← España

REPOSICION-PS-00457-2021

1/23  Expediente nº.: RR/00445/2022 RESOLUCIÓN DE RECURSO DE REPOSICIÓN Examinado el recurso de reposición interpuesto por GYMOOGIMNASIOS S.L. (en lo sucesivo, la parte recurrente) contra la resolución dictada por la Directora de la Agencia Española de Protección de Datos de fecha 21 de junio de 2022, y en base a los siguientes HECHOS PRIMERO: Con fecha 21 de junio de 2022, se dictó resolución por la Directora de la Agencia Española de Protección de Datos en el expediente RR/00445/2022, en virtud de la cual se imponía a GYMOOGIMNASIOS S.L. por infracción de los artículos 5.1.

  1. c)y 7 del RGPD, tipificadas en el artículo 83.5.
  2. a)del RGPD, multa de 5.000 € (cinco mil euros), por cada una de ellas. Dicha resolución, que fue notificada a la parte recurrente en fecha 22/06/2022 previa la tramitación del correspondiente procedimiento sancionador, de conformidad con lo dispuesto en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), y supletoriamente en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), en materia de tramitación de procedimientos sancionadores. SEGUNDO: Como hechos probados del citado PS/00457/2021, quedó constancia de los siguientes: procedimiento sancionador, PRIMERO. El 10/12/2020 tiene entrada en la AEPD escrito del reclamante manifestando que en el centro polideportivo San Benito de San Cristóbal de la Laguna y dependiente del Ayuntamiento de La Laguna se ha implantado un sistema de reserva de acceso a las instalaciones por medio de una aplicación y en la que para darse de alta es obligatorio dar el consentimiento para el uso de los datos de carácter personal entre los que se encuentran los relativos a la salud. SEGUNDO. Consta aportada copia del DNI del reclamante. TERCERO. El 11/10/2019 el reclamante se dirigió mediante e-mail al Organismo Autónomo de Deportes indicando que: “A partir de este mes de octubre, se ha puesto en marcha en el polideportivo de San Benito una modalidad para participar en algunas actividades que requiere la inscripción del usuario en una plataforma que se llama Mywellness Cloud, de la empresa Technogym. El centro te envía una invitación a un correo electrónico que tu proporcionas de las diferentes actividades. Esta aplicación te permite hacer las reservas comidamente sin que tener que ir al centro a hacerlo. También dan la oportunidad de poder hacer las reservas en el centro, para lo que vende un dispositivo electrónico al precio de 1 €, pero igualmente es necesario recibir la invitación por correo electrónico e inscribirse. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/23 El motivo de mi correo es que a la hora de inscribirse en la citada plataforma Mywellness Cloud de la empresa Technogym, da dos opciones en las que hay que marcar con un aspa si se desea, estas son básicamente las siguientes: 1. Aceptar la cesión de los datos médicos entre otras cosas. 2. Aceptar el envío de consejos de publicidad. Lo sorprendente es que la opción 1 no es una opción pues si no se marca no permite la inscripción y por tanto no se puede descargar la aplicación. Me he puesto en contacto con el responsable del centro (…) quien amablemente me atendió y consultó con la empresa las posibilidades. Finalmente me llamó para informarme que no se podían hacer cambios. Me propuso con su mejor intención una posibilidad que para mí no es aceptable pues lo único que se consigue con eso es ocultar el problema y no cumplir con la preceptiva LOPD. No es objeto de mi escrito analizar que ocurre con nuestros datos personales ya sean de salud, económicos o de costumbres y como nos afectan, pero lo que no es aceptable es que el centro nos obligue es ceder los datos a terceros si no queremos, esto es desde mi punto de vista un flagrante incumplimiento de la LOPD. (…)” El organismo ese mismo día le respondía en los siguientes términos: “El Organismo Autónomo de Deportes no se encarga de la gestión de los Complejos Deportivos, llevando los mismos una empresa externa que como usted bien hizo se lo comunicó al responsable de dicha empresa ya que son ellos quienes han instalado ese programa y no nosotros. De todas formas, yo le hago llegar este correo a los Técnicos del Organismo para su conocimiento”. CUARTO. El reclamante en escrito de 24/01/2022 ha manifestado en relación con la reserva de actividades en el centro que “El sistema de reserva es por medio de una APP de forma remota y físicamente en el centro deportivo con un dispositivo de pulsera. En los dos casos hay que cumplimentar un registro en el que DE MANERA OBLIGATORIA HAY QUE ACEPTAR LA CESIÓN DE LOS DATOS DE SALUD.” QUINTO. El reclamante ha aportado impresión de pantalla de formulario para crear una nueva cuenta en mywellness.com, en el sentido señalado en el correo anterior. Así, en el mismo figura lo siguiente: “He leído y entendido la Política de privacidad (https://www.mywellness.com/sanbenito/Terms/Privacy) y las Condiciones de uso (https://www.mywellness.com/sanbenito/Terms/Conditions) Por la presente doy mi consentimiento para el uso de mis datos confidenciales relativos a la salud para los fines de prestación del servicio *. Autorizo el tratamiento de mis datos personales para fines de marketing y publicidad, incluso en colaboración con terceros. *Obligatorio SEXTO. El reclamante presentó el 17/10/2019 Hoja de Reclamación por los mismos hechos ante la Dirección General de Consumo de la Consejería de Economía, Industria, Comercio y Conocimiento del Gobierno de Canarias. La respuesta de 04/03/2020 de la Dirección General de Consumo fue que de la reclamación “se desprenden indicios que pueden suponer incumplimiento de la Ley 15/1999, de 13 de diciembre de Protección de Datos de Carácter Personal” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/23 SEPTIMO. El reclamado ha aportado Escritura de Cesión de Contrato Administrativo que fue suscrito por la entidad La Laguna Gestión Activa Ute el 21/09/2005 para la explotación de los Complejos Deportivos del Ayuntamiento de San Cristóbal de La Laguna. OCTAVO. El reclamado ha aportado copia de contrato suscrito con TECHNOGYM TRADING S.A. de fecha 22/01/2019. NOVENO. En la página web titulada “Crear una nueva cuenta Mywellness” con url https://mywellness.com/sanbenito/User/RegisterUser/ consta: “En FITNESS 4 ALL SAN BENITO utilizamos mywellness cloud de Technogym para gestionar tu estilo de vida de wellness Mejorar la salud y conseguir estar más activo es ahora más fácil que nunca. mywellness te permite acceder a tus datos de fitness y estilo de vida, tus programas de entrenamiento y mucho más sobre la marcha, en cualquier parte del mundo. ¿Qué puede hacer mywellness por ti? Inicia sesión en un equipo Technogym conectado, accede a tus aplicaciones y a tu contenido personalizado y consigue que tus ejercicios se inicien automáticamente según tu programa. Gestiona tu programa de entrenamiento directamente en la web o desde tu teléfono móvil. Registra tus medidas corporales y haz un seguimiento de tu estado de salud. Conecta mywellness con aplicaciones populares de control nutricional y de fitness y dispositivos como Polar, Garmin, Apple Health, RunKeeper, Strava, Mapmyfitness y muchos más. Registra y comparte todos tus datos de movimientos, deporte al aire libre y entrenamiento en interior con tu entrenador para conseguir un programa realmente personalizado. Para acceder a esta increíble experiencia, solo tienes que crear tu cuenta mywellness personal y compartir tus datos con FITNESS 4 ALL SAN BENITO.” DECIMO. El reclamado en respuesta de 02/09/2021 al requerimiento formulado por el inspector actuante acerca de la ha manifestado que: “1 – Finalidad del Tratamiento de Datos de Salud. Los datos requeridos en el formulario de la app My Wellnes tienen como finalidad realizar un correcto feedback al usuario sobre su actividad física, ya que las calorías, o el peso relativo a manejar en máquinas, entre otros parámetros, dependen de estos datos; sexo, edad, peso, complexión. 2 – Cuenta de Usuario: para poder realizar reservas en My Wellnes hay que tener una cuenta de usuario y por lo tanto registrarse en la misma, no se dispone de opción B”. UNDECIMO. Consta aportado documento Privacidad relativo al tratamiento de los datos personales en el marco del Servicio Mywellnes. TERCERO: La parte recurrente ha presentado en fecha 20/07/2022, en esta Agencia Española de Protección de Datos, recurso de reposición, fundamentándolo, básicamente, en alegaciones ya formuladas y además que en la parte dispositiva de las resolución no figura la tipificación a efectos de la LOPD-GDD; que lo resuelto le genera indefensión; que no se ha vulnerado el artículo 5.1.
  3. c)del RGPD, ya que el tratamiento de datos personales que lleva a cabo de sus usuarios son “adecuados, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/23 pertinentes y limitados a lo necesario y en relación con la vulneración del artículo 7 del RGPD los usuarios de los servicios no están obligados a consentir el tratamiento de datos sensibles. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP) y el artículo 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). II En relación con las manifestaciones efectuadas por la parte recurrente, reiterándose básicamente en las alegaciones ya presentadas a lo largo del procedimiento sancionador, debe señalarse que todas ellas ya fueron analizadas y desestimadas en los Fundamentos de Derecho II a IX, de la Resolución recurrida tal como se transcribe a continuación: “II Los hechos denunciados se concretan en que el reclamado ha implantado un sistema de reserva de acceso a las instalaciones por medio de una aplicación y que para darse de alta en la misma los usuarios están obligados a otorgar el consentimiento en relación con los datos de carácter personal, entre ellos los relativos a la salud. El artículo 58 del RGPD, Poderes, señala: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  4. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular; (…)” En primer lugar, se imputa al reclamado la vulneración del artículo 5 del RGPD, Principios relativos al tratamiento, apartado
  5. c)que establece: “1. Los datos personales serán: (…)
  6. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); (…)” III 1. La documentación obrante en el expediente ofrece indicios evidentes de que el reclamado vulneró el artículo 5 del RGPD, principios relativos al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/23 tratamiento, al establecer como condición para el acceso y uso de las instalaciones la cesión de datos de carácter personal, entre ellos los relativos a la salud y abrir una cuenta en mywellness.com., sin justificación alguna. El artículo 5 del RGPD se refiere a los principios generales para el tratamiento de datos. En su apartado
  7. c)se hace referencia al principio de minimización de datos, indicando que los datos han de ser “adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados”. Si examinamos la definición podemos deducir que solo se pueden recabar los datos personales que se vayan a tratar, es decir, aquellos que sean estrictamente necesarios para el tratamiento; que solo podrán ser recogidos cuando vayan a ser tratados y que solo podrán ser utilizados para la finalidad para la que fueron recogidos, pero no con ningún otro objetivo o finalidad. En este mismo sentido el Considerando 39 señala que: “

(39)Todo tratamiento de datos personales debe ser lícito y leal. Para las personas físicas debe quedar totalmente claro que se están recogiendo, utilizando, consultando o tratando de otra manera datos personales que les conciernen, así como la medida en que dichos datos son o serán tratados. El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales, así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida. Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios. Para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica. Deben tomarse todas las medidas razonables para garantizar que se rectifiquen o supriman los datos personales que sean inexactos. Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento” (el subrayado es de la AEPD). Se considera que el reclamado ha incurrido en infracción del principio de minimización por cuanto el tratamiento de los datos confidenciales de salud de los usuarios del gimnasio para el acceso a las diversas actividades con su consiguiente reserva a través del servicio mywelnes, siendo el único modo de acceder a los servicios ofertados, supone la utilización de los datos de forma no proporcionada y excesiva en relación con el ámbito y finalidades determinadas, con vulneración del artículo 5.1
  1. c)del RGPD. Y es que el mismo objetivo podría C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/23 lograrse mediante otros medios no tan invasivos de la privacidad de los usuarios. 2. En el presente caso, el reclamado y TECHNOGYM suscribieron un contrato marco firmado el 22/01/2019, en virtud del cual este último facilitaba al reclamado sus servicios para ser puestos a su disposición y de sus usuarios o clientes, entre los que se encuentra el uso de la aplicación mywellness. En virtud del citado contrato, en lo referente al tratamiento de los datos de carácter personal, el reclamado tiene la consideración de responsable del tratamiento mientras que TECHNOGYM tratará los datos en calidad de encargado del tratamiento. Este servicio fue implantado por el reclamado si bien para ello era necesario según consta en la página web titulada “Crear una nueva cuenta Mywellness” con url ttps://mywellness.com/sanbenito/User/RegisterUser/, creando una cuenta mywellness personal y compartir los datos de carácter personal con el reclamado. Una de las utilizades de la citada aplicación es la participación en las actividades programadas por el centro mediante la reserva de las mismas con anticipación, para lo que se requiere la inscripción del usuario en el servicio Mywellness Cloud. De esta forma el centro te envía una invitación a un correo electrónico que le proporcionas en el formulario en el momento de la inscripción. Ahora bien, el uso de la aplicación y el acceso a los servicios que proporciona solo es posible si das obligatoriamente el consentimiento sobre el uso de los datos confidenciales relativos a la salud. Así consta en el formulario de creación de la cuenta donde figura lo siguiente: “He leído y entendido la Política de privacidad (https://www.mywellness.com/sanbenito/Terms/Privacy) y las Condiciones de uso (https://www.mywellness.com/sanbenito/Terms/Conditions) Por la presente doy mi consentimiento para el uso de mis datos confidenciales relativos a la salud para los fines de prestación del servicio *. Autorizo el tratamiento de mis datos personales para fines de marketing y publicidad, incluso en colaboración con terceros. *Obligatorio” Esgrime el reclamado en escrito de 02/09/2021 en cuanto a la finalidad del tratamiento de los datos de salud que “Los datos requeridos en el formulario de la app My Wellnes tienen como finalidad realizar un correcto feedback al usuario sobre su actividad física, ya que las calorías, o el peso relativo a manejar en máquinas, entre otros parámetros, dependen de estos datos; sexo, edad, peso, complexión” Y que en cuanto a la creación de la cuenta de usuario “para poder realizar reservas en My Wellnes hay que tener una cuenta de usuario y por lo tanto registrarse en la misma, no se dispone de opción B”. Lo que viene a confirmar lo señalado por el reclamante cuando manifiesta que: “Me he puesto en contacto con el responsable del centro (…) quien amablemente me atendió y consulto con la empresa las posibilidades. Finalmente me llamo para informarme que no se podían hacer cambios. Me propuso con su mejor intención una posibilidad que para mí no es aceptable pues lo único que se consigue con eso es ocultar el problema y no cumplir con la preceptiva LOPD”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/23 Por otra parte, es cierto que el reclamado ha manifestado que las reservas y accesos a las actividades se pueden realizar de forma presencial en el centro deportivo, no disponiéndose de dispositivo electrónico alguno; pero también es cierto que el reclamante señalaba en escrito de 22/01/2022 que el sistema de reserva es por medio de una aplicación de forma remota y presencialmente en el centro con un dispositivo de pulsera, pero que en ambos casos es obligatorio cumplimentar un registro donde hay que aceptar la cesión de los datos de salud. Por tanto, el tratamiento de los datos relacionados con la salud resulta excesivo para la finalidad perseguida de darse de alta en el Servicio Mywelness y poder realizar reservas de actividades en el centro. 3. El artículo 5.1.
  2. c)consagra el principio de minimización de datos y supone que el tratamiento de los datos personales debe ser ajustado y proporcional a la finalidad a la que se dirige, determinando claramente los fines para los que se recogen y tratan los datos, debiendo restringirse el tratamiento de aquellos que sean excesivos o bien procederse a la supresión de los mismos. Asimismo, la pertinencia en el tratamiento de los datos debe producirse tanto en el ámbito de la recogida como en el posterior tratamiento que se realice de los mismos. Sin embargo, el sistema empleado por parte del reclamado es relevante a la hora de valorar la injerencia en el derecho fundamental de protección de datos. Hay que señalar que el RGPD limita el uso o tratamiento de los datos por la necesidad y no por el exceso de los mismos; es decir, los datos personales deberán ser los adecuados, los necesarios, pertinentes y limitados a la necesidad para la que fueron recabados. Ya con anterioridad la jurisprudencia Tribunal Constitucional ha establecido que, si el objetivo puede alcanzarse sin realizar un tratamiento de datos, los mismos no deberían ser tratados. Por otro lado, dicha limitación a lo necesario debe ser evaluada tanto desde un punto de vista cuantitativo (volumen de datos tratados) como cualitativo (categoría de datos tratados). En ese mismo sentido lo señala el Considerando 39 cuando señala que “…Ello requiere, en particular, garantizar que se limite a un mínimo estricto su plazo de conservación. Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios…” IV La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo 83.5
  3. a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/23 Y en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  4. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” V En segundo lugar, se imputa al reclamado la vulneración del artículo 7, Condiciones para el consentimiento, del RGPD que establece: “1. Cuando el tratamiento se base en el consentimiento del interesado, el responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus datos personales. 2. Si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte de la declaración que constituya infracción del presente Reglamento. 3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basada en el consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado será informado de ello. Será tan fácil retirar el consentimiento como darlo. 4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato, incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de datos personales que no son necesarios para la ejecución de dicho contrato” (el subrayado corresponde a la AEPD). El artículo 4 del RGPD, Definiciones, en sus apartados 2 y 11, señala que: “2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/23 “11) «consentimiento del interesado»: toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. El artículo 5, Principios relativos al tratamiento, del RGPD dispone: “1. Los datos personales serán:
  5. a)tratados de manera lícita, leal y transparente en relación con el interesado (“licitud, lealtad y transparencia”); (…)” 2. El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el apartado 1 y capaz de demostrarlo (“responsabilidad proactiva”).” El artículo 6, Licitud del tratamiento, del RGPD establece: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  6. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; (…)” El artículo 9, Tratamiento de categorías especiales de datos personales, establece: “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
  7. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado; (…)” Los considerandos 32 y 42 del RGPD señalan que: «
(32)El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen, como una declaración por escrito, inclusive por medios electrónicos, o una declaración verbal. Esto podría incluir marcar una casilla de un sitio web en internet, escoger parámetros técnicos para la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/23 utilización de servicios de la sociedad de la información, o cualquier otra declaración o conducta que indique claramente en este contexto que el interesado acepta la propuesta de tratamiento de sus datos personales. Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos. Si el consentimiento del interesado se ha de dar a raíz de una solicitud por medios electrónicos, la solicitud ha de ser clara, concisa y no perturbar innecesariamente el uso del servicio para el que se presta. (…)
(42)Cuando el tratamiento se lleva a cabo con el consentimiento del interesado, el responsable del tratamiento debe ser capaz de demostrar que aquel ha dado su consentimiento a la operación de tratamiento. En particular en el contexto de una declaración por escrito efectuada sobre otro asunto, debe haber garantías de que el interesado es consciente del hecho de que da su consentimiento y de la medida en que lo hace. De acuerdo con la Directiva 93/13/CEE del Consejo, [de 5 de abril de 1993, sobre las cláusulas abusivas en los contratos celebrados con consumidores (DO 1993, L 95, p. 29),] debe proporcionarse un modelo de declaración de consentimiento elaborado previamente por el responsable del tratamiento con una formulación inteligible y de fácil acceso que emplee un lenguaje claro y sencillo, y que no contenga cláusulas abusivas. Para que el consentimiento sea informado, el interesado debe conocer como mínimo la identidad del responsable del tratamiento y los fines del tratamiento a los cuales están destinados los datos personales. El consentimiento no debe considerarse libremente prestado cuando el interesado no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno.» VI Hay que señalar que en el caso examinado y como se señala en fundamentos anteriores, el responsable del tratamiento ha implantado un sistema de reserva de actividades programadas en el centro polideportivo mediante una aplicación, que obliga a aceptar el consentimiento para el uso de datos de salud. En el formulario ofrecido para poder crear una nueva cuenta Mywellnes, en el que hay que aportar cuenta de correo electrónico a través de la cual se traslada al centro la reserva y este envía posteriormente confirmación de la misma, se presenta una cláusula de marcación obligatoria en la que se señala: Por la presente doy mi consentimiento para el uso de mis datos confidenciales relativos a la salud para los fines de prestación del servicio. En primer lugar, la definición de consentimiento la encontramos en el artículo 4.11 del RGPD como toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen. Por otra parte, de conformidad con lo señalado en el artículo 6 del RGPD el consentimiento es una más de las bases legitimadoras sobre las que un responsable puede realizar un tratamiento de datos personales. De esta forma, para que el tratamiento sea válido deben darse una serie de requisitos y, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/23 además, el responsable deberá ser capaz de demostrar que el interesado consintió el tratamiento de sus datos personales. Los datos especialmente protegidos recogidos en el artículo 9 como categorías especiales de datos, son los siguientes: origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos, datos relativos a la salud y datos relativos a la vida u orientación sexual de una persona física. En estos casos, las bases legitimadoras recogidas en el artículo 6 no serían aplicables, estableciendo el propio artículo 9 RGPD unos nuevos supuestos en los que sería lícito este tratamiento. Así recoge como primera posibilidad para poder tratar los datos especialmente protegidos el “consentimiento explícito” en su apartado 2, letra a). Por tanto, para el tratamiento de este tipo de datos debe darse una declaración expresa por parte del interesado. Y además sería necesario conservar la prueba de la misma pues el artículo 7 del RGPD establece que el responsable deberá poder demostrar que obtuvo el consentimiento del interesado. Es por ello que si estamos apoyándonos en la base legitimadora del consentimiento deberemos probar la obtención del mismo. Además, en relación con los artículos citados, se debe tener en cuenta el considerando
(32)del RGPD, pues indica que: “El consentimiento debe darse mediante un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca del interesado de aceptar el tratamiento de datos de carácter personal que le conciernen… Por tanto, el silencio, las casillas ya marcadas o la inacción no deben constituir consentimiento. El consentimiento debe darse para todas las actividades de tratamiento realizadas con el mismo o los mismos fines. Cuando el tratamiento tenga varios fines, debe darse el consentimiento para todos ellos…” Igualmente, el articulo 6.2 y 3 de la LOPDGDD indica, sobre el tratamiento basado en el consentimiento, que: “2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del afectado para una pluralidad de finalidades será preciso que conste de manera específica e inequívoca que dicho consentimiento se otorga para todas ellas. 3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el tratamiento de los datos personales para finalidades que no guarden relación con el mantenimiento, desarrollo o control de la relación contractual.” Pues bien, de acuerdo con todo lo expresado anteriormente, en el presente caso el tratamiento de los datos personales requiere la existencia de una base legal que lo legitime, como es, en este caso, la relación contractual existente. Sin embargo, si además la entidad desea realizar un tratamiento de categorías especiales de datos personales, como son los datos de salud, deberá además recabar el consentimiento prestado válidamente y de forma expresa. No es válido, por tanto, marcar obligatoriamente la casilla de aceptación en el formulario de solicitud de cuenta Mywellnes para poder hacer reserva de actividades en el centro deportivo sin dar la opción al usuario a otorgar el consentimiento libre e individualizado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/23 En este caso, el consentimiento no es libre pues se trata de un consentimiento vinculado; el carácter libre de ese consentimiento parece más que dudoso por el hecho de que en el supuesto de una denegación del mismo, apartándose del procedimiento normal de marcación obligatoria, conllevaría la imposibilidad de la inscripción no pudiendo descargar la aplicación y planteando la exigencia de que el cliente ha de declarar obligatoriamente que consiente en el uso de sus datos confidenciales relativos a la salud para los fines de prestación del servicio. No hay que olvidar que el reclamante se puso en contacto con el responsable del centro quien le informo de que no se podían hacer cambios, “Me propuso con su mejor intención una posibilidad que para mí no es aceptable pues lo único que se consigue con eso es ocultar el problema y no cumplir con la preceptiva LOPD”. El considerando 42 del RGPD señala que "el consentimiento no debe considerarse libremente prestado cuando el interesado no goza de verdadera o libre elección o no puede denegar o retirar su consentimiento sin sufrir perjuicio alguno". También el considerando 43 de la misma norma señala que “Para garantizar que el consentimiento se haya dado libremente, este no debe constituir un fundamento jurídico válido para el tratamiento de datos de carácter personal en un caso concreto en el que exista un desequilibro claro entre el interesado y el responsable del tratamiento, en particular cuando dicho responsable sea una autoridad pública y sea por lo tanto improbable que el consentimiento se haya dado libremente en todas las circunstancias de dicha situación particular". Se presume por tanto que el consentimiento no se ha prestado libremente cuando el cumplimiento de un contrato, incluida la prestación de un servicio, sea dependiente del consentimiento, aun cuando este no sea necesario para dicho cumplimiento (el subrayado es de la AEPD). Los hechos probados sobre el tratamiento de los datos personales son constitutivos de una infracción, imputable al reclamado, por vulneración del artículo 7 del RGPD mencionado, al no posibilitar al usuario realizar un consentimiento libre del tratamiento de los datos persones. VII El reclamado ha alegado su disconformidad con el contenido vertido en los fundamentos de la Propuesta de Resolución. 1. Alega que el cliente del gimnasio no tiene obligación, ni necesidad de utilizar la aplicación Mywellness desarrollada por el fabricante de equipamiento de gimnasios Technogym, sino que, es opcional y absolutamente voluntaria. Por tanto, no es necesario crear una cuenta para acceder a las instalaciones, realizar cualquier tipo de ejercicio o actividad en las mismas, como para la reserva de las clases o máquinas disponibles en el Centro, se puede hacer por otros medios, incluyendo la reserva presencial. Sin embargo, tales argumentos no se compadecen con lo señalado por el propio reclamado a lo largo del procedimiento. En primer lugar, como consta en los antecedentes de la resolución el reclamante no ofreció respuesta alguna a la pregunta de si para poder realizar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/23 reservas en dicho centro deportivo era necesario disponer de una cuenta de usuario en la aplicación móvil mywellness o bien en la página web mywellness.com e indicación, en caso negativo, del procedimiento a seguir por un usuario, para realizar reservas en dicho centro deportivo. En segundo lugar, el propio reclamado señalaba en escrito de 02/09/2021 en relación con el tratamiento de los datos de salud que “los datos requeridos en el formulario de la app Mywellnes tienen como finalidad realizar un correcto feedback al usuario sobre su actividad física, ya que las calorías, o el peso relativo a manejar en máquinas, entre otros parámetros, dependen de estos datos; sexo, edad, peso, complexión” y que “para poder realizar reservas en Mywellnes hay que tener una cuenta de usuario y por lo tanto registrarse en la misma, no se dispone de opción B”. El mismo reclamante señala tanto en su escrito de reclamación como posteriormente el 24/01/2022 que “El sistema de reserva es por medio de una APP de forma remota y físicamente en el centro deportivo con un dispositivo de pulsera. En los dos casos hay que cumplimentar un registro en el que DE MANERA OBLIGATORIA HAY QUE ACEPTAR LA CESIÓN DE LOS DATOS DE SALUD.” Por último, esa ausencia de opción B como la califica el reclamado se deduce del escrito del propio reclamante de 11/10/2019 “…Lo sorprendente es que la opción 1 (se refiere el reclamante a la marcación obligatoria en el formulario del consentimiento para el uso de datos confidenciales relativos a la salud) no es una opción pues si no se marca no permite la inscripción y por tanto no se puede descargar la aplicación. Me he puesto en contacto con el responsable del centro (…) quien amablemente me atendió y consultó con la empresa las posibilidades. Finalmente me llamó para informarme que no se podían hacer cambios. Me propuso con su mejor intención una posibilidad que para mí no es aceptable pues lo único que se consigue con eso es ocultar el problema y no cumplir con la preceptiva LOPD. No es objeto de mi escrito analizar que ocurre con nuestros datos personales ya sean de salud, económicos o de costumbres y como nos afectan, pero lo que no es aceptable es que el centro nos obligue es ceder los datos a terceros si no queremos, esto es desde mi punto de vista un flagrante incumplimiento de la LOPD”. Además, con independencia de lo que antecede, cualquier persona que deseara opcional y voluntariamente darse de alta en la aplicación y crearse una cuenta para poder acceder a los servicios que proporciona el centro solo sería posible si marcas en el formulario y otorgas obligatoriamente el consentimiento sobre el uso de los datos confidenciales relativos a la salud, lo que en ningún caso puede considerarse adecuado y pertinente. Por tanto, la alegación no puede ser admitida. 2. Alega el reclamado vulneración del principio de proporcionalidad en la sanción impuesta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/23 Hay que señalar que el principio de proporcionalidad supone, según reiterada jurisprudencia del TS, que debe existir una debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción aplicada. Pues bien, atendidas las circunstancias concurrentes en el presente caso, se considera que no se ha infringido el principio de proporcionalidad en la determinación de la sanción y que resulta proporcionada a la gravedad de las infracciones cometidas sin que se aprecien razones que justifiquen una reducción de la sanción impuesta, máxime teniendo en cuenta la cuantía a la que podría ascender de conformidad con el art. 83.5.
  1. a)del RGDP, que prevé para las infracciones de los artículos 5 y 7 del RGDP. Por tanto, procede desestimar dicha alegación. VIII La infracción que se le atribuye a la reclamada se encuentra tipificada en el artículo 83.5
  2. a)del RGPD, que considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable, de acuerdo con el apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía”. La LOPDGDD en su artículo 72, considera a efectos de prescripción, que son: “Infracciones consideradas muy graves: h. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  3. c)El incumplimiento de los requisitos exigidos por el artículo 7 del Reglamento (UE) 2016/679 para la validez del consentimiento. (…)” IX A fin de establecer la multa administrativa que procede imponer han de observarse las previsiones contenidas en los artículos 83.1 y 83.2 del RGPD, que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  4. a)a
  5. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/23
  6. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  7. b)la intencionalidad o negligencia en la infracción;
  8. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  9. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  10. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  11. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  12. g)las categorías de los datos de carácter personal afectados por la infracción;
  13. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  14. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  15. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  16. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. En relación con la letra
  17. k)del artículo 83.2 del RGPD, la LOPDGDD, en su artículo 76, “Sanciones y medidas correctivas”, establece que: “2. De acuerdo a lo previsto en el artículo 83.2.
  18. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  19. a)El carácter continuado de la infracción.
  20. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  21. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  22. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  23. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  24. f)La afectación a los derechos de los menores.
  25. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  26. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/23 De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción a imponer en el presente caso por la infracción tipificada en el artículo 83.5.
  27. a)y artículo 5.1.
  28. c)del RGPD de la que se responsabiliza al reclamado, se estiman concurrentes los siguientes factores: Son circunstancias agravantes: - La naturaleza y gravedad de la infracción pues no hay que olvidar que estamos ante el principio de minimización de datos cuya vulneración se considera muy grave, debiéndose entender que las personas o entidades por su actividad tratan datos de carácter personal deben velar y tener en cuenta la finalidad para las que se recogen, debiendo restringirse el tratamiento de aquellos que sean excesivos; en la operación de tratamiento objeto de la reclamación se encuentran afectados datos personales sujetos a especial protección; el número de personas afectadas pues, aunque se trate de un único reclamante parece evidente que potencialmente se han podido ver afectadas un número considerable de clientes de la entidad; el daño y perjuicio causado al reclamante, puesto que como consecuencia de la incidencia producida tuvo que dirigirse a interponiendo reclamación ante la Dirección General de Consumo de la CCAA (artículo 83.2.
  29. a)del RGPD). - Si bien no es posible sostener que la entidad haya actuado intencionadamente o con dolo, no cabe duda de que ha incurrido en una grave falta de diligencia. Los tratamientos de datos de carácter personal que lleva a cabo deben ser correspondidos con en un deber de extremar esa diligencia a fin de garantizar la tutela efectiva del derecho fundamental que nos ocupa (artículo 83.2.
  30. b)del RGPD). - La entidad reclamada no consta que haya adoptado medidas para evitar que se produzcan incidencias similares con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la misma (artículo 83.2.
  31. c)del RGPD). - Las categorías de los datos de carácter personal afectados por la infracción; como se señalaba con anterioridad en la operación de tratamiento se han visto afectados datos sometidos a especial protección, como los datos de salud (artículo 83.2.
  32. g)del RGPD). - La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal (artículo 76.2.
  33. b)de la LOPDGDD en relación con el artículo 83.2.k). Son circunstancias atenuantes: - Se trata de una pequeña empresa. Además, según se desprende de su declaración de impuestos, la situación de pandemia sufrida durante el ejercicio de 2020, ha afectado de manera significativa a las cuentas de la entidad. Con arreglo a los anteriores factores se estima adecuado imponer al reclamado por vulneración del artículo 5.1.
  34. c)del RGPD una sanción de 5.000 euros. En segundo lugar, a efectos de fijar el importe de la sanción de multa a imponer en el presente caso por la infracción tipificada en el artículo 83.5.
  35. a)y artículo 7 del RGPD de la que se responsabiliza al reclamado, se estiman concurrentes los siguientes factores: Son circunstancias agravantes: - La naturaleza y gravedad de la infracción pues no hay que olvidar que estamos ante la vulneración del consentimiento considerada muy grave, debiéndose entender que las personas o entidades por su actividad proceden a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/23 solicitar el consentimiento de sus clientes deben adecuarse a lo señalado en el artículo 7 del RGPD; en la operación de tratamiento objeto de la reclamación se encuentran afectados datos personales sujetos a especial protección; el número de personas afectadas pues, aunque se trate de un único reclamante parece evidente que potencialmente se han podido ver afectadas un número considerable de clientes de la entidad; el daño y perjuicio causado al reclamante, puesto que como consecuencia de la incidencia producida tuvo que dirigirse a interponiendo reclamación ante la Dirección General de Consumo de la CCAA (artículo 83.2.
  36. a)del RGPD). - Si bien no es posible sostener que la entidad haya actuado intencionadamente o con dolo, no cabe duda de que ha incurrido en una grave falta de diligencia. Los tratamientos de datos de carácter personal que lleva a cabo deben ser correspondidos con en un deber de extremar esa diligencia a fin de garantizar la tutela efectiva del derecho fundamental que nos ocupa (artículo 83.2.
  37. b)del RGPD). - La entidad reclamada no consta que haya adoptado medidas para evitar que se produzcan incidencias similares con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la misma (artículo 83.2.
  38. c)del RGPD). - Las categorías de los datos de carácter personal afectados por la infracción; como se señalaba con anterioridad en la operación de tratamiento se han visto afectados datos sometidos a especial protección, como los datos de salud (artículo 83.2.
  39. g)del RGPD). - La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal (artículo 76.2.
  40. b)de la LOPDGDD en relación con el artículo 83.2.k). Son circunstancias atenuantes: - Se trata de una pequeña empresa. Además, según se desprende de su declaración de impuestos, la situación de pandemia sufrida durante el ejercicio de 2020 ha afectado de manera significativa a las cuentas de la entidad. Con arreglo a los anteriores factores se estima adecuado imponer al reclamado por vulneración del artículo 7 del RGPD una sanción de 5.000 euros”. III El recurrente en su escrito de recurso ha alegado que en la parte dispositiva de las resolución no figura la tipificación a efectos de la LOPDGDD; que lo resuelto le genera indefensión; que no se ha vulnerado el artículo 5.1.
  41. c)del RGPD, ya que el tratamiento de datos personales que lleva a cabo de sus usuarios son adecuados, pertinentes y limitados a lo necesario y en relación con la vulneración del artículo 7 del RGPD los usuarios de los servicios no están obligados a consentir el tratamiento de datos sensibles. - En primer lugar, con respecto a que la Resolución recurrida no concreta, en su parte dispositiva, cuál es la tipificación a efectos de la LOPD-GDD, hay que señalar que: En la parte dispositiva, apartado primero y segundo, se establece que: “La Directora de la Agencia Española de Protección de Datos RESUELVE: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/23 PRIMERO: IMPONER a GYMOOGIMNASIOS S.L., con NIF B86643772, por una infracción del artículo 5.1.
  42. c)del RGPD, tipificada en el artículo 83.5.
  43. a)del RGPD, una multa de 5.000 € (cinco mil euros). SEGUNDO: IMPONER a GYMOOGIMNASIOS S.L., con NIF B86643772, por una infracción del artículo 7 del RGPD, tipificada en el Artículo 83.5.
  44. a)del RGPD, una multa de 5.000 € (cinco mil euros). (…)” En el presente caso, tanto en la propuesta de resolución como en la resolución se califican los hechos como infracción tanto del artículo 5.1.
  45. c)del RGPD, tipificada en el artículo 83.5.
  46. a)del RGPD, como infracción del artículo 7 del RGPD, tipificada en el Artículo 83.5.
  47. a)del RGPD, sancionándolas con multa de 5.000 euros. No se han modificado en la resolución sancionadora los hechos, ni la calificación jurídica, ni tampoco la cuantía de la sanción. La infracción propuesta y la que definitivamente se impone es la misma y aun siendo cierto que la parte dispositiva de la Resolución no contiene la calificación de la infracción a efectos de prescripción, es evidente que la recurrente tenía pleno conocimiento de cuál era y ha utilizado los medios de defensa a su alcance para oponerse a las mismas, por lo que no se le ha causado indefensión. Tanto en el fundamento de derecho IV como en el VIII se señalaba con respecto a las citadas infracciones que el artículo 72 de la LOPDGDD, las consideraba a efectos de prescripción, como muy graves. Por tanto, hemos de colegir en todo caso que la omisión no ha producido indefensión y por tanto tal alegación debe decaer. - Alega el recurrente indefensión, ya que no se le han aportado las razones que permitan conocer el fundamento de lo resuelto, pudiendo articular con las debidas garantías los recursos correspondientes, en caso contrario se produciría un menoscabo de sus posibilidades de defensa. Sin embargo, tal manifestación tampoco puede ser admitida; hay que recordar que la Audiencia Nacional en multitud de sentencias, entre otras la de 08/06/2005, señala que: «Para analizar la cuestión suscitada conviene recordar que en materia sancionadora, el Tribunal Constitucional ha establecido como uno de los pilares básicos para la interpretación del derecho Administrativo Sancionador que los principios y garantías básicas presentes en el ámbito del derecho penal son aplicables, con ciertos matices, en el ejercicio de cualquier potestad sancionadora de la Administración Pública (STC 76/1990, de 26 de abril, STS de 23 de enero de 1998 (Rec de casación 1650/1995 etc.). Asimismo, la STC 18/1981 (fundamento jurídico segundo in fine), ya había señalado que “los principios esenciales reflejados en el artículo 24 de la Constitución, en materia de procedimiento, han de ser aplicables a la actividad sancionadora de la Administración, en la medida necesaria para preservar los valores esenciales que se encuentran en la base del precepto y la seguridad jurídica que garantiza el artículo 9 de la Constitución, porque la garantía del orden constitucional exige que el acuerdo se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/23 adopte a través de un procedimiento en el que el presunto inculpado tenga oportunidad de aportar y proponer pruebas y alegar lo que a su derecho convenga”. También en el marco europeo se establece que la imposición de sanciones, incluidas las multas administrativas, debe estar sujeta a garantías procesales suficientes conforme a los principios generales del Derecho de la Unión y de la Carta, entre ellas el derecho a la tutela judicial efectiva y a un proceso con todas las garantías. El recurrente notificado el acuerdo de inicio ha tenido oportunidad de examinar el expediente mediante la solicitud de los documentos que lo integran y las actuaciones realizadas con carácter previo a la apertura del procedimiento, de conocer los documentos que lo integran y los hechos que motivan su iniciación, de hacer alegaciones que considerara pertinentes a su defensa y proponer pruebas, etc. Por otra parte, además del contenido mínimo del Acuerdo de Inicio, incluye la designación de Instructor/a, y, en su caso secretario/a, con indicación del régimen de recusación de los mismos, órgano competente para resolver, indicación de la infracción presuntamente cometida y posible sanción que pueda corresponder. Además, en la propia resolución recurrida Fundamento VII consta también la respuesta a las alegaciones a la Propuesta de Resolución; cuestión distinta es que aquella no fuera en el sentido pretendido por el recurrente. Así, se le señalaba que su argumentación no se compadecía con lo indicado a lo largo del procedimiento ni con los hechos considerados probados. El propio reclamado había señalado en relación con el tratamiento de los datos de salud que “los datos requeridos en el formulario de la app Mywellnes tienen como finalidad realizar un correcto feedback al usuario sobre su actividad física, ya que las calorías, o el peso relativo a manejar en máquinas, entre otros parámetros, dependen de estos datos; sexo, edad, peso, complexión” y que “para poder realizar reservas en Myellnes hay que tener una cuenta de usuario y por lo tanto registrarse en la misma, no se dispone de opción B”. Esa ausencia de opción B como la calificaba el reclamado se desprendía del escrito del propio reclamante de 11/10/2019 “…Lo sorprendente es que la opción 1 (se refiere el reclamante a la marcación obligatoria en el formulario del consentimiento para el uso de datos confidenciales relativos a la salud) no es una opción pues si no se marca no permite la inscripción y por tanto no se puede descargar la aplicación. Me he puesto en contacto con el responsable del centro (…) quien amablemente me atendió y consulto con la empresa las posibilidades. Finalmente me llamo para informarme que no se podían hacer cambios. Me propuso con su mejor intención una posibilidad que para mí no es aceptable pues lo único que se consigue con eso es ocultar el problema y no cumplir con la preceptiva LOPD. No es objeto de mi escrito analizar que ocurre con nuestros datos personales ya sean de salud, económicos o de costumbres y como nos afectan, pero lo que no es aceptable es que el centro nos obligue es ceder los datos a terceros si no queremos, esto es desde mi punto de vista un flagrante incumplimiento de la LOPD”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/23 Además, que cualquier persona que deseara opcional y voluntariamente darse de alta en la aplicación y crearse una cuenta para poder acceder a los servicios que proporciona el centro solo sería posible si marcabas en el formulario y otorgabas obligatoriamente el consentimiento sobre el uso de los datos confidenciales relativos a la salud, lo que en ningún caso puede considerarse adecuado y pertinente. En el formulario de inscripción en el centro se señala que el pago de la cuota incluye una serie de servicios y actividades: Servicios colectivos de la zona de fitness. Acceso a clases colectivas incluidas en la cuota general. Acceso a nado libre en la piscina. El recurrente señala que el usuario no tiene obligación de utilizar la aplicación, sino que de manera opcional y voluntaria el usuario puede crearse una cuenta para beneficiarse de los servicios que proporciona el centro teniendo la opción de reservar una actividad programada, una clase, una máquina específica de entre las que se dispone, asegurándose el usuario de su disponibilidad en un día y hora determinada y, además, otros muchos más personalizados y específicos entre los que se encuentran determinados servicios en relación con el equipamiento de la empresa Technogym. Por tanto, en el caso de que el usuario decida crearse una cuenta en la aplicación tiene la posibilidad además de acceder a los servicios que están incluidos en las prestaciones acordadas por las partes, acceder a otros servicios adicionales y personalizados relacionados con su actividad física. Sin embargo, no es cierto como señalaba el recurrente que incluso haciendo la reserva a través de la aplicación, la única información que se requiere para esta finalidad concreta es la de la identidad y la hora de la reserva. Lo que antecede, solo será posible si obligatoriamente otorgas el consentimiento respecto a los datos confidenciales relativos a la salud para los fines de prestación del servicio y, además, autorizas el tratamiento de datos personales para fines de marketing y publicidad, incluso en colaboración con terceros. La aplicación no deja de ser una herramienta que facilita al centro gestionar de una manera más eficaz y dinámica el espacio físico, la clientela, empleados, etc., incluyendo en sus funcionalidades servicios, actividades programadas, clases colectivas, horarios, reservas, mensajes, notificaciones, ofertas, entrenamientos, etc. A través de ella, los clientes pueden reservar una actividad en cualquier momento y accesible desde cualquier dispositivo vía web, principalmente a través de móvil u ordenador, un sistema de reserva online que permite optimizar el negocio, un instrumento que permite tener una agenda organizada, recordatorios, notificaciones, gestionando reservas en función de la disponibilidad existente, etc. Ahora bien, para la utilización de dicho instrumento es necesario crearse una cuenta y en formulario del centro se señala que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/23 “He leído y entendido la Política de privacidad (https://www.mywellness.com/sanbenito/Terms/Privacy) y las Condiciones de uso (https://www.mywellness.com/sanbenito/Terms/Conditions) Por la presente doy mi consentimiento para el uso de mis datos confidenciales relativos a la salud para los fines de prestación del servicio *. Autorizo el tratamiento de mis datos personales para fines de marketing y publicidad, incluso en colaboración con terceros. *Obligatorio Sin embargo, ¿Qué ocurre si no otorgas el consentimiento respecto a los datos confidenciales relativos a la salud para los fines de prestación del servicio y, además, autorizas el tratamiento de datos personales para fines de marketing y publicidad, incluso en colaboración con terceros? Pues que no puedes acceder las funcionalidades indicadas ya que no podrás utilizar la aplicación estando obligados a acceder a las instalaciones y a reservar las actividades de manera presencial bien en la recepción del centro o por teléfono si quieres disfrutar de alguna de las actividades programadas, clases o servicios objeto de ese contrato principal, lo cual será harto difícil porque normalmente estarán todas esas actividades estarán reservadas vía online encontrándose en situación de desigualdad con el resto de los usuarios que si tienen incorporada la aplicación en sus dispositivos. No obstante, aun siendo cierto como indica el recurrente que no es obligatorio crearse la cuenta y utilizar la aplicación para disfrutar y reservar las actividades que ofrece en el centro pudiéndolo hacer de manera presencial, lo que resulta paradójico es que independientemente de esos servicios adicionales y personalizados que se ofrecen por el centro, para realizar reservas, participar en clases colectivas o servicios que están incluidos en el contrato principal, si el usuario decide darse de alta en la aplicación y abrirse una cuenta obligatoriamente se vincule al consentimiento respecto de datos confidenciales relativos a la salud para los fines de prestación del servicio y, además, autorizar el tratamiento de datos personales para fines de marketing y publicidad, incluso en colaboración con terceros. Por tanto, aunque la aportación de determinados datos personales resulta innecesario y no pertinente, si estos no se aportan puede suponer que la mercantil no preste los servicios que se solicitan por los usuarios. Ahora bien, si lo que se pretende es ofertar una serie de servicios que no son objeto del contrato principal, como puede ser carga de sesiones de entrenamiento, seguimiento de evolución deportiva, reserva de maquinaria especial, etc., entonces puede ser necesario y preciso una aplicación para la prestación de los mismos en los que sea necesario y obligatorio el acceso a datos especialmente sensibles como pueden ser los datos de salud. Sin embargo, no es posible que para la prestación de servicios que están incluidos en el contrato principal (servicios colectivos de la zona de fitness, acceso a clases colectivas incluidas en la cuota general, acceso a nado libre en la piscina), se obligue a los usuarios a crear una cuenta para la utilización de la aplicación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/23 vinculándolo necesaria y obligatoriamente a otorgar el consentimiento para el uso de datos de salud. Por lo tanto, el recurrente ha vulnerado el artículo 5.1.
  48. c)del RGPD, ya que el tratamiento de los datos personales que lleva a cabo de sus usuarios o clientes ni son adecuados, ni pertinentes ni limitados a lo necesario en relación con los fines para los que son tratados, no resultando procedente modificar lo que ya se señalaba en la resolución recurrida de admitir la no vulneración del citado artículo, tipificado en el artículo 83.5.
  49. a)del RGPD y considerado a efectos de prescripción en el artículo 72.1
  50. a)de la LOPDGDD. De la misma forma, el recurrente ha vulnerado el artículo 7 del RGPD, tipificada en el artículo 83.5.
  51. a)del RGPD, considerada a efectos de prescripción en el artículo 72.1.
  52. c)de la LOPDGDD. IV En consecuencia, en el presente recurso de reposición, la parte recurrente no ha aportado nuevos hechos o argumentos jurídicos que permitan reconsiderar la validez de la resolución impugnada. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por GYMOOGIMNASIOS S.L. contra la resolución de esta Agencia Española de Protección de Datos dictada con fecha 21 de junio de 2022, en el expediente RR/00445/2022. SEGUNDO: NOTIFICAR la presente resolución a GYMOOGIMNASIOS S.L. TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva una vez sea ejecutiva la presente resolución, de conformidad con lo dispuesto en el artículo 98.1.
  53. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/23 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), los interesados podrán interponer recurso contencioso-administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  54. a)LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPACAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.