Sanción de 10.000 euros al propietario de un centro estético por publicar imágenes de una clienta sin su consentimiento

La Agencia Española de Protección de Datos (AEPD) ha sancionado al propietario de un centro de estética con una multa de 10.000 euros por haber compartido en sus redes sociales imágenes de una paciente, sin su consentimiento, del antes y el después de someterse a una cirugía.

Si bien es cierto que la paciente dio su consentimiento a la doctora que le realizó la operación estética a tomarle fotografías el día de la operación, dicho consentimiento se otorgó “con fines médicos, científicos o educativos”, acordando además que su identidad no sería revelada en las imágenes.

Sin embargo, a los pocos años de que se hubiese realizado dicha intervención quirúrgica, la doctora envió las imágenes al propietario de la clínica, quién compartió las fotografías, sin tener el consentimiento de la paciente, en las cuentas que tiene el centro estético en Facebook e Instagram.

(Imagen: E&J)

Se publicaron datos sensibles de la paciente sin su consentimiento

La resolución administrativa dictada por la AEPD (disponible en el botón ‘descargar resolución’) llega a raíz de que la paciente, tras conocer que sus imágenes se habían distribuido a terceros, interpusiera una reclamación ante el organismo público que dirige Mar España.

En el presente caso, la mujer acudió en el año 2017 a la clínica estética, donde se sometió a una operación que fue realizada por una cirujana plástica que tenía arrendado el espacio médico al propietario de la clínica (es decir, al ahora sancionado). No obstante, el acuerdo de uso de las instalaciones entre el propietario y la doctora no entró en vigor hasta 2020, tiempo después de que la paciente ya se hubiese realizado la operación.

En el año 2022, la paciente descubrió que la clínica había publicado imágenes de ella durante su procedimiento estético en su perfil de Instagram y Facebook, concretamente fotografías del antes y el después de la intervención quirúrgica.

La mujer, que dio su consentimiento a la doctora para que tomara esas imágenes, lo hizo para que dichas fotografías fueran usadas con fines médicos, científicos y educativos, y siempre que se conservara su anonimato; lo que no se respetó ya que la imagen no estaba pixelada y, además, se habían publicado sin contar con el consentimiento de la paciente.

La Agencia Española de Protección de Datos, tras realizar las debidas investigaciones, determinó que el propietario de la clínica había vulnerado los derechos de protección de datos de la paciente.

En consecuencia, se acordó sancionar al propietario con una cantidad total de 10.000 euros —una multa de 5.000 euros por la infracción del artículo 6.1 del Reglamento General de Protección de Datos, ya que no contó con el consentimiento explícito de la mujer para el tratamiento de sus datos personales; y una segunda multa de 5.000 euros por la infracción del artículo 9 del mismo Reglamento, debido a que las imágenes difundidas revelaban información sensible como son los datos de salud, y en este caso, sobre una intervención quirúrgica —.

(Imagen: E&J)

El sancionado recurrió la resolución de la AEPD

El propietario, por su parte, ha recurrido la sanción de la AEPD. En el recurso, el sancionado defendía que él no era responsable del tratamiento de las fotografías de la clienta porque él no era cirujano, sino que él es el propietario del local. Asimismo, el hombre alegaba que publicó las imágenes porque daba por hecho que la doctora que tomó las imágenes contaba con el consentimiento del cliente para difundirlas en redes sociales.

Por último, el propietario negaba que hubiese difundido las imágenes con la intención de publicitar su cínica —como razonó la AEPD—: “La AEPD en su resolución manifiesta que la publicación de dichas fotografías presupone un lucro para mi clínica, siendo totalmente falso, porque como ya indiqué no soy cirujano plástico, no realizo operaciones estéticas, por lo que no obtengo beneficio alguno”, defendía el sancionado en el recurso.

No obstante, la Agencia Española de Protección de Datos ha desestimado las alegaciones del recurrente y, por ende, el recurso; ratificando así la multa que se impuso en su día al propietario del centro estético.

El propietario de la clínica es el único responsable

La AEPD afirma que, independientemente de que éste —el propietario—no sea cirujano y de que no publicase las imágenes con fines lucrativos, la realidad es que es el único responsable de la difusión de las fotografías de la paciente sin su consentimiento.

Pues, aunque el propietario no es cirujano, ejercía como responsable del tratamiento de los datos personales de los pacientes que atendían en su centro y, además, se encargaba de la publicidad, de las redes sociales y de la atención a los medios.

Asimismo, la Agencia Española de Protección de Datos ha razonado que, aunque la doctora y el propietario de la clínica firmaron en el año 2020 un acuerdo de tratamiento de datos, dicho acuerdo no exime al hombre de su responsabilidad en la publicación de las imágenes, ya que la operación se había realizado en 2017, es decir, años antes de que entrara en vigor dicho contrato.