← España

PS-00457-2021

1/23  Expediente N.º: PS/00457/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 07/07/2020 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra GYMOOGIMNASIOS S.L. con NIF B86643772 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: que en el polideportivo San Benito ubicado en San Cristóbal de la Laguna y dependiente del Ayuntamiento de La Laguna se ha implantado un sistema de reserva de acceso a las instalaciones por medio de una aplicación. Para darse de alta en la aplicación se obliga a los usuarios a aceptar el párrafo de consentimiento de uso de datos confidenciales relativos a la salud. El 11/10/19 el reclamante presentó una queja ante el centro deportivo y le han comunicado que si quiere utilizar las instalaciones debe ceder sus datos obligatoriamente. El 17/10/19 presentó un escrito ante la Dirección General de Comercio y Consumo del Gobierno de Canarias, entidad que ha concluido que se aprecian indicios de infracción de la normativa de protección de datos. Y aporta la siguiente documentación: - Captura de pantalla de formulario para darse de alta en mywellness.com. - Copia de la reclamación presentada por el reclamante con fecha 17/10/2019 y la resolución emitida por la Dirección General de Comercio y Consumo con fecha 04/03/2020. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación al Ayuntamiento de San Cristóbal de La Laguna, entidad de la que depende el polideportivo objeto de reclamación, con fechas 22 de julio y 4 de agosto de 2021, de conformidad con la LPACAP, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. No se recibió contestación a las solicitudes efectuadas. TERCERO: Con fecha 20/10/2020, la Directora de la AEPD acuerda la admisión a trámite de la reclamación. CUARTO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del Reglamento (UE) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/23 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Con fecha 18/03/2021 se recibe en esta Agencia, escrito del reclamado manifestando los siguientes aspectos relevantes: Aporta copia de escritura notarial de “ESCRITURA DE CESIÓN DE CONTRATO ADMINISTRATIVO” donde consta: “[…] I. LA LAGUNA GESTIÓN ACTIVA UTE suscribió, con fecha 21 de septiembre de 2005 un “CONTRATO ADMINISTRATIVO DE CONCESIÓN DE OBRA PÚBLICA PARA LA EXPLOTACIÓN DE LOS COMPLEJOS DEPORTIVOS DEL EXCMO. AYUNTAMIENTO DE SAN CRISTÓBAL DE LA LAGUNA” con el Excmo. Ayuntamiento de San Cristóbal de la Laguna. […] II. Que mediante escrito presentado ante el Excmo. Ayuntamiento de San Cristóbal de la Laguna, con fecha 25 de abril de 2017, en cumplimiento de los acuerdos previamente alcanzados entre sí, LA LAGUNA GESTIÓN ACTIVA UTE y GYMOOGIMNASIOS, S.L. solicitaron ante el Excmo. Ayuntamiento de San Cristóbal de la Laguna, que autorizara la cesión del contrato administrativo referido por parte de la posición contractual de la LA LAGUNA GESTIÓN ACTIVA UTE a favor de GYMOOGIMNASIOS, S.L.[…] III: Que el Excmo. Ayuntamiento de San Cristóbal de la Laguna, por medio de acuerdo de la Junta de Gobierno Local de fecha 4 de julio de 2017, autorizó la cesión contractual solicitada, […]” IV. Que operada la cesión y a resultas de la autorización otorgada por el Excmo. Ayuntamiento de San Cristóbal de la Laguna, GYMOOGIMNASIOS, S.L. (en lo sucesivo también “LA CESIONARIA”) asume la posición contractual de la LA LAGUNA GESTIÓN ACTIVA UTE (en lo sucesivo también “LA CEDENTE”) en el mencionado contrato administrativo, subrogándose en la posición contractual de la misma. […]” No se aporta copia del contrato tal y como se solicitó en requerimiento de fecha 03/03/2021. 2. Que en contestación al requerimiento de información relativa a contrato firmado con TECHNOGYM TRADING, S.A. o con TECHNOGYM, S.P.A. en relación al uso de la app mywelless o la web mywellness.com, aporta copia de contrato de GYMOOGIMNASIOS, S.L. con TECHNOGYM TRADING S.A. firmado en fecha 22/01/2019 donde constan los productos y servicios “mywellness apps&services” y “MWCLOUD EXTERNAL DEVICES 60M” y consta como “destino” el texto “CENTRO DEPORTIVO SAN BENITO LEOPOLDO DE LA ROSA OLIVERA S/N, 38201 SAN CRISTÓBAL DE LA LAGUNA”. Consta asimismo el texto “Al aceptar esta orden de compra a Technogym, el cliente acepta las condiciones generales de venta de Technogym adjunto detallados, así como el Master Service Agreement publicado en docs.mywellness.com/msa/msa_488.pdf” 3. No se aporta contestación a la pregunta en relación a si para poder realizar reservas en ese centro deportivo es necesario disponer de una cuenta de usuario en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/23 aplicación móvil mywellness o bien en la página web mywellness.com e indicación, en caso negativo, del procedimiento a seguir por un usuario, para realizar reservas en dicho centro deportivo. Con fecha 26/08/2021 se comprueba que en la página web titulada “Crear una nueva cuenta Mywellness” con url https://mywellness.com/sanbenito/User/RegisterUser/ consta: “En FITNESS 4 ALL SAN BENITO utilizamos mywellness cloud de Technogym para gestionar tu estilo de vida de wellness Mejorar la salud y conseguir estar más activo es ahora más fácil que nunca. mywellness te permite acceder a tus datos de fitness y estilo de vida, tus programas de entrenamiento y mucho más sobre la marcha, en cualquier parte del mundo. ¿Qué puede hacer mywellness por ti? Inicia sesión en un equipo Technogym conectado, accede a tus aplicaciones y a tu contenido personalizado y consigue que tus ejercicios se inicien automáticamente según tu programa. Gestiona tu programa de entrenamiento directamente en la web o desde tu teléfono móvil. Registra tus medidas corporales y haz un seguimiento de tu estado de salud. Conecta mywellness con aplicaciones populares de control nutricional y de fitness y dispositivos como Polar, Garmin, Apple Health, RunKeeper, Strava, Mapmyfitness y muchos más. Registra y comparte todos tus datos de movimientos, deporte al aire libre y entrenamiento en interior con tu entrenador para conseguir un programa realmente personalizado. Para acceder a esta increíble experiencia, solo tienes que crear tu cuenta mywellness personal y compartir tus datos con FITNESS 4 ALL SAN BENITO.” Asimismo, consta un formulario de recogida de datos con los siguientes datos: nombre y apellidos, fecha de nacimiento, sexo, peso, altura, país, e-mail. Consta un checkox con el texto “Autorizo el tratamiento de mis datos relativos a la salud para los fines relacionados con la prestación del servicio *” y el texto “(*) Obligatorio”. Con fecha 26/08/2021 se comprueba que en la política de privacidad de la web mywellness.com se identifica al responsable como TECHNOGYM S.P.A. Con fecha 03/03/2021 se comprueba en axesor.es que TECHNOGYM TRADING S.A. tiene como accionista a TECHNOGYM S.P.A (ITALIA) con una participación del 99.9%. Con fecha 02/09/2021, GYMOOGIMNASIOS, S.L. remite a esta Agencia la siguiente información y manifestaciones: 1. Que la finalidad del tratamiento de datos de salud es que “Los datos requeridos en el formulario de la app My Wellness tienen como finalidad realizar un correcto feedback al usuario sobre su actividad física, ya que las calorías, o el peso relativo a manejar en máquinas, entre otros parámetros, dependen de estos datos; sexo, edad, peso, complexión.” 2. Que en respuesta a la pregunta “Si para poder realizar reservas en ese centro deportivo es necesario disponer de una cuenta de usuario en la aplicación móvil C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/23 mywellness o bien en la página web mywellness.com. En caso negativo, indicar detalladamente el procedimiento a seguir por un usuario […]” responde que “para poder realizar reservas en My Wellness hay que tener una cuenta de usuario y por lo tanto registrarse en la misma, no se dispone de opción B.” Con fecha 02/09/2021 se comprueba que en la url docs.mywellness.com/msa/msa_488.pdf consta un documento titulado “CONTRATO MARCO DE SUSCRIPCIÓN” donde consta: “El presente Contrato Marco de Suscripción (o «CMS») constituye los términos y condiciones generales que regulan la relación entre el Cliente identificado en el Pedido y Technogym Trading S.A., sociedad constituida en España, con número de sociedad A-62301338[…] […] 1.3. La Empresa facilitará que los Servicios sean puestos a disposición del Cliente y de los usuarios de éste, entendiéndose por tales las personas autorizadas por el Cliente para el uso del Servicio y a las que se el Cliente, o la Empresa a requerimiento del Cliente, les haya facilitado un nombre de usuario y una contraseña (denominados en lo sucesivo, los «Usuarios»). El término «Usuarios» incluirá, sin carácter exhaustivo, a los clientes, empleados, consultores, empleados y agentes del Cliente, así como los de aquellos terceros con los que el Cliente mantenga relaciones comerciales. […] 4. TRATAMIENTO DE DATOS. 4.1. Por «Datos del Cliente» se entenderá todo el Contenido del Cliente, los datos electrónicos o la información disponible a través del servicio que el Cliente y/o los Usuarios hayan introducido, o hayan recogido, de cualquier modo, a través del Servicio. […] 4.2. En relación con el tratamiento de los Datos Personales durante la utilización del Servicio en virtud del presente Contrato, el Cliente tendrá la consideración de responsable del tratamiento […] 4.3. Technogym tratará los Datos Personales en nombre del Cliente y en calidad de encargado del tratamiento, de conformidad con el Contrato de Tratamiento de Datos formalizado entre el Proveedor y el Cliente. […]” QUINTO: Con fecha 20/10/2020 la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por la parte reclamante. SEXTO: Con fecha 01/10/2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador por las presuntas infracciones de los artículos del 5.1.

  1. c)y 7 del RGPD, tipificadas en el artículo 83.5.
  2. a)del RGPD, una sanción de 25.000 euros por ambas infracciones. SEPTIMO: Notificado el acuerdo de inicio, el reclamado mediante escrito de 21/10/2021 presento escrito de alegaciones manifestando lo siguiente: que en el requerimiento de información no se había aportado copia del contrato tal y como se solicitó en el mismo; no obstante, se adjuntan los pliegos de condiciones técnicas y administrativas del concurso; que no quedo totalmente informado de forma correcta que para el acceso a la instalación no es necesaria disponer de cuenta usuaria en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/23 Mywellnes. Las reservas y accesos a las clases se pueden hacer mediante reserva presencial en el centro con anterioridad a la clase y sujeto a disponibilidad de las mismas y que la adhesión del usuario a la aplicación Mywellness es de forma voluntaria y para su propio uso. OCTAVO: Con fecha 14/01/2022, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducido a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento E/08483/2020. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por el reclamado y la documentación que a ellas acompaña. - Que el reclamante en e-mail de 11/10/2019 manifestaba en relación con el sistema de implantación de reservas llevado a cabo por el reclamado que “También dan la oportunidad de poder hacer las reservas en el centro, para lo que venden un dispositivo electrónico al precio de 1 € pero igualmente es necesario recibir la invitación por correo electrónico e inscribirse”: ¿Como se gestiona ese proceso de reserva? ¿En qué consiste dicho dispositivo electrónico? ¿Qué datos son necesario aportar? ¿Cómo se gestiona y tratan dichos datos? ¿Como se realiza su alta?, etc. - Aportar copia del resultado de las cuentas anuales de la empresa durante el ejercicio 2020 (resultado económico de la entidad durante dicho año). Solicitar al reclamante para que explique sucintamente en que consiste dicho sistema de reserva de actividades a que se refería en su reclamación: ¿En qué consiste dicho dispositivo electrónico? ¿Qué datos tuvo que aportar o que es necesario aportar para el alta? ¿Como se realiza el alta?, etc. El 24 y 28/01/2022 tanto el reclamante como el reclamado dieron repuesta a las pruebas practicas cuyo contenido obra en el expediente. NOVENO: En fecha 22/04/2022, fue emitida Propuesta de Resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos se sancionara al reclamado por infracción de los artículos 5.1.
  3. c)y 7 del RGPD, tipificadas en el artículo 83.5.
  4. a)del citado Reglamento, una multa para cada una de ellas de 5.000 € (cinco mil euros). El reclamado solicito el 09/05/2022 ampliación del plazo concedido para presentar alegaciones, que fue atendido por el instructor del procedimiento. El reclamado presentó el 13/05/2022 escrito en el manifestaba que le interesaba aclarar el malentendido surgido sobre la utilización de la aplicación Mywellnes y que los usuarios no tenían ninguna obligación ni la necesidad de utilizar la aplicación sino que era opcional y voluntaria; que únicamente se accede a los datos personales de sus usuarios registrados en la plataforma Mywellness en el supuesto de que hayan consentido de manera expresa y voluntaria a dicha comunicación para obtener las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/23 funcionalidades específicas del centro; la improcedencia de las sanciones impuestas por presuntas infracciones de los artículo 5.1.
  5. c)y 7 del RGPD; la ausencia de proporcionalidad de la propuesta de Resolución. HECHOS PROBADOS PRIMERO. El 10/12/2020 tiene entrada en la AEPD escrito del reclamante manifestando que en el centro polideportivo San Benito de San Cristóbal de la Laguna y dependiente del Ayuntamiento de La Laguna se ha implantado un sistema de reserva de acceso a las instalaciones por medio de una aplicación y en la que para darse de alta es obligatorio dar el consentimiento para el uso de los datos de carácter personal entre los que se encuentran los relativos a la salud. SEGUNDO. Consta aportada copia del DNI del reclamante. TERCERO. El 11/10/2019 el reclamante se dirigió mediante e-mail al Organismo Autónomo de Deportes indicando que: “A partir de este mes de octubre, se ha puesto en marcha en el polideportivo de San Benito una modalidad para participar en algunas actividades que requiere la inscripción del usuario en una plataforma que se llama Mywellness Cloud, de la empresa Technogym. El centro te envía una invitación a un correo electrónico que tu proporcionas de las diferentes actividades. Esta aplicación te permite hacer las reservas comidamente sin que tener que ir al centro a hacerlo. También dan la oportunidad de poder hacer las reservas en el centro, para lo que vende un dispositivo electrónico al precio de 1 €, pero igualmente es necesario recibir la invitación por correo electrónico e inscribirse. El motivo de mi correo es que a la hora de inscribirse en la citada plataforma Mywellness Cloud de la empresa Technogym, da dos opciones en las que hay que marcar con un aspa si se desea, estas son básicamente las siguientes: 1. Aceptar la cesión de los datos médicos entre otras cosas. 2. Aceptar el envío de consejos de publicidad. Lo sorprendente es que la opción 1 no es una opción pues si no se marca no permite la inscripción y por tanto no se puede descargar la aplicación. Me he puesto en contacto con el responsable del centro (…) quien amablemente me atendió y consulto con la empresa las posibilidades. Finalmente me llamo para informarme que no se podían hacer cambios. Me propuso con su mejor intención una posibilidad que para mí no es aceptable pues lo único que se consigue con eso es ocultar el problema y no cumplir con la preceptiva LOPD. No es objeto de mi escrito analizar que ocurre con nuestros datos personales ya sean de salud, económicos o de costumbres y como nos afectan, pero lo que no es aceptable es que el centro nos obligue es ceder los datos a terceros si no queremos, esto es desde mi punto de vista un flagrante incumplimiento de la LOPD. (…)” El organismo ese mismo día le respondía en los siguientes términos: “El Organismo Autónomo de Deportes no se encarga de la gestión de los Complejos Deportivos, llevando los mismos una empresa externa que como usted bien hizo se lo comunicó al responsable de dicha empresa ya que son ellos quienes han instalado ese programa y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/23 no nosotros. De todas formas, yo le hago llegar este correo a los Técnicos del Organismo para su conocimiento”. CUARTO. El reclamante en escrito de 24/01/2022 ha manifestado en relación con la reserva de actividades en el centro que “El sistema de reserva es por medio de una APP de forma remota y físicamente en el centro deportivo con un dispositivo de pulsera. En los dos casos hay que cumplimentar un registro en el que DE MANERA OBLIGATORIA HAY QUE ACEPTAR LA CESIÓN DE LOS DATOS DE SALUD.” QUINTO. El reclamante ha aportado impresión de pantalla de formulario para crear una nueva cuenta en mywellness.com, en el sentido señalado en el correo anterior. Así, en el mismo figura lo siguiente: “He leído y entendido la Política de privacidad (https://www.mywellness.com/sanbenito/Terms/Privacy) y las Condiciones de uso (https://www.mywellness.com/sanbenito/Terms/Conditions) Por la presente doy mi consentimiento para el uso de mis datos confidenciales relativos a la salud para los fines de prestación del servicio *. Autorizo el tratamiento de mis datos personales para fines de marketing y publicidad, incluso en colaboración con terceros. *Obligatorio SEXTO. El reclamante presentó el 17/10/2019 Hoja de Reclamación por los mismos hechos ante la Dirección General de Consumo de la Consejería de Economía, Industria, Comercio y Conocimiento del Gobierno de Canarias. La respuesta de 04/03/2020 de la Dirección General de Consumo fue que de la reclamación “se desprenden indicios que pueden suponer incumplimiento de la Ley 15/1999, de 13 de diciembre de Protección de Datos de Carácter Personal” SEPTIMO. El reclamado ha aportado Escritura de Cesión de Contrato Administrativo que fue suscrito por la entidad La Laguna Gestión Activa Ute el 21/09/2005 para la explotación de los Complejos Deportivos del Ayuntamiento de San Cristóbal de La Laguna. OCTAVO. El reclamado ha aportado copia de contrato suscrito con TECHNOGYM TRADING S.A. de fecha 22/01/2019. NOVENO. En la página web titulada “Crear una nueva cuenta Mywellness” con url https://mywellness.com/sanbenito/User/RegisterUser/ consta: “En FITNESS 4 ALL SAN BENITO utilizamos mywellness cloud de Technogym para gestionar tu estilo de vida de wellness Mejorar la salud y conseguir estar más activo es ahora más fácil que nunca. mywellness te permite acceder a tus datos de fitness y estilo de vida, tus programas de entrenamiento y mucho más sobre la marcha, en cualquier parte del mundo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/23 ¿Qué puede hacer mywellness por ti? Inicia sesión en un equipo Technogym conectado, accede a tus aplicaciones y a tu contenido personalizado y consigue que tus ejercicios se inicien automáticamente según tu programa. Gestiona tu programa de entrenamiento directamente en la web o desde tu teléfono móvil. Registra tus medidas corporales y haz un seguimiento de tu estado de salud. Conecta mywellness con aplicaciones populares de control nutricional y de fitness y dispositivos como Polar, Garmin, Apple Health, RunKeeper, Strava, Mapmyfitness y muchos más. Registra y comparte todos tus datos de movimientos, deporte al aire libre y entrenamiento en interior con tu entrenador para conseguir un programa realmente personalizado. Para acceder a esta increíble experiencia, solo tienes que crear tu cuenta mywellness personal y compartir tus datos con FITNESS 4 ALL SAN BENITO.” DECIMO. El reclamado en respuesta de 02/09/2021 al requerimiento formulado por el inspector actuante acerca de la ha manifestado que: “1 – Finalidad del Tratamiento de Datos de Salud. Los datos requeridos en el formulario de la app My Wellnes tienen como finalidad realizar un correcto feedback al usuario sobre su actividad física, ya que las calorías, o el peso relativo a manejar en máquinas, entre otros parámetros, dependen de estos datos; sexo, edad, peso, complexión. 2 – Cuenta de Usuario: para poder realizar reservas en My Wellnes hay que tener una cuenta de usuario y por lo tanto registrarse en la misma, no se dispone de opción B”. UNDECIMO. Consta aportado documento Privacidad relativo al tratamiento de los datos personales en el marco del Servicio Mywellnes. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Los hechos denunciados se concretan en que el reclamado ha implantado un sistema de reserva de acceso a las instalaciones por medio de una aplicación y que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/23 para darse de alta en la misma los usuarios están obligados a otorgar el consentimiento en relación con los datos de carácter personal, entre ellos los relativos a la salud. El artículo 58 del RGPD, Poderes, señala: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  6. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; (…)” En primer lugar, se imputa al reclamado la vulneración del artículo 5 del RGPD, Principios relativos al tratamiento, apartado
  7. c)que establece: “1. Los datos personales serán: (…)
  8. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); (…) III 1. La documentación obrante en el expediente ofrece indicios evidentes de que el reclamado vulneró el artículo 5 del RGPD, principios relativos al tratamiento, al establecer como condición para el acceso y uso de las instalaciones la cesión de datos de carácter personal, entre ellos los relativos a la salud y abrir una cuenta en mywellness.com., sin justificación alguna. El artículo 5 del RGPD se refiere a los principios generales para el tratamiento de datos. En su apartado
  9. c)se hace referencia al principio de minimización de datos, indicando que los datos han de ser “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”. Si examinamos la definición podemos deducir que solo se pueden recabar los datos personales que se vayan a tratar, es decir, aquellos que sean estrictamente necesarios para el tratamiento; que solo podrán ser recogidos cuando vayan a ser tratados y que solo podrán ser utilizados para la finalidad para la que fueron recogidos, pero no con ningún otro objetivo o finalidad. En este mismo sentido el Considerando 39 señala que: “

(39)Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/23 fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos. Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento” (el subrayado es de la AEPD). Se considera que el reclamado ha incurrido en infracción del principio de minimización por cuanto el tratamiento de los datos confidenciales de salud de los usuarios del gimnasio para el acceso a las diversas actividades con su consiguiente reserva a través del servicio mywelnes, siendo el único modo de acceder a los servicios ofertados, supone la utilización de los datos de forma no proporcionada y excesiva en relación con el ámbito y finalidades determinadas, con vulneración del artículo 5.1
  1. c)del RGPD. Y es que el mismo objetivo podría lograrse mediante otros medios no tan invasivos de la privacidad de los usuarios. 2. En el presente caso, el reclamado y TECHNOGYM suscribieron un contrato marco firmado el 22/01/2019, en virtud del cual este último facilitaba al reclamado sus servicios para ser puestos a su disposición y de sus usuarios o clientes, entre los que se encuentra el uso de la aplicación mywelless. En virtud del citado contrato, en lo referente al tratamiento de los datos de carácter personal, el reclamado tiene la consideración de responsable del tratamiento mientras que TECHNOGYM tratará los datos en calidad de encargado del tratamiento. Este servicio fue implantado por el reclamado si bien para ello era necesario según consta en la página web titulada “Crear una nueva cuenta Mywellness” con url ttps://mywellness.com/sanbenito/User/RegisterUser/, creando una cuenta mywellness personal y compartir los datos de carácter personal con el reclamado. Una de las utilizades de la citada aplicación es la participación en las actividades programadas por el centro mediante la reserva de las mismas con anticipación, para lo que se requiere la inscripción del usuario en el servicio Mywellness Cloud. De esta forma el centro te envía una invitación a un correo electrónico que le proporcionas en el formulario en el momento de la inscripción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/23 Ahora bien, el uso de la aplicación y el acceso a los servicios que proporciona solo es posible si das obligatoriamente el consentimiento sobre el uso de los datos confidenciales relativos a la salud. Así consta en el formulario de creación de la cuenta donde figura lo siguiente: “He leído y entendido la Política de privacidad (https://www.mywellness.com/sanbenito/Terms/Privacy) y las Condiciones de uso (https://www.mywellness.com/sanbenito/Terms/Conditions) Por la presente doy mi consentimiento para el uso de mis datos confidenciales relativos a la salud para los fines de prestación del servicio *. Autorizo el tratamiento de mis datos personales para fines de marketing y publicidad, incluso en colaboración con terceros. *Obligatorio” Esgrime el reclamado en escrito de 02/09/2021 en cuanto a la finalidad del tratamiento de los datos de salud que “Los datos requeridos en el formulario de la app My Wellnes tienen como finalidad realizar un correcto feedback al usuario sobre su actividad física, ya que las calorías, o el peso relativo a manejar en máquinas, entre otros parámetros, dependen de estos datos; sexo, edad, peso, complexión” Y que en cuanto a la creación de la cuenta de usuario “para poder realizar reservas en My Wellnes hay que tener una cuenta de usuario y por lo tanto registrarse en la misma, no se dispone de opción B”. Lo que viene a confirmar lo señalado por el reclamante cuando manifiesta que: “Me he puesto en contacto con el responsable del centro (…) quien amablemente me atendió y consulto con la empresa las posibilidades. Finalmente me llamo para informarme que no se podían hacer cambios. Me propuso con su mejor intención una posibilidad que para mí no es aceptable pues lo único que se consigue con eso es ocultar el problema y no cumplir con la preceptiva LOPD”. Por otra parte, es cierto que el reclamado ha manifestado que las reservas y accesos a las actividades se pueden realizar de forma presencial en el centro deportivo, no disponiéndose de dispositivo electrónico alguno; pero también es cierto que el reclamante señalaba en escrito de 22/01/2022 que el sistema de reserva es por medio de una aplicación de forma remota y presencialmente en el centro con un dispositivo de pulsera, pero que en ambos casos es obligatorio cumplimentar un registro donde hay que aceptar la cesión de los datos de salud. Por tanto, el tratamiento de los datos relacionados con la salud resulta excesivo para la finalidad perseguida de darse de alta en el Servicio Mywelness y poder realizar reservas de actividades en el centro. 3. El artículo 5.1.
  2. c)consagra el principio de minimización de datos y supone que el tratamiento de los datos personales debe ser ajustado y proporcional a la finalidad a la que se dirige, determinando claramente los fines para los que se recogen y tratan los datos, debiendo restringirse el tratamiento de aquellos que sean excesivos o bien procederse a la supresión de los mismos. Asimismo, la pertinencia en el tratamiento de los datos debe producirse tanto en el ámbito de la recogida como en el posterior tratamiento que se realice de los mismos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/23 Sin embargo, el sistema empleado por parte del reclamado es relevante a la hora de valorar la injerencia en el derecho fundamental de protección de datos. Hay que señalar que el RGPD limita el uso o tratamiento de los datos por la necesidad y no por el exceso de los mismos; es decir, los datos personales deberán ser los adecuados, los necesarios, pertinentes y limitados a la necesidad para la que fueron recabados. Ya con anterioridad la jurisprudencia Tribunal Constitucional ha establecido que, si el objetivo puede alcanzarse sin realizar un tratamiento de datos, los mismos no deberían ser tratados. Por otro lado, dicha limitación a lo necesario debe ser evaluada tanto desde un punto de vista cuantitativo (volumen de datos tratados) como cualitativo (categoría de datos tratados). En ese mismo sentido lo señala el Considerando 39 cuando señala que “…Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios…” IV La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo 83.5
  3. a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  4. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…) V En segundo lugar, se imputa al reclamado la vulneración del artículo 7, Condiciones para el consentimiento, del RGPD que establece: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/23 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato” (el subrayado corresponde a la AEPD). El artículo 4 del RGPD, Definiciones, en sus apartados 2 y 11, señala que: “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. El artículo 5, Principios relativos al tratamiento, del RGPD dispone: “1. Los datos personales serán:
  5. a)tratados de manera lícita, leal y transparente en relación con el interesado (“licitud, lealtad y transparencia”); (…)” 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (“responsabilidad proactiva”).” El artículo 6, Licitud del tratamiento, del RGPD establece: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  6. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; (…)” El artículo 9, Tratamiento de categorías especiales de datos personales, establece: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/23 “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
  7. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado; (…)” Los considerandos 32 y 42 del RGPD señalan que: «
(32)El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta. (…)
(42)Cuando el tratamiento se lleva a cabo con el consentimiento del interesado, el responsable del tratamiento debe ser capaz de demostrar que aquel ha dado su consentimiento a la operación de tratamiento. En particular en el contexto de una declaración por escrito efectuada sobre otro asunto, debe haber garantías de que el interesado es consciente del hecho de que da su consentimiento y de la medida en que lo hace. De acuerdo con la Directiva 93/13/CEE del Consejo, [de 5 de abril de 1993, sobre las cláusulas abusivas en los contratos celebrados con consumidores (DO 1993, L 95, p. 29),] debe proporcionarse un modelo de declaración de consentimiento elaborado previamente por el responsable del tratamiento con una formulación inteligible y de fácil acceso que emplee un lenguaje claro y sencillo, y que no contenga cláusulas abusivas. Para que el consentimiento sea informado, el interesado debe conocer como mínimo la identidad del responsable del tratamiento y los fines del tratamiento a los cuales están destinados los datos personales. El consentimiento no debe considerarse libremente prestado cuando el interesado no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno.» VI Hay que señalar que en el caso examinado y como se señala en fundamentos anteriores, el responsable del tratamiento ha implantado un sistema de reserva de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/23 actividades programadas en el centro polideportivo mediante una aplicación, que obliga a aceptar el consentimiento para el uso de datos de salud. En el formulario ofrecido para poder crear una nueva cuenta Mywellnes, en el que hay que aportar cuenta de correo electrónico a través de la cual se traslada al centro la reserva y este envía posteriormente confirmación de la misma, se presenta una cláusula de marcación obligatoria en la que se señala: Por la presente doy mi consentimiento para el uso de mis datos confidenciales relativos a la salud para los fines de prestación del servicio. En primer lugar, la definición de consentimiento la encontramos en el artículo 4.11 del RGPD como toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. Por otra parte, de conformidad con lo señalado en el artículo 6 del RGPD el consentimiento es una más de las bases legitimadoras sobre las que un responsable puede realizar un tratamiento de datos personales. De esta forma, para que el tratamiento sea válido deben darse una serie de requisitos y, además, el responsable deberá ser capaz de demostrar que el interesado consintió el tratamiento de sus datos personales. Los datos especialmente protegidos recogidos en el artículo 9 como categorías especiales de datos, son los siguientes: origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos, datos relativos a la salud y datos relativos a la vida u orientación sexual de una persona física. En estos casos, las bases legitimadoras recogidas en el artículo 6 no serían aplicables, estableciendo el propio artículo 9 RGPD unos nuevos supuestos en los que sería lícito este tratamiento. Así recoge como primera posibilidad para poder tratar los datos especialmente protegidos el “consentimiento explícito” en su apartado 2, letra a). Por tanto, para el tratamiento de este tipo de datos debe darse una declaración expresa por parte del interesado. Y además sería necesario conservar la prueba de la misma pues el artículo 7 del RGPD establece que el responsable deberá poder demostrar que obtuvo el consentimiento del interesado. Es por ello que si estamos apoyándonos en la base legitimadora del consentimiento deberemos probar la obtención del mismo. Además, en relación con los artículos citados, se debe tener en cuenta el considerando
(32)del RGPD, pues indica que: “El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen… Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos…” Igualmente, el articulo 6.2 y 3 de la LOPDGDD indica, sobre el tratamiento basado en el consentimiento, que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/23 “2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas. 3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual.” Pues bien, de acuerdo con todo lo expresado anteriormente, en el presente caso el tratamiento de los datos personales requiere la existencia de una base legal que lo legitime, como es, en este caso, la relación contractual existente. Sin embargo, si además la entidad desea realizar un tratamiento de categorías especiales de datos personales, como son los datos de salud, deberá además recabar el consentimiento prestado válidamente y de forma expresa. No es válido, por tanto, marcar obligatoriamente la casilla de aceptación en el formulario de solicitud de cuenta Mywellnes para poder hacer reserva de actividades en el centro deportivo sin dar la opción al usuario a otorgar el consentimiento libre e individualizado. En este caso, el consentimiento no es libre pues se trata de un consentimiento vinculado; el carácter libre de ese consentimiento parece más que dudoso por el hecho de que en el supuesto de una denegación del mismo, apartándose del procedimiento normal de marcación obligatoria, conllevaría la imposibilidad de la inscripción no pudiendo descargar la aplicación y planteando la exigencia de que el cliente ha de declarar obligatoriamente que consiente en el uso de sus datos confidenciales relativos a la salud para los fines de prestación del servicio. No hay que olvidar que el reclamante se puso en contacto con el responsable del centro quien le informo de que no se podían hacer cambios, “Me propuso con su mejor intención una posibilidad que para mí no es aceptable pues lo único que se consigue con eso es ocultar el problema y no cumplir con la preceptiva LOPD”. El considerando 42 del RGPD señala que "el consentimiento no debe considerarse libremente prestado cuando el interesado no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno". También el considerando 43 de la misma norma señala que “Para garantizar que el consentimiento se haya dado libremente, este no debe constituir un fundamento jurídico válido para el tratamiento de datos de carácter personal en un caso concreto en el que exista un desequilibro claro entre el interesado y el responsable del tratamiento, en particular cuando dicho responsable sea una autoridad pública y sea por lo tanto improbable que el consentimiento se haya dado libremente en todas las circunstancias de dicha situación particular". Se presume por tanto que el consentimiento no se ha prestado libremente cuando el cumplimiento de un contrato, incluida la prestación de un servicio, sea dependiente del consentimiento, aun cuando este no sea necesario para dicho cumplimiento (el subrayado es de la AEPD). Los hechos probados sobre el tratamiento de los datos personales son constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 7 del RGPD mencionado, al no posibilitar al usuario realizar un consentimiento libre del tratamiento de los datos persones. VII C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/23 El reclamado ha alegado su disconformidad con el contenido vertido en los fundamentos de la Propuesta de Resolución. 1. Alega que el cliente del gimnasio no tiene obligación, ni necesidad de utilizar la aplicación Mywellness desarrollada por el fabricante de equipamiento de gimnasios Technogym, sino que, es opcional y absolutamente voluntaria. Por tanto, no es necesario crear una cuenta para acceder a las instalaciones, realizar cualquier tipo de ejercicio o actividad en las mismas, como para la reserva de las clases o máquinas disponibles en el Centro, se puede hacer por otros medios, incluyendo la reserva presencial. Sin embargo, tales argumentos no se compadecen con lo señalado por el propio reclamado a lo largo del procedimiento. En primer lugar, como consta en los antecedentes de la resolución el reclamante no ofreció respuesta alguna a la pregunta de si para poder realizar reservas en dicho centro deportivo era necesario disponer de una cuenta de usuario en la aplicación móvil mywellness o bien en la página web mywellness.com e indicación, en caso negativo, del procedimiento a seguir por un usuario, para realizar reservas en dicho centro deportivo. En segundo lugar, el propio reclamado señalaba en escrito de 02/09/2021 en relación con el tratamiento de los datos de salud que “los datos requeridos en el formulario de la app Mywellnes tienen como finalidad realizar un correcto feedback al usuario sobre su actividad física, ya que las calorías, o el peso relativo a manejar en máquinas, entre otros parámetros, dependen de estos datos; sexo, edad, peso, complexión” y que “para poder realizar reservas en Mywellnes hay que tener una cuenta de usuario y por lo tanto registrarse en la misma, no se dispone de opción B”. El mismo reclamante señala tanto en su escrito de reclamación como posteriormente el 24/01/2022 que “El sistema de reserva es por medio de una APP de forma remota y físicamente en el centro deportivo con un dispositivo de pulsera. En los dos casos hay que cumplimentar un registro en el que DE MANERA OBLIGATORIA HAY QUE ACEPTAR LA CESIÓN DE LOS DATOS DE SALUD.” Por último, esa ausencia de opción B como la califica el reclamado se deduce del escrito del propio reclamante de 11/10/2019 “…Lo sorprendente es que la opción 1 (se refiere el reclamante a la marcación obligatoria en el formulario del consentimiento para el uso de datos confidenciales relativos a la salud) no es una opción pues si no se marca no permite la inscripción y por tanto no se puede descargar la aplicación. Me he puesto en contacto con el responsable del centro (…) quien amablemente me atendió y consulto con la empresa las posibilidades. Finalmente me llamo para informarme que no se podían hacer cambios. Me propuso con su mejor intención una posibilidad que para mí no es aceptable pues lo único que se consigue con eso es ocultar el problema y no cumplir con la preceptiva LOPD. No es objeto de mi escrito analizar que ocurre con nuestros datos personales ya sean de salud, económicos o de costumbres y como nos afectan, pero lo que no es aceptable es que el centro nos obligue es ceder los datos a terceros si no queremos, esto es desde mi punto de vista un flagrante incumplimiento de la LOPD”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/23 Además, con independencia de lo que antecede, cualquier persona que deseara opcional y voluntariamente darse de alta en la aplicación y crearse una cuenta para poder acceder a los servicios que proporciona el centro solo sería posible si marcas en el formulario y otorgas obligatoriamente el consentimiento sobre el uso de los datos confidenciales relativos a la salud, lo que en ningún caso puede considerarse adecuado y pertinente. Por tanto, la alegación no puede ser admitida. 2. Alega el reclamado vulneración del principio de proporcionalidad en la sanción impuesta. Hay que señalar que el principio de proporcionalidad supone, según reiterada jurisprudencia del TS, que debe existir una debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada. Pues bien, atendidas las circunstancias concurrentes en el presente caso, se considera que no se ha infringido el principio de proporcionalidad en la determinación de la sanción y que resulta proporcionada a la gravedad de las infracciones cometidas sin que se aprecien razones que justifiquen una reducción de la sanción impuesta, máxime teniendo en cuenta la cuantía a la que podría ascender de conformidad con el art. 83.5.
  1. a)del RGDP, que prevé para las infracciones de los artículos 5 y 7 del RGDP. Por tanto, procede desestimar dicha alegación. VIII La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo 83.5
  2. a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  3. c)El incumplimiento de los requisitos exigidos por el artículo 7 del Reglamento (UE) 2016/679 para la validez del consentimiento. (…) IX C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/23 A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  4. a)a
  5. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  6. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  7. b)la intencionalidad o negligencia en la infracción;
  8. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  9. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  10. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  11. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  12. g)las categorías de los datos de carácter personal afectados por la infracción;
  13. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  14. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  15. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  16. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. En relación con la letra
  17. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
  18. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  19. a)El carácter continuado de la infracción.
  20. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  21. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/23
  22. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  23. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  24. f)La afectación a los derechos de los menores.
  25. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  26. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción a imponer en el presente caso por la infracción tipificada en el artículo 83.5.
  27. a)y artículo 5.1.
  28. c)del RGPD de la que se responsabiliza al reclamado, se estiman concurrentes los siguientes factores: Son circunstancias agravantes: - La naturaleza y gravedad de la infracción pues no hay que olvidar que estamos ante el principio de minimización de datos cuya vulneración se considera muy grave, debiéndose entender que las personas o entidades por su actividad tratan datos de carácter personal deben velar y tener en cuenta la finalidad para las que se recogen, debiendo restringirse el tratamiento de aquellos que sean excesivos; en la operación de tratamiento objeto de la reclamación se encuentran afectados datos personales sujetos a especial protección; el número de personas afectadas pues, aunque se trate de un único reclamante parece evidente que potencialmente se han podido ver afectadas un número considerable de clientes de la entidad; el daño y perjuicio causado al reclamante, puesto que como consecuencia de la incidencia producida tuvo que dirigirse a interponiendo reclamación ante la Dirección General de Consumo de la CCAA (artículo 83.2.
  29. a)del RGPD). - Si bien no es posible sostener que la entidad haya actuado intencionadamente o con dolo, no cabe duda de que ha incurrido en una grave falta de diligencia. Los tratamientos de datos de carácter personal que lleva a cabo deben ser correspondidos con en un deber de extremar esa diligencia a fin de garantizar la tutela efectiva del derecho fundamental que nos ocupa (artículo 83.2.
  30. b)del RGPD). - La entidad reclamada no consta que haya adoptado medidas para evitar que se produzcan incidencias similares con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la misma (artículo 83.2.
  31. c)del RGPD). - Las categorías de los datos de carácter personal afectados por la infracción; como se señalaba con anterioridad en la operación de tratamiento se han visto afectados datos sometidos a especial protección, como los datos de salud (artículo 83.2.
  32. g)del RGPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/23 - La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal (artículo 76.2.
  33. b)de la LOPDGDD en relación con el artículo 83.2.k). Son circunstancias atenuantes: - Se trata de una pequeña empresa. Además, según se desprende de su declaración de impuestos, la situación de pandemia sufrida durante el ejercicio de 2020, ha afectado de manera significativa a las cuentas de la entidad. Con arreglo a los anteriores factores se estima adecuado imponer al reclamado por vulneración del artículo 5.1.
  34. c)del RGPD una sanción de 5.000 euros. En segundo lugar, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción tipificada en el artículo 83.5.
  35. a)y artículo 7 del RGPD de la que se responsabiliza al reclamado, se estiman concurrentes los siguientes factores: Son circunstancias agravantes: - La naturaleza y gravedad de la infracción pues no hay que olvidar que estamos ante la vulneración del consentimiento considerada muy grave, debiéndose entender que las personas o entidades por su actividad proceden a solicitar el consentimiento de sus clientes deben adecuarse a lo señalado en el artículo 7 del RGPD; en la operación de tratamiento objeto de la reclamación se encuentran afectados datos personales sujetos a especial protección; el número de personas afectadas pues, aunque se trate de un único reclamante parece evidente que potencialmente se han podido ver afectadas un número considerable de clientes de la entidad; el daño y perjuicio causado al reclamante, puesto que como consecuencia de la incidencia producida tuvo que dirigirse a interponiendo reclamación ante la Dirección General de Consumo de la CCAA (artículo 83.2.
  36. a)del RGPD). - Si bien no es posible sostener que la entidad haya actuado intencionadamente o con dolo, no cabe duda de que ha incurrido en una grave falta de diligencia. Los tratamientos de datos de carácter personal que lleva a cabo deben ser correspondidos con en un deber de extremar esa diligencia a fin de garantizar la tutela efectiva del derecho fundamental que nos ocupa (artículo 83.2.
  37. b)del RGPD). - La entidad reclamada no consta que haya adoptado medidas para evitar que se produzcan incidencias similares con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la misma (artículo 83.2.
  38. c)del RGPD). - Las categorías de los datos de carácter personal afectados por la infracción; como se señalaba con anterioridad en la operación de tratamiento se han visto afectados datos sometidos a especial protección, como los datos de salud (artículo 83.2.
  39. g)del RGPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/23 - La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal (artículo 76.2.
  40. b)de la LOPDGDD en relación con el artículo 83.2.k). Son circunstancias atenuantes: - Se trata de una pequeña empresa. Además, según se desprende de su declaración de impuestos, la situación de pandemia sufrida durante el ejercicio de 2020 ha afectado de manera significativa a las cuentas de la entidad. Con arreglo a los anteriores factores se estima adecuado imponer al reclamado por vulneración del artículo 7 del RGPD una sanción de 5.000 euros. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a GYMOOGIMNASIOS S.L., con NIF B86643772, por una infracción del artículo 5.1.
  41. c)del RGPD, tipificada en el artículo 83.5.
  42. a)del RGPD, una multa de 5.000 € (cinco mil euros).). SEGUNDO: IMPONER a GYMOOGIMNASIOS S.L., con NIF B86643772, por una infracción del artículo 7 del RGPD, tipificada en el Artículo 83.5.
  43. a)del RGPD, una multa de 5.000 € (cinco mil euros). TERCERO: ORDENAR a GYMOOGIMNASIOS S.L., que, en virtud del artículo 58.2.
  44. d)del RGPD, en el plazo de un mes, adopte las siguientes medidas: - Acredite haber procedido al tratamiento de los datos que sean adecuados, pertinentes y necesarios en relación con los fines para los que se tratan, no exigiendo más de los imprescindibles, al amparo del artículo 5.1.
  45. c)del RGPD. - Acredite que la solicitud del consentimiento se adecua a lo señalado en el artículo 7 del RGPD y al artículo 6 de la LOPDGDD. CUARTO: NOTIFICAR la presente resolución a GYMOOGIMNASIOS S.L. QUINTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  46. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/23 Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  47. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.