1/19 Expediente nº: EXP202308414 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por SPORT & SPA GEST, S.L. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Presidencia de la Agencia Española de Protección de Datos de fecha 13 de octubre de 2025, y en base a los siguientes HECHOS PRIMERO: Con fecha 13 de octubre de 2025, se dictó resolución por la Presidencia de la Agencia Española de Protección de Datos en el expediente EXP202308414, en virtud de la cual se imponía a SPORT & SPA GEST, S.L. una multa de 8.000 euros por la infracción del artículo 9.1 del RGPD, tipificada en el artículo 83.5 del RGPD. Asimismo, se declaraba la terminación del procedimiento, de acuerdo con el artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), respeto a las infracciones de la parte recurrente de los artículos 6.1 del RGPD, 13 del RGPD, ambas tipificadas en el artículo 83.5 de la misma norma y 35 del RGPD, tipificada en el artículo 83.4 del RGPD, tras haber abonado la ahora parte recurrente la cuantía correspondiente al 80% de la sanción propuesta con carácter previo a la resolución. En concreto: - 4.000 euros por la infracción del artículo 6.1 del RGPD. 2.400 euros por la infracción del artículo 13 del RGPD. 3.200 euros por la infracción del artículo 35 del RGPD. Se subraya que la parte recurrente renunció, en virtud, del mencionado artículo 85 LPACAP, a cualquier acción o recurso en vía administrativa relativo a las infracciones de los citados artículos 6.1, 13 y 35 del RGPD. Dicha resolución, que fue notificada a la parte recurrente en fecha 20 de octubre de 2025, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la LPACAP, en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00160/2024, quedó constancia de los siguientes: C/ Jorge Juan, 6 28001 – Madrid procedimiento sancionador, www.aepd.es sedeaepd.gob.es 2/19 “HECHOS PROBADOS “PRIMERO: El 16 de febrero de 2023 SPORT & SPA GEST (la parte reclamada) y ***EMPRESA.1 (titular del sistema ***DISPOSITIVO.1) suscribieron un contrato de prestación de servicios de alquiler del mencionado sistema. ***DISPOSITIVO.1 es, en palabras de ambas empresas y tal y como se refleja en las EIPDs de la parte reclamada de 26 de octubre de 2023 y 20 de febrero de 2024 “una solución tecnológica de posicionamiento Indoor basado en Bluetooth, que permite hacer seguimiento de los tags que un nadador usa como prevención de ahogamiento y que sirve para medir los largos realizados. Dichos tags son genéricos y están a disposición de cualquier nadador pudiendo coger cualquiera de ellos para asegurar su sesión de natación”. Así, el sistema cuenta dos funcionalidades: una que permite determinar la localización del usuario en la piscina (tag (...) y tag (...)) y otra que permite monitorizar el entrenamiento realizado por un nadador (tag (...)). SEGUNDO: El contrato incluía en su Anexo IV, un contrato de encargo en materia de datos personales, en el que la parte reclamada es identificada como responsable y ***EMPRESA.1 como encargado del tratamiento. TERCERO: El sistema ***DISPOSITIVO.1, de acuerdo con ***EMPRESA.1 en su escrito de 3 de agosto de 2023, y tal y como suscribe la parte reclamada, entre otros en las citadas EIPDs “funciona mediante una plataforma tecnológica que se compone de los siguientes elementos: varias antenas Bluetooth; tags (…) (que únicamente se usan para socorrismo). Un tag Bluetooth es un pequeño dispositivo que emite una señal de radio, normalmente un texto corto o un identificador numérico; tags (…) que se usan para socorrismo y además, para medición de la sesión de nado; un ordenador en las instalaciones de la piscina, que calcula los datos para avisar al socorrista del incidente y da la información de largos del nadador; una pantalla de grandes dimensiones donde el nadador puede ver su sesión de entrenamiento siempre que cogiera para su uso ese día un tag (...); una o varias tabletas, donde el socorrista puede identificar los tags y localizar incidentes, y una pulsera de aviso para el socorrista. CUARTO: El 27 de abril de 2023, la parte reclamada implementó este nuevo servicio (***DISPOSITIVO.1) en las instalaciones de la piscina de su gimnasio SUMA Fitness Club Patacona, condicionando el uso de la piscina por parte de los usuarios a la utilización obligatoria de uno de los tags, tal y como ella misma reconoce en su escrito de 27 de octubre de 2023 a esta Agencia. QUINTO: El funcionamiento de una sesión de nado en la piscina de la parte reclamada implica la vinculación, al menos del tag (…), y los datos que este capta, con el número identificador de la pulsera de usuario para el acceso a las instalaciones C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/19 del gimnasio de la parte reclamada, tal y como se describe en el escrito de ***EMPRESA.1 de 3 de agosto de 2023 a la AEPD: “Un usuario llega a la piscina de SUMA PATACONA y con su pulsera de Suma registra el tag que va a usar en ese momento. A partir de ahí ***EMPRESA.1 guarda en una base de datos, la hora, día, número del tag en uso y el código de la pulsera (el identificador único que SUMA PATACONA proporciona a ***EMPRESA.1 es el de la pulsera donde ***EMPRESA.1 (…), un ejemplo del mismo es este ejemplo. “(…)”) que es la información que posteriormente se le manda a SUMA PATACONA (…) El Id. de la pulsera de SUMA PATACONA se comunica automáticamente al sistema de ***EMPRESA.
- Y todos los datos que se han generado en ***EMPRESA.1, junto a la vinculación al id de la pulsera de SUMA PATACONA se comunican a los sistemas de SUMA PATACONA a las 12 de la noche con un protocolo seguro”. Esta manera de actuar se ratifica, asimismo, por la parte reclamada en su escrito a la AEPD de 27 de julio de 2023, en el correo electrónico de 25 de julio de 2023 de ***EMPRESA.1 a la parte reclamada, en la comunicación de 4 de mayo de 2023 de la parte reclamada a la parte reclamante, así como en las EIPDs de la parte reclamada de 26 de octubre de 2023 y de 20 de febrero de
- SEXTO: Los datos recogidos y tratados por los tags son los siguientes de acuerdo con el escrito de ***EMPRESA.1 de 3 de agosto de 2023 a esta Agencia, el escrito de la parte reclamada a la AEPD de 27 de octubre de 2023, así como las EIPDs de la parte reclamada de 26 de octubre de 2023 y de 20 de febrero de 2024: En el caso del tag (…) (que exige la vinculación a la pulsera identificativa de usuario del gimnasio): hora de inicio de la sesión de nado, hora de fin de la sesión de nado, número de largos, tiempo de dichos largos, número identificativo del tag y código identificativo de la pulsera del usuario del gimnasio. En el caso del tag (…) (cuya vinculación a la pulsera identificativa de usuario del gimnasio no es obligatoria), se recogen la fecha, hora de inicio de la sesión de nado, hora de fin de la sesión de nado, ID del tag. SÉPTIMO: La parte reclamada, en su escrito de contestación a esta Agencia de 26 de febrero de 2024 asegura que: “el motivo de asociar la pulsera de usuario al tag (…) (siempre), o (…) (cuando el usuario lo decide) radica en obtener indicadores de utilización de la piscina, la diferencia estriba solo en que en el tag (…) se muestra por pantalla la información de nado”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/19 OCTAVO: El número de tag, la distancia recorrida, el ritmo de nado y el tiempo nadando de los usuarios del tag (...) de la piscina de la parte reclamada se muestra en un monitor situado en la piscina, visibles para todos los usuarios. NOVENO: En las EIPDs efectuadas por la parte reclamada de 26 de octubre de 2023 y de 20 de febrero de 2024, la descripción del tratamiento señala: “el tratamiento consiste en la implantación de un sistema que monitoriza la posición de los usuarios en la piscina del centro para ofrecerles indicadores de su actividad y prevenir accidentes”. Además, se señala que “no se tratan datos de categorías especiales” y que “el tratamiento se apoya en que es necesario para proteger intereses vitales del interesado o de otra persona física”. Por otra parte, se determina que el plazo de conservación de los datos “identificador de tag”, “identificador de usuario”, “fecha de la sesión de nado”, “hora de inicio de la sesión de nado” es de “2 años”. Mientras que el plazo de conservación de los datos “posición dentro de la piscina”, “tiempo de los largos nadados”, “número de largos” es de “unas horas”. Además, se indica: “La justificación de que los plazos de conservación dados cumplen con la limitación del plazo de conservación es que al cabo de dos años los datos ya no son necesarios, con lo que serán destruidos. Para borrar los datos se implantará un proceso automático que elimine los datos una vez transcurridos el período de conservación. Los datos se mantienen en las copias de seguridad, hasta que por su antigüedad son desechadas”. En la primera versión se indica que la finalidad del tratamiento es “prevenir accidentes y ofrecer a los usuarios un mayor control sobre su actividad”. No obstante, en la segunda, se señala: “La finalidad del tratamiento de datos es prevenir accidentes, y como finalidades secundarias, ofrecer a los usuarios un mayor control sobre su actividad deportiva mientras la está realizando y obtener información sobre la utilización de la piscina.” Asimismo, en ambas versiones se concluye que el tratamiento de datos personales efectuado a través del sistema ***DISPOSITIVO.1 “no es estrictamente necesario, pero es beneficioso para evitar accidentes y este beneficio es muy superior al bajo riesgo que introduce respecto a las libertades de las personas en cuanto a su privacidad y al uso de sus datos personales”. Asimismo, en el epígrafe 4.7 Necesidad de y Proporcionalidad se señala: “El tratamiento no es necesario, porque se podrían conseguir los mismos efectos con otros procedimientos”. DÉCIMO: El 27 de abril de 2023 la parte reclamada remitió a todos sus usuarios una comunicación en la que avisaba de que en la piscina de climatizada de sus instalaciones se había implantado “una novedosa tecnología basada en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/19 inteligencia artificial denominada ***DISPOSITIVO.1 (…) Los nadadores de SUMA podréis saber, en tiempo real y a través de una pantalla, el número de largos realizados, los metros recorridos o el tiempo de nado y de descanso. Esta información aumentará la calidad de vuestro entrenamiento y la experiencia. (…) El incremento en la seguridad será la otra gran ventaja de esta tecnología ya que se podrán prevenir los ahogamientos mediante un sistema de localización en tiempo real”. En la comunicación no se hacía referencia siquiera a la existencia de un tratamiento de datos personales. ÚNDECIMO: El 28 de abril de 2023 le fue denegado el acceso a la piscina a la parte reclamante por negarse al uso de los tags, razón por la que presentó una reclamación ante la parte reclamada mostrando su disconformidad con la denegación del acceso por no emparejar su pulsera identificadora con un “chip que recoge datos de salud”. El 4 de mayo de 2023, la parte reclamada, en contestación a la queja de la parte reclamante le informa, entre otros aspectos, de que “en el momento de alta como socio le ha informado del tratamiento que se va a realizar con su datos personales (…) Si LA ENTIDAD fuera a recabar datos añadidos o fuera a realizar nuevos tratamientos con sus datos, siempre y de manera expresa, le solicitaría su consentimiento expreso (…) La empresa ***DISPOSITIVO.1, no tiene acceso a ningún dato del usuario, únicamente utiliza el ID de la pulsera para asociarlo a un número de tag y mandarle la información al software. (…) LA ENTIDAD le comunica que en el día de ayer se le remitió un correo electrónico informándole del cambio efectuado de las nuevas normas donde se ha reflejado la obligación de utilizar el tag ((...)) con la finalidad de ofrecerle la mayor seguridad”. DUODÉCIMO: El 20 de noviembre de 2023 la parte reclamada remite la siguiente comunicación a los usuarios sobre el sistema ***DISPOSITIVO.1: “(…) Les informamos de la siguiente fe de erratas, del pasado 27 de abril, cuando se les comunicó la implantación del nuevo servicio ***DISPOSITIVO.1 en nuestras piscinas. Se les describió ***DISPOSITIVO.1 como "una novedosa tecnología basada en inteligencia artificial (…) Queremos aclarar que la tecnología ***DISPOSITIVO.1 NO utiliza ni incorpora Inteligencia Artificial (IA) (…)”. DÉCIMOTERCERO: El 26 de febrero de 2024 la parte reclamada remitió a sus usuarios un correo electrónico por el que se informaba de la descripción del tratamiento, la finalidad del tratamiento, el interés vital como la base legal del tratamiento. Además, se señalaba: “(…) Datos que se tratan: Cuando se utiliza un tag (...), se tratan los siguientes datos: hora de inicio de la sesión de nado, hora de fin de la sesión de nado, número de largos, tiempo de dichos largos, identificador del tag e identificador de la pulsera que lleva el usuario para acceder a las instalaciones, aunque cuando termina su sesión de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/19 nado solo queda almacenada en nuestro sistema la fecha y hora de acceso a la piscina y el identificador de su pulsera. Cuando se utiliza el tag (...), no se muestran los datos citados en el caso del tag (...), e igualmente queda almacenada en nuestro sistema la fecha y hora de acceso a la piscina, así como el identificador de su pulsera. (…) . No, en ningún momento se trata ningún dato de salud”. DÉCIMOCUARTO: El volumen de negocio de la parte reclamada asciende a 1.769.076 € en 2023, de acuerdo con el informe AXESOR”. TERCERO: La parte recurrente ha presentado en fecha 19 de noviembre de 2025, en esta Agencia Española de Protección de Datos, recurso de reposición en relación con la infracción del artículo 9 del RGPD, reiterando, en esencia, las alegaciones realizadas a lo largo del procedimiento sancionador, y, en particular, a la propuesta de resolución. Estas alegaciones pueden resumirse, en síntesis, en las siguientes:
- Inexistencia de una infracción del artículo 9 del RGPD: - Inexistencia de tratamiento de datos personales, puesto que el tag (...) o (...) no permite identificar a los usuarios que lo portan. - El desempeño de una persona en una piscina no revela datos de salud ni de forma directa o indirecta. - La aplicación del concepto amplio de datos de salud del TJUE al caso concreto, no tiene cobertura en la jurisprudencia del TJUE.
- Vulneración al principio de tipicidad y proporcionalidad de las sanciones que rige en el derecho administrativo sancionador. Además de lo anterior: La parte recurrente comunica su intención de interponer un recurso contencioso administrativo respecto a las infracciones de los artículos 9, 6, 13 y 35 del RGPD a efectos de lo previsto en el artículo 90.3 de la LPACAP y, solicita la suspensión de la publicación de la resolución sancionadora al considerar que la “suspensión cautelar no se limita exclusivamente a la sanción económica, sino que también se extiende a la medida de publicación de la sanción (…) Esto se debe a que la publicación constituye una consecuencia inherente a la sanción y, por tanto, supeditada a su ejecutividad. Por tanto, la suspensión del acto principal implica automáticamente la paralización de todos sus efectos, incluyendo, de manera específica, la publicación de la sanción”. FUNDAMENTOS DE DERECHO I Competencia Es competente para resolver el presente recurso la Presidencia de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/19 II Contestación a las alegaciones presentadas En relación con las manifestaciones efectuadas por la parte recurrente referidas a la infracción del artículo 9 del RGPD, debe subrayarse que estas suponen una reiteración de las alegaciones ya presentadas a lo largo del procedimiento sancionador y que, en consecuencia, todas ellas ya fueron analizadas y desestimadas en el Fundamento de Derecho V de la resolución recurrida, tal como se transcribe a continuación: “
- En relación con la primera alegación, relativa a la inexistencia de una infracción del artículo 9.1 del RGPD. Se debe señalar, en primer término, que las alegaciones formuladas en este apartado suponen, en líneas generales, una reiteración de las alegaciones formuladas contra el acuerdo de inicio, a las que se remite. Sin perjuicio de lo anterior, a continuación, se subrayan algunos aspectos siguiendo el orden contenido en las alegaciones a la propuesta de resolución. En lo referente a que el sistema ***DISPOSITIVO.1 no permite la identificación de los usuarios portadores y no supone, por tanto, un tratamiento de datos personales; la reiteración de que se había producido una “interpretación errónea” sobre el funcionamiento del sistema y que, por ende, no debe tenerse en cuenta lo señalado en las EIPDS presentadas, ni tampoco durante las diferentes manifestaciones realizadas a lo largo de las diferentes actuaciones realizadas por esta Agencia; así como la reiteración sobre el contenido del certificado emitido por ***EMPRESA.
- En primer lugar, debe remitirse a la contestación a las alegaciones al acuerdo de inicio, en particular el apartado de “consideraciones previas” en el que se analizaban punto por punto estas cuestiones, debiendo destacarse especialmente, el concepto amplio de dato personal, de identificación indirecta, así como de tratamiento de datos personales. Asimismo, en relación con las supuestas interpretaciones erróneas del funcionamiento del dispositivo hasta la apertura de un procedimiento sancionador, se remarca que no solo resulta llamativa tal afirmación por entrar en contradicción con todos los documentos que integran el expediente de los que se desprende en contrario, facilitados por la propia reclamada y que se analizan en profundidad en la contestación a las alegaciones al acuerdo de inicio, sino porque implicaría, asimismo, que la empresa titular del dispositivo, ***EMPRESA.1, tampoco tendría conocimiento de su funcionamiento. Así, se subrayan el correo electrónico de 25 de julio de 2023 por el que ***EMPRESA.1 le explica a la parte reclamada el funcionamiento del sistema, así como el escrito de ***EMPRESA.1 de 3 de agosto de 2023 a esta Agencia. En ambos se hablaba de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/19 vinculación de pulsera identificativa del usuario del gimnasio con el TAG. Se insiste, además, en que las aseveraciones contenidas en el certificado de ***EMPRESA.1, presentado a modo de prueba durante el procedimiento, muestran un desconocimiento sobre los conceptos amplios de dato personal, tratamiento y de identificación indirecta que ya fue puesto de manifiesto a lo largo de los diferentes escritos remitidos por ***EMPRESA.1 a esta Agencia con carácter previo al acuerdo de inicio. Se recuerda, así, que, tal y como consta en el expediente, para ***EMPRESA.1 el número de pulsera identificativa de un usuario en un gimnasio no tiene consideración de dato personal. En línea con lo anterior, la propia reclamada, con carácter previo a asegurar que “había realizado una interpretación errónea sobre el funcionamiento del dispositivo” y que, por tanto, con los conocimientos actuales podía concluir que no existe en ningún caso un tratamiento de datos personales, afirmaciones realizadas -por otra parte- a efectos de justificar que se admitieran como prueba los testimonios de sus trabajadores- ya realizaba aseveraciones de esta índole. Así el 27 de julio de 2023, la parte reclamada en su escrito a la AEPD señalaba que “en ningún momento la pulsera de usuario y el tag realizan conexión entre si alguna” y que “no estamos ante un tratamiento de datos personales”. Por último, en relación con la reiteración de la parte reclamada de que “el usuario es el único que conoce el TAG elegido y que, en ningún caso, los TAGS permiten conocer la identidad del usuario” se debe reiterar que estas afirmaciones resultan erróneas desde la perspectiva de protección de datos, toda vez que, aun cuando no se realizara una vinculación directa entre la pulsera identificativa de usuario y el tag, los tags cuenta con un número identificativo al que se vinculan, en el caso del tag (...), las métricas que figuran en pantalla a ojos de todos los usuarios, pero, en cualquier caso, las coordenadas en la piscina del usuario que se encuentra utilizándolo. Con carácter previo, aunque únicamente fuera para entrar a la piscina, el usuario ha tenido que pasar su pulsera por el torno de acceso. Además, tal y como señalaba ***EMPRESA.1 en su escrito a esta Agencia de 3 de agosto de 2023 y se muestra en las fotografías remitidas por la parte reclamada el 27 de octubre de 2023, el sistema cuenta con una “tablet donde el socorrista visualiza los tags y localiza incidentes y una pulsera de aviso para el socorrista”. De esta manera, el socorrista puede comprobar los tags activos y, en caso de ahogamiento recibe un aviso en su pulsera y se muestra en la mencionada tablet el número de tag que se encuentra en riesgo, así como su ubicación. De esta manera, en escrito a esta Agencia de 27 de octubre de 2023, la parte reclamada lo describía de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/19 siguiente manera: “Al socorrista: un aviso de vibración en su dispositivo de muñeca, en caso de que el sistema registre un posible ahogamiento, y los tags que pueden estar en situación de emergencia (por pantalla)”. Lo anterior, se insiste, permite, como ya se venía señalando por esta Agencia a lo largo del procedimiento sancionador, la identificación del usuario, aun cuando fuera indirecta en los términos señalados por el TJUE, por ejemplo, en su sentencia de 19 de octubre de 2016, en el asunto C-582/
- En lo referente a la alegación consistente en que, aun cuando pudiera apreciarse que existe un tratamiento de datos personales, no puede entenderse que, en ningún caso, se trate de datos de salud puesto que el desempeño de una persona en una piscina no revela su estado de salud y no se corresponde con la definición del artículo 4.15 del RGPD, sin olvidar, además, que del análisis de esos datos se podrían obtener conclusiones erróneas, no cabe sino reiterar lo señalado en la contestación a las alegaciones al acuerdo de inicio, a la que se remite: el desempeño de una persona en una piscina, esto es, el número de largos que realiza, el tiempo que nada, la velocidad a la que lo hace, sí son datos de salud puesto que sí permiten conocer de manera indirecta el estado de salud de esta o los hábitos saludables que presenta. Responde, por tanto, a la definición del artículo 4.15 del RGPD que debe interpretarse en línea con lo previsto en el considerando 35, así como junto a la jurisprudencia del TJUE que lleva años sosteniendo, en aras a garantizar un adecuado nivel de protección de los datos personales, la interpretación amplia del concepto de dato de salud. Además, debe subrayarse que contrariamente a lo señalado por la parte reclamada, el desempeño en la piscina mostrado por los tags (…) puesto en relación con los datos generales de los que dispone el responsable del tratamiento respecto a sus usuarios de la piscina (nombre y apellidos, edad o fecha de nacimiento, pulsera identificativa del usuario al gimnasio, entradas y salidas al gimnasio, entradas y salidas a la piscina [que permiten tener conocimiento de la frecuencia y el tiempo de uso]) permite inferir el estado de salud de una persona perfectamente identificable. Por otra parte, sin perjuicio de que así se recogía ya en el acuerdo de inicio, conviene incidir, ante la insistencia de la parte reclamada de que el análisis de los datos relativos a las métricas realizadas por un usuario en una piscina se pudieran obtener conclusiones erróneas, en que, contrariamente a lo sostenido por esta, hablaremos de tratamiento de datos de categoría especial o, en concreto en este caso, de datos de salud, con independencia de que la información revelada sea exacta o no, tal y como recuerda la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/19 STJUE de 4 de octubre de 2024, en el asunto C 21/23, que determina que las categorías especiales de datos personales están sometidos a la prohibición del artículo 9 del RGPD independientemente de que sea información exacta o no y de que el tratamiento tenga por finalidad obtener datos personales que pertenezcan a dicha categoría: “87 Esta prohibición de principio es independiente de que la información revelada por el tratamiento en cuestión sea o no exacta (….). En efecto, teniendo en cuenta los riesgos significativos para las libertades y los derechos fundamentales de los interesados, generados por cualquier tratamiento de datos personales comprendidos en tales categorías, estas disposiciones tienen por objeto prohibir dichos tratamientos, con independencia de la finalidad que expresen y de la exactitud de la información en cuestión [véase, en este sentido, la sentencia de 4 de julio de 2023, Meta Platforms y otros. (Condiciones generales del servicio de una red social), C 252/21, EU:C:2023:537, apartados 69 y 70]”. En definitiva, a modo de conclusión se reitera que, contrariamente a lo señalado por la parte reclamada, el uso del tag en los términos señalados en la presente resolución implica el tratamiento de datos de salud puesto que responde a la definición prevista en el artículo 4.15 del RGPD, así como al concepto amplio de datos de salud. Insistiéndose, además, en que existía, de acuerdo con la documentación obrante en el expediente, una identificación directa del usuario al vincularse los resultados con el número de la pulsera identificativa. Por último, las alegaciones realizadas sobre que la jurisprudencia del TJUE sobre el concepto amplio de datos de salud no es extrapolable al presente caso porque las sentencias citadas no versaban específicamente sobre el mismo tipo de datos de categoría especial o, incluso mismo tipo de dato de salud, no hacen sino cuestionar la propia labor de la jurisprudencia, así como la función interpretativa del derecho de la UE atribuida al TJUE en el artículo 267 del TFUE, entre otros. En este sentido, se subraya que la jurisprudencia supone la interpretación de las normas jurídicas basada en las sentencias pasadas emitidas por los órganos judiciales competentes. En el caso de España, el artículo 1.6 del Código Civil señala que esta “complementará el ordenamiento jurídico con la doctrina que, de modo reiterado, establezca el Tribunal Supremo al interpretar”. Lo anterior, debe ponerse en contexto con la pertenencia de España a la UE así como la interrelación entre el derecho de la UE y el derecho de un Estado miembro. Así, el TJUE es el máximo intérprete del derecho europeo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/19 El concepto amplio de datos de salud ha sido reiterado a lo largo de la jurisprudencia del TJUE, incluso con carácter previo al RGPD, tal y como se ha señalado a lo largo del procedimiento. Así, conviene destacar una vez más, entre otras: La STJUE 6 de noviembre de 2003 en el asunto C-101/01, Lindqvist, que señalaba: “50 Teniendo en cuenta el objeto de esta Directiva, es preciso dar una interpretación amplia a la expresión «datos relativos a la salud», empleada en su artículo 8, apartado 1, de modo que comprenda la información relativa a todos los aspectos, tanto físicos como psíquicos, de la salud de una persona”. Por su parte, la STJUE de 1 de agosto de 2022 en el asunto C184/20 reiteraba esta idea: “125 Además, una interpretación amplia de los conceptos de «categorías especiales de datos personales» y de «datos sensibles» se ve respaldada por el objetivo de la Directiva 95/46 y del RGPD, a que se ha hecho mención en el apartado 61 de la presente sentencia, de asegurar un alto nivel de protección de las libertades y de los derechos fundamentales de las personas físicas, en particular, de su intimidad, en relación con el tratamiento de los datos personales que las afectan (véase, en este sentido, la sentencia de 6 de noviembre de 2003, Lindqvist, C-101/01, EU:C:2003:596, apartado 50) 126 Más aún, la interpretación contraria se opondría a la finalidad del artículo 8, apartado 1, de la Directiva 95/46 y del artículo 9, apartado 1, del RGPD, que consiste en garantizar una mayor protección frente a tales tratamientos, que, en atención a la particular sensibilidad de los datos objeto de ellos, pueden constituir, como se desprende del considerando 33 de la Directiva 95/46 y del considerando 51 del RGPD, una injerencia especialmente grave en los derechos fundamentales al respeto de la vida privada y a la protección de los datos personales, garantizados por los artículos 7 y 8 de la Carta [véase, en este sentido, la sentencia de 24 de septiembre de 2019, GC y otros (Retirada de enlaces a datos sensibles), C 136/17, EU:C:2019:773, apartado 44]”.” Asimismo, la STJUE de 4 de octubre de 2024, en el asunto C 21/23 “81 A este respecto, el Tribunal de Justicia ya ha declarado que, a la vista del objetivo de la Directiva 95/46 y del RGPD, de asegurar un alto nivel de protección de las libertades y de los derechos fundamentales de las personas físicas, en particular, de su intimidad, en relación con el tratamiento de los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/19 personales que las afectan, el concepto de «datos relativos a la salud» previsto en el artículo 9, apartado 1, de dicho Reglamento y en el artículo 8, apartado 1, de la citada Directiva debe interpretarse de forma amplia (véanse, en este sentido, las sentencias de 6 de noviembre de 2003, Lindqvist, C 101/01, EU:C:2003:596, apartado 50, y de 1 de agosto de 2022, Vyriausioji tarnybinės etikos komisija, C 184/20, EU:C:2022:601, apartado 125)”. Negar, como hace la parte reclamada, que el concepto amplio de datos de salud instaurado por el TJUE es de general aplicación, más allá de los casos concretos en los que ha sido mencionado en una sentencia concreta, supone negar el papel del TJUE como el supremo intérprete del derecho de la Unión. En cualquier caso, se subraya que la existencia de una infracción del artículo 9 del RGPD como se establece en la presente resolución, no supone una prohibición general al tratamiento llevado a cabo por la parte reclamada por parte de la AEPD. Al contrario, el tratamiento llevado a cabo por el responsable podrá realizarse siempre que cuente con alguna de las excepciones al tratamiento previstas en el artículo 9.2 del RGPD -además de cumplir con el resto de los preceptos del RGPD, incluyendo que el tratamiento de datos personales sea necesario y proporcional-.
- En relación con la segunda alegación, referida a que “la propuesta de resolución infringe los principios de tipicidad y proporcionalidad de las sanciones que rige en derecho administrativo sancionador”: La parte reclamada asegura que, en tanto que no se ha producido un tratamiento de datos de salud, no puede hablarse de una infracción del artículo 9.1 del RGPD, por lo que, concluye, se ha producido una vulneración del principio de tipicidad previsto en la LRJSP. Conviene destacar, en primer lugar, que el principio de tipicidad supone, en palabras del Tribunal Constitucional (TC), “la imperiosa necesidad de predeterminación normativa de las conductas infractoras y de las sanciones correspondientes, es decir, la existencia de preceptos jurídicos (lex previa) que permitan predecir con suficiente grado de certeza (lex certa) aquellas conductas y se sepa a qué atenerse en cuanto a la aneja responsabilidad y a la eventual sanción” (por todas, STC 61/1990, de 29 de marzo). En definitiva, el principio de tipicidad, de acuerdo con el propio artículo 27 de la LRJSP, supone que una conducta ha de ser categorizada por una norma con rango de ley como una infracción, esto es, como una vulneración del ordenamiento jurídico. La tipificación de las infracciones se realiza por el RGPD en sus artículos 83.4, 83.5 y 83.
- Tal y como se recoge tanto en el acuerdo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/19 de inicio como en la propuesta de resolución, la tipificación de la infracción del artículo 9 RGPD se encuentra en el artículo 83.5 a) del RGPD. En el presente caso, tal y como se recoge en el acuerdo de inicio, en la propuesta de resolución, así como en contestación a las alegaciones formuladas por la parte reclamada contra el acuerdo de inicio, así como contra la propuesta de resolución, a las que nos remitimos, contrariamente a lo asegurado por la parte reclamada se ha producido un tratamiento de datos personales, en concreto de datos de salud, por parte de esta. El mencionado tratamiento carece de ninguna de las excepciones a la prohibición general de tratamiento de este tipo de datos previstas por el artículo 9.2 del RGPD. Esto supone, en consecuencia, una vulneración del artículo 9.1 del RGPD. En consecuencia, no procede estimar la alegación efectuada. En relación con la alegada ausencia de proporcionalidad en la cuantía de la multa (fijada en 8.000 euros en la propuesta de resolución) y la alegación relativa a que no se ha aplicado lo previsto en el artículo 29 de la LRJSP puesto que no se ha tenido en cuenta “la inexistencia de perjuicio para los interesados” es necesario precisar lo siguiente: Primero, el artículo 63.2 de la LOPDGDD prevé lo siguiente: “los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. El RGPD establece su propio sistema sancionador y de determinación de la cuantía de la multa en el artículo 83, sin perjuicio de que prevea la aplicación subsidiaria de los principios básicos del derecho sancionador. Por tanto, de acuerdo con el principio de especialidad normativa (lex specialis derogat legi generali), es de aplicación preferente la ley especial (esto es, lo contenido en el RGPD y en la LOPDGDD) sobre la ley general, que tendrá aplicación subsidiaria. El artículo 83.2 del RGPD consagra las diferentes circunstancias que habrán de tenerse en cuenta a la hora de determinar la cuantía de la sanción. Además, es preciso subrayar que, tal y como se recogía en la propuesta de resolución, las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, existen tres elementos como punto de partida para la imposición de una multa conforme al RGPD: el volumen de negocios, la categorización de las infracciones según su propia naturaleza (es decir, si son infracciones del 83.4, 83.5 u 83.6 del RGPD) y el nivel de gravedad de la infracción en cada caso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/19 concreto. Este nivel de gravedad no debe confundirse con el término “gravedad” utilizado tradicionalmente en la jurisprudencia española a efectos de calificación de una infracción entre muy grave, grave y leve. El nivel de gravedad al que se refiere el RGPD debe determinarse atendiendo a las circunstancias del artículo 83.2 a) naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, el alcance o propósito de la operación de tratamiento, el número de afectados y el nivel de daños y perjuicios que hayan producido; del artículo 83.2 b) intencionalidad o negligencia de la infracción (que no debe confundirse con el requisito de culpabilidad objetiva y subjetiva propia del derecho español) y del artículo 83.2 g) las categorías de los datos de carácter personal afectados. Sobre ese punto de partida determinado por esos tres elementos, se podrán aplicar circunstancias agravantes o atenuantes (el resto de los elementos del artículo 83.2 del RGPD en relación con el artículo 76.2 de la LOPDGDD). Dicho lo anterior, se remarca que en el presente caso se incluían la propuesta, (se incluyen en la presente resolución) como circunstancias para determinar el nivel de gravedad de la infracción del artículo 9 del RGPD lo previsto en los artículos 83.2 a), 83.2 b), y 83.2 g) del RGPD y, por otra parte, en forma de agravante, lo previsto en el artículo 76.2 b) de la LOPDGDD relacionado con el artículo 83.2 k) del RGPD. Sin ánimo de reproducir lo contenido en dichos apartados, a los que se remite, sí se estima conveniente remarcar, una vez más, respecto a la alegada “inexistencia de perjuicios para los interesados” que el derecho a la protección de datos es un derecho fundamental constitucionalmente reconocido en el artículo 18.4 de la CE. Este derecho fundamental reconoce el derecho de los ciudadanos al control sobre sus datos, tengan estos datos o no dimensión constitucional. El tratamiento de datos personales de categoría especial sin cumplir con los requisitos exigidos por la normativa vigente supone por sí misma una lesión al derecho fundamental de protección de datos de los afectados y les ocasiona, por tanto, un perjuicio. Además, en línea con lo anterior, y tal y como se recogía y se recoge entre las circunstancias del artículo 83.2 a) del RGPD analizadas para determinar el nivel de gravedad de la infracción: “se observa que existe un desequilibrio entre los interesados afectados o potencialmente afectados y el responsable del tratamiento, tal y como ha puesto de manifiesto el hecho de que a la parte reclamante se le negara el acceso a la piscina si no utilizaba el dispositivo”. No debe olvidarse tampoco, que los datos de categoría especial, tal y como señalan las mencionadas Directrices 04/2022 son “tipos de datos que merecen una protección especial y, por tanto, una respuesta más estricta en lo que respecta a las multas”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/19 Por otra parte, se incide, tal y como se señalaba en la propuesta, en que, de conformidad con el artículo 83.5 del RGPD la sanción a imponer por una infracción del artículo 9 del RGPD podrá ser de 20.000.000 de euros, como máximo, o, tratándose de una empresa, una cuantía equivalente al 4% como máximo del volumen de negocio anual, optándose por la de mayor cuantía. De acuerdo con lo anterior, al ser el 4% del volumen de negocio de la parte reclamada de 70.763,04 euros, esto es, inferior a 20.000.000 de euros, el importe de la sanción a imponer ha de situarse forzosamente entre los 0 y los 20.000.000 euros. Dicho lo anterior, si bien en el acuerdo de inicio se fijó una cuantía inicial de 15.000 euros por la infracción del artículo 9 del RGPD, en la propuesta de resolución dicha cuantía fue minorada a 8.000 euros, teniendo en cuenta, entre otras cuestiones, que el tratamiento de datos de salud en cuestión se circunscribía al tratamiento de datos de salud en el ámbito exclusivo de la piscina, y no respecto a la totalidad de tratamientos realizados por la parte reclamada en sus instalaciones. Atendiendo a lo anterior y teniendo en cuenta las circunstancias valoradas a los efectos de determinar el importe de la multa que se recogían en la propuesta, así como en la presente resolución en el fundamento de derecho XIV -al que se remite- no se estima la alegada ausencia de proporcionalidad en la cuantía fijada en atención a los hechos”. Además, insiste la parte recurrente en asegurar que la AEPD entra en contradicción con otras publicaciones realizadas a efectos informativos en su página web, respecto a supuestos que nada tienen que ver con este. Al respecto se señala que la mencionada información, además de estar obsoleta, en ningún caso puede entenderse sustituta de la normativa y la jurisprudencia aplicable. Por otra parte, en relación con la comunicación efectuada sobre la intención de la parte recurrente de presentar recurso contencioso-administrativo, simplemente se remarca que el artículo 90.3 de la LPACAP señala que, cuando la resolución sea ejecutiva, se podrá suspender cautelarmente, si el interesado manifiesta a la Administración su intención de interponer recurso contencioso-administrativo. Se subraya, en consecuencia, que la mencionada suspensión cautelar no se produce de manera automática, tal y como señala la parte recurrente en su escrito. Por otra parte, esta Agencia toma nota de la comunicación realizada y la tendrá en cuenta, a efectos de acordar, si procede, la correspondiente suspensión, una vez se haya notificado la presente resolución al recurso de reposición planteado. Por último, en lo que se refiere a la suspensión de la publicación de la resolución sancionadora que solicita la parte recurrente, han de realizarse una serie de precisiones. El artículo 50 de la LOPDGDD establece que “La Agencia Española de Protección de Datos publicará las resoluciones de su Presidencia que declaren haber lugar o no a la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/19 atención de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, las que pongan fin a los procedimientos sancionadores y de apercibimiento, las que archiven las actuaciones previas de investigación, las dictadas respecto de las entidades a que se refiere el artículo 77.1 de esta ley orgánica, las que impongan medidas cautelares y las demás que disponga su Estatuto.” El artículo 11 del Estatuto de la Agencia Española de Protección de Datos, aprobado por Real Decreto 389/2021, de 1 de junio, dispone lo siguiente: “Artículo
- Transparencia y publicidad.
- La Agencia Española de Protección de Datos publicará en su página web las resoluciones de su Presidencia que declaren haber lugar o no a la atención de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, las que pongan fin a los procedimientos de reclamación, las que archiven las actuaciones previas de investigación, las que sancionen con apercibimiento a las entidades a que se refiere el artículo 77.1 de la Ley Orgánica 3/2018, de 5 de diciembre, y las que impongan medidas cautelares.
- Sin perjuicio de lo previsto en la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, será igualmente objeto de publicación en la página web toda aquella información que la Presidencia considere relevante y que contribuya al mejor cumplimiento de sus funciones.” Por consiguiente, se establece con carácter general la obligación de publicar las resoluciones que dicte esta Agencia, que se realiza en la página web de la AEPD. A este respecto, sin perjuicio de la correspondiente anonimización de los datos personales de las personas físicas que aparezcan en la resolución, no es posible proceder a omitir cualquier remisión de la ahora parte recurrente en la misma, por cuanto, por un lado, la misma no tiene la consideración de persona física y, por otro lado, en aras del interés público que posee la publicación de dichas publicaciones, que permite conocer los criterios utilizados por esta autoridad, además del objetivo de preservar la transparencia de la misma en su actuación. La publicación de determinadas resoluciones de la AEPD viene impuesta por lo establecido en el citado artículo 50 de la LOPDGDD. Frente a lo que sucede en otros ámbitos normativos donde se prevé expresamente la publicación de la resolución sancionadora como una sanción -por poner un ejemplo citaremos los artículos 304 y 308 del Real Decreto Legislativo 4/2015, de 23 de octubre, por el que se aprueba el texto refundido de la Ley del Mercado de Valores-, en materia de protección de datos la norma que impone la publicación de ciertas resoluciones no configura la publicidad como una sanción. La finalidad de la publicidad no es sancionar públicamente al infractor por su conducta, sino dar transparencia y conocimiento a los ciudadanos con carácter general de la actividad desarrollada por la AEPD. Además, se comprueba con facilidad cuál es la finalidad de la publicación de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/19 resoluciones si se tiene en cuenta que las que se publican no son únicamente aquellas en la que se puede llegar a sancionar, que son las que ponen fin a los procedimientos sancionadores, sino que se incluyen las resoluciones procedimientos de derechos, las resoluciones de los procedimientos de apercibimiento o las resoluciones que archiven actuaciones previas de investigación, además de las que fije el Estatuto. Así, es una garantía de los administrados en los términos del art. 45 de la LPACAP. Donde la LOPDGDD no configura la publicidad de forma expresa como una sanción, ni se infiere además de su naturaleza jurídica, tampoco podemos entenderlo nosotros. Es debida, por tanto, la publicación de la resolución administrativa, tal y como impone la Ley al señalar literalmente que “publicará”. Publicando la resolución en los términos del artículo 50 de la LOPDGDD se consuma el interés general encomendado a la AEPD. Eso sí, siempre debidamente anonimizada y detrayendo de la resolución las cuestiones confidenciales o de secreto intelectual e industrial. Sobre esta cuestión se pronuncia el Auto de la Audiencia Nacional de 13 enero de 2022 en los siguientes términos: “Así las cosas, en el caso de autos, se publica la resolución sancionadora recurrida, al amparo del art. 50 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, que dispone: “La Agencia Española de Protección de Datos publicará las resoluciones de su Presidencia que declaren haber lugar o no a la atención de los derechos reconocidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, las que pongan fin a los procedimientos de reclamación, las que archiven las actuaciones previas de investigación, las que sancionen con apercibimiento a las entidades a que se refiere el artículo 77.1 de esta ley orgánica, las que impongan medidas cautelares y las demás que disponga su Estatuto. Es decir, el citado precepto obliga a la Agencia Española de Protección de Datos (en adelante AEPD), a hacer públicas sus resoluciones una vez hayan sido notificadas a los interesados. Así las cosas, debe rechazarse la suspensión de la publicación de la resolución sancionadora en la página de la AEPD, al apreciarse un interés público en publicitar las resoluciones de la AEPD en su página web, con el objeto de preservar la transparencia de la actividad de la AEPD y, en definitiva, la tutela del derecho de protección de datos mediante el conocimiento de los criterios de aplicación de la normativa de protección de datos. Cabe recordar, como ha señalado el Auto del Tribunal Supremo, Sala 3ª, de 31 de marzo de 2015 que “la Administración Pública actúa en un régimen de publicidad de sus actos con carácter general y, de modo específico, tanto más cuanto así lo establezcan las normas reguladoras de cada sector. III Conclusión En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/19 Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por SPORT & SPA GEST, S.L. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 13 de octubre de 2025, en el expediente EXP
- SEGUNDO: NOTIFICAR la presente resolución a SPORT & SPA GEST, S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea notificada la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.b) de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si la fecha de la notificación se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/19 dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 180-071125 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es