← España

PS-00132-2021

1/9  Expediente Nº: PS/00132/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha de 29 de abril de 2020 la Directora de la Agencia Española de Protección de Datos, acuerda iniciar actuaciones de investigación en relación a la posible app que permita monitorizar y hacer seguimiento de la estancia de turistas en Canarias, enmarcada en el potencial plan de Turismo de garantías de seguridad que se propone desde la Consejería de Turismo, Industria y Comercio del Gobierno de Canarias, para la reapertura turística en la citada Comunidad Autónoma tras la crisis sanitaria de la COVID-19, por si de tales hechos se desprendieran indicios de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos, requiriendo información a la Consejería de Turismo, Industria y Comercio del Gobierno de Canarias, teniendo conocimiento de los siguientes extremos: Con fecha 12 de mayo de 2020, se recibe respuesta de la Consejería de Turismo Industria y Comercio en la que declara no haber ordenado la puesta en marcha de app alguna que permita monitorizar y hacer seguimiento de la estancia de turistas en Canarias, así como afirma no tener constancia de la implementación de un proyecto para el desarrollo de una app con dicha finalidad. TERCERO: Mediante diligencia de continuación de inspección, de fecha 9 de junio de 2020, se incorporan al expediente diversos comunicados y noticias de prensa, referidos a la posibilidad de desarrollo del denominado “pasaporte sanitario digital”, mediante la aplicación móvil hi+Card, con datos de salud (infección por COVID-19) de los turistas que visitasen Canarias durante el verano de 2020, en colaboración con la OMT (organización mundial de turismo). CUARTO: Con fecha 15 de junio de 2020 se solicita información a la Consejería de Sanidad del Gobierno de Canarias respecto a la app catalogada como sanitaria y denominada “hi+Card”, que permitiría monitorizar turistas llegados por vía aérea a Canarias, con tratamiento de datos personales referidos al seguimiento de la crisis sanitaria de la COVID-19. Dicha solicitud de información fue reiterada con fecha 8 de julio de 2020. Mediante diligencia de 23 de octubre de 2020 con la finalidad de comprobar la comunicación a esta autoridad de control de un Delegado de Protección de Datos designado por parte de la Consejería de Sanidad del Gobierno de Canarias, puesto que no constaba dicho Delegado en el intercambio oficial de documentación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 mantenido con el citado organismo a raíz de la investigación en curso, se constata que no se ha procedido a comunicar a la Agencia Española de Protección de datos el Delegado de Protección de Datos de la Consejería de Sanidad del Gobierno de Canarias.. QUINTO: Con fecha 27 de abril de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la Consejería de Sanidad del Gobierno de Canarias (en adelante Consejería de Sanidad), por la presunta infracción del artículo del artículo 37.1 del RGPD, tipificado en el artículo 83.4 del RGPD, declarando que la sanción que pudiera corresponder sería de apercibimiento, sin perjuicio de lo que resultase de la instrucción. SEXTO: Notificado electrónicamente el citado acuerdo de inicio, la Consejería de Sanidad presentó el 12 de mayo de 2021 escrito de alegaciones en el que solicita el archivo de las actuaciones, basando su petición en las alegaciones que se exponen a continuación: “La Administración de la Comunidad Autónoma de Canarias lleva tiempo trabajando para unificar criterios en materia de protección de datos personales. Una de las líneas de actuación ha sido la designación de Delegados de Protección de Datos. En este sentido, con fecha 25 de marzo de 2021 se publica en el Boletín Oficial de Canarias el Decreto 14/2021, de 18 de marzo, por el que se aprueba el Reglamento Orgánico de la Consejería de Administraciones Públicas, Justicia y Seguridad. Mediante dicha norma se crea la Comisión de Protección de Datos Personales como órgano colegiado de fomento, análisis y elaboración de propuestas de coordinación de la protección de datos personales en la Administración Pública de la Comunidad Autónoma de Canarias y de sus organismos autónomos, adscrita a la Consejería de Administraciones Públicas, Justicia y Seguridad (art. 147 y siguientes). Son funciones de la Comisión las siguientes (art. 149):

  1. a)Ejercer el fomento, análisis y propuestas de coordinación de la protección de datos personales en la Administración Pública de la Comunidad Autónoma de Canarias.
  2. b)Ejercer la función de Delegada de Protección de Datos en los departamentos u organismos de la Administración Pública de la Comunidad Autónoma de Canarias que no hayan designado a los mismos.
  3. c)Supervisar el cumplimiento de la normativa de protección de datos personales y el establecimiento de elementos y criterios interpretativos comunes de los elementos del sistema de protección de datos personales.
  4. d)Informar y asesorar a los delegados y delegadas de protección de datos de las obligaciones que les incumben en virtud de la normativa vigente en materia de protección de datos personales.
  5. e)Cooperar con la autoridad de control. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9
  6. f)Formular recomendaciones de cumplimiento relativas a la protección de datos personales.
  7. g)Fomentar las acciones correspondientes a la formación del personal en materia de protección de datos personales.
  8. h)Aprobar sus normas de funcionamiento interno. En su composición se prevé que formen parte de la misma los DPD de los distintos departamentos (guion cuarto del apartado c del artículo 148). Su disposición adicional séptima establece una serie de reglas supletorias para que a partir de su entrada en vigor ningún departamento carezca de Delegado de Protección de Datos. En este sentido dispone que aquellos departamentos que, por cualesquiera circunstancias, el 30 de abril de 2020 no lo hubiesen designado, asumirán las funciones de delegados de protección de datos las Secretarías Generales Técnicas, Secretarías Generales u órganos equivalentes. En consecuencia, desde el día 1 de mayo, el Delegado de Protección de Datos de esta Consejería es su Secretaría General Técnica, y así se ha procedido a comunicarlo con fecha 5 de mayo (se adjunta el justificante de la comunicación efectuada).” Con fecha 13 de mayo de 2021 se aporta recibo de presentación en el Registro General de la Agencia Española de Protección de Datos, el 5 de mayo de 2021, de la comunicación de alta de Delegado de Protección de Datos de la Consejería de Sanidad. SÉPTIMO: Con fecha 1 de octubre de 2021, se emitió propuesta de resolución en el sentido siguiente: “Que por la Directora de la Agencia Española de Protección de Datos se sancione con apercibimiento a la CONSEJERÍA DE SANIDAD DEL GOBIERNO DE CANARIAS, con NIF S3511001D, por una infracción del artículo 37 del RGPD, tipificada en el artículo 83.4 del RGPD. “ OCTAVO: La propuesta de resolución fue notificada electrónicamente, tal y como exige el artículo 14.2 de la Ley 39/2015 de Procedimiento Administrativo Común de las Administraciones Públicas (LPACAP), de la misma manera en la que se notificó el Acuerdo de Inicio del presente procedimiento sancionador. Obra en el expediente certificado emitido por el servicio de Soporte del Servicio de Notificaciones Electrónicas y Dirección Electrónica Habilitada, en el que consta el envío de la notificación con Referencia: 54189506156e494cc4f7, Asunto “Propuesta de Resolución” y Administración Actuante Agencia Española de Protección de Datos, siendo la fecha de puesta a disposición de 01/10/2021 a las 12:37:06 y la fecha de rechazo automático: 12/10/2021 a las 00:00:00. El artículo 43.2. de la LPACAP establece que cuando la notificación por medios electrónicos sea de carácter obligatorio -como acontece en el presente caso- “se entenderá rechazada cuando hayan transcurrido diez días naturales desde la puesta a disposición de la notificación sin que se acceda a su contenido.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 El artículo 41.5 de la LPACAP dispone que “Cuando el interesado o su representante rechace la notificación de una actuación administrativa, se hará constar en el expediente especificándose las circunstancias del intento de notificación y el medio, dando por efectuado el trámite y siguiéndose el procedimiento.” Por su parte, el artículo 73, números 1 y 5 de la misma norma establece que “1. Los trámites que deban ser cumplimentados por los interesados deberán realizarse en el plazo de diez días a partir del siguiente al de la notificación del correspondiente acto, salvo en el caso de que en la norma correspondiente se fije plazo distinto. 3. A los interesados que no cumplan lo dispuesto en los apartados anteriores, se les podrá declarar decaídos en su derecho al trámite correspondiente. No obstante, se admitirá la actuación del interesado y producirá sus efectos legales, si se produjera antes o dentro del día que se notifique la resolución en la que se tenga por transcurrido el plazo.” No se han recibido alegaciones a la propuesta de resolución del presente procedimiento. HECHOS PROBADOS PRIMERO: Consta en el expediente que la designación de Delegado de Protección de Datos de la Consejería de Sanidad se produjo el 1 de mayo de 2021. Tal designación se lleva a cabo en virtud de lo previsto en la disposición adicional séptima del Decreto 14/2021, de 18 de marzo, por el que se aprueba el Reglamento orgánico de la Consejería de Administraciones Públicas, Justicia y Seguridad, que ordenaba designar delegado de protección de datos a los departamentos de la Administración Pública de la Comunidad Autónoma de Canarias y sus organismos autónomos antes del 30 de abril de 2021, disponiendo que, en el caso de que vencido dicho plazo no se hubiera designado, asumirían dicha función las Secretarías Generales Técnicas, Secretarías Generales u órganos equivalentes. SEGUNDO: Dicha designación fue comunicada a la Agencia Española de Protección de Datos en fecha 5 de mayo de 2021. FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos, en adelante RGPD) y en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (en lo sucesivo LOPDGD. II Las Administraciones públicas actúan como responsables de tratamientos de datos de carácter personal y, en algunas ocasiones, ejercen funciones de encargados de tratamiento, por lo que les corresponde, siguiendo el principio de responsabilidad proactiva, atender las obligaciones que el RGPD detalla, entre las que se incluye, la obligación de nombrar a un delegado de protección de datos y comunicarlo a esta Agencia. La obligación viene impuesta por el artículo 37 del RGPD, que establece lo siguiente: “1. El responsable y el encargado del tratamiento designarán un delegado de protección de datos siempre que:
  9. a)el tratamiento lo lleve a cabo una autoridad u organismo público, excepto los tribunales que actúen en ejercicio de su función judicial;” El articulo 37.3 y 4 del RGPD señala sobre la designación del DPD “Cuando el responsable o el encargado del tratamiento sea una autoridad u organismo público, se podrá designar un único delegado de protección de datos para varias de estas autoridades u organismos, teniendo en cuenta su estructura organizativa y tamaño. 4.En casos distintos de los contemplados en el apartado 1, el responsable o el encargado del tratamiento o las asociaciones y otros organismos que representen a categorías de responsables o encargados podrán designar un delegado de protección de datos o deberán designarlo si así lo exige el Derecho de la Unión o de los Estados miembros. El delegado de protección de datos podrá actuar por cuenta de estas asociaciones y otros organismos que representen a responsables o encargados.” La LOPDGDD determina en su artículo 34.1 y 3: ”Designación de un delegado de protección de datos 1. Los responsables y encargados del tratamiento deberán designar un delegado de protección de datos en los supuestos previstos en el artículo 37.1 del Reglamento (UE) 2016/679 y, en todo caso, cuando se trate de las siguientes entidades: 3. Los responsables y encargados del tratamiento comunicarán en el plazo de diez días a la Agencia Española de Protección de Datos o, en su caso, a las autoridades autonómicas de protección de datos, las designaciones, nombramientos y ceses de los delegados de protección de datos tanto en los supuestos en que se encuentren obligadas a su designación como en el caso en que sea voluntaria.” Se alega por la Consejería de Sanidad que la designación del delegado de protección de datos ha sido efectuada en fecha 1 de mayo de 2021, sin embargo, el RGPD, tal y como dispone su artículo 99, es aplicable desde el 25 de mayo de 2018, por lo que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 durante el período comprendido entre la fecha en que el RGPD inicia su aplicación y la fecha de designación del delegado de protección de datos no se ha dado cumplimiento a la obligación prevista en el artículo 37.1 de dicha norma. En consecuencia, de conformidad con las evidencias expuestas, los citados hechos constituyen una vulneración de lo dispuesto en el artículo 37 del RGPD, tipificada como tal infracción en el apartado 4.
  10. a)del artículo 83 del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, establece lo siguiente: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  11. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;” A efectos del plazo de prescripción la LOPDGDD en su artículo 73.v), “Infracciones consideradas graves”, dispone lo siguiente: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  12. v)El incumplimiento de la obligación de designar un delegado de protección de datos cuando sea exigible su nombramiento de acuerdo con el artículo 37 del Reglamento (UE) 2016/679 y el artículo 34 de esta ley orgánica.” III Para el caso de que concurra una infracción de los preceptos del RGPD, entre los poderes correctivos de los que dispone la Agencia Española de Protección de Datos, como autoridad de control, el artículo 58.2 de dicho Reglamento contempla los siguientes: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  13. b)dirigir a todo responsable o encargado del tratamiento un apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento”. (corrección de errores del Reglamento (UE) 2016/679, DOUE número 74, de 4 de marzo de 2021 (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9
  14. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;
  15. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;”. Según lo dispuesto en el artículo 83.2 del RGPD, la medida prevista en la letra
  16. d)anterior es compatible con la sanción consistente en multa administrativa o apercibimiento. IV No obstante lo señalado en los Fundamentos de Derecho anteriores, el artículo 83.7 del RGPD dispone que, sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro La LOPDGDD en su artículo 77, Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento, establece lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  17. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
  18. b)Los órganos jurisdiccionales.
  19. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
  20. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
  21. e)Las autoridades administrativas independientes.
  22. f)El Banco de España.
  23. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
  24. h)Las fundaciones del sector público. I) Las Universidades Públicas.
  25. j)Los consorcios.
  26. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica”. No cabe atender a lo solicitado por la Consejería de Sanidad en el sentido de que se archiven las actuaciones, toda vez que ha quedado constatado el incumplimiento de lo previsto en el artículo 37 del RGPD durante el período comprendido entre el 25 de mayo de 2018, fecha desde la que el RGPD es aplicable, y el 1 de mayo de 2021, fecha en la que se procede al nombramiento de delegado de protección de datos por parte de dicha entidad. Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a CONSEJERÍA DE SANIDAD DEL GOBIERNO DE CANARIAS, con NIF S3511001D, por una infracción del Artículo 37 del RGPD, tipificada en el Artículo 83.4 del RGPD, una sanción de apercibimiento. SEGUNDO: NOTIFICAR la presente resolución a CONSEJERÍA DE SANIDAD DEL GOBIERNO DE CANARIAS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  27. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-26102021 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.