← España

PS-00033-2024

1/16  Expediente N.º: EXP202313014 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y con base en los siguientes ANTECEDENTES PRIMERO: Con fecha 29 de agosto de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos (AEPD) por una posible infracción imputable a CONSORCIO SERVICIO CONTRA INCENDIOS Y DE SALVAMENTO PROVINCIA DE CIUDAD REAL con NIF P1300035A (en adelante, CSIS o la parte reclamada). Los hechos que se ponen en conocimiento de esta autoridad: La parte reclamante manifiesta ser trabajador de uno de los parques de bomberos de CSIS. Señala que existe un mural en la entrada de su centro de trabajo en el que figuran las fotografías de todos los trabajadores del centro, incluida la suya, al menos desde el 13 de julio de 2023. Asegura que el mural se encuentra en un lugar de paso y que es visible por cualquier persona que acceda al centro. Afirma que la fotografía le fue realizada por el centro para la elaboración de su carnet profesional tras recabar su consentimiento, pero que no se le ha pedido permiso para “su exposición y la elaboración de un mural público con mi imagen” (sic). Asegura que tras solicitar al centro la retirada de su fotografía, sin éxito, dirigió un escrito el 4 de agosto de 2023 a la dirección del CSIS y a la jefatura del área operativa por el que reiteraba su petición, sin que haya recibido respuesta. Asimismo, asevera que el 10 de agosto expuso verbalmente (…) su malestar por la situación y que le señaló que “tomará las medidas legales que considerará oportunas y de ahí esta denuncia” (sic). Junto a su reclamación aporta: - Fotografías con fecha de 3, 10, 14 y 16 de agosto de 2023 en las que se observa un mural expuesto en una pared, en el que bajo los rótulos de “Consorcio Servicio contra incendios y salvamento provincia Ciudad Real” y “Parque de Bomberos (…)” figuran las fotografías de diferentes trabajadores con la identificación de estos con su nombre y apellidos. Aparecen vestidos de uniforme y se diferencia entre los diferentes grupos de trabajo (A, B, C, D, F). Entre las fotografías figura la de la parte reclamante. - Copia del DNI de la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/16 - Grabación de audio de 4 minutos de duración en la que se escucha una conversación entre alguien que se identifica como ***PUESTO.1 y la parte reclamante. Escrito dirigido por la parte reclamante al CSIS con firma de 2 de agosto de 2023, cuyo contenido se reproduce a continuación. Consta sello de recepción por el CSIS de 4 de agosto de 2023 con número de registro de entrada XXXX: “(…). (…) Asunto: Fotografías de los bomberos expuestas en los parques de la provincia. Expongo: Que se ha expuesto una fotografía muy grande, tamaño mural, con la cara de los bomberos pertenecientes al Parque de bomberos (…), en las dependencias del citado Parque de bomberos, y me imagino que se habrá hecho lo mismo en todos (…). 1. Como (…) SCIS. Que se pidió a los trabajadores permiso para hacer una fotografía, cuyo uso o fin era acompañar al carnet profesional, fotografía que realizo un compañero (…). Considero, que igual que se pidió permiso para hacer la fotografía para el carnet profesional se debería haber pedido permiso a los trabajadores para hacer otro uso de esta, como es la exposición de murales con los rostros de todos los trabajadores en los Parques Provinciales. 2. Como trabajador. Que no he dado mi permiso ni se me ha preguntado por parte de la Dirección del SCIS o de los responsables más directos míos como son: (…) sobre dar otro uso a mi fotografía y no usarla como carnet. Que quede claro, no deseo que mi cara sea expuesta, públicamente, en un mural. Que considero totalmente inadecuado que personas (…) den o hagan uso de mi imagen sin mi permiso, por tanto, SOLICITO; Se retire mi imagen del mural del (…), si no es así, tendré que tomar las medidas legales que considere oportunas y denunciar este hecho a la Agencia de Protección de Datos, por un mal uso de mi imagen. Así mismo, considero que se debería preguntar a todos los compañeros, trabajadores del SCIS si desean que se exponga públicamente su fotografía”. (sic) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/16 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 26 de septiembre de 2023 se dio traslado de dicha reclamación a CSIS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La actuación de traslado y solicitud de información se notificó a la parte reclamada en fecha 28 de septiembre de 2023. Transcurrida el plazo previsto, no consta repuesta de CSIS. TERCERO: Con fecha 29 de noviembre de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: El 4 de junio de 2024 se recibió en la AEPD escrito de la parte reclamante por el que solicita la remisión de las resoluciones dictadas a raíz de su reclamación. QUINTO: Con fecha 31 de marzo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por las presuntas infracciones de los artículos 6 y 17 del RGPD, tipificadas en los artículos 835

  1. a)y 83.5
  2. b)del RGPD, respectivamente. SEXTO: Notificado el citado acuerdo de inicio el 1 de abril de 2025 conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) y transcurrido el plazo otorgado para la formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
  3. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
  4. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/16 PRIMERO: CSIS es empleadora de la parte reclamante, de quien tomó una fotografía para la elaboración de su carnet profesional. SEGUNDO: La mencionada fotografía de la parte reclamante fue utilizada por CSIS para la elaboración de un mural expuesto, al menos desde el 13 de julio de 2023 hasta el 16 de agosto de 2023, en el centro de trabajo del ***CENTRO.1. En el mural figuran las imágenes de todos los trabajadores, así como su nombre y apellidos. TERCERO: La parte reclamante dirigió al CSIS un escrito por el que solicitaba la retirada de su imagen del mural del ***CENTRO.1. La solicitud fue recibida por CSIS el 4 de agosto de 2023, sin que la parte reclamante haya recibido respuesta. CUARTO: No consta que la imagen de la parte reclamante haya sido retirada del mural o acreditación de la base jurídica que permitiría la exposición de la mencionada fotografía. QUINTO: El responsable del tratamiento es el CONSORCIO SERVICIO CONTRA INCENDIOS Y DE SALVAMENTO PROVINCIA DE CIUDAD REAL con NIF P1300035A FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” De acuerdo con el artículo 64 de la LOPDGDD, y teniendo en cuenta las características de las presuntas infracciones cometidas se inicia un procedimiento sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/16 El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  5. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. A tenor de lo anterior, la imagen física de una persona es un dato personal y su protección, por tanto, es objeto de dicho Reglamento. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que CSIS realiza, entre otros tratamientos, la recogida, conservación y exposición de datos personales de datos personales de personas físicas, como la fotografía o imagen de la parte reclamante. CSIS realiza esta actividad en su condición de responsable del tratamiento en tanto que es quien determina los fines y medios de la actividad, conforme al artículo 4.7 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/16 IV Obligación incumplida. Licitud del tratamiento El artículo 6 del RGPD, que regula la licitud del tratamiento, establece lo siguiente: "1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  6. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  7. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  8. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  9. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  10. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
  11. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
  12. f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones. 2. Los Estados miembros podrán mantener o introducir disposiciones más específicas a fin de adaptar la aplicación de las normas del presente Reglamento con respecto al tratamiento en cumplimiento del apartado 1, letras
  13. c)y e), fijando de manera más precisa requisitos específicos de tratamiento y otras medidas que garanticen un tratamiento lícito y equitativo, con inclusión de otras situaciones específicas de tratamiento a tenor del capítulo IX. 3. La base del tratamiento indicado en el apartado 1, letras
  14. c)y e), deberá ser establecida por:
  15. a)el Derecho de la Unión, o
  16. b)el Derecho de los Estados miembros que se aplique al responsable del tratamiento. La finalidad del tratamiento deberá quedar determinada en dicha base jurídica o, en lo relativo al tratamiento a que se refiere el apartado 1, letra e), será necesaria para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Dicha base jurídica podrá contener disposiciones específicas para adaptar la aplicación de normas del presente Reglamento, entre otras: las condiciones generales que rigen la licitud del tratamiento por parte del responsable; los tipos de datos objeto de tratamiento; los interesados afectados; las entidades a las que se pueden comunicar datos personales y los fines de tal comunicación; la limitación de la finalidad; los plazos de conservación de los datos, así como las operaciones y los procedimientos del tratamiento, incluidas las medidas para garantizar un tratamiento lícito y equitativo, como las relativas a otras C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/16 situaciones específicas de tratamiento a tenor del capítulo IX. El Derecho de la Unión o de los Estados miembros cumplirá un objetivo de interés público y será proporcional al fin legítimo perseguido. 4. Cuando el tratamiento para otro fin distinto de aquel para el que se recogieron los datos personales no esté basado en el consentimiento del interesado o en el Derecho de la Unión o de los Estados miembros que constituya una medida necesaria y proporcional en una sociedad democrática para salvaguardar los objetivos indicados en el artículo 23, apartado 1, el responsable del tratamiento, con objeto de determinar si el tratamiento con otro fin es compatible con el fin para el cual se recogieron inicialmente los datos personales, tendrá en cuenta, entre otras cosas:
  17. a)cualquier relación entre los fines para los cuales se hayan recogido los datos personales y los fines del tratamiento ulterior previsto;
  18. b)el contexto en que se hayan recogido los datos personales, en particular por lo que respecta a la relación entre los interesados y el responsable del tratamiento;
  19. c)la naturaleza de los datos personales, en concreto cuando se traten categorías especiales de datos personales, de conformidad con el artículo 9, o datos personales relativos a condenas e infracciones penales, de conformidad con el artículo 10;
  20. d)las posibles consecuencias para los interesados del tratamiento ulterior previsto;
  21. e)la existencia de garantías adecuadas, que podrán incluir el cifrado o la seudonimización." En definitiva, para que un tratamiento sea lícito, debe ampararse en alguna de las bases de legitimación previstas en el artículo 6 del RGPD. A este respecto se pronuncia el Considerando 40 cuando señala: “

(40)Para que el tratamiento sea lícito, los datos personales deben ser tratados con el consentimiento del interesado o sobre alguna otra base legítima establecida conforme a Derecho, ya sea en el presente Reglamento o en virtud de otro Derecho de la Unión o de los Estados miembros a que se refiera el presente Reglamento, incluida la necesidad de cumplir la obligación legal aplicable al responsable del tratamiento o la necesidad de ejecutar un contrato en el que sea parte el interesado o con objeto de tomar medidas a instancia del interesado con anterioridad a la conclusión de un contrato”. En relación con el consentimiento, el artículo 4.11 del RGPD define el consentimiento del interesado como “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen”. Por otra parte, conviene traer a colación lo previsto en el artículo 5.1
  1. b)del RGPD que consagra como uno de los principios de todo tratamiento la “limitación de la finalidad” por el que los datos deberán ser: “recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines; de acuerdo con el artículo 89, apartado 1, el tratamiento ulterior de los datos personales con fines de archivo en interés público, fines de investigación científica e histórica o fines estadísticos no se considerará incompatible con los fines iniciales («limitación de la finalidad»)”; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/16 De conformidad con este artículo, las finalidades deben estar claramente expresadas e identificadas para que el interesado sepa cuáles son los fines del tratamiento de sus datos, fines que deben ser conformes con el ordenamiento jurídico. Sobre la interrelación entre el artículo 6.1 a), y el artículo 5.1
  2. b)se ha pronunciado el Comité Europeo de Protección de Datos (CEPD) en las Directrices 5/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679 al incidir en que uno de los elementos básicos del consentimiento tiene que ser que este sea específico en relación con el fin o fines para los que se recaba: “55. El artículo 6, apartado 1, letra a), confirma que el consentimiento del interesado para el tratamiento de sus datos debe darse «para uno o varios fines específicos» y que un interesado puede elegir con respecto a cada uno de dichos fines. El requisito de que el consentimiento deba ser «específico» tiene por objeto garantizar un nivel de control y transparencia para el interesado. Este requisito no ha sido modificado por el RGPD y sigue estando estrechamente vinculado con el requisito de consentimiento «informado». Al mismo tiempo, debe interpretarse en línea con el requisito de «disociación» para obtener el consentimiento «libre». En suma, para cumplir con el carácter de «específico» el responsable del tratamiento debe aplicar: i la especificación del fin como garantía contra la desviación del uso, ii la disociación en las solicitudes de consentimiento, y iii una clara separación entre la información relacionada con la obtención del consentimiento para las actividades de tratamiento de datos y la información relativa a otras cuestiones. 56. (…) De conformidad con el artículo 5, apartado 1, letra b), del RGPD, la obtención del consentimiento válido va siempre precedida de la determinación de un fin específico, explícito y legítimo para la actividad de tratamiento prevista. La necesidad del consentimiento específico en combinación con la noción de limitación de la finalidad que figura en el artículo 5, apartado 1, letra b), funciona como garantía frente a la ampliación o difuminación gradual de los fines para los que se realiza el tratamiento de los datos una vez que un interesado haya dado su autorización a la recogida inicial de los datos. Este fenómeno, también conocido como desviación del uso, supone un riesgo para los interesados ya que puede dar lugar a un uso imprevisto de los datos personales por parte del responsable del tratamiento o de terceras partes y a la pérdida de control por parte del interesado. 57. Si el responsable del tratamiento se basa en el artículo 6, apartado 1, letra a), los interesados deberán siempre dar su consentimiento para un fin específico para el tratamiento de los datos, En consonancia con el concepto de limitación de la finalidad, con el artículo 5, apartado 1, letra b), y con el considerando 32, el consentimiento puede abarcar distintas operaciones, siempre que dichas operaciones tengan un mismo fin. Huelga decir que el consentimiento específico solo puede obtenerse cuando se informa expresamente a los interesados sobre los fines previstos para el uso de los datos que les conciernen. 58. Sin perjuicio de las disposiciones sobre la compatibilidad de los fines, el consentimiento debe ser específico para cada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/16 fin. Los interesados darán su consentimiento entendiendo que tienen control sobre sus datos y que estos solo serán tratados para dichos fines específicos. Si un responsable trata datos basándose en el consentimiento y, además, desea tratar dichos datos para otro fin, deberá obtener el consentimiento para ese otro fin, a menos que exista otra base jurídica que refleje mejor la situación”. En el presente caso, CSIS tomó una fotografía de la parte reclamante para la elaboración de su carnet profesional, por lo que, en definitiva, CSIS recabó la imagen de la parte reclamante. Para ello, conforme indica la parte reclamante, CSIS recogió el consentimiento expreso de esta para el tratamiento de su imagen. No obstante, con posterioridad esa fotografía fue utilizada para la elaboración de un mural junto con las fotografías del resto de trabajadores del centro, mural expuesto en el centro de trabajo. Sin embargo, no consta el consentimiento de la parte reclamante para la exposición de la fotografía en el centro del trabajo. Tampoco consta que el tratamiento se amparase en otra base de legitimación distinta al consentimiento, dado que no se ha acreditado que este se haya realizado por ser necesario para la ejecución de un contrato lícito, para el cumplimiento de una obligación legal o el cumplimiento de una misión de interés público. No se aprecia tampoco la existencia de un interés vital, debido al carácter restrictivo de este, ni tampoco la existencia de un interés legítimo del responsable que, en cualquier caso, habría obligado a la ponderación de este con los derechos y libertades de los afectados. Por tanto, atendiendo a lo anterior, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a CSIS, por vulneración del artículo 6 del RGPD transcrito anteriormente. V Tipificación de la infracción del artículo 6 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  3. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/16 “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  4. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679." VI Derechos de las personas en materia de protección de datos personales Por otro lado, en la reclamación se hace mención al ejercicio del derecho de supresión de la parte reclamante a la parte reclamada respecto a exposición de la fotografía con su imagen en el mural situado en el centro de trabajo. En este sentido, conviene señalar que los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. Se tiene en cuenta, además, lo expresado en los considerandos 59 y siguientes del RGPD. De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD), y viene obligado a responder las solicitudes formuladas a más tardar en un mes, salvo que pueda demostrar que no está en condiciones de identificar al interesado, y a expresar sus motivos en caso de que no fuera a atender dicha solicitud. Recae sobre el responsable la prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulada por el afectado. La comunicación que se dirija al interesado con ocasión de su solicitud deberá expresarse en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo. VII Obligación incumplida. Derecho de supresión («el derecho al olvido») C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/16 El artículo 17 del RGPD dispone lo siguiente: "1. El interesado tendrá derecho a obtener sin dilación indebida del responsable del tratamiento la supresión de los datos personales que le conciernan, el cual estará obligado a suprimir sin dilación indebida los datos personales cuando concurra alguna de las circunstancias siguientes:
  5. a)los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo;
  6. b)el interesado retire el consentimiento en que se basa el tratamiento de conformidad con el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), y este no se base en otro fundamento jurídico;
  7. c)el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 1, y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento con arreglo al artículo 21, apartado 2;
  8. d)los datos personales hayan sido tratados ilícitamente;
  9. e)los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento;
  10. f)los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información mencionados en el artículo 8, apartado 1. 2. Cuando haya hecho públicos los datos personales y esté obligado, en virtud de lo dispuesto en el apartado 1, a suprimir dichos datos, el responsable del tratamiento, teniendo en cuenta la tecnología disponible y el coste de su aplicación, adoptará medidas razonables, incluidas medidas técnicas, con miras a informar a los responsables que estén tratando los datos personales de la solicitud del interesado de supresión de cualquier enlace a esos datos personales, o cualquier copia o réplica de los mismos. 3. Los apartados 1 y 2 no se aplicarán cuando el tratamiento sea necesario:
  11. a)para ejercer el derecho a la libertad de expresión e información;
  12. b)para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, o para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
  13. c)por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras
  14. h)e i), y apartado 3;
  15. d)con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado 1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
  16. e)para la formulación, el ejercicio o la defensa de reclamaciones." Al igual que el resto de los derechos del interesado, el derecho de supresión es un derecho personalísimo. Las normas antes citadas no permiten que pueda obviarse la solicitud como si no se hubiera planteado, dejándola sin la respuesta que obligatoriamente deberán emitir los responsables, aún en el supuesto de que no existan datos del interesado en los ficheros de la entidad o incluso en aquellos supuestos en los que no reuniera los requisitos previstos, en cuyo caso el responsable C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/16 viene igualmente obligado a requerir la subsanación de las deficiencias observadas o, en su caso, denegar la solicitud motivadamente indicando las causas por las que no procede considerar el derecho de que se trate. En el presente caso, consta solicitud de derecho de supresión de 4 de agosto de 2023, sin que conste contestación alguna la parte reclamante, por lo que no se ha acreditado que solicitud de derecho de supresión de la parte reclamante haya sido atendida o denegada de manera motivada en los términos exigidos por la normativa vigente. A la vista de lo anterior, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a CSIS, por vulneración del artículo 17 del RGPD transcrito anteriormente. VIII Tipificación de la infracción del artículo 17 del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  17. b)los derechos de los interesados a tenor de los artículos 12 a 22; Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  18. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de lo derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679." IX Declaración de las infracciones El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, establece: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/16 “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  19. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
  20. b)Los órganos jurisdiccionales.
  21. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
  22. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
  23. e)Las autoridades administrativas independientes.
  24. f)El Banco de España.
  25. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
  26. h)Las fundaciones del sector público.
  27. i)Las Universidades Públicas.
  28. j)Los consorcios.
  29. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/16 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción. En el presente caso, en la medida en que el CSIS es un consorcio de acuerdo con lo previsto en el artículo 118 de la Ley 40/2015, de 1 de octubre de 2015, le es de aplicación lo previsto en el artículo 77 de la LOPDGDD, de acuerdo con el artículo 77.1 j). Por tanto, procede la declaración de cada una de las infracciones. X Medidas correctivas Confirmadas las infracciones, el citado artículo 77 de la LOPDGDD contempla que la resolución que se dicte pueda establecer las medidas que la entidad infractora deberá adoptar para que cese la conducta infractora, se corrijan los efectos de la infracción que se hubiese cometido y se lleve a cabo la necesaria adecuación, en este caso, a las exigencias contempladas en los artículos 6 y 17 del RGPD, debiendo, además, aportar a la AEPD los medios acreditativos del cumplimiento de lo requerido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/16 Así, se requiere a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, se requiere a CSIS para que, en el plazo de 1 mes a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: - Acreditar la retirada de la imagen de la parte reclamante del mural en la que se encuentra expuesta, salvo que acredite que cuenta con alguna de las bases de legitimación previstas en el artículo 6 del RGPD para este tratamiento. Acreditar la remisión a la parte reclamante de certificación en la que se atienda el derecho de supresión solicitado o se deniegue motivadamente indicando las causas por las que no procede atender la petición de conformidad con lo previsto en esta resolución. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la presente resolución podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que CONSORCIO SERVICIO CONTRA INCENDIOS Y DE SALVAMENTO PROVINCIA DE CIUDAD REAL, con NIF P1300035A, ha infringido lo dispuesto en los artículos 6 y 17 del RGPD, infracciones tipificadas respectivamente en los artículos 83.5.
  30. a)y 83.5
  31. b)del RGPD. SEGUNDO: ORDENAR a CONSORCIO SERVICIO CONTRA INCENDIOS Y DE SALVAMENTO PROVINCIA DE CIUDAD REAL, con NIF P1300035A, que en virtud del artículo 58.2.
  32. d)del RGPD, en el plazo de 1 mes desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de: - la retirada de la imagen de la parte reclamante del mural en la que se encuentra expuesta, salvo que acredite que cuenta con alguna de las bases de legitimación previstas en el artículo 6 del RGPD para este tratamiento. - la remisión a la parte reclamante de certificación en la que se atienda el derecho de supresión solicitado o se deniegue motivadamente indicando las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/16 causas por las que no procede atender la petición de conformidad con lo previsto en esta resolución. TERCERO: NOTIFICAR la presente resolución a CONSORCIO SERVICIO CONTRA INCENDIOS Y DE SALVAMENTO PROVINCIA DE CIUDAD REAL. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  33. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-100325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.