← España

PD-00164-2024

1/9  Expediente N.º: EXP202409953 RESOLUCIÓN DE PROCEDIMIENTO DE DERECHOS Vista la reclamación registrada en fecha 11 de junio de 2024 ante esta Agencia y realizadas las actuaciones procedimentales previstas en el Título VIII de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), se han constatado los siguientes HECHOS PRIMERO: Con fecha 11 de junio de 2024 tuvo entrada en esta Agencia reclamación presentada por A.A.A. (en adelante, la parte reclamante) contra DIPUTACIÓN PROVINCIAL DE CÁCERES (en adelante, la parte reclamada) por no haber sido debidamente atendido su derecho de acceso a sus datos personales. La parte reclamante, con fecha 24 de abril de 2024, ejerció el derecho de acceso a sus datos personales tratados por la parte reclamada, recibiendo respuesta en fecha 22 de mayo de 2024. Manifiesta su disconformidad con el escrito recibido, que califica de incompleto y no ajustado a lo que debe contener el escrito de derecho de acceso. Particularmente, echa en falta la información sobre los destinatarios o las categorías de destinatarios a los que fueron comunicados o serán comunicados sus datos personales, el plazo de conservación de sus datos, la información sobre la posibilidad de ejercitar sus derechos ante el responsable del tratamiento, así como el derecho a presentar una reclamación ante la Autoridad de Control. Junto a su escrito aporta: - - Escrito de derecho de acceso presentado por la parte reclamante en el cual se solicita “Que se me facilite gratuitamente el derecho de acceso a sus ficheros en el plazo máximo de un mes a contar desde la recepción de esta solicitud, y que se me notifique la información en el plazo de diez días a contar desde la resolución estimatoria de la solicitud de acceso” Respuesta por la parte reclamada a la solicitud de derecho de acceso presentado, donde se indican los datos personales de la parte reclamante, asociados a los números de expedientes telemáticos que obran en su poder, el origen de los mismos, así como cesionarios y usos concretos. SEGUNDO: De conformidad con el artículo 65.4 de la LOPDGDD, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 La parte reclamada señaló que “(…) que se ha procedido a atender la solicitud del reclamante de forma ordenada y detallada. Sirva de ejemplo que en el informe del área de informática e innovación, de fecha 21/05/2024, se puede comprobar que existe un epígrafe denominado “Cesionarios” con información sobre el destino o categoría de destinatarios a los que son comunicados sus datos personales en donde se indica: “ Cesionarios: Los datos personales no se han cedido a terceros, salvo en los siguientes casos: Cumplimiento legal o reglamentario: Cuando la cesión de datos personales a otra administración pública sea necesaria para el cumplimiento de una ley, reglamento o disposición legal aplicable. Por ejemplo, puede ser necesario compartir información con agencias gubernamentales encargadas de hacer cumplir la ley para investigaciones criminales o para garantizar el cumplimiento de regulaciones específicas. Intereses públicos esenciales: Cuando la cesión de datos sea necesaria para proteger intereses públicos esenciales, como la seguridad nacional, la defensa, la seguridad pública, la salud pública o la protección de los derechos y libertades de otras personas. Cooperación entre entidades públicas: Cuando la cesión de datos sea necesaria para facilitar la cooperación entre diferentes organismos gubernamentales en el ejercicio de sus funciones legales. Por ejemplo, puede ser necesario compartir información entre entidades públicas para coordinar la prestación de servicios públicos o para llevar a cabo investigaciones conjuntas. Gestión de servicios públicos: Cuando la cesión de datos sea necesaria para la gestión eficiente y efectiva de servicios públicos. Por ejemplo, puede ser necesario compartir información entre diferentes agencias gubernamentales para garantizar la prestación adecuada de servicios de salud, educación, transporte, etc. Transferencias internacionales: En el caso de transferencias internacionales de datos, cuando sea necesario para el cumplimiento de obligaciones legales del responsable del tratamiento de datos o para la ejecución de un contrato en interés del interesado, siempre que se apliquen las garantías adecuadas para proteger los datos personales durante la transferencia.” O en relación a la conservación de los datos, que se encuentran en el registro de actividades de la página de la Corporación (https://www.dip-caceres.es/registro-deactividades/), siendo pública y gratuita, donde se indica: “Los datos se conservarán el tiempo necesario para el cumplimiento de la finalidad señalada y se almacenarán mientras la Diputación Provincial pueda tener responsabilidades derivadas de su tratamiento. Se atenderá a los plazos de archivo temporal documental, de acuerdo a los criterios de conservación, en cumplimiento de la Ley. Asimismo, se atenderá a los plazos de conservación de la información establecidos por la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común y por la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, a efectos de los recursos oportunos.” Asimismo, reconocemos nuestro error en cuanto a la omisión de la información del art 15.1

  1. e)y
  2. f)de RGPD; pidiéndole disculpas al reclamante y agradeciendo la observación para poder corregir el error en el futuro, siendo nuestro interés cumplir con la normativa vigente y dar cumplimiento completo a los derechos de los ciudadanos.” TERCERO: Una vez recibidas las alegaciones de la parte reclamada, surgen determinados aspectos que es necesario aclarar. Por ese motivo, Con fecha 30 de julio de 2024, se le envió nueva comunicación con el fin de complementar la documentación inicialmente remitida aportando la acreditación de la comunicación al interesado de la información relativa a los destinatarios o las categorías de destinatarios a los que, en su caso, hayan sido efectivamente comunicados sus datos, así como del resto de aspectos contemplados en el artículo 15 del RGPD que fueron omitidos en su respuesta del 22 de mayo de 2024. Con fecha 01 de agosto de 2024, desde la Oficina Provincial de Gestión y Seguridad de la Información, se remite un escrito a esta Agencia en el que se indica que “(…) Adjuntamos, nuevamente, el certificado de comparecencia del interesado (fecha202405-22 08:52:39.364-Notificada), donde queda constancia que se notificó el informe del área de informática e innovación al reclamante, existiendo un epígrafe denominado “Cesionarios” con información sobre el destino o categoría de destinatarios a los que, en su caso, fueron comunicados sus datos personales en donde se indica: “Cesionarios: Los datos personales no se han cedido a terceros, (…)” Del informe recibido debemos concluir que sus datos no han sido cedidos y/o comunicados.” Analizada y comprobado las contestaciones que realizamos a los interesados, entre los que se encuentra el reclamante, en ejercer en derechos de acceso, procederemos a incluir la siguiente información de conformidad con la normativa vigente: “El interesado puede ejercer su derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de sus datos personales relativos, o a oponerse a dicho tratamiento; debiendo, en su caso, notificarlo a esta Administración mediante cualquier medio válido en derecho que quede constancia, preferentemente mediante registro electrónico. Igualmente tiene el derecho a presentar una reclamación ante la autoridad de control que proceda, para lo cual le facilitamos el enlace a la página de la Agencia Española de Protección de Datos: https://www.aepd.es/” CUARTO: El resultado del trámite de traslado indicado en el Hecho anterior no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 20 de agosto de 2024, a los efectos previstos en el artículo 64.1 de la LOPDGDD, la Presidencia de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 El mencionado acuerdo concedió a la parte reclamada trámite de audiencia, para que en el plazo de diez días hábiles presentase las alegaciones que estimara convenientes. La parte reclamada ha señalado que “(…) En el escrito recibido, por el que admiten la reclamación presentada por D. A.A.A., en relación al ejercicio de sus derechos de acceso a sus datos, una vez expuesta la cronología de los hechos, se indica: “ En definitiva, la reclamada no acredita haber informado al reclamante sobre si sus datos personales han sido efectivamente cedidos a terceros, ni sobre la posibilidad de ejercitar los derechos que le confieren los apartados
  3. e)y
  4. f)del artículo 15.1 del RGPD.” Resultando que los apartados
  5. e)y
  6. f)del artículo 15.1 del RGPD indican: “
  7. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
  8. f)el derecho a presentar una reclamación ante una autoridad de control;” Adjuntamos el certificado de comparecencia del interesado de fecha 21/08/2024, así como copia de la comunicación enviada donde se indica literalmente: Adjuntamos el certificado de comparecencia del interesado de fecha 21/08/2024, así como copia de la comunicación enviada donde se indica literalmente: “(…) le informamos (...): A. En relación sobre si sus datos personales han sido cedidos a terceros: En el informe del área de informática e innovación, existe un epígrafe denominado “Cesionarios” con información sobre el destino o categoría de destinatarios a los que, en su caso, fueron comunicados sus datos personales en donde se indica: “Cesionarios Los datos personales no se han cedido a terceros, (…)” Del informe recibido debemos concluir que sus datos NO han sido cedidos y/o comunicados. B. En relación a la posibilidad de ejercitar los derechos que le confieren los apartados
  9. e)y
  10. f)del artículo 15.1 del RGPD, le informamos que: “Puede ejercer su derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de sus datos personales relativos, o a oponerse a dicho tratamiento; debiendo, en su caso, notificarlo a esta Administración mediante cualquier medio válido en derecho que quede constancia, preferentemente mediante registro electrónico. Igualmente tiene el derecho a presentar una reclamación ante la autoridad de control que proceda, para lo cual le facilitamos el enlace a la página de la Agencia Española de Protección de Datos: https://www.aepd.es/. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 La parte reclamada ha aportado el escrito remitido a la parte reclamante en el que le informan que no hay cesionarios firmados con fecha 21 de agosto de 2024, así como copia del certificado emitido por el Servicio de Dirección Electrónica Habilitada Única (DEHÚ) en el que consta que la parte reclamada ha accedido al contenido de la notificación en la misma fecha. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1 y 64.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas De conformidad con lo establecido en el artículo 55 del RGPD, la Agencia Española de Protección de Datos es competente para desempeñar las funciones que se le asignan en su artículo 57, entre ellas, la de hacer aplicar el Reglamento y promover la sensibilización de los responsables y los encargados del tratamiento acerca de las obligaciones que les incumben, así como tratar las reclamaciones presentadas por un interesado e investigar, en la medida oportuna, el motivo de las mismas. Correlativamente, el artículo 31 del RGPD establece la obligación de los responsables y encargados del tratamiento de cooperar con la autoridad de control que lo solicite en el desempeño de sus funciones. Para el caso de que éstos hayan designado un delegado de protección de datos, el artículo 39 del RGPD atribuye a éste la función de cooperar con dicha autoridad. De conformidad con esta normativa, siguiendo el trámite previsto en el artículo 65.4 de la LOPDGDD, con carácter previo a la admisión a trámite de la reclamación de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, que da lugar al presente procedimiento, se dio traslado de la misma a la parte reclamada para que procediese a su análisis, diera respuesta a esta Agencia en el plazo de un mes y acreditara haber facilitado al reclamante la respuesta debida. El resultado de dicho traslado no permitió entender satisfechas las pretensiones de la parte reclamante. En consecuencia, con fecha 20 de agosto de 2024, a los efectos previstos en su artículo 64.1 y 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. Dicha admisión a trámite determina la apertura del presente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 procedimiento de falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del RGPD, regulado en el artículo 64.1 de la LOPDGDD, según el cual: “Cuando el procedimiento se refiera exclusivamente a la falta de atención de una solicitud de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, se iniciará por acuerdo de admisión a trámite, que se adoptará conforme a lo establecido en el artículo 65 de esta ley orgánica. En este caso el plazo para resolver el procedimiento será de seis meses a contar desde la fecha en que hubiera sido notificado al reclamante el acuerdo de admisión a trámite. Transcurrido ese plazo, el interesado podrá considerar estimada su reclamación”. El artículo 58.2 del RGPD confiere a la Agencia Española de Protección de Datos una serie de poderes correctivos a los efectos de corregir cualquier infracción del RGPD, de entre los que se incluye “ordenar al responsable o encargado del tratamiento que atiendan las solicitudes de ejercicio de los derechos del interesado en virtud del presente Reglamento. III Derechos de las personas en materia de protección de datos personales Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los Considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 IV Derecho de acceso Conforme a lo establecido en el artículo 15 del RGPD y artículo 13 de la LOPDGDD, "el interesado tiene derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales". Tratándose del derecho de acceso a los datos personales, de acuerdo con lo establecido en el artículo 13 de la LOPDGDD, cuando el ejercicio del derecho se refiera a una gran cantidad de datos, el responsable podrá solicitar al afectado que especifique los "datos o actividades de tratamiento a los que se refiere la solicitud". El derecho se entenderá otorgado si el responsable facilita un acceso remoto a los datos, teniéndose por atendida la solicitud (si bien el interesado podrá solicitar la información referida a los extremos previstos en el artículo 15 del RGPD). El ejercicio de este derecho se podrá considerar repetitivo si se ejerce en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. Por otra parte, la solicitud será considerada excesiva cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, que deberá ser asumido por el afectado. Al igual que el resto de los derechos del interesado, el derecho de acceso es un derecho personalísimo. Permite al ciudadano obtener información sobre el tratamiento que se está haciendo de sus datos, la posibilidad de obtener una copia de los datos personales que le conciernan y que estén siendo objeto de tratamiento, así como información, en particular, sobre los fines del tratamiento, las categorías de datos personales de que se trate, los destinatarios o categorías de destinatarios a los que podrán comunicarse los datos, el plazo previsto o criterios de conservación, la posibilidad de ejercitar otros derechos, el derecho a presentar una reclamación ante la autoridad de control, la información disponible sobre el origen de los datos (si estos no se han obtenido directamente de titular), la existencia de decisiones automatizadas, incluida la elaboración de perfiles, e información sobre transferencias de datos personales a un tercer país o a una organización internacional. La posibilidad de obtener copia de los datos personales objeto de tratamiento no afectará negativamente a los derechos y libertades de otros. V Conclusión En el supuesto aquí analizado, de la documentación aportadas y la información recibida por ambas partes ha quedado acreditado que la parte reclamante ejercitó su derecho de acceso a sus datos personales en fecha 24 de abril de 2024, y que la parte reclamada, en fecha 22 de mayo de 2024 le facilitó dicho acceso de forma incompleta al no informarle sobre los destinatarios o las categorías de destinatarios a los que fueron comunicados o serán comunicados sus datos personales, el plazo de conservación de sus datos, así como el derecho a rectificar y suprimir los datos personales y a presentar, en su caso, reclamación ante la presente autoridad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 La Sentencia del Tribunal de Justicia (Sala Primera), de 12 de enero de 2023, «Procedimiento prejudicial — Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Artículo 15, apartado 1, letra
  11. c)— Derecho de acceso del interesado a sus datos — Información sobre los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales — Limitaciones», “(…) declara: El artículo 15, apartado 1, letra c), del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos),debe interpretarse en el sentido de que el derecho de acceso del interesado a los datos personales que le conciernen, establecido en dicha disposición, implica, cuando esos datos hayan sido o vayan a ser comunicados a destinatarios, la obligación del responsable del tratamiento de facilitar a ese interesado la identidad de esos destinatarios, a menos que no sea posible identificarlos o que dicho responsable del tratamiento demuestre que las solicitudes de acceso del interesado son manifiestamente infundadas o excesivas en el sentido del artículo 12, apartado 5, del Reglamento 2016/679, en cuyo caso este podrá indicar al interesado únicamente las categorías de destinatarios de que se trate.” No obstante, durante la tramitación del presente procedimiento, la parte reclamada ha acreditado haber remitido y notificado un escrito a la parte reclamante en la cual consta la información que faltaba; si sus datos personales han sido efectivamente cedidos a terceros así como sobre la posibilidad de ejercitar los derechos que le confieren los apartados
  12. e)y
  13. f)del artículo 15.1 del RGPD, cumpliendo lo indicado al art 15.1 de RGPD En consecuencia, si bien en un primer momento el derecho no resultó debidamente atendido sí que lo ha sido una vez transcurrido el plazo legalmente establecido, y por ello, procede estimar, por motivos formales, la reclamación que dio lugar al presente procedimiento. Vistos los preceptos citados y demás de general aplicación, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: ESTIMAR por motivos formales, la reclamación formulada por A.A.A. contra DIPUTACIÓN PROVINCIAL DE CÁCERES. No obstante, no procede la emisión de nueva certificación por parte de la parte reclamada, al haberse emitido la respuesta extemporáneamente, sin que se requiera la realización de actuaciones adicionales por parte del responsable. SEGUNDO: NOTIFICAR la presente resolución a A.A.A. y a DIPUTACIÓN PROVINCIAL DE CÁCERES. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 1381-090823 Olga Pérez Sanjuán La Subdirectora General de Inspección de Datos, de conformidad con el art. 48.2 LOPDGDD, por vacancia del cargo de Presidencia y Adjuntía C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.