Una clínica estética sancionada con una multa de 10.000 euros por publicar imágenes del “antes y después” sin consentimiento

La Agencia Española de Protección de Datos (AEPD) ha sancionado a una clínica de cirugía estética por publicar en redes las imágenes del “antes y después” de una operación sin contar con el consentimiento explícito del paciente para esos fines. Ahora deberán pagar una multa de 10.000 euros a la afectada, ya que ella solo había dado su autorización para fines médicos o educativos.

Las imágenes, que capturaban el resultado de la cirugía, fueron compartidas en los perfiles de Facebook e Instagram de la clínica con fines publicitarios. El paciente, al descubrir la publicación de sus imágenes en las redes sociales, presentó una reclamación ante la AEPD, que inició un procedimiento sancionador. En su análisis, la agencia verificó que las imágenes efectivamente fueron difundidas sin la autorización explícita del paciente para ese tipo de uso. Las fotos habían sido publicadas con el objetivo de promocionar la clínica, a pesar de que el propietario no era el responsable directo de la cirugía.

En su defensa, el propietario alegó que no era cirujano plástico y que, por lo tanto, no obtenía ningún tipo de beneficio directo de la publicación de las fotografías. Además, afirmó que las imágenes fueron facilitadas por la cirujana responsable de la operación, quien tenía el consentimiento del paciente. También argumentó que su rol se limitaba a actuar como encargado del tratamiento de datos, y no como el responsable del tratamiento, ya que las fotos se habían utilizado para promover una actividad en la que él no participaba directamente.

Una vez presentada la reclamación por parte del paciente, el demandado procedió a retirar las imágenes de las redes sociales de la clínica y realizó un “barrido” en Google para asegurarse de que no quedaran accesibles en ninguna otra plataforma. Además, tomó medidas para garantizar que las imágenes de otros pacientes en sus redes sociales contaran con el debido consentimiento informado o fuesen pixeladas.

A pesar de los argumentos del propietario, la AEPD concluyó que el uso de las imágenes en redes sociales implicaba un beneficio comercial para la clínica, aunque él no realizara personalmente las intervenciones quirúrgicas. La agencia señaló que el hecho de haber publicado las fotos sin el consentimiento adecuado.

Los artículos del RGPD

La sanción se desglosa en dos multas de 5.000 euros cada una, por la infracción de los artículos 6.1 y 9 del Reglamento General de Protección de Datos (RGPD), que regulan el tratamiento lícito de datos personales y el tratamiento de datos sensibles, respectivamente.

El artículo 6.1 establece que el tratamiento de datos personales solo es lícito si se cuenta con una base jurídica válida, como el consentimiento explícito del interesado. En este caso, el paciente había otorgado su consentimiento únicamente para que las fotografías fueran utilizadas con fines científicos y educativos, pero no para su uso comercial en la promoción de la clínica en redes sociales. Por lo tanto, la publicación en Facebook e Instagram de las imágenes del “antes y después” de la operación infringió este principio fundamental de protección de datos.

El artículo 9 del RGPD hace referencia al tratamiento de datos sensibles, como los relativos a la salud. Para tratar este tipo de información, se requiere un consentimiento explícito y específico por parte del titular. En este caso, aunque las imágenes fueron captadas en el contexto de una intervención médica, el consentimiento del paciente no incluía la divulgación pública de las fotografías con fines comerciales, lo que constituyó una infracción adicional.