Multa de 7.000 euros a una clínica de depilación láser por pasarle a otro negocio el historial de un cliente que se opuso

Ante su indefensión, recurrió a la Agencia Española de Protección de Datos (AEPD), que con fecha 23 de diciembre de 2024, acordó iniciar procedimiento sancionador a la clínica estética, por la presunta infracción del artículo 6.1 del Reglamento General Protección de Datos (RGPD), tipificada en el Artículo 83.5.a) del RGPD referido al tratamiento de datos personales.

Ahora, tras no haber habido alegaciones y haber quedado acreditado la vulneración de la citada normativa, la Agencia Española de Protección de Datos ha resuelto imponer una sanción administrativa de 7.000 euros. Y lo hace de acuerdo a varios argumentos. En primero lugar, basándose en la «naturaleza, gravedad y duración de la infracción», pues en la resolución consultada por este periódico el reclamante mostró su disconformidad con la cesión de sus datos personales en mismo día en que se le informó de la misma (condicionada a que no fuera rechazada) y con suficiente antelación a la fecha en la que dicha cesión iba a formalizarse, la parte reclamada hizo caso omiso de tal rechazo y, aun así, cedió los datos personales del reclamante.

En segundo lugar, por la intencionalidad o negligencia en la infracción (artículo 83.2, letra b), del RGPD), pues la cesión de los datos personales del reclamante se efectuó a pesar de contar con la oposición expresa del titular y, por lo tanto, produciéndose una actuación intencionada por la parte de la empresa.

Y en tercer lugar, por las categorías de los datos de carácter personal afectados por la infracción, ya que la información que fue objeto de cesión a un tercero -sin base de legitimación para ello- contenía, además de los datos de contacto de la persona afectada, información incluida en su historia clínica y su DNI.