PS-00238-2019

1/9 Procedimiento Nº: PS/00238/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 24 de noviembre de 2018, tuvo entrada en esta Agencia escrito de A.A.A. (en lo sucesivo el reclamante) contra CLÍNICAS DEL SUR, S.L.U. HOSPITEN RAMBLA en el que manifiesta que la cláusula de envío de información comercial por parte de dicha clínica establece que para no recibir publicidad hay que marcar una casilla lo cual considera contrario a la normativa de protección de datos que establece que para la remisión de publicidad se necesita un acto afirmativo, y no uno negativo. SEGUNDO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Como resultado de las actuaciones de investigación practicadas, se constata que el responsable del tratamiento es el reclamado. Asimismo, se constatan los siguientes extremos: El 8 de enero de 2019, la entidad reclamada manifiesta que se ha dirigido al reclamante, indicándole que ha tomado nota de su deseo de no recibir publicidad y que tomará las medidas oportunas en relación al formulario. Se ha constatado que en la página web de HOSPITEN, se solicitan los siguientes datos personales: nombre y apellidos, fecha de nacimiento, email y teléfono de contacto (https://hospiten.com/cita-previa). En lo relativo a política de privacidad existen dos casillas a cumplimentar libremente por el usuario, que indican lo siguiente: Acepto los términos de privacidad Acepto el envío de acciones y comunicaciones comerciales, incluido por medios electrónicos, y la elaboración de perfiles con la finalidades expresadas del Grupo HOSPITEN C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 La primera casilla cuenta a su vez con el siguiente enlace, https://hospiten.com/privacidad-proteccion-de-datos, en el que se indica lo siguiente: HOSPITEN GESTIÓN A.I.E. (en adelante, HOSPITEN), conforme al Reglamento UE 2016/679 de Protección de Datos y demás normativa vigente en materia de Protección de Datos de Carácter Personal, pone en conocimiento de los usuarios de la página web www.hospiten.com (en adelante, la Página) la Política de Privacidad y Protección de Datos que aplicará en el tratamiento de los datos personales que el Usuario facilite voluntariamente al acceder a su web. El Usuario, al proporcionar a HOSPITEN sus datos de carácter personal a través de los formularios electrónicos de la Web, y en su caso, a través de la marcación de la correspondiente casilla de aceptación, consiente expresamente que HOSPITEN pueda tratar esos datos en los términos de esta cláusula de Política de Privacidad y Protección de Datos y para los fines aquí expresados. (El subrayado es realizado por la AEPD) HOSPITEN pone en conocimiento de los usuarios de la Página, que sus datos de carácter personal sólo podrán obtenerse para su tratamiento cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para las que se hayan obtenido. Serán cancelados cuando hayan dejado de ser necesarios o pertinentes para dicha finalidad o cuando lo solicite el titular en el ejercicio de su derecho de cancelación. HOSPITEN manifiesta su compromiso de cumplir con la legislación vigente en cada momento en materia de protección de datos. TERCERO: Con fecha 8 de julio de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del Artículo 7 del RGPD, tipificada en el Artículo 83.5 del RGPD. CUARTO: El 12/07/2019 ha sido notificado el acuerdo de inicio, y el 26/07/2019 el reclamado ha presentado las siguientes alegaciones: “Una vez entrado en vigor el RGPD y tras el análisis del articulado, y dentro de un proceso de actualización y mejora continua de adaptación a la normativa vigente, CLISUR, a fecha de 3 de julio de 2018, procede a dar instrucciones a su gestor de la página web, la entidad Intelequia Software, S.L. para adaptar la forma de recabar el consentimiento de los usuarios a la página para el tratamiento de sus datos con fines comerciales poniendo dos casillas de marcación diferenciadas: -una para información y aceptación de la privacidad sobre la finalidad principal de la gestión de las citas previas solicitadas a través de la página -otra casilla de aceptación para poder ser marcada con una finalidad adicional en el caso de que el usuario consienta recibir acciones comerciales de CLISUR.” CLISUR, manifiesta que “los datos recogidos a través del servicio de “cita previa” entre el periodo de 25 de mayo de 2018 a 3 de julio de 2018, no han sido utilizados con fines comerciales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 Igualmente, el certificado emitido por INTELEQUIA SOFTWARE SOLUTIONS, de fecha 15 de julio de 2019, acredita que CLISUR no ha tenido acceso a la tabla de datos “hos_Suscribers” para su uso, por lo que no ha podido ser utilizada con los fines de uso de envío de publicidad o acciones comerciales. No obstante, CLISUR ha dado instrucciones a su gestor de la base de datos para que proceda a la supresión, en la actual base de datos “hos_Suscribers”, de cualquier dato de carácter personal que pudiera existir de los recogidos en el periodo anterior al cambio del procedimiento en la página. De esta forma, se asegura por CLISUR que, en ningún caso, datos recogidos entre el 25 de mayo y el 3 de julio de 2018 puedan ser utilizados con fines comerciales en acciones futuras.” Concluye CLISUR afirmando que, “respecto del tratamiento de los datos del demandante, se han seguido en todo momento los protocolos internos establecidos para todos sus pacientes. Ha sido informado en los términos del artículo 13 del RGPD, de forma previa al tratamiento de sus datos y una vez, pone de manifiesto su oposición al tratamiento con fines de información y publicidad, se recibe el documento y se registra in situ su oposición en el programa de gestión de pacientes, lo que conlleva que sus datos nunca han sido utilizados por CLISUR con fines de publicidad. No obstante, se ha realizado una comprobación y en ningún momento dicho paciente ha figurado tampoco en la base de datos “hos_Suscribers” de la web, por lo que los únicos datos que han sido tratados por CLISUR del demandado, son los necesarios para prestarle la asistencia sanitaria y aquellos que nos permiten actuar en una defensa legítima de nuestros intereses en el presente procedimiento. El demandante, desde el primer contacto con CLISUR, ha sido atendido por nuestros servicios de atención al paciente y en los mostradores de admisión del centro donde ha acudido. Se le han hecho todo tipo de aclaraciones sobre el texto de información y las casillas de marcación puestas a su disposición y se ha atendido su consentimiento para el tratamiento en los términos por él aceptados con la firma del documento, y las casillas que de forma voluntaria ha marcado. Igualmente se han atendido en tiempo y forma todas sus denuncias según conta en el expediente unido al procedimiento. Por lo tanto, los derechos del demandante en ningún caso han sido vulnerados y no ha podido sufrir daño o perjuicio alguno”. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PRIMERO: la cláusula de envío de información comercial por parte de la clínica reclamada establece que para no recibir publicidad hay que marcar una casilla lo cual se considera contrario a la normativa de protección de datos que establece que para la remisión de publicidad se necesita un acto afirmativo, y no uno negativo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 SEGUNDO: La entidad reclamada manifiesta que ha estado inmersa en la adaptación de todos sus procedimientos al cambio normativo, para lo cual ha procedido a realizar modificaciones en su página web y ha implantado medidas en su organización con la finalidad de garantizar la seguridad, el ejercicio de derechos de las personas afectadas por cualquier tipo de tratamiento en su gestión. Esto lo acredita mediante certificado emitido por INTELEQUIA SOFTWARE SOLUTIONS, de fecha 15 de julio de 2019, constatando la implantación de dos casillas en su página web, una para información y aceptación de la privacidad sobre la finalidad principal de la gestión de las citas previas solicitadas a través de la página y otra casilla de aceptación para poder ser marcada con una finalidad adicional en el caso de que el usuario consienta recibir acciones comerciales de CLISUR. En concreto dichas casillas aparecen así: Acepto los términos de privacidad Acepto el envío de acciones y comunicaciones comerciales, incluido por medios electrónicos, y la elaboración de perfiles con las finalidades expresadas del Grupo HOSPITEN Además, la primera casilla cuenta a su vez con el siguiente enlace, https://hospiten.com/privacidad-proteccion-de-datos, donde se indica que “sus datos de carácter personal a través de los formularios electrónicos de la Web, y en su caso, a través de la marcación de la correspondiente casilla de aceptación, consiente expresamente que HOSPITEN pueda tratar esos datos en los términos de esta cláusula de Política de Privacidad y Protección de Datos y para los fines aquí expresados.” Se constata también a través de dicho certificado que los datos recogidos a través del servicio de “cita previa” entre el periodo de 25 de mayo de 2018 a 3 de julio de 2018, no han sido utilizados con fines comerciales y que CLISUR no ha tenido acceso a la tabla de datos “hos_Suscribers” para su uso, por lo que no ha podido ser utilizada con los fines de uso de envío de publicidad o acciones comerciales. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDPGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Se imputa al reclamado la comisión de una infracción por vulneración del artículo 7.1 del RGPD en relación con el artículo 6 de la LOPDGDD, que señala que “cuando el tratamiento se base en el consentimiento del interesado, el responsable C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.” En esta línea, el artículo 6 de la LOPDGDD establece que de conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. La infracción se tipifica en el artículo 83.5 del RGPD que establece que “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:

1. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
2. b)los derechos de los interesados a tenor de los artículos 12 a 22;
3. c)las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49;
4. d)toda obligación en virtud del Derecho de los Estados miembros que se adopte con arreglo al capítulo IX;
5. e)el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1. Sin perjuicio de lo establecido en el artículo 83 del RGPD, el citado Reglamento dispone en su art. 58.2
6. b)la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” III El art. 83.5 del RGPD establece que “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
7. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
8. b)los derechos de los interesados a tenor de los artículos 12 a 22;
9. c)las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49;
10. d)toda obligación en virtud del Derecho de los Estados miembros que se adopte con arreglo al capítulo IX;
11. e)el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1. Sin perjuicio de lo establecido en el artículo 83 del RGPD, el citado Reglamento dispone en su art. 58.2
12. b)la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” IV De conformidad con las evidencias de las que se dispone en el presente momento, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos conocidos podrían ser constitutivos de una infracción, imputable al reclamado, por una presunta vulneración del artículo 7.1 del RGPD en relación con el artículo 6 de la LOPDGDD, indicados en el fundamento II. V El artículo 72.1.
13. c)de la LOPDGDD señala que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9
14. c)El incumplimiento de los requisitos exigidos por el artículo 7 del Reglamento (UE) 2016/679 para la validez del consentimiento.” VI El artículo 58.2 del RGPD dispone lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación:
15. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;
16. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
17. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular. El art. 83.5 del RGPD establece que “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
18. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
19. b)los derechos de los interesados a tenor de los artículos 12 a 22;
20. c)las transferencias de datos personales a un destinatario en un tercer país o una organización internacional a tenor de los artículos 44 a 49;
21. d)toda obligación en virtud del Derecho de los Estados miembros que se adopte con arreglo al capítulo IX;
22. e)el incumplimiento de una resolución o de una limitación temporal o definitiva del tratamiento o la suspensión de los flujos de datos por parte de la autoridad de control con arreglo al artículo 58, apartado 2, o el no facilitar acceso en incumplimiento del artículo 58, apartado 1. Sin perjuicio de lo establecido en el artículo 83 del RGPD, el citado Reglamento dispone en su art. 58.2
23. b)la posibilidad de sancionar con apercibimiento, en relación con lo señalado en el Considerando 148: “En caso de infracción leve, o si la multa que probablemente se impusiera constituyese una carga desproporcionada para una persona física, en lugar de sanción mediante multa puede imponerse un apercibimiento. Debe no obstante prestarse especial atención a la naturaleza, gravedad y duración de la infracción, a su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 carácter intencional, a las medidas tomadas para paliar los daños y perjuicios sufridos, al grado de responsabilidad o a cualquier infracción anterior pertinente, a la forma en que la autoridad de control haya tenido conocimiento de la infracción, al cumplimiento de medidas ordenadas contra el responsable o encargado, a la adhesión a códigos de conducta y a cualquier otra circunstancia agravante o atenuante.” VII Entre los poderes correctivos que contempla el artículo 58 del RGPD, en su apartado 2
24. d)se establece que cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En el presente caso, se ha requerido a la reclamada para que en virtud del artículo 7 del RGPD, que regula las condiciones para el consentimiento en el tratamiento de datos personales, garantice que el consentimiento del afectado sea una manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. En este caso concreto, se ha acreditado que la entidad reclamada ha estado inmersa en la adaptación de todos sus procedimientos al cambio normativo, para lo cual ha procedido a realizar modificaciones en su página web y ha implantado medidas en su organización con la finalidad de garantizar la seguridad en el tratamiento de los datos personales de sus clientes, de conformidad con la normativa anteriormente indicada. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a CLÍNICAS DEL SUR, S.L.U., con NIF B38031241, por una infracción del artículo 7 del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a CLÍNICAS DEL SUR, S.L.U. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 114.1
25. c)de la LPACAP, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
26. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es