1/5 Procedimiento nº.: PS/00297/2019 Recurso de reposición Nº RR/00139/2020 Examinado el recurso de reposición interpuesto por A.A.A., contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00297/2019, y en base a los siguientes HECHOS PRIMERO: Con fecha 29 de enero de 2020, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00297/2019, en virtud de la cual se imponía a una sanción de 6.000 € (SEIS MIL EUROS) por la vulneración de lo dispuesto en el artículo 7 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en lo sucesivo RGPD), infracción tipificada en el artículo 83.5 del RGPD y calificada de muy grave en el artículo 72.1.
- c)de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDPGDD). Dicha resolución, que fue notificada al recurrente en fecha 30 de enero de 2020, fue dictada previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la LOPDPGDD, y supletoriamente en la LPACAP, en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado procedimiento PS/00297/2019, quedó constancia de los siguientes aspectos: sancionador, << PRIMERO: El 30 de agosto de 2018, en una de las clases dirigidas del gimnasio objeto del presente procedimiento sancionador, el reclamante se da cuenta de que dicha clase en la que participa está siendo grabada, ante lo cual protestó negando su consentimiento, pese a ello, con posterioridad ha visto su imagen colgada en promociones del gimnasio de perfil y de espaldas. SEGUNDO: La reclamada manifiesta que la licitud del tratamiento de los datos personales del reclamante se encuentra fundamentada por la propia ejecución del contrato, además de que en el mismo aparece de forma expresa la frase “consiento expresamente y autorizo a la empresa la captación y tratamiento de los datos personales y el uso de la imagen para las finalidades mencionada y legítimas conforme a los intereses de la empresa”>> TERCERO: A.A.A.. (en lo sucesivo el recurrente) ha presentado en fecha 27 de febrero de 2020, en esta Agencia Española de Protección de Datos, recurso de reposición fundamentándolo en la consideración del error en el que ha incurrido la Agencia al apreciar ilícita la forma de obtención del consentimiento del reclamado por el recurrente ya que en opinión del recurrente, el consentimiento del interesado se obtuvo de manera lícita, pues éste fue otorgado de manera libre informada e inequívoca, tal como establece el artículo 4.11 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/5 Por tanto, considera que aunque el contrato no cuente con una casilla del tipo "check box", que permita separar el consentimiento dado para el tratamiento de sus datos personales con motivo de su relación contractual, del consentimiento a dar para el tratamiento de su imagen, sí que hay un consentimiento informado otorgado mediante la firma del interesado, lo cual considera el recurrente argumento suficiente para que sea considerado como válido y por tanto, que no ha vulnerado el artículo 7 del RGPD. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 48.1 de la LOPDPGDD. II El presente recurso de reposición se interpone por el recurrente contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos en el procedimiento sancionador PS/00297/2019, en virtud de la cual se impuso una sanción de 6.000 € por la vulneración de lo dispuesto en el artículo 7 del RGPD que establece que la solicitud de consentimiento ha de distinguirse claramente de los distintos asuntos que en el contrato se traten, diferenciándose el consentimiento dado para el tratamiento de sus datos personales con motivo de su relación contractual, del consentimiento a dar para el tratamiento de su imagen. En este sentido el recurrente señala que aunque el contrato no tenga una casilla del tipo "check box", para prestar o no el consentimiento, sí que hay un consentimiento informado y este se entiende otorgado mediante la firma del interesado, por lo que considera que no se vulnera el artículo 7 del RGPD. En relación con las manifestaciones efectuadas por el recurrente, hay que señalar que básicamente son una reiteración a las alegaciones ya presentadas a lo largo del procedimiento sancionador, y que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho del II, III y IV de la Resolución recurrida, tal como se transcribe a continuación: << II El artículo 6.1 del RGPD establece que para que el tratamiento sea lícito se requerirá que el interesado de su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos. En este sentido, el artículo 4.11 del RGPD define el «consentimiento del interesado» como toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. Por su parte el artículo 7.1 del RGPD establece que “cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales.” Asimismo el artículo 7.2 del RGPD establece que "Si el consentimiento del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/5 interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento.” En esta línea, el artículo 6 de la LOPDGDD establece que de conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679, se entiende por consentimiento del afectado toda manifestación de voluntad libre, específica, informada e inequívoca por la que este acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. Además en el artículo 6.3 de la LOPDGDD se establece que “No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual.” III En el presente caso, la reclamación se centra en que el contrato carece de casilla donde el reclamante pueda elegir entre dar su consentimiento o no, separando el consentimiento para el tratamiento de sus datos personales por motivos contractuales del consentimiento para el uso de su imagen. La entidad reclamada, tras conocer la presente reclamación ha remitido el contrato firmado por el reclamante, donde se indica que “consiento expresamente y autorizo a la empresa a la captación y tratamiento de los datos personales y el uso de la imagen para las finalidades mencionadas y legítimas conforme al objetivo de la empresa” y en base a ello considera que ha actuado dentro de la legalidad. En este caso concreto no se cuestiona si el consentimiento ha sido o no dado por el reclamante, sino si la forma de obtenerlo por el reclamado ha sido o no lícita. Así las cosas, se entiende que estaríamos ante una presunta vulneración del artículo 7.1 del RGPD en relación con el artículo 6 de la LOPDGDD, indicados en el fundamento II, ya que debe existir siempre la opción de dar o no el consentimiento en el tratamiento de datos y solicitar por separado su consentimiento en virtud de su finalidad. En el contrato objeto del presente procedimiento, no se separa el consentimiento según las distintas finalidades de los datos a tratar, por ejemplo, no separa la finalidad meramente contractual de la publicitaria y no se da la opción de dar o no dicho consentimiento por separado para cada uno de los supuestos. El artículo 7.2 del RGPD, establece que la solicitud de consentimiento ha de distinguirse claramente de los distintos asuntos que en el contrato se traten, en este caso concreto debe diferenciarse el consentimiento dado para el tratamiento de sus datos personales con motivo de su relación contractual, del consentimiento a dar para el tratamiento de su imagen. Por otro lado, el artículo 6.3 de la LOPDGDD establece que no podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/5 personales para las finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual. En relación a las alegaciones del reclamado sobre la prescripción de los hechos, señalar que el artículo 72.1.
- c)de la LOPDGDD indica que “en función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- c)El incumplimiento de los requisitos exigidos por el artículo 7 del Reglamento (UE) 2016/679 para la validez del consentimiento.” Así las cosas, se considera que no han prescrito los hechos objeto de esta reclamación, porque aunque el contrato sea del año 2011, el tratamiento de los datos objeto de la presente reclamación ha sido continuado, es decir, ha seguido realizándose desde la contratación hasta el momento de la denuncia, ya que el reclamante denuncia que el 30 de agosto de 2018, fue grabado en una de las clases dirigidas del gimnasio objeto del presente procedimiento sancionador, pese a oponerse a ello el reclamante, hechos que reconoce la parte reclamada. En respuesta a las manifestaciones de la reclamada sobre la falta de proporcionalidad entre el daño presuntamente causado y la sanción impuesta, cuestionándose la causa por la que esta Agencia propone una sanción directa sin requerimiento ni apercibimiento previo, señalar que esta Agencia sí procedió a su requerimiento y apercibimiento previo, cuando el 9 de mayo de 2019, puso en conocimiento del reclamado la presente reclamación, requiriéndole para que en el plazo de un mes remitiese a esta Agencia, información sobre la respuesta dada al reclamante por los hechos denunciados así como las causas que han motivado la incidencia y las medidas adoptadas para solventar dichos hechos de conformidad con el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 (RGPD). En respuesta al citado requerimiento, el 1 de junio de 2019, la reclamada presentó el contrato firmado por el reclamante señalando que su comportamiento se ha adecuado en todo momento a la normativa vigente, por lo que pese al requerimiento de este Organismo, no adopta ninguna medida para subsanar la incidencia reclamada, motivo por lo cual esta Agencia procedió a la apertura del presente procedimiento sancionador proponiendo la imposición de una multa por la infracción del artículo 7 del RGPD. IV Por lo tanto, los hechos conocidos son constitutivos de una infracción, imputable al reclamado, por una presunta vulneración de los artículos 7.1 y 7.2 del RGPD en relación con el artículo 6.3 de la LOPDGDD, indicados en el fundamento II.>> III En consecuencia, en el presente recurso de reposición, el recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/5 la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por A.A.A.. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 29 de enero de 2020, en el procedimiento sancionador PS/00297/2019. SEGUNDO: NOTIFICAR la presente resolución a la entidad A.A.A. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
- b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDPGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDPGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es