← España

PS-00136-2020

1/26  Procedimiento Nº: PS/00136/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 24/05/2019 se recibe escrito de la Junta de Andalucía, DIRECCIÓN GENERAL DEL PROFESORADO Y GESTIÓN DE RECURSOS HUMANOS (reclamante), que ha tenido conocimiento de que en la web https: ***URL.1, cuyo responsable es la entidad FILIGRANA COMUNICACIÓN, S.L.U., (reclamada) trata información relativa a procesos de provisión de interinidades de la Consejería de Educación y Deporte gestionados por este a través del sistema ***URL.1 (Sistema de Provisión de Interinidades) que da soporte al procedimiento de llamamientos para interinidades durante el curso, sea por vacantes, sea por sustituciones. Manifiesta que dicha web dispone de una página inicial con las siguientes funcionalidades: - diferentes contenidos divulgativos sobre ***URL.1, pasos para participar, métodos de acceso, un vídeo divulgativo etcétera. - un sistema de suscripción para recibir notificaciones. - enlace al sistema ***URL.1 originario de la Junta de Andalucía. - un menú con opciones y contenidos de convocatorias, resultados, bolsas y oposiciones. - botones para ver los “últimos adjudicados” y ver la “última convocatoria”. En la funcionalidad convocatorias y resultados, se pueden consultar diferentes convocatorias efectuadas por el ***URL.1 pudiéndose acceder a datos personales de los adjudicatarios de la convocatoria, nombre, documento de identificación y centro de destino adjudicado. “Se incluyen por tanto todos los listados que son generados por el sistema”. “Los datos mostrados no son un hiperlink, son datos obtenidos de listados publicados en nuestro propio sistema mediante un sistema informatizado y alojados en esta web”. Manifiesta la reclamante que “Los datos de los participantes en las convocatorias de provisión de interinidades si bien son obtenidos de listados que son públicos, alojados en esta web sin que nos conste ningún tipo de consentimiento previo” Esa información no refleja la fiabilidad oficial y cualquier error puede tener consecuencias para interesados. Manifiesta la reclamante que en la sección de la citada web figura en “política de privacidad” los datos del responsable; FILIGRANA COMUNICACIÓN SLU, y una actividad social :”periodismo y otros profesionales de comunicación” y proporciona los datos que figuran de la misma. Considera que se puede estar llevando a cabo un tratamiento que no es lícito, por carecer de base legitima y de información sobre el origen de los datos y ejercicio de derechos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/26 SEGUNDO: A la vista de los hechos denunciados y de los documentos aportados por el reclamante se traslada a la reclamada la reclamación por el sistema electrónico, figurando el 20/08/2019 como rechazo automático al transcurrir el tiempo de puesta a disposición y pese a estar obligado a comunicarse con la administración de modo telemático. Se remitió también a través de correo ordinario certificado, constando en la entrega desconocido con devolución a origen el 22/08/2019. TERCERO: Con fecha 26/12/2019, la directora de la AEPD admitió la reclamación. CUARTO: Con fecha 30/12/2019, se inician actuaciones de investigación, cuyo contenido se transcribe: 1.“Con fecha 15/04/2020 se comprueba la existencia de una POLÍTICA DE PRIVACIDAD en la web ***URL.1.es donde consta, entre otro contenido: “***URL.1.es se compromete a salvaguardar su privacidad. Póngase en contacto con nosotros en ***EMAIL.1 si tiene alguna pregunta o problema con respecto al uso de sus Datos Personales y con mucho gusto le ayudaremos. Al utilizar este sitio web y/o nuestros servicios, usted consiente el Procesamiento de sus Datos Personales como se describe en esta Política de Privacidad. De conformidad con lo dispuesto en la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal, mediante la aceptación de la presente Política de Privacidad prestas tu consentimiento informado, expreso, libre e inequívoco para que los datos personales que proporciones a través de nuestra página web ***URL.1.es sean incluidos en un fichero de “USUARIOS DE LA WEB y SUSCRIPTORES” propiedad de FILIGRANA COMUNICACIÓN SLU, cuyos datos son: Denominación Social: FILIGRANA COMUNICACIÓN SLU CIF B04770632 Domicilio Social, ***DIRECCIÓN.1 (***LOCALIDAD.1) – España. Email: ***EMAIL.1 Actividad Social: Periodismo y otros profesionales de comunicación.” 2. En el apartado de “Principios de Protección de Datos” consta, entre otras: “Nuestras actividades de procesamiento se ajustan al propósito para el cual usted nos cedió los datos personales.” “El procesamiento se realiza con datos mínimos” “No almacenaremos sus datos personales por más tiempo del necesario” “Haremos nuestro mejor esfuerzo para garantizar la exactitud de los datos” “Haremos todo lo posible para garantizar la integridad y la confidencialidad de los datos” Consta un apartado con nombre “Derechos del usuario”. En el apartado de “Datos que recopilamos” consta: “La información que usted nos ha proporcionado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/26 Esta es su dirección de correo electrónico, nombre y apellidos, DNI y teléfono móvil. Esta información es necesaria para poder comprobar si el sistema ***URL.1 le ha convocado, adjudicado o cualquier otra circunstancia. Además, guardamos la información que nos proporciona para que pueda comentar o realizar otras actividades en el sitio web. Información recopilada automáticamente Todas las webs y esta también almacenan automáticamente mediante cookies y otras herramientas de sesión cierta información. Por ejemplo, su dirección IP. Esta información se utiliza para mejorar la experiencia de usuario. Cuando utiliza nuestros servicios o mira los contenidos de nuestro sitio web, es posible que se registren sus actividades. Información disponible públicamente Podemos recopilar información sobre usted que esté disponible públicamente en las webs de las diferentes administraciones públicas, como por ejemplo, la web de la Consejería de Educación de la Junta de Andalucía.” En el apartado de “Cómo utilizamos sus datos personales” consta, entre otras manifestaciones: “Utilizamos sus datos personales para: • Proveer nuestro servicio. Esto incluye, por ejemplo, el registro de su cuenta; proporcionarle otros productos y servicios que haya solicitado; proporcionarle artículos promocionales a su solicitud y comunicarse con usted en relación con esos productos y servicios; comunicándole e interactuando con usted; y notificándole los cambios en cualquier servicio. • Mejorar su experiencia de usuario. • Cumplir con una obligación legal o contractual. • Comprobar si el sistema ***URL.1 ha realizado alguna publicación relativa a usted. Utilizamos sus datos personales por motivos legítimos y con su consentimiento. Con el fin de celebrar un contrato o cumplir obligaciones contractuales, procesamos sus Datos personales para los siguientes fines: • para identificarle. • para avisarle de novedades que le afecten directamente a usted o en general a interinos y aspirantes docentes. • para proporcionarle un servicio o para enviarle / ofrecerle un producto • para comunicarse ya sea por ventas o facturación Por motivos de interés legítimo, procesamos sus datos personales para los siguientes fines: • Para enviarle ofertas personalizadas cuidadosamente seleccionados; nuestras y / o de nuestros socios • Para administrar y analizar nuestra base de usuarios (comportamiento de compra e historial) para mejorar la calidad, variedad y disponibilidad de los productos / servicios ofrecidos / proporcionados; • Realizar cuestionarios sobre la satisfacción del usuario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/26 Siempre y cuando no nos haya informado de otra manera, consideramos que ofrecerle productos / servicios similares a su historial de comportamiento es nuestro interés legítimo. Con su consentimiento, procesamos sus datos personales para los siguientes fines: • Para enviarle avisos, boletines y ofertas de campañas (de nosotros y / o de nuestros socios cuidadosamente seleccionados). • Para otros fines, de los hemos solicitado su consentimiento. …” -En el apartado de “Quién más puede acceder a sus datos personales” consta, entre otras manifestaciones: “En esta web también se estudian las preferencias de sus usuarios, sus características demográficas, sus patrones de tráfico, y otra información en conjunto para comprender mejor quiénes constituyen nuestra audiencia y qué es lo que necesita. El rastreo de las preferencias de nuestros usuarios también nos ayuda a mostrarle los avisos publicitarios más relevantes” 3. Con fecha 15/04/2020 se comprueba la existencia de listados con los siguientes datos personales: En resultados: Nombre y apellidos, DNI enmascarado, Centro, Provincia, Localidad, Puesto. (ANEXO 3) En la página 16 de 18 del ANEXO 3 figura el literal: “Todos los listados de puestos y personas que aparecen en esta web son de dominio público y han sido publicados y expuestos previamente de manera abierta, libre y publica en el portal web de la Consejería de Educación de la Junta de Andalucía, en virtud de los obligados principios de publicidad y transparencia que deben regir por ley las ofertas de empleo público. Por tanto, ***URL.1 no publica ningún dato sensible o sujeto a privacidad, ningún dato que no sea de libre dominio público y ningún dato que no esté o haya estado expuesto de manera abierta y pública en el portal web de la citada Consejería de Educación Aunque ***URL.1 refleja los datos públicos de la Consejería a modo informativo siempre recomendamos que dichos datos sean cotejados directamente en el portal web de la Consejería. Por tanto ***URL.1.ES no se hace responsable de la exactitud de los datos los cuales han sido recopilados directamente de la zona públicamente accesible de la web de la Consejería y es responsabilidad del usuario su comprobación en la web de dicha Consejería. “ En convocatorias: Nombre y apellidos, DNI enmascarado, Orden en bolsa, Puesto”(ANEXO 4) 4. Con fecha 15/04/2020 se comprueba que al final de la web ***URL.1 consta el siguiente aviso: “Aviso: La página en la que te encuentras no es una web de la Administración. Pertenece a FILIGRANA COMUNICACIÓN SLU, que ofrece un servicio de información sobre el sistema ***URL.1 de la Consejería de Educación de la Junta de Andalucía. ***URL.1 recomienda siempre cotejar y comprobar todos los datos en la página de la Consejería de Educación de la Junta de Andalucía” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/26 QUINTO: Queda incorporado a actuaciones previas los ANEXOS UNO a CUATRO que se corresponden con el contenido de la diligencia del inspector de 15/04/2020. El contenido de los anexos I y II coinciden con el punto 1 y 2 reflejado del apartado HECHOS, cuarto. Los ANEXOS TRES y CUATRO, se refieren al punto 3 del punto cuarto de HECHOS. 1. ANEXO UNO: Resultado obtenido en el acceso a la URL ***URL.1. En el mismo figura diversa información, entre otros, aspectos, como: -Detalla que ***URL.1 es un “sistema de provisión de interinidades, una plataforma telemática puesta en marcha por la Consejería de Educación de la Junta de Andalucía para la adjudicación de vacantes sobrevenidas y sustituciones a lo largo del curso escolar” ”Adiós a las llamadas telefónicas”” plataforma puesta en marcha 28/01/2019 sustituye al tradicional sistema de llamamientos telefónicos desde las distintas delegaciones provinciales”. “Los interinos o aspirantes en bolsa ya no tienen que estar atentos a una llamada de la Consejería para adjudicarle destino. ¿cómo funciona ***URL.1? A través de dos convocatorias semanales y el resultado de los llamamientos de cada una. Detalla en qué consisten las convocatorias para interinos y aspirantes en bolsa indicando que la plataforma pública tres listados, el de personas convocadas, de plazas obligatorias y el de plazas voluntarias y detalla a qué corresponde cada una de las categorías. “Según información de la Consejería todas las personas convocadas reciben un correo electrónico de la Consejería avisando de que están obligadas a participar. De todas maneras es importante tener en cuenta que los sistemas de correos masivos en general también los de la Junta pueden dar errores incluso pueden ser confundidos con spam por esta razón se recomienda qué comprueben directamente en ***URL.1 si están convocados o no. Existe incluso la posibilidad de realizar una consulta por DNI para saber si estás convocado” . También se informa de los pasos para participar en las convocatorias de ***URL.1. -Se avisa que “la página en la que te encuentras no es una web de la administración, pertenece a FILIGRANA COMUNICACIÓN que ofrece un Servicio de Información sobre el sistema ***URL.1 de la Consejería de Educación de la Junta de Andalucía” - Como servicio que proporcionan, figura: “suscríbete, recibirás avisos de las convocatorias y novedades de ***URL.1, bolsas y oposiciones” “Suscríbete y nuestro sistema de inteligencia artificial te enviara un email automáticamente cuando te convoquen te adjudiquen una plaza, seas declarado inactivo de oficio recibas propuesta de expulsión o cualquier otra incidencia también te avisaremos cada vez que haya una nueva convocatoria ***URL.1 y una adjudicación así como de cualquier otra novedad relevante para el profesorado interino y aspirante. ¿ porque pedimos el DNI? Para que nuestro sistema de inteligencia artificial pueda comprobar con más fiabilidad sí ha sido convocado y/o adjudicado”. Como datos a introducir en las casillas figura nombre y apellidos email, teléfono móvil y, un apartado que pone consentimiento acepto la política de privacidad. Pinchando en política de privacidad lleva a la información que se contiene en la sección “política de privacidad.”. Debajo del apartado quiero suscribirme figura: “Responsable; A.A.A.” (XX en lo sucesivo) “FINALIDAD enviarte Avisos ***URL.1 y novedades de interés (nada de spam). LEGITIMACIÓN: tú consentimiento al marcar la casilla. DESTINATARIOS tus datos estarán securizados en los servidores de SITEGROUND C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/26 SPAIN SL (hosting de ***URL.1 dentro de la UE) Derechos: tienes derecho de verificar limitar y suprimir tus datos. “ 2. ANEXO DOS: Política de privacidad de la web ***URL.1 3. ANEXO TRES: Resultado obtenido en el acceso a la URL ***URL.2 4. ANEXO CUATRO: Resultado obtenido en el acceso a la URL ***URL.3 SEXTO: Con fecha 17/06/2020, la Directora de la AEPD acuerda: “INICIAR PROCEDIMIENTO SANCIONADOR conforme señala el artículo 58.2.

  1. i)a FILIGRANA COMUNICACIÓN S.L.U., por las presuntas infracciones de los artículos: -6.1 del RGPD, de conformidad con el artículo 83.5.
  2. a)del RGPD. -14 del RGPD, de conformidad con el artículo 83.5.
  3. b)del RGPD. -13 del RGPD, de conformidad con el artículo 83.5.
  4. b)del RGPD.” “a los efectos previstos en el art. 64.2
  5. b)de la LPCAC que pudiera corresponder, sin perjuicio de la instrucción del procedimiento, serian: -2.000 euros en concepto de sanción administrativa por la infracción del artículo 6.1) del RGPD. -2.000 euros en concepto de sanción administrativa por la infracción del artículo 14 del RGPD. -4.000 euros en concepto de sanción administrativa por la infracción del artículo 13 del RGPD.” La notificación del acuerdo dio como resultado según acuse de recibo que figura en el pendiente “rechazo automático”, por transcurrir el plazo de puesta a disposición sin haberse accedido a la misma. Figura puesta a disposición 18/06/2020 rechazo automático 29/06/2020, entendiéndose practicada de acuerdo con la LPCAP. SÉPTIMO: Con fecha 19/01/2021 se emitió propuesta de resolución, con el literal: “PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a FILIGRANA COMUNICACIÓN S.L. U., con NIF B04770632, por las infracciones de los artículos: - 6.1 del RGPD, con 2.000 euros, de conformidad con el artículo 83.5.
  6. a)y 83.2
  7. a)y
  8. b)del RGPD, -14 del RGPD, con 2.000 euros, de conformidad con el artículo 83.5.
  9. b)y 83.2 del RGPD, y -13 del RGPD, con 4.000 euros, de conformidad con el artículo 83.5.
  10. b)y 83.2.
  11. a)y
  12. d)del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/26 SEGUNDO: De acuerdo con el artículo 58.2.
  13. d)del RGPD, “cada autoridad de control podrá ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…” se conmina a la reclamada a que corrija las tres infracciones declaradas, pudiendo ordenar en la resolución tal medida, otorgando un plazo para ello, si no acreditara antes su cumplimiento. “ El envío telemático, según el certificado que figura en el expediente, consta el siguiente resultado tras haber transcurrido diez días naturales desde su puesta a disposición para su acceso según el párrafo 2, artículo 43, de la LPCAP. “Fecha de puesta a disposición: 19/01/2021 12:39:08 Fecha de rechazo automático: 30/01/2021 00:00:00” Por deferencia, y con la finalidad de que obtuviera la notificación, también se realiza el 21/01/2021, un segundo envío, a través del correo postal, al domicilio que le figura en el Registro Mercantil: ***DIRECCIÓN.1 (***LOCALIDAD.1), constando: “Devuelto a Origen por 02 Dirección incorrecta el 05/02/2021 a las 10:15” HECHOS PROBADOS 1) DIRECCIÓN GENERAL DEL PROFESORADO Y GESTIÓN DE RECURSOS HUMANOS (reclamante), de la de la Consejería de Educación y Deporte de la Junta de Andalucía reclama contra la reclamada FILIGRANA COMUNICACIÓN, S.L.U. (objeto social Actividad Social: Periodismo y otros profesionales de comunicación) porque en la web de la reclamada https: ***URL.1 trata información relativa a procesos de provisión de interinidades a través de ***URL.1 (Sistema de Provisión de Interinidades) con el que el reclamante da soporte al procedimiento de llamamientos de profesores para interinidades durante el curso, -por vacantes, o por sustituciones-. 2) La citada página web de la reclamada informa que ***URL.1 es un “sistema de provisión de interinidades, una plataforma telemática puesta en marcha por la Consejería de Educación de la Junta de Andalucía para la adjudicación de vacantes sobrevenidas y sustituciones a lo largo del curso escolar” ”Adiós a las llamadas telefónicas”” plataforma puesta en marcha 28/01/2019 sustituye al tradicional sistema de llamamientos telefónicos desde las distintas delegaciones provinciales”. “Los interinos o aspirantes en bolsa ya no tienen que estar atentos a una llamada de la Consejería para adjudicarle destino. ¿cómo funciona ***URL.1? - Como servicio que proporcionan figura la suscripción de avisos del sistema ***URL.1 a través del que se le envía “un email automáticamente cuando te convoquen te adjudiquen una plaza, seas declarado inactivo de oficio recibas propuesta de expulsión o cualquier otra incidencia también te avisaremos cada vez que haya una nueva convocatoria ***URL.1 y una adjudicación así como de cualquier otra novedad relevante para el profesorado interino y aspirante”. Para dicha suscripción se pide cumplimentar en la web: nombre y apellidos email, teléfono móvil y, un apartado que pone consentimiento “acepto la política de privacidad”. PinC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/26 chando en política de privacidad lleva a la información que se contiene en la sección “política de privacidad.” Debajo del apartado quiero suscribirme figura: Responsable; MR FINALIDAD enviarte Avisos ***URL.1 y novedades de interés (nada de spam). LEGITIMACIÓN: tú consentimiento al marcar la casilla. DESTINATARIOS tus datos estarán securizados en los servidores de SITEGROUND SPAIN SL (hosting de ***URL.1 dentro de la UE) Derechos: tienes derecho de verificar limitar y suprimir tus datos. (ANEXO I de 15/04/2020). 3) De acuerdo con el ANEXO UNO, diligenciado por el inspector del Servicio de inspección de la AEPD, el 15 de abril del 2020, en la web de la reclamada: ***URL.1 consta: -En POLÍTICA DE PRIVACIDAD en la web ***URL.1, entre otro contenido: el uso de la web y de sus servicios y de los servicios Entiende otorgado el consentimiento por la constancia de la “aceptación” de la “Política de Privacidad” de su página para los que proporcionan sus datos, que pasan a forma parte del fichero de “USUARIOS DE LA WEB y SUSCRIPTORES” propiedad de FILIGRANA COMUNICACIÓN SLU, mencionando además “ De conformidad con lo dispuesto en la Ley Orgánica 15/1999 de Protección de Datos de Carácter Personal”. 4) De acuerdo con el ANEXO DOS, diligenciado por el Inspector del servicio de inspección de la AEPD, e 15 de abril del 2020, en la página web de la reclamada, en el apartado de “Principios de Protección de Datos” consta, entre otras y se inicia, informando que “Nuestras actividades de procesamiento se ajustan al propósito para el cual usted nos cedió los datos personales.” En el apartado “Derechos del usuario”,“ Datos que recopilamos” consta: “La información que usted nos ha proporcionado;”” Esta es, su dirección de correo electrónico, nombre y apellidos, DNI y teléfono móvil. Esta información es necesaria para poder comprobar si el sistema ***URL.1 le ha convocado, adjudicado o cualquier otra circunstancia. Además, guardamos la información que nos proporciona para que pueda comentar o realizar otras actividades en el sitio web.” también figura “Información disponible públicamente Podemos recopilar información sobre usted que esté disponible públicamente en las webs de las diferentes administraciones públicas, como por ejemplo, la web de la Consejería de Educación de la Junta de Andalucía.” 5) El Inspector adscrito al servicio de Inspección de la AEPD diligencia en ANEXO TRES Y CUATRO, que en la web de la reclamada, el 15/04/2020, existen listados con los siguientes datos personales: En resultados: Nombre y apellidos, DNI enmascarado, Centro, Provincia, Localidad, Puesto. (ANEXO 3) En la página 16 de 18 del ANEXO TRES figura el literal: “Todos los listados de puestos y personas que aparecen en esta web son de dominio público y han sido publicados y expuestos previamente de manera abierta, libre y publica en el portal web de la Consejería de Educación de la Junta de Andalucía, en virtud de los obligados principios de publicidad y transparencia que deben regir por ley las ofertas de empleo público. Por tanto, ***URL.1 no publica ningún dato sensible o sujeto a privacidad, ningún dato que no sea de libre dominio público y ningún dato que no esté o haya estado expuesto de manera abierta y pública en el portal web de la citada Consejería de Educación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/26 Aunque ***URL.1 refleja los datos públicos de la Consejería a modo informativo siempre recomendamos que dichos datos sean cotejados directamente en el portal web de la Consejería. Por tanto ***URL.1 no se hace responsable de la exactitud de los datos los cuales han sido recopilados directamente de la zona públicamente accesible de la web de la Consejería y es responsabilidad del usuario su comprobación en la web de dicha Consejería. “ En convocatorias: Nombre y apellidos, DNI enmascarado, Orden en bolsa, Puesto”(ANEXO CUATRO) Se comprueba que al final de la web ***URL.1 consta un aviso de que “La página en la que te encuentras no es una web de la Administración. Pertenece a FILIGRANA COMUNICACIÓN SLU, que ofrece un servicio de información sobre el sistema ***URL.1 de la Consejería de Educación de la Junta de Andalucía.***URL.1 recomienda siempre cotejar y comprobar todos los datos en la página de la Consejería de Educación de la Junta de Andalucía”” FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II El acuerdo de inicio fue notificado electrónicamente a la reclamada, por exigencia del artículo 14.2 de la LPACAP conforme al cual: “En todo caso estarán obligados a relacionarse a través de medios electrónicos con las Administraciones Públicas para la realización de cualquier trámite de un procedimiento administrativo, al menos, los siguientes sujetos:
  14. a)Las personas jurídicas”. Consta en el expediente el certificado emitido por el Servicio de Notificaciones Electrónicas y de Dirección Electrónica Habilitada de la FNMT-RCM, que deja constancia del envío del acuerdo de inicio, notificación de la AEPD dirigida a la reclamada y la fecha de rechazo automático. El artículo 43.2. de la LPACAP establece que cuando la notificación por medios electrónicos sea de carácter obligatorio -como acontece en el presente caso- “se entenderá rechazada cuando hayan transcurrido diez días naturales desde la puesta a disposición de la notificación sin que se acceda a su contenido.” (El subrayado es de la AEPD) Hay que añadir que los artículos 41.5 y 41.1, párrafo tercero, de la LPACAP dicen, respectivamente: “Cuando el interesado o su representante rechace la notificación de una actuación administrativa, se hará constar en el expediente especificándose las circunstancias del intento de notificación y el medio, dando por efectuado el trámite y siguiéndose el procedimiento.” (El subrayado es de la AEPD) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/26 “Con independencia del medio utilizado, las notificaciones serán válidas siempre que permitan tener constancia de su envío o puesta a disposición, de la recepción o acceso por el interesado o su representante, de sus fechas y horas, del contenido íntegro, y de la identidad fidedigna del remitente y del destinatario de la misma. La acreditación de la notificación efectuadas se incorporará al expediente”. Así pues, atendiendo a que la notificación del acuerdo de inicio se efectuó electrónicamente por imperativo legal (artículo 14 LPACAP) y de que se produjo el rechazo de la notificación transcurridos diez días, tal y como dispone el artículo 43.2 de la precitada ley, el trámite se consideró efectuado y el procedimiento siguió su curso (ex artículo 41.5 LPACAP) De conformidad con el artículo 73.1 de la LPCAP el plazo para formular alegaciones al Acuerdo de Inicio es de diez días computados a partir del siguiente al de la notificación. El artículo 64.2. LPACAP, indica que se informará al denunciado del derecho a formular alegaciones, del “derecho a la audiencia en el procedimiento y de los plazos para su ejercicio, así como la indicación de que en caso de no efectuar alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación éste podrá ser considerado propuesta de resolución cuando contenga un pronunciamiento preciso acerca de la responsabilidad imputada”. (El subrayado es de la AEPD) El acuerdo de inicio del expediente sancionador que nos ocupa contenía un pronunciamiento preciso sobre la responsabilidad de la entidad reclamada en el citado acuerdo se concretaba cuáles eran las conductas infractoras, tipo subsumible, las circunstancias que se estimaban concurrentes para cuantificar el importe de las multas, y el importe de las mismas que a juicio de la AEPD procedía imponer. La presente propuesta se envía de nuevo telemáticamente, como el acuerdo de inicio, y al mismo tiempo con la finalidad de que se produzca el efectivo cumplimiento de las medidas consignadas en la resolución, a través de correo postal. La primeramente recibida será la que tenga todos los efectos de cómputo de plazo para alegaciones. No obstante, la resolución que se emitirá tras la propuesta se notificará tal como prevé la normativa, vía telemática. III En cuanto a la infracción del artículo 6.1) del RGPD, los datos de las personas incluidas en la web de la reclamada procedentes de la página de la Consejería de Educación de la Junta de Andalucía que gestiona el sistema ***URL.1, que no es un enlace a la misma, son datos procedentes de otra entidad, en este caso pública, responsable de los mismos. La mera disposición de los mismos en los sistemas de la reclamada constituye un tratamiento de datos de carácter personal según se indica en el artículo 4.2 del RGPD:” Tratamiento cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización , comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/26 La normativa en materia de protección de datos de carácter personal recogida en el RGPD, mantiene el principio de que todo tratamiento de datos necesita apoyarse en una base legitimadora que lo legitime, igual que antes de la citada entrada en vigor establecía la LOPD que transponía la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24/10/1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Se establecen así diversas causas legitimadoras del tratamiento, de modo que el consentimiento no opera como la única posible. En todo caso, a partir de la entrada en vigor del RGPD no puede hablarse de un concepto legal de “fuentes accesibles al público” como el que existía en la LOPD, ni tampoco podemos entender que el hecho de que los datos aparezcan en este tipo de fuentes legitime su más el tratamiento. El RGPD sólo habla de fuentes de acceso público al regular el derecho a la información si los datos no se han recogido del interesado. Ahora bien, el hecho de que las Administraciones Públicas o los órganos jurisdiccionales publiquen documentos con datos de carácter personal no implica, en ningún caso, que los datos objeto de tratamiento tengan la naturaleza de “datos abiertos”. Categoría que define el Anexo I, punto 1, de la Ley 37/2007 de 16/11, sobre “reutilización de la información del sector público”, como “aquellos que cualquiera es libre de utilizar, reutilizar y redistribuir, con el único límite, en su caso, del requisito de atribución de su fuente o reconocimiento de su autoría”. La Ley 37/2007 sobre “reutilización de la información del sector público” trasladó al ordenamiento interno español la Directiva 2003/98/CE, de 17/11/2003, relativa a la reutilización de la información del sector público, que fue modificada por la Directiva 2013/37/UE y ha sido derogada con efectos 17/07/2021 por la Directiva (UE) 2019/1024, de 20/06/2019, sobre los datos abiertos y la reutilización de la información del sector público. Las novedades introducidas por la nueva Directiva, que exige las pertinentes transposiciones de los Estados miembros a su Derecho interno, no afectan a las cuestiones que son de interés en el presente asunto ni a la transposición que se hace en la ley 37/2017. Están sometidos a la ley 37/2007 sobre “reutilización de la información del sector público”, por disposición expresa de su artículo 2 y de su Disposición adicional segunda, los documentos elaborados por la Administración del Estado, por la Administración de las Comunidades Autónomas, por los entes que integran la Administración Local, por cualquier organismo público o entidad de Derecho Público vinculado o dependiente de las anteriores, así como las “resoluciones judiciales”. La ley 37/2007 define la reutilización como “el uso de documentos que obran en poder de las Administraciones y organismos del sector público, por personas físicas o jurídicas, con fines comerciales o no comerciales, siempre que dicho uso no constituya una actividad administrativa pública” (artículo 3.1) Al regular el régimen jurídico de la reutilización, la ley 37/2007 (artículo 4.6) dice: “La reutilización de documentos que contengan datos de carácter personal se regirá por lo dispuesto en la Ley Orgánica 15/1999, de 13/12, de protección de datos de carácter personal.” Por otra parte, en el dictamen 6/2013 de 5/06/2013, sobre datos abiertos y reutilización de la información del sector público. del Grupo de Trabajo del artículo 29 sobre Protección de Datos, (GT 29) establecido en el artículo 29 de la Directiva 95/46/CE, de 25/10/1995, del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/26 Parlamento Europeo y del Consejo, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de éstos, se trata el asunto de datos abiertos y reutilización de la información del sector público. Remisión que debemos entender hecha en la actualidad al RGPD y a LOPDGDD a tenor de la Disposición derogatoria única de ésta última, que derogó la LOPD y cuantas disposiciones de igual o inferior rango contradigan, se opongan, o resulten incompatibles con lo dispuesto en el RGPD y en la propia Ley Orgánica 3/2018. Se concluye de lo expuesto que el tratamiento de datos personales contenidos en documentos elaborados o que obran en poder de las Administraciones Públicas que sean objeto de reutilización por una persona -en este caso la reclamada-, para un uso que no represente una actividad administrativa, estará sujeto a la normativa de protección de datos de carácter personal: RGPD y LOPDGDD. En otras palabras, en ningún caso es óbice para la aplicación de la normativa de protección de datos que los datos personales tratados por la reclamada mediante su herramienta se hubieran obtenido de la reutilización de documentos en poder de la Administración del Estado, de las Comunidades Autónomas, de la Administración local, de entidades de Derecho Público dependientes de ellas -como la Tesorería General de la Seguridad Social (TGSS) o la Agencia Estatal de Administración Tributaria (AEAT)- o de las resoluciones de los órganos jurisdiccionales, que fueron publicados bien a través de diarios oficiales -como el BOE, los diarios oficiales de cada comunidad autónoma, o los BOP- bien mediante anuncios en la sede electrónica o física de tales organismos bien en los estrados de los Tribunales o en el tablón edictal judicial único. El hecho de que un dato sea accesible por cualquiera puede ser tenido en cuenta a la hora de realizar la ponderación cuando se formulase el tratamiento al amparo de una base legitimadora como podría ser la del artículo 6.1.
  15. f)del RGPD, pero no implica necesariamente que el tratamiento vaya a ser lícito, por cuanto se deben respetar los restantes principios del RGPD. Sobre los requisitos del interés legítimo, la Sentencia del Tribunal de Justicia de la Unión Europea de 24/11/2011, por la que se resuelven las cuestiones prejudiciales planteadas por el Tribunal Supremo en los recursos interpuestos contra el Reglamento de desarrollo de la Ley Orgánica 15/1999, y en la que se declaraba expresamente el efecto directo del artículo 7
  16. f)de la Directiva 95/46/CE, ponía de manifiesto en su apartado 38 que el artículo 7
  17. f)de la Directiva “establece dos requisitos acumulativos para que un tratamiento de datos personales sea lícito, a saber, por una parte, que ese tratamiento de datos personales sea necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, y, por otra parte, que no prevalezcan los derechos y libertades fundamentales del interesado” y, en relación con la citada ponderación, el apartado 40 ponía de manifiesto que la misma “dependerá, en principio, de las circunstancias concretas del caso particular de que se trate y en cuyo marco la persona o institución que efectúe la ponderación deberá tener en cuenta la importancia de los derechos que los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea confieren al interesado”. En el mismo sentido, más recientemente, la Sentencia del Tribunal de Justicia de la Unión Europea de 4/05/2017, en el asunto C-13/16, (Valsts policijas Rīgas reģiona pārvaldes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/26 Kārtības policijas pārvalde y Rīgas pašvaldības SIA «Rīgas satiksme), recordaba que el artículo 7, letra f), de la Directiva 95/46 fija tres requisitos acumulativos para que el tratamiento de datos personales resulte lícito: primero, que el responsable del tratamiento o el tercero o terceros a quienes se comuniquen los datos persigan un interés legítimo; segundo, que el tratamiento sea necesario para la satisfacción de ese interés legítimo y, tercero, que no prevalezcan los derechos y libertades fundamentales del interesado en la protección de los datos. En el RGPD, para la existencia del interés legítimo como base jurídica del tratamiento, requiere realizar una ponderación para determinar la prevalencia entre el interés legítimo alegado y los “intereses, o los derechos y libertades fundamentales” del interesado que requieran la protección de datos personales (art. 6.1
  18. f)RGPD). El régimen de protección del interesado en el RGPD frente al responsable del tratamiento que pretende utilizar sus datos personales en base a un interés legítimo es más intenso en el RGPD que en la LOPD, puesto que si en esta última, para permitir el interés legítimo bastaba con que no se “vulnerasen” sus derechos o libertades, en el régimen del RGPD basta con que sus intereses, derechos o libertades prevalezcan sobre dicho interés legítimo. Adviértase que se añade la palabra intereses, frente a la vulneración de los derechos o libertades necesarios anteriormente en la LOPD. Y que no es necesaria ninguna vulneración, sino que un que basta con que sus intereses, derechos o libertades se vean afectados, siquiera sea levemente, siempre que dicho interés prevalezca sobre el interés legítimo alegado. Sobre el interés legítimo del responsable del tratamiento de datos en virtud del artículo 7 de la directiva 95/46, el GT 29 emitió el dictamen 6/2014 de 9/04/2014 relativo al concepto de interés legítimo el responsable del tratamiento. El dictamen 6/2013 ya mencionado, trata el asunto de datos abiertos y reutilización de la información del sector público. De ninguno de ellos se deriva que del hecho de que los datos se publiquen en internet deba suponerse que puedan ser tratados con cualquier fin posible. Los hechos expuestos suponen por parte de la reclamada la comisión de una infracción del artículo 6.1) del RGPD que indica: “1.El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  19. a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
  20. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
  21. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  22. d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
  23. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/26
  24. f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.” IV El artículo 13 del RGPD precisa la Información que deberá facilitarse al interesado cuando los datos personales se obtengan del mismo. En este caso, los datos personales de las personas relacionadas con el ***URL.1 se obtienen y se llevan a la página web de la reclamada, y a través de su página web, son titularidad de otro responsable del tratamiento, que además de ofrecerlos en modo consulta, los destina a otras finalidades. El artículo 14 del RGPD trata de la Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado, que se correspondería con este caso, ya que los datos originariamente se tratan y se dan a la Consejería de Educación de la Junta de Andalucía. Respecto de estos datos, la reclamada no ha informado sobre los derechos que corresponden a los titulares de los datos que trata en su web, que proceden como ella misma indica de la web de la Consejería de Educación. Este principio aparece considerado en el considerando 39 que indica: “El principio de transparencia exige que toda información y comunicación relativa al tratamiento de dichos datos sea fácilmente accesible y fácil de entender, y que se utilice un lenguaje sencillo y claro. Dicho principio se refiere en particular a la información de los interesados sobre la identidad del responsable del tratamiento y los fines del mismo y a la información añadida para garantizar un tratamiento leal y transparente con respecto a las personas físicas afectadas y a su derecho a obtener confirmación y comunicación de los datos personales que les conciernan que sean objeto de tratamiento. Las personas físicas deben tener conocimiento de los riesgos, las normas, las salvaguardias y los derechos relativos al tratamiento de datos personales así como del modo de hacer valer sus derechos en relación con el tratamiento. En particular, los fines específicos del tratamiento de los datos personales deben ser explícitos y legítimos, y deben determinarse en el momento de su recogida” En este caso, las personas cuyos datos personales proceden del ***URL.1 se han incluido en la web de la reclamada sin ser informados de los extremos contenidos en el artículo 14 del RGPD que se considera infringido, y que indica: “1. Cuando los datos personales no se hayan obtenidos del interesado, el responsable del tratamiento le facilitará la siguiente información:
  25. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  26. b)los datos de contacto del delegado de protección de datos, en su caso;
  27. c)los fines del tratamiento a que se destinan los datos personales, así como la base jurídica del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/26
  28. d)las categorías de datos personales de que se trate;
  29. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  30. f)En su caso, la intención del responsable de transferir datos personales a un destinatario en un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de ellas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente respecto del interesado:
  31. a)el plazo durante el cual se conservarán los datos personales o, cuando eso no sea posible, los criterios utilizados para determinar este plazo;
  32. b)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable del tratamiento o de un tercero;
  33. c)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  34. d)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el consentimiento antes de su retirada;
  35. e)el derecho a presentar una reclamación ante una autoridad de control;
  36. f)la fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes de acceso público;
  37. g)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. El responsable del tratamiento facilitará la información indicada en los apartados 1 y 2:
  38. a)dentro de un plazo razonable, una vez obtenidos los datos personales, y a más tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que se traten dichos datos;
  39. b)si los datos personales han de utilizarse para comunicación con el interesado, a más tardar en el momento de la primera comunicación a dicho interesado, o
  40. c)si está previsto comunicarlos a otro destinatario, a más tardar en el momento en que los datos personales sean comunicados por primera vez. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/26 4. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y cualquier otra información pertinente indicada en el apartado 2. 5. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida en que:
  41. a)el interesado ya disponga de la información;
  42. b)la comunicación de dicha información resulte imposible o suponga un esfuerzo desproporcionado, en particular para el tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, a reserva de las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en que la obligación mencionada en el apartado 1 del presente artículo pueda imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En tales casos, el responsable adoptará medidas adecuadas para proteger los derechos, libertades e intereses legítimos del interesado, inclusive haciendo pública la información;
  43. c)la obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca medidas adecuadas para proteger los intereses legítimos del interesado, o
  44. d)cuando los datos personales deban seguir teniendo carácter confidencial sobre la base de una obligación de secreto profesional regulada por el Derecho de la Unión o de los Estados miembros, incluida una obligación de secreto de naturaleza estatutaria.” V Además, la reclamada dispone un servicio de suscripción en el que se recaban datos personales distintos de los contenidos en los listados de participantes en los procesos de las convocatorias ***URL.1. Para estos datos que se contienen en las casillas de suscripción al servicio de avisos, resultarían aplicables las obligaciones que impone el artículo 12 del RGPD que “ indica que se facilite el interesado toda la información indicada en los artículos artículo 13 así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento en forma concisa transparente inteligible y de fácil acceso con un lenguaje claro y sencillo”. Ello significa que el responsable del tratamiento debe presentar la información o comunicación de manera eficaz y sucinta para evitar el cansancio informativo. El requisito de que la información sea «inteligible» significa que debe ser entendida por el destinatario medio, ligado al requisito de utilizar un lenguaje claro y sencillo. En un contexto en línea, el uso de una declaración o aviso de privacidad en capas permitirá al interesado ir a la sección específica de la declaración o aviso de privacidad a la que desea acceder de forma inmediata en lugar de tener que desplazarse por grandes cantidades de texto buscando una determinada cuestión. El elemento «de fácil acceso» implica que el interesado no debe buscar la información; debería ser inmediatamente evidente para él dónde y cómo se puede acceder a esta información, por ejemplo proporcionándola directamente, disponiendo un enlace a la misma, señalándola claramente o como respuesta a una pregunta en lenguaje natural. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/26 La información debe ser concreta y determinante; no debe formularse en términos abstractos o ambivalentes ni dar lugar a diferentes interpretaciones. En particular, los propósitos y la base legal para el tratamiento de los datos personales deben ser claros. Los calificadores idiomáticos como «puede», «podría», «algún», «a menudo» y «posible» también deben evitarse. Cuando los responsables del tratamiento opten por utilizar un lenguaje indefinido, deberían poder, de acuerdo con el principio de responsabilidad, demostrar por qué no se pudo evitar el uso de dicho lenguaje y de qué modo este hecho no socava la imparcialidad del tratamiento. El GT29 recomienda el uso de declaraciones o avisos de privacidad en capas, que permitan a los visitantes ir a aquellos aspectos de la declaración o aviso de privacidad en cuestión que sean de mayor interés para ellos Por la falta de información de los datos que se recogen de los usuarios que se suscriben al servicio de avisos, se imputa la infracción del artículo 13 del RGPD que indica: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
  45. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  46. b)los datos de contacto del delegado de protección de datos, en su caso;
  47. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  48. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  49. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  50. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  51. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  52. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  53. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/26 apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  54. d)el derecho a presentar una reclamación ante una autoridad de control;
  55. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  56. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.” Este artículo se desarrolla en el 11 de la LOPDGDD, que indica: “1. Cuando los datos personales sean obtenidos del afectado el responsable del tratamiento podrá dar cumplimiento al deber de información establecido en el artículo 13 del Reglamento (UE) 2016/679 facilitando al afectado la información básica a la que se refiere el apartado siguiente e indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información. 2. La información básica a la que se refiere el apartado anterior deberá contener, al menos:
  57. a)La identidad del responsable del tratamiento y de su representante, en su caso.
  58. b)La finalidad del tratamiento.
  59. c)La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. Si los datos obtenidos del afectado fueran a ser tratados para la elaboración de perfiles, la información básica comprenderá asimismo esta circunstancia. En este caso, el afectado deberá ser informado de su derecho a oponerse a la adopción de decisiones individuales automatizadas que produzcan efectos jurídicos sobre él o le afecten significativamente de modo similar, cuando concurra este derecho de acuerdo con lo previsto en el artículo 22 del Reglamento (UE) 2016/679.” Se observan las siguientes deficiencias respecto a la información que ofrece la reclamada a los usuarios que se suscriban al servicio de avisos y novedades de las convocatorias de ***URL.1, bolsas y oposiciones ofertadas en su web: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/26 -Refiere una normativa, Ley Orgánica 15/1999, de 13/12, de Protección de los Datos de Carácter Personal (en lo sucesivo LOPD) que no está en vigor, sin referencia alguna a la que sí que lo está, el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); y a LOPDGDD. -“La mera utilización de la web o del sitio web” no supone consentir el procesamiento. El término “procesamiento de datos “no se adapta a los conceptos legales que prevé la normativa sobre datos de carácter personal siendo conveniente su sustitución por tratamiento de datos. -“El procesamiento se limita al propósito de este sitio web. Nuestras actividades de procesamiento se ajustan al propósito para el cual usted nos cedió los datos personales.” Además de la sugerencia del término procesamiento, la finalidad del tratamiento ha de ser informada , concretada, especificada por la responsable sobre los datos que se recogen. En el presente supuesto solo se ha verificado que no es que se cedan datos, se recogen del propio interesado, datos para recibir avisos. Debe informar de la finalidad del tratamiento de los datos, no hacer recaer en el interesado dicha finalidad. -“No almacenaremos sus datos personales por más tiempo del necesario” no es correcto, ya que debe concretarse el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; - Información disponible públicamente Podemos recopilar información sobre usted que esté disponible públicamente en las webs de las diferentes administraciones públicas, como por ejemplo, la web de la Consejería de Educación de la Junta de Andalucía.” Si se refiere al mecanismo de confrontar los avisos que interesan al afectado con los listados que gestiona la Consejería, debería eliminar el término “podemos” inconcreto e inespecífico. -“Utilizamos sus datos personales para: • Proveer nuestro servicio. Esto incluye, por ejemplo, el registro de su cuenta; proporcionarle otros productos y servicios que haya solicitado; proporcionarle artículos promocionales a su solicitud y comunicarse con usted en relación con esos productos y servicios; comunicándole e interactuando con usted; y notificándole los cambios en cualquier servicio. • Mejorar su experiencia de usuario. • Cumplir con una obligación legal o contractual” Todas estas finalidades, ajenas al envío de avisos han de ser objeto de un consentimiento especifico diferenciado, con posibilidad de oponerse a cada uno de ellos, sin sufrir restricción en la prestación del servicio que se suscriba. Si la base legitima de suscribirse al servicio es el consentimiento, no se entiende que tiene que ver la adición del “cumplimiento de una obligación legal o contractual”. Asimismo, deben ser productos o servicios especificados. El objeto del consentimiento ha de ser prestado en elementos objetivos de modo que no se convierta este en inespecífico, sin saber sobre que se consiente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/26 En cuanto a “Cumplir con una obligación legal o contractual” la base del tratamiento del servicio de avisos y envíos SMS se basa en el consentimiento no en vinculo contractual, por lo que se crea confusión. -- Utilizamos sus datos personales por motivos legítimos y con su consentimiento. Con el fin de celebrar un contrato o cumplir obligaciones contractuales, procesamos sus Datos personales para los siguientes fines:  para identificarle. para avisarle de novedades que le afecten directamente a usted o en general a interinos y aspirantes docentes.   para proporcionarle un servicio o para enviarle / ofrecerle un producto.  para comunicarse ya sea por ventas o facturación. Si el uso del servicio de suscripción recae sobre la base del consentimiento informado, no sería preciso indicar “Utilizamos sus datos personales por motivos legítimos” ya que puede añadir confusión mediante la contradicción de bases del tratamiento, al existir una distinta denominada interés legítimo en el artículo 6.1.
  60. f)del RGPD. “Con el fin de celebrar un contrato o cumplir obligaciones contractuales”. En este caso, se desconoce en estos casos que el origen del vínculo sea contractual, ya que el origen de los datos descansa en el consentimiento, que no supone concertación legal en cuanto a vinculo jurídico de derechos-obligaciones por las partes. “para proporcionarle un servicio o para enviarle / ofrecerle un producto”. En este caso, debe circunscribirse que servicio, y que producto se trata y debe ofrecerse posibilidad de rechazar el uso de los datos para este servicio adicional. -“Por motivos de interés legítimo, procesamos sus datos personales para los siguientes fines: Para enviarle ofertas personalizadas nuestras y / o de nuestros socios cuidadosamente seleccionados;   Para administrar y analizar nuestra base de usuarios (comportamiento de compra e historial) para mejorar la calidad, variedad y disponibilidad de los productos / servicios ofrecidos / proporcionados;  Realizar cuestionarios sobre la satisfacción del usuario.” Como base de tratamiento distinta a consentimiento, si se utilizaran los datos del servicio de avisos de este modo, los motivos de interés legítimo han de ser detallados en qué consisten, especificando en que consiste el citado interés, el balance resultante realizado para que predomine sobre los derechos del titular de los datos. Asimismo se ha de dar la opción de oposición al tratamiento. Para más detalle sobre la base del interés legítimo, puede consultar el dictamen 6/2014 de 9/04/2014, del GT 29 cuyas explicaciones son aplicables a dicha base de tratamiento prevista en el RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/26 “enviarle ofertas personalizadas nuestras y / o de nuestros socios cuidadosamente seleccionados;” En este caso, debe ofrecer posibilidad de oponerse a dicha finalidad así como concretar los productos que se ofertan, y precisar no los socios, sino “los destinatarios o categoría de destinatarios de los datos personales”. “comportamiento de compra e historial” - “Siempre y cuando no nos haya informado de otra manera, consideramos que ofrecerle productos / servicios similares a su historial de comportamiento es nuestro interés legítimo.” Esta cláusula supone un posible interés legítimo en actividades de mercadotecnia, pero en los envíos se ha de informar y dar la opción de oposición al tratamiento. En cuanto al “historial de comportamiento” se parte de la consideración que “Todo interesado tendrá derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar. (artículo 22.1 RGPD), detallando si concurre alguna excepción del artículo 22.2 del RGPD. Si se utilizan, se ha de informar de la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, dando información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. No supone base legitima para el tratamiento consistente en el análisis del historial del comportamiento el interés legítimo escuetamente indicado, debiendo ajustarse a lo establecido para este tipo de tratamientos al artículo 22 del RGPD. -“Con su consentimiento, procesamos sus datos personales para los siguientes fines: • Para enviarle avisos, boletines y ofertas de campañas (de nosotros y / o de nuestros socios cuidadosamente seleccionados). • Para otros fines, de los hemos solicitado su consentimiento.” El envío de comunicaciones comerciales “ofertas de campaña” debe ser objeto de una cláusula específica sobre la que se ha de proporcionar la oportunidad de oponerse a dicho tratamiento y los productos o servicios han de concretarse y especificarse, no pudiendo ser genéricos o indeterminados. No figura con claridad quien es el responsable del tratamiento de los datos que se dan para recibir avisos del ***URL.1 pues en un caso se remite a A.A.A., y en el apartado de “Política de privacidad” indica que el fichero suscriptores es propiedad de FILIGRANA COMUNICACIN SL. A ello se añade que en ninguno de los dos casos se indica la sede o el modo de ejercitar los derechos derivados del RGPD. Así pues, se considera que la reclamada ha infringido el artículo 13 del RGPD. VI A las infracciones se refiere el artículo 83.5.
  61. a)del RGPD que indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/26 “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  62. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;”
  63. b)los derechos de los interesados a tenor de los artículos 12 a 22; La LOPDGDD indica en su artículo 72: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  64. b)El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.
  65. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica.” Y el artículo 74 de la LOPDGDD: “Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes:
  66. a)El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679.” Además, entre los poderes correctivos que contempla el artículo 58 del RGPD, en su apartado 2
  67. d)se establece que cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. La imposición de esta medida es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. En tal sentido, la reclamada deberá corregir las infracciones que se declaran, pudiéndose disponer en la parte dispositiva de la resolución la obligatoriedad de llevarse a efectos si antes no se hubiera efectuado. VII C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/26 La determinación de las sanciones que procede imponer en el presente caso exige observar las previsiones de los artículos 83.1 y.2 del RGPD, preceptos que, respectivamente, disponen lo siguiente: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
  68. a)a
  69. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
  70. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
  71. b)la intencionalidad o negligencia en la infracción;
  72. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
  73. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
  74. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
  75. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
  76. g)las categorías de los datos de carácter personal afectados por la infracción;
  77. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
  78. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
  79. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
  80. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado “Sanciones y medidas correctivas”: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
  81. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/26
  82. a)El carácter continuado de la infracción.
  83. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
  84. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
  85. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
  86. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
  87. f)La afectación a los derechos de los menores.
  88. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
  89. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado. 3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679.” Para la valoración de las sanciones se contemplan los siguientes factores: Sobre la infracción del artículo 6.1 RGPD se valora que los datos están expuestos en una web abierta al público pretendiendo supuestamente llevar a cabo con el tratamiento una información a los interesados, para lo que se importan todos los datos a pesar de que las expectativas de los titulares de los datos hace difícil pensar que van a ser utilizados en otra página con fines comerciales (83.2.
  90. a)del RGPD, la supuesta falta de intencionalidad, al considerar que podrían ser esos datos una fuente de uso público faltando un análisis más detallado (83.2.
  91. b)RGPD, por lo que la valoración de la multa por la infracción imputada es de 2.000 euros. Sobre la cuantía de la infracción del artículo 14 del RGPD, el alto grado de negligencia al no incorporar aspecto alguno de la información (83.2.
  92. b)del RGPD, valorando la multa en 2.000 euros. Sobre el artículo 13 del RGPD, se valora que la información no está suficientemente clara, produciéndose reiteración de información, y se contienen varios elementos inexactos e indeterminados que no aclaran en que consiste en tratamiento, se contienen términos que conducen a la confusión (83.2.
  93. a)RGPD y una falta de adaptación a las pautas organizativas y técnicas que supuso la entrada en vigor del RGPD, conteniendo referencias a la LOPD y ninguna al RGPD (83.2.
  94. d)RGPD. La valoración de la multa por esta infracción es de 4.000 euros C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/26 Por lo tanto, de acuerdo con la legislación aplicable ley valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a FILIGRANA COMUNICACIÓN S.L.U., con NIF B04770632, las sanciones por infracción del: - artículo 6.1 del RGPD, multa de 2.000 euros, de conformidad con el artículo 83.5.
  95. a)y 83.2
  96. a)y
  97. b)del RGPD, -artículo 14 del RGPD, multa de 2.000 euros, de conformidad con el artículo 83.5.
  98. b)y 83.2
  99. b)del RGPD, y -artículo 13 del RGPD, multa de con 4.000 euros, de conformidad con el artículo 83.5.
  100. b)y 83.2.
  101. a)y
  102. d)del RGPD. SEGUNDO: En ejercicio del artículo 58.2.
  103. d)del RGPD, “cada autoridad de control podrá ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado” se requiere a la reclamada para que corrija las tres infracciones declaradas” otorgando un plazo para ello, de dos meses en que deberá informar las medidas adoptadas. Si persistiera en el incumplimiento, se podría iniciar procedimiento sancionador por incumplimiento de los requerimientos previstos en el RGPD. TERCERO: NOTIFICAR la presente resolución a FILIGRANA COMUNICACIÓN S.L.U. CUARTO: Advertir al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
  104. b)de la LPACAP, en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29/07, en relación con el art. 62 de la Ley 58/2003, de 17/12, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº ES00 0000 0000 0000 0000 0000, abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/26 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13/07, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  105. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada LPCAP. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.