PS-00297-2020

1/9  Procedimiento Nº: PS/00297/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A., en representación de B.B.B. (en adelante, el reclamante) con fecha 28 de octubre de 2019 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CLINICA INDEMTAL S.L (CLÍNICA DENTAL COLÓN) con NIF B26511584 (en adelante, el reclamado). Los motivos en que basa la reclamación son los siguientes: “[…] Que mi representada fue despedida de manera improcedente el pasado día 19 de septiembre de 2019 por CLÍNICA INDEMTAL S.L […] […] el pasado 9 de octubre de 2019 mi representada envió un email al representante legal de la clínica, […] solicitando su derecho de supresión/cancelación de todos sus datos personales a excepción de los que por obligación legal deba mantener. Esta petición de supresión, incluía por supuesto eliminar su imagen de la web www.clinicadentalcolon.es, así como de sus redes sociales en Facebook y cualquier otra que pudiera contener su imagen. […] […] Que dicha petición no ha sido contestada ni ejercitada, ni se han tomado ningún tipo de medidas. […] Que además la web de la entidad www.clinicadentalcolon.es no cumple la normativa de adaptación a la nueva LOPD y RGPD (UE) 2016/679 si bien carece de plugin de Adjunta los siguientes documentos: 1. Escrito de 9 de octubre de 2019 de solicitud de supresión de datos personales dirigido por el reclamante al reclamado. 2. Correo de 9 de octubre de 2019 de envío de la solicitud de supresión de datos personales por parte del reclamante y contestación del reclamado solicitando 14 para días para llevar a cabo la supresión. 3.Escrito de 23 de octubre de 2019 en el que el reclamante impele al cumplimiento de su ejercicio al reclamado al no haber sido atendido. 4.Capturas de pantalla de la web www.clinicadentalcolon.es y del perfil de Facebook donde se muestra la imagen del reclamante y se le menciona como miembro del equipo de la empresa. Asimismo, captura de pantalla de la política de privacidad de la página web. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 SEGUNDO: Con carácter previo a la admisión a trámite de esta reclamación, se trasladó al reclamado, de conformidad con lo establecido en el artículo 65.4 la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). El reclamado presentó un escrito de contestación el día 19 de diciembre de 2019 en el que pone de manifiesto lo siguiente:  El día 29 de octubre de 2019 procedió a la eliminación de imágenes en la web y que no se había reparado en la existencia de imágenes en la red social Facebook.  Que se ha contratado una nueva empresa de mantenimiento de la página web que está llevando a cabo los cambios para la adaptación y actualización de los textos de Aviso Legal y Política de Privacidad y Política de cookies y se han incorporado e implantado plenamente dentro de la actividad de la empresa los protocolos de actuación del personal para el ejercicio de los derechos de los interesados.  Que se ha procedido a la supresión de la imagen en la página web y en las redes sociales informando de ello a la reclamante y a su abogada mediante burofax de 13 y 14 de diciembre de 2019. Adjunta los siguientes documentos: 1. Copia de los burofaxes enviados. 2. Protocolo de actuación para el ejercicio de derechos. 3. Protocolos de confidencialidad para el uso de ficheros. 3. Capturas de pantalla de la web y de la red social para acreditar que se ha eliminado la imagen del reclamante y su mención como miembro del equipo de la clínica. TERCERO: En fecha 10 de enero de 2020, tras analizarse la documentación que obraba en el expediente, se dictó resolución por la directora de la AEPD, acordando la no admisión a trámite de la reclamación. CUARTO: En fecha 14 de enero de 2020, el reclamante interpone un recurso potestativo de reposición exponiendo que el reclamado no ha atendido el derecho de supresión instado. QUINTO: En fecha 19 de agosto de 2020, la recurrente aporta la representación requerida y un Acta notarial de fecha 17 y 18 de junio de 2020, en la que se deja constancia de que el nombre de la recurrente continúa vinculado a la Clínica Dental Colón en los buscadores GOOGLE y BING. En concreto, aparecen unos consejos sobre higiene bucal ofrecidos por la recurrente con el siguiente tenor: “Nuestra Enfermera Auxiliar B.B.B., nos enseña como cepillarse los dientes correctamente”, lo que demostraría que no se ha atendido el derecho de supresión instado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 SEXTO: La Directora de la Agencia Española de Protección de Datos dictó resolución estimatoria el día 7 de septiembre de 2020, y la admisión a trámite de la reclamación presentada por el reclamante. SÉPTIMO: El día 17 de noviembre de 2020 se realiza comprobación en el buscador GOOGLE acerca de la vinculación del nombre de la reclamante con la Clínica Dental Colón, resultando en primer lugar el resultado del aviso publicado el 5 de noviembre por la clínica de que la reclamante ya no trabaja en aquella. OCTAVO: Con fecha 27 de noviembre de 2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 17 del RGPD, tipificada en el artículo 83.5 del RGPD. NOVENO: Notificado el citado acuerdo de inicio el día 30 de noviembre de 2020, el reclamado presentó escrito de alegaciones en el que, manifestaba: “[…] El juicio civil ya se ha realizado y se ha dictado sentencia en octubre de 2020, sin que haya sido recurrido por ninguna de las partes (le envío adjunto sentencia del mismo, documento 3). Una vez leída la sentencia y en respuesta a este requerimiento queremos alegar y precisar: – No ha habido ningún ánimo de beneficio ni dejadez en la eliminación de la información de dicha trabajadora y nuestra colaboración ha sido la máxima posible para conseguir dicho fin. De la demanda de la parte que solicitaba 9000€ euros en concepto de indemnización se ha rebajado a 100€ en sentencia. – Ha existido múltiples dificultades técnicas para la eliminación por completo de la información que vinculaba a B.B.B. con Clínica dental Colón debido a que ha estado involucrada una tercera página web ajena a nosotros, y sin ninguna relación de ningún tipo, cuyo servidor se encuentra en India y que copia información de otras páginas sin autorización para generar tráfico y lucrase de esta manera. – Debido a la persistencia de esa información en esa tercera web se nos condena a 100 euros de indemnización y cometer una serie de medidas que fueron realizadas los días posteriores a la sentencia y presentadas debidamente en el juzgado para subsanar esta situación (adjunto informe de medidas adoptadas documento 4). – A pesar de esto y como medida adicional hemos añadido en nuestra página web un apartado donde especificamos que B.B.B. no trabaja en nuestra clínica dental. – A fecha del presente escrito no existe ningún vínculo presente en internet entre B.B.B. y Clínica Dental Colón con lo que concluimos que las medidas que realizamos surtieron efecto finalmente. Como ultima reflexión y tras mi experiencia personal en este proceso quería comentar que acatamos la decisión que se adoptó en la sentencia pues resulta manifiestamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 pragmática y nuestra voluntad siempre ha sido esta, pero no entendemos hasta dónde puede llegar la responsabilidad de una empresa en el tratamiento de datos de sus empleados al resultar terceros implicados en el tratamiento incorrecto de los mismos y vernos nosotros finalmente como los perjudicados por dicha situación.” DÉCIMO: Con fecha 22 de febrero de 2021, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas la reclamación interpuesta y su documentación, los documentos obtenidos y generados por la Subdirección General de Inspección Datos ante el reclamado que forman parte del expediente E/11352/2019 y el expediente del recurso de reposición RR/00034/2020 Asimismo, se dan por reproducidas a efectos probatorios, las alegaciones al acuerdo de inicio PS/00297/2020 presentadas por el reclamado, y la documentación que a ellas acompaña. UNDÉCIMO: Con fecha 25 de junio de 2021 se formuló propuesta de resolución, proponiendo que la Directora de la Agencia Española de Protección de Datos dirija a CLÍNICA INDEMTAL S.L, con NIF B26511584, por una infracción del artículo 17 del RGPD, tipificada en el artículo 83.5 del RGPD, un apercibimiento. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: B.B.B. solicitó a CLINICA INDEMTAL S.L CLÍNICA DENTAL COLÓN), el día 9 de octubre de 2019, la supresión/cancelación de sus datos personales como antigua trabajadora de la empresa. SEGUNDO: El reclamado declaró el día 19 de diciembre de 2019 que había procedido a la eliminación de las imágenes del reclamante en la página web de la empresa y en las redes sociales. La reclamante fue informada de estos extremos mediante burofaxes de fecha 13 y 14 de diciembre de 2019. TERCERO: De acuerdo con las capturas de pantalla del buscador Google de fecha 17 y 18 de diciembre de 2019 presentadas en el escrito de interposición del recurso de reposición, la imagen y el nombre de la reclamante vinculadas siguen apareciendo vinculadas con redes sociales del reclamado. CUARTO: El reclamado reconoce los hechos objeto de esta reclamación, tal y como se desprende de la sentencia de octubre de 2020, donde se inculpa al reclamado por no eliminar datos de la reclamante de la citada página web, ya que contra dicha sentencia no se ha presentado recurso por ninguna de las partes. El reclamado, no obstante, alega la dificultad técnica existente para lograr que desaparezcan todos los datos de la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD) reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II El artículo 17 del RGPD, relativo al derecho de supresión (“el derecho al olvido”), establece que: “1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:

1. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
2. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
3. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
4. d)los datos personales hayan sido tratados ilícitamente;
5. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
6. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2.Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3.Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
7. a)para ejercer el derecho a la libertad de expresión e información; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9
8. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
9. c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
10. h)e i), y apartado 3;
11. d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
12. e)para la formulación, el ejercicio o la defensa de reclamaciones.” III En el presente procedimiento sancionador se examina la presunta ilicitud del incumplimiento, por parte del reclamado, de la supresión de todos los datos personales que fue solicitada por el reclamante el 9 de octubre de 2019. De acuerdo con los hechos expuestos, el reclamado informó al reclamante y a su abogado, mediante el envío de sendos burofaxes de fecha 13 y 14 de diciembre de 2019, que todos sus datos personales responsabilidad del reclamado habían sido suprimidos. La misma respuesta se hizo llegar a esta Agencia en el escrito de contestación al traslado presentado el día 19 de diciembre de 2019. No obstante estas manifestaciones, la reclamante interpone recurso de reposición ante la inadmisibilidad a trámite de la reclamación argumentando que no se había atendido el derecho de supresión y adjuntando unas capturas de pantalla del buscador Google de fecha 17 y 18 de diciembre en las que sigue apareciendo la imagen y el nombre de la reclamante vinculadas con páginas web del reclamado. Se constata, mediante acta notarial levantada los días 17 y 18 de junio de 2020 que esta situación se mantenía en esas fechas. Así, en unos resultados obtenidos en los buscadores GOOGLE Y BING, aparecen unos consejos sobre higiene bucal ofrecidos por la recurrente con el siguiente tenor: “Nuestra Enfermera Auxiliar B.B.B., nos enseña como cepillarse los dientes correctamente”, IV Por lo tanto, los hechos descritos supondrían una infracción de lo dispuesto en el artículo 17 del RGPD, tipificada en el artículo 83.5 del mismo texto legal que dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9
13. b)los derechos de los interesados a tenor de los artículos 12 a 22; […]” A efectos del plazo de prescripción de las infracciones, la infracción señalada en el párrafo anterior se considera como muy grave y prescribe a los tres años, conforme al artículo 72 de la LOPDGDD, que establece que: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
14. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679.” V En virtud de lo establecido en el artículo 58.2 del RGPD, la Agencia Española de Protección de Datos, en cuanto autoridad de control, dispone de un conjunto de poderes correctivos en el caso de que concurra una infracción a los preceptos del RGPD. El artículo 58.2 del RGPD dispone lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
15. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...) “
16. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” “
17. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” El artículo 83.5.
18. b)del RGPD establece que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
19. a)los derechos de los interesados a tenor de los artículos 12 a 22;” VI C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 En el presente caso, se han tenido en cuenta que no se aprecia la obtención de beneficios como consecuencia de la comisión de la infracción. Por lo tanto, contra esta infracción se dirige un apercibimiento, de acuerdo con el artículo 58.2.
20. b)del RGPD, al considerar que la multa administrativa que pudiera recaer con arreglo a lo dispuesto en el artículo 83.5.
21. b)del RGPD constituiría una carga desproporcionada para el reclamado, cuya actividad principal no está directamente vinculada al tratamiento de datos personales, ya que no consta la comisión de ninguna infracción anterior en materia de protección de datos. VII Por otra parte, en el artículo 83.7 del RGPD se dispone que, sin perjuicio de los poderes correctivos de las autoridades de control en virtud del art. 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro. A la vista de lo expuesto se procede a emitir la siguiente Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR a CLÍNICA INDEMTAL S.L, con NIF B26511584, por una infracción del artículo 17 del RGPD, tipificada en el artículo 83.5 del RGPD, un apercibimiento. SEGUNDO: QUE CLÍNICA INDEMTAL S.L, con NIF B26511584 proceda a adoptar las medidas necesarias para garantizar la supresión de la imagen de la reclamante, en la página web y en las redes sociales, de conformidad con el artículo 17 del RGPD. Dichas medidas se han de adoptar en el plazo de un mes computado desde la fecha en la que se le notifique esta resolución sancionadora, debiendo aportarse los medios de prueba acreditativos de su cumplimiento. TERCERO: NOTIFICAR la presente resolución a CLÍNICA INDEMTAL S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
22. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es