Spor Salonu Kayıtlarında Bilgilendirme ve Rıza

1/45

 Expediente N.º: EXP202309454

RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR RECONOCIMIENTO
DE RESPONSABILIDAD Y PAGO VOLUNTARIO

Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes

ANTECEDENTES

PRIMERO: Con fecha 24 de febrero de 2025, la Presidencia de la Agencia Española
de Protección de Datos acordó iniciar procedimiento sancionador a SCHOOL
FITNESS HOLIDAY & FRANCHISING, S.L. (en adelante, SCHOOL FITNESS),
mediante el acuerdo que se transcribe:

<<
Expediente N.º: EXP202309454

ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR

De las actuaciones practicadas por la Agencia Española de Protección de Datos y en
base a los siguientes

HECHOS

PRIMERO: Con fecha 30 de mayo de 2023 se interpuso reclamación ante la Agencia
Española de Protección de Datos por una posible infracción imputable a SCHOOL
FITNESS HOLIDAY & FRANCHISING, S.L. con NIF B82887514 (en adelante,
SCHOOL FITNESS).

Los hechos que se pusieron en conocimiento de esta autoridad fueron los siguientes:

(…) reclamante manifiesta ser cliente de HOLIDAY FIT TRES CANTOS, un gimnasio,
en el que los monitores que imparten clases en sus instalaciones realizan grabaciones
de las sesiones de dichas clases, sin informar ni recabar los oportunos
consentimientos de los participantes.

Afirma que, el día 9 de mayo de 2023 se percató de la existencia de un teléfono móvil
junto a la ventana de una de las salas, en lo que considera una ubicación escogida por
el monitor para poder grabar la clase impartida.

Indica que, se ha opuesto en reiteradas ocasiones a la recogida y uso de su imagen
en las clases en las que participa, pero que se le hace caso omiso. También, ha
expuesto la problemática mediante correo electrónico a la entidad reclamada, que le
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

2/45

ha informado de una cláusula general en los contratos de la entidad en la que se
indica que, al formalizar el correspondiente contrato de uso de instalaciones de la
entidad, se autoriza a la grabación del cliente en las instalaciones; considerando (…)
reclamante que dicha circunstancia, sin incluir posibilidad de oponerse, es contraria a
la normativa de protección de datos.

Junto a la reclamación aportó la siguiente documentación:

- Copia del contrato suscrito entre (…) reclamante y la entidad SCHOOL FITNES
HOLIDAY & FRANCHISIN, S.L., en fecha 1 de septiembre de 2016, por una
validez de 365 días. En la copia constan dos firmas, la de “El socio” ((…)
reclamante), que se corresponde con un código alfanumérico de socio/a ((…)),
y la de SCHOOL FITNESS con una firma manuscrita.

En el apartado “Condiciones Generales” figura la siguiente cláusula en materia
de protección de datos de carácter personal:

“Decimoprimera.- Según lo establecido en la Ley Orgánica 15/1999 de
Protección de Datos de Carácter Personal (LOPD), los datos facilitados por el
socio, incluyendo los correspondientes al patrón biométrico, serán
incorporados al fichero “clientes y proveedores” cuyo titular es SCHOOL
FITNESS HOLIDAY FRANCHISING, S.L.U., con domicilio en Las Rozas
(28290) Las Rozas, Madrid, calle Rozabella nº 6, Parque Europa Empresarial.
A tal efecto, se considera que los datos que el socio/a proporciona son ciertos.
Los datos de patrón biométrico serán utilizados como confirmación para la
aceptación del contrato así como para el acceso al gimnasio. La lectura
biométrica no implica la grabación de la huella y los datos obtenidos no son en
ningún caso tratables como huella dactilar. La finalidad de dicho fichero es dar
cumplimiento a la prestación de los servicios contratados por el socio, así
como la gestión comercial y el envío o comunicación de publicidad o
información de carácter comercial o bien de encuestas de satisfacción por
cualquier medio. En caso de que el/la socio/a no desee recibir publicidad o
información comercial deberá marcar la casilla correspondiente a la aceptación
del contrato.
☐ No deseo recibir publicidad.
(…).
(…).

- Copia del contrato suscrito entre (…) reclamante y la entidad HOLIDAY FIT
TRES CANTOS, S.L. (en adelante, HOLIDAY FIT), en fecha 13 de octubre de
2022, por una validez de 12 meses. En la copia constan dos firmas, la de “El
socio” ((…) reclamante), que se corresponde con un código alfanumérico de
socio/a ((…)), y la de HOLIDAY FIT TRES CANTOS, S.L. con una firma
manuscrita.

- En el contenido de la reclamación, se aporta el texto plano de un correo
electrónico que, según (…) reclamante, recibió de la dirección electrónica “No
replay Holiday Gym (…)”, en fecha 8 de febrero de 2021 a las 14:51 horas, en
contestación a la reclamación que presentó a través de la página web del
gimnasio. El contenido es el siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

3/45

“A.A.A.
Gracias por contactarnos a través de sugerencias.
Hemos derivado su solicitud al departamento correspondiente para ser
analizada (le reenviamos su contrato donde especifica el apartado al que usted
se refiere)
DUODÉCIMA.- Con la firma del presente contrato el socio concede
autorización para que la empresa pueda utilizar indistintamente todas las
imágenes, fotografías, vídeos, archivos de voz, material gráfico, etc., (en
adelante las imágenes) en las que intervenga, o sea parte de las mismas.
Asimismo, el socio autoriza la comunicación o cesión de las imágenes a las
personas que la empresa considere oportunas, con el mismo objeto indicado
en el apartado anterior, informándole expresamente de que en algunos casos
para dicha cesión se realizarán transferencias internacionales de datos. En
concreto, estos datos podrán ser comunicados a terceros, sin ningún
consentimiento adicional por su parte, siempre que esta comunicación se limite
a esta finalidad. Él socio concede esta autorización con un ámbito territorial y
temporal amplio, por lo que la empresa podrá utilizar las imágenes, o parte de
las mismas, en todo el territorio español y en todos los países del mundo sin
limitación geográfica de ninguna clase. El socio concede esta autorización para
la utilización de las imágenes en las que aparece, o parte de las mismas, en el
ámbito y finalidades tanto de comunicación y difusión de la actividad de la
empresa, como de cualquier otro proyecto, entendido éste en su forma más
amplia, destinado de forma enunciativa, pero no limitativa a la promoción de
las actividades de la empresa, en sus propios centros, su página web y en
cualquier otro medio que la empresa, considere, pudiendo ser explotados en
todos los medios conocidos en la actualidad y los que pudieran desarrollarse
en el futuro, todo ello con la única salvedad y limitación de aquellas
utilizaciones o aplicaciones que pudieran atentar al derecho al honor, a la
moral y/o al orden público, en los términos previstos en la legislación vigente
en cada país. Esta autorización se entiende hecha con carácter gratuito. Como
consecuencia de la cesión, el socio exime expresamente a la empresa de toda
responsabilidad sobre cualquier uso que pueda hacer un tercero de las
imágenes, fuera del ámbito territorial, temporal y material objeto del presente
contrato. Todo ello al amparo de lo dispuesto en la Ley Orgánica 1/1982, de 5
de mayo, de Protección Civil del Derecho al Honor, a la Intimidad Personal y
Familiar y a la Propia Imagen, así como el Reglamento UE 2016/679, de 27 de
abril de 2016 y demás normativa de protección de datos aplicable. Gracias por
ser parte de la familia Holiday Gym.
Le informamos que esta cuenta de correo electrónico únicamente es de
emisión de correos. El buzón de entrada de esta cuenta no recibe correos.
Para contactar con nosotros puede hacerlo a través del Formulario de
Sugerencias en nuestra web o APP.
Un cordial saludo, B.B.B.

Departamento de Atención cliente Holiday Gym

El contenido de la reclamación a la que daba respuesta la comunicación
anterior es el siguiente:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

4/45

“Lo arriba indicado se trata de una cláusula o respuesta abusiva, a sabiendas
que he comunicado muy claramente y en repetidas ocasiones que no
consiento ni que me graben ni que usen grabaciones en las que aparezco.
Por lo que se puede deducir que, además, están infringiendo la ley traficando
ilegalmente con los datos.
(…)
Vuelvo a solicitar que borren todos los videos, fotos o imágenes desde el (…)
ya que no se puede saber sin me han grabado o no (aunque sea parte de mi
cuerpo o aunque no se me haya enfocado la cara. Siempre va a ser su palabra
contra la mía, ya que yo no puedo acceder a los videos grabados.
Solicito que borren todos mis datos y mi huella dactilar, que la usan para el
acceso al centro. El borrado de datos también implica que no me envíen
ningún tipo de publicidad. A pesar de que no me permiten entrar al gimnasio y
han rescindido unilateralmente el contrato, me siguen enviando publicidad por
medios electrónicos.
(…)

SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), el 6 de julio de 2023 se dio traslado de dicha reclamación a
SCHOOL FITNESS, para que procediese a su análisis e informase a esta Agencia en
el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos
previstos en la normativa de protección de datos.

El traslado, que se practicó conforme a las normas establecidas en la LPACAP
mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo
de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el artículo
43.2 de la LPACAP en fecha 17 de julio de 2023, como consta en el certificado que
obra en el expediente.

Aunque la notificación se practicó válidamente por medios electrónicos, dándose por
efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título
informativo se envió una copia por correo postal que fue notificada fehacientemente en
fecha 20 de julio de 2023. En dicha notificación, se le recordaba su obligación de
relacionarse electrónicamente con la Administración, y se le informaban de los medios
de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría
exclusivamente por medios electrónicos; resultado notificado el 25 de julio de 2023.

Con fecha 7 de agosto de 2023 se recibe en esta Agencia escrito de respuesta de
SCHOOL FITNESS, en el que negaba los hechos objeto de reclamación y el incidente
de 9 de mayo de 2023 y realizaba las siguientes manifestaciones:

- En relación con la grabación de imágenes, “en el contrato de suscripción los
socios consienten de forma expresa la grabación y difusión de las imágenes en
la práctica de sesiones individuales y colectivas y además se solicita
verbalmente el consentimiento al interesado“ y “No se almacenan ni publican
grabaciones de las sesiones sin consentimiento del usuario.”.

- Respecto al ejercicio de derechos de (…) reclamante, “no hay base para la
reclamación de protección de datos por la sencilla razón de que no se ha
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

5/45

obtenido ninguna imagen de ella, ni se ha almacenado por lo que no hay nada
que cancelar”.

- En cuanto a la adopción de medidas, “Entiende la compañía que no procede
adoptar ninguna medida al respecto si bien tras la recepción de la presente
comunicación se ha mantenido una reunión con el departamento de atención al
cliente para revisar el caso concreto informando a los empleados de las últimas
novedades sobre protección de datos.”.

Junto al escrito, se aportó la siguiente documentación:

- Documento nº1 “Reclamación día 7221.pdf”. Reclamación presentada por (…)
reclamante ((...). Cliente. Tres Cantos), en fecha 7 de febrero de 2021, a través
de la página web de HOLIDAY FIT TRES CANTOS. En su contenido expone (i)
la queja sobre las presuntas grabaciones de imágenes de clientes sin su
consentimiento, (ii) el malestar sufrido y las consecuencias que está
padeciendo la parte reclamante por ello y (iii) que no consiente ni autoriza a
que se le hagan fotos ni videos en ninguno de sus centros y en general.

- Documento nº2 “Contestación día 8221.pdf”. Contestación emitida por el
Departamento de Atención al cliente de Holiday Gym, en fecha 8 de febrero de
2021, a la queja presentada por (…) reclamante. En la cabecera del documento
figura “08/02/2021 (...) Email enviado al cliente” y el siguiente contenido:

“A.A.A.,
Te informamos que como te hemos indicado en anteriores reclamaciones
nunca se graba a nadie que no autorice ser grabado para la promoción de las
actividades del centro por parte de la marca, de nuevo si ha habido una
confusión con este tema te pedimos disculpas puesto que nunca enfocamos a
ningún usuario que no desee ser grabado haciendo mucho énfasis en esto.
Gracias por ser parte de la familia Holiday Gym.
Esta cuenta de correo electrónico únicamente es de emisión de correos. El
buzón de entrada de esta cuenta no recibe correos. Para contactar con
nosotros puede hacerlo a través del Formulario de Sugerencias en nuestra web
o APP.
Un saludo, B.B.B.
Dpto. de Atención cliente Holiday Gym”

- Documento “Contrato baja devoluciones.pdf”. En su contenido figura:

o Copia del contrato suscrito entre (…) reclamante y la entidad HOLIDAY
FIT TRES CANTOS, S.L., en fecha 13 de septiembre de 2022, por una
validez de 12 meses. En la copia constan dos firmas, la de “El socio”
((…) reclamante), que se corresponde con un código alfanumérico de
socio/a ((...)), y la de la HOLIDAY FIT TRES CANTOS, S.L. con una
firma manuscrita.

o Copia del contrato de baja de (…) reclamante, de fecha 18 de mayo de
2023, firmado únicamente por HOLIDAY FIT TRES CANTOS, S.L., con
el siguiente contenido:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

6/45

“(…)”

En el apartado “Anexo” figura la siguiente cláusula en materia de
protección de datos de carácter personal:

“2. En este momento, en el que usted solicita la baja, le recordamos
que puede ejercer sus derechos de acceso, rectificación cancelación u
oposición, dirigiéndose a School Fitness Holiday Franchising (a la
atención del Departamento Jurídico) como responsable del Fichero en
la dirección de email: ***EMAIL.1, o en la siguiente dirección postal:
***DIRECCIÓN.1”

o Copia del extracto bancario sobre el cobro de la cuota y la devolución
parcial tras la baja a (…) reclamante, con “fecha de impresión 7 de
agosto de 2023”.

TERCERO: Con fecha 30 de agosto de 2023, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación.

CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VIII, de la LOPDGDD.

Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los
siguientes extremos:

Debido a la naturaleza del caso, se ha considerado necesario la realización de una
inspección presencial para poder constatar de manera fehaciente la existencia de
cámaras grabación, toma de imágenes de clientes y otros aspectos relacionados.
Asimismo, poder verificar in situ los protocolos y operativas existentes al respecto, en
el entorno en el que presuntamente se han producido los hechos reclamados.

Se realizaron dos inspecciones presenciales, la primera inspección tuvo lugar el 22 de
noviembre de 2023, mientras que la segunda se realizó el 19 de diciembre de 2023.
Esto fue debido a que la primera de ella se solicitó la autorización únicamente para la
realización de actuaciones de investigación a SCHOOL FITNESS HOLIDAY &
FRANCHISING, S.L. y la segunda a la otra entidad investigada, HOLIDAY FIT TRES
CANTOS S.L., que es la entidad que gestiona el establecimiento físico del gimnasio.
Tomando como referencia la actuación AT/03558/2023, en la que se dispuso el
traslado de la reclamación a SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L., fue
esta misma entidad la que respondió a la solicitud de información y no manifestó en
ningún momento otra casuística organizativa diferente.

Sin embargo, durante el transcurso de la primera inspección, a partir de las
manifestaciones aportadas por los representantes de la entidad y la revisión de la
documentación facilitada en la reclamación, se aclaró el marco empresarial en el que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

7/45

se enmarcan las entidades investigadas y la organización del grupo comercial, como
se detallará posteriormente.

Los resultados obtenidos en ambas inspecciones fueron similares, siendo además el
principal representante de las entidades, en calidad de apoderado, la misma persona
en ambos casos.

La inspección se compuso de dos partes, tal como refleja el acta de inspección. En
una primera, el equipo de inspección de esta Agencia se reunió con los representantes
de la parte reclamada, expuso el motivo de su visita y detalle de los hechos
reclamados y atendieron las manifestaciones de la parte reclamada al resto. La
segunda parte consistió en la recopilación de evidencias junto con la realización de
diferentes pruebas en los sistemas de información empleados por el gimnasio.

1. Información obtenida.

 Organización empresarial
Los representantes de HOLIDAY FIT señalaron que (i) HOLIDAY FIT TRES CANTOS
S.L. forma parte del grupo de empresas que actúan bajo la marca comercial HOLIDAY
GYM, siendo la matriz del grupo la empresa SCHOOL FITNESS HOLIDAY &
FRANCHISING S.L. y que (ii) cada empresa del grupo dispone de personalidad
jurídica propia y autonomía de gestión. No obstante, la empresa matriz actúa como
coordinadora y se encarga de gestiones comunes del grupo como la promoción de la
marca comercial. De hecho, es la encargada de gestionar las distintas cuentas que el
grupo dispone en redes sociales para estas promociones y de la publicación de
contenidos. El gimnasio ubicado en Tres Cantos, por tanto, es competencia de
HOLIDAY FIT TRES CANTOS S.L., siendo el personal que allí trabaja empleados de
esta entidad.

Los roles que desempeñan ambas entidades son los de corresponsables del
tratamiento, como se comentará a continuación.

Cabe señalar que este modelo se ha ido adaptando durante el tiempo, motivo por el
que parte de la documentación aportada hacía referencia a una relación directa entre
(…) reclamante y SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L.

Respecto de esta cuestión, HOLIDAY FIT aportó la siguiente documentación:

- Documento “Docs 4, 5, 6.pdf”. Copia del “Acuerdo de colaboración y
tratamiento de datos personales” sobre el grupo empresarial y las relaciones
que articulan el funcionamiento entre SCHOOL FITNESS HOLIDAY &
FRANCHISING, S.L. y HOLIDAY FIT TRES CANTOS S.L. (en adelante, el
gimnasio), en fecha 1 de julio de 2018. Figura la firma manuscrita de C.C.C..

Los roles definidos según este acuerdo son los de corresponsables, tal como
se indica: “las citadas empresas van a colaborar con la finalidad de optimizar la
experiencia para los clientes, constituyéndose en corresponsables del
tratamiento de los datos personales”. Posteriormente, se indica que este
aspecto será informado a los clientes: “El GIMNASIO informará a los clientes
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

8/45

de la citada relación de corresponsabilidad como parte del proceso de alta de
nuevos clientes”.

Respecto al tratamiento que realizará cada uno, se señala: “El GIMNASIO
tratará los datos personales de sus clientes con la finalidad de gestionar la
facturación y el cobro del servicio, para prestar el servicio presencial de
entrenamiento físico y para la venta presencial de productos para
entrenamiento”.

Por otra parte, “SCHOOL FITNESS HOLIDAY & FRANCHISING SL. tratará los
datos personales que reciba del GIMNASIO con las siguientes finalidades:

- Gestionar el acceso de los socios al gimnasio, en función de la tarifa de cada
uno.
- Ofrecer servicios digitales (rutinas de entrenamiento, música para entrenar,
etc.) a todos los clientes del GIMNASIO a través de la web holidaygym.es, y la
aplicación móvil del mismo nombre.
- Enviar información comercial en formato electrónico. - Venta online de
productos para entrenamiento.
- Mantenimiento del fichero “Derechos de Admisión
- Publicar imágenes y videos promocionales de los gimnasios en la web y en
las redes sociales (exclusivamente de los empleados del GIMNASIO y de los
clientes que hayan prestado su consentimiento).”

En relación con el ejercicio de derechos, se indica la siguiente operativa de
trabajo: “El ejercicio de derechos de acceso, rectificación, supresión, oposición,
limitación y portabilidad, que las personas ejerzan presencialmente se
atenderán en la recepción del GIMNASIO. Si el ejercicio de derechos que
realiza una persona lo hace de forma postal, o electrónica, las solicitudes las
atenderá SCHOOL FITNESS HOLIDAY & FRANCHISING SL.”

 Grabación de vídeos e imágenes:

Los representantes de HOLIDAY FIT manifestaron que (i) la grabación y toma de
imágenes se realiza con la finalidad de promocionar comercialmente el gimnasio,
mostrando las diferentes actividades que se realizan en él, pero que es ocasional, por
ejemplo, en alguna festividad o fechas señaladas; y que (ii) en el caso del
establecimiento de Tres Cantos (HOLIDAY FIT TRES CANTOS S.L.), es el (…) de ese
centro la única persona que graba imágenes de los clientes. Se toman mediante un
único teléfono móvil corporativo que custodia el mismo (…).

Asimismo, los representantes de la citada entidad señalaron que disponen de un
protocolo escrito respecto a la grabación de imágenes, contenido dentro del manual
existente a disposición de los monitores, junto con las cláusulas de protección de
datos del contrato de trabajo. Dentro de las medidas indicadas por el responsable,
está también el que no se empleen teléfonos personales de los monitores dentro de
las aulas mientras imparten clases. También existe una formación básica sobre
tratamiento de datos a su incorporación.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

9/45

Respecto de esta cuestión, HOLIDAY FIT( TRES CANTOS aportó la siguiente
documentación:

- Documento “Doc.3 MPO General.pdf”. Copia del “Manual de procedimiento
general” que existente a disposición de los empleados de aplicación para esta
casuística. No consta fecha de publicación y en todas las páginas aparece el
logo “Holiday Gym”.

En el apartado “Protección de datos” (página 4 y siguientes), se destacan los
siguientes aspectos:

“(…)”

“(…)”

“(…)”

En el apartado “Monitores” (página 15 y siguientes), se destacan las siguientes
cuestiones:

“(…)”

“(…)”

- Documento “Docs 4, 5, 6.pdf”. Copia de un “Contrato de trabajo indefinido”
suscrito en febrero de 2022 entre HOLIDAY FIT TRES CANTOS S.L. y un
empleado con cargo de “monitor polivalente”, cuyos datos aparecen
anonimizados; así como de las cláusulas de protección de datos y
confidencialidad que figuran en dicho contrato (Páginas 1 a 16).

Entre las cláusulas consta un “Compromiso de confidencialidad” con HOLIDAY
FIT TRES CANTOS S.L., señalando que el empleado: “(…).” Se concreta
también que no deberá recopilar ninguna información a la finalización de la
relación laboral “(…)”.

Existen dos apartados sobre el uso de los sistemas informáticos. En ellos no se
ha localizado mención al empleo de teléfonos móviles.

Sobre la autorización del uso de imágenes, se orienta a la publicación de
imágenes de los propios empleados, no así de los clientes (…). Y, se detallan
los siguientes aspectos:

“(…)”.

Figura al final de este apartado un recuadro para autorizar o rechazar el
tratamiento de la imagen propia.

 Difusión de vídeos e imágenes:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

10/45

Respecto a la difusión del material multimedia, Los representantes de HOLIDAY FIT
señalaron (i) que estas imágenes se publican en redes sociales, concretamente en
Instagram en la cuenta del grupo, en las denominadas historias de la aplicación, que
tienen una duración de 24 horas, (ii) que se han utilizado en Facebook y están en vías
de emplearlas en TikTok, (iii) que para publicaciones fijas, cartelería, etc., emplean
material de un banco de imágenes, etiquetando a los propios clientes en algunas de
estas publicaciones temporales de redes sociales; y (iv) que la publicación de estos
contenidos la realiza el departamento de marketing de la matriz, ubicado en sus
servicios centrales. No se publican desde cada gimnasio concreto.

Respecto a la operativa empleada para la grabación en sí, así como la motivación de
la misma, los representantes de HOLIDAY FIT TRES CANTOS manifestaron que el
departamento de marketing es el encargado de tomar la iniciativa sobre las distintas
campañas que se realizan, generalmente, para fechas o eventos señalados. Para ello
solicitan a los distintos gimnasios que tomen imágenes y vídeos de las actividades u
otros aspectos como la decoración. Estas solicitudes se realizan mediante correo
electrónico corporativo. Los archivos multimedia se comparten empleando la
herramienta OneDrive, a través de una carpeta compartida entre cada uno de los
gimnasios y el departamento de marketing. Una vez el contenido ha sido descargado
por el departamento de marketing, proceden a borrarlo de OneDrive.

Señalaron que los archivos se borran del teléfono móvil de forma periódica por el (…)
del centro y, respecto al correo electrónico, el (…) del centro (…) no borra
específicamente los correos enviados según manifiestan. Tampoco existe una
configuración de correo para la eliminación automática de manera periódica.

 Relación e información para los clientes respecto a las grabaciones:

Respecto al consentimiento aportado por los clientes, los representantes de HOLIDAY
FIT TRES CANTOS manifestaron que el consentimiento para la grabación, además de
las cláusulas contractuales que se tratarán a continuación, se recaba de forma verbal
al inicio de cada clase que vaya a ser grabada. En el mismo acto se informa de la
finalidad de la grabación. En caso de que alguna persona indique que no quiere ser
grabada, se le solicita que se retire para no salir en la grabación o que abandone el
aula durante ese momento.
Los representantes de HOLIDAY FIT manifiestan que los clientes son informados de
sus derechos de protección de datos, tanto en la aplicación móvil como en la página
web. En el proceso de registro y suscripción es de obligada aceptación la política de
privacidad y los términos legales. Consta en este apartado la forma de contacto para
poder ejercer sus derechos, según manifestaciones.

Respecto de esta cuestión, HOLIDAY FIT aporta la siguiente documentación:

- Documento “Docs 4, 5, 6.pdf”. Copia de las “Condiciones de contratación” entre
las que se encuentran la información en materia de protección de datos que se
proporciona a los clientes durante el proceso de registro (Páginas 11 a 16).

En el apartado “2. Aceptación del contrato y protección de datos”, se recogen
los siguientes aspectos:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

11/45

“Información sobre protección de datos.

Responsable del Tratamiento:
El tratamiento de mis datos será realizado por dos corresponsables del
tratamiento: SCHOOL FITNESS HOLIDAY & FRANCHISING SL. y HOLIDAY
FIT TRES CANTOS SL.

Finalidad del tratamiento:
SCHOOL FITNESS HOLIDAY & FRANCHISING SL. es la titular de la marca
Holiday Gym, del sitio web holidaygym.es y de la aplicación móvil del mismo
nombre, tratará mis datos para gestionar mi acceso a los distintos gimnasios
en función de mi tarifa, para ofrecerme los servicios digitales a los que tengo
derecho como socio, para enviarme información en formato electrónico, para la
venta online de productos para entrenamiento, para el mantenimiento del
fichero de derecho de admisión y y en caso de que les otorgue mi
consentimiento, para publicar imágenes o videos en la web o redes sociales.

HOLIDAY FIT TRES CANTOS SL es la titular de la explotación del gimnasio en
el que estoy contratando el servicio y tratará mis datos para gestionar la
facturación y cobro del servicio y para prestarme los servicios presenciales de
entrenamiento físico y la venta presencial de productos para entrenamiento.

Legitimación:
La base de legitimación general del tratamiento es la relación contractual con
los dos corresponsables. El envío puntual de información comercial, el
tratamiento de videovigilancia y control del derecho de admisión, por el interés
legítimo de los corresponsables. Adicionalmente, mi consentimiento, si decido
otorgarlo, es la base legitimación del tratamiento de las fotografías o videos en
que aparezca mi imagen.

Destinatarios:
Mis datos personales y las imágenes de videovigilancia podrán ser
compartidas con las Fuerzas y Cuerpos de Seguridad y con los Juzgados y
Tribunales, en caso de ser necesarias para la investigación de faltas o delitos.
En caso de que haya otorgado mi consentimiento, mi imagen podrá aparecer
en fotografías o videos publicados en la web y redes sociales de Holiday Gym.
No se cederán mis datos personales a otros terceros salvo obligación legal.

Derechos:
Tengo derecho a acceder, rectificar, suprimir y oponerme al tratamiento de mis
datos personales. También tengo derecho a la portabilidad y a la limitación del
tratamiento de mis datos, dirigiéndome a SCHOOL FITNESS HOLIDAY &
FRANCHISING SL. ***DIRECCIÓN.1 o bien solicitándolo a la siguiente
dirección de correo electrónico: ***EMAIL.1
También tengo derecho a presentar una reclamación ante la Agencia Española
de Protección de Datos si considero que mis derechos han sido vulnerados.

Condiciones de contratación.

(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

12/45

acepto el contrato incluyendo sus condiciones generales y específicas y las
normas del gimnasio, y acepto expresamente el tratamiento de mis datos
personales por parte de la empresa con los fines recogidos en el presente
contrato/condiciones generales de contratación”.

Mediante diligencia realizada por esta Agencia en fecha 8 de enero de 2025, se ha
revisado el proceso de contratación a través de la página web ((...)) detectando
información relevante que se ha omitido en la documentación aportada. En particular,
durante el proceso de contratación consta el siguiente punto:
(...)
Este apartado es de obligada aceptación para la contratación de los servicios. Por
tanto, podría entrar en contradicción con otras actuaciones y garantías relativas a la
obtención del consentimiento de los interesados.

Se ha verificado que la empresa a la que se hace referencia en este clausulado varía
en función de la sede para la que se esté haciendo el registro online. El texto
anteriormente citado se reproduce para el caso de realizar la contratación en el
gimnasio ubicado en Tres Cantos

Por otra parte, en el proceso de contratación online no se ha encontrado mención
dentro del clausulado a lo indicado previamente relativo al consentimiento para el
tratamiento de imágenes (“mi consentimiento, si decido otorgarlo, es la base
legitimación del tratamiento de las fotografías o videos en que aparezca mi imagen.”).

2. Evidencias obtenidas.

Pasando a continuación a las evidencias obtenidas durante la inspección presencial, el
equipo de inspección de esta Agencia solicitó en primera instancia permiso a los
representantes de HOLIDAY FIT TRES CANTOS para que les permitieran el acceso a
sus instalaciones y les mostraran la operativa de grabación de imágenes, así como la
transferencia de estos archivos y su posterior eliminación.

Se realizaron las siguientes comprobaciones en el teléfono móvil y en el correo
corporativo (mediante un ordenador) del (…) del centro, estando él presente y siendo
quien manipuló los dispositivos:

- A través del administrador de archivos del terminal móvil se revisaron distintas
carpetas en las que se almacena contenido multimedia del sistema, no
encontrando contenido relativo a clientes.

- Se revisó el buzón de correo del (…) del centro, en las diferentes carpetas
existentes. Se realizaron las comprobaciones de forma cronológica revisando
los elementos más antiguos del buzón para constatar los procedimientos de
conservación.

Como resultados obtenidos, se verificó que no se encuentran envíos de vídeos
antiguos cuyo material sea accesible. Sí se encontró un correo electrónico
enviado al departamento de marketing del grupo corporativo con algunas
fotografías de clientes, de fecha del 25 de mayo de 2023. Dichas fotografías no
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

13/45

se enviaron mediante OneDrive, como es el procedimiento habitual, sino que
se adjuntaron como documentos. Los representantes de la entidad manifiestan
que se enviaron así ya que fueron proporcionadas por el propio cliente
mediante correo electrónico y de forma excepcional se gestionó de esta
manera por comodidad. Los inspectores comprueban que estas imágenes
efectivamente proceden de un correo electrónico con el dominio Gmail.com.

- No existen políticas de correo configuradas para la eliminación automática de
correos electrónicos antiguos que contengan material multimedia (imágenes,
vídeos), por lo que el borrado debe realizarse de manera manual.

Adicionalmente se comprobó que el gimnasio no tiene cámaras fijas de grabación en
las aulas ni en las instalaciones deportivas empleadas por los clientes, verificando las
diferentes estancias de las que se compone el local. Sí dispone de una cámara a la
entrada del establecimiento, pero no capta imágenes durante las actividades,
únicamente de control de accesos.

3. Otras evidencias obtenidas.

Los representantes de HOLIDAY FIT TRES CANTOS manifiestan que no hay
transferencia de datos a terceros países. Indican que la referencia que figura en cierta
documentación que era en contratos antiguos, para los que tampoco se hacía uso,
pero figuraba para una mayor seguridad jurídica. Manifiestan que actualmente ya no
consta.

Por último, se señala que la Delegada de Protección de Datos no ha emitido un
informe específico sobre este tratamiento. No existe un análisis de riesgo por escrito
para este tratamiento, no obstante, manifiestan que en las reuniones mantenidas a
nivel de dirección de la entidad se han tratado las medidas de seguridad que se deben
llevar a cabo, aunque no se ha plasmado por escrito.

4. Publicación de imágenes y vídeos de clientes en redes sociales.

A raíz de los hechos manifestados, se han revisado las publicaciones en redes
sociales, en particular en Instagram, efectuadas desde la cuenta corporativa del grupo
(***URL.2).

En ella, la mayoría de las publicaciones son de monitores (que así lo señalan al inicio
de las grabaciones) y las publicaciones temporales, cuya duración es de 24 horas, son
con frecuencia de clientes que envían ellos mismos y que el grupo comparte desde la
cuenta corporativa. No obstante, se han localizado las siguientes publicaciones del
año 2024 relativas a la grabación de clases, realizadas directamente desde la cuenta
corporativa, en las que sí aparecen clientes:

- ***URL.3
- ***URL.4
- ***URL.5
- ***URL.6
- ***URL.7
- ***URL.8
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

14/45

- ***URL.9

Al ser una cuenta común para la marca comercial, no consta en qué gimnasio
particular han sido grabados estos vídeos.

5. Marco normativo y documentación adicional obtenida.

HOLIDAY FIT TRES CANTOS ha facilitado, además de los documentos reseñada en
este este informe, la siguiente documentación:

- Documento “Doc.1. Registro actividades tratamiento School.pdf”. El registro, de
“fecha de impresión” 2 de enero de 2024, se encuentra elaborado por SCHOOL
FITNESS HOLIDAY & FRANCHISING S.L. y consta de 12 puntos.

En el apartado “1. Atención derechos de las personas (ARCO)”, se recogen las
siguientes cuestiones:

“(…)

(…)

(…)

(…)

(…)

(…)

(…).”

En el apartado “3. Clientes” se recogen los siguientes aspectos:

“(…)

(…)

(…)

(…)

(…).”

En el apartado “8. Imágenes”, se recogen los siguientes aspectos:

“(…)

(…)

(…)
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

15/45

(…).”

En el apartado “12. Videovigilancia”, se recogen los siguientes aspectos:

“(…)

(…)

(…)

(…)

(…).”

- Documento “Doc 2. Contrato suscrito con Holiday Fit Tres Cantos.pdf”.

o Copia del contrato suscrito entre (…) reclamante y la entidad HOLIDAY
FIT TRES CANTOS, S.L., en fecha 13 de septiembre de 2022, por una
validez de 12 meses, la copia del contrato de baja de (…) reclamante,
de fecha 18 de mayo de 2023, firmado únicamente por HOLIDAY FIT
TRES CANTOS, S.L. y copia del extracto bancario sobre el cobro de la
cuota y la devolución parcial tras la baja a (…) reclamante, con “fecha
de impresión 7 de agosto de 2023”. Esta documentación es idéntica a la
aportada por SCHOOL FITNESS en su respuesta al traslado, de fecha
7 de agosto de 2023.

QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad
SCHOOL FITNESS es una empresa constituida en el año 2001, y con un volumen de
negocios de 978.207€ euros en el año 2023.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
iniciar y resolver este procedimiento la Presidencia de la Agencia Española de
Protección de Datos.

II
Procedimiento

Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

16/45

en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos”.

De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las
características de las presuntas infracciones cometidas, se inicia un procedimiento
sancionador.

El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha
del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en
consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el
artículo 64 de la LOPDGDD.

Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).

III
Cuestiones previas

Tratamiento de datos personales

El artículo 4.1) del RGPD define «dato personal» como: “toda información sobre una
persona física identificada o identificable («el interesado»); se considerará persona
física identificable toda persona cuya identidad pueda determinarse, directa o
indirectamente, en particular mediante un identificador, como por ejemplo un nombre,
un número de identificación, datos de localización, un identificador en línea o uno o
varios elementos propios de la identidad física, fisiológica, genética, psíquica,
económica, cultural o social de dicha persona”.

El artículo 4.2) del RGPD define «tratamiento» como: “cualquier operación o conjunto
de operaciones realizadas sobre datos personales o conjuntos de datos personales,
ya sea por procedimientos automatizados o no, como la recogida, registro,
organización, estructuración, conservación, adaptación o modificación, extracción,
consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de
habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.”

En el presente caso, la grabación y publicación de imágenes y vídeos captados
durante las clases impartidas en gimnasios supone un tratamiento de datos personales
por cuanto la imagen es un dato personal. Dicho tratamiento se pone de manifiesto en
la documentación aportada en el marco de las actuaciones previas de investigación
realizadas por esta Agencia.

Roles respecto de la grabación y publicación de imágenes y vídeos con fines
promocionales

El artículo 4.7) del RGPD define al «responsable del tratamiento» o «responsable»
como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que,
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

17/45

solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la
Unión o de los Estados miembros determina los fines y medios del tratamiento, el
responsable del tratamiento o los criterios específicos para su nombramiento podrá
establecerlos el Derecho de la Unión o de los Estados miembros”.

El artículo 4.8) del RGPD define al «encargado del tratamiento» o «encargado» como
“la persona física o jurídica, autoridad pública, servicio u otro organismo que trate
datos personales por cuenta del responsable del tratamiento”.

El artículo 26 del RGPD define “Corresponsables del tratamiento” como: “1. Cuando
dos o más responsables determinen conjuntamente los objetivos y los medios del
tratamiento serán considerados corresponsables del tratamiento. Los corresponsables
determinarán de modo transparente y de mutuo acuerdo sus responsabilidades
respectivas en el cumplimiento de las obligaciones impuestas por el presente
Reglamento, en particular en cuanto al ejercicio de los derechos del interesado y a sus
respectivas obligaciones de suministro de información a que se refieren los
artículos 13 y 14, salvo, y en la medida en que, sus responsabilidades respectivas se
rijan por el Derecho de la Unión o de los Estados miembros que se les aplique a ellos.
Dicho acuerdo podrá designar un punto de contacto para los interesados.”

En el Acta de inspección de 19 de diciembre de 2023 se destacan las siguientes
manifestaciones de los representantes de HOLIDAY FIT TRES CANTOS:

1. “HOLIDAY FIT TRES CANTOS SL forma parte del grupo de empresas que actúan
bajo la marca comercial HOLIDAY GYM, siendo la matriz del grupo la empresa
SCHOOL FITNESS HOLIDAY & FRANCHISING SL. Cada empresa del grupo dispone
de personalidad jurídica propia y autonomía de gestión, no obstante, la empresa
matriz actúa como coordinadora y se encarga de gestiones comunes del grupo como
la promoción de la marca comercial. De hecho, es la encargada de gestionar las
distintas cuentas que el grupo dispone en redes sociales para estas promociones.” (el
subrayado es de esta Agencia).

2. “La grabación y toma de imágenes se realiza con la finalidad de promocionar
comercialmente el gimnasio, mostrando las diferentes actividades que se realizan en
él.(…) En el caso del establecimiento de Tres Cantos, es el (…) la única persona que
graba imágenes de los clientes. Se toman mediante un único teléfono móvil
corporativo que custodia el mismo (…).
Estas imágenes se publican en redes sociales, concretamente en Instagram en la
cuenta del grupo, en las denominadas historias de la aplicación, que tienen una
duración de 24 horas. También indican que se han utilizado en Facebook y están en
vías de emplearlas en TikTok. Para publicaciones fijas, cartelería, etc., emplean
material de un banco de imágenes. Los propios clientes son etiquetados en algunas
de estas publicaciones temporales de redes sociales.” (el subrayado es de esta
Agencia).

3. “La publicación de estos contenidos lo realiza el departamento de marketing de la
matriz, ubicado en sus servicios centrales. No se publican desde cada gimnasio
concreto. El departamento de marketing es el encargado de tomar la iniciativa sobre
las distintas campañas que se realizan, que generalmente se realizan para fechas o
eventos señalados. Para ello solicitan a los distintos gimnasios que tomen imágenes y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

18/45

vídeos de las actividades u otros aspectos como la decoración. Estas solicitudes se
realizan mediante correo electrónico corporativo. Los archivos multimedia se
comparten empleando la herramienta OneDrive, a través de una carpeta compartida
entre cada uno de los gimnasios y el departamento de marketing. Una vez el
contenido ha sido descargado por el departamento de marketing, proceden a borrarlo
de OneDrive.(…)” (el subrayado es de esta Agencia).

El 4 de enero de 2024 HOLIDAY FIT TRES CANTOS aporta la documentación
solicitada por esta Agencia, en la que se destaca:

- Documento 1. El Registro de Actividades de Tratamiento, elaborado por
SCHOOL FITNESS HOLIDAY & FRANCHISING S.L. y con fecha de impresión
de 2 de enero de 2024. En el apartado “8. Imágenes”, consta lo siguiente:

“(…)

(…)

(…)

(…)

(…).”

- Documento 2. Una copia del contrato suscrito entre (…) reclamante y HOLIDAY
FIT TRES CANTOS, S.L., de fecha 13 de septiembre de 2022, en el que no
consta ninguna cláusula en materia de protección de datos; así como copia del
contrato de baja de (…) reclamante, de fecha 18 de mayo de 2023, en el que
se identifica a SCHOOL FITNESS HOLIDAY & FRANCHISING como
responsable del fichero a efectos de ejercer los derechos previstos en el
RGPD.

- Documento 3. El Manual de operativa para los empleados de HOLIDAY GYM,
en el que figura un apartado (“Protección de datos”) donde se trata el protocolo
para la recogida de imágenes, solicitud de consentimiento de los clientes,
operativa de trabajo y eliminación de archivos. En dicho manual se identifica a
SCHOOL FITNESS HOLIDAY & FRANCHISING S.L., como responsable del
tratamiento de las imágenes y vídeos grabados y publicados.

- Documento 4,5 y 6. Una copia de un “Contrato de trabajo indefinido” suscrito
en febrero de 2022 entre HOLIDAY FIT TRES CANTOS S.L. y un empleado,
donde figura un acuerdo de confidencialidad y un apartado relativo a la cesión
de imágenes para promoción de la marca orientado únicamente hacia los
propios trabajadores. En él, se identifica a HOLIDAY FIT TRES CANTOS S.L.
como responsable del tratamiento.

Asimismo, copia de las “Condiciones de contratación”, en donde se detalla la
información en materia de protección de datos que se proporciona a los
clientes durante el proceso de registro. En ella se identifica a HOLIDAY FIT

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

19/45

TRES CANTOS S.L. y SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L.
como corresponsables del tratamiento.

Por último, copia del “Acuerdo de colaboración y tratamiento de datos
personales” suscrito entre SCHOOL FITNESS HOLIDAY & FRANCHISING,
S.L. y HOLIDAY FIT TRES CANTOS S.L. (“gimnasio”), en fecha 1 de julio de
2018, en el que se prevé que ambas entidades actuarán como corresponsables
del tratamiento y realizarán los siguientes tratamientos:

“El GIMNASIO tratará los datos personales de sus clientes con la finalidad de
gestionar la facturación y el cobro del servicio, para prestar el servicio
presencial de entrenamiento físico y para la venta presencial de productos para
entrenamiento.

SCHOOL FITNESS HOLIDAY & FRANCHISING SL. tratará los datos
personales que reciba del GIMNASIO con las siguientes finalidades:

- Gestionar el acceso de los socios al gimnasio, en función de la tarifa de cada
uno.
- Ofrecer servicios digitales (rutinas de entrenamiento, música para entrenar,
etc.) a todos los clientes del GIMNASIO a través de la web holidaygym.es, y la
aplicación móvil del mismo nombre.
- Enviar información comercial en formato electrónico.
- Venta online de productos para entrenamiento.
- Mantenimiento del fichero “Derechos de Admisión”.
- Publicar imágenes y videos promocionales de los gimnasios en la web y en
las redes sociales (exclusivamente de los empleados del GIMNASIO y de los
clientes que hayan prestado su consentimiento).”

Como puede observarse, de las manifestaciones y documentación aportada por
HOLIDAY FIT TRES CANTOS en el marco de las actuaciones previas de
investigación, se infiere que existen contradicciones en cuanto a los roles que
desempeñan SCHOOL FITNESS y HOLIDAY FIT.

De acuerdo con las Directrices 07/2020 del CEPD, la corresponsabilidad del
tratamiento se produce cuando existen varios participantes en el tratamiento que
ostentan la condición de responsables de tratamiento y determinan conjuntamente los
objetivos y medios de una operación de tratamiento. Al igual que ocurre con los
conceptos de “responsable del tratamiento” y “encargado del tratamiento”, el
“corresponsable del tratamiento” es un concepto funcional, siendo necesario
establecerlo en virtud de sus actividades concretas en el caso analizado y no en
función de la designación formal que pueda figurar en el acuerdo o contrato: “52. La
evaluación de la corresponsabilidad debe basarse en un análisis fáctico, y no en un
análisis formal, de la influencia real sobre los fines y los medios del tratamiento. Todos
los acuerdos existentes o previstos deben ser objeto de verificación en relación con
las circunstancias de hecho en las que se desarrolla la relación entre las partes. Para
ello, no basta con guiarse por un mero criterio formal, al menos por dos razones: en
algunos casos, puede faltar el nombramiento formal de un responsable del tratamiento
—por ejemplo, en virtud de la ley o de un contrato—; en otros, puede ocurrir que el
nombramiento formal no refleje la realidad de los acuerdos, por haberse
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

20/45

encomendado formalmente la función de responsable del tratamiento a un ente que,
en la práctica, no esté en condiciones de «determinar» los fines y los medios del
tratamiento.”

En el presente caso, esta Agencia considera que, si bien existe un acuerdo entre
HOLIDAY FIT TRES CANTOS y SCHOOL FITNESS por el que actuarían como
corresponsables del tratamiento, en la práctica, es SCHOOL FITNESS quien
determina los fines y medios del tratamiento consistente en la grabación y publicación
de imágenes y vídeos en la web y redes sociales de las empresas del grupo a fin de
promocionar la marca comercial. Es quien decide cuándo, cómo y qué campañas
comerciales han de realizarse; mientras que HOLIDAY FIT TRES CANTOS se limita a
realizar la toma de imágenes y vídeos de las actividades u otras cuestiones que el
departamento de marketing de SCHOOL FITNESS le indica.

Por tanto, esta Agencia concluye que SCHOOL FITNESS realiza esa operación de
tratamiento en su condición de responsable del tratamiento, dado que es quien
determina los fines y medios de tal actividad, en virtud del artículo 4.7) del RGPD. Por
su parte, HOLIDAY FIT TRES CANTOS, tiene la consideración de encargado del
tratamiento, actuando por cuenta de SCHOOL FITNESS en la grabación de las
imágenes y vídeos utilizados con fines promocionales.

Finalmente, cabe señalar que el apartado 11 del mencionado art. 4 RGPD dispone lo
siguiente:
11. “consentimiento del interesado”: toda manifestación de voluntad libre, específica,
informada e inequívoca por la que el interesado acepta, ya sea mediante una
declaración o una clara acción afirmativa, el tratamiento de datos personales que le
conciernen”.

IV
Obligación incumplida. Consentimiento del interesado

El artículo 6 “Licitud del tratamiento” del RGPD establece:

“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:

a) el interesado dio su consentimiento para el tratamiento de sus datos
personales para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales
c) el tratamiento es necesario para el cumplimiento de una obligación legal
aplicable al responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de
otra persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en
interés público o en el ejercicio de poderes públicos conferidos al responsable
del tratamiento;

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

21/45

f) el tratamiento es necesario para la satisfacción de intereses legítimos
perseguidos por el responsable del tratamiento o por un tercero, siempre que
sobre dichos intereses no prevalezcan los intereses o los derechos y libertades
fundamentales del interesado que requieran la protección de datos personales,
en particular cuando el interesado sea un niño.

Lo dispuesto en la letra f) del párrafo primero no será de aplicación al
tratamiento realizado por las autoridades públicas en el ejercicio de sus
funciones.”

El artículo 6 del RGPD determina en su apartado 1 los supuestos en los que la
normativa permite realizar el tratamiento de datos personales de un tercero, que se
denominan como “bases de licitud”. Si no concurre alguno de estos supuestos o
condiciones, el tratamiento no será legítimo, o considerado lícito por el RGPD.

En el presente caso, de la documentación que obra en el expediente se infiere que el
consentimiento del interesado constituiría la base jurídica que legitimaría a HOLIDAY
FIT TRES CANTOS a realizar el tratamiento consistente en la grabación y publicación
de imágenes y vídeos de los clientes durante las clases que se imparten en sus
instalaciones. Ello se desprende de las afirmaciones realizadas por la entidad en el
sentido de que los clientes habrían consentido a la grabación de las imágenes y a su
posterior difusión.

Respecto a esta cuestión, (…) reclamante aportó documentos señalados en el
apartado de “Hechos”, primer punto, de este acuerdo. En el contrato de 13 de abril de
2022 suscrito entre (…) reclamante y HOLIDAY FIT TRES CANTOS, no se ha
localizado un apartado que recabe el consentimiento del cliente para la grabación y
publicación de su imagen en la web y redes sociales de la entidad. Cabe señalar que,
en el momento que se suscribió el contrato de septiembre de 2016 entre ambas
partes, el RGPD todavía no resultaba de aplicación.

Asimismo, en el presente momento de acuerdo de inicio de procedimiento
sancionador, y comparando el contenido de las respuestas a la queja planteada por
(…) reclamante a través de la web de HOLIDAY FIT TRES CANTOS adjuntas a la
reclamación y al escrito de contestación al traslado de SCHOOL FITNESS, en el
documento de SCHOOL FITNESS no figura la transcripción de ninguna cláusula del
contrato relativa al uso de la imagen. No obstante, el remitente en el pie de firma es la
misma persona, “B.B.B. Departamento de Atención al cliente Holiday Gym”.

En el escrito de respuesta al traslado de 7 de agosto de 2023, SCHOOL FITNESS
señaló que (i) “en el contrato de suscripción los socios consienten de forma expresa la
grabación y difusión de las imágenes en la práctica de sesiones individuales y
colectivas y además se solicita verbalmente el consentimiento al interesado” y (ii) “La
legitimación del consentimiento del resto de usuarios viene dada por la aceptación
expresa al momento de firmar el contrato de suscripción y, adicionalmente, se solicita
consentimiento verbal al socio que se pueda ver afectado”. Como prueba de estas
manifestaciones, aportó una copia idéntica del contrato de alta aportado por (…)
reclamante y, por tanto, donde no figura una cláusula de consentimiento para el
tratamiento en cuestión.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

22/45

Por su parte, los representantes de HOLIDAY FIT TRES CANTOS manifestaron
durante la inspección presencial realizada por esta Agencia, en fecha 19 de diciembre
de 2023, que el consentimiento es la base jurídica que ampara el tratamiento de datos
personales consistente en la grabación y publicación de imágenes y vídeos de los
clientes de HOLIDAY FIT TRES CANTOS. En concreto, señalaron que (i) “El
consentimiento para la grabación, además de las cláusulas contractuales, se recaba
de forma verbal al inicio de cada clase que vaya a ser grabada. En el mismo acto se
informa de la finalidad de la grabación. En caso de que alguna persona indique que no
quiere ser grabada, se le solicita que se retire para no salir en la grabación o que
abandone el aula durante ese momento” y que (ii) “Hay un protocolo escrito respecto a
la grabación de imágenes, contenido dentro del manual existente a disposición de los
monitores, junto con las cláusulas de protección de datos del contrato de trabajo”.

Como prueba de estas manifestaciones, aportaron documentación en la que se
destaca:

- Documento 1. En el apartado “8. Imágenes” del Registro de Actividades de
Tratamiento elaborado por SCHOOL FITNESS, con fecha de impresión de 2 de
enero de 2024, consta que la base jurídica que legitima a SCHOOL FITNESS a
tratar el dato personal de la imagen es el consentimiento del interesado, y que
la finalidad es publicar imágenes y vídeos promocionales en la web y redes
sociales.

- Documento 2. En la copia del contrato suscrito entre (…) reclamante y
HOLIDAY FIT TRES CANTOS, de fecha 13 de septiembre de 2022 y firmado,
no consta ninguna cláusula en materia de protección de datos, cuyo contenido
es idéntico al aportado por (…) reclamante.

- Documento 3. En el apartado “Protección de datos” del manual de
procedimiento general, se indica a los trabajadores que graben mientras leen el
siguiente texto a los clientes antes de realizar la toma de imágenes con fines
promocionales:

“Texto que se debe grabar como prueba:
Hola a todos. Por protocolo de protección de datos tengo que leeros este texto:
La participación es totalmente libre y voluntaria, y aquella persona que no
quiera aparecer en fotografías o videos, por favor que se sitúe fuera de la zona
de grabación que os he indicado. Aquellos que os ubiquéis en la zona de
grabación, estáis dando vuestro consentimiento para aparecer en las
fotografías o en el video que montemos. El Responsable del tratamiento de
estas imágenes es SCHOOL FITNESS HOLIDAY & FRANCHISING SL, que las
podrá utilizar para la promoción de los gimnasios Holiday Gym en nuestra web
holidaygym.es o en nuestras cuentas de redes sociales. Podréis ejercer
vuestro derechos de protección de datos en la web holidaygym.es o en el
correo electrónico ***EMAIL.1”

- Documento 4,5 y 6. En la copia de las “Condiciones de contratación”, sin fecha
ni firma, se indica:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

23/45

“Finalidad: (…) En caso de que les otorgue mi consentimiento, para publicar
imágenes o videos en la web o redes sociales.

Legitimación: (…) Adicionalmente, mi consentimiento, si decido otorgarlo, es la
base legitimación del tratamiento de las fotografías o videos en que aparezca
mi imagen.

Destinatarios: (…). En caso de que haya otorgado mi consentimiento, mi
imagen podrá aparecer en fotografías o videos publicados en la web y redes
sociales de Holiday Gym. (…)

Condiciones de contratación: (…) acepto el contrato incluyendo sus
condiciones generales y específicas y las normas del gimnasio, y acepto
expresamente el tratamiento de mis datos personales por parte de la empresa
con los fines recogidos en el presente contrato/condiciones generales de
contratación”.

Teniendo en cuenta lo descrito en los párrafos anteriores, se significa, en primer lugar,
que en el Registro de Actividades de Tratamiento elaborado por SCHOOL FITNESS, la
base legitimadora del tratamiento de imágenes con fines promocionales es el
consentimiento del interesado. En este sentido, resulta necesario señalar que el
artículo 7 del RGPD se refiere a las circunstancias que deben concurrir para el
otorgamiento del consentimiento, a saber:

“1. Cuando el tratamiento se base en el consentimiento del interesado, el
responsable deberá ser capaz de demostrar que aquel consintió el tratamiento de sus
datos personales.

2. Si el consentimiento del interesado se da en el contexto de una declaración escrita
que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de
tal forma que se distinga claramente de los demás asuntos, de forma inteligible y de
fácil acceso y utilizando un lenguaje claro y sencillo. No será vinculante ninguna parte
de la declaración que constituya infracción del presente Reglamento.

3. El interesado tendrá derecho a retirar su consentimiento en cualquier momento.
La retirada del consentimiento no afectará a la licitud del tratamiento basada en el
consentimiento previo a su retirada. Antes de dar su consentimiento, el interesado
será informado de ello. Será tan fácil retirar el consentimiento como darlo.

4. Al evaluar si el consentimiento se ha dado libremente, se tendrá en cuenta en la
mayor medida posible el hecho de si, entre otras cosas, la ejecución de un contrato,
incluida la prestación de un servicio, se supedita al consentimiento al tratamiento de
datos personales que no son necesarios para la ejecución de dicho contrato.”

Por su parte, la LOPDGDD señala en su artículo 6, lleva por rúbrica “Tratamiento
basado en el consentimiento del afectado” lo siguiente:

“1. De conformidad con lo dispuesto en el artículo 4.11 del Reglamento (UE) 2016/679,
se entiende por consentimiento del afectado toda manifestación de voluntad libre,
específica, informada e inequívoca por la que este acepta, ya sea mediante una
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

24/45

declaración o una clara acción afirmativa, el tratamiento de datos personales que le
conciernen.

2. Cuando se pretenda fundar el tratamiento de los datos en el consentimiento del
afectado para una pluralidad de finalidades será preciso que conste de manera
específica e inequívoca que dicho consentimiento se otorga para todas ellas.

3. No podrá supeditarse la ejecución del contrato a que el afectado consienta el
tratamiento de los datos personales para finalidades que no guarden relación con el
mantenimiento, desarrollo o control de la relación contractual.” (el subrayado es de
esta Agencia).

Sobre estas cuestiones, las Directrices 5/2020 del CEPD ofrecen unos mecanismos
para ayudar a la interpretación de estos criterios y a su cumplimiento por los
responsables de los tratamientos. De lo indicado en este documento, interesa destacar
algunos aspectos relacionados con la validez del consentimiento, en concreto sobre
los elementos “específico”, “informado” e “inequívoco”:

“3.2. Manifestación de voluntad específica
El artículo 6, apartado 1, letra a), confirma que el consentimiento del interesado para
el tratamiento de sus datos debe darse «para uno o varios fines específicos» y que un
interesado puede elegir con respecto a cada uno de dichos fines. El requisito de que el
consentimiento deba ser «específico» tiene por objeto garantizar un nivel de control y
transparencia para el interesado. Este requisito no ha sido modificado por el RGPD y
sigue estando estrechamente vinculado con el requisito de consentimiento
«informado». Al mismo tiempo, debe interpretarse en línea con el requisito de
«disociación» para obtener el consentimiento «libre». En suma, para cumplir con el
carácter de «específico» el responsable del tratamiento debe aplicar:
i) la especificación del fin como garantía contra la desviación del uso,
ii) la disociación en las solicitudes de consentimiento, y
iii) una clara separación entre la información relacionada con la obtención del
consentimiento para las actividades de tratamiento de datos y la información relativa a
otras cuestiones.
(…)

“3.3. Manifestación de voluntad informada
El RGPD refuerza el requisito de que el consentimiento debe ser informado. De
conformidad con el artículo 5 del RGPD, el requisito de transparencia es uno de los
principios fundamentales, estrechamente relacionado con los principios de lealtad y
licitud. Facilitar información a los interesados antes de obtener su consentimiento es
esencial para que puedan tomar decisiones informadas, comprender qué es lo que
están autorizando y, por ejemplo, ejercer su derecho a retirar su consentimiento. Si el
responsable no proporciona información accesible, el control del usuario será ilusorio y
el consentimiento no constituirá una base válida para el tratamiento de los datos.
Si no se cumplen los requisitos relativos al consentimiento informado, el
consentimiento no será válido y el responsable podrá estar incumpliendo el artículo 6
de RGPD.

3.3.1. Requisitos mínimos de contenido para que el consentimiento sea «informado»

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

25/45

Para que el consentimiento sea informado es necesario comunicar al interesado
ciertos elementos que son cruciales para poder elegir. Por tanto, el GT29 opina que se
requiere, al menos, la información siguiente para obtener el consentimiento válido:
i) la identidad del responsable del tratamiento,
ii) el fin de cada una de las operaciones de tratamiento para las que se solicita el
consentimiento,
iii) qué (tipo de) datos van a recogerse y utilizarse,
iv) la existencia del derecho a retirar el consentimiento,
v) información sobre el uso de los datos para decisiones automatizadas de
conformidad con el artículo 22, apartado 2, letra c), cuando sea pertinente, e
vi) información sobre los posibles riesgos de transferencia de datos debido a la
ausencia de una decisión de adecuación y de garantías adecuadas, tal y como se
describen en el artículo 46”.

Sin embargo, en el caso que nos ocupa, el consentimiento recabado por SCHOOL
FITNESS y presuntamente otorgado por el interesado no reuniría los 4 presupuestos
legalmente exigidos

SCHOOL FITNESS y HOLIDAY FIT TRES CANTOS afirman que el consentimiento del
interesado para la grabación y publicación de su imagen con fines promocionales se
recaba en dos momentos, en el contrato de suscripción y, adicionalmente, de forma
verbal. Sin embargo, de la documentación que obra en el expediente administrativo, se
infiere que los contratos de alta, por lo menos, a fecha 13 de abril de 2022 —fecha en
la que (…) reclamante firmó un contrato de alta con HOLIDAY FIT TRES CANTOS—,
no mencionan ninguna cláusula para el uso general de imágenes de clientes. El
hecho de que el modelo de contrato de SCHOOL FITNESS no contemple dicha
cláusula supone que el consentimiento de sus clientes está viciado, toda vez que no
concurren los 4 presupuestos exigidos por el artículo 7 del RGPD para que se
considere válido y, por tanto, concurra la base de legitimación del artículo 6.1.a) del
RGPD.

Asimismo, ha de indicarse que en las “Cláusulas de contratación”, copia aportada por
HOLIDAY FIT TRES CANTOS en fecha 4 de enero de 2024, la información relativa al
otorgamiento del consentimiento para la grabación y publicación de imágenes y vídeos
del interesado resulta confusa. Si bien parece que el interesado es libre para otorgar
su consentimiento a fin de que se pueda utilizar su imagen en la web y redes sociales,
en la práctica, no cumpliría las condiciones del consentimiento al no ser libre e
informado. Pues, la firma del documento conlleva la aceptación íntegra y expresa de
todas las cláusulas del contrato y, por tanto, del tratamiento de su imagen también,
como se desprende de la siguiente cláusula: “Condiciones de contratación: (…) acepto
el contrato incluyendo sus condiciones generales y específicas y las normas del
gimnasio, y acepto expresamente el tratamiento de mis datos personales por parte de
la empresa con los fines recogidos en el presente contrato/condiciones generales de
contratación” (el subrayado corresponde a esta Agencia).

Lo mismo ocurre en el proceso de contratación online con HOLIDAY FIT TRES
CANTOS ((...)), diligenciado por esta Agencia en fecha 8 de enero de 2025. La
contratación de sus servicios se ve condicionada a la aceptación de varios apartados,
entre los que se encuentra el relativo a la imagen y su obtención y difusión con fines
promocionales y de uso interno y externo de la compañía.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

26/45

Por último, cabe señalar que, si bien ambas entidades manifiestan que el
consentimiento del interesado también se recoge verbalmente al inicio de las
grabaciones, no consta en la documentación del expediente administrativo prueba
alguna que así lo acredite.

En consecuencia, de conformidad con las evidencias de las que se dispone en este
momento de acuerdo de inicio de procedimiento sancionador, se considera que los
hechos conocidos podrían ser constitutivos de una infracción, imputable a SCHOOL
FITNESS, por vulneración del artículo 7 del RGPD.

V
Tipificación de la infracción del artículo 7 del RGPD y calificación a efectos de
prescripción

De confirmarse, la citada infracción del artículo 6.1 del RGPD podría suponer la
comisión de la infracción tipificada en el artículo 83.5 del RGPD que bajo la rúbrica
“Condiciones generales para la imposición de multas administrativas” dispone:

“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”

A efectos del plazo de prescripción, el artículo 72.1 “Infracciones consideradas muy
graves” de la LOPDGDD indica:

“1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

(…)

c) El incumplimiento de los requisitos exigidos por el artículo 7 del Reglamento
(UE) 2016/679; (…)”; (…)”

VI
Propuesta de sanción por la infracción del artículo 7 del RGPD

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

27/45

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en
virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio
a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso,
en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción”.

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

28/45

c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de
la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado”.

En el presente caso, considerando la gravedad de las posibles infracciones,
atendiendo especialmente a las consecuencias que su comisión provoca en los
afectados, correspondería la imposición de multa.

La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar
estos principios, se considera, con carácter previo, el volumen de negocio de SCHOOL
FITNESS de 978.207€ euros en el año 2023.

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone en el presente momento de
acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que procede graduar la sanción a imponer de acuerdo con
las circunstancias siguientes, contempladas en los preceptos antes citados. Con
carácter previo, se estima que concurren las circunstancias siguientes:

- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): En el presente
caso, la infracción cometida reviste una gravedad notable, ya que la grabación
y posterior publicación de ese contenido en la web y redes sociales supone la
posibilidad de una difusión inmediata y de gran alcance, teniendo en
consideración que puede acceder cualquier persona.

Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:

- La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales (artículo 76.2, letra b), de la LOPDGDD): SCHOOL FITNESS
es la matriz de un grupo de empresas dedicadas a las actividades de los
gimnasios que, para desempeñar su actividad, requiere un tratamiento continuo
de datos personales. SCHOOL FITNESS, como consecuencia de su actividad
empresarial realiza de forma habitual y continua tratamientos de datos de
carácter personal de un elevado número de interesados, lo que supone
forzosamente operaciones de tratamiento de datos personales de las personas
físicas clientes. Así, la infracción se produce en el marco de un tratamiento de
datos personales, en el presente caso, consistente en la grabación y
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

29/45

publicación de imágenes y vídeos a fin de promocionar la marca comercial, que
habitualmente realiza.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 7 del RGPD, permite fijar inicialmente una sanción de multa administrativa de
15.000€ (quince mil euros).

VII
Obligación incumplida. Plazo de conservación

El artículo 5 “Principios relativos al tratamiento” establece:

“1. Los datos personales serán:

(…)

e) mantenidos de forma que se permita la identificación de los interesados
durante no más tiempo del necesario para los fines del tratamiento de los datos
personales; los datos personales podrán conservarse durante períodos más
largos siempre que se traten exclusivamente con fines de archivo en interés
público, fines de investigación científica o histórica o fines estadísticos, de
conformidad con el artículo 89, apartado 1, sin perjuicio de la aplicación de las
medidas técnicas y organizativas apropiadas que impone el presente
Reglamento a fin de proteger los derechos y libertades del interesado
(«limitación del plazo de conservación»); (…)”

El principio de limitación del plazo de conservación recogido en el citado artículo
supedita el mantenimiento de los datos personales a la finalidad para la que fueron
recabados, pudiendo superar ese periodo de tiempo cuando se trate de fines de
archivo en interés público, de investigación científica o historia, o estadísticos.

En el presente caso, el Registro de Actividades de Tratamiento elaborado por
SCHOOL FITNESS, y con fecha de impresión 2 de enero de 2024, señala en el
apartado referente al tratamiento de imágenes y plazo de supresión, que “se
conservarán durante tiempo indefinido”. Resulta evidente que SCHOOL FITNESS, al
establecer el plazo de conservación como indefinido no cumple con lo requerido en el
precepto señalado en el sentido de que los datos serán considerados por el tiempo
estrictamente necesario al objeto de realizar el tratamiento. La conservación por
tiempo indefinido no se ajusta a esa interpretación estricta del plazo de conservación
de los datos que prevé la normativa. Por ello, cabe entender que SCHOOL FITNESS
ha detallado un plazo de conservación de las imágenes destinadas a ser publicadas
en la web y redes sociales que no se ajustaría a lo estipulado en el precepto citado,
toda vez que la conservación de las imágenes no sólo no tendría un tiempo
determinado de conservación sino que, también y precisamente por ello, ese plazo de
conservación se excedería de la finalidad para la que fueron recogidas.

Por tanto, de conformidad con las evidencias de las que se dispone en el presente
momento de acuerdo de inicio del procedimiento sancionador, y sin perjuicio de lo que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

30/45

resulte de la instrucción, se considera que los hechos conocidos podrían ser
constitutivos de una infracción, imputable a SCHOOL FITNESS, por vulneración del
artículo 5.1.e) del RGPD.

VIII
Tipificación de la infracción del artículo 5.1.e) del RGPD y calificación a efectos de
prescripción

Los hechos conocidos podrían ser constitutivos de una infracción, imputable a
SCHOOL FITNESS, tipificada en el 83.5 RGPD, bajo la rúbrica “Condiciones
generales para la imposición de multas administrativas” dispone:

“5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:

a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)”

A efectos del plazo de prescripción de las infracciones, la infracción imputada
prescribe a los tres años, conforme al artículo 72 de la LOPDGDD, que califica de muy
grave la siguiente conducta:

a) “El tratamiento de datos personales vulnerando los principios y garantías
establecidos en el artículo 5 del Reglamento (UE) 2016/679; (…)”

IX
Propuesta de sanción por la infracción del artículo 5.1.e) del RGPD

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

31/45

b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en
virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio
a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso,
en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción”.

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de
la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado”.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

32/45

En el presente caso, considerando la gravedad de las posibles infracciones,
atendiendo especialmente a las consecuencias que su comisión provoca en los
afectados, correspondería la imposición de multa.

La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar
estos principios, se considera, con carácter previo, el volumen de negocio de SCHOOL
FITNESS de 978.207€ euros en el año 2023.

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone en el presente momento de
acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que procede graduar la sanción a imponer de acuerdo con
las circunstancias siguientes, contempladas en los preceptos antes citados. Con
carácter previo, se estima que concurren las circunstancias siguientes:

- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): En el presente
caso, la infracción cometida reviste una gravedad notable, ya que supone la
posibilidad de una difusión inmediata y de gran alcance, teniendo en
consideración que puede acceder cualquier persona.

Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:

- La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales (artículo 76.2, letra b), de la LOPDGDD): SCHOOL FITNESS
es la matriz de un grupo de empresas dedicadas a las actividades de los
gimnasios que, para desempeñar su actividad, requiere un tratamiento continuo
de datos personales. SCHOOL FITNESS, como consecuencia de su actividad
empresarial realiza de forma habitual y continua tratamientos de datos de
carácter personal de un elevado número de interesados, lo que supone
forzosamente operaciones de tratamiento de datos personales de las personas
físicas clientes. Así, la infracción se produce en el marco de un tratamiento de
datos personales, en el presente caso, consistente en la grabación y
publicación de imágenes y vídeos a fin de promocionar la marca comercial, que
habitualmente realiza.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 5.1.e) del RGPD, permite fijar inicialmente una sanción de multa administrativa
de 15.000€ (quince mil euros).

X
Obligación incumplida. Encargado de tratamiento

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

33/45

Las previsiones respecto al encargado del tratamiento están recogidas en el artículo
28 del RGPD que estipula lo siguiente:

"1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del
tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes
para aplicar medidas técnicas y organizativas apropiadas, de manera que el
tratamiento sea conforme con los requisitos del presente Reglamento y garantice la
protección de los derechos del interesado.

2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa
por escrito, específica o general, del responsable. En este último caso, el encargado
informará al responsable de cualquier cambio previsto en la incorporación o
sustitución de otros encargados, dando así al responsable la oportunidad de oponerse
a dichos cambios.

3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con
arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado
respecto del responsable y establezca el objeto, la duración, la naturaleza y la
finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las
obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en
particular, que el encargado:

a) tratará los datos personales únicamente siguiendo instrucciones
documentadas del responsable, inclusive con respecto a las transferencias de
datos personales a un tercer país o una organización internacional, salvo que
esté obligado a ello en virtud del Derecho de la Unión o de los Estados
miembros que se aplique al encargado; en tal caso, el encargado informará al
responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho
lo prohíba por razones importantes de interés público;
b) garantizará que las personas autorizadas para tratar datos personales se
hayan comprometido a respetar la confidencialidad o estén sujetas a una
obligación de confidencialidad de naturaleza legal;
c) tomará todas las medidas necesarias de conformidad con el artículo 32;
d) respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro
encargado del tratamiento;
e) asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a
través de medidas técnicas y organizativas apropiadas, siempre que sea
posible, para que este pueda cumplir con su obligación de responder a las
solicitudes que tengan por objeto el ejercicio de los derechos de los
interesados establecidos en el capítulo III;
f) ayudará al responsable a garantizar el cumplimiento de las obligaciones
establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del
tratamiento y la información a disposición del encargado;
g) a elección del responsable, suprimirá o devolverá todos los datos personales
una vez finalice la prestación de los servicios de tratamiento, y suprimirá las
copias existentes a menos que se requiera la conservación de los datos
personales en virtud del Derecho de la Unión o de los Estados miembros;
pondrá a disposición del responsable toda la información necesaria para
demostrar el cumplimiento de las obligaciones establecidas en el presente
artículo, así como para permitir y contribuir a la realización de auditorías,

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

34/45

incluidas inspecciones, por parte del responsable o de otro auditor autorizado
por dicho responsable.

En relación con lo dispuesto en la letra h) del párrafo primero, el encargado
informará inmediatamente al responsable si, en su opinión, una instrucción
infringe el presente Reglamento u otras disposiciones en materia de protección
de datos de la Unión o de los Estados miembros.

4. Cuando un encargado del tratamiento recurra a otro encargado para llevar a
cabo determinadas actividades de tratamiento por cuenta del responsable, se
impondrán a este otro encargado, mediante contrato u otro acto jurídico
establecido con arreglo al Derecho de la Unión o de los Estados miembros, las
mismas obligaciones de protección de datos que las estipuladas en el contrato
u otro acto jurídico entre el responsable y el encargado a que se refiere el
apartado 3, en particular la prestación de garantías suficientes de aplicación de
medidas técnicas y organizativas apropiadas de manera que el tratamiento sea
conforme con las disposiciones del presente Reglamento. Si ese otro
encargado incumple sus obligaciones de protección de datos, el encargado
inicial seguirá siendo plenamente responsable ante el responsable del
tratamiento por lo que respecta al cumplimiento de las obligaciones del otro
encargado.

5. La adhesión del encargado del tratamiento a un código de conducta
aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a
tenor del artículo 42 podrá utilizarse como elemento para demostrar la
existencia de las garantías suficientes a que se refieren los apartados 1 y 4 del
presente artículo.

6. Sin perjuicio de que el responsable y el encargado del tratamiento celebren
un contrato individual, el contrato u otro acto jurídico a que se refieren los
apartados 3 y 4 del presente artículo podrá basarse, total o parcialmente, en
las cláusulas contractuales tipo a que se refieren los apartados 7 y 8 del
presente artículo, inclusive cuando formen parte de una certificación concedida
al responsable o encargado de conformidad con los artículos 42 y 43.

7. La Comisión podrá fijar cláusulas contractuales tipo para los asuntos a que
se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el
procedimiento de examen a que se refiere el artículo 93, apartado 2.

8. Una autoridad de control podrá adoptar cláusulas contractuales tipo para los
asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo
con el mecanismo de coherencia a que se refiere el artículo 63.

9. El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 constará
por escrito, inclusive en formato electrónico.

10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado
del tratamiento infringe el presente Reglamento al determinar los fines y
medios del tratamiento, será considerado responsable del tratamiento con
respecto a dicho tratamiento."

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

35/45

Tal y como se ha detallado en el Fundamento de Derecho III del presente acuerdo de
inicio, al que nos remitimos en aras de brevedad, esta Agencia analizó la realidad de
los hechos para dilucidar el verdadero rol de SCHOOL FITNESS y HOLIDAY FIT
TRES CANTOS respecto de la grabación y publicación de imágenes y vídeos de los
clientes del gimnasio en la web y redes sociales a fin de promocionar la marca
comercial. Y concluyó que SCHOOL FITNESS en realidad era la responsable de
tratamiento de esas imágenes y vídeos, mientras que HOLIDAY FIT TRES CANTOS
actúa como encargado de tratamiento.

No obstante, en los documentos que rigen las relaciones entre ambas entidades ello
no se ve reflejado ni, en consecuencia, se incluyen los extremos a que obliga el
artículo 28.3 del RGPD.

La atribución errónea de los roles de responsable y encargado del tratamiento supone
la falta de una atribución clara de responsabilidades entre ambas figuras, impidiendo al
responsable del tratamiento cumplir con las obligaciones que le impone el RGPD para
procurar la protección debida respecto de los datos personales que se tratan por su
cuenta en relación con el control de proceso de entrega que lleva a cabo.

Por otra, desde el punto de vista de los interesados, cuyos datos están siendo
tratados, dicha omisión también tiene consecuencias: el contrato entre el responsable
del tratamiento y su encargado es un elemento que no solo articula jurídicamente la
relación entre dos partes (responsable y encargado del tratamiento) sino que cumple
una función de garantía de los derechos y libertades de los interesados.

En este sentido, el contrato de la operación de tratamiento objeto del presente
procedimiento sancionador, debe prever, entre otros aspectos, que:

- Los datos únicamente sean tratados siguiendo una doble garantía para los
interesados: existencia de unas instrucciones documentadas por parte del
responsable y obligación del encargado de tratar los datos personales
siguiendo dichas instrucciones.

- Los empleados del encargado que traten los datos personales de los
interesados han de respetar la confidencialidad.

- El encargado ha de adoptar todas las medidas necesarias de conformidad con
el artículo 32 del RGPD.

- El encargado del tratamiento no puede recurrir a otro encargado sin la
autorización previa por escrito, específica o general del responsable.

- El encargado tiene la obligación de suprimir o devolver los datos personales al
responsable una vez que finalice la prestación de los servicios del tratamiento,
y suprimir las copias existentes a menos que se requiera la conservación de los
datos personales en virtud del Derecho de la Unión o de los Estados miembros.

En conclusión, dicho contrato regula y ordena cómo se va a desarrollar la relación
entre el responsable y su encargado del tratamiento con el claro objetivo de brindar
una adecuada protección de los derechos y libertades de los interesados, cuyos datos
se están tratando. Lo cual no ha tenido lugar en las relaciones que rigen entre
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

36/45

SCHOOL FITNESS y HOLIDAY FIT TRES CANTOS respecto de la grabación y
publicación de imágenes y vídeos de los clientes del gimnasio en la web y redes
sociales a fin de promocionar la marca comercial.

Por tanto, de conformidad con las evidencias de las que se dispone en este momento
de acuerdo de inicio de procedimiento sancionador, se considera que los hechos
conocidos podrían ser constitutivos de una infracción, imputable a SCHOOL FITNESS,
por vulneración del artículo 28 del RGPD.

XI
Tipificación de la infracción del artículo 28 del RGPD y calificación a efectos de
prescripción

El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración de los
artículos siguientes, se sancionarán, de acuerdo con el apartado 2, con multas
administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de
una cuantía equivalente al 2 % como máximo del volumen de negocio total anual
global del ejercicio financiero anterior, optándose por la de mayor cuantía:

a) "las obligaciones del responsable y del encargado a tenor de los artículos 8,
11, 25 a 39, 42 y 43;"

Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen
infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del
artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la
presente ley orgánica”.

A los solos efectos del plazo de prescripción, el artículo 73 de la LOPDGDD establece
lo siguiente:

"En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se
consideran graves y prescribirán a los dos años las infracciones que supongan una
vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:

(…)

k) Encargar el tratamiento de datos a un tercero sin la previa formalización de un
contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3
del Reglamento (UE) 2016/679.”

XII
Propuesta de sanción por la infracción del artículo 28 del RGPD

A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:

“1. Cada autoridad de control garantizará que la imposición de las multas
administrativas con arreglo al presente artículo por las infracciones del presente
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

37/45

Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual
efectivas, proporcionadas y disuasorias.

2. Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j). Al decidir la imposición de una multa
administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:

a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para
paliar los daños y perjuicios sufridos por los interesados;
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en
virtud de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del
tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio
a la infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso,
en qué medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido
ordenadas previamente contra el responsable o el encargado de que se trate
en relación con el mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del
caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa
o indirectamente, a través de la infracción”.

Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD
dispone:

“1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento
(UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación
establecidos en el apartado 2 del citado artículo.

2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:

a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

38/45

d) La posibilidad de que la conducta del afectado hubiera podido inducir a la
comisión de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de
la infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
h) El sometimiento por parte del responsable o encargado, con carácter
voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos
supuestos en los que existan controversias entre aquellos y cualquier
interesado”.

En el presente caso, considerando la gravedad de las posibles infracciones,
atendiendo especialmente a las consecuencias que su comisión provoca en los
afectados, correspondería la imposición de multa.

La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada
y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar
estos principios, se considera, con carácter previo, el volumen de negocio de SCHOOL
FITNESS de 978.207€ euros en el año 2023.

A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de
conformidad con las evidencias de que se dispone en el presente momento de
acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la
instrucción, se considera que procede graduar la sanción a imponer de acuerdo con
las circunstancias siguientes, contempladas en los preceptos antes citados. Con
carácter previo, se estima que concurren las circunstancias siguientes:

- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): En el presente
caso, la infracción cometida reviste una gravedad notable, ya que afectaría a
los clientes de HOLIDAY FIT TRES CANTOS que aparecieran en las imágenes
y vídeos que este gimnasio remitiera a SCHOOL FITNESS., hasta la
actualidad.

Asimismo, se consideran los siguientes factores de graduación en calidad de
agravantes:

- La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales (artículo 76.2, letra b), de la LOPDGDD): SCHOOL FITNESS
es la matriz de un grupo de empresas dedicadas a las actividades de los
gimnasios que, para desempeñar su actividad, requiere un tratamiento continuo
de datos personales. SCHOOL FITNESS, como consecuencia de su actividad
empresarial realiza de forma habitual y continua tratamientos de datos de
carácter personal de un elevado número de interesados, lo que supone
forzosamente operaciones de tratamiento de datos personales de las personas
físicas clientes. Así, la infracción se produce en el marco de un tratamiento de
datos personales, en el presente caso, consistente en la grabación y

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

39/45

publicación de imágenes y vídeos a fin de promocionar la marca comercial, que
habitualmente realiza.

El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de
la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el
artículo 6.1 del RGPD, permite fijar inicialmente una sanción de multa administrativa
de 6.000€ (seis mil euros).

XIII
Medidas correctivas

De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas
correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento
de la legislación de protección de datos personales, en este caso de los artículos 6.1
del RGPD, 5.1.e) del RGPD y 28 del RGPD, de acuerdo con lo establecido en el citado
artículo 58.2.d) del RGPD, según el cual cada autoridad de control podrá “ordenar al
responsable o encargado del tratamiento que las operaciones de tratamiento se
ajusten a las disposiciones del presente Reglamento, cuando proceda, de una
determinada manera y dentro de un plazo especificado…”.

Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la
normativa de protección de datos personales, con el alcance expresado en los
anteriores Fundamentos de Derecho.

En el presente acto se establece cuál es la presunta infracción cometida y los hechos
que podrían dar lugar a esa posible vulneración de la normativa de protección de
datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio
de que el tipo de procedimientos, mecanismos o instrumentos concretos para
implementarlas corresponda a la parte sancionada, pues es el responsable del
tratamiento quien conoce plenamente su organización y ha de decidir, en base a la
responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la
LOPDGDD.

No obstante, en este caso, con independencia de lo anterior, de conformidad con las
evidencias de que se dispone en el presente momento de acuerdo de inicio de
procedimiento sancionador, en la resolución que se adopte se podrá requerir a
SCHOOL FITNESS para que, en el plazo de 6 MESES a contar desde la fecha de
ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas
siguientes:

- Acreditar la adopción de las medidas que permitan garantizar que la grabación
y publicación de imágenes y vídeos de los clientes del gimnasio HOLIDAY FIT
TRES CANTOS se realiza contando con una base de legitimación adecuada, y
suprimir el contenido que haya sido objeto de esta operación de tratamiento sin
contar con dicha base de legitimación.

- Acreditar la adopción de las medidas necesarias para garantizar el
cumplimiento de lo dispuesto en el artículo 5.1.e) del RGPD.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

40/45

- Acreditar la realización del correspondiente contrato de encargado de
tratamiento con HOLIDAY FIT TRES CANTOS, S.L.

La imposición de estas medidas es compatible con la sanción consistente en multa
administrativa, según lo dispuesto en el art. 83.2 del RGPD.

Se advierte que no atender la posible orden de adopción de medidas impuestas por
este organismo en la resolución del presente procedimiento sancionador podrá ser
considerado como una infracción administrativa conforme a lo dispuesto en el RGPD,
tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la
apertura de un ulterior procedimiento administrativo sancionador.

Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su
caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de
adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de
la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa
obligación.

Por lo tanto, a tenor de lo anteriormente expuesto, por la Presidencia de la Agencia
Española de Protección de Datos,
SE ACUERDA:

PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a SCHOOL FITNESS
HOLIDAY & FRANCHISING, S.L., con NIF B82887514, por:

- La presunta infracción del artículo 7 del RGPD, tipificada en el artículo 83.5 del
RGPD.

- La presunta infracción del artículo 5.1.e) del RGPD, tipificada en el artículo 83.5
del RGPD.

- La presunta infracción del artículo 28 del RGPD, tipificada en el artículo 83.4
del RGPD.

SEGUNDO: NOMBRAR como instructor/a a D.D.D. y, como secretario/a, a E.E.E.,
indicando que podrán ser recusados, en su caso, conforme a lo establecido en los
artículos 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector
Público (LRJSP).

TERCERO: INCORPORAR al expediente, a efectos probatorios, la reclamación
interpuesta por la parte reclamante y su documentación, así como, así como los
documentos obtenidos y generados por la Subdirección General de Inspección de
Datos en las actuaciones previas al inicio del presente procedimiento sancionador.

CUARTO: QUE a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de
octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la
sanción que pudiera corresponder sería de:

- Por la presunta infracción del artículo 7 del RGPD, tipificada en el artículo 83.5
del RGPD, multa administrativa de 15.000€ (quince mil euros).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

41/45

- Por la presunta infracción del artículo 5.1.e) del RGPD, tipificada en el artículo
83.5 del RGPD, multa administrativa de 15.000€ (quince mil euros).

- Por la presunta infracción del artículo 28 del RGPD, tipificada en el artículo
83.4 del RGPD, multa administrativa de 6.000€ (seis mil euros).

QUINTO: NOTIFICAR el presente acuerdo a SCHOOL FITNESS HOLIDAY &
FRANCHISING, S.L., con NIF B82887514, otorgándole un plazo de audiencia de diez
días hábiles para que formule las alegaciones y presente las pruebas que considere
convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de
procedimiento que figura en el encabezamiento de este documento.

De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su
responsabilidad dentro del plazo otorgado para la formulación de alegaciones al
presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la
sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta
reducción, la sanción quedaría establecida en 28.800€ (veintiocho mil ochocientos
euros), resolviéndose el procedimiento con la imposición de esta sanción.

Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción,
la sanción quedaría establecida en 28.800€ (veintiocho mil ochocientos euros), y su
pago implicará la terminación del procedimiento, sin perjuicio de la imposición de las
medidas correspondientes.

La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 21.600€ (veintiún mil seiscientos euros).

En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia expresos de cualquier acción o recurso en
vía administrativa contra la sanción.

A estos efectos, en caso de acogerse a alguna de ellas, deberá remitir a la
Subdirección General de Inspección de datos comunicación expresa del desistimiento
o renuncia a cualquier acción o recurso en vía administrativa contra la sanción
indicando a cuál de las dos reducciones se acoge o si es a las dos.

En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades
señaladas anteriormente (28.800€ o 21.600€), deberá hacerlo efectivo mediante su
ingreso en la cuenta nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX) abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

42/45

referencia del procedimiento que figura en el encabezamiento de este documento y la
causa de reducción del importe a la que se acoge.

Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección junto con la comunicación expresa del desistimiento o renuncia a cualquier
acción o recurso en vía administrativa contra la sanción para continuar con el
procedimiento en concordancia con la cantidad ingresada.

Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.

1479-290125
Olga Pérez Sanjuán
La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2
LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía
>>

SEGUNDO: En fecha 11 de marzo de 2025, SCHOOL FITNESS ha procedido al pago
de la sanción en la cuantía de 21.600,00 euros haciendo uso de las dos reducciones
previstas en el acuerdo de inicio transcrito anteriormente, lo que implica el
reconocimiento de la responsabilidad en relación con los hechos a los que se refiere el
acuerdo de inicio y su calificación jurídica.

TERCERO: En el acuerdo de inicio transcrito anteriormente se señalaba que, de
confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD, según el
cual cada autoridad de control podrá “ordenar al responsable o encargado del
tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del
presente Reglamento, cuando proceda, de una determinada manera y dentro de un
plazo especificado…”.

Habiéndose reconocido la responsabilidad de la infracción, procede la imposición de
las medidas incluidas en el acuerdo de inicio.

FUNDAMENTOS DE DERECHO

I
Competencia

De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679
(Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada
autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y
garantía de los derechos digitales (en adelante, LOPDGDD), es competente para
resolver este procedimiento la Presidencia de la Agencia Española de Protección de
Datos.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

43/45

Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."

II
Terminación del procedimiento

El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:

“1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad,
se podrá resolver el procedimiento con la imposición de la sanción que proceda.

2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una
sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la
improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.

3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el
órgano competente para resolver el procedimiento aplicará reducciones de, al menos,
el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí.
Las citadas reducciones, deberán estar determinadas en la notificación de iniciación
del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de
cualquier acción o recurso en vía administrativa contra la sanción.

El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.”

III
Pago voluntario y reconocimiento de responsabilidad

De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo
de inicio notificado se informaba sobre la posibilidad de reconocer la responsabilidad y
de realizar el pago voluntario de la sanción propuesta, lo que supondría dos
reducciones acumulables de un 20% cada una. Con la aplicación de estas dos
reducciones, la sanción quedaría establecida en 21.600,00 euros y su pago implicaría
la terminación del procedimiento, sin perjuicio de la imposición de las medidas
correspondientes.

Tras la notificación del citado acuerdo de inicio, SCHOOL FITNESS ha procedido al
reconocimiento de la responsabilidad y al pago voluntario de la sanción, acogiéndose
a las dos reducciones previstas. De conformidad con el apartado 3 del artículo 85
LPACAP, la efectividad de las citadas reducciones estará condicionada al desistimiento
o renuncia de cualquier acción o recurso en vía administrativa contra la sanción.

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

44/45

Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como
de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago
voluntario por el presunto responsable no exime a la administración de la obligación de
resolver y notificar todos los procedimientos, cualquiera que sea su forma de
iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución
que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los
interesados y aquellas otras derivadas del mismo.

Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones, la Presidencia de la Agencia Española de Protección de
Datos RESUELVE:

PRIMERO: DECLARAR la comisión de las infracciones y CONFIRMAR las sanciones
determinadas en la parte dispositiva del acuerdo de inicio transcrito en la presente
resolución.

La suma de las citadas cuantías arroja una cantidad total 36.000,00 euros.

Tras haber procedido SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L. al pronto
pago y reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la
LPACAP, a la reducción de un 40% del total mencionado, lo cual supone la cantidad
definitiva de 21.600,00 euros.

La efectividad de las citadas reducciones está condicionada, en todo caso, al
desistimiento o renuncia de cualquier acción o recurso en vía administrativa.

SEGUNDO: DECLARAR la terminación del procedimiento EXP202309454, de
conformidad con lo establecido en el artículo 85 de la LPACAP.

TERCERO: ORDENAR a SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L. para
que en el plazo de 6 meses desde que la presente resolución sea firme y ejecutiva,
notifique a la Agencia la adopción de las medidas que se describen en los
fundamentos de derecho del acuerdo de inicio transcrito en la presente resolución.

CUARTO: NOTIFICAR la presente resolución a SCHOOL FITNESS HOLIDAY &
FRANCHISING, S.L..

QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la
reducción por pago voluntario y reconocimiento de la responsabilidad al desistimiento
o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución
será firme en vía administrativa y plenamente ejecutiva a partir de su notificación.

De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.

Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es

45/45

Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.

No obstante, conforme a lo previsto en el artículo 90.3.a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado
manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste
el caso, el interesado deberá comunicar formalmente este hecho mediante escrito
dirigido a la Agencia Española de Protección de Datos, presentándolo a través del
Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o
a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley
39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación
que acredite la interposición efectiva del recurso contencioso-administrativo. Si la
Agencia no tuviese conocimiento de la interposición del recurso contencioso-
administrativo en el plazo de dos meses desde el día siguiente a la notificación de la
presente resolución, daría por finalizada la suspensión cautelar.

1259-260325
Lorenzo Cotino Hueso
Presidente de la Agencia Española de Protección de Datos

C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es