1/18 Expediente N.º: EXP202202641 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO: En fecha 26/01/2022 tiene entrada en la Agencia Española de Protección de Datos (AEPD), remitida por la Autoridad Catalana de Protección de Datos, la reclamación formulada por A.A.A. (en adelante, la parte reclamante). La reclamación se dirige contra B.B.B., con NIF ***NIF.1 (en adelante, la parte reclamada). Los motivos en los que basa su reclamación son los siguientes: La parte reclamada ha utilizado su imagen, sin su consentimiento ni conocimiento, para publicitar en redes sociales los servicios que presta. Añade que, con ocasión del tratamiento estético que recibió en el centro del que la reclamada es titular, se grabó su imagen y posteriormente se difundió en redes sociales. La parte reclamante afirma que su imagen se difundió en estas páginas web:
- En Instagram, en el perfil “***PERFIL.1”: 1.
- ***URL.1 1.
- ***URL.2
- En “las stories de 24 horas publicadas en el mismo perfil” de Instagram, ***PERFIL.
- La reclamante declara que la parte reclamada difundió su imagen entre los días 22 a 26 de noviembre, si bien a las veinticuatro horas la imagen desapareció. 3.En el canal de YouTube de la reclamada, “***CANAL.1”. La reclamante manifiesta que su imagen se difundió en estos tres videos: 3.
- “Bienvenidos al canal de YouTube de ***CANAL.1: ***URL.
- 3.
- “Tratamiento de las Ojeras y bolsas en los ojos: ***URL.
- 3.
- “Tratamiento de labios con ácido hialurónico: ***URL.
- La reclamante ha explicado que se sometió a un tratamiento de estética en un establecimiento de la parte reclamada y que las imágenes difundidas fueron grabadas con ocasión de ese tratamiento. Que desconocía que estaba siendo grabada y que tampoco se le informó posteriormente de la grabación efectuada. Que nunca ha dado su consentimiento a la reclamada, ni a nadie, para que su imagen sea utilizada como lo ha sido: en páginas web para hacer publicidad de los servicios de estética que presta la reclamada. Que tuvo noticia de los hechos cuando accedió a las redes sociales de las que ha aportado imágenes y que ignora si la reclamada actúa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 directamente o a través de una persona jurídica, como una sociedad mercantil, en cuyo caso solicita que se amplíe su denuncia a tal persona jurídica. Anexa a su reclamación cinco capturas de pantalla con su imagen que fueron obtenidas de la publicidad de XXXXXXXXXX en las redes sociales anteriormente citadas. En tres de las capturas de pantalla puede verse el rostro de la reclamante mientras recibe un tratamiento de estética. En las dos restantes se ve a la reclamante sentada en las dependencias del establecimiento de XXXXXXXXXX. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de la reclamación a la parte reclamada para que procediese a su análisis e informase a esta Agencia, en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado de la reclamación se efectuó por medios electrónicos. En fecha 10/03/2022 se puso a disposición de la reclamada quien aceptó la comunicación el mismo día. Así consta en el certificado emitido por el Servicio de Dirección Electrónica Habilitada Única (DEHÚ). Cabe indicar que, si bien las personas físicas no están obligadas a relacionarse electrónicamente con la Administración (artículo 14 LPACAP), el artículo 42 del Real Decreto 203/2021 dispone: “2.Con independencia de que un interesado no esté obligado a relacionarse electrónicamente con las Administraciones Públicas o de que no haya comunicado que se le practiquen notificaciones por medios electrónicos, su comparecencia voluntaria o la de su representante en la sede electrónica o sede asociada de una Administración, organismo público o entidad de derecho público vinculado o dependiente o a través de la Dirección Electrónica Habilitada única, y el posterior acceso al contenido de la notificación o el rechazo expreso de esta tendrá plenos efectos jurídicos.” La parte reclamada no respondió al traslado informativo. TERCERO: En fecha 26/04/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. La admisión fue notificada a la reclamante por correo postal que consta recibido el 11/05/
- CUARTO: Acuerdo de inicio del procedimiento sancionador. En fecha 12/09/2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada por una presunta infracción del artículo 6.
- del RGPD, tipificada en el artículo 83.5.a) del RGPD. QUINTO: Notificación del acuerdo de inicio. El cuerdo de apertura se notificó a la parte reclamada conforme a las disposiciones de la LPACAP. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 Obra en el expediente el certificado emitido por el servicio de DEHÚ en el que consta que la reclamada aceptó la notificación en fecha 08/10/
- SEXTO: Alegaciones al acuerdo de inicio. En fecha 03/10/2022 la parte reclamada presenta sus alegaciones al acuerdo de apertura en las que manifiesta: -Que ella es un “médico que ejerce su labor en el centro médico ***CANAL.1.” -Que reconoce haber realizado a la reclamante varios tratamientos en el centro estético. -Respecto a la grabación de la imagen de la reclamante dice que “[...] ella misma se prestó a grabarse y que se tomaran imágenes.” Y añade: “Es más, las grabaciones se hicieron con un móvil en las que no se escondía nada con lo cual no puede aludir a que no estaba siendo conocedora pues eso es imposible. Puedo aportar varias grabaciones en las que se ve mirar a la cámara y bromear con el hecho de que estaba siendo grabada. Todos los pacientes, no sólo ella, dan el consentimiento para el uso de su imagen tanto para el seguimiento de sus tratamientos como el uso en las redes sociales y publicidad. Esto es algo común en el ámbito de la medicina estética como supongo que ya sabrán. Se realiza a todos los pacientes. Todos lo firman la primera vez que acuden al centro y ella también lo firmó, es verdad que sólo lo firman una vez, es un consentimiento genérico y quizás A.A.A. no lo recuerda.” -Sobre la difusión de las imágenes en redes sociales indica: “El día en que se me informó de este procedimiento [...], se procedió a la retirada de todas las imágenes incluso teniendo el consentimiento en señal de buena fe pues no es de mi interés molestar a ninguna de mis pacientes. Es por esto que di por cerrado el caso. Las imágenes de 24 horas ya habían desaparecido y las otras dos se retiraron ese mismo día.” -Sobre la responsabilidad del tratamiento manifiesta: “En cuanto a los datos, aunque yo hice los tratamientos es la empresa responsable del centro la que tiene todos los derechos y la propietaria de las redes sociales. La empresa es Neos Youth Partner, y es la que aparecerá en la documentación de los datos. Tiene registrado el nombre de ***CANAL.1 por eso lo puede usar.” (El subrayado es nuestro) Anexa a sus alegaciones un documento que, en su opinión, recoge el “consentimiento” de la reclamante para el tratamiento de su imagen que es objeto de la presente reclamación. El documento lleva en el encabezado “***CANAL.1” y el nombre de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 NEOS YOUTH PARTNER, S.L.U., con CIF B-
- A la izquierda, el nombre y el primer apellido de la parte reclamante y la indicación “Documentos: ***NIF.1”, que es el NIF de la reclamante. Al final del documento figura la fecha: 28/06/
- Se reproducen las estipulaciones del documento que guardan relación con el derecho a la protección de datos de carácter personal. El primer párrafo del documento dice que la persona indicada -identificada por el nombre, primer apellido y NIF de la reclamante- conoce que la sociedad NEOS YOUTH PARTNER tratará los datos personales facilitados en el presente formulario, inclusive los relativos a su salud, con estas finalidades: “
(1)prestarle los servicios medico estéticos solicitados siendo la base legal para este tratamiento la relación contractual establecida y
(2)remitirle la newsletter y comunicaciones comerciales de productos propios en base a su interés legítimo salvo que se oponga a través de la correspondiente casilla.” (El subrayado es nuestro) No consta en el documento aportado ninguna casilla, ni marcada ni sin marcar, con esa u otra finalidad. El párrafo segundo indica: “Además, para la prestación de algunos de nuestros servicios médico estéticos, conviene que el personal del centro tome fotografías de las zonas afectadas que acrediten su estado y evolución. En este sentido, necesitamos que nos preste su consentimiento expreso mediante la marcación de la siguiente casilla para el tratamiento de su imagen, con el objeto de realizar un mejor seguimiento del tratamiento recibido. En cualquier caso, usted podrá revocar en cualquier momento el consentimiento prestado, y la no prestación del mismo no impedirá la contratación del servicio.” (El subrayado es nuestro) No consta en el documento aportado ninguna casilla, ni marcada ni sin marcar, con esa u otra finalidad. Los párrafos tercero a sexto dicen, respectivamente, lo siguiente: “Consiento el tratamiento de imagen con la finalidad de garantizar el mejor seguimiento del tratamiento que voy a recibir y el tratamiento de mis datos para el envío de comunicaciones.” “Sus datos no serán cedidos a terceros, y podrán tener acceso a los mismos nuestros prestadores de servicios tecnológicos, de call center, de asesoría y nuestro servicio médico.” “En caso de que no se oponga al tratamiento de sus datos para el envío de comunicaciones comerciales, sus datos serán alojados en servidores situados dentro del Espacio Económico Europeo, para cuya seguridad hemos habilitado las garantías necesarias. Tiene derecho a acceder, rectificar, suprimir sus datos y a oponerse al tratamiento de los mismos, así como otros derechos, como se explica en la Política de privacidad que puede encontrar en el reverso de este documento, así como a ponerse en contacto con nuestro Delegado de Protección de Datos en la dirección arriba referida o enviando un correo electrónico a la dirección info@XXXXXXXXXX.com.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 (El subrayado es nuestro) No se ha aportado el reverso del documento que supuestamente incluía la Política de privacidad. “Toda la información recabada es imprescindible para prestarle nuestros servicios médico estéticos y mantenerle informado/a sobre nuestros tratamientos.” Los siguientes diez párrafos del documento aportado con las alegaciones al acuerdo de inicio están relacionados con la intervención médica. Tras esos diez párrafos, el siguiente, penúltimo del escrito, dice así: “AUTORIZO la realización de fotografías en la zona a tratar al objeto de que se pueda llevar a cabo un adecuado seguimiento del tratamiento y podrán usarse en las redes sociales. Las mismas no podrán ser cedidas a terceros. Los datos se conservarán en formato digital y mientras no solicite su supresión. Retirado el consentimiento a través de la correspondiente solicitud, los datos se suprimirán con las medidas de seguridad adecuadas, procediendo a la destrucción total de los mismos.” (El subrayado es nuestro) El documento termina diciendo: “Se me ha informado, igualmente, de mi derecho a rechazar el tratamiento o revocar este consentimiento. He podido aclarar todas mis dudas acerca de todo lo anteriormente expuesto y he entendido totalmente este DOCUMENTO DE CONSENTIMIENTO reafirmándome en todas y cada uno de sus puntos y con la firma del documento ratifico y consiento que el tratamiento se realice.” En el apartado “Firma del paciente” aparece el fragmento de una rúbrica. SÉPTIMO: Apertura de la fase de prueba. Pruebas practicadas. 1. Primera petición de prueba a la parte reclamada. En fecha 28/10/2022, de conformidad con el artículo 77 de la LPACAP, se acuerda abrir una fase de prueba y practicar las siguientes actuaciones probatorias: 1.1. Dar por reproducidas la reclamación formulada y sus documentos anexos; los documentos generados y obtenidos por la Subdirección de Inspección de la AEPD durante el traslado informativo, previo a la admisión a trámite de la reclamación, así como las alegaciones presentadas por la parte reclamada frente al acuerdo de apertura y sus documentos anexos. Incorporar al expediente las capturas de pantalla obtenidas del Registro Mercantil (R.M.) con información relativa a la sociedad NEOS YOUTH PARTNER, S.L.U. 1.2. Solicitar a la parte reclamada que acredite documentalmente la identidad de las personas físicas o jurídicas que, en el mes de noviembre de 2021, eran las titulares de las cuentas abiertas en las siguientes redes sociales: -En YouTube, de la cuenta “***PERFIL.1”. -En INSTAGRAM, de la cuenta “***CANAL.1”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 Si desde la apertura de esas cuentas en la respectiva red social y hasta noviembre de 2021 se hubieran producido cambios en la titularidad de las cuentas de YouTube e Instagram, se solicita que acredite documentalmente qué persona/s físicas o jurídicas fue/ron titulares de cada una de ellas y durante qué periodo de tiempo. Se hizo constar en el escrito de apertura de la fase de prueba que el resultado de las pruebas podría dar lugar a la realización de otras. La apertura de la fase probatoria y la solicitud de pruebas se notificó electrónicamente a la parte reclamada el 28/10/2022. 1.3. En fecha 28/10/2022 se deja constancia, mediante diligencia, de la apertura de la fase de prueba en el procedimiento sancionador y de la incorporación al expediente de diversas capturas de pantalla obtenidas del R.M. con información de la sociedad NEOS YOUTH PARTNER, S.L.U., con NIF B 67488734. La sociedad dio comienzo a sus operaciones el 02/08/2019 y fue inscrita en el R.M. el 29/08/2019. En las capturas de pantalla recabadas consta el domicilio social de la mercantil, su objeto social y, entre otros acuerdos sociales, el adoptado el 01/03/2022 mediante el que se revoca el nombramiento de los administradores solidarios, se nombra administradora única a la actual parte reclamada y se declara la unipersonalidad de la sociedad. 1.4. Mediante diligencia firmada el 31/10/2022 se incorporan al expediente administrativo, a efectos de prueba, las capturas de pantalla obtenidas en esa fecha desde la página web “XXXXXXXXXX.com” con la información de su Política de Privacidad. Transcribimos seguidamente el punto 1 de la Política de Privacidad que lleva por rúbrica “Responsable del tratamiento de datos”, que permite constatar que no se informaba en ella de la identidad del responsable: <<En cumplimiento del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante “RGPD”) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, le informamos que XXXXXXXXXX, sociedad domiciliada en Avinguda del Mar 2-6, local 3, Gavá Mar (Barcelona), y teléfono ***TELÉFONO.1 (en adelante, “XXXXXXXXXX” o la “Sociedad”) es la responsable del tratamiento de sus datos personales. En la presente política de privacidad se facilita información sobre el uso que realizará la Sociedad de sus datos personales en su condición de usuario de la web (la “Web”).>> 1.5 Mediante diligencia firmada el 31/10/2022 se incorporan al expediente administrativo, a efectos de prueba, las siguientes capturas de pantalla: -(
- i)Obtenidas de Instagram ***PERFIL.1 en fecha 28/02/2022 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 -(
- ii)Obtenidas de YouTube el 23/09/2021. En ella se ve un primer plano de la cara de la reclamante mientras se somete a un tratamiento de estética por personal de XXXXXXXXXX. -(iii) Obtenidas de Lindekin el 28/02/2022. OCTAVO: Respuesta de la parte reclamada a la primera solicitud de prueba. Segunda y tercera solicitudes de prueba dirigidas a la parte reclamada. 1. En fecha 03/11/2022 se recibe en la AEPD la respuesta de la reclamada a las pruebas que le fueron requeridas (primera petición de prueba) a través del escrito de fecha 28/10/2022, en él que, además, se le notificaba la apertura de la fase probatoria. La reclamada respondió: <<Con respecto al expediente, las redes sociales de YouTube e Instagram de XXXXXXXXXX pertenecen a la empresa NEOS YOUTH PARTNER. La paciente A.A.A. prestó su consentimiento para realizarse tratamientos, y ceder sus datos y su imagen. Sin embargo, lo retiramos igualmente hace meses cuando se notificó. Entendemos con esto que no hemos incumplido la ley de Protección de Datos en ningún momento. Es más, tenemos videos en los que la paciente sabe y participa de las grabaciones y da su consentimiento oral. No los puedo subir porque pesan mucho. Quedo a la espera de si necesita ampliar más información.>> (El subrayado es nuestro) 2. Segunda petición de prueba dirigida a la parte reclamada: A la vista de la respuesta de la reclamada, en fecha 08/11/2022 se le remite un segundo escrito de petición de prueba con el siguiente texto: “A efectos de poder acreditar que la reclamante prestó el consentimiento para que su imagen fuera difundida en redes sociales con la finalidad de publicitar los servicios de XXXXXXXXXX, se procede a practicar una nueva diligencia de prueba: 1. Se requiere a la parte reclamada, B.B.B., para que facilite a la AEPD una copia de los videos grabados que obran en su poder en los que, según tiene declarado, la parte reclamante consintió el tratamiento de sus datos personales, en particular su imagen, con la finalidad de que fueran publicadas en redes sociales. Habida cuenta de que el peso del video o videos es superior al que permite la presentación electrónica, deberá remitir a esta Agencia la documentación indicada -los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 videos mencionados- a través de correo postal, incorporándolos a un soporte físico (un CD grabado o un “pen drive”), exponiendo en su escrito que, por el motivo indicado, no es posible la presentación electrónica.” 3. Respuesta de la reclamada a la segunda solicitud de prueba (de fecha 10/11/2022). La respuesta que ofrece consiste en unos párrafos escritos en el formulario de “presentación en Oficina de Registro”, en la casilla destinada a “Información del Registro” “Resumen/Asunto”, en la que dice: <<En respuesta al expediente EXP2022022641 le envío un enlace de descarga de los videos en los que A.A.A. participa. Hay muchísimos así que envió una selección en los que se ve que es un video publicitario en la que ella participa sin opresión y consentimiento. Además como dije lo firmó en el consentimiento de la clínica. Este es el enlace para descargarlo. Me es más efectivo enviar el enlace en vez del pendrive que es más engorroso. ***ENLACE.1>>. (El subrayado es nuestro) En ese mismo formulario, en el apartado “Adjuntos”, con el nombre “procedimientoGenericoEntrada_11107727278035308667.xml.xsig”, se incluye este Hash: “(…). Los numerosos intentos de descargar los videos resultaron infructuosos. Al acceder desde el “link” aparece un mensaje en inglés: << Yikes, that page can´t be found. Head back to wetransfer.com or cheer up your eyes with some nice things we wrote.>>. (Vaya, esa página no se puede encontrar. Regrese a wetransfer.com o anime sus ojos con algunas cosas bonitas que escribimos). 4. Tercera solicitud de prueba dirigida a la parte reclamada: En escrito de fecha 18/11/2022, notificado electrónicamente y aceptado por la reclamada el mismo día, se le reitera la solicitud para que remita a la AEPD una copia de los videos que, según dijo, obraban en su poder y respecto de los cuales manifestó que acreditaban que la parte reclamante había consentido el tratamiento de sus datos personales concretado en la publicación de su imagen en redes sociales relacionadas con los servicios de XXXXXXXXXX. En este tercer escrito de prueba dirigido a la reclamada se le informa de que el Link que había proporcionado a la AEPD con su respuesta a la segunda solicitud de prueba “no remite a ningún video”. Asimismo, se le comunica lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18 <<“El enlace dirige únicamente a este mensaje: “Vaya, esa página no se puede encontrar. Regrese a wetransfer.com o anime sus ojos con algunas cosas bonitas que escribimos”. En consecuencia, mediante este tercer escrito de solicitud de prueba: (
- i)Se comunica a la parte reclamada que no ha facilitado los videos que le fueron requeridos. (
- ii)Se le requiere por segunda y última vez para que, a efectos de poder acreditar que -tal y como sostiene- la reclamante consintió que su imagen fuera difundida en redes sociales con la finalidad de publicitar los servicios de XXXXXXXXXX, proceda en el plazo improrrogable de 5 días (cinco días) a remitir a esta Agencia -ya sea a través de un soporte físico o ya sea mediante un enlace que efectivamente permita su descargala documentación a la que reiteradamente viene aludiendo.>> 5. Respuesta de la reclamada a la tercera solicitud de prueba: La reclamada respondió al tercer escrito de petición de prueba en fecha 21/11/2022 en estos términos: <<Respuesta para el EXP202202641 Adjunto nuevamente el Link de descarga de los videos. La validez del Link es limitada a 7 días desde hoy. Si quieren pueden darme un email para enviarlo. ***LINK.1 Es evidente que en 73 videos que aparece y creo que tengo más era absolutamente consciente de que estaba siendo grabada y estaba participando en un video. Gracias.>> 6. También en esta ocasión fueron infructuosos los intentos de descargar desde el link remitido los videos que la reclamada afirmó habernos facilitado. Mediante diligencia de fecha 23/11/2022 se incorpora al expediente administrativo una captura de pantalla con el resultado obtenido en esa fecha desde el enlace facilitado de contrario a fin de poder acceder a los videos. El intento de acceso se realizó, por tanto, dos días después de que la reclamada hubiera remitido el link desde el cual, supuestamente, era posible acceder a los videos, cumpliendo el plazo de siete días al que alude. La captura de pantalla incorporada al expediente recoge la imagen a la que se accede desde el enlace proporcionado: una pantalla con una espiral en el centro que lleva escrito en la esquina superior izquierda “Me” y en el centro inferior de la imagen esta leyenda: << Yikes, that page can´t be found. Head back to wetransfer.com or cheer up your eyes with some nice things we wrote.>> NOVENO: Resumen de los documentos aportados por la parte reclamada y de las pruebas practicadas. 1. Prueba documental aportada anexa a las alegaciones al acuerdo de apertura. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 La reclamada no acredita en ningún caso por medio del documento aportado que la reclamante hubiera consentido que se tomaran imágenes de ella durante el tratamiento estético ni que las imágenes se usaran en las redes sociales. Asimismo, en tanto no consta la firma de la reclamada en el documento, no se acredita que hubiera sido informada en los términos previstos en el artículo 13 del RGPD. El documento que la reclamada ha facilitado a la AEPD, del que dice que acredita el “consentimiento” de la reclamante para el tratamiento de su imagen, lleva en su encabezado NEOS YOUTH PARTNER, S.L.U., con CIF B-67488734 y el nombre y el primer apellido de la reclamante y su NIF. Al final del documento la fecha 28/06/2021. El documento no está firmado por la parte reclamante. Solo incluye EL “fragmento” de una rúbrica. En cuanto a las estipulaciones del documento aportado son dignas de mención las siguientes: En el primer párrafo dice que la persona identificada por el nombre, primer apellido y NIF de la reclamante conoce que la sociedad NEOS YOUTH PARTNER tratará los datos personales facilitados en el presente formulario, inclusive los relativos a su salud, con estas finalidades: “
(1)prestarle los servicios medico estéticos solicitados siendo la base legal para este tratamiento la relación contractual establecida y
(2)remitirle la newsletter y comunicaciones comerciales de productos propios en base a su interés legítimo salvo que se oponga a través de la correspondiente casilla.” (El subrayado es nuestro). Sin embargo, no hay en el documento aportado ninguna casilla, ni marcada ni sin marcar, con esa u otra finalidad. En el párrafo segundo el documento informa de la necesidad de hacer fotografías durante el tratamiento estético con una finalidad determinada: realizar un mejor seguimiento del tratamiento recibido. Dice así: “Además, para la prestación de algunos de nuestros servicios médico estéticos, conviene que el personal del centro tome fotografías de las zonas afectadas que acrediten su estado y evolución. En este sentido, necesitamos que nos preste su consentimiento expreso mediante la marcación de la siguiente casilla para el tratamiento de su imagen, con el objeto de realizar un mejor seguimiento del tratamiento recibido. En cualquier caso, usted podrá revocar en cualquier momento el consentimiento prestado, y la no prestación del mismo no impedirá la contratación del servicio.” (El subrayado es nuestro)Sin embargo, pese a indicar que se recaba el consentimiento mediante la marcación de una casilla, no consta en el documento ninguna casilla, ni marcada ni sin marcar, con esa u otra finalidad. En los párrafos siguientes se afirma taxativamente que se consiente el tratamiento de la imagen con la finalidad indicada, el mejor seguimiento del tratamiento: “Consiento el tratamiento de imagen con la finalidad de garantizar el mejor seguimiento del tratamiento que voy a recibir y el tratamiento de mis datos para el envío de comunicaciones.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18 El documento incluye una estipulación que dice que los datos no serán cedidos a terceros: “Sus datos no serán cedidos a terceros, y podrán tener acceso a los mismos nuestros prestadores de servicios tecnológicos, de call center, de asesoría y nuestro servicio médico.” En su penúltimo párrafo, el documento, además de volver sobre la autorización para fotografiar las zonas afectadas por la intervención estética con la finalidad de hacer un seguimiento adecuado, incluye sin solución de continuidad una autorización para que esas imágenes puedan usarse en redes sociales: “AUTORIZO la realización de fotografías en la zona a tratar al objeto de que se pueda llevar a cabo un adecuado seguimiento del tratamiento y podrán usarse en las redes sociales. Las mismas no podrán ser cedidas a terceros. Los datos se conservarán en formato digital y mientras no solicite su supresión. Retirado el consentimiento a través de la correspondiente solicitud, los datos se suprimirán con las medidas de seguridad adecuadas, procediendo a la destrucción total de los mismos.” (El subrayado es nuestro) En el último párrafo el documento consta: “Se me ha informado, igualmente, de mi derecho a rechazar el tratamiento o revocar este consentimiento. He podido aclarar todas mis dudas acerca de todo lo anteriormente expuesto y he entendido totalmente este DOCUMENTO DE CONSENTIMIENTO reafirmándome en todas y cada uno de sus puntos y con la firma del documento ratifico y consiento que el tratamiento se realice.” 2. Sobre la identidad del responsable del tratamiento. En el escrito de alegaciones la reclamada informó de la identidad de la sociedad responsable del tratamiento y titular de las cuentas de XXXXXXXXXX en las redes sociales YouTube e Instagram. Se trata de NEOS YOUTH PARTNER. En el R.M. figura inscrita desde el 29/08/2019 NEOS YOUTH PARTNER, S.L.U., con NIF B 67488734. 3.Como resultado de la fase de prueba. La reclamada manifestó que la parte reclamante había prestado el consentimiento para ceder sus datos y su imagen y añadió “tenemos videos en los que la paciente sabe y participa de las grabaciones y da su consentimiento oral. No los puedo subir porque pesan mucho.” La reclamada no ha aportado a esta Agencia ningún video en los que -según ha defendido- se acredita que la reclamante consiente el tratamiento y la cesión de su imagen. Tras haber alegado que no podía remitirlos a la AEPD electrónicamente porque pesaban demasiado, se le informó de que podía enviarlos a través del correo postal, incorporados a un soporte físico (CD o pendrive). Respondió (10/11/2022) facilitando un “Link” desde el que, según decía, era posible descargarlos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 Se le informó (18/11/2022) que no existía ningún video que pudiera descargarse desde ese Link y se le solicitó de nuevo la copia de los videos. La reclamada remitió en fecha 21/11/2022, de nuevo, un Link que, supuestamente, permitía al abrirlo acceder a los videos a los que alude advirtiendo que el Link estaría operativo solo 7 días. El 23/11/2023 se accede de nuevo al Link enviado obteniendo el mismo mensaje que informa, al abrirlo, que la página no se puede encontrar. DÉCIMO: Propuesta de resolución. La propuesta de resolución, que se firma en fecha 13/04/2023 y en la misma fecha se notifica electrónicamente y es aceptada por la reclamada, se formula en estos términos: <<Que, por la Directora de la Agencia Española de Protección de Datos, se acuerde el ARCHIVO del procedimiento sancionador PS/00228/2021 abierto a B.B.B., con NIF ***NIF.1, por una presunta infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
- a)del RGPD. Al no ser la persona contra quien se dirige el presente expediente sancionador la responsable del tratamiento, sino que lo es una persona jurídica -NEOS YOUTH PARTNER, S.L.U.- de la que ella es administradora única, aparece exenta de responsabilidad en relación con la infracción del RGPD que se le imputa.>> UNDÉCIMO: No se presentan alegaciones a la propuesta de resolución del PS/00228/2022. El plazo otorgado para hacer alegaciones a la propuesta de resolución finalizó el 27/04/2023. En fecha 04/05/2023 no consta en esta Agencia la recepción de alegaciones a la propuesta de resolución formuladas por la parte reclamada. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en él, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: La parte reclamante declara que B.B.B., a quien identifica como titular del centro de estética XXXXXXXXXX en el que ella se sometió a un tratamiento, grabó su imagen sin su consentimiento y, posteriormente, la difundió en redes sociales para hacer publicidad de los servicios que presta. Declara que su imagen fue publicada, en particular, en estas páginas de internet: 1.En Instagram, en el perfil “***PERFIL.1”: 1.1. ***URL.1 1.2. ***URL.2 2. En “las stories de 24 horas publicadas en el mismo perfil” de Instagram, ***PERFIL.1. La reclamante dice que la parte reclamada difundió su imagen entre los días 22 a 26 de noviembre, pero a las veinticuatro horas la imagen desapareció. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18 3.En el canal de YouTube “***CANAL.1”. La reclamante manifiesta que su imagen se difundió en estos tres videos: 3.1. “Bienvenidos al canal de YouTube de ***CANAL.1: ***URL.3”. 3.2. “Tratamiento de las Ojeras y bolsas en los ojos: ***URL.4”. 3.3. “Tratamiento de labios con ácido hialurónico: ***URL.5”. SEGUNDO: Obran en el expediente, aportadas por la parte reclamante, cinco capturas de pantalla de la publicidad de XXXXXXXXXX en las redes sociales anteriormente citadas, Instagram y YouTube. En tres de las imágenes captadas puede verse el rostro de la reclamante mientras recibe un tratamiento de estética. En las dos restantes se ve a la reclamante sentada en las dependencias del establecimiento. TERCERO: La parte reclamante niega haber dado su consentimiento para que su imagen fuera publicada como lo ha sido, en páginas web, con el fin de publicitar los servicios de estética que presta la reclamada. CUARTO: La reclamada ha manifestado en sus alegaciones al acuerdo de inicio que no es la titular del establecimiento con el nombre comercial XXXXXXXXXX ni de las cuentas abiertas en las redes sociales YouTube e Instagram. Afirma que la titular es la sociedad mercantil “NEOS YOUTH PARTNER”. En el Registro Mercantil consta inscrita desde el 29/08/2019 NEOS YOUTH PARTNER, S.L.U., con NIF B 67488734. Así, la reclamada dijo en su escrito de alegaciones: “En cuanto a los datos, aunque yo hice los tratamientos [estéticos] es la empresa responsable del centro la que tiene todos los derechos y la propietaria de las redes sociales. La empresa es Neos Youth Partner, y es la que aparecerá en la documentación de los datos. Tiene registrado el nombre de ***CANAL.1 por eso lo puede usar.” QUINTO: La reclamada ha reconocido en su escrito de alegaciones al acuerdo de inicio que se publicaron imágenes de la parte reclamante en las cuentas de XXXXXXXXXX en YouTube, Instagran y en Storys. SEXTO: La reclamada ha manifestado en su escrito de alegaciones al acuerdo de inicio que la parte reclamante consintió la grabación de los videos con su imagen y su cesión para la difusión en redes sociales. No ha acreditado tal manifestación. SÉPTIMO: La reclamada ha manifestado en su respuesta a las pruebas practicadas que tiene en su poder más de setenta videos en los que se acredita que la parte reclamante consiente la grabación de su imagen y la cesión para su difusión en redes sociales. La reclamada no ha acreditado la realidad de sus manifestaciones. La reclamada no llegó a aportar ninguno de los videos, pese a que se le requirió a tal fin en dos ocasiones durante el trámite de prueba. Justificó primero que no podía remitirlos electrónicamente por su peso. Cuando se le ofreció remitir por correo postal un soporte tipo CD o pendrive rechazó la opción y remitió un Link para la descarga. El Link facilitado no incluía ningún video. Fue informada convenientemente de esa C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18 circunstancia y remitió de nuevo un Link desde el que tampoco se accedía a ningún documento. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. El artículo 63.2 de la LOPDGDD determina que "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Identificación errónea del responsable del tratamiento. Principio de culpabilidad. 1.El artículo 64 de la Ley 39/2015, de 1 de octubre, del procedimiento administrativo común de las Administraciones Públicas (LPACAP), que concreta el contenido mínimo del acuerdo de inicio del procedimiento sancionador, indica que deberá incluir la “Identificación de la persona o personas presuntamente responsables.” En el acuerdo de inicio del procedimiento que nos ocupa se identificó a la persona física B.B.B. como responsable de un tratamiento de datos presuntamente contrario al RGPD concretado en la captación de la imagen de la reclamada y en su difusión en redes sociales a través de las cuentas de XXXXXXXXXX ilustrando la actividad de esa marca comercial. No obstante, en sus alegaciones al acuerdo de inicio la parte reclamada ha informado de la identidad del titular de la marca XXXXXXXXXX así como del establecimiento de estética con ese nombre y de las cuentas abiertas con el nombre de XXXXXXXXXX en Instagram y YouTube. Cabe indicar que no fue posible conocer antes de la apertura del expediente sancionador los datos identificativos de la persona jurídica titular de los centros de estética XXXXXXXXXX y de las cuentas de YouTube, “***CANAL.1”, e Instagram, “***PERFIL.1”. La política de privacidad de la página web asociada al nombre de XXXXXXXXXX no informaba de la identidad de la “sociedad” que se presentaba como responsable del tratamiento de datos personales: ni facilitaba su nombre, ni el NIF, ni el tipo societario C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18 ni ninguna característica que permitiera identificarla. Además, la búsqueda en el Registro Mercantil por el nombre de XXXXXXXXXX y otros parecidos tuvo un resultado negativo, pues no se encontró ninguna sociedad que incluyera en su denominación ese término u otros semejantes y tuviera como objeto social la actividad que se desarrolla en los establecimientos de XXXXXXXXXX. Se añade a lo anterior la circunstancia de que la reclamada no respondió al traslado informativo que le hizo la Subdirección de Inspección de Datos. De haber respondido podría haber aclarado en ese trámite la identidad del sujeto presuntamente infractor, como ha hecho posteriormente en el trámite de alegaciones al acuerdo de apertura de este procedimiento. Conviene recordar que en el acuerdo de inicio de este procedimiento sancionador se dijo en relación con esta cuestión, (Fundamento II) lo siguiente: <<El presente expediente sancionador se dirige frente a la persona física reclamada, B.B.B., como responsable del tratamiento de los datos personales de la reclamante que constituye su objeto. El artículo 4.7. del RGPD entiende por responsable del tratamiento “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros determine los fines y medios del tratamiento”. […] La información recabada acerca del titular de los centros XXXXXXXXXX, en uno de los cuales se grabaron las imágenes de la reclamante, nos lleva a concluir que quien determinó los fines y los medios del tratamiento fue la persona física reclamada. A ese respecto, se ha comprobado que en el Registro Mercantil no consta inscrita ninguna sociedad con el nombre XXXXXXXXXX u otro similar cuyo objeto social coincida, al menos parcialmente, con la actividad que la reclamada desarrollaba en el establecimiento en el que la reclamante recibió el servicio estético. Esa actividad se publicitó en redes sociales desde el perfil de Instagram “***PERFIL.1” y el canal de YouTube “***CANAL.1”. La reclamada no figura tampoco en el Registro Mercantil como apoderada o administradora de ninguna sociedad. Por otra parte, la información accesible a través de internet relacionada con el nombre comercial XXXXXXXXXX nos presenta a la persona física reclamada como “doctora en medicina y cirugía” y “responsable y directora” de las clínicas identificadas con ese nombre comercial. Un ejemplo de ello es la red social Lindekin, en la que la parte reclamada, identificada por su nombre y dos apellidos, se presenta en su perfil como “Directora CEO – XXXXXXXXXX”. Por último, conviene aclarar que, pese a que la página web www.XXXXXXXXXX.com informa en su Política de Privacidad que el responsable del tratamiento de los datos de los usuarios de esa web es una “sociedad” denominada “XXXXXXXXXX”, en ningún caso informa del tipo societario ni proporciona el NIF de la supuesta sociedad. Se reproduce el siguiente fragmento de esa política: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 “[...] le informamos que XXXXXXXXXX, sociedad domiciliada en Avinguda del Mar 2-6, local 3, Gavà Mar (Barcelona), y teléfono ***TELÉFONO.1 (en adelante, “XXXXXXXXXX” o la “Sociedad”) es la responsable del tratamiento de sus datos personales. En la presente política de privacidad se facilita la información sobre el uso que realizará la Sociedad de sus datos personales en su condición de usuario de la web (la “Web”).”>> 2. En el trámite de alegaciones al acuerdo de inicio la parte reclamada ha informado a la AEPD de la identidad de la sociedad titular de los centros de estética que operan bajo el nombre comercial XXXXXXXXXX. Se trata de NEOS YOUTH PARTNER S.L., con NIF B67488734. La reclamada ha añadido que esta sociedad es también la titular de los perfiles en Instagram y en YouTube (“***PERFIL.1” y “***CANAL.1”) a través de los cuales se difundió la imagen de la parte reclamante. El Registro Mercantil (R.M.) informa que Neos Youth Partner, S.L., comenzó su actividad el 02/08/2019 y que en esa fecha existían dos administradores solidarios, uno de ellos la reclamante. El 01/03/2022 -meses después de que se produjera el tratamiento que origina el inicio de este expediente sancionador- se inscribió en el R.M. una modificación de los Estatutos Sociales que, entre otros cambios, afectó a la composición social, pues la sociedad quedó constituida como unipersonal siendo el único socio B.B.B. quien, además pasó a ser su administradora única. 3. Según reiterada jurisprudencia los principios que inspiran el orden penal se aplican, con ciertos matices, al Derecho Administrativo sancionador, al ser ambos manifestaciones del ordenamiento punitivo del Estado. Entre esos principios tiene especial virtualidad el elemento o principio de culpabilidad. La Sentencia del Tribunal Constitucional (STC) 76/1990, de 26 de abril, (F.J. 8.B) señalaba que la presunción de inocencia tiene que ver con la prueba de la autoría de los hechos y, además, con la culpabilidad imputable al que, en su caso, los realiza, ya que toda resolución sancionadora, sea penal o administrativa, requiere a la par certeza de los hechos imputados, obtenida mediante pruebas de cargo, y certeza del juicio de culpabilidad sobre esos mismos hechos. En ese sentido, y ceñido al ámbito del procedimiento administrativo sancionador, cabe citar la sentencia del Tribunal Supremo, Sala tercera, de 24/06/1998 (Rec. 1776/1994), Fundamento Jurídico 2, que dice: “La responsabilidad personal se convierte en la base sobre la que se asienta el sistema punitivo ya que nadie puede ser condenado o sancionado sino por actos que, bien a título de dolo o de culpa, le puedan ser directamente imputados.” El artículo 28 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP), bajo la rúbrica “Responsabilidad” dispone en el apartado 1: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, [...], que resulten responsables de los mismos a título de dolo o culpa.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 4. A tenor de las alegaciones formuladas y de las pruebas practicadas, la persona física contra quien se dirige este procedimiento sancionador aparece exenta de responsabilidad, pues no fue ella quien determinó los fines y los medios del tratamiento de los datos personales de la afectada, sino la persona jurídica NEOS YOUTH PARTNER, S.L.U. La intervención de la actual reclamada en los hechos sobre los que versa el expediente sancionador, en particular la publicación de la imagen de la reclamada en las redes sociales, tuvo lugar en su condición de representante legal de la sociedad mercantil precitada. Así las cosas, la responsable del tratamiento que ha dado origen a la apertura de este expediente sancionador es la sociedad limitada unipersonal NEOS YOUTH PARTNER, S.L.U., de la cual la reclamada, la persona física B.B.B., es desde marzo de 2022 su administradora única. Sentado lo anterior, se informa de que, en la medida en que el tratamiento de datos que es objeto de la reclamación, y que presuntamente resulta contrario al RGPD, no haya prescrito, nada impide a la AEPD, en relación con el citado tratamiento, proceder a la apertura de un procedimiento sancionador frente al sujeto responsable, la sociedad NEOS YOUTH PARTNER, S.L.U. Cabe recordar a tal efecto que, el tratamiento de datos personales sobre el que versa la reclamación formulada ante esta AEPD podría ser constitutivo de una infracción del artículo 6.1 del RGPD y que el artículo 72 de la LOPDGDD califica la infracción del artículo 6.1 del RGPD de muy grave, para la cual fija un plazo de prescripción de tres años. Respecto al cómputo del plazo de prescripción, el artículo 30 de la LRJSP dice que “comenzará a contarse desde el día en que la infracción se hubiera cometido. En el caso de infracciones continuadas o permanentes, el plazo comenzará a correr desde que finalizó la conducta infractora.” Así las cosas, toda vez que el tratamiento de los datos personales de la parte reclamante no es imputable a la persona física contra quien se dirige este procedimiento sancionador PS/00228/2022, procede acordar el archivo del procedimiento referenciado dirigido frente a B.B.B.. Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ACORDAR el ARCHIVO DEL PROCEDIMIENTO SANCIONADOR PS/00228/2022 abierto a B.B.B., con NIF ***NIF.1, por no ser esta persona física la responsable del tratamiento de los datos de la parte reclamante que presuntamente vulnera el RGPD. SEGUNDO: NOTIFICAR la presente resolución a B.B.B.. TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el artículo 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-181022 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es