← España

PS-00416-2021

1/18  Expediente Nº: PS/00416/2021 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 29 de octubre de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a FUNDACIÓN ESPAÑOLA DE MEDICINA ESTÉTICA Y LONGEVIDAD (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente Nº: PS/00416/2021 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 15 de marzo de 2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra FUNDACIÓN ESPAÑOLA DE MEDICINA ESTÉTICA Y LONGEVIDAD con NIF G83417501 (en adelante, la parte reclamada). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/18 El motivo en que basa la reclamación es que la entidad reclamada, cuya página web es ***URL.1, ha creado grupos de WhatsApp y de Instagram del Master, donde se visualizan los datos de los participantes. Aporta, entre otra documentación, formulario de inscripción del Máster, correos intercambiados con personal de la entidad, impresión de pantalla del grupo de Instagram y reclamación formulada por el representante legal de alumnos a la entidad. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 20 de abril de 2021 se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 9 de junio de 2021 se recibe en esta Agencia escrito de respuesta indicando que el reclamante ha retirado la reclamación indicando que todo se trató de un error por desconocimiento de temas internos del máster. Se manifiesta que en todo momento se ha llevado una estricta observancia de la normativa de protección de datos, y de los derechos que asisten a los titulares afectados. TERCERO: Con fecha 13 de agosto de 2021 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. CUARTO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/18 Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Dichas actuaciones de investigación han permitido constatar que la página web de la entidad reclamada, ***URL.1, no tiene política de privacidad, pese a recabar datos de carácter personal a través del enlace ***URL.2. No obstante, en este último enlace se hace referencia a CAMPUS MEDICA, prestadora de los servicios objeto de denuncia, siendo ***URL.3, su página web, la cual sí tiene política de privacidad. Dicha política de privacidad se transcribe seguidamente, aunque también puede accederse a la misma siguiendo este enlace ***URL.4. << Aviso Legal CampusMedica.com/FEMEL En cumplimiento de lo establecido en el artículo 10 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (en adelante, LSSI-CE), se informa de modo expreso, preciso e inequívoco, tanto a los destinatarios del servicio como a los órganos competentes, de los siguientes aspectos relativos al prestador de servicios de la sociedad de la información: CampusMedica.com es una página web propiedad de la Fundación Española de Medicina estética y Longevidad (FEMEL) NOMBRE / DENOMINACIÓN SOCIAL: FUNDACION ESPAÑOLA DE MEDICINA, ESTETICA Y LONGEVIDAD CIF / NIF: G 83417501 ACTIVIDAD / OBJETO SOCIAL: Formación Médica, organización de Congresos Médicos. DOMICILIO SOCIAL / PROFESIONAL: CALLE ***DIRECCIÓN.1 TELÉFONO: ***TELÉFONO.1 FAX: ***FAX.1 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/18 DIRECCIÓN DE CORREO ELECTRÓNICO: ***EMAIL.1 DIRECCIÓN WEB. ***URL.1 DATOS DE INSCRIPCIÓN EN EL REGISTRO MERCANTIL / REGISTRO PÚBLICO: Registro ***REGISTRO.1 de Agosto de 2002 INFORMACIÓN EN CUMPLIMIENTO DE LO ESTABLECIDO EN LA LEY ORGÁNICA DE PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL 1. PRINCIPIO DE INFORMACIÓN En cumplimiento de lo establecido en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en adelante, LOPD), le informamos de modo expreso, preciso e inequívoco que los datas facilitados por usted a través de los formularios dispuestos al efecto en nuestra página web o en cualquier otro canal de recogida de los mismos, así como los que se generen durante su relación con nuestra entidad, serán objeto de tratamiento en los ficheros responsabilidad de FUNDACION ESPAÑAOLA DE MEDICNA ESTÉTICA Y LONGEVIDAD (FEMEL), debidamente notificados en el Registro General de la Agencia Española de Protección de Datos, con la finalidad del mantenimiento y cumplimenta de la relación del destinatario del servicio con nuestra entidad y prestación de servicios derivada de la misma. Así mismo, en cumplimiento de lo establecido en la citada LOPD y en la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico (en adelante, LSSI-CE), le informamos que sus datos podrán ser utilizados con la finalidad de enviarle comunicaciones comerciales y de cortesía relacionadas con nuestra entidad a través del teléfono, correo postal, Gestores de Correo (tipo MailChimp, Mail Relay) ordinario, fax, correo electrónico o medios de comunicación electrónica equivalentes. Estos sistemas han sido configurados y adaptado a la RGPD. De igual manera, le informamos que sus datos serán cedidos en todos aquellos casos en que sea necesario para el desarrollo, cumplimiento y control de la relación del destinatario del servicio con nuestra entidad o en los supuestos en que lo autorice una norma con rango de ley y, en particular, cuando concurra uno de los supuestos siguientes:

  1. a)El tratamiento o la cesión tengan por objeto la satisfacción de un interés legítimo del responsable del tratamiento o del cesionario amparado por dicha norma;
  2. b)El tratamiento o la cesión de los datos sean necesarios para que el responsable del tratamiento cumpla un deber que le imponga dicha norma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/18 2. PRINCIPIO DEL CONSENTIMIENTO El consentimiento para el tratamiento de sus datos con las finalidades descritas en el apartado anterior se entenderá prestado a través de la marcación de la casilla correspondiente dispuesta al efecto en nuestra página web. 3. CARÁCTER OBLIGATORIO DE LOS DATOS SOLICITADOS La cumplimentación de todos y cada uno de los campos que aparecen en los formularios dispuestos al efecto en nuestra página web tiene carácter obligatorio (en caso contrario, aparecerán marcados con un asterisco los campos que tengan carácter obligatorio). La negativa a facilitar sus datos llevaría aparejada la imposibilidad del mantenimiento y cumplimiento de la relación del destinatario del servicio con nuestra entidad, ya que los mismos son necesarias para la prestación de servicios derivada de la misma. 4. PRINCIPIO DE CALIDAD DE LOS DATOS El destinatario del servicio será el único responsable de la veracidad y exactitud de los datos aportados, actuando FUNDACION ESPAÑAOLA DE MEDICNA ESTÉTICA Y LONGEVIDAD (FEMEL) de buena fe, como mero prestador del servicio. En el supuesto de que el destinatario del servicio facilite datos falsos o de terceras personas sin mediar su consentimiento para ello, responderá personalmente frente a FEMEL, los afectados o interesados, Agencia Española de Protección de Datas y, en su caso, autoridades autonómicas de protección de datos, de las responsabilidades derivadas de dicha circunstancia. Campusmedica. com no recoge datos de personas menores de catorce años a través de su página web. En el supuesto de que una persona menor de catorce años facilite sus datos a través de los formularios dispuestos al efecto en nuestra página web o en cualquier otro canal de recogida de los mismos, se procederá a su destrucción inmediata en el mismo momento en que se tenga conocimiento de tal circunstancia. Con la finalidad de dar cumplimiento a lo establecido en el artículo 4.3 de la LOPD, el destinatario del servicio se compromete a comunicar a FEMEL los cambios que se produzcan en sus datos, de forma que respondan con veracidad a su situación actual en todo momento. 5. PRINCIPIO DE SEGURIDAD DE LOS DATOS. FUNDACION ESPAÑOLA DE MEDICNA ESTÉTICA Y LONGEVIDAD (FEMEL) se compromete al cumplimiento de su obligación de secreto respecto de los datos de carácter personal y de su deber de guardarlos y adoptará todas las medidas de índole técnica y organizativa necesarias que garanticen la seguridad de los datos de carácter C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/18 personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que estén expuestos, ya provengan de la acción humana o del medio físico o natural, desarrolladas en el Título VIII del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal. 6. EJERCICIO DE DERECHOS En cumplimiento de lo establecido en la LOPD y el Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la misma, el destinatario del servicio puede ejercitar, en cualquier momento, sus derechos de acceso, rectificación, cancelación y oposición ante el responsable del fichero o del tratamiento, adjuntando fotocopia de su DNI. 7. RESPONSABLE DEL FICHERO O DEL TRATAMIENTO El responsable del fichero o del tratamiento es Clínica Garcilaso con dirección a efectos de notificaciones en Calle Garcilaso, 7 28010 Madrid. >> FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos, en adelante RGPD) reconoce a cada autoridad de control, y según lo establecido en los artículos 47, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para iniciar este procedimiento. El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/18 II El artículo 4 del el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento General de Protección de Datos, en adelante RGPD), bajo la rúbrica “Definiciones”, dispone que: “A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” Por lo tanto, de conformidad con dichas definiciones, la recogida de datos de carácter personal a través de formularios incluidos en una página web constituye un tratamiento de datos, respecto del cual el responsable del tratamiento ha de dar cumplimiento a lo previsto en el artículo 13 del RGPD. En relación con este asunto, se observa que la Agencia Española de Protección de Datos tiene a disposición de los ciudadanos, la Guía para el cumplimiento del deber de informar (https://www.aepd.es/media/guias/guia-modelo-clausula-informativa.pdf) y, en caso de realizar tratamientos de datos de bajo riesgo, la herramienta gratuita Facilita (https://www.aepd.es/herramientas/facilita.html). III El artículo 7 del RGPD, regula las condiciones para el consentimiento, indicándose lo siguiente: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/18 fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato.” El artículo 13 del RGPD, precepto en el que se determina la información que debe facilitarse al interesado en el momento de la recogida de sus datos, dispone que: “1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  3. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  4. b)los datos de contacto del delegado de protección de datos, en su caso;
  5. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  6. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  7. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  8. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  9. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/18
  10. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  11. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  12. d)el derecho a presentar una reclamación ante una autoridad de control;
  13. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  14. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. Por su parte, el artículo 11 de la LOPDGDD, dispone lo siguiente: “1. Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información. 2. La información básica a la que se refiere el apartado anterior deberá contener, al menos:
  15. a)La identidad del responsable del tratamiento y de su representante, en su caso.
  16. b)La finalidad del tratamiento.
  17. c)La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. Si los datos obtenidos del afectado fueran a ser tratados para la elaboración de perfiles, la información básica comprenderá asimismo esta circunstancia. En este caso, el afectado deberá ser informado de su derecho a oponerse a la adopción de decisiones individuales automatizadas que produzcan efectos jurídicos sobre él o le C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/18 afecten significativamente de modo similar, cuando concurra este derecho de acuerdo con lo previsto en el artículo 22 del Reglamento (UE) 2016/679.” IV En virtud de lo establecido en el artículo 58.2 del RGPD, la Agencia Española de Protección de Datos, en cuanto autoridad de control, dispone de un conjunto de poderes correctivos en el caso de que concurra una infracción a los preceptos del RGPD. El artículo 58.2 del RGPD dispone lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  18. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...) “
  19. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” “
  20. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” El artículo 83.5.a y
  21. b)del RGPD establece que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  22. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9.
  23. b)los derechos de los interesados a tenor de los artículos 12 a 22;” El artículo 72.1
  24. c)de la LOPDGDD, establece lo siguiente: “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/18
  25. c)El incumplimiento de los requisitos exigidos por el artículo 7 del Reglamento (UE) 2016/679 para la validez del consentimiento” A su vez, el artículo 74.
  26. a)de la LOPDGDD, bajo la rúbrica “Infracciones consideradas leves dispone: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular las siguientes:
  27. a)El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679.” V En este supuesto, se ha accedido a la política de privacidad de la entidad reclamada a través del enlace ***URL.4, ubicado en el sitio web ***URL.1 donde se ha constatado que la entidad reclamada no tiene su política de privacidad actualizada ya que hace alusión a la LOPD 15/1999, actualmente derogada por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Como consecuencia de ello, se ha constatado que siguiendo este enlace ***URL.2 , y accediendo al formulario para la inscripción en cursos de formación de la entidad reclamada, no existe casilla donde otorgar o no consentimiento expreso para el tratamiento de datos de carácter personal, ni se proporciona la información que en materia de protección de datos establece el artículo 13 del RGPD, indicado en el fundamento III. Igualmente, se ha constatado que en la página web citada, el consentimiento para el tratamiento de los datos, no se recoge de forma diferenciada, al no existir casilla de aceptación al pie del formulario, lo cual implicaría la infracción del artículo 7 del RGPD, de conformidad con el fundamento de derecho III. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/18 Por lo tanto, de conformidad con las evidencias de las que se dispone en el presente momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, los hechos expuestos podrían constituir, por parte del reclamado, dos infracciones, una conforme a lo dispuesto en el artículo 13 del RGPD y otra conforme al artículo 7 del RGPD. Asimismo, de confirmarse la existencia de infracción, de acuerdo con lo establecido en el citado artículo 58.2.
  28. b)del RGPD, en la resolución podrá ordenarse al reclamado, como responsable del tratamiento, la adecuación de la información ofrecida a los usuarios cuyos datos personales se recaban de los mismos a las exigencias contempladas en el artículo 13 del RGPD, así como la corrección del formulario, de conformidad con el artículo 7 del RGPD, debiendo aportar medios de prueba acreditativos del cumplimiento de lo requerido. VI A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  29. a)a
  30. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  31. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  32. b)la intencionalidad o negligencia en la infracción;
  33. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  34. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  35. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/18
  36. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  37. g)las categorías de los datos de carácter personal afectados por la infracción;
  38. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  39. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  40. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  41. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Respecto al apartado
  42. k)del artículo 83.2 del RGPD, la LOPDGDD, artículo 76, “Sanciones y medidas correctivas”, dispone: “2. De acuerdo a lo previsto en el artículo 83.2.
  43. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  44. a)El carácter continuado de la infracción.
  45. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  46. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  47. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  48. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  49. f)La afectación a los derechos de los menores.
  50. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  51. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso a la entidad reclamada como responsable de una infracción tipificada en el artículo 83.5.
  52. b)del RGPD, en una valoración inicial, se estiman concurrentes los siguientes factores atenuantes: - La reclamada no tiene infracciones previas (83.2
  53. e)RGPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/18 Procede graduar cada sanción a imponer a la reclamada y fijarla en la cuantía de 2000 € cada una, por la infracción del artículo 58.2 del RGPD. Por lo tanto, a tenor de lo anteriormente expuesto, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a FUNDACIÓN ESPAÑOLA DE MEDICINA ESTÉTICA Y LONGEVIDAD con NIF G83417501 de conformidad con lo previsto en el artículo 58.2.
  54. b)del RGPD, por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.
  55. b)del RGPD SEGUNDO: INICIAR PROCEDIMIENTO SANCIONADOR a FUNDACIÓN ESPAÑOLA DE MEDICINA ESTÉTICA Y LONGEVIDAD con NIF G83417501 de conformidad con lo previsto en el artículo 58.2.
  56. b)del RGPD, por la presunta infracción del artículo 7 del RGPD, tipificada en el artículo 83.5.
  57. a)del RGPD TERCERO: NOMBRAR como Instructora a B.B.B. y como Secretario a C.C.C., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). CUARTO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuestas por la reclamante y los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en relación con dicha reclamación; todos ellos forman parte del expediente. QUINTO: QUE a los efectos previstos en el art. 64.2
  58. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de 2.000 euros (dos mil euros), por cada infracción, sin perjuicio de lo que resulte de la instrucción. SEXTO: NOTIFICAR el presente acuerdo a FUNDACIÓN ESPAÑOLA DE MEDICINA ESTÉTICA Y LONGEVIDAD con NIF G83417501, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/18 Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  59. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de cada sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, cada sanción quedaría establecida en 1600 euros, resolviéndose el procedimiento con la imposición de cada sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de las sanciones propuestas, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, cada sanción quedaría establecida en 1600 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de cada sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de cada sanción quedaría establecido en 1200 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra cada sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente 1600 o 1200 euros, por cada sanción, deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/18 S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la AEPD, P.O. la Subdirectora General de Inspección de Datos, Olga Pérez Sanjuán, Resolución 4/10/2021 >> SEGUNDO: En fecha 29 de noviembre de 2021, la parte reclamada ha procedido al pago de la sanción en la cuantía de 2400 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/18 En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para sancionar las infracciones que se cometan contra dicho Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c),
  60. d)e
  61. i)y 38.4 d),
  62. g)y
  63. h)de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo 43.1 de dicha Ley. II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento PS/00416/2021, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a FUNDACIÓN ESPAÑOLA DE MEDICINA ESTÉTICA Y LONGEVIDAD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/18 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  64. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-160721 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.