PS-00009-2021

1/12  Procedimiento Nº: PS/00009/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, el reclamante) con fecha 2 de octubre de 2018 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra la Universidad de Extremadura con NIF Q0618001B (en adelante, la reclamada). El reclamante manifiesta que el 10 de agosto de 2018 presentó solicitud de acceso a sus datos personales, tratados en el procedimiento de preinscripción y admisión en los estudios de grado de la Universidad de Extremadura para el curso 2018/2019. Así las cosas, la solicitud de acceso no se contestó habiendo transcurrido más de un mes desde su presentación, siendo desestimada por silencio administrativo. Y, aporta la siguiente documentación: -Copia de solicitud de derecho de acceso ante la Universidad de Extremadura fechada a 10 de agosto de 2018 en relación al procedimiento de preinscripción y admisión de la Universidad de Extremadura para el curso 2018/2019. SEGUNDO: A la vista de los hechos denunciados en la reclamación, de los documentos aportados por el reclamante y de los hechos y documentos de los que ha tenido conocimiento esta Agencia, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD). Como resultado de las actuaciones de investigación practicadas, se constata que el responsable del tratamiento es la reclamada. Como antecedentes al presente procedimiento sancionador, hay que manifestar: En otra reclamación tramitada con anterioridad E/04599/2018, se dio por atendido el derecho de acceso formulado en fecha 18 de abril de 2018 frente a la Universidad, si bien, respecto a los datos personales tratados en el procedimiento de preinscripción y de admisión del curso 2017-2018. Con fecha 11 de diciembre de 2019, en el procedimiento RR/00301/2019, con expediente de origen E/08924/2018, la Agencia Española de Protección de Datos acordó estimar el recurso de reposición por cuanto no atendió el derecho de acceso a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 los datos solicitados ya que la reclamada, en las alegaciones que aporta, adjunta los mismos escritos con los que dio respuesta al ejercicio del derecho de acceso formulado en fecha 18 de abril de 2018. Con fecha 27 de julio de 2020, la reclamada remite a esta Agencia la documentación ya enviada anteriormente el 13 de diciembre de 2018 con motivo del expediente E/08924/2018, la cual hace referencia, a su vez, al expediente E/04599/2018. TERCERO: Con fecha 9 de febrero de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 15 del RGPD, tipificada en el Artículo 83.5 del RGPD. CUARTO: Notificado el citado acuerdo de inicio, la reclamada presentó escrito de alegaciones en el que, en síntesis, manifestaba que: “Con fecha de 15 de noviembre, se recibe solicitud de información de la AEPD al respecto, y se le contesta y remite la información tanto a la AEPD como al solicitante con fecha de 3 de diciembre de 2018. Si bien es cierto que dicha contestación y documentación hace referencia al curso 2017/2018, pero es la misma que la correspondiente al curso 2018/2019 al ser el mismo procedimiento y los mismos datos. Que la reclamada goza del concepto de interesada en el procedimiento E/08924/2018.Sin embargo, no nos da traslado del recurso de reposición presentado en dicho expediente como es su obligación, ni su correspondiente trámite de alegaciones en virtud del art. 118 de la Ley 39/2015, causando indefensión formal y material a esta parte. Pero es más, tampoco se nos notifica la resolución estimatoria. Nos encontramos ante un supuesto claro contemplado en el art. 47.1

1. a)y
2. e)de la Ley 39/2015, y posee efectos ex tunc, es decir, desde la fecha en que se dictó el acto nulo. La reclamada cuenta con un Sistema de Acceso a Servicios en Red, que permite el acceso al reclamado a todos sus datos, mediante la obtención del IDUEX (usuario) y el establecimiento de un PINWEB (contraseña), y para ello debe autenticarse mediante la cuenta de correo principal de la Uex, certificado digital o DNI electrónico. Consta a esta Administración, que esto es conocido por el reclamado, por ser antiguo alumno de esta Universidad, y de hecho, dispone (IDUEX y PINWEB), que las ha utilizado en el proceso de preinscripción, y donde ha podido consultar permanentemente todos sus datos personales, siendo perfecto conocer de ello (DOC 4 y 5). Quiebra el principio de seguridad jurídica con el presente expediente sancionador. Si la solicitud de derecho de acceso del reclamado, tiene registro de 10 de agosto de 2018, y el plazo para contestar de esta administración es de un mes, se entiende que la supuesta infracción, se produjo el 10 de septiembre de 2018. Y según el art. 74 de la Ley Orgánica 3/2018, las infracciones leves prescriben al año, por lo que la presente supuesta infracción está prescrita desde el 10 de septiembre de 2019. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 En el caso que se entendiera que el plazo de prescripción empieza con la resolución estimatoria del recurso de reposición, siendo éste de fecha 10 de diciembre de 2019, la prescripción operaría desde el 10 de diciembre de 2020. En todo caso, remitidos a la Agencia (DOC 6) y al reclamante contestación a su ejercicio del Derecho de acceso a sus datos personales a comienzo del curso 201919”. Aportan contestación al reclamante de fecha 23 de febrero de 2021, en relación con su solicitud de acceso a sus datos personales, tratados en el procedimiento de preinscripción y admisión en los estudios de grado de la Universidad de Extremadura para el curso 2018/2019. QUINTO: Con fecha 25 de febrero de 2021, el instructor del procedimiento acordó la apertura de un período de práctica de pruebas, teniéndose por incorporadas las actuaciones previas de investigación, E/11834/2019, así como los documentos aportados por la reclamada y se solicita a la misma que aporte a esta Agencia, documento acreditativo de que el responsable del tratamiento facilitó al afectado un sistema de acceso remoto, directo y seguro a los datos personales, indicando la fecha en que se le facilitó el acceso y su periodo de validez. Asimismo, sí dicho derecho de acceso es completo o falta información, en relación con lo dispuesto en el párrafo 2 del artículo 13. Con fecha 8 de marzo de 2021, solicita la parte reclamada que se vuelva a remitir el anterior escrito, por haber expirado el plazo de notificación electrónica. El mismo día 8, se acuerda nuevamente la apertura del periodo de práctica de pruebas, y el 23 de marzo de 2021, la reclamada aporta el ejercicio del derecho de acceso en la Universidad de Extremadura, manifestando en síntesis: “que pone a disposición de la comunidad universitaria un completo sistema de información destinado al autoservicio en lo que se refiere al ejercicio del derecho de acceso a los datos personales identificativos, académicos, laborales, etc… este procedimiento electrónico está compuesto por documentos que en todo caso pueden ser impresos, obteniéndose el doble acceso tanto electrónico como impreso. Cuando se desea información verbal, la Universidad de Extremadura dispone de un amplio conjunto de medios organizativos destinados a la consulta directa. En este caso los alumnos pueden obtener información en el Servicio de Información Administrativa, en las secretarias de los Centros y en los correspondientes Servicios Centrales de Acceso, Grado, Másteres y Doctorado y Estudios Propios. En el sistema electrónico el alumno se identifica mediante un sistema de usuario (IDUEX) y pasword (PINWEB). Dado que el principal medio de acceso es electrónico, los accesos son inmediatos y la respuesta electrónica queda inmediatamente a disposición del interesado. Todos los accesos electrónicos son gratuitos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 El acceso electrónico es gratuito y no tiene limitación en el número de accesos estando disponible 24x7. Permanentemente se informa a los miembros de la comunidad universitaria de la existencia del Portal y los alumnos conocen estos medios. Accediendo por la vía electrónica hay muchos documentos que se emiten en formato PDF que posteriormente pueden ser impresos. En ningún caso se impide la impresión de los documentos. La Universidad de Extremadura informa a los alumnos matriculados o preinscritos de la existencia del portal de datos académicos que se encuentra en la Web institucional. El sistema de obtención de IDUEX y PINWEB de la Universidad de Extremadura. Finalidad del sistema: El derecho de acceso a la información personal del estudiante Universitario siempre se ha practicado mediante un documento obligatorio de expedir, que es la certificación académica oficial, donde, junto con los datos personales que la Universidad dispone del alumno, se encuentran los datos académicos con una relación de asignaturas ajustada al plan de estudios del alumno. Este documento, debido a su carácter oficial, tiene un coste de expedición que se especifica, anualmente, en la orden de precios y tasas públicos de la Junta de Extremadura. Este documento se solicita directamente en la secretaría del Centro en el que se encuentra estudiando el alumno. Esta es la primera forma de acceso a los datos personales, aunque no sea gratuita como se exige en el RGPD. Paralelamente a este método, tradicional, se encuentra el acceso mediante aplicaciones informáticas puestas a disposición de cualquier miembro de la comunidad universitaria (alumno, personal de administración y servicios (PAS) y personal docente e investigador (PD) de manera totalmente gratuita. Para poder ejercer este derecho se requiere que el miembro de la comunidad universitaria se identifique ante el sistema de gestión de la Universidad de Extremadura. La forma prevista para identificación arranca en la página de la web de la Universidad (www.unex.es/credenciales). La primera página que aparece, en su pare superior, indica lo siguiente: Gestión de credenciales (adjuntan la página). Esta página indica que aquellas personas que son nuevas en la Universidad, se les da un medio de obtener el identificador y la clave adecuados. La siguiente página que se obtiene (adjuntan la página). Se le solicita el documento Nacional de Identidad y al pulsar en el botón ACCEDER se llega a la siguiente pantalla (adjuntan la pantalla). En esta pantalla se le ofrece la posibilidad de que nos pongamos en contacto mediante el correo electrónico o con el teléfono que previamente ha aportado la misma persona y que se han cargado en la Base de Datos. Con esto se recibe un correo con un pin temporal. En ese momento se incluye el PINWEB que se desea tener y al pulsar en el botón modificar, se guarda encriptado en la base de datos de acceso. A partir de ese momento ya no hay más comunicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 En definitiva, no se envía una carta diciendo el IDUEX y el PINWEB al usuario, sino que son ellos mismos que lo obtienen mediante esta herramienta. Respecto a la forma de utilizar la consulta se realiza en la página principal de la Universidad: www.unex.es/. Al final de la página aparece una llamada al Portal de Servicios. En este caso cuando se entra al portal se obtiene la siguiente pantalla en la que se pide la autenticación. Para mantener la confidencialidad, solo que accede conoce la clave (PINWEB). Una vez introducidas las claves, se accede a la página principal del Portal y a la izquierda de la página se obtiene el menú de la siguiente figura (adjuntan la página). Pulsando en datos personales académicos se obtienen los datos personales que figuran en académico. Como se puede observar hay toda una serie de opciones que, cuando se consultan por cualquier persona física identificada permite conocer datos personales, laborales, académicos, nóminas, cuentas bancarias, etc… Es decir, el ejercicio completo del Derecho de Acceso, pero diseñado desde la propia Universidad y embebido en la aplicación del art. 25 RGPD, para que no haya que pedirlo. Al pulsar en datos personales Académicos: se obtiene lo siguiente (adjuntan página). Como puede verse están todos los datos identificativos y se pueden modificar, aunque algunos de ellos se supervisarán los cambios. Por otro lado, los datos académicos pueden verse mediante la opción del menú DATOS ACADÉMICOS. Como puede observarse solo con esos identificadores están disponibles los derechos de acceso y rectificación, sin necesidad de intervención de nadie ni de recurrir a la AEPD y disponibles 24 horas/día/7 días/semana (24x7). La forma de obtención de estos identificadores se le indica a los alumnos en la página Web dedicada al proceso de preinscripción: www.unex.es/preins.”, y solicitan copia del expediente, procediéndose a la remisión del mismo. SEXTO: El 5 de abril de 2021 se formula propuesta de resolución en los siguientes términos: Que por la Directora de la Agencia Española de Protección de Datos se imponga a UNIVERSIDAD DE EXTREMADURA, con NIF Q0618001B, por una infracción del Artículo 15 del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento. La propuesta de resolución se notificó electrónicamente a la reclamada siendo la fecha de puesta a disposición el 5 de abril de 2021 y la fecha de aceptación ese mismo día. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Consta que el reclamante con fecha 10 de agosto de 2018, presentó solicitud de acceso a sus datos personales, tratados en el procedimiento de preinscripción y admisión en los estudios de grado de la Universidad de Extremadura para el curso 2018/2019. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 La solicitud no se contestó habiendo transcurrido más de un mes desde su presentación, siendo desestimada por silencio administrativo. SEGUNDO: La reclamada remitió al reclamante y a esta Agencia, como respuesta al ejercicio del derecho de acceso para el curso 2018/2019, procedimiento de preinscripción de admisión del curso 2017-2018. TERCERO: Consta que con fecha 23 de febrero de 2021, la reclamada contestó al reclamante en relación con el ejercicio del derecho de acceso a sus datos personales del curso 2018-2019. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II De conformidad con las evidencias de las que se dispone se considera que los hechos probados son constitutivos de infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 El artículo 12 del Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos (RGPD), dispone que: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios. 2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado. 3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo. 4. Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. 5. La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
3. a)cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
4. b)negarse a actuar respecto de la solicitud. El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud. 6. Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 7. La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles mecánicamente. 8. La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 92 a fin de especificar la información que se ha de presentar a través de iconos y los procedimientos para proporcionar iconos normalizados.” III Se imputa a la reclamada la comisión de una infracción por vulneración del Artículo 15 del RGPD. El artículo 15 del RGPD dispone que: “1. El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, derecho de acceso a los datos personales y a la siguiente información:
5. a)los fines del tratamiento;
6. b)las categorías de datos personales de que se trate;
7. c)los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales, en particular destinatarios en terceros u organizaciones internacionales;
8. d)de ser posible, el plazo previsto de conservación de los datos personales o, de no ser posible, los criterios utilizados para determinar este plazo;
9. e)la existencia del derecho a solicitar del responsable la rectificación o supresión de datos personales o la limitación del tratamiento de datos personales relativos al interesado, o a oponerse a dicho tratamiento;
10. f)el derecho a presentar una reclamación ante una autoridad de control;
11. g)cuando los datos personales no se hayan obtenido del interesado, cualquier información disponible sobre su origen; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12
12. h)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 2. Cuando se transfieran datos personales a un tercer país o a una organización internacional, el interesado tendrá derecho a ser informado de las garantías adecuadas en virtud del artículo 46 relativas a la transferencia. 3. El responsable del tratamiento facilitará una copia de los datos personales objeto de tratamiento. El responsable podrá percibir por cualquier otra copia solicitada por el interesado un canon razonable basado en los costes administrativos. Cuando el interesado presente la solicitud por medios electrónicos, y a menos que este solicite que se facilite de otro modo, la información se facilitará en un formato electrónico de uso común. 4. El derecho a obtener copia mencionado en el apartado 3 no afectará negativamente a los derechos y libertades de otros.” IV El artículo 13 de la LOPDGDD determina lo siguiente: “1. El derecho de acceso del afectado se ejercitará de acuerdo con lo establecido en el artículo 15 del Reglamento (UE) 2016/679. Cuando el responsable trate una gran cantidad de datos relativos al afectado y este ejercite su derecho de acceso sin especificar si se refiere a todos o a una parte de los datos, el responsable podrá solicitarle, antes de facilitar la información, que el afectado especifique los datos o actividades de tratamiento a los que se refiere la solicitud. 2. El derecho de acceso se entenderá otorgado si el responsable del tratamiento facilitara al afectado un sistema de acceso remoto, directo y seguro a los datos personales que garantice, de modo permanente, el acceso a su totalidad. A tales efectos, la comunicación por el responsable al afectado del modo en que este podrá acceder a dicho sistema bastará para tener por atendida la solicitud de ejercicio del derecho. No obstante, el interesado podrá solicitar del responsable la información referida a los extremos previstos en el artículo 15.1 del Reglamento (UE) 2016/679 que no se incluyese en el sistema de acceso remoto. 3. A los efectos establecidos en el artículo 12.5 del Reglamento (UE) 2016/679 se podrá considerar repetitivo el ejercicio del derecho de acceso en más de una ocasión durante el plazo de seis meses, a menos que exista causa legítima para ello. 4. Cuando el afectado elija un medio distinto al que se le ofrece que suponga un coste desproporcionado, la solicitud será considerada excesiva, por lo que dicho afectado asumirá el exceso de costes que su elección comporte. En este caso, solo será exigible al responsable del tratamiento la satisfacción del derecho de acceso sin dilaciones indebidas.” V En virtud de lo establecido en el artículo 58.2 del RGPD, la Agencia Española de Protección de Datos, en cuanto autoridad de control, dispone de un conjunto de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 poderes correctivos en el caso de que concurra una infracción a los preceptos del RGPD. El artículo 58.2 del RGPD dispone lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
13. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...) “
14. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” “
15. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” En tal sentido, el artículo 77.1
16. c)y 2, 4 y 5 de la LOPGDD, indica: 1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
17. c)La Administración General del Estado, las Administraciones de las Comunidades autónomas y las entidades que integran la Administración Local. 2 “Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso.” 4.Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5.Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” El artículo 74.
18. a)de la LOPDGDD, bajo la rúbrica “Infracciones consideradas leves dispone: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular las siguientes:
19. c)No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, salvo que resultase la aplicación lo dispuesto en el artículo 72.1k) de esta ley orgánica.” VI En el supuesto presente, en un primer momento, el responsable del tratamiento de los datos no concedió el acceso a los datos solicitados en los términos dispuestos en la normativa de protección de datos transcrita, sino que se limitó a aportar los mismos escritos con los que dio respuesta al ejercicio del derecho de acceso formulado en fecha 18 de abril de 2018 respecto al procedimiento de preinscripción y de admisión del curso 2017-2018. Ahora bien, consta que con fecha 23 de febrero de 2021, la reclamada contestó al reclamante en relación con el ejercicio del derecho de acceso a sus datos personales a comienzos del curso 2018-2019. En relación con lo alegado por la reclamada que se ha producido la prescripción, hay que señalar al respecto lo que señala la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, en su artículo 30.2, indica: “El plazo de prescripción de las infracciones comenzará a contarse desde el día en que la infracción se hubiera cometido. En el caso de infracciones continuadas o permanentes, el plazo comenzará a correr desde que finalizó la conducta infractora. Interrumpirá la prescripción la iniciación, con conocimientos del interesado, de un procedimiento administrativo de naturaleza sancionadora, reiniciándose el plazo de prescripción si el expediente sancionador estuviera paralizado durante más de un mes por causa no imputable al presunto responsable”. Pues bien, al ser una infracción continuada, empezó a contarse la prescripción, a partir del 23 de febrero de este año, cuando por parte de la reclamada se dio cumplimiento a la solicitud del derecho de acceso del reclamado. En relación con que se ha producido indefensión, no se ha producido la misma puesto que en el presente procedimiento puede ejercer su derecho de defensa. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la UNIVERSIDAD DE EXTREMADURA, con NIF Q0618001B, por una infracción del Artículo 15 del RGPD, tipificada en el Artículo 83.5 del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente EXTREMADURA, con NIF Q0618001B. C/ Jorge Juan, 6 28001 – Madrid resolución la UNIVERSIDAD DE www.aepd.es sedeagpd.gob.es 12/12 TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
20. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es