1/12 Expediente N.º: EXP202413234 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 23 de julio de 2024 se interpuso reclamación ante la Agencia Española de Protección de Datos por una posible infracción imputable a la DIPUTACIÓN DE PONTEVEDRA con NIF P3600000H (en adelante, la parte reclamada o la Diputación). Los hechos que se pone en conocimiento de esta autoridad son: El 17/07/2024 la parte reclamante se personó en las oficinas de la parte reclamada para presentar un escrito de alegaciones. Según afirma, la persona que le atendió le indicó que para admitir el escrito de alegaciones debía facilitarle su DNI para escanearlo o entregar una fotocopia. El reclamante manifiesta que la petición de su DNI para realizar el trámite es ilegal desde el año 2006. Junto al escrito, aporta justificante del registro del escrito de alegaciones presentadas ante la Oficina de Gestión Tributaria y Recaudación de tributos locales (en siglas, ORAL) de la localidad de ***LOCALIDAD.1 de la DIPUTACION DE PONTEVEDRA. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la Diputación, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La notificación del traslado de la reclamación, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue realizada en fecha 30/09/2024 como consta en el acuse de recibo que obra en el expediente. La parte reclamada no contestó al anterior traslado de reclamación y solicitud de información en el plazo establecido. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/12 TERCERO: Con fecha 23 de octubre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VIII, de la LOPDGDD. Con fecha de 27/11/2024 se recibió en esta Agencia contestación de la parte reclamada a escrito de traslado de la reclamación, con el siguiente contenido: “(…) el delegado de protección de datos solicitaba un informe (…) sobre los hechos que originaron esta reclamación a la unidad administrativa responsable de la oficina de asistencia en materia de registros donde han sucedido los hechos aquí estudiados que se recoge a continuación: << En relación con la solicitud de información remitida por la AEPD señalada en el asunto se informa lo siguiente: La presentación de solicitudes, escritos y demás comunicaciones ante esta Administración puede efectuarse tanto de forma presencial como electrónica. La presentación electrónica requiere necesariamente la identificación electrónica de la persona solicitante, que incluye, de manera ineludible, los datos relativos al número del Documento Nacional de Identidad (DNI), así como el nombre y apellidos. En el caso de presentación presencial en una oficina de asistencia en materia de registro (OAMR), si bien los datos del solicitante se incorporan a la solicitud, se exige la exhibición del DNI original o de una copia que se digitaliza y une a la presentación. En las oficinas de asistencia en materia de registro del ORAL, si el DNI ya obra en poder de la Administración porque fue digitalizado en anteriores presentaciones, no se procede a nueva digitalización, pero si a su cotejo con el original y con los datos de la solicitud. En cualquier caso, la exhibición del DNI es preceptiva para verificar la identidad de la persona interesada (art. 9 LPAC) Cabe destacar que tanto el personal como las funciones de registro y tramitación de expedientes son independientes. Por ello, el personal encargado de la tramitación, en un momento posterior al registro de la solicitud, deberá verificar la exactitud de los datos de identidad del solicitante antes de proceder con la resolución del asunto. Conforme a lo dispuesto en el artículo 28.2 LPAC, las solicitudes normalizadas incluirán un apartado en el que la persona interesada puede oponerse a la consulta de sus datos personales. En caso de oposición, la Administración no podrá verificar la identidad del solicitante a través de los servicios de intermediación. Por tanto, será necesario que el interesado aporte una copia compulsada de su DNI o exhiba el original para su digitalización. En las solicitudes normalizadas, y de conformidad con lo dispuesto en el artículo 28.2 de la LPAC, se incluye un apartado donde el interesado puede ejercer su derecho a oponerse a la consulta de sus datos personales a través de servicios de intermediación de datos (SCSP). En caso de oposición, será necesario que el interesado aporte una copia de su DNI o exhiba el original para su digitalización. No existe ninguna instrucción al respecto de la actuación por el personal de las OAMR para el caso de que la persona presentadora se niegue a aportar copia o a que el documento se digitalice e incorpore a la presentación. Puede entenderse que, en estos casos, en que la persona presentadora es la solicitante y comparece en una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/12 OAMR la simple exhibición del DNI original será suficiente siempre que el personal de registro incluya una diligencia haciendo constar que ha procedido a la comprobación de los datos del documento y que estos coinciden con los aportados por el interesado en la solicitud. En ese sentido se elaborará una instrucción de la que se dará traslado a todo el personal del organismo a tener en cuenta para futuras presentaciones.>> A propuesta conjunta del técnico responsable en materia de protección de datos y del delegado de protección de datos de la Diputación de Pontevedra y con el visto bueno del diputado delegado de Administración General, en virtud de las competencias delegadas por la Presidencia en materia de protección de datos, de acuerdo con lo establecido en la Resolución Presidencial nº 2024005761, de 10 de julio de 2024, se comunica a la AEPD la toma de las siguientes actuaciones: Modificar el protocolo actual de incorporar una copia del DNI de las personas interesadas que se personan en las oficinas de asistencia en materia de registros del ORAL y no utilizan modelos habilitados para la comprobación a través de herramientas de intermediación de datos de la identidad, substituyendo esta actuación por una diligencia del funcionario del registro que deberá proceder a identificar fehacientemente la persona interesada o representante e integrar en el expediente una diligencia de dicha actuación administrativa. Que esta administración, por consiguiente, procede a actualizar la actuación que ha generado la presente reclamación con el objetivo de evitar que se produzcan incidencias similares en un futuro. Que no ha existido beneficio alguno en el tratamiento de la copia del DNI de la persona reclamante y que dicha actuación no ha tenido consecuencias sobre los derechos y libertades de la persona afectada. Que se deberá proceder a la supresión de la copia aportada por la persona reclamante. Que este informe se ha notificado a las unidades responsables de las oficinas de asistencia en materia de registros de esta Administración para la adecuación de la praxis administrativa en esta materia.” QUINTO: Con fecha 6 de agosto de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por la presunta infracción del Artículo 5.1.
- c)del RGPD, tipificada en el Artículo 83.5.
- a)del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones, con fecha 26 de agosto de 2025, en el que, en síntesis, manifestaba: Que el 19 de agosto de 2025 el Jefe de Coordinación del ORAL (Oficina de Gestión Tributaria y Recaudación de tributos locales) emitió informe nº (...) a través del cual se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/12 comunica la revisión del protocolo que exigía copia del DNI en oficinas de registro cuando no había modelos habilitados para la comprobación. Tras el análisis, se decide eliminar esta práctica y sustituirla por un procedimiento que garantice la identificación sin conservar documentos. Como solución, se ha implementado un sistema que permite la comprobación visual del DNI, la validación en la aplicación y el registro de la confirmación. Con ello se optimiza el tiempo de atención y se cumple con el principio de minimización de datos. Asimismo, en fecha 19 de agosto de 2025, se ejecutó la supresión del documento de identificación del reclamante en las bases de datos del ORAL, incorporándose en su lugar una diligencia acreditativa de la verificación de identidad realizada. SÉPTIMO: Con fecha 12 de noviembre de 2025 se formuló propuesta de resolución, proponiendo que la resolución sancionadora declarase la infracción del artículo 5.1.c del RGPD. OCTAVO: Notificado la propuesta de resolución conforme a las normas establecidas en la LPACAP, no consta que, por la parte reclamada, se hayan presentado alegaciones. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 17/07/2024 el reclamante se personó en las oficinas de la DIPUTACIÓN para presentar un escrito de alegaciones. La persona que le atendió le indicó que para admitir el escrito de alegaciones debía facilitarle su DNI para escanearlo o entregar una fotocopia. Según lo manifestado por la DIPUTACIÓN en los casos de presentación presencial en una oficina de asistencia en materia de registro (OAMR), como ocurrió en este supuesto, aunque los datos del solicitante se incorporan a la solicitud, se exigía la exhibición del DNI original o de una copia que se digitalizaba y se adjuntaba a la presentación con el fin de verificar su identidad. SEGUNDO: La DIPUTACIÓN aporta, junto con el escrito de alegaciones, con fecha 26 de agosto de 2025, informe del Jefe de Coordinación del ORAL n º (...) del 19/08/2025 en el cual manifiesta que se ha implementado un sistema que permite la comprobación visual del DNI, la validación en la aplicación y el registro de la confirmación sin la necesidad de conservar una copia o imagen del DNI. Asimismo, en el escrito de alegaciones al acuerdo de inicio del presente procedimiento sancionador aporta Resolución presidencial de supresión de datos de carácter personal del 14/08/2025 en la cual reconoce el derecho de supresión del reclamante. Posteriormente, en fecha 19/08/2025, según lo manifestado por la DIPUTACIÓN, se ejecuta la supresión del documento de identificación del reclamante en las bases de datos del ORAL, incorporándose en su lugar una diligencia acreditativa de la verificación de identidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/12 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/12 En el presente caso, de acuerdo con lo establecido en los apartados 1 y 2 del artículo 4 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que la Diputación realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas: Nombre y Apellidos, Dirección, Localidad, CP, Teléfono, Email, NIF, Firma y copia del DNI. La Diputación realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad en virtud del artículo 4.7del RGPD. III Contestación a las alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: En el escrito de alegaciones la DIPUTACIÓN solicita que se valoren las medidas correctoras adoptadas y, en atención a los hechos y fundamentos expuestos, se proceda al archivo de la reclamación. Si bien la DIPUTACIÓN reconoce que, con fecha 19 de agosto de 2025, se adoptaron medidas técnicas y organizativas encaminadas a evitar requerir y almacenar la fotocopia o imagen del documento nacional de identidad tales actuaciones no desvirtúan la existencia de la infracción constatada. Si bien esta Agencia valora positivamente la adopción de medidas correctoras implementadas desde el 19 de agosto de 2025, que permiten la comprobación visual del DNI, la validación en la aplicación y el registro de la confirmación, dichas actuaciones no eximen de responsabilidad por la infracción ya cometida ni eliminan los efectos derivados de la misma. Por otro lado, esta Agencia ha tenido en cuenta las acciones adoptadas para evitar que se repitan hechos similares, motivo por el cual no se adoptan medidas correctivas contra el responsable, más allá de la declaración de infracción que se formula en la presente resolución. Por lo tanto, de conformidad con todo lo expuesto, se desestima la presente alegación. IV Obligación incumplida. Minimización de datos La letra
- c)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
- c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»);" C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/12 En este sentido, las Directrices 01/2022 sobre los derechos de los interesados — Derecho de acceso en su apartado 74, indican que: "Cabe destacar que la utilización de una copia de un documento de identidad como parte del proceso de autenticación crea un riesgo para la seguridad de los datos personales y puede dar lugar a un tratamiento no autorizado o ilícito y, como tal, debe considerarse inapropiado, a menos que sea necesario, adecuado y conforme a la legislación nacional." Continúa el apartado 76 señalando lo siguiente: “La información sobre el documento de identidad que no es necesaria para confirmar la identidad del interesado, como el acceso y el número de serie, la nacionalidad, el tamaño, el color de los ojos, la fotografía y la zona legible por máquina, en función de una evaluación caso por caso, puede ser redactada u ocultada por el interesado antes de presentarla al responsable del tratamiento, excepto cuando la legislación nacional exija una copia completa del documento de identidad sin redactar (véase el párrafo 78 infra). En general, la fecha de emisión o de caducidad, la autoridad expedidora y el nombre completo que coincida con la cuenta en línea son suficientes para que el responsable del tratamiento verifique la identidad, siempre que se garantice la autenticidad de la copia y la relación con el solicitante. Solo podrá exigirse información adicional, como la fecha de nacimiento del interesado, en caso de que persista el riesgo de identidad errónea, si el responsable del tratamiento es capaz de compararla con la información que ya procesa.” Asimismo, en el Informe 0048/2023 de la AEPD: Uso de los datos y realización de copias del DNI, se dispone que: “(…) la información del documento de identidad que no sea necesaria para confirmar la identidad del interesado, en el contexto concreto, tal y como por ejemplo, el número del documento, la fotografía, o los datos que se pueden leer por máquina, nos lleva a concluir que la solicitud del DNI con la toma de una copia del mismo sería, en principio, un tratamiento excesivo, y que no puede instaurarse por sistema, sino que habrá que analizar, caso por caso, multitud de aspectos, que van desde la base jurídica que legitima dicho tratamiento, sobre todo si está previsto en la ley, hasta el riesgo de dicho tratamiento teniendo presente el principio de minimización y la proporcionalidad de dicha medida, ya que como nos recuerda el Considerando 39 del RGPD: Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para los fines para los que sean tratados. (...). Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios.” En el presente caso, la Diputación ha reconocido a esta Agencia, en su escrito del 27 de noviembre de 2024, el hecho reclamado, es decir, que pidieron al reclamante que aportara una copia de su DNI, fotocopiada o escaneada para presentar una reclamación a una multa. Asimismo, reconocen que existe una medida menos gravosa para cumplir con el propósito de identificación de las personas interesadas como es la diligencia del funcionario de la oficina de asistencia de registros. A mayor abundamiento, declara la parte reclamada que han acordado actualizar el protocolo actual de identificación del presentante de documentos en sus oficinas de asistencia en materia de registros, es decir, reconocen que dicho protocolo podía ser contrario a la normativa de protección de datos. Es decir, la obligación de acreditar los datos de identidad de la parte reclamante podría alcanzarse sin necesidad de que se tenga que requerir y almacenar la fotocopia o imagen del documento nacional de identidad. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/12 En el ámbito de la protección de datos personales, la solicitud de copias del Documento Nacional de Identidad (DNI) por parte de las administraciones, en su calidad de responsables del tratamiento, constituye una práctica habitual. La Agencia Española de Protección de Datos (AEPD), como garante de la normativa en materia de privacidad, ha venido pronunciándose sobre esta cuestión, enfatizando la necesidad de ponderar la medida de la recogida de datos con el principio de proporcionalidad. Este principio se erige como piedra angular en la regulación de la protección de datos, exigiendo que cualquier tratamiento de datos personales sea adecuado, pertinente y limitado a lo necesario en relación con los fines para los que son tratados. En este sentido, la solicitud de una copia del DNI debe considerarse una medida excepcional, reservada para situaciones en las que no existan otros medios menos intrusivos para verificar la identidad de una persona. En el supuesto de hecho, la persona reclamante acudió a una oficina tributaria de asistencia en materia de registros de esta Administración para presentar una reclamación a una multa. El funcionario solicitó el DNI original para proceder a su identificación, incorporando una copia de este para el cotejo de la unidad administrativa responsable de la gestión de la multa objeto de reclamación. En cuanto al juicio de necesidad y proporcionalidad de la actuación, se puede afirmar que existe una medida menos gravosa para cumplir con el propósito de identificación de las personas interesadas como es la diligencia del funcionario de la oficina de asistencia de registros. Por tanto, se concluye que los hechos son constitutivos de una infracción, imputable a la Diputación, por vulneración del artículo 5.1c RGPD al haber tratado datos personales que eran excesivos en innecesarios para la finalidad para la que se trataban. V Tipificación de la infracción del artículo 5.1.
- c)del RGPD y calificación a efectos de prescripción El artículo 83.5 del RGPD tipifica como infracción administrativa la vulneración del artículo siguiente, que se sancionará, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;" Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/12 A los solos efectos del plazo de prescripción, el artículo 72.1 de la LOPDGDD establece lo siguiente: "En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
- a)El tratamiento de datos personales vulnerando los principios y garantías establecidos en el artículo 5 del Reglamento (UE) 2016/679." VI Declaración de infracción El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
- a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
- b)Los órganos jurisdiccionales.
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
- d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
- e)Las autoridades administrativas independientes.
- f)El Banco de España.
- g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
- h)Las fundaciones del sector público.
- i)Las Universidades Públicas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/12
- j)Los consorcios.
- k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” Este precepto establece que los procedimientos que tengan causa en infracciones en materia de protección de datos personales cometidas por las categorías de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/12 responsables o encargados del tratamiento enumerados en su apartado 1 se resolverán, en todo caso, declarando la infracción. Por consiguiente, toda vez que el responsable del tratamiento tiene la consideración de entidad local y, por tanto, se encuentra encuadrada en el apartado
- c)del artículo 77.1. de la LOPDGDD, la resolución sancionadora declarará la infracción del artículo 5.1
- c)del RGPD. Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que DIPUTACIÓN DE PONTEVEDRA, con NIF P3600000H, ha infringido lo dispuesto en el Artículo 5.1.
- c)del RGPD, infracción tipificada en el Artículo 83.5.
- a)del RGPD. SEGUNDO: NOTIFICAR la presente resolución a DIPUTACIÓN DE PONTEVEDRA. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/12 administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es