¿Puede un gimnasio grabarte o hacerte fotos durante una clase solo por haber reservado plaza? ¿Es suficiente un aviso genérico en la APP o en la web para entender que estás dando tu consentimiento?
La Agencia Española de Protección de Datos (AEPD), ha sancionado recientemente por esto hecho, con 15.000 euros a la empresa matriz de un conocido grupo de gimnasios Holiday Fit, por grabar y difundir imágenes de clientes durante actividades deportivas sin contar con un consentimiento válido.
Este caso —recogido en la resolución del expediente EXP202309454— refleja perfectamente como estas prácticas normalizadas en gimnasios, para promocionarse en Redes Sociales, pueden vulnerar gravemente los principios del Reglamento General de Protección de Datos (RGPD).
A continuación, exponemos los hechos que se pusieron en conocimiento de esta autoridad y que fueron objeto de sanción:
El reclamante afirma que, el día 9 de mayo de 2023 se percató de la existencia de un teléfono móvil junto a la ventana de una de las salas, en lo que considera una ubicación escogida por el monitor para poder grabar la clase impartida. Indica que, se ha opuesto en reiteradas ocasiones a la recogida y uso de su imagen en las clases en las que participa, pero que se le hace caso omiso.
Por su parte la empresa matriz (posicionándose erróneamente en su rol como corresponsable de las grabaciones), alegó que las personas firmaban un contrato que incluía una cláusula genérica de consentimiento en el contrato de adhesión, y que se pedía además consentimiento verbal al inicio de cada clase. La grabación se realizaba con un móvil corporativo y posteriormente dichas imágenes se publicaban en las Redes Sociales de la cuenta del Grupo. En caso de que alguna persona indique que no quiere ser grabada, se le solicita que se retire para no salir en la grabación o que abandone el aula durante ese momento.
El consentimiento como base de legitimación no se presume
La Agencia nos recuerda que la imagen de una persona es un dato personal. (artículo 4.1 del RGPD), y cualquier acción sobre ella —captación, almacenamiento, publicación— es un tratamiento conforme al artículo 4.2 del RGPD:
«La grabación y publicación de imágenes y vídeos captados durante las clases impartidas en gimnasios supone un tratamiento de datos personales por cuanto la imagen es un dato personal«
Por tanto, grabar clientes mientras entrenan requiere cumplir todas las exigencias del RGPD.
El artículo 6 del RGPD determina en su apartado 1 los supuestos en los que la normativa permite realizar el tratamiento de datos personales de un tercero, que se denominan como “bases de licitud”. Si no concurre alguno de estos supuestos o condiciones, el tratamiento no será legítimo, o considerado lícito por el RGPD.
En el presente caso, de la documentación que obra en el expediente se infiere que el consentimiento del interesado constituiría la base jurídica que legitimaría al gimnasio local a realizar el tratamiento consistente en la grabación y publicación de imágenes y vídeos de los clientes durante las clases que se imparten en sus instalaciones. Ello se desprende de las afirmaciones realizadas por la entidad en el sentido de que los clientes habrían consentido a la grabación de las imágenes y a su posterior difusión.
En este sentido los representantes del gimnasio manifestaron durante la inspección presencial realizada por esta Agencia, en fecha 19 de diciembre de 2023, que el consentimiento es la base jurídica que ampara el tratamiento de datos personales consistente en la grabación y publicación de imágenes y vídeos de los clientes. En concreto, señalaron que (i) “El consentimiento para la grabación, además de las cláusulas contractuales, se recaba de forma verbal al inicio de cada clase que vaya a ser grabada.
Por su parte El artículo 7 del RGPD y el artículo 6 de la LOPDGDD se refieren a las circunstancias que deben concurrir para el otorgamiento del consentimiento:
- Expreso
- Libre
- Informado
- Inequívoco
Por tanto, el consentimiento tácito o por omisión no cumple los requisitos exigidos por el artículo 7 del RGPD. La mera permanencia en el aula o la reserva de plaza en una actividad no puede interpretarse como un consentimiento válido para la grabación y posterior difusión de la imagen del interesado.
Sobre estas cuestiones, las Directrices 5/2020 del CEPD ofrecen unos mecanismos para ayudar a la interpretación de estos criterios y a su cumplimiento por los responsables de los tratamientos. De lo indicado en este documento, interesa destacar algunos aspectos relacionados con la validez del consentimiento, en concreto sobre los elementos “específico”, “informado” e “inequívoco”.
Sin embargo, en el caso que nos ocupa, el consentimiento recabado y presuntamente otorgado por el interesado no reuniría los 4 presupuestos legalmente exigidos.
Por tanto, se evidencia que en las “Cláusulas de contratación”, la información relativa al otorgamiento del consentimiento para la grabación y publicación de imágenes y vídeos del interesado resulta confusa. Si bien parece que el interesado es libre para otorgar su consentimiento a fin de que se pueda utilizar su imagen en la web y redes sociales, en la práctica, no cumpliría las condiciones del consentimiento al no ser libre e informado. Pues, la firma del documento conlleva la aceptación íntegra y expresa de todas las cláusulas del contrato y, por tanto, del tratamiento de su imagen también, como se desprende de la siguiente cláusula: “Condiciones de contratación: (…) acepto el contrato incluyendo sus condiciones generales y específicas y las normas del gimnasio, y acepto expresamente el tratamiento de mis datos personales por parte de la empresa con los fines recogidos en el presente contrato/condiciones generales de contratación”
Por último, cabe señalar que, si bien ambas entidades manifiestan que el consentimiento del interesado también se recoge verbalmente al inicio de las grabaciones, no consta en la documentación del expediente administrativo prueba alguna que así lo acredite.
Por tanto, en este supone una clara infracción del artículo 6 del RGPD, que establece las condiciones de licitud del tratamiento, por tanto, en este caso podemos concluir que:
- No basta con cláusulas genéricas en el contrato: el consentimiento debe ser explicito y específico para cada finalidad concreta.
- No puede presumirse el consentimiento por la mera participación o reserva de plaza.
- Tampoco se ofrecía una alternativa real: quienes no querían ser grabados debían retirarse de la zona o abandonar la clase, lo vulnera el principio de consentimiento libre. Debe garantizarse el derecho de acceso a la actividad sin renunciar a la privacidad.
Vulneración del art. 28 RGPD: atribución errónea de corresponsabilidad: Relación de responsable y encargado
Aunque existía un acuerdo de corresponsabilidad entre el gimnasio local y la empresa matriz, la AEPD concluye que la matriz era, de facto, el verdadero responsable del tratamiento conforme al artículo 4.7 del RGPD, al determina los fines y medios del tratamiento consistente en la grabación y publicación de imágenes y vídeos a fin de promocionar la marca comercial.
El gimnasio, actuaba simplemente como encargado del tratamiento, siguiendo instrucciones de la matriz.
No obstante, en los documentos que rigen las relaciones entre ambas entidades ello no se ve reflejado ni, en consecuencia, se incluyen los extremos a que obliga el artículo 28.3 del RGPD.
La atribución errónea de los roles de responsable y encargado del tratamiento supone la falta de una atribución clara de responsabilidades entre ambas figuras, impidiendo al responsable del tratamiento cumplir con las obligaciones que le impone el RGPD para procurar la protección debida respecto de los datos personales que se tratan por su cuenta en relación con el control de proceso de entrega que lleva a cabo.
En conclusión, dicho contrato regula y ordena cómo se va a desarrollar la relación entre el responsable y su encargado del tratamiento con el claro objetivo de brindar una adecuada protección de los derechos y libertades de los interesados, cuyos datos se están tratando. Lo cual no ha tenido lugar en las relaciones que rigen entre ambas entidades respecto de la grabación y publicación de imágenes y vídeos de los clientes del gimnasio en la web y redes sociales a fin de promocionar la marca comercial.
Por tanto, de conformidad con las evidencias de las que se dispone, se considera que los hechos conocidos podrían ser constitutivos de una infracción, por vulneración del artículo 28 del RGPD.
Para terminar ¿qué deberían aprender los gimnasios antes de llevar a cabo estas grabaciones?
- El consentimiento debe ser expreso y demostrable, no implícito ni enmascarado en clausulas genéricas.
- No se puede condicionar el acceso a servicios a la aceptación del uso de imagen.
- La información debe ser completa y fácilmente accesible.
- Debe garantizarse una opción real y libre de participar sin ser grabado.
Esta resolución es un aviso claro para los gimnasios y cualquier entidad que capture imágenes de sus clientes: el consentimiento no se presume, no se fuerza y no se esconde en cláusulas genéricas.
