1/22
Expediente N.º: EXP202403915
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: Con fecha 28 de diciembre de 2022 A.A.A. (en adelante, la parte
reclamante) interpuso reclamación ante la Agencia Española de Protección de Datos.
La reclamación se dirige contra B.B.B., con NIF ***NIF.1, (en adelante, la parte
reclamada).
Los motivos en que basa la reclamación son que la doctora C.C.C. (en adelante, Dª.
C.C.C.), que intervino de cirugía plástica a la reclamante, facilitó a B.B.B. (en
adelante, D. B.B.B.), fotos del antes y el después de la intervención de la reclamante.
Dichas fotos las ha publicado la parte reclamada para la promoción de su clínica
privada de cirugía plástica en las redes sociales Facebook e Instagram.
Aporta Acta de constancia notarial, de 5 de julio de 2022, de la publicidad y utilización
de sus datos médicos sin su consentimiento.
Documentación relevante aportada por la parte reclamante:
- Copia del Acta de constancia notarial, de 5 de julio de 2022, de la publicidad y
utilización de sus datos médicos sin su consentimiento.
- Copia de la Queja y reclamación presentada en fecha 18/07/2022 ante el Hospital
***HOSPITAL.1 por los mismos hechos que figuran en la reclamación presentada ante
la AEPD.
- Copia de la respuesta del Hospital ***HOSPITAL.1 de fecha 02/08/2022.
- Copia del informe de alta médica de la parte reclamante de fecha 11/01/2017, emitido
por Dª. C.C.C..
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
adelante LOPDGDD), se dio traslado de dicha reclamación a Dª. C.C.C. y a la parte
reclamada, el 14/02/2023, para que procediesen a su análisis e informasen a esta
Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los
requisitos previstos en la normativa de protección de datos.
Ambos traslados, que se practicaron conforme a las normas establecidas en la Ley
39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/22
Administraciones Públicas (en adelante, LPACAP), fueron recogidos en fecha
15/02/2023 como consta en el acuse de recibo que obra en el expediente
En fecha 29/04/2023 se recibió escrito de contestación al traslado de la AEPD, donde
la parte reclamada, manifiesta lo siguiente:
- En fecha 30/01/2020, Dª. C.C.C. y él, llegaron a un acuerdo mercantil en el que
Dª. C.C.C., podía utilizar las instalaciones de la Clínica de la parte reclamada
en Cuenca, (nombre comercial (...)), para la realización de sus trabajos
sanitarios de consulta y seguimiento de sus clientes/pacientes, como cirujana
plástica, no realizándose operación alguna en sus instalaciones.
- Por otra parte, y aprovechando la visualización que tiene la parte reclamada en
redes sociales, se llegó al acuerdo que éste publicaría algunos de los trabajos
de Dª. C.C.C., siempre y cuando ésta se lo indicase. Publicar los trabajos
significa publicar el antes y el después mediante imágenes fotográficas, de los
trabajos de cirugía que Dª. C.C.C. realiza.
- Deja constancia que él, no trata datos personales de los pacientes de Dª.
C.C.C., a menos que sea la publicación de estos datos, siendo él, encargado
de tratamiento de Dª. C.C.C..
- También quiere dejar constancia de que él ejerce como médico estético, en
Cuenca capital, no pudiendo realizar operaciones de cirugía plástica, con lo
que no necesita publicidad alguna sobre los resultados de operaciones de este
tipo para aumentar con ellos sus clientes o beneficiarse de tratamientos, que
como profesional, no puede realizar.
- No existe relación directa entre la parte reclamante y él. Toda relación se
establece mediante Dª. C.C.C..
- En fecha 30/01/2020, la parte reclamada y Dª. C.C.C., firmaron el contrato de
Encargado de tratamiento, tal como se establece en el artículo 28.3 del
Reglamento General de Protección de Datos, donde, Dª. C.C.C. autorizaba a la
parte reclamada a tratar los datos personales (ANEXO 1 contrato).
- En dicho contrato las finalidades eran:
o “Tratamiento de datos de pacientes/clientes atendidos en las
instalaciones de la Clínica del encargado de tratamiento por el
responsable de tratamiento.
o Tratamiento de datos personales de pacientes/clientes para publicidad
en instalaciones, medios de comunicación y redes sociales de las
actividades del responsable de seguridad, siempre y cuando el
responsable, así lo indique en alguna comunicación”.
- El día 12/12/2021, tras conversación telefónica con Dª. C.C.C., en la que se
indicaba a la parte reclamada que procediese a publicar en las redes sociales
unas imágenes del resultado de una de sus operaciones, Dª. C.C.C. le envió a
la parte reclamada un email, con las fotos. Desconociendo totalmente a la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/22
reclamante, ni su nombre, únicamente que la doctora, había realizado la
operación en Albacete.
- Reconoce que la publicación de las imágenes se hizo sin previo consentimiento
de la reclamante hacia él, pero siendo la parte reclamada encargado de
tratamiento de Dª. C.C.C., ésta debería haber conseguido el consentimiento de
la reclamante.
- En el momento de recibir la reclamación, por parte de la reclamante a la cual
desconocía, y cuando se le indicó qué fotos eran, se procedió inmediatamente
a eliminar las fotos en las redes sociales Instagram y Facebook, conservando
únicamente el mail de Dª. C.C.C., a efectos de prueba y que será igualmente
eliminado la finalización de la reclamación.
- Estaba cumpliendo con los trabajos encomendados, como encargado de
tratamiento de datos personales de Dª. C.C.C., siendo esta última la
responsable de los datos, como consecuencia de la relación mercantil existente
entre ambos.
- No ha realizado ningún tratamiento indebido ni ha realizado un tratamiento
ilegítimo de los datos de la reclamante, ya que, únicamente actuó conforme a
las finalidades encomendadas por Dª. C.C.C., siendo ésta la responsable de
dicho tratamiento y de recabar el consentimiento informado de su cliente, la
reclamante.
La documentación relevante aportada por la parte reclamada es la siguiente:
- Copia del Contrato de Encargado de tratamiento suscrito entre D. B.B.B. y Dª.
C.C.C.. En la estipulación segunda de ese contrato bajo la rúbrica “Finalidad
del tratamiento” se establece que: “La finalidad del tratamiento será:
o Datos de pacientes/clientes atendidos en las instalaciones de la Clínica
del encargado de tratamiento por el responsable de tratamiento.
o Publicidad en instalaciones, medios de comunicación y redes sociales
de las actividades del responsable de seguridad, siempre y cuando el
responsable, así lo indique en alguna comunicación”.
- Copia del correo que le envió Dª. C.C.C. en fecha 12/12/2021, en el que figura
como Asunto: “más fotos de (...) dobles” y en la que se adjuntan 4 archivos,
dos que contienen fotos de la reclamante y otros dos que aparecen ocultas.
En fecha 22/05/2023 se recibió escrito de Dª. C.C.C. en el que entre otros aspectos
manifiesta que:
- Respecto a la decisión adoptada a propósito de esta reclamación, en primer
lugar, se debe poner de manifiesto que tuvo conocimiento de la publicación de
las imágenes en las redes sociales de la Clínica (...), nombre comercial usado
por D. B.B.B. (la parte reclamada) a raíz de la reclamación que la parte
reclamante interpuso ante el servicio de Atención al Cliente del Hospital
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/22
***HOSPITAL.1. Tras recibir dicha reclamación, se puso en contacto inmediato
con la Clínica (...), nombre comercial usado por D. B.B.B. (la parte reclamada)
que procedió a la eliminación de las referidas imágenes.
- La finalidad para la que fueron tomadas las imágenes fue “con fines de
avances en la educación médica (…) con fines médicos, científicos o
educativos”; tal y como se recoge en el documento n.1 que se acompaña a
este escrito y que consiste en el documento de consentimiento para la cirugía
firmado por la reclamante; desconociendo la publicación en los perfiles de
redes sociales de la Clínica (...), nombre comercial usado por D. B.B.B. (la
parte reclamada) hasta el momento de recibir la reclamación de la reclamante.
- Tenía desconocimiento de la publicación de las imágenes hasta el momento de
la reclamación ante el servicio de Atención al Cliente del Hospital
***HOSPITAL.1.
- Se debe hacer hincapié en el hecho de que la publicación de las imágenes se
hizo en las redes sociales de la Clínica (...), nombre comercial usado por D.
B.B.B. (la parte reclamada) y no en las suyas.
- Le consta que la Clínica eliminó las imágenes de manera inmediata en cuanto
les informó de la reclamación que había recibido a través del ***HOSPITAL.1.
- Que a fecha del presente escrito las fotografías no están disponibles ni hay
manera posible de localizarlas.
- Adjunta como Anexo I Informe sobre las causas que han motivado la incidencia
que ha originado la reclamación. En dicho Informe, entre otros aspectos, indica:
o Que en fecha 10 de enero de 2017 Dª. C.C.C. intervino a la reclamante
de una operación de cirugía estética la intervención se realizó en la
Clínica actual ***HOSPITAL.1.
o En el mismo día la reclamante firmó el documento de consentimiento de
la intervención en cuyo apartado 6 se recoge expresamente el
consentimiento para fotografiado o filmación de la operación con fines
médicos científicos o educativos.
o Que en fecha 11 de enero de 2017 se da de alta a la reclamante.
o Que en fecha 18 de julio de 2022 la reclamante interpuso reclamación
ante el servicio de atención al paciente del ***HOSPITAL.1.
o Que tras recibir la reclamación se puso en contacto directo con la
Clínica (...), nombre comercial usado por D. B.B.B., (la parte
reclamada) que procedió a la inmediata supresión de las imágenes de
sus perfiles de redes sociales
o Que en fecha 15 de febrero de 2023 recibió notificación de la
precedente de traslado de reclamación y solicitud de informe.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/22
o Que en relación con las causas que motivan la reclamación, parece ser
que la Clínica (...), nombre comercial usado por D. B.B.B. (la parte
reclamada) publicó las imágenes que se tomaron del antes y después
de la operación de la reclamante en sus perfiles de Facebook e
Instagram sin su consentimiento.
o Que desconocía dicha publicación, por eso, cuando recibió la
reclamación de la reclamante, se puso de inmediato en contacto con la
Clínica (...), nombre comercial usado por D. B.B.B., (la parte
reclamada), quienes a su vez suprimieron las imágenes de sus perfiles
de redes sociales.
o Que a fecha del presente escrito, las imágenes siguen sin estar
disponibles y no hay posibilidad de que sean accesibles en internet
- Adjunta como Anexo II Informe sobre las medidas adoptadas a fin de evitar que
se produzcan incidentes similares, fechas de implantación y controles
efectuados para comprobar su eficacia, conforme se recoge en la siguiente
tabla:
Medida Fecha de implantación Control
Actualización y mejora del Mayo 2023 Revisión anual del documento a fin de
documento de consentimiento comprobar su adecuación y adaptarlo, en
para la intervención quirúrgica su caso, a posibles nuevas situaciones.
Revisión global del nivel de Mayo-Junio 2023 Revisión anual para verificar el
cumplimiento del RGPD y cumplimiento de la normativa, detectar
LOPDGDD en la actividad nuevos tratamientos y adoptar las
profesional. medidas necesarias.
Documentación relevante aportada por Dª. C.C.C.:
- Anexo I Informe sobre las causas que han motivado la incidencia que ha
originado la reclamación.
- Anexo II Informe sobre las medidas adoptadas a fin de evitar que se produzcan
incidentes similares fechas de implantación y controles efectuados para
comprobar su eficacia.
- Documento N. 1 Copia del documento de “CONSENTIMIENTO PARA
CIRUGÍA/PROCEDIMIENTO O TRATAMIENTO” firmado por la parte
reclamante en el que autoriza a Dª. C.C.C. a realizar el procedimiento o
tratamiento: (...). Y en cuyo apartado 6 se recoge que: “Con fines de avances
en la educación médica, doy el consentimiento para la entrada de
observadores en el quirófano y el fotografiado o la filmación de la(s)
operación(es) o procedimiento(s)s que se van a realizar, con fines médicos
científicos o educativos puesto que mi identidad no será revelada en las
imágenes”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/22
TERCERO: Con fecha 28 de marzo de 2023, de conformidad con el artículo 65 de la
LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante.
CUARTO: La Subdirección General de Inspección de Datos procedió a la realización
de actuaciones previas de investigación para el esclarecimiento de los hechos en
cuestión, en virtud de las funciones asignadas a las autoridades de control en el
artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE)
2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de
conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la
LOPDGDD, teniendo conocimiento de los siguientes extremos:
De los hechos contenidos en la reclamación, así como de los documentos junto con
ella presentados por la parte reclamante y de la contestación al traslado y los
documentos que se acompañan, realizadas por D. B.B.B. (la parte reclamada) y por
Dª. C.C.C., resulta no controvertida por las partes, que D. B.B.B. publicó en los
perfiles de redes sociales (Facebook e Instagram) de la Clínica (...), que usa como
nombre comercial, fotografías del antes y del después de la operación de (...) que Dª.
C.C.C. realizó a la parte reclamante en enero de 2017. Y que dicha publicación se
realizó sin el consentimiento de la parte reclamante.
También ha quedado acreditado que nunca ha existido ningún tipo de relación
contractual entre la parte reclamante y D. B.B.B. (la parte reclamada), o la Clínica (...),
que usa como nombre comercial, así se reconoce por la parte reclamante en su
reclamación y por D. B.B.B. (la parte reclamada) en su escrito de contestación al
traslado.
Ha quedado acreditado que la parte reclamante se sometió a una operación de (...),
realizada por Dª. C.C.C. y otorgó su consentimiento para que ésta realizara el
“fotografiado o la filmación de la(s) operación(es) o procedimiento(s)s que se van a
realizar, con fines médicos científicos o educativos puesto que mi identidad no será
revelada en las imágenes” si bien solo para “fines de avances en la educación
médica”, no para fines de publicidad comercial de la actividad de Dª. C.C.C. o de
terceros con los que ésta colaborase. Y que las fotografías publicadas se tomaron por
Dª. C.C.C. cuando realizó la mencionada operación en enero de 2017.
Las fotografías fueron enviadas desde el correo***EMAIL.1 al correo ***EMAIL.2 en
fecha 12/12/2021, siendo dichas direcciones de correo electrónico de Dª C.C.C. y la
parte reclamada respectivamente.
Dichas fotografías no se encontraban publicadas en los mencionados perfiles
(Instagram y Facebook) de la Clínica (...), nombre comercial usado por D. B.B.B., en
fecha 10/02/2023, según las evidencias recogidas por la AEPD al efecto.
Según manifestaciones de Dª. C.C.C. y de D. B.B.B. esas fotografías habrían sido
retiradas de las redes sociales tras la reclamación presentada por la parte reclamante
ante el Hospital ***HOSPITAL.1, en julio de 2022, y, siguen sin estar disponibles y no
hay posibilidad de que sean accesibles en internet.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/22
Ha quedado acreditada la relación contractual entre Dª. C.C.C. y D. B.B.B., en el
contrato de encargado de tratamiento existente entre ambos de fecha 30/01/2020, en
dicho contrato figuran como finalidades del mismo: El tratamiento de los “datos de
pacientes/clientes atendidos en las instalaciones de la Clínica del encargado de
tratamiento por el responsable de tratamiento”. Así como la “publicidad en
instalaciones, medios de comunicación y redes sociales de las actividades del
responsable de seguridad, siempre y cuando el responsable, así lo indique en alguna
comunicación”
D. B.B.B. ha aportado una comunicación (correo electrónico) de Dª. C.C.C. en el que
le envía las fotos por él publicadas en los perfiles de las redes sociales la Clínica (...),
nombre comercial usado por D. B.B.B..
QUINTO: Con fecha 18 de marzo de 2024, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada,
con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre,
del Procedimiento Administrativo Común de las Administraciones Públicas (en
adelante, LPACAP), por la presunta infracción del Artículo 6.1 del RGPD y Artículo 9
del RGPD, tipificada en el Artículo 83.5 del RGPD.
SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en
la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito
de alegaciones en el que manifestaba lo siguiente:
“Los hechos relatados no se ajustan a la realidad fáctica, ya que se da por supuesto
que las fotografías que se publicaron en las redes sociales eran para mi propio
beneficio, siendo totalmente contrario a la razón, ya que yo tan sólo era el encargado
del tratamiento de datos tal y como ha quedado justificado en la remisión de los
documentos aportados previamente al expediente.
La realidad es que Dª C.C.C. tiene arrendada una clínica en el local de mi propiedad, y
que la publicidad es para tratamiento quirúrgicos, no teniendo nada que ver con mi
actividad ya que solo realizo tratamientos estéticos sin intervenciones quirúrgicas, por
lo que difícilmente me puedo beneficiar de la publicación de estas fotografías.
Tengo que decir que no he incurrido en conducta infractora alguna y que por tanto la
sanción que me ha sido impuesta debe ser nula, en primer lugar y conforme al artículo
6.1 del RGPD
De conformidad con lo que he relatado anteriormente y con lo que consta en el
expediente, tal y como ustedes transcriben, tan solo soy el encargado de tratamiento
de datos, siendo la cirujana plástica Dª C.C.C. quien tiene que recabar el
consentimiento de la paciente a la que le realiza las fotos antes y después de la
intervención , y quien tal y como he demostrado y consta ya en el expediente me
envío dichas fotos y tenía el consentimiento de la paciente , tal y como consta también
en el expediente, desconociendo ya que no estuve en el momento en el que lo obtuvo
si el mismo era con una finalidad o con varias tal y como exige el artículo 6.1 RGDP.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/22
Por tanto no siendo yo el responsable de obtener este consentimiento, ya que ni
participé en la intervención ni conozco de nada a la parte reclamante, no pude actuar
negligentemente tal y como se indica.”
SEPTIMO: Con fecha 7 de mayo de 2024, el instructor del procedimiento acordó dar
por reproducidos a efectos probatorios la reclamación interpuesta por A.A.A. y su
documentación, los documentos obtenidos y generados durante la fase de admisión a
trámite de la reclamación, y el informe de actuaciones previas de investigación que
forman parte del procedimiento AI/00146/2023.
Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de
inicio del procedimiento sancionador referenciado, presentadas por B.B.B., y la
documentación que a ellas acompaña.
OCTAVO: Con fecha 8 de mayo de 2024, se dicta propuesta de resolución
proponiendo lo siguiente:
Que por la Directora de la Agencia Española de Protección de Datos se sancione a
B.B.B., con NIF ***NIF.1, por una infracción del Artículo 6.1 del RGPD y Artículo 9 del
RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 5.000 euros por la
infracción del artículo 6.1 del RGPD, y una segunda multa de 5.000 euros por la
infracción del artículo 9 del RGPD, lo que supone un total de 10.000 € (diez mil
euros),
Que por la Directora de la Agencia Española de Protección de Datos se ordene a
B.B.B., con NIF ***NIF.1, que en virtud del artículo 58.2.d) del RGPD, en el plazo de
un mes desde la notificación de la resolución del presente procedimiento sancionador,
acredite documentalmente ante la AEPD, haber procedido al cumplimiento de la
adopción de medidas adoptadas consistentes en evitar que las fotografías de los
pacientes de esta u otra clínica, puedan ser difundidas en las redes sociales sin contar
con la legitimación necesaria para ello.
NOVENO: Con fecha 3 de junio de 2024 se registra entrada de las manifestaciones
realizadas por la parte reclamada en respuesta a la propuesta de resolución indicando
lo siguiente:
“La AEPD en la página 9 de su propuesta de resolución da por probado que soy
cirujano plástico pero no es cierto, siendo esta premisa muy importante para la
sanción administrativa propuesta ya que vuelvo a repetir que no me he lucrado con la
publicación de esas fotografías, tan solo soy propietario del inmueble en el que la
Doctora que sí que es cirujana plástica tiene en arrendamiento una consulta por lo que
ni la cirugía se hizo en mi establecimiento ni conozco de nada a esta persona tan solo
como agente de tratamiento de datos hice lo que la responsable del tratamiento de
estos datos me indicó, entendiendo en todo momento que el consentimiento que tiene
la doctora es válido para dicha publicación aunque esto es algo que no lo recabo yo,
ya que yo me preocupo de recabar el consentimiento de las pacientes que me
autorizan para ello en mi actividad respecto a los tratamientos estéticos que yo realice.
La parte reclamante expone que B.B.B., publicó en las redes sociales Facebook e
Instagram las fotos del antes y el después de la intervención de cirugía plástica,
realizada por Dña C.C.C., a la reclamante A.A.A.. B.B.B., actuó como encargado de
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/22
tratamiento de la Dra. C.C.C., responsable de recabar consentimiento informado de su
paciente, y adecuación de este a la normativa vigente LOPDGDD 3/2018, de 5 de
diciembre. (La intervención quirúrgica y como consecuencia su consentimiento, como
señala la reclamante, fue realizada con anterioridad a la entrada en vigor de la Ley,
hecho que desconocía totalmente B.B.B.).
También ha quedado claro que la reclamante no se puso en contacto conmigo
directamente para solicitar que retirara las fotografías, pero aun así en el momento
que la Doctora me lo indicó yo las retire de mis redes.
En cuanto a que indique que se ha hecho en aras de evitar que esto vuelva a suceder
se ha procedido a la eliminación de las imágenes de forma manual tanto en Instagram
como en Facebook de Clínica (...). (nombre comercial e identificativo de la actividad de
medicina estética de B.B.B.).
También se ha realizado un barrido en buscador Google para evaluar la eliminación de
las imágenes y videos de las páginas de Facebook e Instagram cuyos enlaces
adjuntamos para su comprobación.
***URL.1 y ***URL.2
Es por ello por lo que se eliminaron de todas las imágenes de doña A.A.A. y enlaces
al contenido en las redes sociales Facebook y Instagram.
Además, se ha procedido de igual manera con las imágenes o vídeos con datos
identificables de cualquier otra persona o se han pixelado, a pesar de tener
consentimiento informado de las personas, clientes/pacientes de B.B.B. que aparecen
en ***URL.1 y ***URL.2”
De las actuaciones practicadas en el presente procedimiento y de la documentación
obrante en el expediente, han quedado acreditados los siguientes:
HECHOS PROBADOS
PRIMERO: Difusión en las redes sociales Facebook e Instagram de fotos de la parte
reclamante sin contar con su consentimiento, para publicitar la clínica privada de
cirugía plástica de la parte reclamada.
FUNDAMENTOS DE DERECHO
I
Competencia
De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de
control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD,
es competente para iniciar y resolver este procedimiento la Directora de la Agencia
Española de Protección de Datos.
Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos
tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/22
en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones
reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter
subsidiario, por las normas generales sobre los procedimientos administrativos."
II
Cuestiones previas
En el presente caso se denuncia que la parte reclamada, propietario de la Clínica (…),
ha difundido en las redes sociales fotos del antes y el después de la intervención
quirúrgica a la que se sometió la reclamante, para publicitar la clínica de la parte
reclamada, sin contar con el consentimiento de la parte reclamante.
Dichas fotos las ha publicado la parte reclamada para la promoción de su clínica
privada de cirugía plástica en las redes sociales Facebook e Instagram.
La AEPD, tras la realización de las actuaciones de investigación indicadas en los
antecedentes, realiza las siguientes consideraciones:
1º.- Ha quedado acreditado que Dª. C.C.C. realizó un/a tratamiento/operación de (...) a
la parte recurrente en 2017.
2º.- Durante dicha operación/tratamiento Dª. C.C.C. tomó fotografías del antes y del
después de dicho tratamiento, contando con el consentimiento de la parte reclamante
para el fotografiado para fines médicos, científicos o educativos. No constando que la
parte reclamante diera su consentimiento al fotografiado para fines de publicidad
comercial de la actividad de Dª. C.C.C. o de terceros con los que ésta colaborase.
3º.- Las fotografías del citado tratamiento/operación fueron enviadas desde el correo el
correo ***EMAIL.1 al correo ***EMAIL.2 en fecha 12/12/2021 y publicadas en los
perfiles de las redes sociales la Clínica (...), nombre comercial usado por D. B.B.B., sin
contar con el consentimiento de la parte reclamante.
4º.- Existe un contrato de encargo de tratamiento, de fecha 30/01/2020, entre Dª.
C.C.C. y D. B.B.B., figurando en dicho contrato como finalidades del mismo: El
tratamiento de los “datos de pacientes/clientes atendidos en las instalaciones de la
Clínica del encargado de tratamiento por el responsable de tratamiento”. Así como la
“publicidad en instalaciones, medios de comunicación y redes sociales de las
actividades del responsable de seguridad, siempre y cuando el responsable, así lo
indique en alguna comunicación”
5º.- En las evidencias recabadas por la AEPD en fecha 10/02/2023, las fotografías
objeto de la reclamación no se encontraban publicadas en los perfiles de las redes
sociales (Instagram y Facebook) de la Clínica (...), nombre comercial usado por D.
B.B.B..
III
Respuesta a las alegaciones presentadas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/22
La parte reclamada en respuesta al acuerdo de inicio, remite escrito el 3 de abril de
2024, donde afirma que no es responsable de los hechos que se le imputan pues no
participó en la intervención quirúrgica de la reclamante, ni conoce a la reclamante, y la
difusión de tales fotografías no le suponen ningún beneficio pues solo realiza
tratamientos estéticos sin intervenciones quirúrgicas, de manera que se encuentra
exento de toda responsabilidad ya que sólo es el encargado del tratamiento y no el
responsable.
La parte reclamada en respuesta a la propuesta de resolución, remite escrito el 3 de
junio de 2024, señalando que no es cirujano plástico, sino el propietario del inmueble
en el que la cirujana C.C.C. ejerce su profesión, y que el consentimiento que tiene la
doctora es válido para la publicación de las fotografías de la parte reclamante.
La parte reclamada ha manifestado además al no ser cirujano no participó en la
intervención realizada a la parte reclamante, así como que la publicación de las
imágenes no le supone ningún beneficio, ya que no es el cirujano que operó a la parte
reclamante, sino propietario de la Clínica (…), y que el consentimiento dado por la
parte reclamante para ser operada por C.C.C., es válido para la publicación de las
fotografías del antes y el después de la operación realizada a la parte reclamante.
Asimismo, la parte reclamada señala que la reclamante no se puso en contacto con el
para solicitar que retirara las fotografías, pero aun así en el momento que la cirujana
C.C.C. se lo indicó retiró las imágenes de forma manual tanto en Instagram como en
Facebook de Clínica (...), y se ha procedido de igual manera con las imágenes o
vídeos con datos identificables de cualquier otra persona.
En respuesta a tales manifestaciones hay que indicar que se ha constatado que la
operación de estética a la que se sometió la parte reclamante, se realizó en un centro
distinto a la clínica de la parte reclamada, ya que la reclamante fue operada en la
Clínica ***HOSPITAL.1, el 10 de enero de 2017, y la clínica publicitada por la parte
reclamada es la Clínica (...), por lo que es un hecho constatado que el reclamado sea
o no cirujano, no participó en la intervención realizada a la parte reclamante, no
existiendo ningún contrato que le vincule con la parte reclamante, y por ende le
hubiese sido autorizado al tratamiento de las fotografías del antes y después de la
operación realizada por C.C.C., a la parte reclamante. De manera que utilizar dichas
fotografías para publicitar la Clínica de la que es propietario, implica la búsqueda de un
lucro o beneficio.
Además, las fotos de la parte reclamante fueron tomadas antes y después de la
operación de estética realizada por la parte reclamada a la parte reclamante en el año
2017, es decir, años antes de la formalización del contrato de encargo del tratamiento
entre la parte reclamante y C.C.C..
Por lo tanto, la AEPD ha de indicar que no estamos hablando de una retirada de
consentimiento, ni ninguna otra causa de legitimación que le faculte para el tratamiento
de los datos personales de la reclamada, en este caso su imagen, luego no se
requiere que la parte reclamante ejerza su derecho de cancelación, ni ninguno de los
demás reconocidos en el RGPD, para que cese el tratamiento de dichas fotografías
por parte de la entidad reclamada, pues ello sólo procedería si alguna vez la parte
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/22
reclamante hubiese otorgado a la parte reclamada su autorización para dicho
tratamiento.
En definitiva, es la parte reclamada el responsable exclusivo de la difusión dada a las
fotos del antes y el después de la operación realizada a la parte reclamante, en las
redes sociales.
IV
Artículo 6.1 del RGPD
La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato
personal y su protección, por tanto, es objeto de dicho Reglamento. En el artículo 4.2
del RGPD se define el concepto de “tratamiento” de datos personales
El artículo 6.1 del RGPD establece los supuestos que permiten considerar lícito el
tratamiento de datos personales indicando lo siguiente:
“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
a) el interesado dio su consentimiento para el tratamiento de sus datos personales
para uno o varios fines específicos;
b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;
c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al
responsable del tratamiento;
d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física;
e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés
público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero, siempre que sobre dichos
intereses no prevalezcan los intereses o los derechos y libertades fundamentales del
interesado que requieran la protección de datos personales, en particular cuando el
interesado sea un niño.
Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento
realizado por las autoridades públicas en el ejercicio de sus funciones.
En cuanto al tratamiento con fines de videovigilancia, el artículo 22 de la LOPDGDD
establece que las personas físicas o jurídicas, públicas o privadas, podrán llevar a
cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras
con la finalidad de preservar la seguridad de las personas y bienes, así como de sus
instalaciones.”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/22
Se considera que los hechos expuestos, es decir, que la parte reclamada, haya
utilizado fotos del antes y el después de la intervención de C.C.C., sin contar con el
consentimiento expreso de la parte reclamada, ni ninguna otra causa de legitimación,
titular de la imagen de las fotografías objeto de conflicto, con la finalidad de publicarlas
en redes sociales y dar publicidad a su clínica, podrían suponer un tratamiento ilícito
de datos personales, lo cual supondría una infracción del artículo 6 del RGPD.
La parte reclamada afirma que la reclamante en el año 2017, la reclamante firmó su
consentimiento autorizando la propia intervención y la toma de fotografías y/o
grabación, pero no la comunicación de esas fotos a terceros.
Asimismo, la doctora C.C.C. y la parte reclamada señalan que las fotos del antes y
después de la operación utilizadas para dar publicidad a la clínica de la parte
reclamada se obtuvieron con el consentimiento de la parte reclamada, ya que se
produjo en el B.B.B.o de un contrato de encargo de tratamiento celebrado en el año
2020.
En respuesta a tales alegaciones de la parte reclamada, la AEPD considera que no
puede considerarse que la publicación de las fotos del antes y el después de la
operación estética de la reclamante, puedan ampararse en el contrato celebrado en el
año 2020 por la parte reclamada y C.C.C., y por ende entender que se cuenta con el
consentimiento de la parte reclamante, por los siguientes motivos:
En primer lugar, la operación de estética a la que se sometió la parte reclamante, se
realizó en un centro distinto a la clínica de la parte reclamada, ya que la reclamante
fue operada en la Clínica ***HOSPITAL.1, el 10 de enero de 2017, y la clínica
publicitada por la parte reclamada es la Clínica (...).
En segundo lugar, las fotos de la parte reclamante fueron tomadas antes y después de
la operación de estética realizada por la parte reclamada a la parte reclamante en el
año 2017, es decir, años antes de la formalización del contrato de encargo del
tratamiento entre la parte reclamante y C.C.C..
Por lo tanto, sería la parte reclamada el responsable exclusivo de la difusión dada a
las fotos del antes y el después de la operación realizada a la parte reclamante, en las
redes sociales.
Así las cosas, ha de tenerse en cuenta que el presente procedimiento se centra en la
presunta responsabilidad de la parte reclamada por la difusión de las fotos del antes y
el después de la operación realizada por C.C.C. a la reclamante.
V
Tipificación del artículo 6.1 del RGPD
Los hechos conocidos podrían ser constitutivos de una infracción, imputable a la parte
reclamada, tipificada en el artículo 6.1 del RGPD, indicado anteriormente, en el
fundamento de derecho II, por lo que podría suponer la comisión de una infracción
tipificada en el artículo 83.5 del RGPD, que dispone lo siguiente:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/22
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20 000 000 EUR como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5, 6, 7 y 9; “
A efectos del plazo de prescripción de las infracciones, la infracción señalada en el
párrafo anterior se considera muy grave conforme al artículo 72.1 de la LOPDGDD,
que establece que:
“En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se
consideran muy graves y prescribirán a los tres años las infracciones que supongan
una vulneración sustancial de los artículos mencionados en aquel y, en particular, las
siguientes:
b) El tratamiento de datos personales sin que concurra alguna de las condiciones de
licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679. (…)
VI
Propuesta de sanción por infracción del artículo 6.1 del RGPD
A fin de determinar la multa administrativa a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan:
“Cada autoridad de control garantizará que la imposición de las multas administrativas
con arreglo al presente artículo por las infracciones del presente Reglamento
indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas,
proporcionadas y disuasorias.”
Las multas administrativas se impondrán, en función de las circunstancias de cada
caso individual, a título adicional o sustitutivo de las medidas contempladas en el
artículo 58, apartado 2, letras a) a h) y j).
Al decidir la imposición de una multa administrativa y su cuantía en cada caso
individual se tendrá debidamente en cuenta:
a) la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así
como el número de interesados afectados y el nivel de los daños y perjuicios que
hayan sufrido;
b) la intencionalidad o negligencia en la infracción;
c) cualquier medida tomada por el responsable o encargado del tratamiento para paliar
los daños y perjuicios sufridos por los interesados;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/22
d) el grado de responsabilidad del responsable o del encargado del tratamiento,
habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud
de los artículos 25 y 32;
e) toda infracción anterior cometida por el responsable o el encargado del tratamiento;
f) el grado de cooperación con la autoridad de control con el fin de poner remedio a la
infracción y mitigar los posibles efectos adversos de la infracción;
g) las categorías de los datos de carácter personal afectados por la infracción;
h) la forma en que la autoridad de control tuvo conocimiento de la infracción, en
particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué
medida;
i) cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas
previamente contra el responsable o el encargado de que se trate en relación con el
mismo asunto, el cumplimiento de dichas medidas;
j) la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de
certificación aprobados con arreglo al artículo 42, y
k) cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso,
como los beneficios financieros obtenidos o las pérdidas evitadas, directa o
indirectamente, a través de la infracción.”
Respecto al apartado k) del artículo 83.2 del RGPD, la LOPDGDD, artículo 76,
“Sanciones y medidas correctivas”, dispone:
“2. De acuerdo a lo previsto en el artículo 83.2.k) del Reglamento (UE) 2016/679
también podrán tenerse en cuenta:
a) El carácter continuado de la infracción.
b) La vinculación de la actividad del infractor con la realización de tratamientos de
datos personales.
c) Los beneficios obtenidos como consecuencia de la comisión de la infracción.
d) La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión
de la infracción.
e) La existencia de un proceso de fusión por absorción posterior a la comisión de la
infracción, que no puede imputarse a la entidad absorbente.
f) La afectación a los derechos de los menores.
g) Disponer, cuando no fuere obligatorio, de un delegado de protección de datos”
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/22
De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de
multa a imponer en el presente caso al reclamado como responsable de una infracción
tipificada en el artículo 83.5.a) del RGPD, en una valoración inicial, se estiman
concurrentes los siguientes factores agravantes:
- Intencionalidad/ Negligencia en la infracción (apartado b): la notoria negligencia
apreciada en la comisión de la infracción, en la medida en que la parte reclamada, ha
difundido en redes sociales fotografías de la reclamante, cedidas por C.C.C., sin
contar con el consentimiento, ni ninguna otra causa de legitimación de la parte
reclamante.
Procede graduar la sanción a imponer a la reclamada y fijarla en la cuantía de 5.000 €
de conformidad con el artículo 58.2 del RGPD
VII
Adopción de medidas por la infracción del artículo 6.1 del RGPD
De confirmarse la infracción, podría acordarse imponer al responsable la adopción de
medidas adecuadas para ajustar su actuación a la normativa mencionada en este
acto, de acuerdo con lo establecido en el citado artículo 58.2 d) del RGPD donde se
dispone lo siguiente:
“Cada autoridad de control dispondrá de todos los siguientes poderes correctivos
indicados a continuación:
d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado.
En este caso concreto, la parte reclamada y C.C.C. esta última es la persona que le
cedió las fotos a la parte reclamada, han manifestado que en cuanto tuvieron
conocimiento de la reclamación presentada, en fecha 18/07/2022, las fotografías de la
reclamante fueron retiradas.
Además, en respuesta a la propuesta de resolución la parte reclamada ha acreditado
que se han tomado medidas para que no puedan volver a tratarse los datos de sus
clientes sin contar con la legitimación que la normativa de protección de datos requiere
para lo cual ha realizado un barrido en buscador Google para evaluar la eliminación de
las imágenes y videos de las páginas de Facebook e Instagram cuyos enlaces adjunta
para su comprobación.
***URL.1 y ***URL.2
Por lo tanto, se constata que se eliminaron todas las imágenes de la reclamante y
enlaces al contenido en las redes sociales Facebook y Instagram.
Además, se ha procedido de igual manera con las imágenes o vídeos con datos
identificables de cualquier otra persona, ya sean clientes o pacientes de B.B.B. que
aparecen en ***URL.1 y ***URL.2
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/22
VIII
Artículo 9 del RGPD
El artículo 9 del RGPD establece lo siguiente:
1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico
o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación
sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar
de manera unívoca a una persona física, datos relativos a la salud o datos relativos a
la vida sexual o las orientaciones sexuales de una persona física.
2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias
siguientes:
a) el interesado dio su consentimiento explícito para el tratamiento de dichos datos
personales con uno o más de los fines especificados, excepto cuando el Derecho de
la Unión o de los Estados miembros establezca que la prohibición mencionada en el
apartado 1 no puede ser levantada por el interesado;
b) el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de
derechos específicos del responsable del tratamiento o del interesado en el ámbito del
Derecho laboral y de la seguridad y protección social, en la medida en que así lo
autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con
arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del
respeto de los derechos fundamentales y de los intereses del interesado;
c) el tratamiento es necesario para proteger intereses vitales del interesado o de otra
persona física, en el supuesto de que el interesado no esté capacitado, física o
jurídicamente, para dar su consentimiento;
d) el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las
debidas garantías, por una fundación, una asociación o cualquier otro organismo sin
ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que
el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales
organismos o a personas que mantengan contactos regulares con ellos en relación
con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin
el consentimiento de los interesados;
e) el tratamiento se refiere a datos personales que el interesado ha hecho
manifiestamente públicos;
f) el tratamiento es necesario para la formulación, el ejercicio o la defensa de
reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/22
g) el tratamiento es necesario por razones de un interés público esencial, sobre la
base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional
al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y
establecer medidas adecuadas y específicas para proteger los intereses y derechos
fundamentales del interesado;
h) el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación
de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o
tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de
asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados
miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las
condiciones y garantías contempladas en el apartado 3;
i) el tratamiento es necesario por razones de interés público en el ámbito de la salud
pública, como la protección frente a amenazas transfronterizas graves para la salud, o
para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y
de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o
de los Estados miembros que establezca medidas adecuadas y específicas para
proteger los derechos y libertades del interesado, en particular el secreto profesional,
j) el tratamiento es necesario con fines de archivo en interés público, fines de
investigación científica o histórica o fines estadísticos, de conformidad con el artículo
89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros,
que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a
la protección de datos y establecer medidas adecuadas y específicas para proteger
los intereses y derechos fundamentales del interesado.
3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines
citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un
profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de
acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas
establecidas por los organismos nacionales competentes, o por cualquier otra persona
sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de
los Estados miembros o de las normas establecidas por los organismos nacionales
competentes.
4. Los Estados miembros podrán mantener o introducir condiciones adicionales,
inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos
biométricos o datos relativos a la salud.
En el presente caso la difusión en redes sociales por la parte reclamada, de las fotos
del antes y el después de la operación estética realizada por la doctora C.C.C. a la
parte reclamante, vulneraría el artículo 9.1 del RGPD, ya que se ha difundido datos de
salud, los cuales se encuentran especialmente protegidos en el artículo 9.1 del RGPD.
Hay que señalar además que no nos encontramos en ninguno de los supuestos que
de manera excepcional en virtud del artículo 9.2 del RGPD, sea posible salvar la
prohibición de tratar estos datos, por lo que nos encontraríamos ante una supuesta
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/22
infracción del artículo 9 del RGPD, anteriormente indicado.
IX
Tipificación del artículo 9 del RGPD
La infracción del artículo 9 del RGPD, de la que se responsabiliza al reclamado, está
prevista en el artículo 83.5 del RGPD donde se establece que:
“Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el
apartado 2, con multas administrativas de 20.000.000 Euros como máximo o,
tratándose de una empresa, de una cuantía equivalente al 4% como máximo del
volumen de negocio total anual global del ejercicio financiero anterior, optándose por
la de mayor cuantía:
a) Los principios básicos para el tratamiento, incluidas las condiciones para el
consentimiento a tenor de los artículos 5,6,7 y 9.”
A su vez, la LOPDGDD en su artículo 72.1.e) califica de infracción muy grave, a
efectos de prescripción, “El tratamiento de datos personales de las categorías a las
que se refiere el artículo 9 del Reglamento (UE)2016/679 sin que concurra alguna de
las circunstancias previstas en dicho precepto y en el artículo de esta Ley Orgánica.”
X
Propuesta de Sanción por infracción del artículo 9 del RGPD
A fin de determinar las multas administrativas a imponer se han de observar las
previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos ya indicados en el
fundamento VI.
De acuerdo con dichos preceptos, a efectos de fijar el importe de la sanción de multa a
imponer a la parte reclamada como responsable de una infracción tipificada en el
artículo 83.5.a) del RGPD, se estiman concurrentes en el presente caso, en calidad de
agravantes, los siguientes factores:
- Intencionalidad/ Negligencia en la infracción (apartado b): la notoria negligencia
apreciada en la comisión de la infracción, en la medida en que la parte reclamada,
responsable del tratamiento de datos de salud, datos especialmente protegidos por la
normativa de protección de datos, ha difundido en redes sociales para dar publicidad a
su clínica, fotografías de la reclamante que le fueron cedidas por C.C.C., pese a no
encontrarse en ninguno de los supuestos excepcionales que permiten su tratamiento
según el artículo 9.2 del RGPD.
Procede graduar la sanción a imponer a la reclamada y fijarla en la cuantía de 5.000 €
de conformidad con el artículo 58.2 del RGPD
XI
Adopción de medidas por la infracción del artículo 9 del RGPD
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/22
Se acuerda imponer al responsable la adopción de medidas adecuadas para ajustar
su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido
en el citado artículo 58.2 d) del RGPD donde se dispone lo siguiente:
“Cada autoridad de control dispondrá de todos los siguientes poderes correctivos
indicados a continuación:
d) ordenar al responsable o encargado del tratamiento que las operaciones de
tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda,
de una determinada manera y dentro de un plazo especificado;
En este caso concreto, la parte reclamada y C.C.C., la cirujana que le cedió las fotos
de la parte reclamante, ha manifestado que en cuanto tuvieron conocimiento de la
reclamación presentada, en fecha 18/07/2022, las fotografías de la reclamante fueron
retiradas.
Además, en respuesta a la propuesta de resolución la parte reclamada ha acreditado
que se han tomado medidas para que no puedan volver a tratarse los datos de sus
clientes sin contar con la legitimación que la normativa de protección de datos requiere
para lo cual ha realizado un barrido en buscador Google para evaluar la eliminación de
las imágenes y videos de las páginas de Facebook e Instagram cuyos enlaces adjunta
para su comprobación.
***URL.1 y ***URL.2
Por lo tanto, se constata que se eliminaron todas las imágenes de la reclamante y
enlaces al contenido en las redes sociales Facebook y Instagram.
Además, se ha procedido de igual manera con las imágenes o vídeos con datos
identificables de cualquier otra persona, ya sean clientes o pacientes de B.B.B. que
aparecen en ***URL.1 y ***URL.2
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a B.B.B., con NIF ***NIF.1, por una infracción del Artículo 6.1
del RGPD y Artículo 9 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una
multa de 5.000 euros por la infracción del artículo 6.1 del RGPD, y una segunda multa
de 5.000 euros por la infracción del artículo 9 del RGPD, lo que supone un total de
10.000 € (diez mil euros),
SEGUNDO: NOTIFICAR la presente resolución a B.B.B.
TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el
recurso potestativo de reposición (un mes a contar desde el día siguiente a la
notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad.
Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/22
la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.b)
de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las
Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario
establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real
Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de
diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de
procedimiento que figura en el encabezamiento de este documento, en la cuenta
restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT:
CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en
la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su
recaudación en período ejecutivo.
Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra
entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago
voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se
encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago
será hasta el 5 del segundo mes siguiente o inmediato hábil posterior.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la
Directora de la Agencia Española de Protección de Datos en el plazo de un mes a
contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se
podrá suspender cautelarmente la resolución firme en vía administrativa si el
interesado manifiesta su intención de interponer recurso contencioso-administrativo.
De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante
escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través
del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-
web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la
citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la
documentación que acredite la interposición efectiva del recurso contencioso-
administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso
contencioso-administrativo en el plazo de dos meses desde el día siguiente a la
notificación de la presente resolución, daría por finalizada la suspensión cautelar.
938-16012024
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/22
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es