← España

PS-00092-2024

1/11  Expediente N.º: EXP202315244 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 25/09/2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CONSEJERÍA DE EDUCACIÓN Y EMPLEO de la JUNTA DE EXTREMADURA, con NIF S0611001I (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: la parte reclamante y su cónyuge solicitaron en junio una ayuda para adquisición de libros de texto y material escolar; el encargado de tramitar la resolución de la citada ayuda es el C.E.I.P Nuestra Señora de la Soledad (parte reclamada); el 04/09/2023 la reclamada remitió a los padres con hijos matriculados en el mismo un mensaje con un archivo Excel adjunto, en la que se informaba que el archivo contenía la resolución de las ayudas solicitadas; la parte reclamante manifiesta que al comprobar el archivo observó que en la pestaña "3º Curso No Becados Renta Orden" aparecían los datos económicos de las unidades familiares de los alumnos que no habían sido becados; según la parte reclamante se ha vulnerado la normativa de protección de datos al revelar el nivel de renta de su unidad familiar. Junto a la reclamación aporta copias de los DNIs y Libro de Familia; solicitud de la ayuda dirigida a la Consejería junto con la documentación anexada a la misma. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 30/10/2023, como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal que fue notificada fehacientemente en fecha 21/11/2023. En dicha notificación, se le recordaba su obligación de relacionarse electrónicamente con la Administración, y se le informaban de los medios de acceso a dichas notificaciones, reiterando que, en lo sucesivo, se le notificaría exclusivamente por medios electrónicos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 TERCERO: Con fecha 25/12/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: El 12/02/2024 la parte reclamada respondía confirmando los hechos puestos de manifiesto por la parte reclamante, reconociendo el error provocado al enviarse a las familias solicitantes de ayudas archivo Excel en el que se hacía posible el acceso a los datos de los alumnos y el nivel de renta de cada uno. QUINTO: Con fecha 10/04/2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por las presuntas infracciones de los artículos 5.1.

  1. f)y 32.1 del RGPD, tipificadas respectivamente en los artículos 83.5.
  2. a)y 83.4.
  3. a)del citado RGPD y sancionada conforme a lo dispuesto en el artículo 77 de la LOPDGDD. SEXTO: Notificado el acuerdo de inicio, el reclamado en fecha 10/05/2024 presentó escrito de alegaciones manifestando lo siguiente: que se reiteraba en la información aportada al requerimiento efectuado por la AEPD; su disconformidad con lo señalado en el hecho cuarto del acuerdo de inicio; que en relación con las infracciones no se ha incumplido el artículo 5.1.f), no se ha publicado los datos sino que el envío del mensaje fue dirigido exclusivamente a los solicitantes y que tampoco se ha incumplido el artículo 32.1 del RGPD, por lo que procede el archivo. SEPTIMO: Con fecha 21/05/2024 se inició un período de práctica de pruebas, acordándose las siguientes - Dar por reproducidos a efectos probatorios la reclamación interpuesta por la parte reclamante y su documentación, los documentos obtenidos y generados que forman parte del expediente. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por la parte reclamada y la documentación aportada. OCTAVO: En fecha 31/01/2025 fue emitida Propuesta de Resolución en el sentido de que por la Directora de la AEPD se declarara que la prte reclamada había infringido lo dispuesto en los artículos 5.1.
  4. f)y 32.1 del RGPD, tipificadas en los artículos 83.5.
  5. a)y 83.4.
  6. a)del RGPD. Notificada la Propuesta el 05/02/2025, la parte reclamada no ha formulado escrito de alegación alguna. De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. El 25/09/2023 tienen entrada en la Agencia Española de Protección de Datos escrito de la parte reclamante en el que manifiesta que junto con su cónyuge solicitaron una ayuda para adquisición de libros de texto y material escolar; el encargado de tramitar la resolución de la misma el C.E.I.P Nuestra Señora de la Soledad; la parte reclamada remitió a los padres de los hijos matriculados en el centro C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 un mensaje con un archivo Excel adjunto, conteniendo la resolución de las ayudas solicitadas y que al examinar el archivo en la pestaña "3º Curso No Becados Renta Orden" figuraban los datos económicos de las unidades familiares de los alumnos que no habían sido becados; según la parte reclamante se ha vulnerado la normativa de protección de datos al revelar el nivel de renta de su unidad familiar. SEGUNDO. Constan aportadas copias de los DNIs de la parte reclamante y su cónyuge, así como del Libro de Familia. TERCERO. Consta aportado junto al Boletín de Calificaciones del C.E.I.P Nuestra Señora de la Soledad, la Solicitud de las familias para adquisición de libros de texto y material escolar curso 2023/24 dirigida a la Consejería de Educación junto con la documentación necesaria anexada a la misma. CUARTO. Figura mensaje en el que se da traslado del fichero donde constan los listados de Becados y no Becados. QUINTO. En el listado no Becados 3º figuran el hijo menor de la parte reclamante con los datos económicos de la unidad familiar en columna al margen. SEXTO. Consta aportado Informe técnico sobre las causas que motivaron la incidencia y medidas adoptadas. En su epígrafe Cuarta, se señala que Realizada consulta al CEIP Ntra. Sra. de la Soledad de Aceuchal (Badajoz), por el director del centro educativo se remite informe del 21/11/2023, con el siguiente contenido: Al comienzo de ese curso académico 23/24 nuestro centro reparte los libros de becas a los alumnos que se les concede la gratuidad y si el centro dispone de libros sobrantes en nuestro banco de libros del colegio también los reparte a los alumnos que aunque no se les concede la gratuidad queremos que puedan beneficiarse de ellos. Así la secretaria del centro preparo una lista de estos alumnos para ordenarlos por la renta económica de sus familias en un documento Excel donde tenía guardados otros documentos en los que estaba trabajando. Para dar a conocer este listado, enviamos esta lista por error a las familias haciendo publico los nombres de los alumnos con la renta de cada uno, pensando que era otro documento. Me hago cargo de que ha sido un error humano que a cualquiera le hubiera podido pasar y entendemos por ello el sentir de estas familias. En ningún momento hemos pretendido saltarnos la ley de protección de datos de estas familias con la publicación de esta lista y sus rentas” (el subrayado corresponde a la AEPD). FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." Por su parte, el artículo 90.2 de la LPACAP señala que: “en la resolución no se podrán aceptar hechos distintos de los determinados en el curso del procedimiento, con independencia de su diferente valoración jurídica. No obstante, cuando el órgano competente para resolver considere que la infracción o la sanción revisten mayor gravedad que la determinada en la propuesta de resolución, se notificará al inculpado para que aporte cuantas alegaciones estime convenientes en el plazo de quince días”. II Obligación incumplida: articulo 5.1.
  7. f)del RGPD Los hechos denunciados se materializan en la remisión por la parte reclamada de un mensaje a través de la plataforma Rayuela, adjuntando un archivo en formato Excel que contenía la resolución de ayudas solicitadas figurando en una relación de alumnos no becados 3º junto con los datos económicos de sus unidades familiares, entre ellas la correspondiente a la parte reclamante, lo que vulnera la normativa en materia de protección de datos personales. La parte reclamada realiza el tratamiento de datos en su condición de responsable del tratamiento, dado que es quien determina los fines y los medios relacionados con el mismo, en virtud del artículo 4.7 del RGPD. Además, el responsable del tratamiento se debe encargar también de implantar las medidas técnicas y organizativas que garanticen la seguridad de los datos personales al llevar a cabo el tratamiento. Y ser capaz de demostrar el cumplimiento del RGPD y de la LOPDGDD. En primer lugar, el tratamiento realizado podría ser constitutivo de una infracción del artículo 5, Principios relativos al tratamiento, del RGPD que establece que: “1. Los datos personales serán: (…)
  8. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»). (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 De la documentación obrante en el expediente se concluye que la parte reclamada vulneró el artículo 5 del RGPD, principios relativos al tratamiento, al posibilitar el acceso a datos carácter personal, incluidos los de la parte reclamante, a terceros no autorizados, mediante el envío de un mensaje a progenitores de alumnos del centro que contenía archivo en formato excel en el que figuraba la resolución de ayudas solicitadas para la adquisición de libros de texto y material escolar. En el documento también se encontraban los datos correspondientes al nivel de renta de los de las familias de los alumnos que figuraban en el listado. La parte reclamante en su escrito señalaba que en el fichero aportado figuraban los datos económicos de las unidades familiares de los alumnos que no habían sido becados, considerando que vulnera la normativa en materia de protección de datos. En este sentido, el citado art. 5.1.
  9. f)del RGPD, prevé que los datos personales serán tratados de tal manera que se garantice su seguridad, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas. Por otra parte, el Considerando 39 del RGPD, en clara referencia al principio recogido en el artículo 5.1.
  10. f)del RGPD, dispone que: “Los datos personales deben tratarse de un modo que garantice una seguridad y confidencialidad adecuadas de los datos personales, inclusive para impedir el acceso o uso no autorizados de dichos datos y del equipo utilizado en el tratamiento”. Y es que la pérdida de confidencialidad supone un riesgo, que puede conllevar daños y perjuicios, materiales o inmateriales para las personas físicas (Considerando 85 del RGPD). En tal sentido, el Considerando 75 del RGPD establece que: “Los riesgos para los derechos y libertades de las personas físicas, de gravedad y probabilidad variables, pueden deberse al tratamiento de datos que pudieran provocar daños y perjuicios físicos, materiales o inmateriales, en particular en los casos en los que el tratamiento pueda dar lugar a problemas de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico o social significativo; en los casos en los que se prive a los interesados de sus derechos y libertades o se les impida ejercer el control sobre sus datos personales; …”. Por tanto, el acceso por parte de terceros no autorizados a los datos de carácter personal supone que éstos puedan ser utilizados para usos no conocidos, incluso fraudulentos, conllevando una pérdida total y absoluta de control sobre los mismos. En este mismo sentido, el artículo 28 de la LOPDGDD, y respecto de las obligaciones del responsable del tratamiento en el marco de los artículos 24 y 25 del RGPD para garantizar y acreditar que el tratamiento es conforme al RGPD respecto de diversos riesgos, dispone que, “(…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 2. Para la adopción de las medidas a que se refiere el apartado anterior los responsables y encargados del tratamiento tendrán en cuenta, en particular, los mayores riesgos que podrían producirse en los siguientes supuestos:
  11. a)Cuando el tratamiento pudiera generar situaciones de discriminación, usurpación de identidad o fraude, pérdidas financieras, daño para la reputación, pérdida de confidencialidad de datos sujetos al secreto profesional, reversión no autorizada de la seudonimización o cualquier otro perjuicio económico, moral o social significativo para los afectados. …”. En el presente caso, consta aportada la impresión del listado de los Alumnos de 3º no becados, entre los que figura el hijo de la parte reclamante e incluye una columna con el nivel de renta económica de las familias de los alumnos. A pesar de que la parte reclamada ha alegado que los hechos denunciados se materializan en el envío a través de la plataforma Rayuela de un mensaje con fichero adjunto dirigido exclusivamente a las personas interesadas o solicitantes de las becas, no considera que se hayan visto afectados datos sensibles. Los datos sensibles o sometidos a especial protección son aquellos que se refieren a la esfera más íntima de su titular, o cuya utilización indebida pueda dar origen a discriminación o pueden conllevar un riesgo grave para éste. En cualquier caso, la parte reclamada ha confirmado los hechos en escrito de 12/02/2024 y ha manifestado que consultado el CEIP Ntra. Sra. de la Soledad, éste sostiene que: (…) Al comienzo de ese curso académico 23/24 nuestro centro reparte los libros de becas a los alumnos que se les concede la gratuidad y si el centro dispone de libros sobrantes en nuestro banco de libros del colegio también los reparte a los alumnos que aunque no se les concede la gratuidad queremos que puedan beneficiarse de ellos. Así la secretaria del centro preparo una lista de estos alumnos para ordenarlos por la renta económica de sus familias en un documento Excel donde tenía guardados otros documentos en los que estaba trabajando. Para dar a conocer este listado, enviamos esta lista por error a las familias haciendo publico los nombres de los alumnos con la renta de cada uno, pensando que era otro documento. Me hago cargo de que ha sido un error humano que a cualquiera le hubiera podido pasar y entendemos por ello el sentir de estas familias. En ningún momento hemos pretendido saltarnos la ley de protección de datos de estas familias con la publicación de esta lista y sus rentas. A la luz de estas manifestaciones formuladas por el director del CEIP, la parte reclamada ha señalado que “el centro educativo procedió en los términos de la Orden de convocatoria si bien remitió un mensaje a través de la plataforma Rayuela con un archivo excell adjunto a todos los padres de los alumnos que se encuentran matriculados en el centro y en el que a la hora de ordenar la lista de alumnos por la renta económica se incluyó por error la columna con el nivel de renta circunstancia que no debía constar en ningún caso". C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 De conformidad con lo que antecede se considera que la parte reclamada ha vulnerado el principio de integridad y confidencialidad de los datos, principio consagrado en el artículo 5.1.
  12. f)del RGPD, infracción tipificada en el artículo 83.5.
  13. a)del RGPD. III Tipificación de la infracción del artículo 5.1.
  14. f)del RGPD El artículo 83.5
  15. a)del RGPD, considera que la infracción de “los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9” es sancionable . Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. También la LOPDGDD, a efectos de prescripción, en su artículo 72 indica: “Infracciones consideradas muy graves: 1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  16. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679. (…)” IV Artículo 32.1 del RGPD: seguridad del tratamiento Igualmente se atribuye al reclamado la posible infracción del artículo 32 del RGPD “Seguridad del tratamiento”, establece que: “1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
  17. a)la seudonimización y el cifrado de datos personales;
  18. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11
  19. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
  20. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros”. Revisada la documentación obrante en el expediente administrativo se evidencia que todas las medidas técnicas y organizativas de seguridad cuya ausencia ha quedado probada ha posibilitado directamente la brecha de datos personales, sin que se haya producido una conculcación, en el caso concreto, del artículo 32 del RGPD al no haberse acreditado la ausencia de otras medidas técnicas y organizativas de seguridad independientes de la brecha de datos personales. V Régimen aplicable a la parte reclamada La LOPDGDD en su artículo 77, Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento, establece lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
  21. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11 Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica”. En el caso examinado, el presente procedimiento sancionador tiene su causa en que la parte reclamada, tal y como se expone en los hechos, ha vulnerado la normativa en materia de protección de datos de carácter personal, en particular el principio de integridad y confidencialidad de los datos. Como se ha señalado, de conformidad con las evidencias de las que se dispone dicha conducta constituye por parte de la parte reclamada la infracción a lo dispuesto en el artículo 5.1.
  22. f)del RGPD. Hay que señalar que el RGPD, sin perjuicio de lo establecido en su artículo 83, contempla en su artículo 77 la posibilidad de declarar la infracción y, además, establecer las medidas que procedan para corregir los tratamientos de datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 personales que no se adecúen a sus previsiones, cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, como ocurre en el presente supuesto. No obstante, en relación con las medidas, en sus alegaciones la parte reclamada ha señalado que “..de manera complementaria a las comunicaciones al inicio de cada curso, se ha puesto en marcha una iniciativa en colaboración con la Secretaria General de Transformación Digital y Ciberseguridad de la Consejería de Económica, Empleo y Transformación Digital para formar y sensibilizar en materia de protección de datos a personal de todos los centros educativos de la Comunidad Autónoma procurando que al menos una persona del equipo directivo de los centros asista a la misma”, tratando de evitar de esa forma incidencias como la producida. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, La Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la CONSEJERÍA DE EDUCACIÓN Y EMPLEO de la JUNTA DE EXTREMADURA, con NIF S0611001I, ha infringido lo dispuesto en el artículos 5.1.
  23. f)del RGPD, tipificada en el artículo 83.5
  24. a)del RGPD. SEGUNDO: ARCHIVAR a la CONSEJERÍA DE EDUCACIÓN Y EMPLEO de la JUNTA DE EX-TREMADURA con NIF S0611001I, la infracción del artículo 32 del RGPD, tipificada en el artículo 83.4.
  25. a)del RGPD. TERCERO: NOTIFICAR la presente resolución a la CONSEJERÍA DE EDUCACIÓN Y EMPLEO de la JUNTA DE EXTREMADURA. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  26. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.