1/12 Expediente N.º: EXP202103041 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Con fecha 21 de septiembre de 2021, se presentó reclamación ante la Agencia Española de Protección de Datos contra BESTIAL EVENTIS, S.L. con NIF B35551977 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: Se expone en la reclamación que la entidad BESTIAL EVENTIS organiza uno de los eventos más importantes en las islas Canarias de carreras de obstáculos, con la participación de cientos de personas, BESTIALRACE, y que en la página de inscripción solicita información sobre si el participante cuenta con Certificado COVID19 de Vacunación y, en caso de no tenerlo, emplaza al participante a que presente un test PCR o de Antígenos para poder realizar la carrera, entendiendo que dichas solicitudes van en contra de la normativa de protección de datos. Se aporta captura de pantalla donde se aprecia la pregunta que hacen a los corredores que quieren participar. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada/ALIAS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 21 de octubre de 2021, como consta en el certificado que obra en el expediente. Con fecha 17 de noviembre de 2021 se recibe en esta Agencia escrito de respuesta indicando lo siguiente: “La base jurídica para el tratamiento es el CONSENTIMIENTO, amparándonos en el artículo 9. 2. i del REGLAMENTO DE PROTECCIÓN DE DATOS donde se establece: 2.El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12
- i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional. La finalidad es la inscripción en la carrera, concretamente en este apartado, garantizar la salud pública. Los formularios de inscripción, así como la información que contienen solo los trata Bestial Events, cuyo único trabajador soy yo, A.A.A., por lo que soy el único que tiene acceso a ello. A propósito de la reclamación, se cambió el formato en el formulario y se establece en una primera capa “tiene que presentar certificado de vacunación o PRC/antígenos” y se abre una pestaña que establece “quedo informado de lo anterior” con una casilla de selección. Para ponernos en antecedentes, puesto que existía una confusión generalizada y una maraña normativa que cambiada día a día, pasamos a explicar la cronología: El día 1 de agosto de 2021 se abre la inscripción a la carrera, con Gran Canaria a las puertas de la FASE 4, declarada por el Gobierno de Canarias, la cual es la alerta máxima que se podría declarar. Por ese entonces, se solicitaba el certificado de vacunación para entrar en las islas e, incluso, se intentó establecer para entrar en bares y restaurantes. Para la planificación de la carrera se realizó un protocolo COVID adecuado a las circunstancias que estamos viviendo, es decir, la situación de pandemia. La inscripción, como viene siendo habitual, se gestionó con la plataforma TRACKING SPORT. Para elaborar la recogida de datos se valoró los datos mínimos necesarios para ello. Recalcar que el apartado de vacunación es meramente informativo, es decir, solo es para verificar que sabes que tienes que presentar el certificado de vacunación y que, de no tenerlo, habría que presentar una prueba PCR o antígenos con 72 horas de antelación. El 14 de septiembre de 2021, el Tribunal Supremo, sala de lo contencioso administrativo sección cuarta, en su sentencia de 1.112/2021, la cual se anexa bajo el número 3 de documentos, establece la idoneidad de la medida adoptada, no apreciándose limitación alguna cuando se establece la mera exhibición del documento, es decir, enseñar o mostrar la documentación. Desde luego no realizamos un fichero ni hacemos un tratamiento de ese dato. Cuando surge un peligro grave e inminente para la vida de las personas y la protección de la salud pública es lógico creer que está en nuestras manos hacer todo lo posible para intentar evitar la propagación del virus, siempre atendiendo a los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 principios de proporcionalidad y minimización que estable nuestra ley de protección de datos. En ningún momento se hizo discriminación alguna por no contar con la vacunación contra la COVID 19, puesto que no tenerla no es impedimento alguno. Es decir, se cuenta con alternativas, como presentar una PCR o un test de antígenos de 72 horas de antelación a la carrera. Es más, no realizamos actuación alguna con ese dato e igualmente tienen que exhibirlo a la entrega del dorsal. En un evento con tantas personas implicadas -corredores, voluntarios, trabajadores, etc.- se entiende que la medida tomada es la idónea para garantizar, dentro de lo posible, la salud pública. En ningún momento se utiliza la información para un fin distinto que el recogido. Creemos que es, en todo caso, una medida ajustada a las circunstancias que estamos viviendo. Tenemos, además, un protocolo COVID donde establecen las medidas sanitarias mínimas, que se adjunta bajo el número 4 de documentos. Con esto queremos hacer ver que lo que más nos importa es poder realizar nuestras actividades de una manera segura. Ahondando más en el tema, se realizaron dos estudios de necesidad de evaluación de impacto, una utilizando la herramienta de la Agencia Española de Protección de Datos, los cuales de anejan bajo los números 5 y 6 de documentos. Ambos resultados fueron iguales. No es necesario realizar una EVALUACIÓN DE IMPACTO. No realizamos ningún tratamiento que pueda suponer un riesgo alto para los derechos y las libertades de las personas físicas, no utilizamos sistemas informáticos inmaduros ni inseguros. No realizamos tratamientos a gran escala de ningún dato y, por supuesto, no realizamos segregaciones ni discriminaciones. Tomamos en consideración los criterios de valoración establecidos por el Comité Europeo de Protección de Datos en sus Directrices sobre la evaluación de impacto relativa a la protección de datos (EIPD) y para determinar si el tratamiento “entraña probablemente un alto riesgo” a efectos del Reglamento (UE) 2016/679.” TERCERO: Con fecha 21 de diciembre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Tratamiento de categorías especiales de datos personales El artículo 9 del RGPD, que regula el tratamiento de categorías especiales de datos personales, establece lo siguiente: "1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
- a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
- b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;
- c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
- d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12
- e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
- f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
- g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
- h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
- i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional;
- j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud." III Principios relativos al tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 La letra
- c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" IV Normativa autonómica Estudiada la “Resolución de 23 de julio de 2021, por la que se dispone la publicación del Acuerdo por el que se aprueba la actualización de las medidas de prevención establecidas mediante Acuerdo del Gobierno de 19 de junio de 2020, para hacer frente a la crisis sanitaria ocasionada por el COVID-19, una vez superada la Fase III del Plan para la transición hacia una nueva normalidad, finalizada la vigencia de las medidas propias del estado de alarma”, publicada con fecha de 26 de julio de 2021 en el Boletín Oficial de Canarias (BOC) número 152, se procede a hacer referencia a los siguientes párrafos: “[…] ANTECEDENTES […] VII.- El comité científico para la gestión de emergencia sanitaria por COVID -19, en sesión nº 46 celebrada el pasado 19 de julio proponen al Gobierno las siguientes recomendaciones: […] Restringir el acceso a interiores permitiéndolo solo a personas vacunadas o que hayan superado la enfermedad en los espacios interiores que se recogen en el acta. […] VIII.- En consonancia con las recomendaciones del comité mencionado en el apartado anterior, el Director del Servicio Canario de la Salud emite informe de fecha 22 de julio, en el que señala que al objeto de reducir el riesgo sanitario en el interior de la hostería y restauración, y como medida adicional a aquellas otras que le son de aplicación y/o que se adopten, se propone el control de acceso a zonas interiores en los niveles de alerta 3 y 4 mediante certificado de vacunación completa (inmunizados), PDIA negativa en las últimas 72 horas o infección pasada. […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 FUNDAMENTOS DE DERECHO […] Segundo […] En el actual marco jurídico, los pilares que sustentan la adopción de medidas para proteger la salud pública frente a enfermedades contagiosas, lo constituyen la Ley Orgánica 3/1986, de 14 de abril, de Medidas Especiales en Materia de Salud Pública, la Ley 14/1986, de 25 de abril, General de Sanidad, y la Ley 33/2011, de 4 de octubre, General de Salud Pública. […] Teniendo en cuenta lo anterior, vistas las propuestas efectuadas por el Comité Científico y la Consejería de Sanidad, el Gobierno, tras deliberar, acuerda: Primero.- Objeto. Aprobar las medidas de actualización del Acuerdo de Gobierno de 19 de junio de 2020, en los términos del anexo del presente Acuerdo. Dicha actualización viene referida a los siguientes apartados: […] 4) Apartado 3.2 “Actividades de hostelería y restauración”. 5) Apartado 3.7 “Actividades culturales en cines, teatros, auditorios y espacios culturales estables de titularidad pública.” 6) Apartado 3.13.2 “Práctica de la actividad física y deportiva no federada al aire libre y en instalaciones y centros deportivos.” 7) Apartado 3.19 “Establecimientos y locales de juego y apuestas […] Sexto.- Efectos. El presente Acuerdo producirá sus efectos desde el día de su publicación en el Boletín Oficial de Canarias y se mantendrán mientras subsista la declaración de crisis sanitaria ocasionada por el COVID-19. […] ANEXO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 3.13.2 Actividad física y deportiva NO FEDERADA en ZONAS INTERIORES de instalaciones y centros deportivos NIVEL DE ALERTA 4 […] Aforo exclusivamente para aquellos usuarios que dispongan del Certificado COVID-19, con pauta vacunal completa (inmunizados), una Prueba Diagnóstica de Infección Activa (PDIA: no se incluye entre éstas los “autotest diagnósticos”) negativa y realizada en las últimas 72 horas o certificar que ha superado la infección en los últimos seis meses. Si bien las medidas relativas a la presentación de evidencias relacionadas con la situación en relación con la COVID para la entrada en determinados tipos de establecimientos contenidas en la Resolución de 23 de julio de 2021 fueron suspendidas por el Tribunal Superior de Justicia de Canarias, con posterioridad se han publicado normas que han implantado medidas similares a las expuestas. Así, por ejemplo, la Orden de 29 de noviembre de 2021, publicada en el BOC número 250, de 9 de diciembre de 2021, contiene los siguientes párrafos: “FUNDAMENTOS JURÍDICOS […] Tercero.- Al abordar los criterios de afección y limitación de los derechos fundamentales debemos acudir necesariamente a la doctrina marcada por el Tribunal Supremo en su Sentencia nº 1112/2021, de 14 de septiembre de 2021, Sala de lo Contencioso-Administrativo Sección Cuarta, entre otras. Esta Sentencia marca los paramentos jurídicos a valorar al señalar lo siguiente: “[…] En fin, el derecho a la protección de los datos personales pretende garantizar a la persona el control sobre sus propios datos, decidiendo sobre el uso y el destino de los mismos para evitar su tráfico ilícito. Se confiere al titular la facultad de oponerse a su uso, sin su consentimiento, para fines distintos a los que justificaron su obtención. De modo que mediante la regulación de la protección de datos se combaten, por tanto, los peligros y riesgos que se ciernen sobre el almacenamiento y la utilización indiscriminada de datos informáticos de cualquier tipo. Pues bien, respecto de este derecho fundamental a la protección de datos no se aprecia limitación alguna, cuando lo que se establece, para entrar en el interior de un determinado establecimiento, es la mera exhibición, es decir, enseñar o mostrar la documentación en cualquiera de las tres modalidades exigida.[…]” […] RESUELVO: Primero.- En los centros, instalaciones, actividades o espacios de uso público cuyos responsables opten voluntariamente por requerir a sus trabajadores y a sus usuarios mayores de 12 años y 3 meses la acreditación, también voluntaria, de ausencia de infección activa de COVID-19, serán de aplicación los aforos, número de personas por grupo y horarios de cierre vigentes en cada momento para cada actividad y espacio en el nivel de alerta inmediatamente inferior al existentes en la isla correspondiente. En el caso de que el nivel de alerta existente sea el 1, no serán de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 aplicación las limitaciones de aforo, número de personas por grupo y horarios de cierre vigentes en cada momento para dicho nivel. La acreditación voluntaria de la ausencia de infección activa se realizará mediante la exhibición del resultado negativo de una prueba diagnóstica de infección activa de COVID-19, realizada en laboratorio legalmente autorizado con una antelación máxima de 48 horas, no siendo admisibles las pruebas de autodiagnóstico. Dicha acreditación podrá ser sustituida, a opción del interesado, bien por la acreditación voluntaria de vacunación contra dicha enfermedad mediante la exhibición de un certificado oficial de haber recibido la pauta completa de vacunación conforme a lo establecido en la Estrategia de vacunación frente a COVID-19 en España, a partir de los 14 días posteriores a la fecha de administración de la última dosis de la pauta vacunal completa, o bien por la acreditación voluntaria de haber pasado la enfermedad entre los 11 y los 180 días previos, mediante la exhibición de un certificado oficial. Segundo.- La presente Orden se someterá a ratificación judicial de la Sala de lo Contencioso-Administrativo del Tribunal Superior de Justicia de Canarias, de conformidad con lo dispuesto en el artículo 10.8 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, las medidas contenidas en esta Orden. Tercero.- Esta Orden tiene carácter temporal, su eficacia quedará condicionada a la ratificación por Tribunal Superior de Justicia de Canarias, produciendo efectos en caso de ratificación judicial desde el día siguiente al de su publicación en el Boletín Oficial de Canarias. Durará hasta el 15 de enero de 2022, en su caso, sin perjuicio de la posibilidad de una nueva prórroga en función de la evolución de la situación epidemiológica.” La Orden de 29 de noviembre de 2021 fue ratificada por el Auto 219/2021 “por un periodo de tiempo de un mes a computar desde el día siguiente de su publicación en el Boletín Oficial de Canarias, y en todo caso, con una vigencia máxima hasta el 15 de enero de 2022, siendo necesario en caso de prórroga solicitar nueva autorización judicial”. V Hechos constatados El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone lo siguiente: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos auC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 tomatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción”. 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros” Así, un primer aspecto a aclarar es el relativo a si hemos constatado el tratamiento de datos por parte de la parte reclamada promotor del evento deportivo objeto de reclamación. En el escrito presentado por la parte reclamada, éste indica que se amparaba en la Resolución de 23 de julio de 2021. En dicha resolución efectivamente se establece que para acceder a determinados actividades deportivas se exigirá la presentación de certificaciones o acreditaciones relacionadas con la situación personal en relación con la vacunación del Covid o la prueba que indica que no se está contagiado en un determinado momento. La aplicación de la medida anteriormente citada fue suspendida por el Tribunal Superior de Justicia de Canarias y finalmente quedó sin efecto en virtud del Acuerdo de Gobierno de 2 de septiembre de 2021 por el que se deja sin efecto el Acuerdo de Gobierno de 19 de junio de 2020, por el que se establecieron las medidas de prevención para hacer frente a la crisis sanitaria ocasionada por el COVID-19, una vez superada la Fase III del plan para la transición hacia una nueva normalidad, finalizada la vigencia de las medidas propias del estado de alarma, y sus sucesivas actualizaciones, publicado mediante Resolución de la Secretaría General de Presidencia del Gobierno de 6 de septiembre de 2021 (BOC nº 183, de 06.09.2021). V Conclusión El artículo 27 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, consagra el principio de tipicidad en el ámbito de la potestad sancionadora de la Administración, pues prescribe que sólo constituyen infracciones administrativas las vulneraciones del ordenamiento jurídico previstas como tales infracciones por una Ley. Conforme a la doctrina del Tribunal Constitucional, los principios inspiradores del orden penal son de aplicación, con ciertos matices, al derecho administrativo sancionador, dado que ambos son manifestaciones del ordenamiento punitivo del Estado, tal y como refleja la propia Constitución en su artículo 25, lo que impone la necesidad de la predeterminación normativa de las conductas infractoras y de las sanciones correspondientes, que permitan predecir con suficiente grado de certeza (lex certa) aquellas conductas y se sepa a qué atenerse en cuanto a la aneja responsabilidad y a la eventual sanción, debiendo haber una precisa correlación entre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 el ilícito y la acción imputada, mediante una correcta y adecuada subsunción de los hechos probados en el tipo sancionador aplicado. Conforme a los principios del derecho administrativo sancionador es necesario que concurran una serie de elementos para poder entender que se ha producido una infracción administrativa. En primer lugar, para que exista responsabilidad administrativa es necesario que la persona a la que se le imputa haya realizado una acción u omisión. Si esta conducta, activa u omisiva, está regulada en las normas administrativas como infracción, entonces se le otorgará tal naturaleza. Asimismo, el principio de responsabilidad requiere que el presunto responsable haya realizado la conducta de modo culpable o doloso, siendo el primer caso aquel en el que las actuaciones son conscientes y voluntarias, y por culpables aquellas involuntarias pero que derivan en el quebranto de la norma. Otro elemento esencial de las infracciones administrativas es el efecto del tiempo ya que solo se pueden castigar aquellas conductas que aparezcan tipificadas como infracciones al tiempo de cometerse. En el presente caso analizado aun cuando se ha producido la identidad del responsable y del hecho supuestamente antijurídico, no existe constancia de que este último haya llegado a producirse afectando a la parte reclamante al no haberse realizado tratamiento alguno de sus datos personales. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos al no haberse constatado que se haya producido tratamiento de datos del reclamante en ninguno de los ámbitos afectados por las medidas recogidas en la Resolución de 23 de julio de 2021, por la que se dispone la publicación del Acuerdo por el que se aprueba la actualización de las medidas de prevención establecidas mediante Acuerdo del Gobierno de 19 de junio de 2020, para hacer frente a la crisis sanitaria ocasionada por el COVID-19, una vez superada la Fase III del Plan para la transición hacia una nueva normalidad, finalizada la vigencia de las medidas propias del estado de alarma. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a BESTIAL EVENTIS, S.L., y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-020323 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es