← España

PS-00084-2025

1/27  Expediente N.º: EXP202502346 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 19 de octubre de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a FEMXA FORMACIÓN, S.L. con NIF B36338051 (en adelante, FEMXA). Los hechos que se pone en conocimiento de esta autoridad son los siguientes: La parte reclamante solicitó en agosto de 2023 la inscripción en un curso subvencionado por la Administración Pública, que ofertaba FEMXA a través de su web. Al ser admitido, FEMXA solicitó que aportara fotografía de su DNI, y la parte reclamante manifestó que la remitió, pero eliminando datos de seguridad incorporados a la imagen de su DNI. Señala que, desde FEMXA, le solicitaron que enviara la imagen íntegra de su DNI, supeditando la tramitación de la matrícula a dicho requisito. La parte reclamante consideró que dicho requerimiento no se encontraba suficientemente justificado y solicitó renunciar al citado curso, si bien entiende que la solicitud sin justificación adicional es contraria a la normativa de protección de datos. Junto a su reclamación la parte reclamante ha aportado copia de los mensajes de WhatsApp intercambiados con FEMXA el día 18 de agosto de 2023, desde el número de teléfono ***TELÉFONO.1, cuyo detalle consta reseñado en el Hecho Probado Sexto. Asimismo, aporta fichero PDF con la copia digitalizada del DNI que afirma haber remitido a la empresa. Se comprueba que, en ésta, se han tapado varios campos del documento impidiendo su visualización, quedando visibles los campos: Fotografía, Nombre, Apellidos, Sexo, Nacionalidad, Fecha Nacimiento, Firma, Número DNI, Domicilio, Lugar de Nacimiento, Nombre de sus padres. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a FEMXA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 14 de diciembre de 2023 se recibe en esta Agencia escrito de respuesta, firmado por el Delegado de Protección de Datos, indicando lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/27 -FEMXA es una entidad colaboradora del Servicio Público de Empleo Estatal, actualmente Agencia Española de Empleo, y ofrece a través de su página web, cursos subvencionados de programas de formación de ámbito estatal, dirigidos a personas ocupadas. -La participación de FEMXA en los programas de formación subvencionados por la Agencia Española de Empleo se realiza en condición de encargado del tratamiento. -Añade que el artículo 16 de la Ley 3/2023, de 28 de febrero, de Empleo, regula el tratamiento de datos personales llevados a cabo por la Agencia Española de Empleo y por las entidades colaboradoras de ésta, actuando como encargado del tratamiento, teniendo que cumplir los requisitos contemplados por la normativa que regula la ejecución de formación subvencionada, así como a las instrucciones del Responsable del Tratamiento. De este modo, la documentación que se requiere a todos aquellos usuarios que pretendan matricularse en cursos de formación subvencionados por la Agencia Española de Empleo requiere, además de los datos de identificación necesarios para dar cumplimiento a la normativa específica de los planes de formación, la necesidad de identificar de forma inequívoca a los beneficiarios de las subvenciones públicas, y esta es la razón por la que se solicita la copia del Documento Nacional de Identidad. Añade que es la Agencia Española de Empleo la que establece en sus formularios la necesidad de requerir a los interesados la copia del DNI o del NIE, y para acreditarlo ha aportado un modelo de solicitud de un curso en el que se requiere como documentación la copia del DNI o NIE, y que ellos son encargados de custodiar la documentación que se requiere para participar en los cursos. Insiste en que el requisito de exigir la copia del DNI o NIE viene determinado por el responsable del tratamiento, en el ejercicio de fines públicos y como medio justificativo del destino de los fondos públicos destinados a la formación subvencionada. Para ello hace referencia al artículo 8.1 de la Ley Orgánica 4/2015, de 30 de marzo, de protección de la seguridad ciudadana, que establece que el documento nacional de identidad es el único documento que tiene por sí solo valor para la acreditación de la identidad de su titular, y por eso se requiere que se envíe sin enmiendas ni tachaduras, a fin de identificar a la persona solicitante de la formación subvencionada. TERCERO: Con fecha 16 de enero de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII de la LOPDGDD. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/27 siguientes extremos: En la respuesta que proporciona FEMXA al traslado de la reclamación efectuado por esta Agencia, se adjunta copia de la Resolución de 4 de julio de 2022, del Servicio Público de Empleo Estatal, por la que se aprueba la convocatoria para la concesión de subvenciones públicas para la ejecución de programas de formación de ámbito estatal, cuyo contenido consta reseñado en el Hecho Probado Primero. Del análisis de este documento se ha verificado en fase de actuaciones previas que, en el listado de acciones formativas incluidas en la convocatoria (Anexo II de la Resolución), se encuentra la actividad afectada por la reclamación “***ASUNTO.1”. En fecha 11 de octubre de 2023 se realiza requerimiento de información a FEMXA, sobre el que se recibe respuesta en fecha 28 de octubre de 2023. De su análisis se destaca lo siguiente: - Afirman: “FEMXA FORMACIÓN, a través del portal ***URL.1, ofrece información sobre diversos cursos de formación, al público en general, dándole la opción de que se registre en la página web, a fin de darle acceso a inscribirse en cualquiera de los cursos ofertados. Los usuarios de la web, para poder inscribirse en un curso de formación, deben llevar a cabo dos procesos diferenciados: -El registro en la página web, ofreciéndose a los usuarios diversas opciones de registro y requiriéndose unos datos mínimos, como son el nombre de usuario y un correo electrónico. Asimismo, el usuario deberá crear una contraseña. -Durante el proceso de registro, el usuario tiene permanentemente a su disposición la política de privacidad que deberá aceptar previamente a registrarse, pues, en caso contrario, no se continuaría con el registro. Asimismo, al usuario se le solicita el consentimiento para poder realizarle comunicaciones comerciales a través de medios electrónicos, debiendo el usuario marcar expresamente la casilla confirmando su consentimiento. Durante el proceso de registro, a los usuarios se les da la opción, siempre voluntaria, de poder completar su perfil, a fin de que la web seleccione los cursos a los que puede inscribirse, por cumplir los requisitos establecidos en cada curso. En la pantalla de registro se ofrece a los usuarios información detallada del motivo por el que se le solicitan tantos datos en el momento de registrarse”. Se aportan capturas de pantalla acreditando la información que se proporciona al usuario en el proceso de registro a través de la web ***URL.1, de su análisis se extraen los siguientes textos: “Los cursos gratuitos que están publicados en esta página web, son gratuitos porque están gestionados a nivel estatal a través del Servicio Público de Empleo Estatal (SEPE), con la colaboración de la Fundación Estatal para la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/27 Formación en el Empleo (FUNDAE) o de los organismos competentes de cada Comunidad Autónoma. Es decir, son gratuitos porque forman parte de una subvención para formación y, como cualquier subvención, requiere unos requisitos mínimos para acceder a ella. … Las entidades que financian la formación subvencionada establecen una serie de requisitos de acceso a los cursos en función de diversos criterios que hay que cumplir, sí o sí, al inicio del curso, como situación laboral, provincia de residencia o sector profesional, entre otros. Si no cumples con esos requisitos mínimos al inicio del curso, no podemos incluirte como alumno en el curso y ese es el motivo de solicitarte esta información. Una vez que accedes a una plaza de un curso subvencionado, tenemos que justificar a la administración que cumples con los requisitos para acceder a esa plaza gratuita. Es la propia administración quien nos indica, y publica, el documento con los datos que necesitan para cotejar que la persona matriculada cumple con los requisitos para hacer uso de esa plaza subvencionada. A través del siguiente enlace, puedes consultar un ejemplo del documento que nos solicita la administración para cotejar los datos de la persona que accede a un curso gratuito de la convocatoria estatal de formación para ocupados: ***URL.2. Estos documentos y las subvenciones para formación que se aprueban, son de carácter público, y se pueden consultar en el Boletín Oficial del Estado. Puedes consultar la convocatoria estatal de formación para ocupados: ***URL.3”. En fase de actuaciones previas, se constata que el primero de los enlaces dirige al formulario de solicitud de participación en acciones formativas, documento que coincide con el Anexo I de la convocatoria, ya analizado anteriormente. El segundo de los enlaces da acceso a la resolución de la convocatoria para la subvención de actividades formativas, documento con fecha de firma 4 de julio de 2022, ya analizado anteriormente, y que ha sido incorporado al expediente con nombre “Diligencia Descarga Formulario Anexo I”. - FEMXA informó a esta AEPD sobre la gestión de las solicitudes y el uso de WhatsApp según el detalle que consta reseñado en el Hecho Probado Cuarto. Por otra parte, añadió que “La Fundación Estatal para la Formación en el Empleo (FUNDAE), es la entidad colaboradora y de apoyo técnico del Servicio Público de Empleo Estatal (SEPE) en materia de formación profesional para el empleo. FUNDAE dispone de un modelo de inscripción en cursos subvencionados, en el que expresamente solicita copia del DNI de los solicitantes, que podrá descargarse en el siguiente enlace: ***URL.4. (Adjuntan a su escrito copia de este modelo)”. - En respuesta a nuestra solicitud para que se aporte copia del contrato de encargo formalizado para el tratamiento de los datos personales, afirman: “La condición de Encargado de FEMXA FORMACIÓN, viene recogida tanto en la normativa de aplicación, a la que ya hemos hecho referencia en nuestro escrito de fecha 13 de diciembre de 2023, como en las bases reguladoras recogidas en la Resolución del Servicio Público de Empleo Estatal (SEPE), por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/27 la que se aprueba la convocatoria para la concesión de subvenciones públicas para la ejecución de programas de formación de ámbito estatal”. “La condición de Encargado del Tratamiento de FEMXA, como entidad colaboradora en la ejecución de planes de formación subvencionada por el SEPE, viene amparada por lo dispuesto en el artículo 16 de la Ley 3/2023, de 28 de febrero, de Empleo, regula el tratamiento de datos personales llevados a cabo por la AGENCIA ESPAÑOLA DE EMPLEO y por las entidades colaboradoras de ésta: Como se ha indicado, FEMXA en el desarrollo de los planes de ejecución de formación subvencionada, actúa en condición de Encargado del Tratamiento y siguiendo las instrucciones de la propia AGENCIA ESPAÑOLA DE EMPLEO, procede a requerir a todos aquellos usuarios que pretendan matricularse, en cursos de formación subvencionada por la AGENCIA ESPAÑOLA DE EMPLEO, la documentación requerida por ésta. Asimismo, la Resolución de 4 de julio de 2022, del Servicio Público de Empleo Estatal, por la que se aprueba la convocatoria para la concesión de subvenciones públicas para la ejecución de programas de formación de ámbito estatal, dirigidos prioritariamente a las personas ocupadas, reitera en su Disposición Adicional Segunda, la condición de Responsable del Tratamiento del Servicio Público de Empleo Estatal, indicando expresamente lo siguiente: Las entidades beneficiarias serán las responsables de la recogida y aportación del consentimiento de los participantes en las acciones formativas, siendo autorizadas para el tratamiento de dichos datos a efectos de la ejecución y justificación de los programas de formación subvencionados, así como, en su caso el consentimiento de uso de imagen, si así es solicitado durante el seguimiento y control.” No se aporta copia de contrato de encargo de tratamiento. - En respuesta a nuestra solicitud para que informen de las posibles auditorías de cumplimiento recibidas por parte de la Agencia Española de Empleo, afirman que hasta la fecha no se han realizado auditorías. - Afirman que FEMXA FORMACIÓN se ha acreditado en la certificación ISO 27001 a fin de garantizar un adecuado cumplimiento de las medidas de seguridad necesarias. Aportan certificado que lo acredita, con fecha de caducidad 30 de julio de 2023. En fecha 11 de octubre de 2024 se realiza requerimiento de información al Servicio Público de Empleo Estatal (en adelante, SEPE), recibiéndose respuesta en fecha 30 de octubre de 2024. De su contenido se extraen las siguientes afirmaciones relevantes: - En relación con el requisito de aportar la copia del DNI, se afirma: “En la Convocatoria no se establece la exigencia de presentación de la fotocopia del DNI por parte de las personas ocupadas o desempleadas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/27 En base a la misma, se prevé el requisito de presentación de la solicitud de participación (Anexo I) donde se recogen los datos del participante” - En relación con los mecanismos y canales de comunicación para recabar los datos por parte de FEMXA, afirman: “En la convocatoria no se establecen instrucciones en relación con los canales de comunicación a utilizar para recabar los datos personales de los alumnos. La convocatoria establece: las personas que quieran participar en las acciones de formación financiadas al amparo del artículo 3.1.b), deberán solicitar su participación mediante el modelo que figura como Anexo I de esta convocatoria. Las solicitudes de participación deberán ser custodiadas por las entidades beneficiarias de las subvenciones y estar a disposición de los órganos competentes para la evaluación, seguimiento y control de las acciones formativas.” - No se aporta copia del contrato de encargo formalizado con FEMXA, solicitado en requerimiento. - No se aporta copia de los Análisis de Riesgos para los Derechos y Libertades de la actividad de tratamiento afectada por la reclamación, solicitado en requerimiento. En fecha 17 de noviembre de 2024 se realiza nuevo requerimiento de información a SEPE marcado por la siguiente línea de investigación: - Que aporte la información contenida en el Registro de Actividades de Tratamiento para la actividad afectada por la reclamación. - Que aporte aclaración sobre la siguiente afirmación que nos proporciona FEMXA en respuesta a requerimiento: “La Fundación Estatal para la Formación en el Empleo (FUNDAE), es la entidad colaboradora y de apoyo técnico del Servicio Público de Empleo Estatal (SEPE) en materia de formación profesional para el empleo. FUNDAE dispone de un modelo de inscripción en cursos subvencionados, en el que expresamente solicita copia del DNI de los solicitantes”. En fecha 26 de noviembre de 2024 se recibe respuesta al requerimiento anterior, la respuesta procede de la S.G. de Políticas Activas de Empleo. De su análisis destaca: - En relación con la afirmación realizada por FEMXA sobre el uso del modelo de inscripción publicado por FUNDAE en su página web, afirman: “El único modelo establecido para que las personas trabajadoras puedan efectuar solicitudes de participación en el marco de las convocatorias del SEPE a las diferentes entidades beneficiarias, es el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/27 que se establece en el “Anexo I” de las resoluciones. Se indica además que el modelo aludido por FEMXA FORMACIÓN S.L. en su escrito, disponible en la página web de FUNDAE, no guarda ninguna relación con el trámite de inscripción de los participantes a cursos subvencionados en el marco de las convocatorias del SEPE, sino que se refiere a un procedimiento distinto, que no guarda ninguna relación con el anterior, como es la gestión de solicitudes de ‘certificados de acciones formativas realizadas' que pueden requerir las personas trabajadoras. Se aporta enlace en el que se puede confirmar lo expuesto ***URL.5”. En fecha 23 de diciembre de 2024, se accede a la URL ***URL.5 y se guarda como objeto asociado al expediente el resultado de imprimir la pantalla con el contenido que aparece en el navegador. En fecha 23 de diciembre de 2024 se accede a la página web del SEPE, con objeto de obtener la información publicada sobre el inventario de las actividades de tratamiento (RAT), detectándose en la URL ***URL.6 el siguiente texto: “La relación actualizada de las actividades de tratamiento que el SEPE lleva a cabo se encuentran disponibles en el siguiente enlace: ***URL.7”. En esta misma fecha se descarga el inventario de actividades de tratamiento de la URL anterior, adjuntándose como objeto asociado al expediente con nombre “InventarioRAT.pdf”. Este inventario incluye como fecha de actualización 28 de octubre de 2022, de su análisis se destaca la siguiente actividad de tratamiento que podría ser la afectada por el tratamiento de la reclamación: - Actividad de tratamiento: Participantes Iniciativas De Formación Profesional Para El Empleo - Responsable del tratamiento: S.G. de Políticas Activas de Empleo. - Fines de tratamiento: Gestionar los participantes en las acciones de formación realizadas en iniciativas de formación profesional para el empleo para su gestión, control y evaluación. - Categorías de interesados: Propio interesado o su representante legal. Entidades privadas. Empleados. Solicitantes. Demandantes de empleo. - Categorías de datos personales: DNI/ NIF. Núm. Seguridad social. Nombre y apellidos. Dirección. Teléfono. Detalles del empleo. Académicos y profesionales. Firma. Imagen/voz. Puesto/cargo. Económicos. Edad. Genero. Datos familiares. minusvalía (s/n). Mixto. - Base jurídica: Artículo 6. 1.

  1. c)RGPD - el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento. Artículo 18.
  2. h)del Real Decreto legislativo 3/2015, de 23 de octubre por la que se aprueba el texto Refundido de la Ley de Empleo. QUINTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad FEMXA es una empresa con un volumen de ventas de 4.512.944 € en el año 2023. SEXTO: Con fecha 1 de julio de 2025 la Presidencia de la Agencia Española de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/27 Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 5.1.
  3. c)del RGPD, tipificada en el Artículo 83.5.
  4. a)del RGPD. En el acuerdo de apertura se determinó que la sanción que pudiera corresponder por la infracción imputada, sin perjuicio de lo que resulte de la instrucción, sería de 25.000 euros (veinticinco mil euros). Asimismo, se advirtió que la infracción, de confirmarse, podrá conllevar la imposición de medidas, de acuerdo con lo establecido en el citado artículo 58.2 del RGPD. SÉPTIMO: El citado acuerdo de inicio se ha notificado el día 3 de julio de 2025 conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) según consta en el justificante incorporado al expediente. OCTAVO: En fecha 15 de julio de 2025 la parte reclamada ha procedido al pago de la sanción en la cuantía de 20.000 euros, acogiéndose a la reducción del 20% por pago voluntario de la multa establecida en el acuerdo de inicio, en los términos previstos por el artículo 85.2 de la LPACAP. En el escrito a la AEPD en el que informaba de este hecho y acreditaba el pago de la cuantía anteriormente mencionada, manifestaba el no reconocimiento de su responsabilidad. NOVENO: En su escrito de fecha 17 de julio de 2025 FEMXA hacía las siguientes manifestaciones: FEMXA manifiesta que ha procedido al abono de la sanción propuesta por razones de economía procesal y para evitar mayores prejuicios que pudieran derivarse de la continuación del procedimiento, pero no supone reconocimiento de responsabilidad ni aceptación de los hechos que se le imputan ni la cuantificación de la sanción, así como la atribución de responsabilidad en la que se considera a FEMXA responsable del tratamiento. Por ello, presenta las siguientes manifestaciones: Primera. Sobre los roles del SEPE y FEMXA en el marco del tratamiento de datos personales, la falta de instrucciones claras del responsable del tratamiento y la ausencia de diligencia debida. FEMXA insiste en que es necesario precisar la naturaleza de las funciones que cada parte desempeña en el tratamiento de los datos personales, según lo dispuesto en el RGPD y en las Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD). El artículo 4.7 del RGPD determina que el responsable del tratamiento es la “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento” Por su parte, en las Directrices 07/2020 del CEPD se destaca que el responsable del tratamiento es quien debe determinar tanto el por qué como el cómo el tratamiento de datos personales. Por ello FEMXA entiende que es el SEPE, como organismo público responsable de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/27 aprobación de subvenciones públicas para la ejecución de programas de formación de ámbito estatal dirigidos prioritariamente a personas ocupada: - quien define los fines concretos del tratamiento de datos personales en el marco de las acciones formativas financiadas con fondos públicos. -quien establece los medios esenciales del tratamiento, como pueden ser los datos que debe recabar el encargado del tratamiento, para verificar que los alumnos cumplen con los requisitos establecidos en la convocatoria. Asimismo, entiende que FEMXA como entidad beneficiaria de las subvenciones convocadas por el SEPE actúa conforme a las instrucciones proporcionadas por el propio SEPE, y por ello, la recogida de los datos de los alumnos que realiza FEMXA es por cuenta del SEPE. En relación con el hecho de determinar que FEMXA pueda ser considerado como responsable del tratamiento, que vendría determinada por la prohibición de tratar dichos datos para fines propios, FEMXA manifiesta que en ningún momento ha solicitado datos en el marco de la convocatoria para subvenciones con fines propios. La solicitud de la copia del DNI responde a la falta de instrucciones claras del responsable del tratamiento de cómo cumplir con la obligación de comprobar que los alumnos cuentan con los requisitos establecidos en las convocatorias. FEMXA manifiesta que, de acuerdo con las Directrices, “el responsable del tratamiento es responsable del cumplimiento de los principios establecidos en el artículo 5, apartado 1 RGPD y deberá ser capaz de demostrar el cumplimiento de dichos principios”, por lo que el SEPE es responsable de proporcionar instrucciones claras, completas y suficientemente detalladas al encargado del tratamiento respecto de los medios autorizados para llevar a cabo dicha verificación. FEMXA indica que la solicitud de la copia del DNI fue una medida adoptada de buena fe, por cuenta del responsable del tratamiento y en cumplimiento de su obligación de verificar los requisitos de participación del alumnado, ante la ausencia de directrices precisas por parte del SEPE de cómo realizar dicha verificación, entendiendo que era un medio proporcional y necesario para cumplir con las directrices del SEPE. Prosigue manifestando que esta actuación no respondería a una decisión autónoma o a una finalidad propia, sino que se enmarca exclusivamente dentro de la ejecución de las funciones encomendadas por el responsable del tratamiento, actuando en calidad de encargado, sin que FEMXA haya determinado por sí misma los fines ni los medios esenciales del tratamiento de datos personales, ni obtenga con este tratamiento de datos personales ningún tipo de beneficio. Entiende FEMXA que la falta de instrucciones supondría un incumplimiento del deber de diligencia exigible al responsable del tratamiento, tal y como se recoge en el artículo 24 del RGPD, de tal manera que, sería el SEPE el que, como responsable del tratamiento, debía realizar un análisis previo y exhaustivo sobre la necesidad y proporcionalidad de los datos a recabar, así como los procedimientos de verificación de identidad de los participantes en los cursos subvencionados. Añade que, de acuerdo con las directrices, y la resolución del PS/00214/2022, no es C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/27 necesario que el responsable del tratamiento tenga acceso real a los datos que se están procesando, en el sentido de que, cuando una entidad externaliza una actividad de tratamiento y, al hacerlo, ejerce una influencia determinante sobre la finalidad y los medios esenciales del tratamiento, debe ser considerada responsable, aun cuando no tenga acceso directo a los datos. FEMXA insiste en que recababa los datos del DNI para cumplir con la obligación de verificación impuesta por el SEPE y en su nombre en todo momento. Por lo tanto, quedaría claro que no puede considerarse a FEMXA como responsable del tratamiento de datos personales de los alumnos, por el mero hecho de haber recabado el DNI, en el marco de una prestación de servicios en las que actúa en todo momento como proveedor y, por tanto, como encargado de tratamiento. Segunda. Sobre la inexistencia de ánimo de lucro directo por parte de FEMXA en relación con el interesado. FEMXA manifiesta que no obtiene ningún beneficio económico directo de la relación con los interesados ni actúa en beneficio propio. La finalidad de solicitar la copia del DNI era para cumplir con los requisitos exigidos para la justificación de la subvención pública, en el marco de los programas de formación financiados por el SEPE. FEMXA ha actuado de buena fe, con la intención de dar cumplimiento a las obligaciones impuestas por la normativa y las instrucciones recibidas, sin que exista ánimo de lucro directo ni aprovechamiento indebido de los datos personales recabados, en la medida en que no se habría producido un uso indebido, cesión o tratamiento ulterior de los datos personales de los interesados. FEMXA manifiesta que, a la hora de imponer una sanción, el artículo 83.2 del RGPD establece que la autoridad de control debe ponderar, entre otros factores, la naturaleza, gravedad y duración de la infracción, así como el grado de responsabilidad y la intencionalidad o negligencia en la comisión de la infracción. Por ello, entiende que debe tenerse en cuenta la ausencia de un aprovechamiento indebido de los datos personales por parte de FEMXA a la hora de determinar la responsabilidad que pudiera corresponderle, y de la eventual necesidad de adoptar medidas tales como la reducción de la sanción propuesta, debiendo ser este extremo valorado con ponderación y rigor. Por todo ello, solicita que: - Se tenga por presentado este escrito y los documentos que acompaña, se sirva admitirlos y tenga por formuladas las alegaciones presentadas. - se tenga en cuenta la buena fe de la entidad en cumplimiento de las obligaciones legales, y su consideración de encargado del tratamiento, y se dicte resolución por la que se acuerde la minoración del importe de la sanción al mínimo legalmente establecido y a la no imposición de medidas correctivas. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/27 en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: En fecha 4 de julio de 2022, se dicta la Resolución del Servicio Público de Empleo Estatal, por la que se aprueba la convocatoria para la concesión de subvenciones públicas para la ejecución de programas de formación de ámbito estatal, dirigidos prioritariamente a personas ocupadas, cuyo contenido se declara reproducido en este acto a efectos probatorios. De lo dispuesto en esta Resolución, en relación con los datos personales de los participantes en las acciones formativas, cabe destacar lo siguiente: 1. “Artículo 22. Ejecución de la formación del programa de formación. 2. Al inicio de la acción formativa, las entidades beneficiarias comunicarán a la Fundación Estatal para la Formación en el Empleo, a través de la aplicación telemática dispuesta al efecto, la relación de personas que han iniciado la acción formativa. En dicha relación se adjuntará información sobre los datos identificativos del trabajador, datos del perfil y de contacto, así como sobre su situación laboral, todo ello con la finalidad de suspender, si procede, la demanda de empleo a través del procedimiento previsto entre el Servicio Público de Empleo Estatal con los Servicios Públicos de Empleo de las comunidades autónomas. 2. “Disposición adicional segunda. Tratamiento de datos personales”. “A los efectos previstos en el Reglamento (UE) 2016/679… así como en la Ley Orgánica 3/2018…, el Servicio Público de Empleo Estatal tendrá la condición de responsable del tratamiento de los datos obtenidos durante la solicitud, gestión, financiación, control, seguimiento y evaluación de los programas de formación. A fin de preservar los derechos reconocidos a los interesados, su consentimiento se recogerá expresamente en la documentación o formularios en virtud de los cuales se recaben los datos personales en cuestión, sin perjuicio de que el tratamiento tenga como base cualquiera otra de las condiciones previstas en el citado Reglamento. Las entidades beneficiarias serán las responsables de la recogida y aportación del consentimiento de los participantes en las acciones formativas, siendo autorizadas para el tratamiento de dichos datos a efectos de la ejecución y justificación de los programas de formación subvencionados, así como, en su caso el consentimiento de uso de imagen, si así es solicitado durante el seguimiento y control. Cualquier interesado podrá ejercitar sus derechos de acceso, rectificación, supresión, oposición, portabilidad y limitación ante el responsable del tratamiento.” 3. El artículo 5 de la citada resolución, referido a los “Participantes en los programas de formación”, establece que “Las personas y colectivos descritos en este artículo solicitarán su participación mediante el modelo que figura como Anexo I de esta convocatoria. Las solicitudes de participación deberán ser custodiadas por las entidades beneficiarias de las subvenciones y estar a disposición de los órganos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/27 competentes para la evaluación, seguimiento y control de las acciones formativas”. Este Anexo I “Solicitud de participación” recoge los datos personales relativos a Nombre y Apellidos, Dirección, Localidad, CP, Teléfono, Email, NIF, Nº Seguridad. Social, Fecha Nacimiento, Género, Discapacidad (S/N), Nivel de Estudios, Categoría Profesional, Ocupación e información sobre la entidad en la que trabaja, firma; e incluye la siguiente “información básica sobre protección de datos”: “Asimismo, conforme al Reglamento (UE) 2016/679… así como en la Ley Orgánica 3/2018…, declara y manifiesta ante la entidad beneficiaria que da su consentimiento en los términos previstos en el artículo 7 RGPD, para que sus datos sean tratados por el beneficiario de la subvención a efectos de ejecución y justificación de los programas de formación subvencionados, así como por el Servicio Público de Empleo Estatal, en su condición de responsable del tratamiento de los datos personales que aquí se proporcionan con la finalidad de gestionar las tareas derivadas de la solicitud, gestión, financiación, justificación, control, seguimiento y evaluación de éstas y, en su caso, cederlos a los Organismos previstos a efectos de completar su gestión. El interesado podrá ejercitar sus derechos de acceso, rectificación, supresión y portabilidad de sus datos, limitación y oposición al tratamiento, así como a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado de sus datos, cuando procedan, ante el responsable del tratamiento, mediante notificación por escrito dirigida al Servicio Público de Empleo Estatal en la calle Condesa de Venadito, nº 9. 28027 Madrid o a través del correo electrónico de su Delegado de protección de datos: dpd@mitramiss.es” SEGUNDO: FEMXA tiene la condición de entidad beneficiaria de la subvención concedida para la prestación de los programas de formación al amparo de la Resolución de fecha 4 de julio de 2022, de conformidad con lo dispuesto en el artículo 13 de la citada resolución, y artículo 11 de la Ley de 38/2003, de 17 de noviembre, General de Subvenciones. TERCERO: Como entidad colaboradora del Servicio Público de Empleo Estatal, actualmente Agencia Española de Empleo, FEMXA ofrece a través de su página web cursos subvencionados de programas de formación de ámbito estatal, dirigidos a personas ocupadas. Para el registro en la página web se requieren unos datos mínimos, como son el nombre de usuario y un correo electrónico, así como la aceptación de la política de privacidad, en la que se informa lo siguiente: “Una vez que accedes a una plaza de un curso subvencionado, tenemos que justificar a la administración que cumples con los requisitos para acceder a esa plaza gratuita. Es la propia administración quien nos indica, y publica, el documento con los datos que necesitan para cotejar que la persona matriculada cumple con los requisitos para hacer uso de esa plaza subvencionada. A través del siguiente enlace, puedes consultar un ejemplo del documento que nos solicita la administración para cotejar los datos de la persona que accede a un curso gratuito de la convocatoria estatal de formación para ocupados: ***URL.2. (...) Puedes consultar la convocatoria estatal de formación para ocupados: ***URL.3”. El primero de los enlaces dirige al formulario de solicitud de participación en acciones formativas, documento que coincide con el Anexo I de la convocatoria reseñado en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/27 Hecho Probado Primero. El segundo de los enlaces da acceso a la resolución de la convocatoria de fecha 4 de julio de 2022. CUARTO: Sobre la gestión de las solicitudes de los participantes, FEMXA afirma que “Una vez que el usuario se ha inscrito en un curso determinado, FEMXA FORMACIÓN se pone en contacto con el solicitante, a través de medios electrónicos, para informarle sobre los pasos a seguir para finalizar la inscripción, que están relacionados, principalmente, con la solicitud de documentación justificativa de los requisitos necesarios para matricularse en el curso de formación seleccionado”. “En ese primer correo de contacto, se le traslada información de cómo subir la documentación necesaria a través del portal del alumno y se le facilita información adicional sobre: ¿Cómo subo mi documentación personal al Portal del Alumno? ¿Por qué tengo que enviar documentación personal para formalizar mi matrícula?” “Además del correo electrónico, a los solicitantes se les remite, como medio alternativo para que pueda facilitar la documentación necesaria, un WhatsApp, en el que un técnico de FEMXA se presenta y le indica la documentación requerida para continuar con su proceso de matrícula. Es el propio solicitante el que decide por qué medio prefiere facilitar la documentación justificativa”. “… el motivo por el que se solicita el DNI del interesado es porque decidió inscribirse en un curso subvencionado, lo que supone que FEMXA FORMACIÓN debe acreditar identidad del alumno, que va a resultar beneficiario de una subvención pública. QUINTO: La parte reclamante solicitó en agosto de 2023 un curso ofertado por FEMXA. Al realizar la inscripción, desde FEMXA se solicitó que aportara fotografía del DNI. La parte reclamante procedió al envío de la copia del DNI eliminando los datos de seguridad. Desde FEMXA se indicó que era necesario que todos los datos del DNI fueran legibles. SEXTO: La parte reclamante ha aportado los mensajes de WhatsApp intercambiados con FEMXA el día 18 de agosto de 2023, desde el número de teléfono ***TELÉFONO.1, en los que se puede leer el siguiente contenido: - “Buenos días, A.A.A., soy B.B.B. de Femxa. Por favor, para que WhatsApp no bloquee esta conversación, añade nuestro número de teléfono a tu lista de contactos. Te escribo porque hemos recibido tu solicitud de inscripción en el/los cursos: ***ASUNTO.1. Para poder tramitar tu solicitud, necesitamos que nos envíes la siguiente documentación: DNI/NIE por ambas caras. Esta documentación puedes adjuntarla en tu área privada de la web, enviarla a este WhatsApp o al ***EMAIL.1. ¡Un saludo y muchas gracias por confiar en nosotros para continuar formándote! -Contestación a la conversación mantenida con la persona que remite el mensaje en el que se puede observar que el usuario receptor contesta al mensaje recibido, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/27 adjuntando un fichero PDF con nombre “DNI A.A.A. anverso 1.pdf”. - Mensaje de 21 de agosto de 2023 en el que el usuario ***TELÉFONO.1 escribe: “Hola, necesitamos que todos los datos del DNI sean legibles”. - Mensaje de 23 de agosto de 2023 en el que el usuario ***TELÉFONO.1 escribe: “Buenos días, continuamos a la espera de recibir la respuesta necesaria ya que el curso que has solicitado comienza en breve, en caso de que el curso no siga siendo de su interés por favor házmelo saber, muchas gracias, un saludo”. -Mensaje de 24 de agosto de 2023 de la parte reclamante en el que se puede leer: “Buenos días, finalmente he decidido no realizar el curso. Solicito que procedan a la eliminación de mis datos personales de sus registros. Un saludo”. -Mensaje de contestación a este mensaje del usuario ***TELÉFONO.1 con el texto: “Buenos días, damos de baja su solicitud, no obstante, para que eliminemos todos los datos debes solicitarlo enviando un email a ***EMAIL.2 para que el departamento correspondiente realice la gestión, gracias!”. SÉPTIMO: Consta incorporada a las actuaciones copia digitalizada del DNI remitido por el reclamante a FEMXA, en la que se han tapado varios campos del documento impidiendo su visualización, quedando visibles los relativos a: Fotografía, Nombre, Apellidos, Sexo, Nacionalidad, Fecha Nacimiento, Firma, Número DNI, Domicilio, Lugar de Nacimiento, Nombre de sus padres. OCTAVO: SEPE ha informado, en relación con el requisito de aportar la copia del DNI para poder participar en los cursos subvencionados, que “En la Convocatoria no se establece la exigencia de presentación de la fotocopia del DNI por parte de las personas ocupadas o desempleadas. En base a la misma, se prevé el requisito de presentación de la solicitud de participación (Anexo I) donde se recogen los datos del participante”. NOVENO: SEPE ha informado, en relación con los mecanismos y canales de comunicación para recabar datos por parte de FEMXA: “En la convocatoria no se establecen instrucciones en relación con los canales de comunicación a utilizar para recabar los datos personales de los alumnos. La convocatoria establece: las personas que quieran participar en las acciones de formación financiadas al amparo del artículo 3.1.b), deberán solicitar su participación mediante el modelo que figura como Anexo I de esta convocatoria. Las solicitudes de participación deberán ser custodiadas por las entidades beneficiarias de las subvenciones y estar a disposición de los órganos competentes para la evaluación, seguimiento y control de las acciones formativas.” FUNDAMENTOS DE DERECHO I Competencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/27 De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos”. El procedimiento tendrá una duración máxima de doce meses a contar desde la fecha del acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones, de conformidad con lo establecido en el artículo 64 de la LOPDGDD. III Contestación a las manifestaciones presentadas 1. Las manifestaciones presentadas por FEMXA hacen referencia, principalmente, a su condición de encargada del tratamiento y a la falta de instrucciones específicas de SEPE sobre la identificación de los alumnos participantes en las acciones formativas, cuestiones ambas que se tratan suficientemente en los Fundamentos de Derecho IV y V siguientes. En el mismo acuerdo de inicio del presente procedimiento sancionador ya se hacía también referencia a que, dentro de las condiciones recogidas por la entidad SEPE para poder participar en los cursos subvencionados impartidos por FEMXA no se encontraba la exigencia de presentación de la fotocopia del DNI. En su escrito de manifestaciones, FEMXA pone de manifiesto que ha solicitado la copia del DNI a los participantes en cumplimiento de su obligación de verificar los requisitos de participación del alumnado, ante la ausencia de directrices precisas por parte del SEPE sobre cómo realizar dicha verificación. El SEPE en ningún momento comunicó que la manera de verificar la identidad de los alumnos requería que aportaran la copia del DNI, de tal manera, que fue una decisión propia de FEMXA. Tampoco puede decirse que las instrucciones de la entidad SEPE no sean claras cuando la propia resolución de la convocatoria establece las acciones que las entidades participantes deben realizar en el momento de la solicitud y al inicio de las acciones formativas respecto de la cuestión que aquí se analiza, además de lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/27 indicado en el propio formulario de solicitud que deben cumplimentar las personas interesadas. De este modo, FEMXA no actuó siguiendo las instrucciones de SEPE, más bien al contrario, decidió por sí mismo que aquella era la manera de poder verificar los requisitos de participación de los alumnos. Es por esta razón que FEMXA es considerado como responsable y, por tanto, quien ha cometido la infracción que se imputa en el presente expediente, en la medida en que ha determinado por su cuenta los medidos del tratamiento. 2. Sobre la determinación de la multa FEMXA indica que el artículo 83.2 del RGPD obliga a ponderar “la naturaleza, gravedad y duración de la infracción, así como el grado de responsabilidad y la intencionalidad o negligencia en la comisión de la infracción”. Sin embargo, se limita en su escrito de alegaciones a mencionar esos factores de graduación sin exponer ningún razonamiento para justificar la pertinencia de su aplicación en orden a la rebaja de la multa determinada. Además, señala que para la fijación del importe de la sanción debe tenerse en cuenta la ausencia de un aprovechamiento indebido de los datos personales o beneficio económico por parte de FEMXA. La ausencia de beneficio obtenido como resultado de la infracción se refiere el artículo 83.2.
  5. k)del RGPD: “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”; y en el artículo 76.2.
  6. c)de la LOPDGDD, según el cual “2. De acuerdo a lo previsto en el artículo 83.2.
  7. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: [..]
  8. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.” Ambas disposiciones mencionan como factor que puede tenerse en cuenta en la graduación de la sanción los “beneficios” obtenidos, pero no la “ausencia” de éstos. Además, conforme al artículo 83.1 del RGPD la imposición de las sanciones de multa está presidida por los siguientes principios: deberán estar individualizadas para cada caso particular, ser efectivas, proporcionadas y disuasorias. La admisión de que opere como una atenuante la ausencia de beneficios es contraria al espíritu del artículo 83.1 del RGPD y a los principios por los que se rige la determinación del importe de la sanción de multa. Si a raíz de la comisión de una infracción del RGPD se califica como atenuante que no han existido beneficios, se anula en parte la finalidad disuasoria que se cumple a través de la sanción. Aceptar la tesis de la reclamada en un supuesto como el que nos ocupa supondría introducir una rebaja artificial en la sanción que verdaderamente procede imponerse; la que resulta de considerar las circunstancias del artículo 83.2 RGPD que sí deben de ser valoradas. La Sala de lo Contencioso Administrativo de la Audiencia Nacional ha advertido que, el hecho de que en un supuesto concreto no estén presentes todos los elementos que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/27 integran una circunstancia modificativa de la responsabilidad que, por su naturaleza, tiene carácter agravante, no puede llevar a concluir que tal circunstancia es aplicable en calidad de atenuante. El pronunciamiento que hace la Audiencia Nacional en su SAN de 5 de mayo de 2021 (Rec. 1437/2020) -por más que esa resolución verse sobre la circunstancia del apartado
  9. e)del artículo 83.2. del RGPD, la comisión de infracciones anteriores- es extrapolable a la cuestión planteada, la pretensión de la reclamada de que se acepte como atenuante la “ausencia” de beneficios siendo así que tanto el RGPD como la LOPDGDD se refieren solo a “los beneficios obtenidos”. En cualquier caso, la multa a imponer debe ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios se considera, con carácter previo, el volumen de negocio de FEMXA, que es de 4.512.944 € en el año 2023. En primer término se atiende a la categorización de la infracción cometida en este caso, comprendida en el nivel superior del artículo 83 del RGPD, que la norma sanciona con la mayor gravedad en su apartado 5, castigando la conducta con una multa de 20.000.000 de euros como máximo o, tratándose de una empresa, una cuantía equivalente al 4% como máximo del volumen de negocio anual, optándose para establecer el importe máximo aplicable por el límite de mayor cuantía de los dos fijados en ese artículo. El 4% del volumen de negocio de FEMXA es de 180.517 euros. Conforme a lo anterior, la sanción que se imponga habrá de estar forzosamente entre los 0 y 20.000.000 de euros, de modo que la que se impone en este acto se sitúa en un rango muy inferior de ese intervalo de multa. IV Cuestiones previas El artículo 4.1) del RGPD define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/27 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que FEMXA realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas: Nombre y Apellidos, Dirección, Localidad, CP, Teléfono, Email, NIF, Nº Seguridad. Social, Fecha Nacimiento, Género, Discapacidad (S/N), Nivel de Estudios, Categoría Profesional, Ocupación e información sobre la entidad en la que trabaja, Firma. FEMXA afirma que realiza esta actividad en su condición de encargado del tratamiento, actuando como responsable del tratamiento el SEPE, en la medida en que actúa siguiendo las instrucciones de éste, de tal manera que aquellos usuarios que pretendan matricularse en los cursos subvencionados por éste deben aportar la documentación requerida por ésta, entre la que se encontraría la copia de la imagen del DNI. Sin embargo, las actuaciones acreditan que FMEXA decidió por su propia cuenta requerir a los participantes una copia íntegra de sus respectivos documentos de identidad. Preguntado el SEPE al respecto, éste ha manifestado que en la convocatoria por la que se establecen las condiciones para poder participar en los cursos mencionados no se establece la exigencia de presentación de la fotocopia del DNI. Por tanto, respecto de este concreto tratamiento de datos, FEMXA debe ser considerada responsable del tratamiento. De este modo, según la STJUE de 5 de diciembre de 2023 dictada en el asunto C683/21: 85 No obstante, la responsabilidad del responsable del tratamiento por el comportamiento de un encargado no puede extenderse a las situaciones en las que el encargado haya tratado datos personales para fines que le sean propios o en las que haya tratado dichos datos de manera incompatible con el marco o las modalidades del tratamiento tal como hayan sido determinados por el responsable del tratamiento o de manera que no pueda considerarse razonablemente que dicho responsable hubiera dado su consentimiento. En efecto, de conformidad con el artículo 28, apartado 10, del RGPD, el encargado del tratamiento debe, en ese supuesto, ser considerado responsable del tratamiento con respecto a dicho tratamiento. Las Directrices 7/2020 del CEPD determinan que, “30 Siguiendo la línea del enfoque basado en los hechos, la palabra «determine» significa que el ente que realmente ejerce una influencia decisiva sobre los fines y medios del tratamiento es el responsable. Por lo general, el contrato de tratamiento establece quién es la parte determinante (el responsable del tratamiento) y quién, la parte que sigue las instrucciones (el encargado del tratamiento). Incluso cuando el encargado del tratamiento ofrezca un servicio que se defina previamente de un modo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/27 concreto, deberá presentar al responsable del tratamiento una descripción detallada del servicio, y este deberá adoptar la decisión final sobre la aprobación del modo en que se efectuará el tratamiento y solicitar los cambios que considere necesarios. Además, el encargado del tratamiento no puede modificar, en un momento posterior, los elementos esenciales del tratamiento sin la aprobación del responsable. (…) 39. La cuestión es dónde se debe trazar la línea entre las decisiones reservadas al responsable del tratamiento y aquellas que pueden dejarse a la discreción del encargado. Es evidente que las decisiones sobre el fin del tratamiento siempre deben corresponder al responsable. En este sentido, las mencionadas directrices recogen: 74. El RGPD establece obligaciones concretas que vinculan directamente a los encargados del tratamiento, tal como se especifica en la sección 1 del apartado II de las presentes directrices. Es posible exigir responsabilidad o sancionar a un encargado cuando no cumpla con dichas obligaciones o actúe al margen o en contra de las instrucciones legales del responsable. 80. En segundo lugar, el tratamiento debe llevarse a cabo por cuenta de un responsable del tratamiento, pero no bajo su autoridad ni control directos. Actuar «por cuenta de» alguien significa servir los intereses de otro y remite al concepto jurídico de «delegación». En el caso de la normativa de protección de datos, el cometido del encargado del tratamiento es aplicar las instrucciones dadas por el responsable del tratamiento, cuando menos en lo relativo a los fines del tratamiento y a los elementos esenciales de los medios. La legitimidad del tratamiento en virtud del artículo 6 y, si procede, del artículo 9 del Reglamento deriva de la actividad del responsable, y el encargado únicamente debe tratar los datos siguiendo las instrucciones dadas por éste. Aun así, tal como se ha indicado previamente, las instrucciones del responsable del tratamiento pueden dejar cierto margen de discrecionalidad sobre el modo de servir mejor a los intereses de este, de modo que permitan al encargado elegir los medios técnicos y organizativos más adecuados.32. 81. Actuar «por cuenta de» alguien también significa que el encargado no puede llevar a cabo el tratamiento para sus propios fines. Tal como se estipula en el artículo 28, apartado 10, el encargado del tratamiento infringirá el RGPD cuando no se ciña a las instrucciones del responsable y comience a determinar sus propios fines y medios del tratamiento. En estos casos, el encargado del tratamiento se considerará responsable en relación con dicho tratamiento y podrá ser sancionado por no haberse adherido a las instrucciones del responsable”. A su vez, un encargado del tratamiento responderá como responsable del tratamiento en las situaciones en las que el encargado haya tratado datos personales: (
  10. i)para fines que le sean propios o (
  11. ii)en las que haya tratado dichos datos de manera incompatible con el marco o las modalidades del tratamiento tal como hayan sido determinados por el responsable del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/27 tratamiento, es decir de manera incompatible o contraria o extralimitándose respecto las instrucciones del responsable del tratamiento sobre los fines y los medios del tratamiento o (iii) que realice actuaciones que el responsable no hubiera autorizado. En el presente supuesto, FEMXA ha estado solicitando una copia de la imagen del DNI a los participantes en los cursos de formación que imparte por cuenta del SEPE. Indica que lo hace de esta manera porque el SEPE así lo recoge en su convocatoria. Preguntado el SEPE por esta cuestión, ha manifestado que en la convocatoria no se establece la exigencia de presentación de la fotocopia del DNI por parte de las personas participantes. El SEPE manifiesta que los datos personales a tratar se recogen en el Anexo I de la convocatoria de subvenciones públicas para la ejecución de programas de formación de ámbito estatal, y al comprobar ese Anexo se puede observar que los datos personales a proporcionar por los solicitantes son: Nombre y Apellidos, Dirección, Localidad, CP, Teléfono, Email, NIF, Nº Seguridad. Social, Fecha Nacimiento, Género, Discapacidad (S/N), Nivel de Estudios, Categoría Profesional, Ocupación e información sobre la entidad en la que trabaja, Firma, pero en ningún caso se contempla la recogida de la copia del DNI. Por ello, en este caso, se entiende que FEMXA es responsable de los hechos que han motivado la reclamación, relacionados con la recogida de los documentos de identidad de los interesados. V Obligación incumplida. Minimización de datos La letra
  12. c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
  13. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" En el presente caso, FEMXA es una entidad que oferta cursos subvencionados por el SEPE. La parte reclamante solicitó uno de estos cursos, y para completar la inscripción FEMXA solicitó a la parte reclamante que aportara fotografía con la imagen de su DNI por las dos caras. La parte reclamante procedió al envío de la imagen de su DNI, pero eliminando los datos de seguridad, a lo que, desde FEMXA se indicó que “necesitamos que todos los datos del DNI sean legibles”. FEMXA ha confirmado en los diferentes escritos enviados a esta Agencia que entre los datos recabados de las personas que solicitan participar en acciones formativas se encuentra la copia de DNI. Afirman que este tratamiento es necesario para acreditar la identidad del alumno que se inscribe a un curso subvencionado. Asimismo, manifiestan que lo hacen como C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/27 encargados del tratamiento del SEPE y que es éste quien solicita que se solicite la copia del DNI de los solicitantes, para poder acreditar que se cumplen con los requisitos necesarios para participar en los cursos subvencionados. Preguntado el SEPE, éste afirma que, entre los datos personales a recabar de las personas que solicitan participar en acciones formativas, no se encuentra la copia de DNI, afirmando que los datos personales a tratar son los establecidos en el Anexo I de la convocatoria de subvenciones públicas para la ejecución de programas de formación de ámbito estatal, que son Nombre y Apellidos, Dirección, Localidad, CP, Teléfono, Email, NIF, Nº Seguridad. Social, Fecha Nacimiento, Género, Discapacidad (S/N), Nivel de Estudios, Categoría Profesional, Ocupación e información sobre la entidad en la que trabaja, Firma. En este sentido, las Directrices 01/2022 sobre los derechos de los interesados — Derecho de acceso en su apartado 74, indican que: "Cabe destacar que la utilización de una copia de un documento de identidad como parte del proceso de autenticación crea un riesgo para la seguridad de los datos personales y puede dar lugar a un tratamiento no autorizado o ilícito y, como tal, debe considerarse inapropiado, a menos que sea necesario, adecuado y conforme a la legislación nacional." Continúa el apartado 76 señalando lo siguiente: “La información sobre el documento de identidad que no es necesaria para confirmar la identidad del interesado, como el acceso y el número de serie, la nacionalidad, el tamaño, el color de los ojos, la fotografía y la zona legible por máquina, en función de una evaluación caso por caso, puede ser redactada u ocultada por el interesado antes de presentarla al responsable del tratamiento, excepto cuando la legislación nacional exija una copia completa del documento de identidad sin redactar (véase el párrafo 78 infra). En general, la fecha de emisión o de caducidad, la autoridad expedidora y el nombre completo que coincida con la cuenta en línea son suficientes para que el responsable del tratamiento verifique la identidad, siempre que se garantice la autenticidad de la copia y la relación con el solicitante. Solo podrá exigirse información adicional, como la fecha de nacimiento del interesado, en caso de que persista el riesgo de identidad errónea, si el responsable del tratamiento es capaz de compararla con la información que ya procesa.” Asimismo, en el Informe 0048/2023 de la AEPD: Uso de los datos y realización de copias del DNI, se dispone que: “(…) la información del documento de identidad que no sea necesaria para confirmar la identidad del interesado, en el contexto concreto, tal y como por ejemplo, el número del documento, la fotografía, o los datos que se pueden leer por máquina, nos lleva a concluir que la solicitud del DNI con la toma de una copia del mismo sería, en principio, un tratamiento excesivo, y que no puede instaurarse por sistema, sino que habrá que analizar, caso por caso, multitud de aspectos, que van desde la base jurídica que legitima dicho tratamiento, sobre todo si está previsto en la ley, hasta el riesgo de dicho tratamiento teniendo presente el principio de minimización y la proporcionalidad de dicha medida, ya que como nos recuerda el Considerando 39 del RGPD: Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. (...). Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/27 En este caso, la obligación de acreditar los datos de identidad de la parte reclamante puede alcanzarse sin necesidad de que se tenga que requerir y almacenar la imagen del documento nacional de identidad, mucho más si tenemos en cuenta que el SEPE ya ha determinado que no se exige para poder participar en los cursos subvencionados. Siendo así, la solicitud de la fotocopia del documento de identidad de la parte reclamante con toda la información contenida en el mismo podría entenderse, sin perjuicio de lo que resulte de la instrucción, como un tratamiento de datos personales excesivo para el fin específico del citado tratamiento, contrario a los principios de protección de datos, concretamente, al principio de “minimización de datos”, regulado en el artículo 5.1.
  14. c)del RGPD. Por tanto, de conformidad con las evidencias de las que se dispone en este momento de resolución de procedimiento sancionador, se considera que los hechos conocidos son constitutivos de una infracción, imputable a FEMXA, por vulneración del artículo 5.1.
  15. c)del RGPD transcrito anteriormente. VI Tipificación de la infracción del artículo 5.1.
  16. c)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  17. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  18. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VII Sanción por el incumplimiento del artículo 5.1.
  19. c)del RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/27 Para determinar la multa administrativa a imponer se han observado las previsiones de los artículos 83.1 y 83.2 del RGPD, preceptos que señalan: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  20. a)a
  21. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  22. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  23. b)la intencionalidad o negligencia en la infracción;
  24. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  25. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  26. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  27. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  28. g)las categorías de los datos de carácter personal afectados por la infracción;
  29. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  30. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  31. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  32. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción”. Por su parte, el artículo 76 “Sanciones y medidas correctivas” de la LOPDGDD dispone: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  33. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
  34. a)El carácter continuado de la infracción.
  35. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/27
  36. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  37. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  38. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  39. f)La afectación a los derechos de los menores.
  40. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  41. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado”. En el presente caso, considerando la gravedad de la posible infracción, atendiendo especialmente a las consecuencias que su comisión provoca en los afectados, correspondería la imposición de multa, además de la adopción de medidas, si procede. La multa que se imponga deberá ser, en cada caso individual, efectiva, proporcionada y disuasoria, conforme a lo establecido en el artículo 83.1 del RGPD. Para garantizar estos principios, se considera, con carácter previo, el volumen de ventas de FEMXA de 4.512.944 € en el año 2023. A efectos de decidir sobre la imposición de una multa administrativa y su cuantía, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que procede graduar la sanción a imponer de acuerdo con las circunstancias siguientes, contempladas en los preceptos antes citados. Con carácter previo, se estima que concurren las circunstancias siguientes: • La naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido (artículo 83.2.
  42. a)del RGPD): FEMXA solicita la copia con la imagen del DNI sin que se puedan ocultar los datos de seguridad de las personas que quieren participar en los cursos que oferta como condición indispensable para poder realizar los cursos, sin que se trate de un tratamiento necesario. Este hecho afecta a todos aquellos que quieran participar en los cursos que ofertan. • Las categorías de los datos de carácter personal afectados por la infracción (artículo 83.2.
  43. g)del RGPD): El identificador numérico del DNI junto con el carácter de verificación correspondiente al número de identificación fiscal identifica a una persona física de modo indubitado. En el presente caso, el número del DNI/NIF de la reclamante, se trata de un tratamiento sobre un dato sensible, pues permite la identificación directa e inequívoca de una persona física. Tal y como establece el Real Decreto 1553/2005, el DNI es un identificador numérico personal de carácter general, con valor suficiente para acreditar tanto la identidad como la nacionalidad del titular, lo que lo convierte en un elemento especialmente sensible dentro del ecosistema de datos personales. Además, su utilización indebida conlleva un elevado riesgo de suplantación de identidad, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/27 daños patrimoniales o afectación al derecho al honor, riesgos expresamente contemplados en el considerando 75 del RGPD. Por ello, una interpretación sistemática y finalista del RGPD —conforme a los considerandos 51 y 75— permite considerar el DNI como un dato particularmente sensible, atendiendo a su capacidad de provocar perjuicios significativos en caso de uso no autorizado. En este sentido, De acuerdo con las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD, a la hora de valorar esta circunstancia, no solo debe hacerse referencia a los “tipos de datos cubiertos por los artículos 9 y 10 del RGPD, sino también a los datos fuera del ámbito de aplicación de estos artículos cuya difusión causa daños o dificultades inmediatas al interesado”. Entre estos, señala, de manera expresa los números documentos de identidad. Asimismo, se consideran los siguientes factores de graduación en calidad de agravantes: • La vinculación de la actividad del infractor con la realización de tratamientos de datos personales (artículo 76.2.
  44. b)de la LOPDGDD): FEMXA es una entidad que oferta cursos de formación, y por tanto en su actividad es imprescindible el uso de datos personales para efectuar la inscripción de los participantes. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1.
  45. c)del RGPD, permite fijar una sanción de multa administrativa de 25.000,00 euros. VIII Medidas correctivas De confirmarse la infracción, la resolución que se dicte podrá establecer las medidas correctivas que la entidad infractora deberá adoptar para poner fin al incumplimiento de la legislación de protección de datos personales, en este caso del artículo 5.1.
  46. c)del RGPD, de acuerdo con lo establecido en el citado artículo 58.2.
  47. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” Así, se podrá requerir a la entidad responsable para que adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los anteriores Fundamentos de Derecho. En el presente acto se establece cuál es la presunta infracción cometida y los hechos que han dado lugar a esa vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/27 No obstante, en este caso, con independencia de lo anterior, de conformidad con las evidencias de que se dispone en el presente momento de acuerdo de inicio de procedimiento sancionador, en la resolución que se adopte se podrá requerir a FEMXA para que, en el plazo de 1 mes, a contar desde la fecha de ejecutividad de la resolución finalizadora de este procedimiento, adopte las medidas siguientes: - Acreditar la adopción de las medidas apropiadas para no solicitar copia o imagen del DNI de los participantes en los cursos ofertados como requisito para poder participar en los mismos. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. Se advierte que no atender la posible orden de adopción de medidas impuestas por este organismo en la resolución del presente procedimiento sancionador podrá ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.5 y 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Asimismo, se recuerda que ni el reconocimiento de la infracción cometida ni, en su caso, el pago voluntario de las cuantías propuestas, eximen de la obligación de adoptar las medidas pertinentes para que cese la conducta o se corrijan los efectos de la infracción cometida y la de acreditar ante esta AEPD el cumplimiento de esa obligación. IX Pago voluntario De conformidad con lo dispuesto en el citado artículo 85 de la LPACAP, en el acuerdo de inicio se le permitía llevar a cabo el pago voluntario de la sanción propuesta. La parte reclamada ha hecho uso de la facultad contemplada en el artículo 85.2 LPACAP, pero sin reconocimiento de responsabilidad, lo que supone la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción queda establecida en 20.000,00 euros y su pago implica la terminación del procedimiento, sin perjuicio de la imposición de las medidas correspondientes. Tras el acuerdo de inicio, y antes de que se dictase resolución por parte de esta autoridad, FEMXA en fecha 15 de julio de 2025 procedió a realizar el pago voluntario, acogiéndose a la reducción del 20%. De conformidad con el apartado 3 del artículo 85 LPACAP, la efectividad de la citada reducción estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Debe tenerse en cuenta que, de acuerdo con los preceptos de la LPACAP, así como de la jurisprudencia del Tribunal Supremo en esta materia, el ejercicio del pago voluntario por el presunto responsable no exime a la administración de la obligación de resolver y notificar todos los procedimientos, cualquiera que sea su forma de iniciación. De igual forma, el artículo 88 de la citada norma establece que la resolución que ponga fin al procedimiento decidirá todas las cuestiones planteadas por los interesados y aquellas otras derivadas del mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/27 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la comisión de la infracción y CONFIRMAR la sanción determinada en la parte dispositiva del acuerdo de inicio transcrito en la presente resolución. La cuantía citada asciende a 25.000 euros. Tras haber procedido la parte reclamada al pronto pago, aunque sin reconocimiento de responsabilidad, se procede, en virtud del artículo 85 de la LPACAP, a la reducción de un 20% del total mencionado, lo cual supone la cantidad definitiva de 20.000,00 euros. SEGUNDO: DECLARAR la terminación del procedimiento EXP202502346 de conformidad con lo establecido en el artículo 85 de la LPACAP. TERCERO: ORDENAR a FEMXA FORMACIÓN, S.L., con NIF B36338051, que en virtud del artículo 58.2.
  48. d)del RGPD, en el plazo máximo de 1 mes desde que la presente resolución sea firme y ejecutiva, acredite haber procedido a la adopción de las medidas apropiadas para no solicitar copia o imagen del DNI de los participantes en los cursos ofertados como requisito para poder participar en los mismos. CUARTO: NOTIFICAR la presente resolución a FEMXA FORMACIÓN, S.L. QUINTO: De acuerdo con lo previsto en el artículo 85 de la LPACAP que condiciona la reducción por pago voluntario al desistimiento o renuncia de cualquier acción o recurso en vía administrativa, la presente resolución será firme en vía administrativa y plenamente ejecutiva a partir de su notificación. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al artículo 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.