← España

PS-00266-2024

1/12  Expediente N.º: EXP202404175 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 21 de febrero de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a DIBEA ESTETIC, S.L. con NIF B86104338 (en adelante, DIBEA o parte reclamada) con base en los siguientes hechos. La empresa DIBEA ESTETIC CANARIAS, en contra mi voluntad y habiendo realizado encuestas en su página web (ahora inoperativa), y también por correo electrónico, hicieron caso omiso a la negativa de transferencia de mis datos a otra clínica. Tras numerosos intentos de ponerme en contacto con ellos me ha sido imposible. Junto al escrito, se aporta: - Correo electrónico de fecha 1/12/2023 a las 10:07 enviado desde la dirección ***EMAIL.2 con el siguiente contenido: Lamentamos informarles que el CENTRO IDEAL MERIDIANO, cierra sus puertas permanentemente. Ante esta situación, dado que para CENTROS IDEAL SERVICIOS CENTRALES, nuestros clientes son lo primero, hemos llegado a un acuerdo para que pueda continuar con sus tratamientos de depilación láser y estética en las mismas condiciones contratadas y sin coste extra, se le realizarán los tratamientos con la misma aparatología y calidad, en el centro ****EMPRESA.1* en ***DIRECCIÓN.1. Para ello, a partir del día 5 de Diciembre le haremos llegar a sus responsables, todos sus datos e historial para que pueda continuar con sus tratamientos, salvo que previamente nos indique lo contrario (…) Si no está conforme con darse los tratamientos y ceder sus datos al colaborador ***EMPRESA.1, pinche en el siguiente enlace. Puede acceder a la siguiente landing para hacernos llegar firmada su disconformidad en el traslado de sus datos personales e historial: LINK https//www.centrosideal.com/atención-al-cliente/meridiano. Gracias - Email de respuesta de A.A.A. (***EMAIL.1) remitido el 1/12/2023 a las 12:47 en el que se indica lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 Buenos días, Ya firmé la disconformidad, les envié mi DNI, quiero mi dinero al completo por incumplimiento del contrato, dejen de pasarme copia y pega, si no lo llevaré por la vía judicial. Un saludo No se aporta documentación acreditativa de este último extremo. - Captura de pantalla de conversación mantenida entre el 23/12/2023 y el 5/01/2024 con el número de teléfono ***TELÉFONO.1 cuyo logo identificativo se denomina ***EMPRESA.1 con el siguiente contenido Buenos días, Me gustaría saber si la Clínica Ideal le ha pasado mi expediente Hola! Podrías decirnos tu nombre entero y DNI por favor A.A.A. ***NIF.1. Buenas tardes A.A.A., te escribo desde ***EMPRESA.1. Disculpa la tardanza. Te confirmamos que tenemos tu historial y que tenemos nuevas citas para ti (…). Cuando te sea posible te agradezco nos confirmes si te van bien venir en esas fechas. Buenas tardes, yo no quiero cita con ustedes. Estoy reclamando mi dinero Ideal de manera judicial. Y les dije por activa y pasiva mi negativa a pasar mis datos porque va contra protección de datos. Lo siento A.A.A., no estábamos al tanto. Cancelo las citas. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a DIBEA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogida por la parte reclamada, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 30/03/2024, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó debidamente por medios electrónicos, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 01/04/2024. En dicha notificación, se le recordaba a la parte reclamada su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. No se ha recibido respuesta a este escrito de traslado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 TERCERO: Con fecha 21 de mayo de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la parte reclamada es una mediana empresa constituida en el año 2011, y con un volumen de negocios de 15.448.235 € euros en el año 2022. Según se desprende también de dicho informe, la parte reclamada es la matriz del grupo al que pertenece Centros de Depilación Láser Ideal S.L. QUINTO: Con fecha 23 de diciembre de 2024, la directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.

  1. a)del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la LPACAP y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
  2. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
  3. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: Con fecha 1/12/2023, a las 10:07, el reclamante recibió un correo electrónico remitido desde la dirección ***EMAIL.2 con el siguiente contenido: Lamentamos informarles que el CENTRO IDEAL MERIDIANO, cierra sus puertas permanentemente. Ante esta situación, dado que para CENTROS IDEAL SERVICIOS CENTRALES, nuestros clientes son lo primero, hemos llegado a un acuerdo para que pueda continuar con sus tratamientos de depilación láser y estética en las mismas condiciones contratadas y sin coste extra, se le realizarán los tratamientos con la isma aparatología y calidad, en el centro ****EMPRESA.1* en ***DIRECCIÓN.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 Para ello, a partir del día 5 de Diciembre le haremos llegar a sus responsables, todos sus datos e historial para que pueda continuar con sus tratamientos, salvo que previamente nos indique lo contrario (…) Si no está conforme con darse los tratamientos y ceder sus datos al colaborador ***EMPRESA.1, pinche en el siguiente enlace. Puede acceder a la siguiente landing para hacernos llegar firmada su disconformidad en el traslado de sus datos personales e historial: LINK https//www.centrosideal.com/atención-al-cliente/meridiano. Gracias SEGUNDO: El reclamante, a través de la dirección de correo electrónico ***EMAIL.1 respondió al correo señalado en el apartado anterior con fecha 1/12/2023 a las 12:47 señalando lo siguiente: Buenos días, Ya firmé la disconformidad, les envié mi DNI, quiero mi dinero al completo por incumplimiento del contrato, dejen de pasarme copia y pega, si no lo llevaré por la vía judicial. Un saludo TERCERO: Entre el 23/12/2023 y el 5/01/2024, el reclamante se intercambió mensajes con el número de teléfono ***TELÉFONO.1 cuyo logo identificativo se denomina ***EMPRESA.1 con el siguiente contenido Buenos días, Me gustaría saber si la Clínica Ideal le ha pasado mi expediente Hola! Podrías decirnos tu nombre entero y DNI por favor A.A.A. ***NIF.1. Buenas tardes A.A.A., te escribo desde ***EMPRESA.1. Disculpa la tardanza. Te confirmamos que tenemos tu historial y que tenemos nuevas citas para ti (…). Cuando te sea posible te agradezco nos confirmes si te van bien venir en esas fechas. Buenas tardes, yo no quiero cita con ustedes. Estoy reclamando mi dinero Ideal de manera judicial. Y les dije por activa y pasiva mi negativa a pasar mis datos porque va contra protección de datos. Lo siento A.A.A., no estábamos al tanto. Cancelo las citas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. III Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la parte reclamada realiza, entre otros tratamientos, la recogida, conservación y cesión de datos personales de personas físicas tales como nombre y apellidos, DNI, dirección de correo electrónico e información personal contenida en la historia clínica de los clientes de los servicios de estética ofrecidos por la parte reclamada DIBEA realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. IV Obligación incumplida. Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  4. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  5. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  6. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12
  7. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  8. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  9. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  10. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " En el presente caso, según se desprende de la información contenida en el expediente, el reclamante era cliente DIBEA ESTETIC CANARIAS, centro perteneciente al grupo cuyo propietario es DIBEA ESTETIC, S.L., parte reclamada. Cabe señalar, además de la información proporcionada al reclamante acerca del cierre del centro y que consta en el expediente, dicha circunstancia fue hecha pública mediante nota informativa del Ministerio de Asuntos Sociales, Consumo y Agenda 2030, de 8/02/2024, en la que se informa sobre los derechos que asisten a los usuarios de los centros de depilación laser ideal (CENTROS IDEAL) e indica lo siguiente: Esta Dirección General de Consumo ha tenido conocimiento del cierre, en diciembre de 2023, de los Centros Ideal. Según el comunicado de la empresa que figura en su web (https://www.centrosideal.com/), se procede a “cerrar definitivamente todos los centros propios de la marca”, habiéndose constatado que también se encuentran cerrados gran parte de los centros franquiciados que operan bajo el mismo nombre. Ante la situación creada, esta Dirección General recuerda a los usuarios afectados que no estén recibiendo el servicio conforme al contrato suscrito los derechos que le asisten:
  11. a)Derecho a reclamar la continuación de la prestación del servicio o a resolver el contrato suscrito con Centros Ideal en caso de que existan tratamientos no realizados o ni siquiera iniciados El artículo 1.091 del Código Civil impone a los Centros Ideal la obligatoriedad de ejecución de los contratos de acuerdo con el tenor de los mismos, mientras que su artículo 1.124 habilita a los usuarios a resolver el contrato con Centros Ideal en el caso de que la compañía hubiese incumplido alguna de las obligaciones esenciales fijadas en el mismo. Por consiguiente, los usuarios de los tratamientos o servicios contratados e interrumpidos con los Centros Ideal podrán exigir la continuidad en su prestación o, en su defecto, la resolución del contrato y el reembolso del importe de los pagados y no recibidos. En estos supuestos, en el momento en que haya cesado o no se haya iniciado la prestación del servicio, de acuerdo con lo acordado o en los plazos previstos, el usuario podrá formular una reclamación ante el propio Centro o ante la empresa DIBEA ESTETIC S.L., propietaria del grupo, a través de cualquier medio que permita acreditar su interposición y el contenido de la reclamación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 (o, al menos, el intento fallido de su interposición): burofax, carta certificada al domicilio del Centro, etc. (…)
  12. a)Derecho a solicitar la historia clínica o cualquier otra información personal sobre la prestación del servicio De cara a acreditar la situación del servicio o tratamiento contratado que haya dejado de prestarse, los usuarios tienen derecho a acceder a toda la documentación personal que los centros tengan de ellos. En caso de que el centro donde se estuviesen prestando los servicios hubiese cerrado, el usuario puede dirigir la solicitud de acceso a su información personal sobre la prestación del servicio o tratamiento a la sede social de la compañía: DIBEA ESTETIC, S.L. C/ Julián Camarillo, 4. Edificio 37 C-4ª Planta 28037 Madrid Para solicitar el acceso a estos datos personales, se puede utilizar el formulario facilitado al efecto por la Agencia Española de Protección de Datos (AEPD): https://www.aepd.es/sites/default/files/2019-09/formulario-derecho-deacceso.pdf En caso de que la compañía no facilite esta información, el usuario puede presentar una reclamación ante la propia AEPD de cara a hacer valer estos derechos de acceso, a través del siguiente enlace: https://sedeagpd.gob.es/sedeelectronicaweb/vistas/infoSede/tramitesCiudadanoReclamaciones.js (…) Tal y como ha quedado reflejado en los hechos probados de la presente resolución de procedimiento sancionador, con fecha 1/12/2023, DIBEA contactó con el reclamante al objeto de comunicarle el cierre del centro con el que éste tenía un contrato de prestación de servicios de estética. Asimismo, le informaba del acuerdo alcanzado con otra entidad para continuar con la prestación de los servicios contratados y le señalaba lo siguiente: Para ello, a partir del día 5 de Diciembre le haremos llegar a sus responsables, todos sus datos e historial para que pueda continuar con sus tratamientos, salvo que previamente nos indique lo contrario (…) Si no está conforme con darse los tratamientos y ceder sus datos al colaborador ***EMPRESA.1, pinche en el siguiente enlace. Puede acceder a la siguiente landing para hacernos llegar firmada su disconformidad en el traslado de sus datos personales e historial: LINK https//www.centrosideal.com/atención-al-cliente/meridiano. Gracias En respuesta a este mensaje, ese mismo día (y, por lo tanto, antes de la fecha de 5 de diciembre en que se informaba iban a suministrarle sus datos a ***EMPRESA.1) el reclamante contestó indicando que “Ya firmé la disconformidad, les envié mi DNI (…)”. Con esta respuesta, cabe entender que el reclamante, según él mismo afirma, utilizó la vía expresamente señalada por la parte reclamada para rechazar la cesión de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 datos personales incluidos en la historia cínica abierta en la parte reclamada al objeto de prestarle los servicios contratados. Esta oposición al tratamiento impide, en consecuencia, entender de aplicación al caso que nos ocupa de la disposición contenida en el artículo 21 de la LOPDGDD, que se pronuncia en los siguientes términos: 1. Salvo prueba en contrario, se presumirán lícitos los tratamientos de datos, incluida su comunicación con carácter previo, que pudieran derivarse del desarrollo de cualquier operación de modificación estructural de sociedades o la aportación o transmisión de negocio o de rama de actividad empresarial, siempre que los tratamientos fueran necesarios para el buen fin de la operación y garanticen, cuando proceda, la continuidad en la prestación de los servicios. 2. En el caso de que la operación no llegara a concluirse, la entidad cesionaria deberá proceder con carácter inmediato a la supresión de los datos, sin que sea de aplicación la obligación de bloqueo prevista en esta ley orgánica. Por tanto, la reclamada ha realizado un tratamiento de los datos personales del reclamante, consistente en su cesión a un tercero, sin contar con base de legitimación para ello. Teniendo esta circunstancia en consideración, ha de concluirse que los hechos conocidos son constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 6.1 del RGPD. V Tipificación de la infracción del artículo 6.1 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  13. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  14. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679." VI Sanción por infracción del artículo 6.1 del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  15. a)a
  16. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  17. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  18. b)la intencionalidad o negligencia en la infracción;
  19. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  20. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  21. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  22. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  23. g)las categorías de los datos de carácter personal afectados por la infracción;
  24. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  25. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  26. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  27. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  28. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  29. a)El carácter continuado de la infracción.
  30. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  31. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  32. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  33. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  34. f)La afectación a los derechos de los menores.
  35. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  36. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca, corresponde la imposición de multa. La multa que se imponga debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de DIBEA 15.448.235 € euros en el año 2022. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con los hechos probados en la presente resolución, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): en el caso que nos ocupa, y pese a que el reclamante mostró su disconformidad con la cesión de sus datos personales en mismo día en que se le informó de la misma- condicionada a que no fuera rechazada- y con suficiente antelación a la fecha en la que dicha cesión iba a formalizarse, la parte reclamada hizo caso omiso de tal rechazo y, aun así, cedió los datos personales del reclamante. • Intencionalidad/ Negligencia en la infracción (artículo 83.2, letra b), del RGPD): según consta en el expediente, la cesión de los datos personales del reclamante se efectuó a pesar de contar con la oposición expresa del titular de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 los datos y, por lo tanto, produciéndose una actuación intencionada por la parte reclamada. • Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2, letra g), del RGPD): la información que fue objeto de cesión a un tercero sin base de legitimación para ello contenía, además de los datos de contacto del reclamante, información incluida en su historia cínica- al objeto de prestar los servicios de estética que tenía contratados- y su DNI, tal y como demuestra el hecho de que, según consta en el expediente, ***EMPRESA.1 solicitó al reclamante para su identificación su DNI, prueba de que disponía del mismo por haberle sido cedido por la parte reclamada y al objeto de poder cotejarlo. A tenor de los hechos expuestos, se considera que corresponde imputar una sanción a la parte reclamada por la vulneración del Artículo 6.1 del RGPD tipificada en el Artículo 83.5.
  37. a)del RGPD. La sanción que corresponde imponer es de multa administrativa por un importe de 7.000,00 euros. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a DIBEA ESTETIC, S.L., con NIF B86104338, por una infracción del Artículo 6.1 del RGPD, tipificada en el Artículo 83.5.
  38. a)del RGPD, una multa de 7.000 euros. SEGUNDO: NOTIFICAR la presente resolución a DIBEA ESTETIC, S.L.. TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  39. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  40. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101224 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.