Recientemente, la Agencia Española de Protección de Datos (AEPD) ha impuesto una sanción a un gimnasio de la ciudad de Madrid por infracción de la vigente normativa en materia de protección de datos, específicamente en lo que respecta al tratamiento de imágenes de sus socios. Este caso pone de manifiesto la importancia del consentimiento, que ha de ser libre, informado y específico. Y por eso en APDTIC hemos decidido analizarlo.
¿Qué sucedió?
El gimnasio llevaba a cabo grabaciones de las clases colectivas y las usaba después en su propia aplicación móvil y a través de la televisión del gimnasio. En concreto, el denunciante asegura en su escrito que el gimnasio colocaba de forma estratégica un teléfono móvil para grabar dichas clases.
Según la investigación de la AEPD, el gimnasio informaba sobre la grabación a través de la cartelería y en las condiciones generales del contrato de socio. No obstante, la agencia considera que estas medidas no son suficientes para garantizar un consentimiento libre, específico, informado e inequívoco.
Infracciones identificadas
La AEPD concluye que se podrían haber cometido las siguientes infracciones:
a. Vulneración del artículo 7 del RGPD ((multa administrativa de 15.000€): considera la AEPD que, siendo el consentimiento la base jurídica para el tratamiento de imágenes con fines promocionales, no cumple este con los requisitos necesarios en relación con la libertad y la información requeridos por el RGPD (Reglamento General de Protección de Datos).
Al menos hasta abril de 2022, los contratos que elaboraba el gimnasio no incluían ninguna cláusula específica para el uso de imágenes de clientes. Además, considera la AEPD que la información contractual era confusa, lo que condicionaba la contratación al consentimiento para este tratamiento, viciando su carácter libre e informado.
Por su parte, el proceso de contratación online también se encontraba supeditado a la aceptación del tratamiento de la imagen con fines promocionales y, pese a alegar el gimnasio que se consultaba verbalmente acerca del consentimiento al inicio de las clases, no constan pruebas que lo refrenden en el expediente administrativo.
b. Vulneración del artículo 5.1.e del RGPD ((multa administrativa de 15.000€): el propio registro de actividades de tratamiento de la entidad indicaba que las imágenes destinadas a ser publicadas en la web y en las redes sociales se conservarían “durante un tiempo indefinido”. Y este hecho incumple el principio de limitación del plazo de conservación del RGPD, que exige que los datos se mantengan tan solo durante el tiempo necesario para los fines del tratamiento.
c. Vulneración del artículo 28.3 del RGPD (multa administrativa de 6.000€): pese a existir un contrato de corresponsabilidad, la AEPD determina que se produce una atribución errónea de los roles de responsable y encargado del tratamiento. Este hecho impide al responsable del tratamiento cumplir con las obligaciones impuestas por el RGPD para procurar la protección debida respecto de los datos personales que se tratan, lo cual afecta a la garantía de los derechos de los interesados.
Medidas correctivas ordenadas
Además de las sanciones pecuniarias impuestas, la AEPD ha ordenado al gimnasio adoptar varias medidas correctivas para poner fin a los incumplimientos de la normativa:
- Acreditar que la grabación y la publicación de imágenes cuenta con una base de legitimación adecuada (el consentimiento libre e informado).
- Suprimir el contenido tratado sin dicha base.
- Adoptar medidas para garantizar la limitación del plazo de conservación.
- Realizar el correspondiente contrato de encargado del tratamiento.
El gimnasio demandado dispone, desde la publicación de la resolución, de un plazo de 6 meses para que demuestre que efectivamente ha imple
Importe de la sanción
Finalmente, y de acuerdo con el artículo 85 de la Ley 39/2015 (LPACAP), que lo permite, a la empresa se le ofrecen dos reducciones acumulables del 20% cada una, por reconocimiento de responsabilidad y por pago voluntario, respectivamente. Así, finalmente, se procedió al pago de una sanción de 21.600 € haciendo ambas reducciones efectivas, disminuyendo un 40% el total de la sanción para la terminación del procedimiento.
Este artículo ha contado con la colaboración de Xan Paz Guerreiro.
