← España

AI-00082-2022

1/17  Expediente N.º: EXP202104931 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Doña A.A.A. (en adelante, la parte reclamante), con fecha 11 de octubre de 2021, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el AYUNTAMIENTO DE BURGOS, con NIF P0906100C (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La reclamante expone que el Ayuntamiento de Burgos adjudicó a una empresa el servicio de las tres escuelas infantiles municipales que actualmente tiene. Según afirma, ni el pliego de condiciones administrativas ni en las prescripciones técnicas ni en el objeto del contrato se contempla la posibilidad de que el adjudicatario gestione la matrícula de acceso a las escuelas infantiles. La reclamante manifiesta que a las personas que han solicitado la matrícula de sus hijos, entre quienes se encuentra ella, se les ha obligado a remitir la documentación a la empresa privada adjudicataria que no tiene adjudicada la gestión de la matriculación, por correo electrónico, a una dirección que no pertenece a la entidad reclamada. La reclamante significa que en el impreso de matrícula no se informa de quién es el destinatario de esos correos y de la documentación presentada, ni de quien es el responsable de la gestión, ni del tratamiento de los datos, ni se prevé una autorización expresa para el tratamiento de los datos por la empresa. El 14 de agosto de 2021 la reclamante planteó estas cuestiones ante el delegado de protección de datos del Ayuntamiento de Burgos y no le han contestado. Junto a la reclamación aporta la nota informativa de la matrícula del curso 2021/22 en convocatoria ordinaria y extraordinaria publicadas en la web de la entidad reclamada, el impreso de matrícula firmado el 7 de julio de 2021 y el escrito remitido por registro electrónico al delegado de protección de datos de 14 de agosto de 2021. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/17 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 1 de diciembre de 2021, como consta en el acuse de recibo que obra en el expediente. No se ha recibido respuesta a este escrito de traslado. TERCERO: Con fecha 11 de enero de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 28 de enero de 2022 se recibe escrito de desistimiento de la reclamación de la parte reclamante. No obstante, con fecha 10 de febrero de 2022 se informa a la parte reclamante que las investigaciones de la AEPD se continuaran. QUINTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Realizado requerimiento de información a la parte reclamada en fecha 4 de marzo de 2022, el 22 de marzo se recibe escrito de respuesta donde aporta los documentos siguientes: - Doc_1_Contrato_escuelas_infantiles.pdf Doc_2_BASES_CONVOCATORIA_21_22.pdf Doc_3_NOTA_INFORMATIVA_MATRICULA_CONV_ORD.pdf Doc_4_NOTA_INFORMATIVA_MATRICULA_CONV_EXT.pdf Doc_5_solicitud_plaza_firmado.pdf Doc_6_orden_SEPA.pdf Doc_7_Mediacion.pdf Y manifiesta que: 1.- Las Bases y Convocatoria de solicitud de plazas para las Escuelas Infantiles Municipales para el año 2021- 20222, fueron aprobadas por el Consejo de la Gerencia de Servicios Sociales, Juventud e Igualdad de Oportunidades, en fecha 26 de febrero de 2021. 2.- El plazo de presentación de solicitudes, según las Bases, era del 22 de marzo al 5 de abril de 2021. Dentro del plazo previsto para ello, el 29 de marzo de 2021, los padres de la menor […] solicitan plaza para su hija […] en la Escuela Infantil “***ESCUELA.1”. 3.- Las Bases establecen un plazo de formalización de matrícula entre el 22 y el 30 de junio, indicando expresamente que en el caso de no formalizar la matrícula en el plazo indicado el/la menor perderá la plaza, tanto en el centro en el que la haya obtenido como en el resto de opciones que, en su caso, hubiera contemplado en la soliciC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/17 tud. Los padres de la menor reconocen haber presentado la matrícula de su hija, el 6 de julio de 2021, es decir fuera de plazo, y al no recogérsela por este motivo, la vuelven a presentar a través del Punto de Acceso General. 4.- Al perder el derecho de acceso la menor, como consecuencia de la formalización fuera de plazo, […] [la madre] formula, con fecha de registro de entrada 7 de julio de 2021, recurso de reposición contra la Nota Informativa para la matrícula en las Escuelas Infantiles 2021-2022, solicitando la anulación de su contenido; así como contra la resolución tácita por la que se deniega la plaza de su hija, solicitando declarar nula la resolución por no haber seguido el trámite establecido y haber derivado de una potestad administrativa ejercida por órgano manifiestamente incompetente. Asimismo, solicita que se cumplimente de forma inmediata el trámite de comunicación de la cuota mensual con carácter previo a la matriculación a que obliga la Base 8 de la Convocatoria, de forma fehaciente y con garantías para los interesados (por escrito), y que una vez cumplimentado el trámite anterior, se la conceda un nuevo plazo para la presentación de matrícula en la forma en que se ha establecido en las Bases de la Convocatoria y en la Ley de Procedimiento Administrativo 39/2015 (en los centros y lugares permitidos por la norma citada y con registro que confirme el número, fecha y hora de la presentación) y sin que intervengan personas ajenas a la función pública. 5.- Con fecha de registro de entrada, 17 de agosto de 2021, […] [la madre] formula recurso de alzada, contra la resolución presunta por transcurso del plazo del recurso de reposición, reiterando de nuevo lo solicitado en el recurso de reposición que damos por reproducido. 6.- Con la misma fecha de 17 de agosto de 2021 interpone ante el juzgado de lo contencioso administrativo de Burgos recurso contencioso administrativo para que su hija pueda acceder a la Escuela Infantil Municipal de ***ESCUELA.1 de esta capital. Desestimando la medida cautelar propuesta por la actora. 7.- Con la misma fecha de 21 de agosto de 2021 interpone recurso especial en materia de contratación ante el Tribunal de recursos administrativos de Castilla y León (TARCYL). Recurso que es inadmitido por resolución del TARCYL 126/2021, de fecha 9 de septiembre de 2021. 8.- Mediante acto de mediación celebrada el día 28 de enero de 2022 en el juzgado de lo contencioso administrativo nº X de Burgos, correspondiente al procedimiento ordinario ***PROCEDIMIENTO.1 y en atención a la propuesta realizada en dicha sede por el Sr. Magistrado, de manera excepcional y fundamentado en el interés superior de la menor, se habilitó desde el 1 de febrero de 2022 una plaza por encima de ratio en la Escuela Infantil Municipal “***ESCUELA.1” para la menor […] para lo que resta del curso escolar 2021/22. En cuanto al fondo de la reclamación indica: PRIMERO.- La reclamante alega que el Ayuntamiento de Burgos ha adjudicado a una empresa el servicio de tres Escuelas Infantiles Municipales sin que en el pliego de condiciones administrativas ni en las prescripciones técnicas, ni en el objeto de contrato se contemple la posibilidad de que el adjudicatario gestione la matrícula de acceso a esas escuelas. Alega que se la ha obligado a remitir la documentación, por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/17 correo electrónico a la empresa privada adjudicataria que no tiene adjudicada la gestión de la matriculación, que en el impreso de matrícula no se informa quién es el destinatario de esos correos y de la documentación presentada, ni quién es el responsable de la gestión, ni del tratamiento de los datos por la empresa ni se prevé una autorización expresa para el tratamiento de datos por la empresa. SEGUNDO.- Efectivamente como afirma la reclamante con fecha 13 de julio de 2020, la Gerencia Municipal de Servicios Sociales, Juventud e Igualdad de Oportunidades del Ayuntamiento de Burgos, formaliza un contrato con la mercantil Arasti Barca MA S.L., para la gestión del servicio de las Escuelas Infantiles Municipales del Ayuntamiento de Burgos. Se adjunta copia de dicho contrato. Al respecto, señalan que es habitual que los responsables del tratamiento para cumplir sus funciones necesiten contar, en determinadas ocasiones, con la colaboración de otras personas o entidades que no forman parte de su organización; su establecimiento debe producirse dentro de un marco respetuoso con los derechos de los afectados. En este caso el Ayuntamiento, como responsable del tratamiento de los datos personales de los usuarios del servicio de Escuelas Infantiles, ha adjudicado la gestión de las mismas a una empresa externa, ARASTI BARCA MA S.L., por lo que no es de extrañar que está empresa por razón del servicio que desempeña, tenga acceso a los datos recogidos en los impresos de matrícula, siendo lícito ese tratamiento en base a lo establecido en el art. 6 del Reglamento (UE) 2016/679; y art.6 de la LOPDGDDD, siempre que se haga como parte de la gestión de las Escuelas. Al respecto, señalan el criterio de la Agencia Española de Protección de Datos en su Informe del Gabinete Jurídico 809/2019 que indica: “Con carácter general, debe entenderse que la contratación público-administrativa sometida al marco jurídico de la Ley 9/2017, de 8 de noviembre, de Contratos del Sector Público, confiere a la entidad pública contratante -esto es, a la Administración pública, órgano administrativo o ente público actuante- la cualidad de “responsable de los tratamientos” derivados de su actividad contractual en la gestión de los servicios públicos de competencia local. En consecuencia, también con carácter general, las entidades contratadas por la Administración pública o por los órganos administrativos para la prestación de servicios públicos, tendrán la consideración de “encargadas del tratamiento”. En el contrato indicado se establecen distintas cláusulas con el objeto de cumplir con lo establecido en la normativa nacional y europea sobre el tratamiento de los datos personales a los que tendría acceso la empresa adjudicataria con motivo de la gestión del servicio municipal adjudicado. Y así, la cláusula novena del contrato de adjudicación, referente a la confidencialidad, en el segundo párrafo dice: “….De igual modo, el contratista deberá respetar el carácter confidencial de aquella información a la que tenga acceso con ocasión de la ejecución del contrato a la que se hubiese dado el referido carácter en los pliegos o en el contrato, o que su propia naturaleza deba ser tratada como tal. Este deber se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/17 mantendrá durante un plazo de cinco años desde el conocimiento de esa información, salvo que los pliegos o el contrato establezcan un plazo mayor.” En la cláusula decimocuarta en relación con las obligaciones del adjudicatario, en la letra

  1. o)establece que: “El adjudicatario se compromete a guardar el debido sigilo y respeto, respecto de los asuntos que conozca por razón del servicio que desempeña. Cumpliendo y haciendo cumplir a sus empleados lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, y la LO.3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales”. Por su parte, la letra
  2. u)dice: “Se establece como condición especial de ejecución la obligación del contratista de someterse a la normativa nacional y de la Unión Europea en materia de protección de datos, advirtiéndose además al contratista de que esta obligación tiene el carácter de obligación contractual esencial de conformidad con los dispuesto en la letra
  3. f)del apartado 1 del artículo 211 de la Ley 9/2017, de 8 de noviembre de Contratos del Sector Público (LCSP)” La cláusula decimosexta referente a la protección de datos de carácter personal establece que. “Las empresas adjudicatarias estarán sujetas a lo que determine el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, y la LO. 3/2018, de 5 de diciembre de Protección de Datos Personales y garantía de los derechos digitales, cuando en el cumplimiento del contrato y en nombre del Ayuntamiento deban recoger, tener acceso o gestionar datos de carácter personal. Las empresas adjudicatarias serán responsables de que los empleados a su cargo respeten la confidencialidad de los datos, que los datos que se obtengan sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades para las que se haya obtenido. Las empresas adjudicatarias deberán contar con un inventario actualizado de los ficheros que hayan creado con Datos de Carácter Personal, en el que se describan las características siguientes: - Descripción del fichero - Localización física - Estructura de los Datos - Finalidad del fichero - Personas o colectivos sobre los que se obtienen los datos - Procedencia y procedimiento de recogida de datos - Uso de los datos - Relación de personas autorizadas a acceder al fichero. El responsable de Seguridad de Datos del Ayuntamiento tendrá libre acceso a esta documentación. La recogida de datos de carácter personal por parte de las empresas adjudicatarias deberá garantizar el derecho a la información de los interesados. En este sentido deberán informar de modo expreso mediante avisos legales en carteles visibles o en los formularios de la existencia del fichero, así como del derecho de acceso, rectificación, cancelación y oposición. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/17 La empresa adjudicataria deberá aportar las medidas de seguridad necesarias para garantizar la seguridad de los datos en los lugares donde ubiquen ficheros o archivos con datos de carácter personal. El adjudicatario y, en especial, el responsable del tratamiento deberá cumplir:
  4. a)La finalidad para la cual se cederán dichos datos, que no es otra que las propias de la gestión de las tres Escuelas Infantiles Municipales, así como colaborar con el Ayuntamiento de Burgos en la recaudación de precio público correspondiente a la ordenanza municipal.
  5. b)La obligación del futuro contratista de someterse en todo caso a la normativa nacional y de la Unión Europea en materia de protección de datos, sin perjuicio de lo establecido en el último párrafo del apartado1del artículo 202.
  6. c)La obligación de la empresa adjudicataria de presentar antes de la formalización del contrato una declaración en la que ponga de manifiesto dónde van a estar ubicados los servidores y desde dónde se van a prestar los servicios asociados a los mismos.
  7. d)La obligación de comunicar cualquier cambio que se produzca, a lo largo de la vida del contrato, de la información facilitada en la declaración a que se refiere la letra
  8. c)anterior.
  9. e)La obligación de los licitadores de indicar en su oferta, si tienen previsto subcontratar los servidores o los servicios asociados a los mismos, el nombre o el perfil empresarial, definido por referencia a las condiciones de solvencia profesional o técnica, se los subcontratistas a los que se vaya a encomendar su realización. El responsable de seguridad del Ayuntamiento tendrá la facultad de verificar in situ cualquier aspecto relacionado con la protección de datos de carácter personal. El Ayuntamiento facilitará a las empresas adjudicatarias datos de carácter personal de los ficheros municipales solamente cuando dicho acceso sea necesario para la prestación del servicio que se contrata. En este caso, las empresas adjudicatarias están obligadas a mantener intacta la cadena de responsabilidad y de protección de los datos facilitados. Una vez concluida la prestación del contrato, las empresas adjudicatarias están obligadas a entregar al Ayuntamiento todos los soportes que contengan datos de carácter personal o proceder a su destrucción según se acuerde entre las partes. En este último caso la empresa deberá presentar un certificado que acredite su destrucción. Para la destrucción de ficheros en soporte papel se deberán utilizar necesariamente destructoras de papel.” La cláusula decimonovena, que regula el incumplimiento de contrato, establece en su apartado
  10. c)los incumplimientos muy graves, entre ellos en el punto 7 regula “El incumplimiento de las obligaciones recogidas en las letras
  11. a)a
  12. e)de la cláusula 31 del presente pliego en que respecta a la Protección de datos de carácter personal…” En este caso es lícito el tratamiento que se ha hecho de los datos personales facilitados por la reclamante en la matrícula, sin que hayan sido utilizados para una fiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/17 nalidad ajena a lo que es la propia gestión de las Escuelas Infantiles, cumpliendo estrictamente con la normativa vigente sobre Protección de Datos. TERCERO. - No es cierto lo que se afirma de contrario, respecto a que se les ha obligado a remitir la documentación por correo electrónico a la empresa privada adjudicataria que no tiene adjudicada la gestión de la matriculación, puesto que había otras opciones. La Base 5ª de la Convocatoria relativa a “los plazos y procedimiento de solicitud de plaza”, permite subsidiariamente, sólo si la familia carece de certificado personal y de los medios técnicos necesarios para realizar la inscripción vía correo electrónico, presentar la solicitud y el resto de documentación en el Registro General del Ayuntamiento. También en las Notas Informativas relativa a la matrícula curso 2021/22, de fecha 21 de junio y 4 de agosto, de 2021 se da una opción, si bien de forma excepcional, de poder formalizar la matrícula de forma presencial, llamando a la Escuela, opción que pudo haber escogido. Se adjuntan las Bases de la Convocatoria, y las Notas Informativas de 21 de junio y de 4 de agosto de 2021.” Durante la investigación se ha comprobado que en la Base 5ª de la Convocatoria dispone: “Deberá presentarse la solicitud de acuerdo a modelo normalizado disponible en la web municipal. […] Los padres/madres o tutores de los niños/as que asisten al presente curso escolar, así como aquéllos que deseen solicitar plaza de nuevo acceso a las Escuelas Infantiles Municipales para el curso escolar 2021-22, deberán presentar la Solicitud de la siguiente forma: 1) Aquellas familias que disponen de certificado digital, lo harán a través del registro electrónico común: ***URL.1. 2) Si no disponen de certificado digital, la solicitud y envío de documentación se realizará enviando por correo electrónico la solicitud y el resto de documentos digitalizados a la dirección de las Escuelas infantiles Municipales: ***EMAIL.1. 3) Subsidiariamente, sólo si la familia carece de certificado digital y de los medios técnicos necesarios para realizar la inscripción vía correo electrónico, podrá presentar la solicitud y el resto de documentación en el Registro General del Ayuntamiento.” Durante la investigación se ha comprobado que en la NOTA INFORMATIVA RELATIVA A LA MATRÍCULA CURSO 2021/22 de 21 de junio de 2021 y en la NOTA INFORMATIVA RELATIVA A LA MATRÍCULA CURSO 2021/22 CONVOCATORIA EXTRAORDINARIA de 4 de agosto de 2021 se dan las siguientes instrucciones: “Los padres/madres o tutores/as de los niños y niñas admitidos/as podrán formalizar la matrícula debiendo aportar la siguiente documentación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/17
  13. a)Formulario de matrícula (Modelo oficial)
  14. b)Dos fotografías del/la niño/a (tamaño carnet).
  15. c)Fotocopia de la tarjeta sanitaria o del seguro médico donde está incluido/a el/la niño/a.
  16. d)Fotocopia de la cartilla de vacunaciones (que deberá estar actualizada con sello del centro de Salud).
  17. e)Autorización domiciliación bancaria (Modelo oficial) El formulario de matrícula y el modelo de domiciliación bancaria podrán descargarse de la página web del Ayuntamiento de Burgos: ***URL.2 La matrícula y la documentación a adjuntar, deberán remitirse por correo electrónico al Centro donde matricule y deberán estar firmados como requisito de validez. Contactos de las Escuelas: - Escuela Infantil “***ESCUELA.2”: ***EMAIL.3 - Escuela Infantil “***ESCUELA.1”: ***EMAIL.2 - Escuela Infantil “***ESCUELA.3”: ***EMAIL.4 De forma excepcional, cuando no puedan formalizar la matrícula por medios electrónicos, podrán hacerlo presencialmente, llamando a la Escuela donde vaya a matricular, y debiendo ajustarse en este caso a la cita que le indiquen.” CUARTO.- Por lo que se refiere a lo alegado de contrario respecto a que en el impreso de matrícula no se informa quién es el destinatario de los correos y de la documentación presentada, ni quién es el responsable de la gestión, ni del tratamiento de los datos por la empresa, ni se prevé una autorización expresa para el tratamiento de datos por la empresa, hemos de señalar que en el impreso de solicitud de plaza para el curso 2021/2022, en Escuelas Infantiles del Ayuntamiento de Burgos, se recoge un párrafo con el siguiente tenor literal: “De conformidad con la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales, los datos personales recogidos en la tramitación de este procedimiento de admisión, cuyo tratamiento y publicación es autorizado por los participantes en el mismo, serán incluidos en un fichero cuyo objeto será gestionar el presente procedimiento así como informar a las personas a dicho proceso de su desarrollo, pudiendo ser cedidos a la empresa contratada para la gestión de las escuelas infantiles municipales. Los derechos de acceso, rectificación y cancelación y oposición se podrán ejercer en cualquier momento en las oficinas de la Gerencia Municipal de Servicios Sociales, Juventud e Igualdad de Oportunidades, sitas en C/ ***DIRECCIÓN.1 (Centro Cívico XXXX).” Por otra parte, en el impreso de la Orden de domiciliación de adeudo directo SEPA que se acompaña con la matrícula, justo debajo de la firma se recoge que: “De acuerdo con la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, (hoy LO 3/2018, de 5 de diciembre de Protección de Datos Personales y Garantía de los Derechos Digitales) quién firma queda informado y acepta la incorporación de sus datos a los ficheros existentes en la Gerencia Municipal de Servicios Sociales, Juventud e Igualdad de Oportunidades del Ayuntamiento de Burgos, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/17 que se conservarán en la misma con carácter confidencial, sin perjuicio de las comunicaciones a las Administraciones Públicas que estipula la Ley, y en su caso, a las empresas o entidad prestadora del servicio. La finalidad del mismo es la incorporación de sus datos de contacto para las funciones propias de la actividad administrativa, así como las propias de gestión del servicio europeo. Puede ejercitar sus derechos de acceso, rectificación y cancelación y oposición en la Gerencia Municipal de Servicios Sociales, Juventud e Igualdad de Oportunidades, sita en la C/ ***DIRECCIÓN.1.” Ambos impresos están firmados por los reclamantes, el de solicitud de plaza por ambos progenitores; y la orden de domiciliación de adeudo directo SEPA que se adjunta con la matrícula por […] la madre de la menor; estando por tanto los interesados previamente informados del tratamiento que se iba a hacer de esos datos, así como de la posibilidad de cederlos a la empresa prestadora del servicio antes de otorgar su consentimiento. QUINTO.- El Tribunal Supremo, en sentencia dictada por la Sala 3ª, el 20 de mayo de 2011, Rec. n º 3810/2007, establece: “…De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias, como del destino de éstos, pues solo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos personales…..». Y continúa: “...Otra de las notas definitorias de la cesión de datos es la trascendencia que el consentimiento del interesado, válidamente otorgado, posee en todo el marco regulador de la figura, lo cual enlaza, directamente, con la previsión que del «consentimiento inequívoco del afectado» contiene el artículo 6 LOPD, esencial en materia de protección de datos. Ha señalado igualmente esta Sala (SAN 30-6-2004, Rec. 625/2002) que inequívoco, conforme al Diccionario de la Real Academia de la Lengua, es lo que no admite duda o equivocación, y, por contraposición a equívoco, lo que no puede entenderse o interpretarse en varios sentidos, o que no puede dar ocasión a juicios diversos. Ello significa que si bien no puede requerirse para la obtención del consentimiento de los afectados, a la hora de tratar o ceder sus datos personales, que tal consentimiento se otorgue de forma escrita, pues no lo exige así ningún precepto de la Ley, la entidad que pretenda obtener tal consentimiento deberá arbitrar los medios necesarios para que el mismo se preste de tal manera que no quepa ninguna duda de que efectivamente ha sido prestado, es decir, que la cesión de los datos ha sido consentida de modo tan clara que no pueda interpretarse en otro sentido.” Por su parte, el Tribunal de Justicia de la Unión Europea (Sala Segunda), en sentencia de 11 de noviembre de 2020 resuelve que, tanto la Directiva 95/46 como la regulación prevista en el Reglamento Europeo 2016/679 de Protección de Datos de carácter personal, exigen del interesado un comportamiento activo en que se acredite que ha recibido información previamente a otorgar su consentimiento: ”… A este respecto, ha de recordarse que el artículo 7 de la Directiva 95/46 y el artículo 6 del Reglamento 2016/679 incluyen una lista exhaustiva de los casos en que un tratamiento de datos personales puede considerarse lícito (véanse, en lo que respecta al artículo 7 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/17 la Directiva 95/46, las sentencias de 19 de octubre de 2016, Breyer, C-582/14, EU: C :2016:779, apartado 57 y jurisprudencia citada, y de 1 de octubre de 2019, Planet 49, C-673/17, EU:C:2019:801, apartado 53). En particular, el artículo 7, letra a), de dicha Directiva y el artículo 6, apartado 1, letra a), de dicho Reglamento disponen que el consentimiento del interesado puede convertir tal tratamiento en lícito. En lo que respecta a los requisitos a que está supeditado tal consentimiento, el artículo 7, letra
  18. a)de la Directiva 95/46 dispone que el interesado debe haber “dado su consentimiento de forma inequívoca, mientras que el artículo 2, letra h), de la misma Directiva define la expresión “consentimiento del interesado” como “toda manifestación de voluntad, libre, específica e informada, mediante la que el interesado consienta el tratamiento de datos personales que le conciernan”. En la medida en que estas disposiciones establecen que el interesado ha de proceder a una “manifestación de voluntad” para dar su consentimiento “de forma inequívoca”, solo un comportamiento activo por parte del interesado con el que manifieste su consentimiento puede tenerse en cuenta (véase, en este sentido, la sentencia de 1 de octubre de 2019, Planet49, C673/17, EU: C: 2019:801, apartados 52 y 54). Este mismo requisito se aplica también en el marco del Reglamento 2016/679. En efecto, el temor del artículo 4 punto11, de dicho Reglamento, que define el “consentimiento del interesado” a los efectos, en particular, de su artículo 6, apartado 1, letra a), resulta todavía más estricto que el del artículo 2, letra
  19. h)de la Directiva 95/46, puesto que requiere una manifestación de voluntad “libre, específica, informada e inequívoca” del interesado, que adopte la forma de una declaración o de “una clara acción afirmativa” que marque su aceptación del tratamiento de datos personales que le conciernen. Así pues, el Reglamento 2016/679 prevé ahora expresamente un consentimiento activo véase, en este sentido, la sentencia de 1 de octubre de 2019, Planet49, C-673/17, EU: C: 2019:801, apartados 61 a 63)”. Y continúa diciendo: “Por otra parte, el artículo 2, letra h), de la Directiva 95/46 y el artículo 4, punto11, del Reglamento 2016/679 exigen una manifestación de voluntad “específica”, en el sentido de que debe tener concretamente por objeto el tratamiento de datos de que se trate y no puede deducirse de una manifestación de voluntad que tenga un objeto destino ( véase, en lo que respecta al artículo 2, letra h), de la Directiva 95/46, la sentencia de 1 de octubre de 2019, Planet49, C-673/17, EU:C:2019:801, apartado 58). A este respecto, el artículo 7, aparatado 2, primera frase, de dicho Reglamento precisa que, si el consentimiento del interesado se da en el contexto de una declaración escrita que también se refiera a otros asuntos, la solicitud de consentimiento se presentará de tal forma que se distinga claramente de los demás asuntos. En particular, se desprende de esa disposición, en relación con el considerando 42 de dicho Reglamento, que tal declaración debe presentarse de forma inteligible y de fácil acceso y utilizando un lenguaje claro y sencillo, especialmente cuando se trate de un modelo de declaración de consentimiento elaborado previamente por el responsable del tratamiento de datos personales. Por lo que respecta al requisito derivado del artículo 2, letra h), de la Directiva 95/46 y del artículo 4, punto11, del Reglamento 2016/679, conforme al cual el consentimiento debe ser “informado”, este requisito de conformidad con el artículo 10 de diC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/17 cha Directiva, a la luz de su considerando 38, así como con el artículo 13 de dicho Reglamento, a la luz de su considerando 42_implica que el responsable del tratamiento facilitará al interesado información respecto de todas las circunstancias relacionadas con el tratamiento de datos, con una formulación inteligible y de fácil acceso que emplee un lenguaje claro y sencillo, debiendo el interesado conocer, en particular, qué datos serán tratados, la identidad del responsable del tratamiento, la duración del tratamiento y su forma, y los fines que se persigue con dicho tratamiento. Esta información debe permitir a esa persona determinar fácilmente las consecuencias de cualquier consentimiento que pueda dar y garantizar que dicho consentimiento se otorgue con pleno conocimiento de causa (véase, por analogía, la sentencia de 1 de octubre de 2019, Planet49, C-673/17, EU: C: 2019:801, apartado 74).” Teniendo en cuenta las consideraciones anteriores, en el presente caso, no cabe duda de que los interesados han sido informados adecuadamente de modo expreso, preciso e inequívoco tanto, del tratamiento que se iba a dar a los datos personales facilitados, de la finalidad de su recogida, de la existencia de un fichero al que se iban a incluir, y de los destinatarios de la información, así como del hecho de que podían ser cedidos a la empresa adjudicataria de la gestión de Escuelas Infantiles; y por supuesto, de la posibilidad de ejercitar los derechos de acceso, rectificación y cancelación, habiendo prestado libremente su consentimiento al firmar la solicitud de plaza con pleno conocimiento de causa, por lo que no puede entenderse vulnerada la Ley de Protección de Datos que denuncia. SEXTO.- La decisión finalmente adoptada, acordada en Acto de Conciliación celebrado el día 28 de enero de 2022 ante el Juzgado Contencioso-Administrativo n º X de Burgos, en aras a hacer prevalecer el interés de la menor por encima de otras consideraciones, ha sido la admisión de […], en la Escuela Infantil de “***ESCUELA.1” inicialmente solicitada, y de la que había sido excluida por no formalizar la matrícula en plazo. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
  20. f)y
  21. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/17 II Información que deberá facilitarse cuando los datos personales se obtengan del interesado El artículo 13 del RGPD establece la información que deberá facilitarse cuando los datos personales se obtengan del interesado, en virtud del cual: "1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  22. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  23. b)los datos de contacto del delegado de protección de datos, en su caso;
  24. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  25. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  26. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  27. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  28. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  29. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  30. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  31. d)el derecho a presentar una reclamación ante una autoridad de control;
  32. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
  33. f)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/17 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información." III Encargado del tratamiento Las previsiones respecto al encargado del tratamiento están recogidas en el artículo 28 del RGPD que estipula lo siguiente: "1. Cuando se vaya a realizar un tratamiento por cuenta de un responsable del tratamiento, este elegirá únicamente un encargado que ofrezca garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos del presente Reglamento y garantice la protección de los derechos del interesado. 2. El encargado del tratamiento no recurrirá a otro encargado sin la autorización previa por escrito, específica o general, del responsable. En este último caso, el encargado informará al responsable de cualquier cambio previsto en la incorporación o sustitución de otros encargados, dando así al responsable la oportunidad de oponerse a dichos cambios. 3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
  34. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
  35. b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza legal;
  36. c)tomará todas las medidas necesarias de conformidad con el artículo 32;
  37. d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
  38. e)asistirá al responsable, teniendo en cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
  39. f)ayudará al responsable a garantizar el cumplimiento de las obligaciones esC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/17 tablecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
  40. g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
  41. h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
  42. h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros. 4. Cuando un encargado del tratamiento recurra a otro encargado para llevar a cabo determinadas actividades de tratamiento por cuenta del responsable, se impondrán a este otro encargado, mediante contrato u otro acto jurídico establecido con arreglo al Derecho de la Unión o de los Estados miembros, las mismas obligaciones de protección de datos que las estipuladas en el contrato u otro acto jurídico entre el responsable y el encargado a que se refiere el apartado 3, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas de manera que el tratamiento sea conforme con las disposiciones del presente Reglamento. Si ese otro encargado incumple sus obligaciones de protección de datos, el encargado inicial seguirá siendo plenamente responsable ante el responsable del tratamiento por lo que respecta al cumplimiento de las obligaciones del otro encargado. 5. La adhesión del encargado del tratamiento a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá utilizarse como elemento para demostrar la existencia de las garantías suficientes a que se refieren los apartados 1 y 4 del presente artículo. 6. Sin perjuicio de que el responsable y el encargado del tratamiento celebren un contrato individual, el contrato u otro acto jurídico a que se refieren los apartados 3 y 4 del presente artículo podrá basarse, total o parcialmente, en las cláusulas contractuales tipo a que se refieren los apartados 7 y 8 del presente artículo, inclusive cuando formen parte de una certificación concedida al responsable o encargado de conformidad con los artículos 42 y 43. 7. La Comisión podrá fijar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el procedimiento de examen a que se refiere el artículo 93, apartado 2. 8. Una autoridad de control podrá adoptar cláusulas contractuales tipo para los asuntos a que se refieren los apartados 3 y 4 del presente artículo, de acuerdo con el mecanismo de coherencia a que se refiere el artículo 63. 9. El contrato u otro acto jurídico a que se refieren los apartados 3 y 4 constará por escrito, inclusive en formato electrónico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/17 10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento." IV Hechos objeto de reclamación La parte reclamante expone que el Ayuntamiento de Burgos adjudicó a una empresa el servicio de las tres escuelas infantiles municipales; afirma, que ni el pliego de condiciones administrativas ni en las prescripciones técnicas ni en el objeto del contrato se contempla la posibilidad de que el adjudicatario gestione la matrícula de acceso a las escuelas infantiles. Añade que los solicitantes de matriculación de sus hijos han facilitado la documentación a esa adjudicataria. Por último, señala que en el impreso de la matrícula no se informa de quien es el responsable de la gestión, ni del tratamiento de los datos, ni se prevé una autorización expresa para el tratamiento de los datos por la empresa. Como se ha reseñado, de forma detallada en los hechos, en la documentación aportada se indica que la parte reclamada actúa como responsable del tratamiento y la empresa que gestiona las escuelas infantiles como encargada del tratamiento. En los pliegos de condiciones se contempla la figura del adjudicatario de la gestión como encargado del tratamiento y las obligaciones exigidas por la normativa de protección de datos; se recoge la obligación de confidencialidad de todas las personas de la organización que traten datos, medidas de seguridad particularizadas, etc… Es decir, se cumplen las exigencias normativas en lo referido al responsable y encargado del tratamiento, recogidas en el artículo 28 del RGPD reseñado. Por otra parte, en el impreso de matriculación se recoge información sobre el tratamiento de los datos por parte del responsable. No es necesario señalar quien es el encargado del tratamiento, ya que su actividad se realiza por cuenta y en nombre del responsable, quien puede cambiar de encargado en cualquier momento. La parte reclamante desistió de su reclamación tras la admisión a trámite de la misma. El artículo 94 de la Ley 39/2015, de 1 de octubre, el Procedimiento Administrativo Común de las Administraciones Públicas establece los siguiente sobre el desistimiento y renuncia por los interesados: “1. Todo interesado podrá desistir de su solicitud o, cuando ello no esté prohibido por el ordenamiento jurídico, renunciar a sus derechos. 2. Si el escrito de iniciación se hubiera formulado por dos o más interesados, el desistimiento o la renuncia sólo afectará a aquellos que la hubiesen formulado. 3. Tanto el desistimiento como la renuncia podrán hacerse por cualquier medio que permita su constancia, siempre que incorpore las firmas que correspondan de acuerdo con lo previsto en la normativa aplicable. 4. La Administración aceptará de plano el desistimiento o la renuncia, y declarará concluso el procedimiento salvo que, habiéndose personado en el mismo terceros C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/17 interesados, instasen éstos su continuación en el plazo de diez días desde que fueron notificados del desistimiento o renuncia. 5. Si la cuestión suscitada por la incoación del procedimiento entrañase interés general o fuera conveniente sustanciarla para su definición y esclarecimiento, la Administración podrá limitar los efectos del desistimiento o la renuncia al interesado y seguirá el procedimiento.” En el supuesto objeto de reclamación, la Agencia continuó la investigación para verificar si los hechos eran ciertos, independientemente de que la parte reclamante desistiese de lo reclamado, al ser una cuestión que entrañaba interés general para todos los solicitantes. V Conclusión Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a Doña A.A.A. y al AYUNTAMIENTO DE BURGOS. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  43. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/17 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.