1/22
936-031219
Procedimiento Nº: PS/00135/2020
RESOLUCIÓN R/00301/2020 DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO
VOLUNTARIO
En el procedimiento sancionador PS/00135/2020, instruido por la Agencia
Española de Protección de Datos a SCHOOL FITNESS HOLIDAY & FRANCHISING,
S.L.U., vista la denuncia presentada por AYUNTAMIENTO DE MADRID - UNIDAD DE
CONSUMO, y en base a los siguientes,
ANTECEDENTES
PRIMERO: Con fecha 16 de junio de 2020, la Directora de la Agencia Española de
Protección de Datos acordó iniciar procedimiento sancionador a SCHOOL FITNESS
HOLIDAY & FRANCHISING, S.L.U. (en adelante, el reclamado), mediante el Acuerdo
que se transcribe:
<<
Procedimiento N.º: E/00135/2020
935-240719
ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR
De las actuaciones practicadas por la Agencia Española de Protección de Datos ante
SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L. con CIF: B82887514, (en
adelante, “la entidad reclamada”), en virtud de la reclamación presentada por el
AYUNTAMIENTO DE MADRID (NEGOCIADO DE SERVICIOS SANITARIOS Y
CONSUMO) (en adelante, “el reclamante”), y teniendo como base los siguientes:
HECHOS
El Negociado de Servicios Sanitarios y Consumo del Ayuntamiento de Madrid ha
remitido a esta Agencia dos escritos de denuncia contra la entidad reclamada por los
mismos hechos. Estos dos escritos, han dado lugar a la apertura, en esta Agencia, de
dos expedientes de investigación: el E/0065/2019 y el E/3498/2019.
A) Respecto al Procedimiento E/0065/2019:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/22
PRIMERO: Con fecha 26/11/18, tuvo entrada en esta Agencia escrito presentado por
el reclamante, en el que, entre otras, se indicaba:
“Realizadas visitas de inspección por los Servicios Técnicos de Calidad y Consumo al
establecimiento y titular de referencia en fechas 16/04/18 y 09/05/18, se apercibía y se
requería a la mercantil expedientada al efecto de la subsanación de irregularidades de
cláusulas abusivas en el contrato presentado, en concreto en las cláusulas siguientes:
(…) NOVENA: Todos los/as socios/as están obligados a mostrar el DNI a
requerimiento de los empleados/as del centro, tanto a la entrada como durante
su estancia en el recinto. La inobservancia de esta norma imposibilitará el
acceso o la permanencia en el gimnasio en tanto no se subsane dicho
requisito. A la aceptación del contrato se requerirá a cada socio/a la lectura de
los parámetros biométricos de su huella digital que se empleará para la
aceptación del mismo y posteriormente para su entrada y salida de los centros,
a través del mecanismo previsto para ello. De acuerdo con el artículo 5.1 de la
Ley 15/1999, se informa al socio de que el dato correspondiente al patrón
biométrico que se facilita se incluirá en un fichero automatizado denominado
"clientes y proveedores" que será utilizado para el acceso de los usuarios del
gimnasio y que en ningún caso será cedido a terceros. La lectura de los datos
biométricos no implica la grabación de la huella y los datos obtenidos no son
en ningún caso tratables como huella dactilar. La obligación de mostrar el DNI,
sin especificar motivos válidos para exigirle los empleados, cuando para la
aceptación del contrato y para la entrada y salida de los centros se requiere la
lectura de los datos biométricos,
(…) DECIMOSEGUNDA: Con la firma del presente contrato el socio concede
autorización para que la empresa pueda utilizar indistintamente todas las
imágenes, fotografías, videos, archivos de voz, material gráfico, etc., (en
adelante las imágenes) en las que intervenga, o parte de las mismas, e incluir
sus datos en un fichero debidamente registrado en la Agencia Española de
Protección de Datos, de acuerdo con lo establecido en la Ley Orgánica
15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.
Asimismo, el socio autoriza la comunicación o cesión de las imágenes a las
personas que la empresa considere oportunas, con el mismo objeto indicado
en el apartado anterior, informándole expresamente de que en algunos casos
para dicha cesión se realizarán transferencias internacionales de datos. En
concreto. estos datos podrán ser comunicados a terceros, sin ningún
consentimiento adicional por su parte, siempre que esta comunicación se limite
a esta finalidad.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/22
El socio concede esta autorización con un ámbito territorial y temporal amplio,
por lo que la empresa podrá utilizar las imágenes, o parte de las mismas, en
todo el territorio español y en todos los países del mundo sin limitación
geográfica de ninguna clase. El socio concede esta autorización para la
utilización de las imágenes en las que aparece, o parte de las mismas, en el
ámbito y finalidades tanto de comunicación y difusión de la actividad de la
empresa. como de cualquier otro proyecto, entendido este en su forma más
amplia, destinado de forma enunciativa, pero no Iimitativa a la promoción de
las actividades de la empresa, en sus propios centros, su página web y en
cualquier otro medio que la empresa, considere, pudiendo ser explotados en
todos los medios conocidos en la actualidad y los que pudieran desarrollarse
en el futuro, todo ello con la única salvedad y limitación de aquellas
utilizaciones o aplicaciones que pudieran atentar al derecho al honor, a la moral
y lo al orden público, en los términos previstos en la legislación vigente en cada
país.
Esta autorización se entiende hecha con carácter gratuito. El socio exime
expresamente a la empresa de toda responsabilidad sobre cualquier uso que
pueda hacer un tercero de las imágenes, fuera del ámbito territorial. temporal y
material objeto del presente contrato. El derecho de imagen está regulado en
la Ley Orgánica 1/1982. de 5 de mayo. sobre protección civil del Derecho al
Honor. a la Intimidad personal y familiar y a la propia imagen. Todos ellos por si
mismos son derechos fundamentales protegidos en el art. 18.1 de la
Constitución Española. Son derechos irrenunciables, inalienables e
imprescriptibles. Es imperativo el imprescindible principio para lo relativo al
tratamiento de la imagen, el consentimiento expreso e inequívoco del titular
para obtener, reproducir o publicar por cualquier medio o soporte la imagen de
una persona. art. 2.2, art. 6 LO 1/1982 el titular del derecho hubiere otorgado al
efecto su consentimiento expreso“. Cláusula entre el condicionado general que
no permite el consentimiento expreso e inequívoco del titular de la imagen
(falta de transparencia), no expresándose formal y explícitamente. Cláusula
abusiva que vincula el tratamiento de la propia imagen a la voluntad del
empresario, Art. 85.3 TRLGDCU, que impone con la exoneración de
responsabilidad a la empresa. la renuncia o limitación de los derechos del
consumidor y usuario, Art. 86.7 TRLGDCU, que impone las declaraciones de
recepción o conformidad o de adhesión del consumidor, a un consentimiento
del cual no ha tenido la oportunidad de tomar conocimiento real de sus
derechos ni de las consecuencias que de esas declaraciones deriven o le
puedan afectar. Art. 89.1 TRLGDCU. Siendo el órgano responsable la AEPD,
60 le da traslado de copia del presente condicionado al efecto de las
actuaciones oportunas en el ámbito de sus competencias.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/22
DECIMOTERCERA: Según lo establecido en la Ley Orgánica 15/1999 de
Protección de Datos de Carácter Personal (LOPD), los datos facilitados por el
socio, incluyendo los correspondientes al patrón biométrico, serán
incorporados a! fichero "clientes y proveedores" cuyo titular es SCHOOL
FITNESS HOLIDAY FRANCHISING S.L.U., con domicilio en Las Rozas
(28290) Las Rozas, Madrid, calle Rozabella nº 6. Parque Europa Empresarial.
A tal efecto, se considere que los datos que el socio/& proporciona son
ciertos… Los datos de patrón biométrico
DECIMOCUARTA: El socio autoriza a la empresa a ceder sus derechos y
obligaciones a un tercero. Mediante esta cesión no se podrán modificar los
derechos y obligaciones de los socios”.
SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales que
ha previsto un mecanismo, previo a la admisión a trámite de las reclamaciones que se
formulen ante la Agencia Española de Protección de Datos, consistente en trasladarlas
a los Delegados de Protección de Datos designados por los responsables o
encargados del tratamiento, o a éstos cuando no los hubieren designado, con fecha
09/01/19 se dio traslado de la reclamación presentada a la entidad reclamada para
que procediese a su análisis y diera respuesta al reclamante y a esta Agencia.
TERCERO: Con fecha 22/02/19, se recibió en esta Agencia escrito de alegaciones,
presentado por la entidad reclamada, en la que exponía, entre otras, lo siguiente:
“Condicionado adaptado a la normativa de protección de datos. En la solicitud de infor-
mación se nos solicita modificación de las cláusulas novena, decimosegunda, decimo-
tercera y decimocuarta para su adaptación al Reglamento 679/2016 de 27 de abril
(RGPD). Dando cumplimiento a lo requerido hemos procedido a modificar dicho con-
dicionado y a adaptarlo a la normativa vigente. En prueba de ello les remitimos como
DOC 1 de este escrito copia del condicionado en sus nuevos términos.
Para dar mayor protección y seguridad al cliente y asegurar que la aceptación es libre,
voluntaria, informada e inequívoca del tratamiento específico de sus datos, se ha intro-
ducido además de las modificaciones del clausulado un anexo específico denominado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/22
“ficha de protección de datos” que suscriben todas las nuevas altas sea vía presencial
o vía web. Acompañamos copia de dicha ficha como DOC 2.
En relación a los contratos existentes y para su adaptación a la nueva normativa se
han adoptado las siguientes medidas, que se encuentran en fase de implementación
debido al volumen de clientes: iii) Suscripción de anexo comunicando la modificación
de las condiciones del contrato relativas a protección de datos y comunicación de ficha
de protección de datos. Se está realizando de forma presencial en los gimnasios. Re-
misión de comunicación electrónica a todos los clientes informando de la necesidad de
aceptar expresamente el consentimiento para el tratamiento de sus datos. Requeri-
miento personal a los suscriptores mediante control de accesos (tornos) para la sus-
cripción de la ficha "Protección de Datos" y captación de su firma bien en soporte pa-
pel o bien en soporte Tablet Todas las medidas se encuentran en fase de implementa-
ción y tomarán un tiempo llevarlas a efecto por completo puesto que: La campaña de
mailing ha tenido baja acogida por los suscriptores No todos los suscriptores acuden a
diario al gimnasio”.
CUARTO: Con fecha 01/03/19, por parte de la Directora de la Agencia Española de
Protección de Datos, se dicta resolución de archivo de actuaciones en marco del expe-
diente, E/0065/2019, al considerar que no procede el inicio de un procedimiento san-
cionador al haber sido atendida la reclamación presentada por parte del reclamado.
A) Respecto del Procedimiento E/03498/2019:
QUINTO: Con fecha 26/09/19, tuvo entrada en esta Agencia, el segundo escrito pre-
sentado por el reclamante, que dio lugar a la apertura del expediente E/3498/2019 en
el que, entre otras, se indicaba:
Se comprueba en estas últimas inspecciones que la mercantil expedientada continúa
emitiendo con las personas consumidoras y usarías el mismo e idéntico contrato pre-
dispuesto, que el motivado presunta vulneración de los derechos reconocidos de pro-
tección de datos en la campaña de inspección y Control de Gimnasios 2018.
Recepcionado el escrito de la AEPD de fecha 01.03.19, en el que se informa de la
subsanación por la mercantil en la modificación del condicionado y adopción de medi-
das correctoras en lo que interesa en sus competencias, resolviendo el archivo de ac-
tuaciones. Debiéndose proceder por esta Unidad de Consumo a informar de nuevo a
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/22
la AEPD de lo constatado en el suministro por la mercantil denunciada, de información
inexacta o falsa y el incumplimiento de los requerimientos de subsanación.
Estudiado el expediente, originado por las actuaciones de los Servicios Técnicos de
Inspección de Calidad y Consumo de este Distrito Latina en la Campaña de inspec-
ción y Control de Gimnasios 2019, y la documentación anexa al mismo, se comprueba
que la mercantil expedientada continúa emitiendo con las personas consumidoras y
usuarias el mismo e idéntico contrato predispuesto, que el motivado la inhibición en la
Campaña de inspección y Control de Gimnasios 2018, por la inclusión de cláusulas
abusivas en el condicionado del contrato presentado al expediente, a tenor del Real
Decreto Legislativo 1/2007, de 16 noviembre, que aprueba el Texto Refundido de la
ley General para la Defensa de los Consumidores y Usuarios y otras leyes comple-
mentarias (TRLGDCU), conforme al análisis de los Distritos y valoración del instituto
Municipal de Consumo.
SEXTO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de di-
ciembre, de Protección de Datos Personales y garantía de los derechos digitales que
ha previsto un mecanismo, previo a la admisión a trámite de las reclamaciones que se
formulen ante la Agencia Española de Protección de Datos, consistente en trasladarlas
a los Delegados de Protección de Datos designados por los responsables o encarga-
dos del tratamiento, o a éstos cuando no los hubieren designado, con fecha 24/10/19,
se dio traslado de la reclamación presentada a la entidad reclamada para que proce-
diese a su análisis y diera respuesta al reclamante y a esta Agencia.
SÉPTIMO: Con fecha 26/11/19, se recibió en esta Agencia escrito de alegaciones, pre-
sentado por la entidad reclamada, en la que exponía, entre otras, lo siguiente:
“En fecha 20 de febrero de 2019 esta compañía contestó a la Subdirección General de
Inspección de la AEPD comunicando que habíamos procedido a la adaptación del
condicionado general a la normativa de protección de datos. remitiendo copia del nue-
vo condicionado junto con ficha de protección de datos y comunicábamos las medidas
que habíamos adoptado y que éstas se encontraban en fase de implementación.
En concreto explicábamos que se estaban llevando a efecto las actuaciones concretas
y los tiempos necesarios para ello indicando que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/22
En relación a los contratos existentes y para su adaptación a la nueva normativa se
han adoptado las siguientes medidas, que se encuentran en fase de implementación
debido al volumen de clientes:
- Suscripción de anexo comunicando la modificación de las condiciones del con-
trato relativas a protección de datos y comunicación de la ficha de protección
de datos. Se está realizando de forma presencial en los gimnasios.
- Remisión de comunicación electrónica a todos los clientes informando de la
necesidad de aceptar expresamente el consentimiento para el tratamiento de
sus datos.
- Requerimiento personal a los suscriptores mediante control de accesos (to-
mos) para la suscripción de la ficha, ”Protección de Datos" y captación de su
firma bien en soporte papel o bien en soporte Tablet
Todas las medidas se encuentran en fase de implementación y tomarán un tiempo lle-
varlas a efecto por completo puesto que la campaña de mailing ha tenido baja acogida
por los suscriptores No todos los suscriptores acuden a diario al gimnasio. El control
en tornos se hace en bloques de personas para evitar colapsar los accesos.
Los trabajos de adaptación que se han llevado a cabo entre el mes de febrero de 2019
y la actualidad son los siguientes:
- Modificación de clausulado en página web para contratación online — > He-
mos procedido a modificar el clausulado de condiciones generales y la ficha de
protección de datos en página web para que las contrataciones online estén
dotadas de todas las garantías y adaptadas a la nueva normativa. Acompaña-
mos captura de pantalla como DOC 2.
- Adquisición de todas las nuevas tabletas con el oportuno software para la cap-
tura de firma de los nuevos suscriptores y la captura de firma de los suscripto-
res que ya tenían contrato mediante suscripción de anexo al contrato principal.
Acompañamos facturas de las nuevas tabletas como DOC 3
- Implementación del software cloud en servidor central de almacenamiento con
comunicación segura entre el centro administrativo y los centros operativos (un
total de veinte gimnasios). Acompañamos factura de la consultora informática
que actualiza el software de gestión como DOC 4
A día de hoy, podemos certificar que la campaña de implementación ha concluido en
todas sus fases con éxito, tanto en servicios centrales como en cada uno de los VEIN-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/22
TE (20) gimnasios HOLIDAY GYM.
Cabe destacar en el presente informe nuestra sorpresa al ver que la denunciante ha
sido el Departamento de Consumo del Ayuntamiento de Madrid, desde su distrito de
Aluche. Y decimos esto porque nuestra compañía está en comunicación con el Depar-
tamento de Consumo del Ayuntamiento de Madrid distrito Chamartín sito en Calle del
Príncipe de Vergara nº 140 a quiénes hemos acudido precisamente a solicitar ayuda
para no incumplir ninguna obligación legal en materia de consumo y protección a con-
sumidores.
Podemos manifestar que parte del proceso de implementación de las nuevas condicio-
nes ha pasado por mantener reuniones con personas de ese Departamento de Consu-
mo del distrito de Chamartín, quiénes nos han ayudado a precisar mucho mejor los
términos y condiciones para evitar que nuestra empresa esté cometiendo irregularida-
des o infracciones en esta materia.
Cabe reseñar que el día 5 de noviembre de 2019 hemos mantenido una reunión con
ellos con el fin de informarles de esta desagradable situación y que nos indicaran las
pautas oportunas por si estuviéramos cometiendo alguna irregularidad. En particular, a
dicha reunión han asistido la Consejera Técnica coordinadora de los 21 distritos de
Consumo de Madrid, el Jefe de Unidad de Procedimiento Sancionador, el Técnico de
consumo de distrito Príncipe de Vergara y Representantes de Holiday Gym.
A día de hoy estamos a la espera de recibir la conformidad por parte de dicha Oficina
del Consumidor, al contrato que en su momento la AEPD con fecha 01 de Marzo de
2019 archivó por dar el visto bueno al condicionado propuesto. En definitiva, ninguna
irregularidad ha cometido esta empresa, aunque si bien debemos reconocer que el
proceso de implementación ha sido más lento de lo que estaba proyectado.
Nos ha sido requerido copia de los últimos contratos de septiembre de 2019 y así los
aportamos, indicando que los mismos no cumplen con los requisitos exigibles porque
son contratos firmados en el gimnasio resultando que el software operativo con el nue-
vo sistema y condicionado no ha estado operativo hasta finales del mes de octubre de
2019. Acompañamos copia de estos contratos como DOC 5.
Para demostrar que la compañía ha implementado correctamente el nuevo condicio-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/22
nado acompañamos como DOC 6 copia de los últimos contratos firmados en el mes
de noviembre, dónde se puede constatar el cumplimiento de nuestras obligaciones.
En definitiva, asumimos el retraso en la implementación, pero demostramos que he-
mos cumplido con nuestras obligaciones de adaptarnos”.
Dentro del DCO 6 aportado junto con el escrito de alegaciones, se comprueba los si-
guientes apartados:
“(…) NOVENA. Todos los socios están obligados a identificarse suficientemen-
te a requerimiento de los empleados/as del centro, con el fin de poder compro-
bar la identidad, en su caso, del socio que haya incumplido las normas. La
inobservancia de esta norma imposibilitará el acceso o la permanencia en el
gimnasio en tanto no se subsane dicho requisito. A la aceptación del contrato
se requerirá a cada socio/a que lo desee la lectura de los parámetros biométri-
cos de su huella digital que se empleará para su entrada y salida de los cen-
tros, a través del mecanismo previsto para ello. Se informa al socio que el dato
correspondiente al patrón biométrico que se facilita será utilizado para el acce-
so de los usuarios del gimnasio y que en ningún caso será cedido a terceros.
La lectura de los datos biométricos no implica la grabación de la huella y los
datos obtenidos no son en ningún caso tratables como huella dactilar.
(…) DUODECIMA. Con la firma del presente contrato el socio concede autori-
zación para que la empresa pueda utilizar indistintamente todas las imágenes.
fotografías, videos, archivos de voz. material gráfico, etc., (en adelante las imá-
genes) en las que intervenga, o sea parte de las mismas. Asimismo. el socio
autoriza la comunicación o cesión de las imágenes a las personas que la em-
presa considere oportunas. con el mismo objeto indicado en el apartado ante-
rior, informándole expresamente de que en algunos casos para dicha cesión se
realizarán transferencias internacionales de datos. En concreto, estos datos
podrán ser comunicados a terceros, sin ningún consentimiento adicional por su
parte, siempre que esta comunicación se limite a esta finalidad. El socio con-
cede esta autorización con un ámbito territorial y temporal amplio, por lo que la
empresa podrá utilizarlas imágenes, o parte de las mismas, en todo el territorio
español y en todos los países del mundo sin limitación geográfica de ninguna
clase. El socio concede esta autorización para la utilización de las imágenes en
las que aparece. o parte de las mismas. en el ámbito y finalidades tanto de co-
municación y difusión de la actividad de la empresa, como de cualquier otro
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/22
proyecto. entendido éste en su forma más amplia, destinado de forma enuncia-
tiva, pero no limitativa a la promoción de las actividades de la empresa, en sus
propios centros, su página web y en cualquier otro medio que la empresa, con-
sidere, pudiendo ser explotados en todos los medios conocidos en la actuali-
dad y los que pudieran desarrollarse en el futuro, todo ello con la única salve -
dad y limitación de aquellas utilizaciones o aplicaciones que pudieran atentar al
derecho al honor, a la moral y/o al orden público, en los términos previstos en
la legislación vigente en cada país. Esta autorización se entiende hecha con
carácter gratuito. Como consecuencia de la cesión, el socio exime expresa-
mente a la empresa de toda responsabilidad sobre cualquier uso que pueda
hacer un tercero de las imágenes, fuera del ámbito territorial, temporal y mate-
rial objeto del presente contrato. Todo ello al amparo de lo dispuesto en la Ley
Orgánica 1/1982, de 5 de mayo. de Protección Civil del Derecho al Honor, a la
Intimidad Personal y Familiar y a la Propia imagen. así como el RGPD y demás
normativa de protección de datos aplicable.
DECIMOTERCERA. De conformidad con lo establecido en la normativa vigente
en Protección de Datos de Carácter Personal, la empresa informa de que los
datos de los socios serán incorporados al sistema de tratamiento titularidad de
la sociedad HOLIDAY M. OESTE, S.L, y domicilio social sito en la calle Roza-
bella, nº 6, 28290, Las Rozas de Madrid, Madrid, con la finalidad de tratamiento
de la base de datos de los clientes, para facilitar la gestión y control de los ser-
vicios prestados por HOLIDAY M. OSTE, S.L así como para comunicaciones
comerciales y promocionales de carácter publicitario. En cumplimiento con la
normativa vigente, la empresa informa de que los datos serán conservados du-
rante el plazo estrictamente necesario ' para cumplir con los preceptos mencio-
nados con anterioridad en base al interés legítimo. Mientras el socio no comu-
nique lo contrario, se entenderá que sus datos no han sido modificados, com-
prometiéndose a notificar cualquier variación y dando a la empresa su consen-
timiento para utilizarlos para las finalidades mencionadas. La empresa informa
de que tratará los datos de manera licita, leal, transparente, adecuada, perti-
nente. limitada, exacta y actualizada. Es por ello que se compromete a adoptar
todas las medidas razonables para que estos se supriman o rectifiquen sin dila-
ción cuando sean inexactos. De acuerdo con los derechos que le confiere la
normativa vigente en protección de datos el socio podrá ejercer los derechos
de acceso, rectificación, limitación de tratamiento, supresión, portabilidad y
oposición al tratamiento de sus datos de carácter personal, así como, del con-
sentimiento prestado para el tratamiento de los mismos, dirigiendo su petición
al departamento jurídico de HOLIDAY M. OESTE, SL. en la dirección calle Ro-
zabella, nº 6, 28290, Las Rozas de Madrid, Madrid, o al correo electrónico
***EMAIL.1.Igualmente podrá dirigirse a la Autoridad de Control competente
para presentarla reclamación que considere oportuna en el supuesto de que
considere que se infringen sus derechos de protección de datos (Reglamento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/22
UE 2016/679, de 27 de abril de 2016).
El cliente puede aceptar expresamente el uso del padrón biométrico para el ac-
ceso al gimnasio. La lectura biométrica no implica la grabación de la huella
dactilar y los datos obtenidos no son en ningún caso tratables como huella dac-
tilar. En las tecnologías de la información (TI) la “autentificación biométrica" o
“biometría informática” es la aplicación de las técnicas matemáticas y estadísti-
cas sobre los rasgos físicos o de conducta de un individuo para su autentifica-
ción, es decir, “verificar” su identidad. Los datos se emplearán para dar cumpli-
miento a la prestación de los servicios contratados por el socio, así como la
gestión comercial y el envío o comunicación de publicidad o información de ca-
rácter comercial o bien de encuestas de satisfacción por cualquier medio. En
caso de que ella socio/a desee recibir publicidad o información comercial debe-
rá marcar la casilla correspondiente a la aceptación del contrato. La aceptación
del contrato implica el consentimiento del socio para la comunicación de sus
datos personales a cualquier empresa del grupo HOLIDAY GYM. con la finali-
dad de permitir el acceso a los gimnasios. además de las finalidades anterior-
mente indicadas.
DECIMOCUARTA. El socio autoriza a la empresa a ceder sus derechos y obli-
gaciones a un tercero. Mediante esta cesión no se podrán modificar los dere-
chos y obligaciones de los socios”.
OCTAVO: A la vista de los hechos denunciados, de conformidad con las evidencias
de que se dispone, la Inspección de Datos de esta Agencia Española de Protección de
Datos considera lo indicado anteriormente, no cumple con la normativa vigente, por lo
que procede la apertura del presente procedimiento sancionador.
FUNDAMENTOS DE DERECHO
I
De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 del
Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de
las personas físicas en lo que respecta al tratamiento de datos personales y a la libre
circulación de estos datos (RGPD), de aplicación desde el 25 de mayo de 2018, reco-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/22
noce a cada autoridad de control, es competente para resolver esta reclamación la Di-
rectora de la Agencia Española de Protección de Datos, de conformidad con el artículo
12.2, apartados i) y j) del Real Decreto 428/1993, de 26 de marzo, por el que se aprue-
ba el Estatuto de la Agencia de Protección de Datos (RD 428/1993) y la Disposición
transitoria primera de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Da-
tos Personales y garantía de los derechos digitales (LOPDGDD).
De conformidad con lo establecido en el artículo 55 RGPD, la Agencia Española de
Protección de Datos es competente para desempeñar las funciones que se le asignan
en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la
sensibilización de los responsables y los encargados del tratamiento acerca de las
obligaciones que les incumben, así como tratar las reclamaciones presentadas por un
interesado e investigar el motivo de las mismas.
II
En el presente caso, se debe tener en cuenta que, con carácter previo a la incoación
del presente expediente sancionador (PS/135/2020), se había tramitado previamente
un expediente de investigación por los mismos hechos, en esta Agencia,
(E/0065/2019), durante el cual se dio traslado a la entidad reclamada para que proce-
diese a su análisis y diera respuesta. Asimismo, se le requirió también que informara
de las medidas que adoptarían para evitar situaciones similares en el futuro.
El proceso de todas las actuaciones seguidas en los dos expedientes ha sido el si-
guiente:
1.- Con fecha 16/04/18 y 09/05/18, los Servicios Técnicos de Calidad y Consumo del
Ayuntamiento de Madrid realizaron sendas visitas de inspección a la entidad reclama-
da detectando una serie de irregularidades en las cláusulas del contrato que realiza-
ban con los clientes y que atentaban contra la normativa de protección de datos.
2.- Con fecha 26/11/18, los Servicios Técnicos de Calidad y Consumo del Ayuntamien-
to de Madrid notificaron a esta Agencia los hechos detectados en dichas inspecciones.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
13/22
3.- Con fecha 09/01/19, por parte de esta Agencia, se requirió a la entidad reclamada
información sobre los hechos denunciados.
4.- Con fecha 22/02/19, la entidad reclamada afirma que ya habían modificado las
cláusulas abusivas del contrato con los clientes, en concreto las cláusulas denuncia-
das por no estar adaptadas al nuevo RGPD (la novena, decimosegunda, decimoterce-
ra y decimocuarta).
5.- Con fecha 01/03/19, por parte de esta Agencia, se procedió al archivo de las actua-
ciones previas de investigación (E/0065/2019), al considerar que se había atendido co-
rrectamente el requerimiento.
6.- Con fecha 26/09/19, tuvo entrada en esta Agencia, una nueva denuncia por parte
de los Servicios Técnicos de Calidad y Consumo del Ayuntamiento de Madrid, indican-
do que en las últimas inspecciones realizadas a la mercantil expedientada, se había
vuelto a comprobar que ésta continúa emitiendo el mismo contrato predispuesto.
7.- Con fecha 24/10/19, se dio traslado de este hecho a la entidad reclamada para que
procediese a su análisis y diera respuesta a esta Agencia.
8.- Con fecha 26/11/19, se recibió en esta Agencia escrito de alegaciones, presentado
por la entidad reclamada, alegando que:
- Con relación a los contratos antiguos, ya existentes hasta el mes de febrero de
2019, se procedió a la eliminación de las cláusulas denunciadas y a una nueva
redacción de las mismas. Pero su adaptación no se había completado en su to-
talidad, ya que, al llevarse a cabo de forma presencial, y debido a la gran canti-
dad de socios repartidos entre los 20 gimnasios que la entidad tiene en la Co-
munidad de Madrid, muchos de los cuales no asisten asiduamente a los cen-
tros, este proceso se estaba alargando en el tiempo.
- En los contratos firmados desde febrero de 2019 hasta octubre de 2019, la en-
tidad alega que “los mismos no cumplían con los requisitos exigibles porque el
software operativo instalado en la red informática de la entidad no ha estado
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
14/22
operativo hasta finales del mes de octubre de 2019”, fecha coincidente con la
recepción del segundo requerimiento por parte de esta Agencia.
- Respecto de los contratos firmados a partir de noviembre de 2019, se aporta
copia de los mismos, pudiéndose constatar la modificación de las cláusulas de-
nunciadas y su adaptación al nuevo RGPD.
Pues bien, se constata que la entidad reclamada tuvo conocimiento de las irregularida-
des en sus contratos con los clientes en abril/mayo de 2018, a través de las actas de
inspección que levantó el Negociado de Servicios Sanitarios del Ayuntamiento de Ma-
drid y donde también se le requería que subsanara las deficiencias y adaptara las
cláusulas abusivas a la normativa vigente sobre protección de datos.
Después, en febrero de 2019, por parte de esta Agencia, se le requirió que subsanara
las irregularidades detectadas. La entidad reclamada afirmó en dicha ocasión que,
atendía el requerimiento y procedía a eliminar las cláusulas abusivas denunciadas y a
redactar unas nuevas acorde con el RGPD, pero no es hasta el mes de noviembre de
2019, después de haber recibido el segundo requerimiento de esta Agencia, (el
24/10/19), cuando, según la entidad, se implantan definitivamente los nuevos contra-
tos.
En consecuencia, un año y 5 meses después de que el Negociado de Servicios Sani-
tarios del Ayuntamiento de Madrid requiriera a la entidad, por dos veces, que modifica-
se las cláusulas abusivas contrarias a la normativa de protección de datos y 8 meses
después de que esta Agencia requiriese por primera vez su modificación, la entidad re-
clamada, procede a modificar los contratos. Si a ello unimos que, muchos de los anti-
guos contratos, realizados antes del mes de noviembre de 2019, con las antiguas cláu-
sulas siguen activos, los hechos denunciados son claramente contrarios a los estipula-
do en el RGPD.
III
Los hechos expuestos podrían ser constitutivos de una infracción, imputable al
reclamado, por vulneración del artículo 13 del RGPD, donde se establece la
información que se debe proporcionarse al interesado en el momento de recogida de
sus datos personales, indicándose en el mismo que:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
15/22
“1. Cuando se obtengan de un interesado datos personales relativos a él, el
responsable del tratamiento, en el momento en que estos se obtengan, le facilitará
toda la información indicada a continuación:
a) la identidad y los datos de contacto del responsable y, en su caso, de su
representante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales y la base jurídica
del tratamiento;
d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses
legítimos del responsable o de un tercero;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su
caso;
f) en su caso, la intención del responsable de transferir datos personales a un tercer
país u organización internacional y la existencia o ausencia de una decisión de
adecuación de la Comisión, o, en el caso de las transferencias indicadas en los
artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las
garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o
al hecho de que se hayan prestado.
2.Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado, en el momento en que se obtengan los datos
personales, la siguiente información necesaria para garantizar un tratamiento de datos
leal y transparente:
a) el plazo durante el cual se conservarán los datos personales o, cuando no sea
posible, los criterios utilizados para determinar este plazo;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
16/22
b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los
datos personales relativos al interesado, y su rectificación o supresión, o la limitación
de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad
de los datos;
c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo
9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en
cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el
consentimiento previo a su retirada;
d) el derecho a presentar una reclamación ante una autoridad de control;
e) si la comunicación de datos personales es un requisito legal o contractual, o un
requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar
los datos personales y está informado de las posibles consecuencias de que no
facilitar tales datos;
f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se
refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información
significativa sobre la lógica aplicada, así como la importancia y las consecuencias
previstas de dicho tratamiento para el interesado.
3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos
personales para un fin que no sea aquel para el que se recogieron, proporcionará al
interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin
y cualquier información adicional pertinente a tenor del apartado 2.
4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la
medida en que el interesado ya disponga de la información”.
Por su parte, el artículo 72.1.h) de la LOPDGDD, considera muy grave, a efectos de
prescripción, “la omisión del deber de informar al afectado acerca del tratamiento de
sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del RGPD”.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
17/22
De acuerdo con los preceptos indicados, y sin perjuicio de lo que resulte de la
instrucción del procedimiento, a efectos de fijar el importe de la sanción a imponer en
el presente caso, se considera que procede graduar la sanción a imponer de acuerdo
con los siguientes criterios que establece el artículo 83.2 del RGPD:
a).- Como criterios agravantes:
- La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la
naturaleza, alcance o propósito de la operación de tratamiento de que se trate,
así como el número de interesados afectados y el nivel de los daños y
perjuicios que hayan sufrido. En nuestro caso, la entidad reclamada conocía
desde el mes de mayo de 2018, a través de las inspecciones del Ayuntamiento
de Madrid la existencia de cláusulas abusivas en el contrato que firmaba con
los clientes (apartado a).
- La intencionalidad o negligencia en la infracción. En el presente caso estamos
ante acción negligente pues no es hasta el segundo requerimiento de esta
Agencia, cuando la entidad reclamada modifica las cláusulas contrarias al
nuevo RGPD, (apartado b).
- Las categorías de los datos de carácter personal afectados por la infracción.
Los datos tratados son de marcado carácter personal y por tanto
identificadores de personas, (apartado g).
- La forma en que la autoridad de control tuvo conocimiento de la infracción. La
forma en que esta AEPD ha tenido conocimiento ha sido por la comunicación
de la infracción por parte del Ayuntamiento de Madrid, (apartado h).
b) Como criterios atenuantes:
- Medidas tomadas por el responsable o encargado del tratamiento para paliar
los daños y perjuicios sufridos por los interesados, al constatarse que se ha
modificado el contrato adaptándole al vigente RGPD, (apartado c).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
18/22
- La no existencia infracción anterior cometida por el responsable o el encargado
del tratamiento, por los mismos hechos, (apartado e).
- El grado de cooperación con la autoridad de control con el fin de poner remedio
a la infracción y mitigar los posibles efectos adversos, (apartado f).
El balance de las circunstancias contempladas en el artículo 83.2 del RGPD, con
respecto a la infracción cometida al vulnerar lo establecido en su artículo 13 permite
fijar una sanción de 5.000 euros, (cinco mil euros).
Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia
Española de Protección de Datos,
SE ACUERDA:
INICIAR: PROCEDIMIENTO SANCIONADOR a la entidad SCHOOL FITNESS
HOLIDAY & FRANCHISING, S.L. con CIF: B82887514, por la infracción del artículo 13
del RGPD, sancionable conforme a lo dispuesto en los art. 83 de la citada norma.
NOMBRAR: como Instructor a D. A.A.A., y Secretaria, en su ca-so, a Dª B.B.B.,
indicando que cualquiera de ellos podrá ser recusa-do, en su caso, conforme a lo
establecido en los art 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico
del Sector Público (LRJSP).
INCORPORAR: al expediente sancionador, a efectos probatorios, la reclamación
interpuesta por el reclamante y su documentación, los documentos obtenidos y
generados por la Subdirección General de Inspección de Datos durante la fase de
investigaciones, todos ellos parte del presente expediente administrativo.
QUE: a los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
19/22
pudiera corresponder sería de una multa de 5.000 euros, (cinco mil euros), sin
perjuicio de lo que resulte de la instrucción.
NOTIFICAR: el presente acuerdo de inicio de expediente sancionador a la entidad
SCHOOL FITNESS HOLIDAY & FRANCHISING, S.L., otorgándole un plazo de
audiencia de diez días hábiles para que formule las alegaciones y presente las
pruebas que considere convenientes.
Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo
podrá ser considerado propuesta de resolución, según lo establecido en el artículo
64.2.f) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de
las Administraciones Públicas (en lo sucesivo, LPACAP).
De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la
sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del
plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo
que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en
el presente procedimiento, equivalente en este caso a 1.000 euros. Con la aplicación
de esta reducción, la sanción quedaría establecida en 4.000 euros, resolviéndose el
procedimiento con la imposición de esta sanción.
Del mismo modo podrá, en cualquier momento anterior a la resolución del presente
procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que
supondrá una reducción de un 20% del importe de la misma, equivalente en este caso
a 1.000 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en
4.000 euros y su pago implicará la terminación del procedimiento.
La reducción por el pago voluntario de la sanción es acumulable a la que corresponde
aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento
de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular
alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida
en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En
este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría
establecido en 3.000 euros (tres mil euros).
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
20/22
En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará
condicionada al desistimiento o renuncia de cualquier acción o recurso en vía
administrativa contra la sanción.
Si se optara por proceder al pago voluntario de cualquiera de las cantidades señaladas
anteriormente, deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00
0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de
Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de
referencia del procedimiento que figura en el encabezamiento de este documento y la
causa de reducción del importe a la que se acoge.
Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de
Inspección para continuar con el procedimiento en concordancia con la cantidad
ingresada.
El procedimiento tendrá una duración máxima de nueve meses a contar desde la
fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio.
Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de
actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD.
Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP,
contra el presente acto no cabe recurso administrativo alguno.
Mar España Martí
Directora de la Agencia Española de Protección de Datos.
>>
SEGUNDO: En fecha 2 de julio de 2020, el reclamado ha procedido al pago de la
sanción en la cuantía de 3.000 euros haciendo uso de las dos reducciones previstas
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
21/22
en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la
responsabilidad.
TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a
la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía
administrativa contra la sanción y el reconocimiento de responsabilidad en relación con
los hechos a los que se refiere el Acuerdo de Inicio.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en el art. 47 de la Ley Orgánica 3/2018, de 5 de
diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en
lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos
es competente para sancionar las infracciones que se cometan contra dicho
Reglamento; las infracciones del artículo 48 de la Ley 9/2014, de 9 de mayo, General
de Telecomunicaciones (en lo sucesivo LGT), de conformidad con lo dispuesto en el
artículo 84.3 de la LGT, y las infracciones tipificadas en los artículos 38.3 c), d) e i) y
38.4 d), g) y h) de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la
información y de comercio electrónico (en lo sucesivo LSSI), según dispone el artículo
43.1 de dicha Ley.
II
El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica
“Terminación en los procedimientos sancionadores” dispone lo siguiente:
“1. Iniciado un procedimiento sancionador, si el infractor reconoce su
responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción
que proceda.
2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa
imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado
la improcedencia de la segunda, el pago voluntario por el presunto responsable, en
cualquier momento anterior a la resolución, implicará la terminación del procedimiento,
salvo en lo relativo a la reposición de la situación alterada o a la determinación de la
indemnización por los daños y perjuicios causados por la comisión de la infracción.
3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario,
el órgano competente para resolver el procedimiento aplicará reducciones de, al
menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables
entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de
iniciación del procedimiento y su efectividad estará condicionada al desistimiento o
renuncia de cualquier acción o recurso en vía administrativa contra la sanción.
El porcentaje de reducción previsto en este apartado podrá ser incrementado
reglamentariamente.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
22/22
De acuerdo con lo señalado,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DECLARAR la terminación del procedimiento PS/00135/2020, de
conformidad con lo establecido en el artículo 85 de la LPACAP.
SEGUNDO: NOTIFICAR la presente resolución a SCHOOL FITNESS HOLIDAY &
FRANCHISING, S.L.U..
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente
Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por
el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo
Común de las Administraciones Públicas, los interesados podrán interponer recurso
contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es