PS-00508-2023

1/17  Expediente N.º: EXP202313833 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 30 de enero de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a HUELLAS AVENTURA, S.L. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202313833 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: Dña. A.A.A. (en adelante, la parte reclamante) con fecha 16 de agosto de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra HUELLAS AVENTURA, S.L. con NIF B86304326 (en adelante, la parte reclamada). En el escrito recibido se informa de lo siguiente: La parte reclamante manifiesta que la entidad reclamada, para la inscripción en un viaje escolar, facilita documentación en la que se liga el consentimiento para la contratación del servicio ofertado y para aceptar la política de protección de datos, con la aceptación de la remisión de comunicaciones comerciales. Señala asimismo que se incluyen cláusulas para la aceptación de la recogida de imágenes de menores, sin que en el propio documento se habiliten casillas para manifestar la oposición a dicho tratamiento de datos, si bien sí que se da la posibilidad en otra documentación facilitada para la contratación del servicio prestado por la entidad reclamada. Aporta copia de documentación intercambiadas con la entidad reclamada. de inscripción y comunicaciones SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 09/10/2023 se dio traslado de dicha reclamación a la parte reclamada/ALIAS, para que procediese a su análisis e informase a esta Agencia en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 09/10/2023 como consta en el acuse de recibo que obra en el expediente. En fecha 07/11/2923 el reclamado dio respuesta señalando lo siguiente: que se había mantenido contacto telefónico y mediante e-mail con la reclamante; que a pesar de las explicaciones dadas la reclamante continuo expresando su desacuerdo en relación con el tratamiento de los datos para el envío de comunicaciones comerciales por lo que le se le aseguro que no recibiría este tipo de comunicaciones y también se le señaló que no se condicionaba la contratación del servicio a la prestación del consentimiento para el tratamiento de imágenes de menores. Aporta Informe sobre Información sobre los tratamientos implicados, en relación con el tratamiento de envío de comunicaciones comerciales y tratamiento de imágenes de menores, las causas de la incidencia y las medidas correctoras aplicadas. TERCERO: Con fecha 13/11/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II El artículo 58 del RGPD, Poderes, señala: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 “(…)

1. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado; (…)
2. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; (…)” III Primera obligación incumplida: infracción articulo 6.1 RGPD Los hechos denunciados se materializan en la vinculación del consentimiento para la contratación del servicio ofertado y aceptar la política de protección de datos con la aceptación de la remisión de comunicaciones comerciales, además den la inclusión de cláusulas para la aceptación de la recogida de imágenes de menores sin que existan casillas para oponerse a dicho tratamiento, lo que podría vulnerar la normativa en materia de protección de datos de carácter personal. El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales: “1. El tratamiento sólo será lícito si cumple al menos una de las siguientes condiciones:
3. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
4. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
6. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física.
7. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
8. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
9. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones.” Asimismo el Considerando 40 del mencionado RGPD, dispone que «Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o a la necesidad de ejecutar un contrato con el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato.» Por otra parte, el artículo 4 del RGPD, Definiciones, en sus apartados 1, 2 y 11, señala que: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. El tratamiento de datos de carácter personal requiere la existencia de una base legal que lo legitime. De conformidad con el artículo 6.1 del RGPD, además del consentimiento, existen otras posibles bases que legitiman el tratamiento de datos sin necesidad de contar con la autorización de su titular. en particular, cuando sea necesario para la ejecución de un contrato en el que el afectado es parte o para la aplicación, a petición de este, de medidas precontractuales, o cuando sea necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del afectado que requieran la protección de tales datos. El tratamiento también se considera lícito cuando sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales del afectado o de otra persona física o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. En este caso, se presenta reclamación por la vinculación del consentimiento para la contratación del servicio ofertado y aceptar la política de protección de datos con la aceptación de la remisión de comunicaciones comerciales, además de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 inclusión de cláusulas para la aceptación de la recogida de imágenes de menores sin que existan casillas para oponerse a dicho tratamiento. Como se expresaba con anterioridad, el tratamiento de datos personales requiere la existencia de una base legal que lo legitime. Cuando la base de legitimación sea el consentimiento si se desea obtener el consentimiento para finalidades diferentes, se deberá recabar el consentimiento para cada una de ellas y ser prestado válidamente y de forma expresa, no siendo válido marcar obligatoriamente la casilla de aceptación sin dar la opción al usuario a dar el consentimiento libre e individualizado En este sentido, en cuanto al tratamiento de envío de comunicaciones comerciales, el reclamado ha reconocido que "el responsable introdujo por defecto, en la cláusula de tratamiento de datos, la información sobre el envío de comunicaciones y sobre la posibilidad de ejercer sus derechos de manera sencilla en cualquier momento sin obtener un consentimiento expreso." En relación con el tratamiento de imágenes de menores, el reclamado señala que "en función de la selección de las personas interesadas, automáticamente se traslada de forma personalizada al contrato de viajes combinados. Es decir, si marcan la casilla de aceptación para el tratamiento de imágenes, automáticamente en el contrato de viajes combinados queda especificado que sí lo han autorizado expresamente. En caso de que no la marquen, o la omitan, en el contrato queda especificado que no autorizan dicho tratamiento." Tanto en la política de privacidad como en el contrato de viaje se indica «El cliente SI/NO autoriza expresamente que se hagan fotografías durante el viaje y se publiquen», no obstante, no hay posibilidad de marcar «Sí» o «No». Por consiguiente, se considera que el consentimiento así obtenido no constituye una manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, por lo que es no existe base legal que legitime el tratamiento llevado a cabo, vulnerando el principio de licitud consagrado en el artículo 6.1 del RGPD, tipificada en el artículo 83.5
10. a)del RGPD. IV Tipificación infracción articulo 6.1 RGPD La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo 83.5
11. a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
12. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…)” V Sanción por incumplimiento del articulo 6.1 RGPD A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
13. a)a
14. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
15. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
16. b)la intencionalidad o negligencia en la infracción;
17. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
18. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
19. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
20. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
21. g)las categorías de los datos de carácter personal afectados por la infracción; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17
22. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
23. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
24. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
25. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción. En relación con la letra
26. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
27. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
28. a)El carácter continuado de la infracción.
29. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
30. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
31. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
32. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
33. f)La afectación a los derechos de los menores.
34. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
35. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” - De acuerdo con los preceptos transcritos, y sin perjuicio de lo que resulte de la instrucción del procedimiento, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción del artículo 6.1 del RGPD, tipificada en el artículo 83.5.
36. a)del RGPD de la que se responsabiliza al reclamado, en una valoración inicial, se estima que concurren las siguientes circunstancias: Son circunstancias agravantes: La intencionalidad o negligencia en la infracción; se observa una grave falta de diligencia en la actuación de la reclamada puesto que no estaba legitimada para el tratamiento llevado a cabo. Conectado también con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la SAN de 17/10/2007. Si bien fue dictada antes de la vigencia del RGPD su pronunciamiento es perfectamente extrapolable al supuesto que analizamos. La sentencia, después de aludir a que las entidades en las que el desarrollo de su actividad conlleva un continuo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17 tratamiento de datos de clientes y terceros han de observar un adecuado nivel de diligencia, precisaba que “(...). el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto” (artículo 83.2,
37. b)del RGPD). La actividad de la entidad vinculada con el tratamiento de datos tanto de clientes como de terceros. La entidad reclamada dada la naturaleza de su actividad es imprescindible el tratamiento de datos de carácter personal de clientes como de terceros por lo que la transcendencia de su conducta objeto del presente procedimiento es innegable (artículo 76.2.
38. b)de la LOPDGDD en relación con el artículo 83.2.k). Con arreglo a lo que antecede se estima adecuado establecer una sanción de 5.000 euros por vulneración del artículo 6.1 del RGPD. VI Segunda obligación incumplida: infracción del artículo 7 del RGPD El artículo 7 del RGPD establece: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato” (el subrayado es de la AEPD). El Considerando 32 del RGPD, indica que: “32. El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 interesado de aceptar el tratamiento de datos de carácter personal que le conciernen… Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos…” En el presente caso, la aceptación de la política de protección de datos supone la aceptación de la remisión de comunicaciones comerciales y el tratamiento de imágenes de menores; se expresaba con anterioridad que el reclamado ha informado que tanto en la política de privacidad como en el contrato de viaje se indica «El cliente SI/NO autoriza expresamente que se hagan fotografías durante el viaje y se publiquen», no obstante, no hay posibilidad de marcar «Sí» o «No». La parte reclamada facilita un contrato de viaje que presenta una política de protección de datos distinta a la contenida en el contrato de la parte reclamante. En el documento de contratación del viaje de la parte reclamante se establece que el consentimiento para la contratación supone la aceptación de publicación de las imágenes: “con la aceptación de este documento, se autoriza a HUELLAS AVENTURA, S.L. a realizar un uso pedagógico/comercial de las imágenes realizadas por nuestra empresa, que podrán ser publicadas en los siguientes medios (…).El acto de la inscripción en el viaje combinado representa la aceptación de las condiciones y la firma del presente contrato." El Considerando 70 indica que: “