La AEPD declina sancionar a una clínica médico-estética por caducidad en el procedimiento tras no acreditar imágenes en redes sociales a pesar de presunta infracción del RGPD.

Resumen de la resolución

Una persona (parte reclamante) denunció a una empresa dedicada a tratamientos médico-estéticos (PUCHERONLINE, S.L.) por haber publicado en redes sociales —sin su consentimiento expreso para este fin— imágenes captadas durante un procedimiento médico. Según la reclamante, únicamente autorizó el uso de sus fotos para congresos médicos, pero no para plataformas como Instagram o YouTube. Pese a solicitar su retirada, alegó que una de las imágenes seguía accesible públicamente, lo que consideraba una vulneración de sus derechos sobre la protección de datos personales.

La empresa fue notificada para que presentara alegaciones y acreditara las medidas adoptadas para subsanar la situación. Transcurrido el plazo legal, las investigaciones determinaron que no constaba ninguna fotografía de la reclamante en las redes afectadas, lo que sugería que la imagen había sido eliminada. Sin embargo, el procedimiento sancionador se abrió al considerar presuntas infracciones contra los principios de licitud y limitación de la finalidad (arts. 6 y 9 del RGPD), tipificadas como graves según el art. 83.5 del mismo reglamento.

No obstante, el expediente terminó por caducidad debido a que, desde la iniciación del procedimiento sancionador (29 de octubre de 2024), habían transcurrido más de 12 meses sin que se dictara resolución expresa, incumpliendo el plazo máximo establecido en la normativa (art. 64 LOPDGDD y art. 25.1.b LPACAP). Esta caducidad no implica la prescripción de las posibles infracciones ni impide que la autoridad inicie un nuevo procedimiento si no ha prescrito la acción. La resolución declara el archivo definitivo de las actuaciones, si bien se notifica a la empresa para que conozca los motivos.