1/8 Expediente N.º: EXP202416668 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 5 de noviembre de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a la UNIVERSIDAD DE LAS PALMAS DE GRAN CANARIA con NIF Q3518001G (en adelante, ULPGC). Los hechos que se ponen en conocimiento de esta autoridad son: La parte reclamante, a través de representante debidamente acreditado, señala que, el 20 de julio de 2022, se le notificó resolución de inicio de procedimiento disciplinario para determinar posibles responsabilidades por la presunta comisión de una falta grave o muy grave en el ejercicio de las funciones inherentes a su puesto. El 17 de octubre de 2022, la parte reclamante refiere que se le comunicó, mediante oficio de la entidad reclamada, que la copia de los expedientes de información reservada y lo tramitado en el expediente disciplinario incoado estaban a su disposición en la Universidad reclamada. La parte reclamante indica que, al recibir la documentación, se dio cuenta que la investigación fue realizada por el ***PUESTO.1 de la ULPGC, junto con la ***PUESTO.2 de la Facultad de (...). En particular, aporta diversas capturas de pantalla correspondientes a una conversación mantenida a través de la aplicación WhatsApp, entre, según refiere, el ***PUESTO.1 de la Universidad y una alumna de la misma, en el período comprendido entre los días 14/06/2022 y 18/06/
- La parte reclamante manifiesta que el ***PUESTO.1 de la Universidad, en base a la información obtenida de la alumna, continuó la investigación dirigiéndose, por e-mail, a (...) del departamento de secretaría. A tal efecto, aporta copia del correo electrónico remitido, así como de la respuesta recibida al mismo de fecha 21/06/
- La parte reclamante expone que el ***PUESTO.1 remitió la información así recabada a la ***PUESTO.2 quien, a su vez, la trasladó al rector de la facultad, para que iniciase procedimiento disciplinario. Asimismo, declara que en el curso de tales remisiones electrónicas la dirección de correo electrónico se consignó de manera incorrecta en dos ocasiones, por lo que desconoce quién más pudo acceder a su información personal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 La parte reclamante expresa que, durante la tramitación del procedimiento disciplinario, manifestó que las actuaciones llevadas a cabo por el ***PUESTO.1 suponían una vulneración de la ley de protección de datos, llegando a solicitar que se diese parte al Delegado de Protección de Datos, desconociendo si se procedió a ello. La parte reclamante comunica que la Universidad finalizó el procedimiento disciplinario sancionándola por una falta muy grave que recurrió ante el Juzgado (…), dictándose Sentencia núm. XXX/YYYY el día ***FECHA.1, declarando la nulidad de la resolución con todos los efectos legales. En particular, pone de relieve lo siguiente, recogido en el Fundamento de Derecho Segundo apartado -II- de la citada sentencia: "(…) a tenor de lo expuesto, concluimos que la prueba de cargo que soporta la sanción ha sido obtenida por un funcionario sin competencia, sin respetar el cauce legal, que no se ha garantizado por la Universidad los derechos en el procedimiento a (…), y siendo nulos los cimientos en los que se apoya la resolución sancionadora, esta debe igualmente participar de esta nulidad plena; (…)". La parte reclamante añade que el Reglamento 2/2021, del Gabinete de Inspección de Servicios de la Universidad de Las Palmas de Gran Canaria y de su función inspectora, estipula que la competencia en materia de instrucción de expedientes disciplinarios e información sancionadora o reservada corresponde de forma exclusiva al Gabinete de Inspección de la Universidad. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la ULPGC, para que procediera a su análisis e informase a esta Agencia en el plazo de un mes. Con fecha 20 de diciembre de 2024, la parte reclamada presentó en el Registro Electrónico de la AEPD respuesta a la actuación de traslado y solicitud de información, acompañada de los siguientes documentos: “(…)_ Informe_reclamación_AEPD”, informe de la Delegada de Protección de Datos (DPD) de la ULPGC emitido con fecha 19 de diciembre de
- “(…)_INFORME_JURIDICO_LEGITIMACION_ACCESO_CUENTA_BANCARIA ”, informe de fecha 9 de marzo de 2023, aprobado por la Delegada de Protección de Datos de la ULPGC, que tiene por objeto determinar si el acceso por parte del ***PUESTO.1 del Centro al número de cuenta de un miembro del personal docente se encuentra o no legitimado en base al ejercicio de sus funciones. En su informe la DPD de la ULPGC, tras precisar que el cargo institucional mencionado por quien reclama en su escrito de reclamación como ***PUESTO.1 de la Universidad corresponde en realidad al ***PUESTO.1 de la Facultad de (...), sostiene que “no se aprecia en la información detallada por la reclamante irregularidad alguna por parte del personal de la ULPGC”, haciendo las siguientes precisiones: "(...), dado que el certificado que solicitaba la alumna era gratuito, desde la ULPGC se le requiere más información para confirmar si existió un pago indebido de tasas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 Esto último se confirma a través de un correo electrónico aportado por la alumna en el que la reclamante le indica que debe ingresar una cantidad de dinero determinada, en concepto de tasas para la expedición del certificado del curso en cuestión, a una cuenta bancaria que resulta ser la cuenta personal de la reclamante. (…) La ***PUESTO.2 únicamente informó al Gabinete de Inspección. El Rector tiene conocimiento de la posible infracción posteriormente, una vez se lo notifica el Gabinete de Inspección, con fin de que sea el Rector quien -ante los indicios de comisión presunta de una infracción disciplinaria- acuerde: primero, iniciar actuaciones previas y, más tarde, incoar el procedimiento disciplinario, como órgano entonces competente a esos efectos, en virtud de los arts. 81 y 223 de los Estatutos de la propia ULPGC. Al documento de alta a terceros, así como al resto de información necesaria para la incoación y desarrollo del procedimiento, únicamente tuvo acceso el personal de la ULPGC asignado a esta tarea. La Universidad está legitimada a acceder a los datos personales del personal docente, en virtud de sus propias funciones. (…) Todo el procedimiento se realizó conforme a lo establecido en las normas de aplicación pertinentes. (…) Respecto al envío erróneo de correos electrónicos (…), es necesario aclarar que la ***PUESTO.2 envió dos correos electrónicos: - Uno de ellos, por un error de escritura, fue enviado a una dirección de la ULPGC que no existía. El otro correo fue enviado a la que entonces era la dirección electrónica de la Gerencia de la ULPGC, respondiendo el Gerente que la información debía remitirse al Gabinete de Inspección. En ambos correos, la ***PUESTO.2 informaba de una posible situación de cobro indebido por parte de (…), no conteniendo dicho correo dato personal alguno de la reclamante. (…), la reclamante informó de una posible vulneración de la normativa de protección de datos a la entonces DPD de la Universidad (…), quien emitió informe con fecha de 22 de marzo de 2023, (…). (…) en dicho informe, entendió la DPD que, pese a que tal vez el medio empleado para la comunicación de los datos de la interesada no fue el más adecuado en un momento determinado, no se produjo una brecha de seguridad por el acceso a los datos personales, ofreciendo las siguientes conclusiones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8
- La universidad en virtud del artículo 6.
- del RGPD, cuenta con la legitimación para acceder a los datos personales del personal docente, en virtud de sus propias funciones. Estos datos que la interesada facilita a la universidad no han sido tratados para una finalidad distinta a la indicada en su recogida, ni tampoco se ha accedido por un miembro de la universidad que careciera de legitimación, puesto que se ha informado que el acceso se hizo por un miembro del área administrativo.
- Los datos personales a los que se ha accedido por parte de los miembros de la universidad, si bien, pertenecen a un miembro del personal docente de la ULPGC, en ningún momento se intentó el acceso deliberado de los datos, sino que se hizo con la única finalidad de identificar la titularidad de la cuenta bancaria, por parte de la universidad. El acceso a este dato se hizo de forma indiscriminada, puesto que no se accedió de forma deliberada a los datos personales de la interesada, sino que como resultado de la búsqueda aparecieron sus datos.
- La comunicación del dato personal puede suponer una brecha de seguridad, si bien no se ha accedido a este dato personal por terceros ajenos a la universidad, no obstante, sí que se puede considerar que no se ha atendido a la seguridad en todo momento del dato, debido a la forma de comunicación de este a los miembros superiores jerárquicos a los que se comunicó. Por ello, la Delegada de Protección de Datos de la universidad, recomienda que no se vuelva a utilizar esta vía para el envío de información o documentación en un futuro, ya que pueden realizarse brechas de seguridad por pérdida de la confidencialidad y falta de seguridad en los datos facilitados.
- En lo que respecta a la solicitud de verificación del número de cuenta que solicitó el ***PUESTO.1 al personal administrativo, de conformidad con lo recogido en el artículo 97 de los Estatutos de la Universidad de las Palmas de Gran Canaria, el ***PUESTO.1 al disponer entre sus funciones la responsabilidad de supervisar la actividad del área administrativa, se encontraba con la legitimación de solicitar que los miembros del área, accedieran a la información relativa al número de cuenta, puesto que como ya se ha indicado previamente su finalidad era la comprobación de los números de cuenta de la universidad y no de los empleados". TERCERO: Con fecha 5 de febrero de 2025, de conformidad con el artículo 65.5 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: En fecha 18 de febrero de 2025, tras analizarse la documentación que obraba en el expediente, se dictó, por la Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía de la Agencia Española de Protección de Datos, resolución acordando el archivo de la reclamación. La resolución fue notificada a la parte recurrente en esa misma fecha, según consta acreditado en el expediente. QUINTO: En fecha 18 de marzo de 2025 la parte reclamante interpuso recurso potestativo de reposición a través del Registro Electrónico de la AEPD, contra la resolución recaída en el expediente EXP202416668, en el que muestra su disconformidad con la resolución impugnada, solicitando que continúe la tramitación por la AEPD de la reclamación inicial presentada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 SEXTO: En fecha 4 de abril de 2025 se remitió el recurso interpuesto a la parte reclamada en el marco de lo establecido en el artículo 118.1 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) a los efectos de que formulase las alegaciones y presentase los documentos y justificantes que estimase procedentes. La parte reclamada presentó escrito de alegaciones en fecha 22 de abril de
- SÉPTIMO: En fecha 20 de mayo de 2025 el Presidente de la Agencia Española de Protección de Datos resolvió estimar el recurso de reposición interpuesto contra la resolución dictada en fecha 18 de febrero de 2025, y, admitir a trámite la reclamación inicial presentada a la AEPD de acuerdo con lo establecido en el artículo 65 de la LOPDGDD. Los argumentos principales contenidos en la resolución estimatoria del recurso fueron los siguientes: Ahora, en el recurso de reposición se alega que el único responsable de velar por el correcto funcionamiento de los servicios y de llevar a cabo la inspección o investigación de los mismos a tal fin, es el Gabinete de Inspección, y no el ***PUESTO.1 ni la ***PUESTO.2 de la facultad (...). Destaca el contenido de la Sentencia XXX/YYYY, dictada el ***FECHA.2 por el Juzgado (…) en el P.A XXX/YYYY que se ha de considerar cosa juzgada y que determina que se recabaron datos bancarios de la investigada, sin que conste en ninguno de los casos consentimiento de la parte recurrente o que fuera acordado por la autoridad competente, y que la investigación llevada a cabo por el ***PUESTO.1 y la ***PUESTO.2 vulnera el art. 27 de la LOPDGDD, pues, a tenor de lo establecido en el art. 5 y 16 del Reglamento 2/2021, del Gabinete de Inspección de Servicios de la Universidad de Las Palmas de Gran Canaria y de su función inspectora, en relación con el art. 196 de los Estatutos de la ULPGC, dichas funciones son competencia exclusiva del Gabinete de Inspección. (…) De conformidad con la Sentencia firme expuesta anteriormente, los datos personales de la parte recurrente fueron expuestos a una persona sin competencia (el ***PUESTO.1 de la FACULTAD DE (...)) para la instrucción del procedimiento sancionador, quien llevó a cabo una “investigación” y obtuvo datos personales de la parte recurrente. Y así, concluye la mencionada Sentencia firme: “concluimos que la prueba de cargo que soporta la sanción ha sido obtenida por un funcionario sin competencia, sin respetar el cauce legal”. FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Prescripción de la infracción El primer apartado del artículo 6 del RGPD establece lo siguiente: "
- El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: a) el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos; b) el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; c) el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; d) el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física; e) el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; f) el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra f) del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones." En el presente caso, cabría analizar si el tratamiento de los datos personales de la reclamante efectuado por parte de ULPGC estaba amparado por alguna base jurídica de legitimación conforme a lo establecido en el artículo 6.1 del RGPD. El eventual incumplimiento de lo establecido en el artículo 6 del RGPD se encuentra tipificado como infracción en el artículo 83.5.a) del mismo Reglamento en los términos siguientes: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 “
- Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD dispone lo siguiente: "
- En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…) b) El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679." En el caso que nos ocupa, los hechos objeto de reclamación tuvieron lugar en el mes de junio de
- En consecuencia, la posible conducta infractora de la reclamada, o cualquier otra que pudiera derivarse de los hechos reclamados, se encontraría prescrita por el transcurso del plazo de tres años establecido para las infracciones muy graves, al no haberse incoado procedimiento sancionador alguno con anterioridad a la finalización de dicho plazo, de conformidad con lo establecido en el artículo 30 de la LPACAP, según el cual: “
- El plazo de prescripción de las infracciones comenzará a contarse desde el día en que la infracción se hubiera cometido. En el caso de infracciones continuadas o permanentes, el plazo comenzará a correr desde que finalizó la conducta infractora. Interrumpirá la prescripción la iniciación, con conocimiento del interesado, de un procedimiento administrativo de naturaleza sancionadora.” Conviene remarcar que la reclamación se formula en noviembre de 2024, casi dos años y medio después de ocurridos lo hechos, sin tiempo material para que esta AEPD pudiera desarrollar las actuaciones que le corresponden para dar el trámite debido a la citada reclamación, que fue admitida a trámite en mayo de 2025, cuando el plazo de prescripción estaba prácticamente vencido. Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de los datos personales de la parte reclamante al estar prescrita la posible conducta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 infractora, de conformidad con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a UNIVERSIDAD DE LAS PALMAS DE GRAN CANARIA y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es