← España

PS-00077-2024

1/19  Expediente N.º: EXP202309674 IMI Reference: A56ID 536044 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Se interpuso reclamación ante la Autoridad de protección de datos de Suecia por una posible infracción imputable a EXCEL HOTELS & RESORTS, S.A. con NIF A38083101 (en adelante, EXCEL HOTELS). Los hechos que se pusieron en conocimiento de esta autoridad eran: Se presentó reclamación contra la empresa que administraba un hotel en las instalaciones donde quien reclamaba poseía una residencia de vacaciones. La compañía también era el administrador para la comunidad de propietarios. Se indica que la empresa cerró hacía poco las puertas del complejo, afirmaron mejorar la seguridad y colocaron guardias junto a las entradas. Estos guardias imprimieron carpetas con la información de los propietarios, por ejemplo, los números de Documentos nacionales de identidad (en adelante, DNI) españoles y número de pasaporte sueco de la reclamante. Se reclama que los guardias rutinariamente dejaban estas listas con información personal desatendida y, a veces, con las puertas abiertas, por lo que cualquier persona al pasar podía verlas y tomar fotos de ellas. Otros propietarios habían enviado a quien reclama listas donde la información aparecía claramente. Junto al escrito, se aporta: - Una fotografía de una planilla de varias páginas grapadas y con una piedra encima, con datos de 37 personas físicas y 40 empresas, en la que pueden verse las siguientes columnas: “Contrato explotación” (con valores SI/NO), “Apartamento”, “Titular”, una columna con países (Suecia, Reino Unido, Francia, España, entre otros) de la que no se puede ver la primera fila, una columna con códigos alfanuméricos de la que no se puede ver la primera fila, una columna con lo que parecen números de teléfonos de la que no se puede ver la primera fila y una columna “DNI”. - Una fotografía de una planilla de varias páginas grapadas, siendo consultada por una persona, en la que pueden verse las siguientes columnas “Contrato C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/19 explotación” (con valores SI/NO), “Apartamento”, “Titular”, “País”, una columna con códigos alfanuméricos cuya primera fila resulta difícil de leer pero que pareciera corresponder a “Pasaporte”, una columna con lo que parecen números de teléfonos de la que la primera fila está en blanco y una columna “DNI”. Esta planilla parece ser la misma que la de la primera fotografía. También puede verse otra planilla con el título “Alojados” y el anagrama de EXCEL HOTELS en la que puede verse el nombre completo de algunas personas y una columna que parece ser régimen de alojamiento. SEGUNDO: A través del “Sistema de Información del Mercado Interior” (en lo sucesivo Sistema IMI), regulado por el Reglamento (UE) nº 1024/2012, del Parlamento Europeo y del Consejo, de 25 de octubre de 2012 (Reglamento IMI), cuyo objetivo es favorecer la cooperación administrativa transfronteriza, la asistencia mutua entre los Estados miembros y el intercambio de información, se transmitió la citada reclamación el día 7 de julio de 2023 y se le dio fecha de registro de entrada en la Agencia Española de Protección de Datos (AEPD) el 10 de julio de 2023, teniendo en cuenta su carácter transfronterizo y que esta Agencia es competente para actuar como autoridad de control principal, dado que EXCEL HOTELS tiene su establecimiento único en España. Según las informaciones incorporadas al Sistema IMI, de conformidad con lo establecido en el artículo 60 del RGPD, actúa en calidad de “autoridad de control interesada”, además de la autoridad de protección de datos de Suecia, las autoridades alemanas de Berlín, Baviera Sector Privado y Hesse. Todas ellas en virtud del artículo 4.22 del RGPD, dado que los interesados que residen en el territorio de estas autoridades de control se ven sustancialmente afectados o es probable que se vean sustancialmente afectados por el tratamiento objeto del presente procedimiento. TERCERO: Con fecha 11 de julio de 2023, de conformidad con el artículo 65 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII de la LOPDGDD. 1. El 31 de agosto de 2023, se presentó en esta Agencia un escrito de respuesta de EXCEL HOTELS a requerimiento de información, en el que manifestaba: a. “EXCEL HOTELS, cuenta con su propio sistema de entrada a sus instalaciones, donde se identifica y registra a los clientes o huéspedes, para hacer el registro de viajeros que tiene por obligación la entidad, dentro del ejercicio de su actividad. EXCEL HOTELS se encuentra ubicado en la Comunidad de Propietarios ***COMUNIDAD A.A.A., con CIF ***NIF.1 y dirección ***DIRECCIÓN.1. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/19 Ubicados en la Comunidad de Propietarios se encuentra EXCEL HOTELS y otras viviendas cuya explotación y propiedad no pertenecen a EXCEL HOTELS. EXCEL HOTELS explota algunos servicios de Comunidad de Propietarios ***COMUNIDAD A.A.A., entre los que se encuentra el servicio de seguridad, que subcontrata a una empresa externa, ***EMPRESA.1. A su vez, (…) EXCEL HOTELS factura de forma proporciona, los servicios de seguridad privada a la Comunidad de Propietarios ***COMUNIDAD A.A.A.. La empresa de seguridad ejerce sus funciones y obligaciones establecidas en Ley 5/2014, de Seguridad Privada, entra las que se comprende el control de accesos por seguridad, de todos aquellos usuarios ajenos a la Comunidad de Propietarios.” a. “Se adjunta Acta de la Comunidad de Propietarios ***COMUNIDAD A.A.A. donde se exponen en los folios 4 y 5 los distintos cargos y representación que tiene EXCEL HOTELS en la Comunidad de Propietarios. Es el Administrador de esta, donde le permite ejercer la explotación y gestión de la Comunidad de Propietarios. EXCEL HOTELS tiene acceso a todos los datos personales de los propietarios, como Administrador de la Comunidad. El Administrador de fincas (EXCEL HOTELS), se encarga de la gestión de la Comunidad.” Se aporta copia del acta de la “COMUNIDAD DE PROPIETARIOS ***COMUNIDAD A.A.A., NIF ***NIF.1, ***DIRECCIÓN.1” de 17 de noviembre de 2021, en la que puede leerse que “…se aprueba por mayoría la reelección de Excel Hotels & Resorts S.A. como Secretario-administrador.” b. “EXCEL HOTELS AND RESORTS no cuenta con un personal propio o entre su plantilla para controlar la seguridad del complejo. La seguridad de la Comunidad de Propietarios y otros más servicios a ***COMUNIDAD A.A.A., están gestionados y controlada la seguridad privada, bajo prestación de servicio por la Comunidad de Propietarios. La empresa de Seguridad Privada es ***EMPRESA.1., factura a EXCEL HOTELS, pero a su vez, EXCEL HOTELS le factura dichos servicios de seguridad proporcionalmente a la Comunidad de Propietarios. Se anexan facturas de marzo 2023, fecha sobre la que versa el incidente de seguridad, donde se reflejan los gastos, y contrato de prestación de servicio con la empresa de seguridad, donde se reflejan los servicios contratados. Se aporta una factura de EXCEL HOTELS a “CDAD.PROP. ***COMUNIDAD A.A.A.”, con NIF ***NIF.1, de fecha 31 de marzo de 2023, en concepto de, entre otros, “(…)”. Y se aportan tres facturas de ***EMPRESA.1 a EXCEL HOTELS & RESORTS, S.A., de fecha 31 de marzo, 30 de abril y 31 de mayo de 2023, respectivamente, en concepto de, entre otros, “HORAS DEL SERVICIO DE SEGURIDAD EN HOTEL ***COMUNIDAD A.A.A.”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/19 c. “EXCEL HOTELS es conocedor de una vulneración de derechos en materia de protección de datos provocado por un incidente de seguridad por el personal a cargo de la seguridad de la Comunidad de Propietarios. El Encargado de la seguridad es la empresa ***EMPRESA.1., y por lo tanto el procesador de datos por cuenta de la Comunidad de Propietarios ***COMUNIDAD A.A.A.. Dicho personal de seguridad habitualmente lleva la lista de los usuarios que acceden a las instalaciones en una carpeta, durante su servicio la tenía encima de la mesa de trabajo, visible a cualquier usuario. Estos aprovecharon el infortunio y le sacaron fotos desde la ventana con la finalidad de iniciar un posible conflicto. (…) El personal de seguridad, como protocolo diario, lleva la lista en una carpeta cerrada custodiada por la persona vigilante, que deposita diariamente en una garita, lugar cerrado y con llave, con acceso exclusivamente al personal de seguridad. En el registro de incidente de seguridad que aportamos anexo, se cumplimenta toda la información acerca de la posible brecha que finalmente no fue comunicada a esta Agencia, tras la valoración de esta con un riesgo bajo y la determinación por ende de no tener que comunicárselo a los afectados. Finalmente se acordó por la entidad, registrarlo internamente como un incidente de seguridad y tomar las medidas correctoras que aparecen reflejadas en el registro adjunto.” d. “Como medidas correctoras, se informa a esta Agencia que se ha procedido a realizar una revisión del protocolo de seguridad con el personal, recordando e indicando al personal que ningún bajo ningún concepto deben dejar a la vista o alcance de alguien no autorizado, documentación o ficheros que contengan datos de carácter personal o confidencial. Por último, cabe mencionar que la entidad ha nombrado una Delegado en Protección de Datos externo, con quien se ha agendado una evaluación más precisa sobre los sistemas de tratamiento y sus medidas de seguridad. Además, se complementará con una Auditoría periódica en materia en todos los departamentos, con el fin de que no se repitan los hechos acontecidos ni similares donde puedan verse desprotegidos o afectados los derechos y libertades de usuarios” (sic) Se aporta copia de un contrato de 19 de marzo de 2020 entre ***EMPRESA.1 y EXCEL HOTELS & RESORTS, S.A., cuyo objeto es “la prestación del servicio de vigilancia y seguridad del perímetro y acceso al recinto e instalaciones…”. Y en el que figura como Lugar de Servicio, entre otros: “***COMUNIDAD A.A.A.”, sito en ***DIRECCIÓN.1”. También se aporta copia de un contrato de encargado de tratamiento de 19 de marzo de 2020 entre EXCEL HOTELS & RESORTS, S.A.U. como responsable del tratamiento y ***EMPRESA.1 como encargado del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/19 Se aporta un documento titulado “REGISTRO DE ACTIVIDADES COMO RESPONSABLE DEL TRATAMIENTO”, en cuyo apartado “Medidas técnicas y organizativas de seguridad” puede verse, entre otra información, en lo relativo a los Departamentos, que el acceso al Departamento está regido por las medidas de seguridad del Local y que se le asignó un riesgo “Bajo”. Respecto a “Locales o delegaciones” se dice en cuanto al “Tipo de acceso al local”, como medidas “Entrada libre con control de acceso (personal de recepción, vigilantes, etc.)” y se le asigna un riesgo “Bajo”. Pero no se detalla más medidas. Se aporta un documento titulado “VALORACIÓN COMUNICACIÓN DE BRECHA EN MATERIA DE SEGURIDAD DE DATOS Y REGISTRO DE INCIDENTE” con, entre otros aspectos, el siguiente contenido: “Contexto de la brecha de seguridad: Clientes problemáticos sacan fotografías desde sus apartamentos al listado de clientes del vigilante de seguridad, en un despiste del personal de seguridad, dejando registro de usuarios a la vista. (…) Categorías de datos afectados: Datos de carácter identificativo: NOMBRE APELLIDOS, NÚMERO DE APARTAMENTO, DNI o PASAPORTE. Colectivos afectados: Clientes del establecimiento o usuarios. Volumen aproximado de interesados afectados: 15 personas. Fecha de detección de la brecha de seguridad: 21/03/2023 Fecha de inicio/fin de la brecha: 21/03/2023-22/03/2023 Descripción de la brecha de seguridad: El personal de seguridad habitualmente lleva la lista en una carpeta, pero durante su servicio la tenía encima de la mesa visible y los usuarios con los que tenemos distintos procedimientos judiciales le sacaron fotos desde la ventana con la finalidad de iniciar un procedimiento por la AEPD. Medidas de seguridad previas a la brecha: El personal de seguridad habitualmente lleva la lista en una carpeta cerrada custodiada por la persona vigilante, que deposita diariamente en una garita, lugar cerrado y con llave, con acceso exclusivamente al personal de seguridad. Medidas correctoras posteriores a la brecha: Indicar al personal de seguridad que la lista debe estar siempre en una carpeta cerrada y bajo ningún concepto dejarla a la vista o alcance de alguien, además de acordarlo con el Encargado de tratamiento para que revisen sus políticas de seguridad. Valoración del riesgo para los afectados: Riesgo Bajo. Los efectos, daños y perjuicios que podría ocasionarse a los afectados es de un nivel bajo, ya que no se trata de datos de categoría especial y el volumen de afectados no es alto. No valoramos una posible vulneración de sus derechos o libertades. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/19 Por ello se registra el incidente internamente pero no se comunica como brecha de seguridad a la AEPD. Comunicación a los afectados: NO, no es necesario en base al riesgo valorado. Fecha de resolución de la brecha: 23/03/2023” (sic) 2. El 22 de septiembre de 2023, se presentó en esta Agencia un escrito de respuesta de ***EMPRESA.1 a requerimiento de información, en el que manifestaba: a. “***EMPRESA.1 desconoce la existencia de un incidente de violación de brecha de seguridad y no había tenido constancia hasta recibir el requerimiento de información de la AEPD. (…) Por otra parte, el Responsable del Tratamiento (Excel Hotels and Resorts), así como el personal de ***COMUNIDAD A.A.A., no nos han informado sobre una posible brecha de seguridad. Tampoco nos consta que residentes, personas que hayan accedido a las instalaciones, nuestro propio personal o terceros hayan avisado, tanto escrito o de manera verbal, de una posible violación de seguridad, ni ninguna otra información o dato que nos haya hecho sospechar de la posibilidad de una brecha de seguridad.” a. “El personal de seguridad recibe el listado con los datos de los propietarios del complejo diariamente por parte del personal de ***COMUNIDAD A.A.A. en la recepción del hotel. Se lleva el control de acceso en la entrada de las instalaciones y, una vez terminado su turno, el vigilante devuelve el documento al personal de ***COMUNIDAD A.A.A. en la recepción del hotel. El procedimiento está indicado por el personal de ***COMUNIDAD A.A.A., y cuyo Responsable del tratamiento es Excel Hotels and Resorts, S.A.U.” b. “El personal de seguridad de ***EMPRESA.1, custodia el listado de los propietarios proporcionado diariamente por ***COMUNIDAD A.A.A. en la entrada a sus instalaciones, donde realiza el control de acceso a las mismas y, en todo momento, dicho listado está bajo su control. Nadie accede al documento salvo el personal de seguridad. No se recogen datos en ningún caso, sino que se coteja la información del listado proporcionado por ***COMUNIDAD A.A.A. con la información facilitada por el huésped o visitante para comprobar si debe permitirles el acceso a las instalaciones o no. No se muestra el listado a las personas que acceden a las instalaciones en ningún momento. Estas instrucciones de custodia son impuestas por el hotel de hacer el registro de esta forma concreta; con lo que ***EMPRESA.1 sigue instrucciones del Responsable del tratamiento en relación a los datos personales. Los empleados están informados de su deber de confidencialidad y custodia, ya no solo por instrucciones directas al personal de ***EMPRESA.1, sino también por la propia formación oficial como Vigilante de Seguridad (en el siguiente enlace de la web del Ministerio del Interior, se reflejan los contenidos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/19 mínimos de los módulos profesionales de formación previa: https://www.interior.gob.es/opencms/es/servicios-al-ciudadano/tramites-ygestiones/personal-deseguridad-privada/vigilantes-de-seguridad/temario/)” (sic) Se aporta un documento con el título “Descripción de las actividades de tratamiento realizadas como ENCARGADO DEL TRATAMIENTO DE EXCEL HOTELS AND RESORTS, S.A.U.”, en el que se menciona: “Medidas de seguridad en relación a la documentación en soporte papel: APLICABLE. - (…). - (…). - (…). - (…).” 3. El 2 de noviembre de 2023, se presentó en esta Agencia un escrito de respuesta de EXCEL HOTELS a requerimiento de información, en el que manifestaba: a. “Por otro lado, se adjunta el plan de trabajo marcado por el Delegado en Protección de datos para EXCEL HOTELS & RESORTS SAU para auditar departamentalmente el flujo de datos y aquellos protocolos necesarios y normativa aplicable conforme al RGPD y LOPGDD.” (…) Se adjunta el mismo Plan de trabajo para más detalle llevado a cabo. Por último, Informe de Cumplimiento Normativo elaborado por el DPD, este es un informe en formato Auditoría de protección de datos que incorpora la Responsabilidad proactiva, la Política de Información y la Política de seguridad en un mismo documento de manera que refleja el cumplimiento del RGPD para cada fichero o Registro de actividad” a. “Se adjunta Informe sobre la Política de seguridad, este un informe elaborado para que se implementen medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que entraña el tratamiento de datos, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, alcance, contexto y fines del tratamiento. Además, se ha generado un Protocolo de seguridad en relación con la protección de datos de carácter para el personal, para el conocimiento y cumplimiento de todo el personal de la misma. Este documento se le proporciona a todo el personal, tanto si tiene permiso de acceso a datos personales como si no, ya que establece los mecanismos de seguridad implantados en la empresa con el fin de proteger los datos personales.” b. “Se realizan las auditorías en materia de protección de datos con una consultora externa especializada en RGPD y LOPDGDD. (…) El plan de auditoria de protección de datos está diseñado para hacerse con carácter anual mínimamente, aunque se realizará siempre y cuando C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/19 cambien sustancialmente las circunstancias de recogida y tratamiento de los datos.” c. El plan de medidas de seguridad llevabas a cabo por el personal de seguridad que controla el acceso a la Comunidad de Propietarios, corresponde a la empresa de seguridad privada contratada. La política de control de acceso y sus condiciones son evaluadas previamente y estas determinan las decisiones de acceso. Las condiciones de acceso son determinadas según el perfil de riesgo. El encargado del fichero garantizará la adopción de las medidas técnicas y organizativas necesarias para la seguridad de los datos y que impidan el acceso no autorizado a los ficheros creados para dichos fines. La entidad cuenta con un contrato de Encargado de tratamiento con ***EMPRESA.1. Se adjunta Contrato de prestación de servicio y de ENCARGADO DE TRATAMIENTO con la empresa ***EMPRESA.1, junto al Manual de Seguridad de Accesos.” (sic) En ninguno de estos documentos se detalla las medidas concretas para la debida custodia de los listados de clientes alojados ni miembros de la Comunidad de Propietarios. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR el 24 de octubre de 2023, la entidad EXCEL HOTELS es una empresa constituida en el año 1987 y con un volumen de negocios de 12.339.836 euros en el año 2021. SEXTO: Con fecha 9 de enero de 2025, la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a EXCEL HOTELS, por la presunta infracción del artículo 5.1.

  1. f)del RGPD, tipificada en el Artículo 83.5 del RGPD, a fin de imponerle una multa de 40.000 euros así como la adopción de medidas. SÉPTIMO: En fecha 15 de enero de 2025 EXCEL HOTELS ha procedido al pago de la sanción en la cuantía de 32.000 euros, acogiéndose a la reducción del 20% por pago voluntario de la multa establecida en el acuerdo de inicio, en los términos previstos por el artículo 85.2 de la LPACAP. En el escrito a la AEPD en el que informaba de este hecho, y acreditaba el pago, ha manifestado el no reconocimiento de su responsabilidad El 16 de enero de 2025 ha tenido entrada en esta Agencia escrito de EXCEL HOTELS en el que, en síntesis, manifestaba que para acogerse a esta reducción la entidad renunciaba a la interposición de cualquier acción o recurso en vía administrativa contra la sanción. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/19 HECHOS PROBADOS PRIMERO: EXCEL HOTELS se encuentra ubicado en la Comunidad de Propietarios ***COMUNIDAD A.A.A., con CIF ***NIF.1 y dirección ***DIRECCIÓN.1. En dicha Comunidad se encuentra tanto EXCEL HOTELS como otras viviendas cuya explotación y propiedad no pertenecen a EXCEL HOTELS. SEGUNDO: EXCEL HOTELS fue elegida como Secretario-administrador de la citada Comunidad, por lo cual tiene acceso a los datos personales de todos los propietarios. Además, EXCEL HOTELS contrata el servicio de seguridad con una empresa externa, ***EMPRESA.1., quien actúa como encargado de tratamiento de los datos personales. TERCERO: El personal encargado del control de seguridad en la Comunidad de propietarios, que actúa como encargado de tratamiento de EXCEL HOTELS, dejó a simple vista la siguiente información, a la que accedieron terceros, que consiguieron incluso fotografiar: - Una planilla con datos de 37 personas físicas (en su primera página) con la siguiente información: “Contrato explotación” (con valores SI/NO), “Apartamento”, nombre y apellido, país, número de pasaporte y DNI. - Una planilla con datos de aproximadamente 40 personas (en su primera página) con la siguiente información: nombre y apellido y régimen de alojamiento. CUARTO: No consta que EXCEL HOTEL contara con medidas de seguridad apropiadas a fin de evitar que el personal de seguridad que actuaba como su encargado de tratamiento dejara a simple vista las planillas con los datos personales de clientes alojados en el hotel y de los miembros de la citada Comunidad de Propietarios. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/19 tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que EXCEL HOTELS realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas: nombre, apellidos, número de DNI y pasaporte. EXCEL HOTELS realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. Además, se trata de un tratamiento transfronterizo, dado que EXCEL HOTELS está establecida en España, si bien presta servicio a otros países de la Unión Europea. El RGPD dispone, en su artículo 56.1, para los casos de tratamientos transfronterizos, previstos en su artículo 4.23), en relación con la competencia de la autoridad de control principal, que, sin perjuicio de lo dispuesto en el artículo 55, la autoridad de control del establecimiento principal o del único establecimiento del responsable o del encargado del tratamiento será competente para actuar como autoridad de control principal para el tratamiento transfronterizo realizado por parte de dicho responsable o encargado con arreglo al procedimiento establecido en el artículo 60. En el caso examinado, como se ha expuesto, EXCEL HOTELS tiene su establecimiento único en España, por lo que la Agencia Española de Protección de Datos es la competente para actuar como autoridad de control principal. III Obligación incumplida. Integridad y confidencialidad La letra
  2. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  3. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." En el presente supuesto, EXCEL HOTELS se encuentra ubicado en la Comunidad de Propietarios ***COMUNIDAD A.A.A., con CIF ***NIF.1 y dirección ***DIRECCIÓN.1, en donde se encuentra EXCEL HOTELS y otras viviendas cuya explotación y propiedad no pertenecen a EXCEL HOTELS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/19 EXCEL HOTELS fue elegida como Secretario-administrador de la citada Comunidad, por lo cual tiene acceso a todos los datos personales de los propietarios. Además, EXCEL HOTELS contrata el servicio de seguridad con una empresa externa, ***EMPRESA.1., quien actúa como encargado de tratamiento de los datos personales. En el presente caso, el personal encargado del control de seguridad a la Comunidad de propietarios y al hotel sito en ***DIRECCIÓN.1, dejó a simple vista y se accedió por terceros a la siguiente información, que consiguieron incluso fotografiar: - Una planilla con datos de 37 personas físicas (en su primera página) con la siguiente información: “Contrato explotación” (con valores SI/NO), “Apartamento”, nombre y apellido, país, pasaporte y DNI. - Una planilla con datos de aproximadamente 40 personas (en su primera página) con la siguiente información: nombre y apellido y régimen de alojamiento. Según ha manifestado EXCEL HOTELS, el personal de seguridad, como protocolo diario, lleva la lista en una carpeta cerrada custodiada por la persona vigilante, que deposita diariamente en una garita, lugar cerrado y con llave, con acceso exclusivamente al personal de seguridad. No obstante, no consta que EXCEL HOTELS contara con medidas de todo tipo apropiadas a fin de evitar que el personal de seguridad dejara a simple vista las planillas con los datos personales de clientes alojados en el hotel y de los miembros de la citada Comunidad de Propietarios. Esta falta de medidas se ha materializado en una pérdida de confidencialidad de los datos objeto de tratamiento de los que es responsable EXCEL HOTEL. A raíz del incidente objeto del presente procedimiento, EXCEL HOTELS ha manifestado en su escrito de 31 de agosto de 2023 que “se ha procedido a realizar una revisión del protocolo de seguridad con el personal, recordando e indicando al personal que ningún bajo ningún concepto deben dejar a la vista o alcance de alguien no autorizado, documentación o ficheros que contengan datos de carácter personal o confidencial.” Y que “la entidad ha nombrado una Delegado en Protección de Datos externo, con quien se ha agendado una evaluación más precisa sobre los sistemas de tratamiento y sus medidas de seguridad. Además, se complementará con una Auditoría periódica en materia en todos los departamentos, con el fin de que no se repitan los hechos acontecidos ni similares donde puedan verse desprotegidos o afectados los derechos y libertades de usuarios” En su escrito de 2 de noviembre de 2023, EXCEL HOTELS ha manifestado que “se adjunta el plan de trabajo marcado por el Delegado en Protección de datos para EXCEL HOTELS & RESORTS SAU para auditar departamentalmente el flujo de datos y aquellos protocolos necesarios y normativa aplicable conforme al RGPD y LOPGDD.” Y que “Se adjunta el mismo Plan de trabajo para más detalle llevado a cabo. Por último, Informe de Cumplimiento Normativo elaborado por el DPD, este es un informe en formato Auditoría de protección de datos que incorpora la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/19 Responsabilidad proactiva, la Política de Información y la Política de seguridad en un mismo documento de manera que refleja el cumplimiento del RGPD para cada fichero o Registro de actividad” También indica que: “Se adjunta Informe sobre la Política de seguridad, este un informe elaborado para que se implementen medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que entraña el tratamiento de datos, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, alcance, contexto y fines del tratamiento. Además, se ha generado un Protocolo de seguridad en relación con la protección de datos de carácter para el personal, para el conocimiento y cumplimiento de todo el personal de la misma. Este documento se le proporciona a todo el personal, tanto si tiene permiso de acceso a datos personales como si no, ya que establece los mecanismos de seguridad implantados en la empresa con el fin de proteger los datos personales.” Asimismo, se explica que: “Se realizan las auditorías en materia de protección de datos con una consultora externa especializada en RGPD y LOPDGDD. (…) El plan de auditoria de protección de datos está diseñado para hacerse con carácter anual mínimamente, aunque se realizará siempre y cuando cambien sustancialmente las circunstancias de recogida y tratamiento de los datos.” Finalmente, señala que: “El plan de medidas de seguridad llevabas a cabo por el personal de seguridad que controla el acceso a la Comunidad de Propietarios, corresponde a la empresa de seguridad privada contratada. La política de control de acceso y sus condiciones son evaluadas previamente y estas determinan las decisiones de acceso. Las condiciones de acceso son determinadas según el perfil de riesgo. El encargado del fichero garantizará la adopción de las medidas técnicas y organizativas necesarias para la seguridad de los datos y que impidan el acceso no autorizado a los ficheros creados para dichos fines.” En ninguno de estos documentos se detalla las medidas concretas para la debida custodia en aras a garantizar su confidencialidad de los datos personales contenidos en los listados de clientes alojados ni en los listados de los miembros de la Comunidad de Propietarios. Por su parte, en su escrito de 22 de septiembre de 2023, ***EMPRESA.1 ha manifestado que: “***EMPRESA.1 desconoce la existencia de un incidente de violación de brecha de seguridad y no había tenido constancia hasta recibir el requerimiento de información de la AEPD. (…) Por otra parte, el Responsable del Tratamiento (Excel Hotels and Resorts), así como el personal de ***COMUNIDAD A.A.A., no nos han informado sobre una posible brecha de seguridad. Tampoco nos consta que residentes, personas que hayan accedido a las instalaciones, nuestro propio personal o terceros hayan avisado, tanto escrito o de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/19 manera verbal, de una posible violación de seguridad, ni ninguna otra información o dato que nos haya hecho sospechar de la posibilidad de una brecha de seguridad.” Por todo lo expuesto, no ha quedado acreditado que EXCEL HOTELS contara con las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento en cuestión, en lo relativo a evitar que pudiera dejarse a simple vista las planillas con los datos personales de clientes alojados y miembros de la Comunidad de Propietarios. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a EXCEL HOTELS, por vulneración del artículo 5.1.
  4. f)del RGPD. IV Tipificación de la infracción del artículo 5.1.
  5. f)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, que se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  6. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; (…)” Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  7. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." V Sanción por la infracción del artículo 5.1.
  8. f)del RGPD A fin de determinar la multa administrativa a imponer se han de observar las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/19 “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  9. a)a
  10. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  11. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  12. b)la intencionalidad o negligencia en la infracción;
  13. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  14. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  15. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  16. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  17. g)las categorías de los datos de carácter personal afectados por la infracción;
  18. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  19. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  20. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  21. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  22. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  23. a)El carácter continuado de la infracción.
  24. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  25. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/19
  26. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  27. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  28. f)La afectación a los derechos de los menores.
  29. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  30. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de negocio de EXCEL HOTELS de 12.339.836 euros en el año 2021. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con los hechos probados de que se dispone en el presente momento de resolución de procedimiento sancionador, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2, letra a), del RGPD): por dejar a simple vista los datos de apartamento, nombre y apellido, país, pasaporte y DNI de, al menos, 37 miembros de la comunidad de propietarios y el nombre completo y régimen de alojamiento de, al menos, 40 clientes alojados en el hotel, el 21 de marzo de 2023, debido a no contar con las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento en cuestión, en lo relativo a evitar que pudiera dejarse a simple vista las planillas con los datos personales y, con ello, que se produzca un acceso indebido por terceros (e incluso realizar fotografías) de los datos personales que estas planillas contenían. Al respecto, el identificador numérico del DNI junto con el carácter de verificación correspondiente al número de identificación fiscal, así como el número de pasaporte, identifica a una persona física de modo indubitado. Esta cualidad los convierte en un dato particularmente sensible pues, en la medida en que su tratamiento no vaya acompañado de las medidas técnicas y organizativas necesarias para garantizar que quien se identifica con él es realmente su titular, un tercero puede suplantar la identidad de una persona física con total facilidad, o, con otras palabras, puede provocar un fraude de identidad, con los riesgos que ello comporta para la privacidad, el honor y el patrimonio del suplantado. Por lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/19 que se tiene en cuenta esta circunstancia a la hora de graduar la sanción a imponer. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: • La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2, letra b), de la LOPDGDD): EXCEL HOTELS se dedica a la gestión hotelera y a prestar servicios de secretario-administrador a la comunidad de propietarios, por lo que su actividad requiere un continuo tratamiento de datos personales. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  31. f)del RGPD, permite fijar una sanción de multa administrativa de 40.000,00 euros. VI Terminación del procedimiento por pago voluntario El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio se le permitía llevar a cabo el pago voluntario de la sanción propuesta. Así, EXCEL HOTELS ha hecho uso de la facultad contemplada en el artículo 85.2 LPACAP, pero sin reconocimiento de responsabilidad, lo que supone la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción queda establecida en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/19 32.000 euros y su pago implica la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Al respecto, ha de señalarse que, de acuerdo con el apartado 3 del artículo 85 LPACAP, la efectividad de la citada reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Por otro lado, debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el pago voluntario por el presunto responsable no exime a la Administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. VII Medidas correctivas La resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del artículo 5.1.
  32. f)del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
  33. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que podrían dar lugar a esa posible vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. No obstante, en este caso, con independencia de lo anterior, de conformidad con los hechos probados de que se dispone en el presente momento de resolución de procedimiento sancionador, se requiere a EXCEL HOTELS para que, en el plazo máximo de TRES MESES, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: - Acreditar la aplicación efectiva de las medidas técnicas y organizativas adecuadas, no solo para cumplir con la normativa, sino para demostrar su cumplimiento antes las autoridades de control e interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/19 La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que EXCEL HOTELS & RESORTS, S.A., con NIF A38083101, ha infringido lo dispuesto en el artículo 5.1.
  34. f)del RGPD, infracción tipificada en el artículo 83.5 del RGPD y CONFIRMAR a los efectos previstos en el artículo 64.2
  35. b)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), la sanción indicada en el acuerdo de inicio del presente procedimiento sancionador por la comisión de la citada infracción: 40.000 euros. Tras haber procedido la parte reclamada al pronto pago, antes de dictarse resolución, y sin reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 20% del total mencionado, lo cual supone la cantidad definitiva de 32.000,00 euros SEGUNDO: ORDENAR a EXCEL HOTELS & RESORTS, S.A., con NIF A38083101, que en virtud del artículo 58.2.
  36. d)del RGPD, en el plazo máximo de tres meses desde que la presente resolución sea firme y ejecutiva, acredite haber procedido al cumplimiento de: - Acreditar la aplicación efectiva de las medidas técnicas y organizativas adecuadas, no solo para cumplir con la normativa, sino para demostrar su cumplimiento antes las autoridades de control e interesados. TERCERO: NOTIFICAR la presente resolución a EXCEL HOTELS & RESORTS, S.A.. CUARTO:De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, por parte de la presente autoridad se acepta la renuncia expresamente manifestada por la parte reclamada, no cabiendo en consecuencia la interposición de recurso potestativo de reposición frente a la presente resolución, todo ello sin perjuicio de la posibilidad de acudir a la vía jurisdiccional contenciosoadministrativa con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/19 En consecuencia, teniendo en cuenta lo dispuesto en el artículo 90 de la LPACAP, dado que no cabe ningún recurso en vía administrativa al haber renunciado expresamente, la presente resolución será plenamente ejecutiva a partir de la notificación de la misma. No obstante, conforme a lo previsto en el artículo 90.3
  37. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contenciosoadministrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente resolución se hará pública una vez haya sido notificada a los interesados. 1567-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.