PA-00053-2025

1/12  Expediente N.º: EXP202516047 RESOLUCIÓN DE PROCEDIMIENTO DE APERCIBIMIENTO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: En fecha 26 de enero de 2024, se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a A.A.A., con NIF ***NIF.1 (en adelante, A.A.A.). Los hechos que se ponen en conocimiento de esta Autoridad son: La parte reclamante manifiesta que contrató los servicios de A.A.A. para realizar el reportaje fotográfico de su boda. Tras ello, A.A.A. le informó que había sufrido un robo en sus instalaciones y que la persona que accedió a las mismas se había llevado equipos donde se encontraban alojadas las imágenes de su boda, por lo que no le podía facilitar las mismas. La parte reclamante entiende que A.A.A. no ha cumplido el deber de proteger el material (videos/fotos), poniendo de manifiesto una ineficaz aplicación de las medidas de seguridad. Junto al escrito aporta copia de comunicaciones intercambiadas con la parte reclamada a través de WhatsApp relativas al acuerdo para realizar el reportaje fotográfico de la boda, así como las relativas a la comunicación del robo en las instalaciones de la parte reclamada llevadas a cabo también mediante WhatsApp. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a ***EMPRESA.1, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue devuelta por el Servicio de Correos por “ausente”. La notificación se reiteró por correo postal certificado, siendo nuevamente devuelta por "ausente" en fecha 22/04/

1. No se ha recibido, por tanto, respuesta a este escrito de traslado. TERCERO: En fecha 26 de abril de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/12 artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Durante las actuaciones previas de investigación, se ha tenido conocimiento de lo siguiente: Se han realizado, sin éxito, tres requerimientos de información a ***EMPRESA.1 con domicilio en ***DIRECCIÓN.
2. El primer requerimiento de información se realizó el 18 de julio de 2024 y fue reiterado el 20/09/2024 y el 22/10/
3. En el intercambio de mensajes de WhatsApp aportado por la parte reclamante, consta un número de teléfono de contacto y un número de cuenta bancaria para el abono del servicio de fotografía contratado para la realización del reportaje fotográfico de su boda. Con objeto de poder identificar al titular de este número de teléfono, se solicita dicha titularidad a la correspondiente operadora. En fecha de 22 de julio de 2024, se recibe en esta Agencia escrito remitido por la operadora informando que el titular del número de teléfono en cuestión es B.B.B. con DNI ***NIF.2 y domicilio en ***DIRECCIÓN.
4. Asimismo, se solicita a la entidad bancaria correspondiente al número de cuenta bancaria que aparece en las comunicaciones aportadas por la parte reclamante, los datos de la titularidad de dicha cuenta. En fecha de 20 de mayo de 2024, se recibe en esta Agencia escrito remitido por esta entidad informando que el titular del número de cuenta bancaria especificado es B.B.B. con DNI ***NIF.2 y domicilio en ***DIRECCIÓN.
5. Realizado un nuevo requerimiento a B.B.B. con DNI ***NIF.2 y domicilio en ***DIRECCIÓN.2, en fecha de 16 de diciembre de 2024 se recibe en esta Agencia escrito de contestación remitido por ***EMPRESA.1, realizando las siguientes manifestaciones: - Que el propietario del estudio es A.A.A. con NIF ***NIF.1 y domicilio en ***DIRECCIÓN.
6. - Que el robo ha tenido lugar en el local del estudio y que fue presentada denuncia de los hechos ante la policía. - Las imágenes sustraídas no han sido recuperadas. Y adjunta la siguiente documentación: - Denuncia presentada ante la Dirección General de la Policía a las 11:45 del 13 de noviembre de
7. En esta denuncia manifiesta: “Que a las 13:30 horas del día 9 de noviembre de 2023, se encontraba en su comercio Oficines/Despatxos professionals ***EMPRESA.1 ***DIRECCIÓN.
8. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/12 Que en ese momento accedió a la trastienda del comercio dejando su bolso y una bolsa con material de trabajo sobre una silla del mostrador. Que al salir de la trastienda vio que su bolso y la bolsa ya no estaban en el sitio donde las había dejado. Que no tiene cámaras de vigilancia ni puede aportar descripción de la persona que sustrajo sus pertenencias. Que los objetos sustraídos han sido los siguientes: -Un ordenador de la marca ASUS modelo ZENBOOK
9. -Un disco duro de la marca G RADAR modelo MIRROR 12 TB. -Un USB. -Una tarjeta de memoria de la marca SANDISK
10. -Una cámara de la marca CANON modelo 7D. -Un teléfono móvil de la marca SAMSUNG modelo NOTE 8 -950€ en efectivo Que tanto el disco duro como el USB contenían información sensible de la empresa, fotografías y vídeos de unas 27 bodas que debía entregar.” Solicitada a A.A.A. que identificara la personalidad jurídica bajo la que opera el estudio, en fecha de 29 de abril de 2025, se recibe en esta Agencia escrito informando que el régimen profesional es el de autónomo. QUINTO: En fecha 13 de octubre de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento de apercibimiento a la parte reclamada, por la presunta infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD. La notificación del citado acuerdo de iniciación, que se practicó conforme a las normas establecidas en la LPACAP, fue recibida en fecha 7 de noviembre de 2025, como consta en el acuse de recibo que obra en el expediente. SEXTO: En contestación al escrito en el que solicitaba la ampliación del plazo que fue concedido para formular alegaciones, en fecha 18 de noviembre de 2025, se acordó ampliar el plazo para formular alegaciones hasta un máximo de cinco días, que debían computarse a partir del día siguiente a aquel en el que finalizara el primer plazo de alegaciones. SÉPTIMO: En fecha 17 de noviembre de 2025, se recibe escrito de alegaciones de la parte reclamada en el que, en síntesis, manifiesta que en la fecha del incidente la parte reclamada (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/12 Expone que el día del robo la alarma estaba desactivada ya que había ido al estudio únicamente a recoger el material profesional para llevarlo a su domicilio (…). Expone que una vez dentro del local, (…), se tuvo que ausentar, y al volver, se percató de que alguien había entrado en el local y se había llevado varios discos duros y material profesional. Entre el material sustraído señala que se encontraban las imágenes de la boda de la parte reclamante. Ante tal situación, manifiesta que llamó a la policía, que acudió al lugar y que el establecimiento vecino no pudo identificar a los autores. Indica que no se trata de un descuido o negligencia por su parte sino de una situación médica urgente e imprevisible. Alega que el estudio contaba con medidas de seguridad como: Seguro con CaixaBank y servicio de seguridad y vigilancia con Securitas Direct. Desea aclarar que cuando recibió el traslado de la reclamación en fecha 22 de abril de 2024, ya no era la arrendataria del local. Añade que, a pesar de lo ocurrido, devolvió a la parte reclamante el importe abonado, actuando en todo momento de buena fe y con voluntad de resolver la situación. Sin embargo, indica que, tras el robo, la parte reclamante contactó con una influencer para acosar a la reclamada en las redes sociales mediante difamaciones, insultos y amenazas hasta el punto de no poder continuar con el desarrollo normal de su trabajo. Por último, considera que, aunque los discos duros sustraídos incluían imágenes de la boda de la parte reclamante, no hay evidencias de que dichas imágenes hayan sido difundidas o publicadas por lo que entiende que la parte reclamante no ha sufrido ningún perjuicio toda vez que ha protegido en todo momento su privacidad, actuando conforme a la normativa. Por todo ello solicita el archivo del expediente teniendo en cuanta las circunstancias médicas, personales y profesionales en el momento del incidente, la inexistencia de negligencia, las medidas de seguridad contratadas, la ausencia de difusión de las imágenes, el acoso y las amenazas sufridas, la imposibilidad de recibir notificaciones ya que no era la arrendataria del local, así como la devolución del importe abonado a la parte reclamante. Junto al escrito aporta ***DOCUMENTO.1, copia del contrato de servicio de seguridad con Securitas Direct de fecha 15/03/2023, cuyo objeto es la instalación, mantenimiento y explotación de centrales de alarmas, copia de datos del seguro con SegurCaixa Adeslas, copia del escrito de renuncia al contrato de arrendamiento de fecha 31/12/2023, copia de la denuncia por amenazas ante el Juzgado de Guardia de l´ Hospitalet de Llobregat, captura de pantalla de la transferencia bizum emitida y copia de comunicaciones intercambiadas con la parte reclamada a través de WhatsApp. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/12 PRIMERO: Consta que A.A.A. con NIF ***NIF.1 y domicilio en ***DIRECCIÓN.2 es la propietaria del estudio fotográfico. SEGUNDO: Consta que la parte reclamante contrató los servicios de A.A.A. para realizar el reportaje fotográfico de su boda. TERCERO: Según la denuncia presentada ante la Dirección General de la Policía, a las 11:45 del 13 de noviembre de 2023, consta: “Que a las 13:30 horas del día 9 de noviembre de 2023, se encontraba en su comercio Oficines/Despatxos professionals ***EMPRESA.1 ***DIRECCIÓN.
11. Que en ese momento accedió a la trastienda del comercio dejando su bolso y una bolsa con material de trabajo sobre una silla del mostrador. Que al salir de la trastienda vio que su bolso y la bolsa ya no estaban en el sitio donde las había dejado. Que no tiene cámaras de vigilancia ni puede aportar descripción de la persona que sustrajo sus pertenencias. Que los objetos sustraídos han sido los siguientes: -Un ordenador de la marca ASUS modelo ZENBOOK
12. -Un disco duro de la marca G RADAR modelo MIRROR 12 TB. -Un USB. -Una tarjeta de memoria de la marca SANDISK
13. -Una cámara de la marca CANON modelo 7D. -Un teléfono móvil de la marca SAMSUNG modelo NOTE 8 -950€ en efectivo Que tanto el disco duro como el USB contenían información sensible de la empresa, fotografías y vídeos de unas 27 bodas que debía entregar.” CUARTO: Consta que las imágenes sustraídas no han sido recuperadas. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/12 los Derechos Digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento, la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas La imagen física de una persona, a tenor del artículo 4.1 del RGPD, es un dato personal y su protección es objeto de dicho Reglamento, entendiendo por dato de carácter personal, como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. Por tanto, procede señalar en primer lugar, que las fotografías e imágenes obtenidas mediante sistemas de grabación audiovisual son datos personales, de acuerdo con la definición contenida en el artículo 4.1 del RGPD. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que A.A.A. realiza, entre otros tratamientos, la recogida, almacenamiento, realización y captación de fotografías y grabaciones en vídeo de personas físicas durante la celebración de bodas, con la finalidad de realizar reportajes fotográficos y vídeos, como servicio ofrecido en su estudio fotográfico, así como su conservación durante un periodo de tiempo en sus dispositivos. A.A.A. realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad en virtud del artículo 4.7 del RGPD. En el caso que nos ocupa, dichos dispositivos fueron sustraídos en las instalaciones de su comercio. Así se recoge en denuncia presentada por A.A.A. ante la Dirección General de la Policía, a las 11:45, del 13 de noviembre de
14. En dicha denuncia manifiesta que los objetos sustraídos fueron los siguientes: -Un ordenador de la marca ASUS modelo ZENBOOK
15. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/12 -Un disco duro de la marca G RADAR modelo MIRROR 12 TB. -Un USB. -Una tarjeta de memoria de la marca SANDISK
16. -Una cámara de la marca CANON modelo 7D. -Un teléfono móvil de la marca SAMSUNG modelo NOTE 8 Asimismo, se señala que “tanto en el disco duro como el USB contenían información sensible de la empresa y fotografías y vídeos de unas 27 bodas que debían entregar”. El artículo 4 apartado 12 del RGPD define, de un modo amplio, las “violaciones de seguridad de los datos personales” (en adelante brecha de datos personales) como “todas aquellas violaciones de la seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.” En el presente caso, consta una brecha de datos personales, categorizada como una brecha de disponibilidad, puesto que, tras haberse sustraído los dispositivos en los que se encontraban las fotografías y vídeos de unas 27 bodas, incluida la de la parte reclamante, se ha producido la pérdida de las imágenes de esta. A.A.A. manifiesta que los datos personales afectados por la brecha no han sido recuperados. La seguridad de los datos personales viene regulada en el artículo 32 del RGPD, que reglamenta la seguridad del tratamiento. III Alegaciones al Acuerdo de inicio En respuesta a las alegaciones presentadas por A.A.A. se debe señalar lo siguiente: Si bien A.A.A. alega que se encontraba (…) que le impedía gestionar adecuadamente el estudio fotográfico, es importante subrayar que la responsabilidad de proteger los datos personales y cumplir con las obligaciones del RGPD no puede ser eximida por circunstancias personales. Las empresas deben tener protocolos de seguridad que operen (…). Así, la afirmación de que la alarma estaba desactivada en el momento del robo implica una negligencia grave en la gestión de la seguridad. (…), dejar soportes de almacenamiento con datos sensibles sin vigilancia y en un lugar accesible al público contraviene la diligencia debida en la custodia de datos personales. La falta de medidas de seguridad efectivas, como mantener la alarma activa, constituye un incumplimiento directo de las obligaciones establecidas en el artículo 32 del RGPD. Por otra parte, a pesar de la existencia de un contrato con un servicio de seguridad, no se han presentado evidencias de que se implementaran medidas efectivas de protección de datos, como cámaras de vigilancia. La ausencia de estas medidas constituye también un incumplimiento directo de las obligaciones establecidas en el artículo 32 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/12 En este sentido, debe señalarse que el artículo 32 del RGPD se infringe tanto si no se adoptan por el responsable las medidas de índole técnica y organizativas apropiadas que garanticen la seguridad de los datos personales, como si, establecidas éstas, las mismas no se observan. Asimismo, el artículo 32.1.c) del RGPD exige la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente. En el caso concreto que nos ocupa, la reclamada admite que el disco duro y el USB contenían las imágenes de 27 bodas que no han sido recuperadas. Por tanto, la falta de una copia de seguridad externa constituye una infracción clara. (…) no justifica que no existiera una copia previa de seguridad que evitara la pérdida permanente de la información. Por último, debe significarse que en la denuncia policial no consta que los dispositivos (ordenador, discos, USB) estuviesen cifrados. El hecho de que no haya evidencia de difusión no exime de responsabilidad. El riesgo de acceso no autorizado se materializó en el momento en que los soportes fueron sustraídos sin medidas de cifrado que impidieran a un tercero ver las imágenes de las bodas. En consecuencia, las alegaciones deben ser desestimadas, significándose que las argumentaciones presentadas no desvirtúan el contenido esencial de la infracción que se declara cometida ni suponen causa de justificación o exculpación suficiente. IV Obligación incumplida. Seguridad del tratamiento. Establece el artículo 32 del RGPD, seguridad del tratamiento, lo siguiente: “
17. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: a) la seudonimización y el cifrado de datos personales; b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico; d) un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
18. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/12
19. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo.
20. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. El Considerando 74 del RGPD, anteriormente reproducido, establece: “Debe quedar establecida la responsabilidad del responsable del tratamiento por cualquier tratamiento de datos personales realizado por él mismo o por su cuenta. En particular, el responsable debe estar obligado a aplicar medidas oportunas y eficaces y ha de poder demostrar la conformidad de las actividades de tratamiento con el presente Reglamento, incluida la eficacia de las medidas. Dichas medidas deben tener en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento, así como el riesgo para los derechos y libertades de las personas físicas.” En el presente caso, como se ha señalado anteriormente, A.A.A. sufrió el robo de un dispositivo USB y un disco duro que contenían los datos personales de los 27 clientes por quienes había sido contratada para fotografiar su enlace matrimonial, incluida la parte reclamante. Esto supone, en la práctica, una brecha de datos personales consistente en la pérdida de disponibilidad de estos datos. A raíz de los hechos anteriormente narrados, se pondría de manifiesto que A.A.A. no contaba con medidas de seguridad de todo tipo adecuadas al riesgo, tal y como exige el artículo 32 del RGPD: En primer lugar, A.A.A. carecía de medidas de seguridad física en su establecimiento donde tenía lugar el tratamiento de los datos, tal y como se recoge en la denuncia ante los Mossos de Esquadra realizada por A.A.A. y aportada por esta a la Agencia el 16 de diciembre de
21. Así, A.A.A. no contaba con cámaras de vigilancia en su estudio, lugar en el que se perpetró el hurto de los dispositivos que contenían datos personales, lo que impidió el reconocimiento de la persona que sustrajo sus pertenencias, y, por tanto, la potencial recuperación de los datos personales perdidos. Asimismo, de la narración de los hechos se desprende que tampoco contaba con un sistema que alertara sobre la entrada de un tercero en el establecimiento cuando ella se encontraba en la trastienda, mientras que los dispositivos que contenían las imágenes bajo su custodia estaban en la parte delantera de tienda, de fácil acceso a cualquier persona que entrara en el local. En segundo lugar, la pérdida permanente de los datos personales, aun cuando fuera de manera accidental, mostraría que A.A.A. carecía de un sistema de copias de seguridad adecuado, especialmente si todos los dispositivos que contenían las imágenes se ubicaban en el mismo lugar y podían desaparecer al mismo tiempo. La adopción e implementación de un adecuado sistema de copias de seguridad es una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/12 medida básica a efectos de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico, tal y como exige el artículo 32 del RGPD. En consecuencia, se considera que los hechos acreditados son constitutivos de una infracción, imputable a A.A.A., por vulneración del artículo 32 del RGPD. V Tipificación y calificación de la infracción La citada infracción del artículo 32 del RGPD supone la comisión de las infracciones tipificadas en el artículo 83.4 del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: a) las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43; (…)” A este respecto, la LOPDGDD, en su artículo 71 “Infracciones” establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 73 “Infracciones consideradas graves” de la LOPDGDD indica: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: f) La falta de adopción de aquellas medidas técnicas y organizativas que resulten apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento, en los términos exigidos por el artículo 32.1 del Reglamento (UE) 2016/679.” VI Apercibimiento Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/12 (…) b) dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento; (…) El artículo 64.3 de la LOPDGDD establece que la AEPD, previa audiencia al responsable o encargado del tratamiento podrá dirigir un apercibimiento. En el presente caso, atendida la naturaleza de los hechos y circunstancias expuestas en los Fundamentos de Derecho precedentes, se estima que por la infracción del artículo anteriormente mencionado procede dirigir a A.A.A. un apercibimiento. Por lo tanto, de acuerdo con la legislación aplicable y valoradas las infracciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DIRIGIR UN APERCIBIMIENTO a A.A.A., con NIF ***NIF.1, por una infracción del artículo 32 del RGPD, tipificada en el artículo 83.4 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a A.A.A.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/12 1403-230126 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es