denuncia o reclamación del reclamante, sino por acuerdo del órgano competente, de oficio (art 54 y 58 LPCAP). El artículo 63 de la LPACAP determina que los procedimientos sancionadores se iniciaran siempre de oficio. Por tanto no se trata de una solicitud. Además, el artículo 62.5 de la LPCAP indica que:“ La presentación de una denuncia no confiere, por sí sola, la condición de interesado en el procedimiento”. Por todo ello, el procedimiento ha de continuar. Por otro lado, el desistimiento, una vez iniciado y comunicado el acuerdo de inicio, no significa como alega la reclamada, que se ajuste a la normativa. En este caso se analizan los tratamientos de datos, particularmente la toma y exposición de imágenes del reclamante recibiendo un tratamiento en dos canales distintos de exposición distintos, en base a las clausulas de recogida, uso de datos e información aportados y analizados y que figuran en el expediente. La base del tratamiento del consentimiento y el objeto sobre el que recaen no cubre como se expondrá a continuación dichos tratamientos con independencia de que se haya cursado ese desistimiento. La imputación por tanto ha de continuar su tramitación. II En cuanto a la manifestación de la reclamada de que no se ha tenido acceso a ver los videos u otra documentación, ello obedece a que no ha sido solicitada la copia del expediente, pese a lo cual hizo alegaciones. Con su escrito, también en fecha 14/01/2022 resultó entregada la copia del expediente a la reclamada, por si considera conveniente a su derecho alegar alguna cuestión adicional. También señala que no se ha dado tramite de audiencia y se le provoca indefensión. Indica el artículo 82 de la LPACAP que, instruidos los procedimientos administrativos e inmediatamente antes de redactarse la propuesta de resolución, se pone de manifiesto a los interesados, que en un plazo no inferior a diez días ni superior a quince, pueden alegar y presentar los documentos que estimen oportunos. La LPACAP, en el apartado 4 del artículo 82 , establece que se podrá prescindir del trámite de audiencia cuando no figuren en el procedimiento ni sean tenidos en cuenta en la resolución otros hechos ni otras alegaciones y pruebas que las aducidas por el interesado. En el presente caso, solo se imputa lo contenido en el acuerdo de inicio en base a la documentación e indicios que en el mismo se contienen, sin que tras el mismo se haya practicado actuación alguna, y la reclamada alegó y tuvo la oportunidad de proponer las pruebas oportunas le hubieran convenido, sin que se aprecie vulneración de su derecho a la defensa ni indefensión. III Se imputa a la reclamada una infracción del artículo 6.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); con base a que no ha aportado base legitimadora que resulte licita para el tratamiento singularizado de la toma de imágenes del reclamante y su exposición en dos canales diferenciados, la propia clínica y en FACEBOOK. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 Recapitulando, de las clausulas firmadas, finalidad del tratamiento y uso del dato: imagen que hace identificable y reconocible al reclamante, y la distinción entre captar y difundir o exponer, que además en este caso aparecen juntas en su resultado, se aprecia:
  6. a)El reclamante en ninguna de las clausulas autoriza la recogida de imágenes grabadas en video de la intervención médica con fines de proyectarse luego, ni con fines de publicidad o comerciales en la sala de consulta.
  7. a)El reclamante en ninguna de ellas autoriza la recogida de imágenes grabadas en video de la intervención médica con fines de publicidad comercial en la red social FACEBOOK de la reclamada, acreditándose que existe un video en dicha página que remite en cuanto a su existencia, a la fecha de 20/11/2020.
  8. b)Con independencia del derecho de supresión ejercitado frente a la reclamada, se acredita que no se atiende el derecho, como mínimo en la red social FACEBOOK, donde seguiría expuesto, posiblemente por olvidar que también debía haberse suprimido.
  9. c)De acuerdo con la clausula aportada, la reclamada es la única que prevé de algún modo la referencia especifica al soporte video, que es una vía y soporte de recogida y reproducción distinta y especifica a la de las fotografías. Hay que recordar que sobre el video, indicaba en el documento de 28/11/2019”AUTORIZACIÓN PARA EL TRATAMIENTO DE DATOS DE CARÁCTER PERSONAL": - Dentro del apartado de FINALIDAD DE SUS DATOS “las imágenes realizadas con su consentimiento pueden ser utilizadas con fines científicos, docentes médicos, quedando entendido que su uso no constituye ninguna violación a la intimidad o confidencialidad a las que tenga derecho.” Ello constituye una declaración unilateral, pues todo uso de imágenes se ha de ajustar a unas condiciones y que no puede ser un uso generalizado, inespecífico, siendo claro que su uso si constituye una revelación de datos íntimos, debiendo contenerse la opción contraria de no consentir, sin producirse consecuencias negativas en el servicio. Además, en este caso no consta que se dieran esos fines, al menos exclusivamente, al figurar ofertas anunciadas con los videos. -En otro apartado, DERECHOS: “por el presente documento da consentimiento a” la reclamada “a captar imágenes, ya sea a través de cámaras o videocámaras, en que el afectado resulte claramente identificable. El ejercicio de la captación de las imágenes o vídeos por parte de” la reclamada ”u otra empresa delegada estará limitado al conjunto de actividades desarrolladas dentro del ámbito de su actividad profesional. “ Nada se indica de la confusa redacción sobre exposición de las imágenes. Aparece marcado el apartado de que “si autoriza la realización imágenes fines científicos, docentes o médicos”. La redacción de la clausula informativa, además de entremezclarse con las propias de la historia clínica y ser distinta de esta, por lo que se debería haber diferenciado, es determinante y clara, en cuanto a que no autoriza difusión alguna, tan solo habla del ejercicio de captación de videos, pero no concreta ni detalla que se puedan exponer en lugar alguno, y mucho menos en la sala de la consulta, a efectos de publicidad, o a través de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 FACEBOOK. Se para en los límites de la captación y no explicita los concretos fines que posibilitarían las citadas exposiciones. No debe olvidarse que el consentimiento define en el artículo 4.11 del RGPD, que señala: “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. Por ello, se considera que al reclamada ha infringido el artículo 6.1 del RGPD que indica: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  10. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  11. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  12. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  13. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  14. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  15. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  16. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. El artículo 6, apartado 1, letra a), confirma que el consentimiento del interesado para el tratamiento de sus datos debe darse “para uno o varios fines específicos” y que un interesado puede elegir con respecto a cada uno de dichos fines. En este caso se trataba de datos sobre una intervención de salud, captados en video y expuestos a través de dos canales, acreditándose que se contenía un fin especifico de exposición de esos datos ni el consentimiento para ello se considera valido. En cuanto a las dos canales y emisiones distintas del video hay que aclarar: El video de la clínica lo ve el reclamante y lo graba en su móvil. Lo característico del mismo es su emisión, sin habilitación en el pretendido consentimiento ni en ninguna otra causa del artículo 6.1 del RGPD. También es indiferente que lo vea una persona o varias, que haya solo una pantalla o varias, el caso es que se expuso al público. Cuando acude el 10/01/2020 es cuando lo pone de manifiesto el reclamante, si bien manifiesta que solicita la supresión sin que figure escrito alguno de su petición, y el 6/07/2020, la reclamada responde al ejercicio del derecho de supresión, si bien se revela que el mismo video en versión mas reducida se puede ver en la página de FACEBOOK de la reclamante al menos el 20/11/2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 IV El artículo 58.2 del RGPD indica: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: “
  17. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. “
  18. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” La imposición de la medida referida en
  19. d)es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. V El artículo 83.5.
  20. a)del RGPD indica: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: “ los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” A efectos del cómputo de la prescripción, la LOPDGDD señala en su artículo 72: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  21. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679” VI La determinación de la sanción que procede imponer en el presente caso exige observar las previsiones de los artículos 83.1) y .2) del RGPD, preceptos que, respectivamente, disponen lo siguiente: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18 los apartados 4, 5 y 6 sean en cada caso individual, efectivas, proporcionadas y disuasorias.” “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  22. a)a
  23. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  24. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  25. b)la intencionalidad o negligencia en la infracción;
  26. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  27. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  28. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  29. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  30. g)las categorías de los datos de carácter personal afectados por la infracción;
  31. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  32. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  33. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  34. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado “Sanciones y medidas correctivas”: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  35. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18
  36. a)El carácter continuado de la infracción.
  37. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  38. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  39. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  40. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  41. f)La afectación a los derechos de los menores.
  42. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  43. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado. 3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679.” De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción tipificada en el artículo 83.5.
  44. a)del RGPD, de la que se responsabiliza a la reclamada, se estiman concurrentes en calidad de agravantes los siguientes factores que revelan una mayor antijuridicidad y/o culpabilidad en la conducta del reclamado: - artículo 83.2.a):“la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido” tratándose de dos videos con imágenes del reclamante expuestos, uno en la clínica, el otro en FACEBOOK, red social, ambos publicitando su tratamiento (83.2.a). Como atenuante, que contribuyen a reducir la culpabilidad, se ha de considerar: - artículo 83.2.
  45. c)“ cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados”. Del segundo video se dejaron de tener noticias al poco tiempo de presentar el reclamante su escrito de 20/11/2020, el mismo manifiesta que se quitó a los pocos días. Del primero, no se acredita, con la documentación del expediente, y las manifestaciones del reclamado, que figurase expuesto mas allá de las fechas que baraja en su petición de indemnización del reclamante de 10/11/2020. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 A la vista de lo expuesto se considera adecuada una sanción de 7.000 euros por la infracción imputada. PROPUESTA DE RESOLUCIÓN Que por la Directora de la Agencia Española de Protección de Datos se sancione a A.A.A., con NIF ***NIF.1, por una infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5
  46. a)del RGPD, y 72.1.
  47. b)de la LOPDGDD, con una multa de 7.000 euros. Asimismo, de conformidad con lo establecido en el artículo 85.2 de la LPACAP, se le informa de que podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de la misma. Con la aplicación de esta reducción, la sanción quedaría establecida en 5.600 euros, y su pago implicará la terminación del procedimiento. La efectividad de esta reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de la cantidad especificada anteriormente, de acuerdo con lo previsto en el artículo 85.2 citado, deberá hacerla efectiva mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa, por pago voluntario, de reducción del importe de la sanción. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para proceder a cerrar el expediente. En su virtud se le notifica cuanto antecede, y se le pone de manifiesto el procedimiento a fin de que en el plazo de DIEZ DÍAS pueda alegar cuanto considere en su defensa y presentar los documentos e informaciones que considere pertinentes, de acuerdo con el artículo 89.2 de la LPACAP). 926-231221 R.R.R. INSPECTOR/INSTRUCTOR >> SEGUNDO: En fecha 26 de febrero de 2022, la parte reclamada ha procedido al pago de la sanción en la cuantía de 5600 euros haciendo uso de la reducción prevista en la propuesta de resolución transcrita anteriormente. TERCERO: El pago realizado conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción, en relación con los hechos a los que se refiere la propuesta de resolución. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00199/2021, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  48. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 968-240122 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.