1/20 Expediente N.º: EXP202407053 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 13 de mayo de 2024 la Agencia Española de Protección de Datos acuerda iniciar actuaciones de investigación en relación con AUTOCARES CASTILLA Y LEÓN, S.A. por los hechos que se describen a continuación: Como consecuencia de una denuncia de 22 de abril de 2024, esta Agencia ha tenido conocimiento de la existencia de una posible infracción de la normativa de protección de datos en relación con la instalación de videocámaras en líneas de autobuses que prestan servicio público en Castilla y León, y que pudieran estar tratando datos personales en servidores ubicados en Estados Unidos. Según los hechos denunciados, la representación de los trabajadores de las empresas titulares de los autobuses fue informada de la instalación y puesta en funcionamiento de un Sistema Avanzado de Asistencia al Conductor (ADAS). Manifiestan que este sistema, al contrario de lo que parece indicar su nombre, no es realmente un sistema de asistencia a la conducción sino un sistema de vigilancia y control. Continúa la denuncia señalando que se ha instalado en los autobuses de la citada empresa un nuevo sistema de cámaras de vigilancia DriveCam Lytx SF400, que supone una evolución del ya existente y consiste en un dispositivo de grabación que consta de dos cámaras de gran angular, una que enfoca el parabrisas del autobús y otra que enfoca al interior del autobús. Afirman que las dos cámaras van equipadas de un gran angular y cuenta además con un equipamiento de sensores dentro y fuera del vehículo. Por otra parte, se indica que estas cámaras graban, además de la imagen, sonido dentro y fuera del vehículo, y que el tratamiento de datos, alojamiento y primer filtrado de las imágenes captadas se realiza en EE.UU., fuera del marco legal europeo. La captura indiscriminada de grabaciones, según la denuncia, no solo afecta a los trabajadores que conducen los vehículos, sino que también afecta a los clientes, incluidos los usuarios menores de edad de transportes escolares, y a aquellas personas que en algún momento puedan estar cerca de los autobuses. SEGUNDO: La Subdirección General de Inspección de Datos (en adelante, SGID) procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/20 adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD). En fecha 5/5/2024 se solicitó por la SGID a AUTOCARES CASTILLA Y LEÓN, S.A., con domicilio en ***DIRECCIÓN.1, información y documentación en relación con los hechos denunciados. En fecha 19/6/2024 tuvo entrada un escrito del representante de la sociedad, en el que pone de manifiesto lo siguiente: La entidad responsable del sistema de videovigilancia es AUTOCARES CASTILLA LEÓN, S.A.U., CIF A-24037905. Aportan copia del Registro de Actividad de los tratamientos que se realizan con el sistema de videovigilancia, en el que se recoge: Base jurídica para el tratamiento: RGPD: 6.1.
- e)Tratamiento necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. RGPD: 6.1.
- f)Tratamiento necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero. Real Decreto Legislativo 2/2015, de 23 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores. Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Fines del tratamiento: Seguridad en las operaciones. Preservar la seguridad en el interior y exterior del autobús para permitir conocer las circunstancias diarias que afectan a los servicios de transporte de cara a la gestión de los mismos. Protección del personal de conducción y de los viajeros ante posibles situaciones que ponga en peligro su integridad, así como la prevención de faltas, delitos y/o fraudes que pudieran llevarse a cabo en el interior de los vehículos. Control empresarial. Transferencia Internacional: C/ Jorge Juan, 6 28001 – Madrid La transferencia internacional de datos a EEUU en el marco del alojamiento de las imágenes en los servidores del proveedor del sistema de videovigilancia. La Comisión Europea el 10 de julio de 2023 aprobó el marco regulador para las transferencias internacionales de datos a EEUU EU-USA Data Privacy Framework, declarando así la Comisión Europea a EEUU como un país que posee un nivel de protección adecuado y equiparable a los estándares exigidos por la legislación europea. www.aepd.es sedeaepd.gob.es 3/20 Respecto a las finalidades: Manifiestan que la finalidad primordial que tiene la instalación del sistema de videovigilancia en los autobuses es preservar la necesaria seguridad de las operaciones y la protección tanto del personal de conducción como de los usuarios del servicio público de transporte regular y permanente de viajeros por carretera y otros usuarios de las vías de circulación ante eventos vinculados a la conducción que pudieran poner en peligro su integridad. Las imágenes serán utilizadas para investigar incidentes de seguridad y/o circunstancias anómalas en el curso del servicio, así como para realizar, en su caso, formación y concienciación del personal de conducción en hábitos seguros al volante. El sistema de videovigilancia genera información para la concienciación de los conductores sobre la necesidad de respetar los límites de velocidad de cada vía, así como fomentar un estilo de conducción que mejore la seguridad y la eficiencia de las operaciones con impacto directo en los índices de siniestralidad. Adicionalmente, el sistema permite a la empresa el ejercicio de las funciones de control de los trabajadores previstas en el artículo 20.3 del Estatuto de los Trabajadores teniendo conocimiento de los lugares, servicios y conductores que pueden requerir la adopción de planes de acción apropiados y sin perjuicio de que, en el caso de detección de conductas ilícitas, ilegales y/o contrarias a las normas de seguridad, resulte de aplicación el marco jurídico laboral vigente. En relación con la captación de imágenes de los trabajadores en su lugar de trabajo, indirectamente y de forma excepcional, en el caso de ser detectadas, en el transcurso de la grabación de un “evento”, conductas ilícitas, ilegales y/o contrarias a las normas de seguridad de la empresa, las imágenes podrán ser objeto de tratamiento con fines de control empresarial de los trabajadores en el cumplimiento y desarrollo de sus obligaciones y deberes laborales, en aplicación del Estatuto de los Trabajadores y de la jurisprudencia del Tribunal Supremo. Respecto a la información facilitada a los interesados: La instalación del sistema de videovigilancia, manifiestan que es conocida tanto por la representación sindical como por los trabajadores, cumpliendo la empresa su obligación de información previa a la instalación y puesta en marcha del sistema de videovigilancia en 2018 y en 2024. Aportan copia del escrito nominativo remitido a los trabajadores (93 en total) y a la representación legal de los trabajadores, todos ellos con fecha 25/10/2018 y firma de acuse de recibo, en el que informan de lo siguiente: “Cumpliendo con la normativa, AUTOCARES CASTILLA LEÓN S.A.U. le comunica la instalación y puesta en funcionamiento en próximas fechas de un sistema de videovigilancia embarcado que servirá para mejorar la seguridad del personal de conducción y de los clientes en los autobuses que prestan los servicios de transporte de la Empresa AUTOCARES CASTILLA LEÓN S.A.U. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/20 El nombre comercial del sistema es Drivecam y consiste en un "dispositivo de grabación de eventos" que consta de dos cámaras, una que enfoca al parabrisas del autobús y otra que enfoca al interior del autobús. Las principales características del sistema son las siguientes: El sistema NO almacena las imágenes en todo momento, el sistema solo lo hace si el conductor lo activa manualmente o si se produce un "evento". Un "evento" es provocado por una aceleración, deceleración o giro brusco, o por una colisión. Cuando el sistema es activado, bien de forma manual o por un "evento", se graba el video de los 8 segundos anteriores y de los 4 segundos posteriores a la activación. NO existe posibilidad alguna de que el sistema se pueda activar de forma remota o de que se pueda utilizar para hacer grabaciones en tiempo real. Dada la ubicación de la cámara que enfoca al interior, la misma captará, en caso de que el sistema se active, la imagen del personal de conducción durante la prestación del servicio. En consideración a lo anterior, la empresa, por medio de la presente comunicación, les informa que la finalidad primordial de la instalación del sistema de videovigilancia indicado es preservar la necesaria seguridad de las operaciones y la protección del personal de conducción y de nuestros clientes ante eventos que pudieran poner en peligro su integridad; por ello, las imágenes serán utilizadas para investigar incidentes de seguridad y/o circunstancias anómalas en el curso del servicio, así como para realizar, en su caso, formación y concienciación al personal de conducción en hábitos seguros al volante. Sin perjuicio de lo anterior, cumpliendo con la legalidad vigente en relación a la captación de imágenes de los trabajadores en su lugar de trabajo, se informa que indirectamente y de forma excepcional, en el caso de ser detectadas, en el transcurso de la grabación de un "evento", conductas ilícitas, ilegales y/o contrarias a las normas de seguridad de la empresa, las imágenes podrán ser objeto de tratamiento con fines de control empresarial de los trabajadores en el cumplimiento y desarrollo de sus obligaciones y deberes laborales, en aplicación del Estatuto de los Trabajadores y de la doctrina del Tribunal Supremo. Por ello, en aplicación de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD) y la Instrucción 1/2006 de la Agencia Española de Protección de Datos, la empresa informa que la captación de imágenes de los trabajadores se limitará a las finalidades legítimas previstas en la presente comunicación, respetando estrictamente y en todo momento, los derechos que asisten a los trabajadores en cumplimiento de la normativa vigente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/20 De igual manera, en cumplimiento de la LOPD, la empresa garantiza el ejercicio de los derechos de acceso y cancelación de las imágenes, conforme al procedimiento establecido en la normativa vigente, mediante solicitud escrita remitida a la siguiente dirección: AUTOCARES CASTILLA LEÓN s.A.U., ***DIRECCIÓN.2.” Aportan copia Acta de la reunión celebrada entre la representación legal de los trabajadores fechada el 8/4/2024 y la representación de la empresa, así como comunicación dirigida a la representación legal de los trabajadores de fecha 22/2/2024, acreditativa de que se les informa de lo siguiente: “Cumpliendo con la normativa, AUTOCARES CASTILLA LEÓN, S.A comunica a la Representación Legal de los Trabajadores la instalación y puesta en funcionamiento en fecha 8 de abril 2024 de un Sistema Avanzado de Asistencia al Conductor (ADAS por sus siglas en inglés) que utiliza cámaras de última generación y que servirá para mejorar la seguridad del personal de conducción y de los clientes en los autobuses que prestan nuestros servicios de transporte. El nombre comercial del sistema es Drivecam y es una evolución del ya existente, consiste en un dispositivo de grabación que consta de dos cámaras, una que enfoca al parabrisas del autobús y otra que enfoca al interior del autobús, que cuenta además con un equipamiento de sensores dentro y fuera del vehículo. De esta forma, se configura, además de como un dispositivo de grabación de eventos, como un sistema de ayuda al conductor de forma que, en beneficio de su seguridad y la de los viajeros, le avisa en tiempo real de circunstancias que suponen riesgos para la conducción, con el fin fundamentalmente de que pueda corregirlas en el momento y así evitar los mismos. Las principales características del sistema son las siguientes: Las imágenes serán utilizadas si se produce un "evento". Un "evento" es provocado por una aceleración, deceleración o giro brusco, o por una colisión, o por otras circunstancias ocurridas dentro o fuera del vehículo, que originan situaciones de riesgo durante la conducción como, a título ilustrativo, parada incompleta del vehículo en señal de STOP, salida del carril, incumplimiento de las distancias de seguridad, rebases de velocidad, distracciones, utilización de teléfonos móviles, no utilización de cinturón de seguridad, etc. Adicionalmente, el conductor puede activar un evento de manera manual pulsando un botón habilitado a tal efecto, llamado "botón de pánico". El sistema proporciona además al conductor avisos o alertas visuales y/o sonoras ante determinadas situaciones de riesgo durante la conducción tales como las anteriormente mencionadas, a título ilustrativo, parada incompleta del vehículo en señal de STOP, salida del carril, incumplimiento de las distancias de seguridad, rebases de velocidad, distracciones, utilización de teléfonos móviles, no utilización de cinturón de seguridad, etc. El sistema incorpora tecnología GPS que permite conocer la ubicación del vehículo en cada momento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/20 Dada la ubicación de la cámara que enfoca al interior, la misma captará, en caso de que el sistema se active, la imagen del personal de conducción durante la prestación del servicio. En consideración a lo anterior, la empresa, por medio de la presente comunicación, les informa que la finalidad primordial de la instalación del sistema indicado es preservar la necesaria seguridad de las operaciones y la protección del personal de conducción y de nuestros clientes ante eventos que pudieran poner en peligro su integridad; por ello, las imágenes serán utilizadas para investigar incidentes de seguridad y/o circunstancias anómalas en el curso del servicio, así como para realizar, en su caso, formación y concienciación al personal de conducción en hábitos seguros al volante. La Empresa podrá informar de manera periódica al conductor de su nivel de desempeño y comparativas de resultados obtenidos en la plantilla, respetando, en todo caso, las normas de protección de datos que competen a la misma Sin perjuicio de lo anterior, cumpliendo con la legalidad vigente en relación a la captación de imágenes de los trabajadores en su lugar de trabajo, se informa que indirectamente y de forma excepcional, en el caso de ser detectadas, en el transcurso de la grabación de un "evento", conductas ilícitas, ilegales y/o contrarias a las normas de seguridad de la empresa, las imágenes podrán ser objeto de tratamiento con fines de control empresarial de los trabajadores en el cumplimiento y desarrollo de sus obligaciones y deberes laborales, en aplicación del Estatuto de los Trabajadores y de la doctrina del Tribunal Supremo. La instalación de videocámaras en el lugar de trabajo y la utilización de sistemas de geolocalización en el ámbito laboral están legitimadas por el artículo 20.3 del Estatuto de los Trabajadores y los artículos 89 y 90 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. Estas prácticas se encuentran sometidas a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPD) y al Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación d estos datos (RGPD). En aplicación de la normativa citada, la empresa mediante el presente comunicado informa que la captación de imágenes de los trabajadores se limitará a las finalidades legítimas previstas en la presente comunicación y en el Estatuto de los Trabajadores, respetando estrictamente el principio de proporcionalidad y los derechos a la intimidad y el derecho fundamental a la protección de datos. El Responsable del Tratamiento es la entidad AUTOCARES CASTILLA LEÓN, S.A, dirección de contacto ***DIRECCIÓN.3. La base jurídica que legitima el tratamiento de las imágenes es el cumplimiento de una misión de interés público (garantizar la seguridad de las personas, bienes e instalaciones), el interés legítimo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/20 preponderante, así como el artículo 20.3 del Estatuto de los Trabajadores (facultad de control empresarial). Las imágenes serán conservadas durante un plazo máximo de un mes desde su captación, transcurrido el cual se procederá al borrado de las mismas. En caso de cometerse algún delito, acto ilícito o infracción administrativa, las imágenes podrán ser conservadas durante el tiempo necesario hasta la conclusión de los procedimientos asociados a los mismos, y ser comunicadas a las autoridades competentes conforme a la legislación vigente Los destinatarios de los datos personales (imágenes) serán el personal responsable de la empresa, así como las autoridades competentes en caso de comisión de algún delito, acto ilícito o infracción administrativa. Igualmente le informamos que no se cederán datos a terceros salvo obligación legal. La información del Sistema DriveCam es alojada en servidores ubicados en EE. UU por lo que se produce una transferencia Internacional de Datos en los términos exigidos en la normativa vigente en materia de protección de datos, transferencia basada en la decisión de adecuación EU - USA Data Privacy Framework (Decisión de 10 de julio de 2023). Las personas trabajadoras pueden ejercitar los derechos de acceso, supresión y limitación del tratamiento mediante solicitud escrita remitida a nuestra dirección de correo electrónico ***EMAIL.1 0 postal ***DIRECCIÓN.3, AUTOCARES CASTILLA LEÓN, S.A., ***DIRECCIÓN.3, adjuntando imagen actualizada que permita verificar y contrastar su presencia en los registros. Las personas trabajadoras que consideren que sus datos han sido tratados de forma inadecuada, podrá presentar una reclamación ante la Agencia Española de Protección de Datos, Calle Jorge Juan, 6, 28001, Madrid. Sirve la presente reunión, como actividad por la empresa de consulta y participación de la Representación Legal de los Trabajadores oído su criterio pudiendo, si así lo desea, emitir informe.” Aportan fotografías de los carteles informativos colocados en el interior y exterior de los vehículos en los que incluyen información de “ZONA VIDEOVIGILADA”, identificación del responsable de los tratamientos e información sobre la dirección postal y electrónica a la que dirigirse para ejercer los derechos de protección de datos personales. Aportan copia del “Impreso a disposición de los interesados” que se encuentran en las oficinas de la empresa, a disposición de los usuarios y/o trabajadores, en el que se informa de la identidad del responsable de los tratamientos, los tratamientos, el periodo de conservación de las imágenes (máximo 30 días, excepto incidencias), la base jurídica del tratamiento, los destinatarios de los datos personales e información sobre los derechos de protección de datos de carácter personal. Informes jurídicos elaborados por la empresa: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/20 Aportan copia de los informes jurídicos elaborados por la Dirección de Asesoría Jurídica de la entidad, en los que se recoge el estudio sobre los aspectos y factores que debían ser tenidos en cuenta para que el sistema denominado Lytx DriveCAM cumpliera con la normativa vigente en materia de protección de datos, en concreto el REGLAMENTO (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, la Directiva 95/46/CE (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPD). Aportan copia del Dictamen Pericial titulado “Análisis del sistema DriveCam en CTEA”, en relación con el procedimiento Derechos Fundamentales ***REFERENCIA.1, en el que la entidad COMPAÑÍA DEL TRANVÍA ELECTRICO DE AVILÉS, S.A. fue demandada por el sindicato ***SINDICATO.1 al respecto de la instalación de los dispositivos DriveCam. La resolución de esta demanda en el Juzgado de lo Social fue favorable para la empresa. Respecto a las características y funcionamiento del sistema: El sistema Drivecam se configuró como un “dispositivo de grabación de eventos” con dos cámaras, una que enfoca al parabrisas del autobús y otra que enfoca al interior del autobús, siendo las principales características del sistema las siguientes: - El sistema no almacena las imágenes en todo momento, el sistema solo lo hace si el conductor lo activa manualmente o si se produce un “evento”. - Un “evento” es provocado por una aceleración, deceleración o giro brusco, o por una colisión, o por otras circunstancias ocurridas dentro o fuera del vehículo, que originan situaciones de riesgo durante la conducción como, a título ilustrativo, parada incompleta del vehículo en señal de STOP, salida del carril, incumplimiento de las distancias de seguridad, rebases de velocidad, distracciones, utilización de teléfonos móviles, no utilización de cinturón de seguridad, etc). - Cuando el sistema es activado, bien de forma manual o por un “evento”, se graba el video de los 8 segundos anteriores y de los 4 segundos posteriores a la activación del sistema. - El sistema proporciona además al conductor avisos / alertas visuales y sonoras ante determinadas situaciones de riesgo durante la conducción tales como las anteriormente mencionadas, a título ilustrativo, parada incompleta del vehículo en señal de STOP, salida del carril, incumplimiento de las distancias de seguridad, rebases de velocidad, distracciones, utilización de teléfonos móviles, no utilización de cinturón de seguridad, etc). - El sistema incorpora tecnología GPS que permite conocer la ubicación del vehículo en cada momento. - El sistema no graba audio. Expresamente se solicitó al proveedor la eliminación de esta funcionalidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/20 - No existe posibilidad alguna de que el sistema se pueda activar de forma remota o de que se pueda utilizar para hacer grabaciones en tiempo real. Aportan copia del folleto facilitado por el fabricante del sistema DriveCam que especifica las características de las cámaras embarcadas en los autobuses, y su funcionamiento según las características anteriormente mencionadas por el representante del reclamado. Se cita literalmente, un extracto parcial del folleto aportado: “…2. El objetivo de DriveCam La tecnología DriveCam es una herramienta destinada a mejorar la seguridad y a servir de apoyo a los conductores. Esta herramienta permitirá a los conductores ser conscientes de actuaciones que podrían poner en riesgo la seguridad cuando conducen, y también les proporciona una información apropiada para mejorar su conducción. Además, podrán utilizar la herramienta por sí mismos para obtener información sobre incidentes o problemas específicos que se les planteen. Asimismo, permite a la empresa identificar y reconocer a aquellos conductores cuya excelencia en la conducción haya evitado accidentes graves por parte de otros usuarios de la vía pública. 3. Cómo funciona esta tecnología Se instala en el autobús un dispositivo de grabación de anomalías (“Video Event Recorder” VER, por su siglas en inglés) que consiste en una cámara dirigida hacia el exterior del autobús a través del parabrisas, y otra cámara dirigida a la cabina del conductor. El sistema no almacena la grabación de forma continua, sólo cuando el conductor activa de forma manual esta función pulsando un Protocolo DriveCam 2. botón del equipo, o por el contrario, cuando sucede algo fuera de lo común, que denominamos ‘incidencia’. El modo de ‘incidencia’ se activa cuando el equipo detecta un frenazo, aceleración o giro brusco, o una colisión o impacto. Cuando el equipo se activa, ya sea de forma manual o automática, se registra un vídeo de los 8 segundos anteriores y de los 4 segundos posteriores a la incidencia. El equipo VER no puede activarse nunca de forma remota, ni tampoco puede utilizarse para obtener una visión remota o en directo de lo que está pasando a través del dispositivo.” La configuración permite a la empresa preservar la seguridad de las operaciones y la protección del personal de conducción y de los usuarios del transporte urbano u otros usuarios de las vías ante eventos que pudieran poner en peligro su integridad. Así, las imágenes son utilizadas para investigar incidentes de seguridad y/o circunstancias anómalas en el curso del servicio, grabados con ocasión de la activación del sistema conforme a lo indicado, y, en consecuencia, realizar, en su caso, formación y concienciación al personal de conducción en hábitos seguros al volante. Aportan copia del Procedimiento operativo “P-PSS-31 GESTION DE CÁMARAS INTELIGENTES”, que recoge, entre otros, lo siguiente: C/ Jorge Juan, 6 28001 – Madrid Con carácter general serán los Gerentes de Contrato los responsables del tratamiento de esta información, aunque a propuesta del Director de la UZ y previo visto bueno del Dpto. www.aepd.es sedeaepd.gob.es 10/20 Prevención, Seguridad y Salud podrá designarse a otra persona para un determinado colectivo de conductores. Para llevar a cabo este cometido deben de firmar un compromiso de confidencialidad (Anexo), con los condicionantes de acceso y custodia de la información que, por motivos legales, se han determinado. Ninguna persona sin la firma de ese compromiso puede acceder a la plataforma ni realizar ningún trámite con los registros. Los responsables, en un plazo máximo de 7 días, deben de realizar el proceso de visualización, identificación del conductor, determinar la acción a realizar (reconocimiento o formación) y registrar comentarios. Aportan copia del documento “P-PSS-32 VERIFICACIÓN DE DESCARGAS DE CÁMARAS INTELIGENTES” que tiene por objeto describir el proceso de comprobación de las descargas de equipos de las cámaras inteligentes instaladas en los vehículos de la organización. Respecto a las transferencias internacionales de datos: La información del sistema Drivecam es alojada en servidores ubicados en EEUU por lo que se produce una transferencia internacional de datos. Manifiestan que la transferencia internacional de datos cumple con los términos exigidos en la normativa vigente en materia de protección de datos, basada en la decisión de adecuación EU- USA Data Privacy Framework (Decisión de 10 de julio de 2023). Manifiestan que las operaciones de tratamiento de datos están certificadas bajo SSAE-18 SOC2 Tipo 2, que incluye una auditoría de los controles del proveedor para gestionar y proteger de forma segura los datos de los clientes. Las políticas adaptadas por el proveedor otorgan todas las garantías para alinearse con las normas ISO27001, NIST 800-53 y CSA Cloud Controls Matrix. El visionado de las grabaciones producidas con ocasión de un evento se realiza, en todo caso, en el territorio de la UE y en concreto, en Rumanía. Respecto al Plazo de conservación de las imágenes El plazo de conservación de las imágenes registradas - caso de producirse un evento (hecho este que hace que el sistema grabe imágenes)- es de 30 días. Respecto a las medidas de seguridad Aportan copia del documento, redactado en lengua inglesa, “TECHNICAL AND ORGANITATIONAL MEASURES TO ENSURE DE SECURITY OF THE DATA”, en el que se especifica que el prestador de servicio ha implementado medidas de seguridad técnicas y organizativas (traducción realizada por el inspector firmante del presente informe): C/ Jorge Juan, 6 28001 – Madrid Políticas y normas de seguridad de la información. El Prestador de Servicios dispone de medidas organizativas, físicas y técnicas para abordar la seguridad, confidencialidad, disponibilidad e integridad de www.aepd.es sedeaepd.gob.es 11/20 los Datos Personales que se le transfieren en la prestación de los Servicios. Estas medidas incluyen: Controles de acceso físicos, lógicos y de datos diseñados para restringir el acceso a los Datos Personales a las personas autorizadas; Pistas de auditoría, cuando corresponda, para documentar el acceso y la modificación de los Datos Personales; Controles que buscan garantizar que los Datos personales se procesen de acuerdo con las instrucciones del exportador de datos y se protejan contra pérdidas accidentales. Las operaciones del Importador de Datos están certificadas bajo SSAE18 SOC2 Tipo Il. Seguridad Física. El Prestador de Servicios de Datos mantiene sistemas de seguridad comercialmente razonables en todos los sitios del Importador de Datos en los que se encuentra un sistema de información que procesa Datos Personales. El Importador de Datos restringe razonablemente el acceso físico a dichos sitios. Se han implementado controles de acceso físico para todos los centros de datos. Seguridad Organizativa. El Prestador de Servicios ha implementado y mantiene políticas y procedimientos de seguridad diseñados para evitar la reconstrucción o recuperación de Datos Personales después de la eliminación. Los incidentes de seguridad de los datos personales se gestionan de acuerdo con los procedimientos escritos de respuesta a incidentes. Cuando la ley lo requiera, los datos confidenciales transmitidos por el importador de datos se cifran mientras están en tránsito. Seguridad de la red. El Prestador de Servicios mantiene la seguridad utilizando técnicas comercialmente razonables, incluidos firewalls, sistemas de detección de intrusos, listas de control de acceso y protocolos de enrutamiento. Los archivos de vídeo, que contienen datos personales, se cargan en instalaciones de almacenamiento cifradas basadas en la nube. Los datos se cifran mediante AES256 y se transportan a través de TLS 1.2. Control de acceso. El Prestador de Servicios mantiene procedimientos de administración de usuarios para: definir los roles de usuario y sus privilegios, cómo se otorga, cambia y termina el acceso; abordar la adecuada segregación de funciones; y definir los requisitos y mecanismos de registro y supervisión. El Prestador de Servicios dispone de procedimientos de seguridad física y electrónica comercialmente razonable para crear y proteger contraseñas. Controles de virus y malware. El Prestador de Servicios dispone y mantiene software de protección antivirus y contra malware. Personal. El Prestador de Servicios dispone de un programa de concienciación sobre seguridad diseñado para formar al personal sobre sus obligaciones de seguridad. Respecto al número de cámaras instaladas y el campo de visión que se capta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/20 El número total de cámaras que tiene el sistema de videovigilancia en cada vehículo es de 2. Cada dispositivo DriveCam tiene 2 cámaras integradas dentro del mismo hardware, siendo el número total de vehículos que cuentan con dispositivo DriveCam de 87. Aportan fotografías del dispositivo embarcado en los autobuses de la empresa, así como fotografías en las que se aprecia las zonas que quedan dentro del campo de visión de las cámaras, de lo que se deprende que: Una de las cámaras está orientadas a la parte frontal (parabrisas del vehículo) capta imágenes del exterior en sentido de la marcha del vehículo. La otra cámara está orientada al interior del vehículo orientada directamente al conductor. No se observa que se capten imágenes de los usuarios del vehículo. Respecto a la implantación de nuevas funcionalidades en el sistema. El representante de la entidad manifiesta que en fechas recientes plantearon a la representación laboral de los trabajadores la implantación de un desarrollo del actual sistema DriveCam, informando a los mismos de la intención de contratar nuevas funcionalidades del sistema DriveCam, entre las que se incluiría un equipamiento con tecnología de visión artificial e inteligencia artificial - que permitiría, sin tratamiento ni registro de datos de personas físicas, avisar al personal de conducción en tiempo real de circunstancias que suponen riesgos para la conducción-, permitiendo la corrección inmediata de los mismos, lo que redundaría en una mejora adicional en términos de seguridad de las operaciones de transporte. No obstante, la representación laboral comunicó a la empresa su oposición a la implantación de estos nuevos dispositivos, por lo que al objeto de resolver el conflicto social generado, la empresa ha decidido prescindir, por el momento, de ese desarrollo, sin perjuicio de plantearlo nuevamente cuando se considere más oportuno, en consideración al interés prevalente de seguir adoptando medidas que incrementen la seguridad de los servicios de transporte público que presta. Respecto a los encargados del tratamiento. - - Las empresas externas intervinientes en los tratamientos de datos personales (imágenes que pudieran ser captadas por el sistema de videovigilancia ante la producción de un evento) son las siguientes: ***EMPRESA.1., ***NIF.1 LYTX, INC, con domicilio social en Estados Unidos. Aportan copia de los siguientes contratos: Contrato de fecha 25/5/2018 de encargado del tratamiento suscrito entre ***EMPRESA.1. y AUTOCARES CASTILLA LEÓN, S.A.U. Consta como objeto del contrato: “Objeto del encargo de tratamiento: Mediante las presentes cláusulas se habilita a ***EMPRESA.1., ENCARGADO del Tratamiento, para tratar por cuenta de AUTOCARES CASTILLA LEÓN, S.A., RESPONSABLE C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/20 del Tratamiento, los datos de carácter personal necesarios para la prestación de servicios de seguridad e investigación de accidentes que puedan acontecer en el marco de los servicios de transporte de viajeros en autocar prestados por el Responsable. A este fin, el RESPONSABLE permitirá el acceso al ENCARGADO a las imágenes captadas por el sistema de videovigilancia embarcado en los autocares que presten servicios de transporte de viajeros en autocar. Dicho tratamiento se realizará en los locales y con los sistemas de información del RESPONSABLE. Para la ejecución de las prestaciones derivadas del cumplimiento del objeto de este encargo, el RESPONSABLE del tratamiento pone a disposición del ENCARGADO del tratamiento las imágenes captadas por los sistemas de videovigilancia embarcado en caso de que se precisen los servicios de investigación de accidentes y/o incidentes durante los servicios de transporte de viajeros a que se refiere el expositivo I. Categorías de interesados: Empleados del RESPONSABLE del tratamiento. Categorías de datos: imagen de los empleados que pudiera ser captada con ocasión de la grabación del incidente / accidente.” Obligaciones del ENCARGADO El ENCARGADO y todo el personal bajo su control se obliga a: C/ Jorge Juan, 6 28001 – Madrid Utilizar los datos personales objeto de tratamiento, o los que recoja para su inclusión, sólo para la finalidad objeto de este encargo. En ningún caso podrá utilizar los datos para fines propios. Tratar los datos de acuerdo con las instrucciones del RESPONSABLE. Si el Encargado del tratamiento considera que alguna de las instrucciones infringe el RGPD o cualquier otra disposición en materia de protección de datos de la Unión Europea o de los Estados Miembros, el Encargado informará inmediatamente al Responsable. En caso de que así proceda, llevar, por escrito, un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del RESPONSABLE, que contenga todas las especificaciones detalladas en el artículo 30.2 del Reglamento (UE) 2016/679: El nombre y los datos de contacto del ENCARGADO y de cada responsable por cuenta del cual actúe el ENCARGADO; Las categorías de tratamientos efectuados por cuenta de cada responsable; Una descripción general de las medidas técnicas y organizativas de seguridad apropiadas que esté aplicando al tratamiento de los datos. No comunicar los datos a terceras personas, salvo que cuente con la autorización expresa del RESPONSABLE, en los supuestos legalmente admisibles. www.aepd.es sedeaepd.gob.es 14/20 C/ Jorge Juan, 6 28001 – Madrid El ENCARGADO puede comunicar los datos a otros encargados del tratamiento del mismo responsable, de acuerdo con las instrucciones del RESPONSABLE. En este caso, el RESPONSABLE identificará, de forma previa y por escrito, la entidad a la que se deben comunicar los datos, los datos a comunicar y las medidas de seguridad a aplicar para proceder a la comunicación. Si el ENCARGADO debe transferir datos personales a un tercer país o a una organización internacional, en virtud del Derecho de la Unión o de los Estados miembros que le sea aplicable, informará al RESPONSABLE de esa exigencia legal de manera previa, salvo que tal Derecho lo prohíba por razones importantes de interés público. Se autoriza la subcontratación de los servicios auxiliares que precise el ENCARGADO para poder prestar los servicios de seguridad global en las operaciones a que se refiere el expositivo III. En este caso, el tratamiento de datos por parte del SUBCONTRATISTA se ajustará a las instrucciones por parte del RESPONSABLE, para lo cual, el ENCARGADO y la empresa SUBCONTRATISTA formalizarán un contrato en el que se indiquen las medidas de seguridad aplicables e instrucciones. Mantener el deber de secreto respecto a los datos de carácter personal a los que haya tenido acceso en virtud del presente encargo, incluso después de que finalice su objeto. Garantizar que las personas autorizadas para tratar datos personales se comprometen, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes, de las que el ENCARGADO les informará convenientemente. El ENCARGADO mantendrá a disposición del RESPONSABLE la documentación acreditativa del cumplimiento de esta obligación. Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas para tratar datos personales. Asistir al RESPONSABLE del tratamiento en le respuesta al ejercicio de los derechos reconocidos por el RGPD. Cuando las personas afectadas ejerzan los derechos de acceso, supresión, etc. ante el ENCARGADO, éste debe comunicarlo por correo electrónico a la dirección que indique el RESPONSABLE. La comunicación debe hacerse de forma inmediata y en ningún caso más allá del día laborable siguiente al de la recepción de la solicitud, juntamente, en su caso, con otras informaciones que puedan ser relevantes para resolver la solicitud. Derecho de información en materia de protección de datos personales: Corresponde al RESPONSABLE facilitar el derecho de información en el momento de la recogida de los datos. El www.aepd.es sedeaepd.gob.es 15/20 RESPONSABLE informará a sus empleados mediante las cartas informativas a sus empleados y su representación laboral, impresos a disposición de los interesados y el cartel de zona videovigilada que colocará en el interior y exterior de los autobuses. Notificación de violaciones de la seguridad de los datos: El ENCARGADO notificará al RESPONSABLE, sin dilación indebida y en cualquier caso antes del plazo máximo de 48 horas y a través de la dirección de correo electrónico que le indique el RESPONSABLE, las violaciones de la seguridad de los datos personales a su cargo de las que tenga conocimiento, juntamente con toda la información relevante para la documentación y comunicación de la incidencia. Dar apoyo al RESPONSABLE del tratamiento en la realización de las evaluaciones de impacto relativas a la protección de datos, cuando proceda. Dar apoyo al RESPONSABLE del tratamiento en la realización de las consultas previas a la autoridad de control, cuando proceda. Poner a disposición del RESPONSABLE toda la información necesaria para demostrar el cumplimiento de sus obligaciones, así como para la realización de las auditorías o las inspecciones que realicen el RESPONSABLE u otro auditor autorizado por él. Implantar las medidas de seguridad necesarias para garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento. Implantar mecanismos para restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico. Implantar mecanismos para verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento. Designar un Delegado de Protección de Datos y comunicar su identidad y datos de contacto al RESPONSABLE. Aportan copia de acuerdo de modificación del contrato marco suscrito entre ***EMPRESA.1. y LYTX, INC, escrito en lengua inglesa. Incluye una adenda sobre el tratamiento de datos del espacio europeo, que incluye, entre otras, cláusulas relativas a deber por parte del encargado de cumplir con los requisitos de la Legislación de Protección de Datos para la transferencia y tratamiento de los Datos Personales, tratar los datos personales para los fines específicos del contrato teniendo en cuenta la legislación vigente, Implementar medidas técnicas y organizativas apropiadas de seguridad para proteger los Datos Personales, comunicar las violaciones de datos personales y tomar las medidas para investigar, mitigar y subsanarlas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/20 - En fecha 21/11/2024 se solicitó por la SGID a TAR, S.L. información y documentación en relación con los hechos denunciados. En fecha 2/1/2025 tuvo entrada un escrito del representante de la sociedad, en el que pone de manifiesto lo siguiente: TAR es un concesionario de venta y servicio postventa oficial de vehículos de las marcas Subaru (Subaru España, S.A.), KGM (KGM Auto Spain, S.A), antes Ssangyong, y Mitsubishi (B&M Automóviles España S.A.). Como punto autorizado de distribución, TAR comercializa vehículos, nuevos y de ocasión y presta el servicio oficial postventa, como taller oficial para el mantenimiento y reparación de los vehículos. Los vehículos en venta de cualquiera de las marcas citadas incluyen de fábrica el “Sistema Avanzado de Asistencia al Conductor ADAS”, obligatorio para todos los vehículos desde el 6 de julio de 20221 como sistema integrado en el vehículo, sobre el que TAR no tiene ninguna capacidad de instalación o manipulación. Adicionalmente, en algunos modelos de alta gama, se incluyen, además de los obligatorios, otros sistemas ADAS, pero en ningún caso se trata un servicio dependiente del concesionario o que el taller instale. Se reitera que son sistemas de serie integrados en la fabricación de los vehículos (exigibles legalmente para su matriculación) y que por tanto, los sistemas ADAS y los datos que puedan recabar dependen en su integridad de las propias marcas fabricantes. Como taller oficial, TAR únicamente verifica el correcto funcionamiento y en su caso, realiza tareas de reparación, pero en ninguna circunstancia estas tareas implican acceder a datos de imágenes grabadas (videovigilancia) ni datos relacionados con localización o geolocalizaciones de los vehículos. Por el momento, de acuerdo con el conocimiento actual, las cámaras integradas en el sistema ADAS disponen de un software preinstalado de fábrica (y por lo tanto ajeno a TAR que no tiene acceso a ningún dato que el sistema ADAS recoja o registre) de reconocimiento de vehículos, peatones, ciclistas y de reconocimiento de señales, pero dichos sistemas no efectúan grabaciones ni se registran localizaciones. Cualquier dato que el sistema ADAS recoja o registre es ajeno a TAR o cualquier otro concesionario o taller. TAR, ni como responsable de tratamiento de datos, ni tampoco como encargado de tratamiento, recaba ni trata datos relacionados con el sistema ADAS, tampoco datos de videovigilancia ni de geolocalización al no disponer, los vehículos que comercializa y/o a los que presta asistencia de taller, este tipo de sistemas. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/20 De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Licitud del tratamiento El primer apartado del artículo 6 del RGPD establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. " III Tratamientos con fines de videovigilancia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/20 El artículo 22.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, (en adelante LOPDGDD) establece lo siguiente: 1. Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones. IV Tratamiento de datos personales obtenidos a través de sistemas de videovigilancia El artículo 22.8 de la LOPDGDD, establece que “El tratamiento por el empleador de datos obtenidos a través de sistemas de cámaras o videocámaras se somete a lo dispuesto en el artículo 89 de esta ley orgánica.” V Derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo El artículo 89 de la LOPDGDD dispone en su tercer apartado lo siguiente: "3. La utilización de sistemas similares a los referidos en los apartados anteriores para la grabación de sonidos en el lugar de trabajo se admitirá únicamente cuando resulten relevantes los riesgos para la seguridad de las instalaciones, bienes y personas derivados de la actividad que se desarrolle en el centro de trabajo y siempre respetando el principio de proporcionalidad, el de intervención mínima y las garantías previstas en los apartados anteriores. La supresión de los sonidos conservados por estos sistemas de grabación se realizará atendiendo a lo dispuesto en el apartado 3 del artículo 22 de esta ley." VI Conclusión Como consecuencia de una denuncia de 22 de abril de 2024, esta Agencia ha tenido conocimiento de la existencia de una posible infracción de la normativa de protección de datos en relación con la instalación de videocámaras en líneas de autobuses que prestan servicio público en Castilla y León, y que pudieran estar tratando datos personales en servidores ubicados en Estados Unidos. Según los hechos denunciados la representación de los trabajadores de las empresas titulares de los autobuses fue informada de la instalación y puesta en funcionamiento de un Sistema Avanzado de Asistencia al Conductor (ADAS). A juicio de éstos, este sistema, no es realmente un sistema de asistencia a la conducción sino un sistema de vigilancia y control. Las actuaciones de investigación realizadas han permitido constatar que la finalidad primordial que tiene la instalación del sistema de videovigilancia en los autobuses es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/20 preservar la necesaria seguridad de las operaciones y la protección tanto del personal de conducción como de los usuarios del servicio público de transporte regular y permanente de viajeros por carretera y otros usuarios de las vías de circulación ante eventos vinculados a la conducción que pudieran poner en peligro su integridad. La instalación del sistema de videovigilancia ha sido informada por la empresa a la representación sindical y a los trabajadores previamente a la instalación y puesta en marcha del sistema de videovigilancia en 2018 y en 2024, constando carteles informativos colocados en el interior y exterior de los vehículos en los que incluyen información de “ZONA VIDEOVIGILADA”, identificación del responsable de los tratamientos e información sobre la dirección postal y electrónica a la que dirigirse para ejercer los derechos de protección de datos personales. Respecto a las características y funcionamiento del sistema, se trata del sistema Drivecam con dos cámaras, una que enfoca al parabrisas del autobús y otra que enfoca al interior del autobús. El sistema no graba audio y proporciona al conductor avisos / alertas visuales y sonoras ante determinadas situaciones de riesgo durante la conducción tales como las anteriormente mencionadas, a título ilustrativo, parada incompleta del vehículo en señal de STOP, salida del carril, incumplimiento de las distancias de seguridad, rebases de velocidad, distracciones, utilización de teléfonos móviles, no utilización de cinturón de seguridad, etc). La información del sistema Drivecam se encuentra alojada en servidores ubicados en EEUU por lo que se produce una transferencia internacional de datos. Este tratamiento de datos está certificado bajo SSAE-18 SOC2 Tipo 2, que incluye una auditoría de los controles del proveedor para gestionar y proteger de forma segura los datos de los clientes. Las políticas adaptadas por el proveedor otorgan todas las garantías para alinearse con las normas ISO27001, NIST 800-53 y CSA Cloud Controls Matrix. A la vista de la documentación aportada, concurre una base jurídica suficiente para el tratamiento de imágenes mediante el sistema de videovigilancia instalado en los autobuses. La finalidad principal (garantizar la seguridad de las operaciones y la protección del personal de conducción y de los viajeros, así como investigar incidentes y prevenir conductas ilícitas) es legítima y se alinea con lo indicado por el artículo 6 RGPD en el contexto de un servicio público de transporte prestado por concesionaria. En el ámbito laboral, el uso de las imágenes “eventuales” para fines de control empresarial encuentra cobertura adicional en el artículo 20.3 del Estatuto de los Trabajadores y en los artículos 89 y 90 de la LOPDGDD, siempre que se respeten las exigencias de información previa, proporcionalidad y necesidad, lo cual ha sido justificado por la parte reclamada. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/20 Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a AUTOCARES CASTILLA Y LEÓN, S.A.U y TAR, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez la resolución sea notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es