PS-00162-2024

1/37  Expediente N.º: EXP202405048 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. (en adelante, la parte reclamante) con fecha 23 de julio de 2023 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra PLATAFORMA CABANILLAS SA con NIF A70350384 (en adelante, la parte reclamada o PLATAFORMA CABANILLAS). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que el día 5 de julio de 2023 recibió un correo electrónico de la entidad reclamada, en el cual se le indicaba que para la realización de la entrevista de trabajo debería aportar un certificado de antecedentes penales, estableciendo dicha documentación como necesaria para instar la correspondiente contratación. Afirma que, posteriormente, con fecha 6 de julio de 2023, en el transcurso de la entrevista, se le facilitó un formulario en el que se le solicitaba aportar información sobre su estado civil y el número de hijos. Y, adjunta la siguiente documentación relevante: - Correo electrónico de fecha 5 de julio de 2023, donde se le indica que deberá aportar certificado de antecedentes penales porque es necesario en caso de contratación. - Guía de procedimiento de obtención del certificado de antecedentes penales. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, fue recogido por el responsable, el 26 de septiembre de 2023, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/37 Con fecha 26 de octubre de 2023 se recibe en esta Agencia escrito de respuesta indicando: "Se debe indicar que la solicitud de información en el contexto del proceso de selección en que participaba el reclamante y en los términos que se indican en la propia reclamación trae causa en las obligaciones legales aplicables a PLATAFORMA CABANILLAS que se establecen en la normativa sobre seguridad aérea y otras, tal como se expondrá a continuación. Se ha tener en cuenta que PLATAFORMA CABANILLAS tiene como objeto social el de "Almacenamiento, transporte y distribución de todo tipo de mercancías. Prestación de servicios logísticos. Prestación de servicios de comercio exterior, importación, exportación y despacho aduanero". Esto conlleva que, por su propia actividad logística, puede tener personal que, de manera permanente, rotatoria o puntual, puede desarrollar su actividad en zonas de carga aérea a las que resulta aplicable la normativa de seguridad aérea. Por tanto, se ha de tener en cuenta que por el tipo de puesto al que se optaba, aun cuando el puesto no conlleve la presencia del empleado de manera permanente en zonas de carga aérea durante su jornada laboral, dicha presencia es potencial en función de circunstancias relacionadas con la gestión de la actividad laboral. Esa potencialidad obliga a que se verifique si el candidato, en caso de contratación, podría cumplir con los requisitos establecidos en la normativa de seguridad aérea cuando hubiera de desarrollar su actividad laboral en zonas de carga aérea. En relación al certificado de ausencia de antecedentes penales, a raíz de una consulta del Grupo Inditex, la Agencia Estatal de Seguridad Aérea, a través de su Departamento de Normativa de Seguridad (División de Seguridad de la Aviación Civil, Dirección de Seguridad de la Aviación Civil y Protección al Usuario), indicó lo siguiente: "(...). Las persona seleccionadas para efectuar inspecciones, controles de acceso u otros controles de seguridad en cualquier zona que no constituya una zona restringida de seguridad, o para asumir la responsabilidad al respecto, o con acceso no acompañado a carga y correo aéreos, correo y material de la compañía aérea, provisiones de a bordo y suministros de aeropuerto que hayan sido objeto de los controles de seguridad exigidos (apartado 11.1.2) estarán sometidos a una comprobación de antecedentes normal (...)." En este mismo sentido, en relación con el certificado de ausencia de antecedentes penales y el documento de vida laboral, hay que tener en cuenta lo dispuesto en la Resolución de 8 de septiembre de 2022, de la Secretaría General de Transportes y Movilidad, por la que se aprueba la actualización de la parte pública del Programa Nacional de Seguridad para la Aviación Civil (https://www.boe.es/buscar/act.php? id=BOE-A-2022-17581) (...). En relación con el estado civil y el número de hijos, se ha de tener en cuenta la Resolución de 3 de enero de 2011, del Departamento de Gestión Tributaria de la Agencia Estatal de Administración Tributaria, por la que se aprueba el modelo 145, de comunicación de datos del perceptor de rentas del trabajo a su pagador o de la variación de los datos previamente comunicados (https://www.boe.es/diario_boe/txt.php?id=BOE-A-2011-208), (teniendo en cuenta la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/37 última actualización del modelo 145 que se ha realizado por Resolución de 3 de diciembre de 2015, https://www.boe.es/buscar/doc.php?id=BOE-A-2015-13690). En el modelo 145 se incluyen entre otros los siguientes campos: Situación familiar. Hijos y otros descendientes menores de 25 años, o mayores de dicha edad si son discapacitados, que conviven con el perceptor. (...)" TERCERO: Con fecha 17 de mayo de 2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: De acuerdo con el informe recogido de la herramienta AXESOR, la entidad PLATAFORMA CABANILLAS SA es una mediana empresa constituida en el año 2012, y con un volumen de negocios de 31.041.021euros en el año 2023. QUINTO: Con fecha 17 de mayo de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por dos presuntas infracciones del artículo 5.1.

1. c)del RGPD como consecuencia, respectivamente, de la solicitud al hacer la entrevista de trabajo del certificado de antecedentes penales y de la petición de los datos personales para el modelo 145 de la Agencia Tributaria (retenciones sobre rendimientos del trabajo. Comunicación de datos al pagador) antes de existir una relación contractual de carácter laboral. Dichas infracciones se encuentran tipificadas en el artículo 83.5.
2. a)del citado RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada en fecha 29 de mayo de 2024 solicitó ampliación del plazo inicial para la formulación de alegaciones que le fue concedido y presentó escrito de alegaciones con fecha 10 de junio de 2024 en el que, en síntesis, manifestaba que: Primera. - Con relación a la primera de las supuestas infracciones señala la parte reclamada que una operativa orientada a solicitar el certificado de antecedentes penales a “las personas seleccionadas” supone, con alta probabilidad, que un candidato aunque supera todo el proceso de selección no va a poder incorporarse porque se le solicita el certificado citado cuando ya está seleccionado, sin haberle podido advertir previamente de que el carecer de antecedentes es un requisito jurídico (es decir, no es una exigencia de la Compañía, sino una exigencia normativa) para poder ser contratado. Asimismo, manifiesta que no se comprende que se considere como una práctica discriminatoria la actividad dirigida a comprobar los requisitos que establece y exige una Normativa respecto a las personas que vayan a desempeñar un determinado puesto de trabajo. El certificado se solicita porque la Compañía está obligada a comprobar “los posibles antecedentes penales en todos los Estados de residencia durante al menos los cinco años precedentes”. Segunda. - Con relación a la segunda de las supuestas infracciones manifiesta la parte reclamada que solicitaba la información para el Modelo 145 durante el proceso de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/37 selección entendiendo, de buena fe, que así se mejoraba la agilidad, eficiencia y eficacia del proceso, siempre bajo la premisa ineludible de que esa información no se iba a tratar para ningún otro fin, como pudiera ser la calificación y valoración del candidato. Tercera. – Señala la parte reclamada que en ningún caso podría ser la de una sanción económica, sino que, en todo caso, habría de ser un apercibimiento. Y ello por cuanto que: - El Artículo 58 del Reglamento General de Protección de Datos establece que “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
3. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento”. Afirma que concurrirían causas más que suficientes para considerar que habría de ser aplicada la figura del apercibimiento teniendo debidamente en cuenta los siguientes criterios establecidos en el artículo 83.2 del Reglamento General de Protección de Datos: “
4. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. Señala que: A) La solicitud de información en el contexto del proceso de selección en que participaba el reclamante y en los términos que se indican en la propia reclamación trae causa en las obligaciones legales aplicables a la Compañía que se establen en la Normativa, en concreto: Por el tipo de puesto al que optaba la reclamante, aun cuando el puesto no conlleve la presencia del empleado de manera permanente en instalaciones aeroportuarias durante su jornada laboral, dicha presencia es potencial en función de circunstancias relacionadas con la gestión de la actividad laboral. Esa potencialidad obliga a que se verifique si el candidato, en caso de contratación, podría cumplir con los requisitos establecidos en la Normativa de Seguridad Aérea cuando hubiera de desarrollar su actividad laboral en zonas de carga aérea. Así lo puso de manifiesto la Agencia Estatal de Seguridad Aérea, a través de su Departamento de Normativa de Seguridad (División de Seguridad de la Aviación Civil, Dirección de Seguridad de la Aviación Civil y Protección al Usuario) en su respuesta a la consulta formulada por el Grupo Inditex. Así lo establece la Resolución de 8 de septiembre de 2022, de la Secretaría General de Transportes y Movilidad, por la que se aprueba la actualización de la parte pública del Programa Nacional de Seguridad para la Aviación Civil. Y quizá aún más relevante, así lo dispone el Reglamento de Ejecución (UE) 2015/1998 de la Comisión, de 5 de noviembre de 2015, por el que se establecen medidas detalladas para la aplicación de las normas básicas comunes de seguridad aérea. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/37 Se debe de tener en cuenta que la Compañía actúa como Expedidor conocido (ver DOCUMENTO 1), figura con relación a la cual la Norma establece una serie de obligaciones con relación al proceso de selección de sus empleados, inclusive la verificación de antecedentes. En concreto, este Reglamento de Ejecución establece: • Anexo, capítulo 6.4.1.2., “Se seguirá el siguiente procedimiento para la acreditación de expedidores conocidos:
5. a)El solicitante pedirá la acreditación pertinente a la autoridad competente del Estado miembro en cuyo territorio se encuentre el emplazamiento. El solicitante presentará un programa de seguridad a la autoridad competente. Dicho programa describirá los métodos y procedimientos que ha de seguir el expedidor para ajustarse a las disposiciones del Reglamento (CE) n.o 300/2008 y sus correspondientes actos de aplicación. El programa describirá igualmente la forma en que el propio expedidor efectuará el control del cumplimiento de tales métodos y procedimientos. Se proporcionará al solicitante la Guía para expedidores conocidos que figura en el apéndice 6-B y la Lista de control de validación para expedidores conocidos que figura en el apéndice 6-C.” • Anexo, capítulo 6.4.2.1, “Todo expedidor conocido deberá asegurarse de que: (…)
6. b)todo el personal que efectúe controles de seguridad y todo el personal con acceso no supervisado a la carga o correo aéreos reconocibles que hayan sido objeto de los controles de seguridad exigidos haya sido seleccionado de conformidad con los requisitos del capítulo 11”. • Anexo, capítulo 11.1.4, “De conformidad con la normativa aplicable de la Unión y la legislación nacional, una verificación de antecedentes normal deberá:
7. a)establecer la identidad de la persona sobre la base de los documentos justificativos oportunos;
8. b)referir los posibles antecedentes penales en todos los Estados de residencia durante al menos los cinco años precedentes;” “Procedimiento de selección de personal. (…) El procedimiento de selección incluirá un examen de precontratación o una verificación de antecedentes con arreglo al punto 11.1 del anexo del Reglamento de Ejecución (UE) 2015/1998”. • APÉNDICE 6-C. LISTA DE CONTROL DE VALIDACIÓN PARA EXPEDIDORES CONOCIDOS, “Selección y formación del personal. (…). Objetivo: Garantizar que todo el personal (permanente, temporal o contratado por agencias, conductores) con acceso a la carga o el correo aéreos reconocibles ha sido sometido a un examen de precontratación y/o una verificación de antecedentes”, incluyendo las preguntas “3.1. Indique si existe un procedimiento de selección para todo el personal con acceso a la carga o el correo aéreos que incluya un examen de precontratación con arreglo al punto 11.1.4 del anexo del Reglamento de Ejecución (UE) 2015/1998.” Y “3.2. Indique si dicho procedimiento de selección engloba una verificación de antecedentes, incluida una verificación de los antecedentes penales, con arreglo al punto 11.1.3 del anexo del Reglamento de Ejecución (UE) 2015/1998”. B) Por otro lado, se ha tener en cuenta la Resolución de 3 de enero de 2011, del Departamento de Gestión Tributaria de la Agencia Estatal de Administración Tributaria, por la que se aprueba el modelo 145, de comunicación de datos del perceptor de rentas del trabajo a su pagador o de la variación de los datos previamente comunicados (https://www.boe.es/diario_boe/txt.php?id=BOE-A-2011-208), (teniendo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/37 en cuenta la última actualización del modelo 145 se ha realizado por Resolución de 3 de diciembre de 2015, https://www.boe.es/buscar/doc.php?id=BOE-A-2015-13690). En este modelo se solicita, entre otras, informaciones relativas a: Situación familiar; Hijos y otros descendientes menores de 25 años, o mayores de dicha edad si son discapacitados, que conviven con el perceptor; o Pensiones compensatorias en favor del cónyuge y anualidades por alimentos en favor de los hijos, fijadas ambas por decisión judicial. o “
9. b)la intencionalidad o negligencia en la infracción”. No cabe atribuir ninguna intencionalidad o negligencia a quien tiene como única intención la de cumplir con la Normativa del modo más preciso, ágil y eficiente que sea posible. Dicho de otro modo, no puede atribuirse intencionalidad de incumplimiento, ni negligencia en el cumplimiento a quien entendía que no hacía otra cosa sino cumplir con la Normativa. Atribuir a la Compañía cualquier grado de intencionalidad o negligencia respecto al cumplimento de la Normativa de Protección de datos respectos a los hechos valorados en el Procedimiento, supone ir contra la propia realidad de los hechos: La Compañía ha de verificar que el candidato no tiene antecedentes penales. Hacerlo una vez completado el proceso de selección no supone, ni mucho menos, que solicitarlo durante el proceso sea intencional o negligente. Antes bien, hacerlo una vez completado el proceso de selección supondrá un riesgo para el candidato, que puede ver frustrada su expectativa de incorporación por haber superado el proceso de selección, cuando le solicitan un certificado de antecedentes penales que, de habérselo pedido durante el proceso, no habría provocado esa frustración. La Compañía no solo necesita que las incorporaciones se realicen con la mayor agilidad, sino que, en último término, conoce que esa mayor agilidad redunda en beneficio del empleado, cuyo momento de incorporación se adelante en todo lo posible. De ahí que se intente agilizar el proceso de solicitud de información a efectos del modelo 145, siendo que, si su solicitud se retrasa hasta el momento mismo de formalización contractual, va a conllevar un riesgo de retraso en la incorporación efectiva, todo ello en perjuicio último del empleado. En definitiva, no cabe sino reiterar que supone ir contra la propia realidad de los hechos el atribuir a la Compañía cualquier grado de intencionalidad o negligencia respecto al cumplimento de la Normativa de Protección de datos respectos a los hechos valorados en el Procedimiento. Y en este sentido, trae a colación la Sentencia, de 5 de diciembre de 2023, del Tribunal de Justicia de la Unión Europea (TJUE), en el caso Deutsche Wohnen (Asunto C807/21), donde se señala lo siguiente: “68. Así pues, del tenor del artículo 83, apartado 2, del RGPD se desprende que únicamente las infracciones de las disposiciones del Reglamento cometidas con culpabilidad por el responsable del tratamiento, a saber, las cometidas de forma intencionada o negligente, pueden dar lugar a que se le imponga una multa administrativa con arreglo a dicho artículo. 69. La estructura general y la finalidad del RGPD corroboran esta interpretación. (…) 74. Sin embargo, el legislador de la Unión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/37 no consideró necesario, para asegurar ese nivel elevado de protección, prever la imposición de multas administrativas cuando no exista culpabilidad. (…) 75. En consecuencia, procede declarar que el artículo 83 del RGPD no permite imponer una multa administrativa por una infracción contemplada en sus apartados 4 a 6 sin que se demuestre que dicha infracción fue cometida de forma intencionada o negligente por el responsable del tratamiento y que, por lo tanto, la culpabilidad en la comisión de la infracción constituye un requisito para la imposición de la multa. 76. A este respecto, debe precisarse además, por lo que atañe a la cuestión de si una infracción se ha cometido de forma intencionada o negligente y, por ello, puede sancionarse con una multa administrativa con arreglo al artículo 83 del RGPD, que un responsable del tratamiento puede ser sancionado por un comportamiento comprendido en el ámbito de aplicación del RGPD cuando no podía ignorar el carácter infractor de su conducta, tuviera o no conciencia de infringir las disposiciones del RGPD.” Atendiendo a lo que establece el TJUE y poniéndolo en relación con los hechos objeto del expediente, ¿puede afirmarse que la Compañía “no podía ignorar el carácter infractor de su conducta” y, en consecuencia, establecer que ha cometido una infracción de forma intencionada o negligente? De ningún modo y bajo ninguna circunstancia, porque la Compañía actuó, en todo caso momento, bajo la consideración de buena fe de que estaba recabando datos para el cumplimiento de una Normativa, sea la propia que aplica a la solicitud del certificado de antecedentes penales, sea la propia que aplica a la cumplimentación del modelo 145. o “
10. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados”. La obtención de los datos de certificado de antecedentes penales y aquellos necesarios para el modelo 145 no se hacía, en absoluto, en perjuicio del interesado, sino más bien todo lo contrario. Y ello por cuanto la aportación temprana de la información permitía, por un lado, verificar que el candidato cumplía los requisitos legales del puesto y, por tanto, evitarle las molestias de progresar en un proceso de selección en el que no podría tener éxito si no los cumplía. Y, por otro lado, genera eficiencias y agilizar el proceso de incorporación del trabajador seleccionado, lo que no solo redunda en beneficio de la Compañía, sino también del candidato que adelanta su fecha de incorporación. En este sentido, se ha revisado y modificado el “PROCESO DE SELECCIÓN EN CENTROS LOGÍSTICOS EN ESPAÑA”, cuya última versión se remite adjunta como DOCUMENTO 2, adjuntándose también como DOCUMENTO 3 la Ficha de selección que deben cumplimentar los candidatos y que se cita en dicho Proceso. El propio documento con el Proceso como la citada Ficha fueron debidamente distribuidos el 4 de enero del año en curso, mediante el mensaje que se acompaña como DOCUMENTO 4. Como se puede apreciar en el cuerpo del mensaje, la revisión del Proceso y la generación de la nueva versión tuvo causa en la identificación de espacios de mejora en el propio Proceso desde la perspectiva de Protección de datos. Es decir, la revisión no vino motivada por incumplimientos de la Normativa de Protección de datos, sino por la detección de opciones para un mejor cumplimiento de dicha Normativa. Respecto al Proceso, cabe destacar que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/37 Cuando acude a la dinámica de Grupo, el candidato solo habrá de aportar su CV y llevar consigo su DNI para identificación en el acceso. Se aporta el certificado de antecedentes penales negativo y la vida laboral una vez firmado el contrato laboral. En caso de certificado de antecedentes penales positivo, el candidato no tendrá que enviarlo, sino indicarlo para que se le ponga en contacto con un verificador externo, que le contactará por videollamada para que le muestre el certificado, y que así dicho verificador comunique a la Compañía si el candidato es apto o no apto conforme al procedimiento de idoneidad relativo a seguridad aérea. La propia comunicación al candidato sobre la intervención del verificador externo (Serviguide) incluye una cláusula de Protección de datos. “
11. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento”. La Compañía no ha sido sancionado previamente, en ningún momento y por ninguna causa, por la Agencia Española de Protección de Datos. “
12. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción”. La Compañía ha actuado de forma diligente, ágil y completamente transparente con relación a todas las actuaciones relacionadas con el Expediente en que se inscribe el presente Escrito de Alegaciones. En modo alguno la Compañía ha intentado eludir, tergiversar o dilatar en el tiempo las actuaciones. Todo lo contrario, se ha respondido y aportado toda la información y documentación, como manifestación de una constante voluntad de cooperación. “
13. g)las categorías de los datos de carácter personal afectados por la infracción”. La tipología de datos solicitada por la Compañía no respondía sino a la necesidad derivada del cumplimiento de una Normativa. Por tanto, dicha tipología de datos no puede aplicarse en perjuicio de dicha Compañía, porque responde a una obligación, no a una decisión propia y unilateral. “
14. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” No hay beneficio económico alguno para la Compañía por la dinámica que estaba establecida al momento de los hechos que son objeto del Expediente. El beneficio era para el candidato, que se ve beneficiado de procesos de incorporación más ágiles y eficientes, y, sobre todo, que evitan incorporaciones fallidas, derivadas del hecho de que se ponga de manifiesto que el candidato seleccionado y que inicia el proceso de incorporación no reúne los requisitos requeridos por la Normativa aplicable. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/37 Además, hay que señalar, de nuevo respecto de los hechos que son objeto del Expediente, que la necesidad de mayor eficiencia en el desarrollo respondía a las circunstancias específicas del momento en que se producen tales hechos: La convocatoria de entrevista se realiza con una antelación de apenas un día, lo que da muestra ya de que responde a necesidades imperativas y acuciantes. Además, el proceso de selección se realiza en periodo estival, que es un periodo donde aumentan sensiblemente las necesidades de incorporación de personal en la Plataforma logística por la propia dinámica de ese periodo, cuando gran parte de la plantilla ya contratada está o va a estar en periodo vacacional. Esto unido a la alta rotación de personal inherente a la propia dinámica del sector logístico. Cuarta. - Considera que la aplicación de la agravante por parte de esta Agencia del artículo 83.2.k, del RGPD en relación con el artículo 76.2.b, de la LOPDGDD). No resulta aplicable dado que su objeto social y actividad empresarial no tiene ninguna vinculación, evidente o no, con el tratamiento de datos personales de clientes o terceras personas, por cuanto ese objeto social y actividad principal está vinculado a la gestión de mercancías. Los tratamientos de datos personales que pueda realizar la Compañía como vinculados a su actividad son, si no de manera única sí de manera principal, los relativos a los datos personales de sus empleados, de los candidatos a un puesto de trabajo en la Entidad y los datos de contacto y en su caso los relativos a la función o puesto desempeñado de las personas físicas que presten servicios en una persona jurídica con la que tenga algún vínculo como cliente, proveedor o colaborador. Por otra parte, manifiesta, los atenuantes, existentes y acreditables, que hubiera cabido aplicar son los siguientes: Con relación a los factores que recoge el Artículo 83.2 del RGPD cuando señala que “Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:” 1. “
15. b)la intencionalidad o negligencia en la infracción;” No puede existir intencionalidad o negligencia en tratamientos que derivan de un cumplimiento Normativo, tanto con relación al certificado de antecedentes penales, con relación a la información necesaria para el modelo 145. 2. “
16. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;” Como se ha indicado anteriormente en este Escrito de Alegaciones, se han mejorado los procesos con relación a ambos aspectos a los que se refiere el Procedimiento sancionador. Se debe señalar que el cambio no viene motivado por la existencia de un posible incumplimiento, sino como acción de mejora del proceso a la vista del Expediente en el que se inscribe este Escrito. Ahora bien, se ha de señalar que esa mejora, aun con ese origen, puede resultar perjudicial o molesta para el candidato a incorporarse a un puesto de trabajo, pero es una cuestión que resulta inevitable para la Compañía si quiere adaptarse al espacio de mejora en sus procesos que parece proponer la Agencia Española de Protección de Datos. En concreto: El certificado de antecedentes penales no se solicita hasta el proceso de incorporación del candidato C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/37 seleccionado y se realiza la firma del contrato de trabajo. La información para cumplimentar el modelo 145 no se exige durante el proceso de selección, sino de manera voluntaria una vez que se ha firmado el contrato de trabajo. 3. “
17. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;” La Compañía no ha sido sancionado previamente, en ningún momento y por ninguna causa, por la Agencia Española de Protección de Datos. 4. “
18. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;” La Compañía ha actuado de forma diligente, ágil y completamente transparente con relación a todas las actuaciones relacionadas con el Expediente en que se inscribe el presente Escrito de Alegaciones. En modo alguno la Compañía ha intentado eludir, tergiversar o dilatar en el tiempo las actuaciones. Todo lo contrario, se ha respondido y aportado toda la información y documentación, como manifestación de una constante voluntad de cooperación. Con relación a los factores que recoge el Artículo 76.2 de la LOPD cuando señala que “De acuerdo a lo previsto en el artículo 83.2.
19. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:” 1. “
20. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.” Como se ha indicado, la actividad principal de la Compañía se vincula a la gestión de mercancías, por lo que no tiene clientes que sean personas físicas, no gestiona mercancías para personas físicas, no realiza actividad comercial dirigida a personas físicas, no tiene proveedores que sean personas físicas que no sean empresarios individuales o profesionales liberales. Es decir, los tratamientos de datos personales que pueda realizar la Compañía como vinculados a su actividad son, si no de manera única sí de manera principal, los relativos a los datos personales de sus empleados, de los candidatos a un puesto de trabajo en la Entidad y los datos de contacto y en su caso los relativos a la función o puesto desempeñado de las personas físicas que presten servicios en una persona jurídica con la que tenga algún vínculo como cliente, proveedor o colaborador. 2. “
21. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.” No hay beneficio económico alguno para la Compañía por la dinámica que estaba establecida al momento de los hechos que son objeto del Expediente. El beneficio era únicamente para el candidato, que se ve beneficiado de procesos de incorporación más ágiles y eficientes, y, sobre todo, que evitan incorporaciones fallidas derivadas del hecho de que se ponga de manifiesto que el candidato seleccionado y que inicia el proceso de incorporación no reúne los requisitos requeridos por la Normativa aplicable. Además, hay que señalar, de nuevo respecto de los hechos que son objeto del Expediente, que la necesidad de mayor eficiencia en el desarrollo respondía a las circunstancias específicas del momento en que se producen tales hechos: La convocatoria de entrevista se realiza con una antelación de apenas un día, lo que da muestra ya de que responde a necesidades imperativas y acuciantes. Además, el proceso de selección se realiza en periodo estival, que es un periodo donde aumentan sensiblemente las necesidades de incorporación de personal en la Plataforma logística por la propia dinámica de ese periodo, cuando gran parte de la plantilla ya C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/37 contratada está o va a estar en periodo vacacional. Esto unido a la alta rotación de personal inherente a la propia dinámica del sector logístico. Para finalizar, se debe señalar que, en la actualidad, lo que se solicita dentro del proceso de selección es: Solo se solicita, tal y como se aprecia en el Ejemplo de email enviado a candidatos convocándoles a la entrevista que se aporta como DOCUMENTO 5. “Curriculum Vitae”, para poder conocer el conjunto de estudios, habilidades, competencias, méritos, premios y experiencia laboral del candidato, si bien limitado a la formación, experiencia profesional y los datos estrictamente relevantes para el puesto o puestos a los que puede optar. “DNI o documento original que acredite tu identidad”, por cuestiones de identificación y seguridad en el acceso a instalaciones de PLATAFORMA LOGÍSTICA. Por todo lo anterior, mediante las presentes Alegaciones, vengo a SOLICITAR que se tenga por presentado este escrito y por formuladas las anteriores Alegaciones en el Expediente de referencia, y previos los trámites oportunos, en su día se dicte Resolución por la que estime la inexistencia de infracción alguna imputable a la Compañía, S.A. con relación a los hechos descritos y la normativa señalada, procediendo al archivo de las actuaciones”. SÉPTIMO: Notificada la propuesta de resolución, el día 12 de febrero de 2025, la parte reclamada solicitó ampliación del plazo que le fue concedido y presentó escrito de alegaciones el día 6 de marzo de 2025 en el que, en síntesis, se aduce que se reitera en las alegaciones previamente presentadas. Primera.- Sobre las actuaciones de revisión y actualización llevadas a cabo por PLATAFORMA CABANILLAS a consecuencia del Procedimiento. Plataforma Cabanillas, muestra su total disconformidad con la interpretación que hace el Instructor de las actuaciones de actualización de la Compañía y de las consecuencias que extrae de las mismas, señala que resulta incomprensible que se atribuya un incumplimiento por el hecho de actualizar procedimientos y procesos cuando dicha revisión no vino motivada por incumplimientos de la Normativa de Protección de datos, sino por la detección de opciones para un mejor cumplimiento de dicha Normativa única y exclusivamente. Entienden que no puede aceptarse sin contrargumentarse que el Instructor atribuye el cambio en los procedimientos y proceso a un reconocimiento de un incumplimiento, cuando la Compañía ha declarado expresamente en sus alegaciones previas que se trataba de una actualización. Manifiesta PLATAFORMA CABANILLAS que, en ningún momento, en medida alguna y ni de forma explícita o implícita ha reconocido ningún incumplimiento por los hechos que se le atribuyen en el Procedimiento de referencia. Antes bien, ha demostrado, de manera clara, tangible e irrebatible, que su actuación fue correcta en todo momento, tratando siempre de buscar el equilibrio y la capacidad para acreditar que está cumpliendo con todas las normativas aplicables. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/37 Segunda.- Sobre la adopción de medidas anunciada por esta Agencia. Afirma PLATAFORMA CABANILLAS que no se entiende el motivo por el que se advierte de la posible exigencia de medidas correctoras que establecen una operativa que es exactamente la misma que se está siguiendo ya, tras la actualización de procedimientos y procesos señalada. Tercera.- Sobre la interpretación de la normativa de protección de datos en relación con el cumplimiento de la normativa de seguridad aérea. PLATAFORMA CABANILLAS, señala que el Instructor ha dejado de lado y no tienen en cuenta en su argumentación lo siguiente: “• APÉNDICE 6-B. GUÍA PARA EXPEDIDORES CONOCIDOS “Procedimiento de selección de personal. (…) El procedimiento de selección incluirá un examen de precontratación o una verificación de antecedentes con arreglo al punto 11.1 del anexo del Reglamento de Ejecución (UE) 2015/1998”. • APÉNDICE 6-C. LISTA DE CONTROL DE VALIDACIÓN PARA EXPEDIDORES CONOCIDOS, “Selección y formación del personal. (…). Objetivo: Garantizar que todo el personal (permanente, temporal o contratado por agencias, conductores) con acceso a la carga o el correo aéreos reconocibles ha sido sometido a un examen de precontratación y/o una verificación de antecedentes”, incluyendo las preguntas “3.1. Indique si existe un procedimiento de selección para todo el personal con acceso a la carga o el correo aéreos que incluya un examen de precontratación con arreglo al punto 11.1.4 del anexo del Reglamento de Ejecución (UE) 2015/1998.” Y “3.2. Indique si dicho procedimiento de selección engloba una verificación de antecedentes, incluida una verificación de los antecedentes penales, con arreglo al punto 11.1.3 del anexo del Reglamento de Ejecución (UE) 2015/1998”. ¿Por qué en la Propuesta de Resolución no se tiene en cuenta que la citada normativa se refiere a “precontratación” y no a contratación? ¿Por qué no tiene en cuenta que se refiere a “proceso de selección” y no de contratación? ¿Por qué no tiene en cuenta que entidades como la Compañía son auditadas en base a lo dispuesto en este Apéndice 6-C y si lo incumplen, por ejemplo, porque en el proceso de contratación o en el de selección no hagan la verificación de antecedentes, ¿pueden ser sancionadas con efectos que pueden llegar a la paralización de su actividad o de gran parte de su actividad? De la simple lectura e interpretación de dichos anexos aplicables a la Compañía se extrae la necesidad de solicitar el certificado de antecedentes penales durante el proceso de selección, tal como se estaba llevando a cabo por esta parte”. Plataforma Cabanillas, afirma que en lo que respecta al art. 11.1 (bajo el título “Selección”) de dicho Reglamento de Ejecución, en el que se ampara esta Agencia C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/37 para desestimar la alegación, la redacción del artículo reflejada en la resolución no es la actual. Indica que el texto consolidado del art. 11.1.2 es el siguiente: “11.1.2. El personal especificado a continuación deberá haber superado una verificación de antecedentes reforzada o normal:
22. a)las personas seleccionadas para efectuar inspecciones, controles de acceso o cualquier otro control de seguridad, o para asumir la responsabilidad de ellos, en cualquier zona que no constituya una zona restringida de seguridad;” “Ciertamente la norma se refiere a “personas seleccionadas”, pero en tanto dichas personas “deberán haber superado una verificación de antecedentes”, esto es, con carácter previo a su “selección”, lo cual ya encuentra su encaje en el título del artículo, “Selección” y por la propia lógica de la redacción, siendo lo opuesto una clara contradicción”. “En este caso, la actuación de la Compañía, en cuanto a solicitar los datos durante el proceso de selección (
23. i)era acorde con la interpretación lógica del Reglamento de Ejecución de seguridad aérea, teniendo en cuenta la redacción tanto de su articulado como de sus anexos y (
24. ii)encuentra su encaje en la normativa de protección de datos. La consideración que se refleja en la Propuesta de Resolución sobre que la aportación del certificado de antecedentes penales no resulta necesaria durante el proceso de selección, deja de tener en consideración normas claras, expresas y precisas, optando por elegir solo aquellas normativas y, dentro de ellas, aquellas partes que eran útiles para su aproximación, dejando a la Compañía en una situación doblemente indebida e injustificada: - Por un lado, porque puede llegar a recibir una injusta e indebida sanción en materia de protección de datos personales. - Por otro lado, porque le puede generar un conflicto con relación al cumplimiento de la normativa de seguridad aérea, central para su actividad y, por tanto, con potenciales consecuencias que van mucho más allá de las económicas. La Propuesta de Resolución, pues, no ha entrado a analizar e interpretar esta norma de seguridad aérea bajo el prisma de la normativa de protección de datos, limitándose a entender que “personas seleccionadas” supone salir del ámbito del proceso de selección”. PLATAFORMA CABANILLAS entiende que los datos personales se pueden recoger durante todo el proceso de selección, porque la normativa de seguridad aérea le habilita a ello. En consecuencia, manifiesta que se tenga en cuenta lo dispuesto en la normativa de seguridad aérea expuesta, que habilita claramente que pudiera solicitar el certificado de antecedentes penales como lo venía haciendo y que, por tanto, no hay motivo para sanción alguna con relación al tratamiento de datos personales derivado y que cuenta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/37 con la base de legitimación como es el hecho de ser un tratamiento exigido por la Normativa europea. Cuarta.- Sobre la inexistencia de negligencia o intencionalidad. Plataforma Cabanillas tiene como objeto social el de "Almacenamiento, transporte y distribución de todo tipo de mercancías. Prestación de servicios logísticos. Prestación de servicios de comercio exterior, importación, exportación y despacho aduanero". “Por tanto, la actividad principal de la Compañía no es el tratamiento de datos personales, si bien, obviamente, ha de tratar los de los miembros de su personal. Decir que es “una empresa que realiza tratamientos de datos personales de manera sistemática y continua” cuando el tratamiento principal de datos personales es el mismo que realiza cualquier empresa, de cualquier sector o tamaño, respecto a su personal, supone situar a la Compañía en una situación de total indefensión, puesto que se trata de una exigencia de máximos: cualquier empresa, por el hecho de tener empleados, ya se sitúa en el máximo nivel de exigencia y diligencia en el cumplimiento de la normativa de protección de datos. Pero es que, además, la Compañía jamás ha pretendido, ni por acción ni por omisión, ir más allá de lo requerido por la normativa, en tanto: - Al respecto de los antecedentes penales: Si se solicitaba el certificado de antecedentes penales es porque hay una normativa que se lo exige. - Al respecto de los datos personales a efectos del Modelo 145: Si se solicitaba la información para el Modelo 145 es por cuestiones de agilidad, eficacia y eficiencia. Dejar de conocer o negarse a reconocer que la dinámica de captación de datos a tal fin se puede ver condiciones por factores específicos de un sector y de un tipo de actividad es una actuación que no defiende los derechos de los interesados, sino que únicamente pretende alcanzar un resultado sancionador sin valorar las circunstancias del caso concreto. Es de todos conocido que el sector logístico se caracteriza, entre otras cosas, por una alta rotación de personal, por una alta demanda de nuevo personal en determinadas situaciones y épocas y, aún más en la posición que ocupa la Compañía en la cadena logística, por una presión productiva que, en absoluto, prescinde del cumplimiento de la normativa de protección de datos, pero que sí que adecúa su cumplimiento a sus propias dinámicas, sin que ello deba llevar a automáticas e injustificadas atribuciones de incumplimientos. Por tanto, no cabe sino afirmar que jamás y en medida alguna ha habido negligencia por parte de la Compañía en el cumplimiento de la normativa. Afirmar lo contrario es objetivamente incorrecto”. Quinta.- Sobre la determinación de la cuantía de la sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/37 Por tanto, se considera que, en el hipotético caso de que finalmente fuera impuesta una multa administrativa indebida e injusta, la cuantía de la misma se debe reducir sensiblemente si se quiere que responda a algún criterio justo, explícito, objetivo y contrastable. Sexta.- Sobre la aplicación del apercibimiento. “En el hipotético caso de concluirse que hubo hechos sancionables, aun reiterando que se considera que no hay causa para ello, se debe indicar que el apercibimiento que se solicita, además de por cumplirse los requisitos a tal fin como se reflejó en las Alegaciones al Acuerdo de Inicio, no es solo una medida debida, sino una medida coherente y de sentido en común teniendo en cuenta que la Compañía: - Nunca fue negligente cuando lo único que hacía era cumplir con la normativa que le requería verificar los antecedentes penales durante el proceso de selección, como es el caso de la normativa de seguridad aérea. - Siempre procuró que los procesos de incorporación de nuevos empleados fueran lo más ágiles posibles, en un sector con una gran rotación y con una necesidad de cubrir vacantes de empleo en tiempo récord. - En todo momento ha sido clara y transparente con la Autoridad de control, lo cual sin duda es su obligación, pero desde luego no se pueda aceptar que la actitud positiva, favorable, abierta y colaboradora de la Compañía sea utilizada para atribuirle inexistentes negligencias, reconocimientos de responsabilidad o actuaciones maliciosas. - Ha actualizado sus procesos de forma proactiva, sin esperar siquiera al resultado del Procedimiento sancionador, lo que hace que no solo innecesaria ninguna medida correctora, sino que además pone de manifiesto una voluntad firme de y encontrar el equilibrio en cuanto al cumplimiento de otras normativas, que debería ser tenida en cuenta por el Órgano sancionador. Solicita que se dicte resolución por la que estime la inexistencia de infracción alguna imputable a Plataforma Cabanillas con relación a los hechos descritos y la normativa señalada, procediendo al archivo de las actuaciones”. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. – En fecha 5 de julio de 2023, Plataforma Cabanillas envió correo electrónico a la parte reclamante, en el cual se indica lo siguiente: “De: Recursos Humanos Plataforma Cabanillas P&B. Para: Recursos Humanos Plataforma Cabanillas P&B Fecha: 5 de julio de 2023 a las 18:17 Asunto: Entrevista grupal 06/07 – 17:00 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/37 (…). Deberás traer contigo la siguiente documentación: - (…) - (…) - (…) - (…) - (…) Un saludo,” Dicho hecho se acredita por la captura del correo aportado en su escrito por la parte reclamante. SEGUNDO. – Consta en el expediente que, durante el proceso de selección, la parte reclamada recabó de los participantes datos personales como el estado civil y número de hijos a efectos de cumplimentar el modelo 145. Dicho hecho ha sido confirmado por la parte reclamada en la contestación a los requerimientos realizadas por esta autoridad durante el transcurso de las actuaciones de investigación: “La obtención de los datos de certificado de antecedentes penales y aquellos necesarios para el modelo 145 no se hacía, en absoluto, en perjuicio del interesado, sino más bien todo lo contrario. Y ello por cuanto la aportación temprana de la información permitía, por un lado, verificar que el candidato cumplía los requisitos legales del puesto y, por tanto, evitarle las molestias de progresar en un proceso de selección en el que no podría tener éxito si no los cumplía. “ TERCERO: Queda acreditado que en el apéndice 6-B del Reglamento de Ejecución (UE) 2015/1998 de la comisión de 5 de noviembre de 2015 por el que se establecen medidas detalladas para la aplicación de las normas básicas comunes de seguridad aérea, relativo al procedimiento de selección del personal dispone: El procedimiento de selección incluirá un examen de precontratación o una verificación de antecedentes con arreglo al punto 11.1 del anexo del Reglamento de Ejecución (UE) 2015/1998. La visita de validación in situ consistirá en una entrevista con el encargado o con la persona responsable de la selección del personal. Dicho encargado habrá de presentar pruebas documentales (por ejemplo, formularios en blanco) que acrediten los procedimientos de la compañía. Este procedimiento de selección se aplicará al personal contratado a partir del 29 de abril de 2010. Queda igualmente acreditado que en el el citado punto 11.1 del anexo del Reglamento de Ejecución (UE) 2015/1998 dispone lo siguiente (el subrayado es nuestro): “Las personas seleccionadas para efectuar inspecciones, controles de acceso o cualquier otro control de seguridad, o para asumir la responsabilidad de los mismos, en una zona restringida de seguridad tendrán que haber superado previamente una verificación de antecedentes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/37 Las personas seleccionadas para efectuar inspecciones, controles de acceso o cualquier otro control de seguridad, o para asumir la responsabilidad de los mismos, en cualquier zona que no constituya una zona restringida de seguridad tendrán que haber superado previamente una verificación de antecedentes o un examen de precontratación. Salvo que el presente Reglamento especifique lo contrario, la autoridad competente determinará si es necesario superar previamente una verificación de antecedentes o un examen de precontratación con arreglo a las normas nacionales aplicables.” CUARTO. - Plataforma Cabanillas, en sus alegaciones a esta Agencia de fecha 10 de junio de 2024, manifiesta que ha revisado y modificado el “Proceso de selección en centros logísticos en España”, y la Ficha de selección, y en la actualidad es el siguiente: “Respecto al Proceso, cabe destacar que: - Cuando acude a la dinámica de Grupo el candidato solo habrá de aporta su CV y llevar consigo su DNI para identificación en el acceso. - Se aporta el certificado de antecedentes penales negativo y la vida laboral una vez firmado el contrato laboral. - En caso de certificado de antecedentes penales positivo, el candidato no tendrá que enviarlo, sino indicarlo para que se le ponga en contacto con un verificador externo, que le contactará con videollamada para que le muestre el certificado, y que así dicho verificador comunique a la Compañía si el candidato es apto o no apto conforme al procedimiento de idoneidad relativo a seguridad aérea. La propia comunicación al candidato sobre la intervención del verificador externo (Serviguide) incluye una cláusula de Protección de datos”. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control con lo establecido en los artículos 47, 48.1 y 64.3 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones Previas El artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/37 “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción; 7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros; Plataforma Cabanillas es una plataforma de logística. Para el desarrollo de su actividad trata datos de carácter personal: antecedentes penales, vida laboral etc. en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del citado artículo 4.7 del RGPD. III Contestación a las alegaciones al Acuerdo de Inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente: Primera. - Respecto a que la solicitud por parte de la parte reclamada el certificado de penales al candidato seleccionado podría causarle a este una situación frustrante e incómoda, por la cancelación de una expectativa de contratación y añade que no se le puede atribuir fines discriminatorios, por solicitar dicho certificado. Respecto a dicha afirmación, de que no se ha podido advertir al candidato hasta el momento de la contratación hay que señalar que basta para que en las bases de la convocatoria de la entrevista o en el mismo correo electrónico se indique la exigencia de dicho requisito para poder ser seleccionado. De esta forma, no puede crearse la aludida expectativa de contratación si no se dispone de tal documento. Por tanto, no resulta necesaria la aportación de tales documentos durante el proceso de selección, sin que en ningún caso dicha exigencia genere una situación frustrante o incómoda por el participante, dado que el mismo conocería los requisitos y documentación necesaria en caso de ser seleccionado. De hecho, el cambio en el procedimiento que realizó la parte reclamada manifestaría su disconformidad con la normativa que ella misma alega. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/37 Asimismo, añade que no se puede atribuir a la parte reclamada fines discriminatorios, dado que está recogido en la Normativa. Pues bien, la norma de rango legal que cita la parte reclamada no prevé la posibilidad de que el empleador solicite estos antecedentes en una entrevista, sino en un momento posterior cuando los candidatos ya han sido seleccionados. Segunda. – En relación con pedir datos personales de los candidatos a un puesto de trabajo, a efectos del modelo 145. La parte reclamada, señala que se solicitaba la información para el Modelo 145 durante el proceso de selección entendiendo, de buena fe, que así se mejoraba la agilidad, eficiencia y eficacia del proceso, siempre bajo la premisa ineludible de que esa información no se iba a tratar para ningún otro fin, como pudiera ser la calificación y valoración del candidato. El modelo 145, con carácter general, el trabajador debe cumplimentar este documento al inicio de la relación laboral con su empleador o antes del primer día de cada año natural Es decir dicha comunicación de datos se debe realizar una vez que la persona ya está contratada, lo que no ocurre en el presente caso en el que se solicitaba durante el proceso de selección. Por otro lado, cuesta entender la citada eficiencia alegada por la parte reclamada, por cuanto dicha exigencia obligaba a recabar los datos de todos los participantes a la entrevista, mientras que si solo se recabase al inicio de la relación laboral, únicamente se exigiría al candidato o candidatos seleccionados. Tercera. – Señala la parte reclamada que en ningún caso podría ser la de una sanción económica, sino que, en todo caso, habría de ser un apercibimiento. Indica que habría que tenerse en cuenta los siguientes criterios establecidos en el artículo 83.2 del Reglamento General de Protección de Datos: “
25. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido”. La parte reclamada, vuelve hacer mención de que la solicitud de información en el contexto del proceso de selección en que participaba el reclamante trae causa en las obligaciones legales aplicables a la parte reclamada.
26. b)Por otra parte, la parte reclamada señala que no puede atribuirse intencionalidad de incumplimiento, ni negligencia en el cumplimiento a quien entendía que no hacía otra cosa sino cumplir con la Normativa. La negligencia apreciada en la comisión de la infracción, teniendo en cuenta que los requisitos exigidos por la entidad reclamada a los candidatos van más allá de lo requerido por la normativa reguladora. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/37 Esta circunstancia, además de las significadas en el apartado anterior, ponen de manifiesto la actuación negligente de Plataforma Cabanillas. A este respecto, se tiene en cuenta lo declarado en Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006) que, partiendo de que se trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. En el presente caso, la negligencia grave se manifiesta en el hecho de que, tal y como queda acreditado por las alegaciones presentadas, la parte reclamada conocía la normativa aplicable respecto a la documentación solicitada, de la que no se desprendía de forma taxativa ni la exigencia como única posibilidad de un certificado de antecedentes penales ni que dicho certificado fuera en el momento procedimental en el que estaba siéndolo, en la entrevista y con carácter previo a que fueran seleccionados, y a pesar de ello, procedió a exigir la documentación a los candidatos. Se trata de una empresa que realiza tratamientos de datos personales de manera sistemática y continua y que debe extremar el cuidado en el cumplimiento de sus obligaciones en materia de protección de datos. Asimismo, señala el apartado
27. c)del artículo 83.2 del RGPD. “cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados” En este sentido, señala que han modificado el proceso de selección y que actualmente se exige el certificado de antecedentes penales negativo y la vida laboral una vez firmado el contrato laboral, pero hay que señalar que entra en el cumplimiento de sus obligaciones legales el no haber exigido el certificado de antecedentes y el de la vida laboral a los candidatos que no habían sido seleccionados. La adopción de esta modificación en cuanto a la forma de proceder demuestra, en sí misma, que existía una opción menos invasiva en el derecho fundamental a la protección de datos de los afectados y que la actuación previa representaba un incumplimiento del principio de minimización en el tratamiento de datos personales dispuesto en el RGPD. Indica igualmente el apartado
28. e)del artículo 83.2 del RGPD, señalando que la reclamada no ha sido sancionada previamente, en ningún momento y por ninguna causa, por esta Agencia. Cabe señalar que la inexistencia de infracciones previas no minimiza el hecho de que, en el caso analizado en el presente procedimiento, dicha infracción sí se haya producido y que la misma tenga un impacto significativo por cuanto deriva del procedimiento de selección aplicado por la reclamada. Por otro lado, en cuanto a la consideración de la previsión del artículo 83.2.
29. e)del RGPD como atenuante, la Sentencia de la Audiencia Nacional, de 5 de mayo de 2021, rec. 1437/2020, indica que “Considera, por otro lado, que debe apreciarse como atenuante la no comisión de una infracción anterior. Pues bien, el artículo 83.2 del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/37 RGPD establece que debe tenerse en cuenta para la imposición de la multa administrativa, entre otras, la circunstancia "
30. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento". Se trata de una circunstancia agravante, el hecho de que no concurra el presupuesto para su aplicación conlleva que no pueda ser tomada en consideración, pero no implica ni permite, como pretende la actora, su aplicación como atenuante”. Manifiesta que la reclamada ha respondido y aportado toda la información y documentación a esta Agencia. La parte reclamada en sus manifestaciones realizadas en descargo de su responsabilidad considera que concurre la mencionada circunstancia. Sin embargo, ello no puede considerarse como cooperación voluntaria que busque activamente mitigar el impacto de la infracción, sino que se enmarca dentro de su obligación legal de responder a los requerimientos de la autoridad de control. Según el RGPD, los responsables del tratamiento están obligados a cumplir con las solicitudes de información y a proporcionar la documentación requerida por las autoridades de control. Esta obligación es parte inherente de su responsabilidad y no constituye, en sí misma, una colaboración para remediar o mitigar los efectos de una infracción. Hace referencia igualmente al apartado “
31. g)las categorías de los datos de carácter personal afectados por la infracción” Pues bien, se recopilan y tratan datos de carácter personal relativos a las condenas e infracciones penales, categoría especialmente merecedora de garantías. Hace referencia también la parte reclamada al artículo 83.2.
32. k)del RGPD que se refiere a “cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Señala que no ha obtenido beneficio económico alguno que el beneficio era para el candidato, que se ve beneficiado de procesos de incorporación más agiles y eficientes. A tal respecto, conviene mencionar que la citada disposición señala como factor que puede tenerse en cuenta en la graduación de la sanción los “beneficios” obtenidos, pero no la “ausencia” de éstos, que es lo que la parte reclamada alega. Además, conforme al artículo 83.1 del RGPD la imposición de las sanciones de multa está presidida por los siguientes principios: deberán estar individualizadas para cada caso particular, ser efectivas, proporcionadas y disuasorias. La admisión de que opere como una atenuante la ausencia de beneficios es contraria al espíritu del artículo 83.1 del RGPD y a los principios por los que se rige la determinación del importe de la sanción de multa. Si a raíz de la comisión de una infracción del RGPD se califica como atenuante que no han existido beneficios, se anula en parte la finalidad disuasoria que se cumple a través de la sanción. Aceptar la tesis de la parte reclamada en un supuesto como el que nos ocupa supondría introducir una rebaja artificial en la sanción que verdaderamente procede imponerse que puede llevar a entender que infringir la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/37 norma sin obtener beneficios, financieros o del tipo que fuere, no le producirá un efecto negativo proporcional a la gravedad del hecho infractor. La Sala de lo Contencioso Administrativo de la Audiencia Nacional ha advertido que, el hecho de que en un supuesto concreto no estén presentes todos los elementos que integran una circunstancia modificativa de la responsabilidad que, por su naturaleza, tiene carácter agravante, no puede llevar a concluir que tal circunstancia es aplicable en calidad de atenuante. El pronunciamiento que hace la Audiencia Nacional en su SAN de 5 de mayo de 2021 (Rec. 1437/2020) -por más que esa resolución verse sobre la circunstancia del apartado
33. e)del artículo 83.2. del RGPD, la comisión de infracciones anteriores- es extrapolable a la cuestión planteada, la pretensión de la reclamada de que se acepte como atenuante la “ausencia” de beneficios siendo así que tanto el RGPD como la LOPDGDD se refieren solo a “los beneficios obtenidos”. IV Contestación a las alegaciones a la Propuesta de Resolución Primera.- Sobre las actuaciones de revisión y actualización llevadas a cabo por PLATAFORMA CABANILLAS a consecuencia del Procedimiento. Respecto a dicha afirmación, que en ningún momento, en medida alguna y ni de forma explícita o implícita ha reconocido ningún incumplimiento por los hechos que se le atribuyen en el Procedimiento de referencia. En este sentido, hay que señalar tal como consta en el hecho probado cuarto, que Plataforma Cabanillas ha revisado y modificado el “Proceso de selección en centros logísticos en España”, y que actualmente “Respecto al Proceso, cabe destacar que: - Cuando acude a la dinámica de Grupo el candidato solo habrá de aporta su CV y llevar consigo su DNI para identificación en el acceso. - Se aporta el certificado de antecedentes penales negativo y la vida laboral una vez firmado el contrato laboral. - En caso de certificado de antecedentes penales positivo, el candidato no tendrá que enviarlo, sino indicarlo para que se le ponga en contacto con un verificador externo, que le contactará con videollamada para que le muestre el certificado, y que así dicho verificador comunique a la Compañía si el candidato es apto o no apto conforme al procedimiento de idoneidad relativo a seguridad aérea. La propia comunicación al candidato sobre la intervención del verificador externo (Serviguide) incluye una cláusula de Protección de datos”. La adopción de esta modificación en cuanto a la forma de proceder demuestra, en sí misma, que existía una opción menos invasiva en el derecho fundamental a la protección de datos de los afectados y que la actuación previa representaba un incumplimiento del principio de minimización en el tratamiento de datos personales dispuesto en el RGPD. Siguiendo su propio razonamiento, con la adopción de estas medidas estaría incumpliendo ahora con la normativa que según afirma le permitía solicitar un certificado de antecedentes penales a los candidatos para un puesto de trabajo. Sin embargo, parece que es posible mudar los procedimientos sin incumplir con dicha normativa cumpliendo a su vez con el principio de minimización de datos. Principio que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/37 efectivamente se había conculcado, tal y como se han acreditado a lo largo del procedimiento sancionador. Segunda.- Sobre la adopción de medidas anunciada por esta Agencia. Afirma Plataforma Cabanillas que no se entiende el motivo por el que se advierte de la posible exigencia de medidas correctoras que establecen una operativa que es exactamente la misma que se está siguiendo ya, tras la actualización de procedimientos y procesos señalada. Respecto de esta afirmación hay que señalar que Plataforma Cabanillas, en sus alegaciones a esta Agencia de fecha 10 de junio de 2024, manifiesta que ha revisado y modificado el “Proceso de selección en centros logísticos en España”, y la Ficha de selección, y en la actualidad es el siguiente: “Respecto al Proceso, cabe destacar que: - Cuando acude a la dinámica de Grupo el candidato solo habrá de aporta su CV y llevar consigo su DNI para identificación en el acceso. - Se aporta el certificado de antecedentes penales negativo y la vida laboral una vez firmado el contrato laboral. - En caso de certificado de antecedentes penales positivo, el candidato no tendrá que enviarlo, sino indicarlo para que se le ponga en contacto con un verificador externo, que le contactará con videollamada para que le muestre el certificado, y que así dicho verificador comunique a la Compañía si el candidato es apto o no apto conforme al procedimiento de idoneidad relativo a seguridad aérea. La propia comunicación al candidato sobre la intervención del verificador externo (Serviguide) incluye una cláusula de Protección de datos”. Por lo tanto, al haber modificado el proceso de selección estableciendo la no solicitud del certificado de antecedentes penales hasta que no hayan sido contratados por la parte reclamada y no requerir a que rellenen cuestionarios con los datos personales que se necesitan para el modelo 145 de la Agencia Estatal de Administración Tributaria hasta que hayan sido contratados por la parte reclamada, no procedería imponer la medida correctiva descrita en el artículo 58.2.
34. d)del RGPD. Tercera.- Sobre la interpretación de la normativa de protección de datos en relación con el cumplimiento de la normativa de seguridad aérea. Plataforma Cabanillas entiende que los datos personales se pueden recoger durante todo el proceso de selección, porque la normativa de seguridad aérea le habilita a ello. En consecuencia, manifiesta que se tenga en cuenta lo dispuesto en la normativa de seguridad aérea expuesta, que habilita claramente que pudiera solicitar el certificado de antecedentes penales como lo venía haciendo y que, por tanto, no hay motivo para sanción alguna con relación al tratamiento de datos personales derivado y que cuenta con la base de legitimación como es el hecho de ser un tratamiento exigido por la Normativa europea. Como se ha venido indicando, basta para que en las bases de la convocatoria de la entrevista o en el mismo correo electrónico se indique la exigencia de dicho requisito C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/37 para poder ser seleccionado. De esta forma, no puede crearse la aludida expectativa de contratación si no se dispone de tal documento. Por tanto, no resulta necesaria la aportación de tales documentos durante el proceso de selección, sin que en ningún caso dicha exigencia genere una situación frustrante o incómoda por el participante, dado que el mismo conocería los requisitos y documentación necesaria en caso de ser seleccionado. Pues bien, la norma de rango legal que cita la parte reclamada no prevé la posibilidad de que el empleador solicite estos antecedentes en una entrevista, en esta fase se consideran aspirantes seleccionados y en un momento posterior cuando los candidatos presenten la documentación y se verifique la misma se desprenderá que reúnen todos los requisitos y han sido seleccionados. Cuarta.- Sobre la inexistencia de negligencia o intencionalidad. Plataforma Cabanillas sostiene que la actividad principal de la Compañía no es el tratamiento de datos personales, si bien, obviamente, ha de tratar los de los miembros de su personal. Señala que decir que es “una empresa que realiza tratamientos de datos personales de manera sistemática y continua” cuando el tratamiento principal de datos personales es el mismo que realiza cualquier empresa, de cualquier sector o tamaño, respecto a su personal, supone situar a la Compañía en una situación de total indefensión, puesto que se trata de una exigencia de máximos. Por tanto, manifiesta que no cabe sino afirmar que jamás y en medida alguna ha habido negligencia por parte de la Compañía en el cumplimiento de la normativa. En el caso que nos ocupa, la negligencia apreciada se manifiesta en la comisión de la infracción, teniendo en cuenta que los requisitos exigidos por la entidad reclamada a los candidatos van más allá de lo requerido por la normativa reguladora. Y todo ello, además de que la ignorancia de la Ley no exime de su cumplimiento. De igual forma que indica conoce la normativa aérea y que la cumple, tiene que conocer y cumplir con la normativa de protección de datos personales cuando realice, como responsable del tratamiento, tratamiento de datos personales. Esta circunstancia, además de las significadas en el apartado anterior, ponen de manifiesto la actuación negligente de Plataforma Cabanillas. A este respecto, se tiene en cuenta lo declarado en Sentencia de la Audiencia Nacional de 17/10/2007 (rec. 63/2006) que, partiendo de que se trata de entidades cuya actividad lleva aparejado en continuo tratamiento de datos, indica que “…el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible. Y en la valoración del grado de diligencia ha de ponderarse especialmente la profesionalidad o no del sujeto, y no cabe duda de que, en el caso ahora examinado, cuando la actividad de la recurrente es de constante y abundante manejo de datos de carácter personal ha de insistirse en el rigor y el exquisito cuidado por ajustarse a las prevenciones legales al respecto”. En el presente caso, la negligencia grave se manifiesta en el hecho de que, tal y como queda acreditado por las alegaciones presentadas, la parte reclamada conocía la normativa aplicable respecto a la documentación solicitada, de la que no se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/37 desprendía de forma taxativa ni la exigencia como única posibilidad de un certificado de antecedentes penales ni que dicho certificado fuera en el momento procedimental en el que estaba siéndolo y, a pesar de ello, procedió a exigir la documentación a los solicitantes. Se trata de una empresa que realiza tratamientos de datos personales de manera sistemática y continua y que debe extremar el cuidado en el cumplimiento de sus obligaciones en materia de protección de datos. Quinta.- Sobre la determinación de la cuantía de la sanción. Por tanto, la parte reclamada considera que, en el hipotético caso de que finalmente fuera impuesta una multa administrativa indebida e injusta, la cuantía de la misma se debe reducir sensiblemente si se quiere que responda a algún criterio justo, explícito, objetivo y contrastable. Respecto de la anterior afirmación, el RGPD no prevé una multa mínima. Más bien, el RGPD solo prevé importes máximos en el artículo 83, apartados 4 a 6, del RGPD, en el que se agrupan varios tipos de conducta diferentes. En última instancia, una multa solo puede calcularse ponderando todos los factores expresamente identificados en el artículo 83, apartado 2, letras
35. a)a j), del RGPD, pertinentes para el caso y cualquier otro elemento pertinente, incluso si no se enumeran explícitamente en dichas disposiciones [como exige el artículo 83, apartado 2, letra k), del RGPD tener debidamente en cuenta cualquier otro factor aplicable]. Por último, el importe final de la multa resultante de esta evaluación debe ser efectivo, proporcionado y disuasorio en cada caso concreto (artículo 83, apartado 1, del RGPD). Cualquier multa impuesta debe tener suficientemente en cuenta todos estos parámetros, sin sobrepasar al mismo tiempo el máximo legal previsto en el artículo 83, apartados 4 a 6, del RGPD. Por otra parte, el artículo 83.5 del RGPD dispone que el importe máximo de la sanción que se imponga será la mayor de estas dos cantidades: 20.000.000 de euros o, tratándose de una empresa, una “cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior”. En ese sentido, como se hace constar en el Hecho Cuarto de este acuerdo, la cifra de negocio de PLATAFORMA CABANILLAS durante el ejercicio 2023 fue de 31.041.021€, y las cuantías de las sanciones se han establecido respectivamente en 75.000 € y otra de 25.000 € por lo que ambas se considera que cumple con el principio de proporcionalidad. Por lo tanto, esta Agencia no puede obviar la finalidad perseguida por la norma: decidir la cuantía de la sanción de multa administrativa en el caso individual planteado atendiendo siempre a que la sanción sea proporcional, efectiva y disuasoria. Sexta.- Sobre la aplicación del apercibimiento. “En el hipotético caso de concluirse que hubo hechos sancionables, aun reiterando que se considera que no hay causa para ello, se debe indicar que el apercibimiento que se solicita, además de por cumplirse los requisitos a tal fin como se reflejó en las Alegaciones al Acuerdo de Inicio, no es solo una medida debida, sino una medida coherente y de sentido en común teniendo en cuenta que la Compañía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/37 - Nunca fue negligente cuando lo único que hacía era cumplir con la normativa que le requería verificar los antecedentes penales durante el proceso de selección, como es el caso de la normativa de seguridad aérea. - Siempre procuró que los procesos de incorporación de nuevos empleados fueran lo más ágiles posibles, en un sector con una gran rotación y con una necesidad de cubrir vacantes de empleo en tiempo récord. - En todo momento ha sido clara y transparente con la Autoridad de control, lo cual sin duda es su obligación, pero desde luego no se pueda aceptar que la actitud positiva, favorable, abierta y colaboradora de la Compañía sea utilizada para atribuirle inexistentes negligencias, reconocimientos de responsabilidad o actuaciones maliciosas. - Ha actualizado sus procesos de forma proactiva, sin esperar siquiera al resultado del Procedimiento sancionador, lo que hace que no solo innecesaria ninguna medida correctora, sino que además pone de manifiesto una voluntad firme de y encontrar el equilibrio en cuanto al cumplimiento de otras normativas, que debería ser tenida en cuenta por el Órgano sancionador”. En cuanto a la imposición de una advertencia, apercibimiento, o la adopción de medidas correctivas conforme al artículo 58 del RGPD, una multa disuasoria es aquella que tiene un efecto disuasorio genuino. A este respecto, la Sentencia del TJUE, de 13 de junio de 2013, Versalis Spa/Comisión, C-511/11, ECLI:EU:C:2013:386, dice: “ 94.Respecto, en primer lugar, a la referencia a la sentencia Showa Denko/Comisión, antes citada, es preciso señalar que Versalis la interpreta incorrectamente. En efecto, el Tribunal de Justicia, al señalar en el apartado 23 de dicha sentencia que el factor disuasorio se valora tomando en consideración una multitud de elementos y no sólo la situación particular de la empresa de que se trata, se refería a los puntos 53 a 55 de las conclusiones presentadas en aquel asunto por el Abogado General Geelhoed, que había señalado, en esencia, que el coeficiente multiplicador de carácter disuasorio puede tener por objeto no sólo una «disuasión general», definida como una acción para desincentivar a todas las empresas, en general, de que cometan la infracción de que se trate, sino también una «disuasión específica», consistente en disuadir al demandado concreto para que no vuelva a infringir las normas en el futuro. Por lo tanto, el Tribunal de Justicia sólo confirmó, en esa sentencia, que la Comisión no estaba obligada a limitar su valoración a los factores relacionados únicamente con la situación particular de la empresa en cuestión.” “102. Según reiterada jurisprudencia, el objetivo del factor multiplicador disuasorio y de la consideración, en este contexto, del tamaño y de los recursos globales de la empresa en cuestión reside en el impacto deseado sobre la citada empresa, ya que la sanción no debe ser insignificante, especialmente en relación con la capacidad financiera de la empresa (en este sentido, véanse, en particular, la sentencia de 17 de junio de 2010, Lafarge/Comisión, C-413/08 P, Rec. p. I-5361, apartado 104, y el auto de 7 de febrero de 2012, Total y Elf Aquitaine/Comisión, C421/11 P, apartado 82).” En definitiva, es el responsable del tratamiento el que tiene la obligación de integrar las garantías necesarias en el tratamiento, con la finalidad de, en virtud del principio de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/37 responsabilidad proactiva, cumplir y ser capaz de demostrar el cumplimiento, al mismo tiempo que respeta el derecho fundamental a la protección de datos. En conclusión el apercibimiento es una medida correctiva no sancionadora y no encaja en este supuesto ni en virtud del considerando 148, ni en virtud del artículo 64 de la LOPDGDD que dejan esta medida correctiva para supuestos de infracciones leves o cometidas por persona física, dos elementos que no se dan en este caso. V Obligación incumplida El artículo 5.1.
36. c)del RGPD establece que los datos personales serán: “
37. c)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»).” Por otra parte, el artículo 10 del RGPD, que se refiere al tratamiento de datos personales relativos a condenas e infracciones penales, dispone: “El tratamiento de datos personales relativos a condenas e infracciones penales o medidas de seguridad conexas sobre la base del artículo 6, apartado 1, sólo podrá llevarse a cabo bajo la supervisión de las autoridades públicas o cuando lo autorice el Derecho de la Unión o de los Estados miembros que establezca garantías adecuadas para los derechos y libertades de los interesados. Solo podrá llevarse un registro completo de condenas penales bajo el control de las autoridades públicas.” El artículo 10 de la LOPDGDD regula el tratamiento de los datos personales de naturaleza penal en términos similares al Reglamento (UE) 2016/679: "1. El tratamiento de datos personales relativos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas, para fines distintos de los de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, solo podrá llevarse a cabo cuando se encuentre amparado en una norma de Derecho de la Unión, en esta ley orgánica o en otras normas de rango legal. 2. El registro completo de los datos referidos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas a que se refiere el artículo 10 del Reglamento (UE) 2016/679, podrá realizarse conforme con lo establecido en la regulación del Sistema de registros administrativos de apoyo a la Administración de Justicia. 3. Fuera de los supuestos señalados en los apartados anteriores, los tratamientos de datos referidos a condenas e infracciones penales, así como a procedimientos y medidas cautelares y de seguridad conexas solo serán posibles cuando sean llevados a cabo por abogados y procuradores y tengan por objeto recoger la información facilitada por sus clientes para el ejercicio de sus funciones.” El RGPD hace referencia, en su Considerando 75 a la posibilidad de que determinados tratamientos de datos puedan entrañar un riesgo para los derechos y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/37 libertades de la personas, entre los que se encuentran los datos relativos a las condenas e infracciones penales y medidas de seguridad conexa, de ahí que el artículo 10 del texto legal opte por conferir la legitimidad de su tratamiento a las autoridades públicas o cuando exista una habilitación del Derecho de la Unión o una norma nacional que proporcione las garantías adecuadas, y por asignar la custodia de los registros donde se inscriben estos datos también a las autoridades públicas. Esta regulación, lejos de ser novedosa en el ámbito europeo, ya se manifestaba en similares términos en la Directiva 95/46 CE, del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de tales datos. El origen de esta especial garantía se encuentra en el Convenio N.º 108 del Consejo de Europa, de 28 de enero de 1981, para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal, que en su artículo 6 dispone que determinadas categorías de datos, entre las que se incluyen los datos de carácter personal referentes a condenas penales, no podrán tratarse automáticamente a menos que el derecho interno prevea garantías adecuadas. El artículo 10 de la LOPDGDD, por su parte, concreta la referencia al Derecho de los Estados Miembros remarcando que, cuando el tratamiento tenga una finalidad diferente a “prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales” —tratamiento excluido del ámbito material de la normativa de protección de datos en aplicación del artículo 2.1.
38. d)del RGPD—, para que pueda considerarse legítimo su tratamiento, este deberá estar amparado en una norma europea, en la LOPDGDD o en otra norma con rango legal. El certificado de antecedentes penales es el documento público que acredita la carencia o existencia de antecedentes penales que constan inscritos en el Registro Central de Penados. Los antecedentes penales se definen como las resoluciones firmes dictadas por los Jueces y Tribunales del orden penal por la comisión de un delito que imponga penas o medidas de seguridad que se encuentren en vigor atendiendo a lo que dispone el Código Penal. La información contenida en el certificado de antecedentes penales objeto del presente procedimiento constituye un dato personal a la luz de la definición del artículo 4.1 del RGPD ya que se trata de una “información sobre una persona física identificada”, tanto si se trata de un certificado que refiere la existencia de dichos antecedentes como si pone de manifiesto su ausencia, y su solicitud supone un tratamiento datos. Y respecto a la categoría sobre la que versa esa información, es precisamente la relativa a las condenas penales firmes de las que haya podido ser objeto (y se encuentren en vigor) una persona en concreto, tanto sea para poner de manifiesto que existen esas resoluciones firmes que imponen penas o medidas y cuáles son, como para acreditar que no existen. Es decir, la información que se está tratando es el dato relativo a las condenas penales —lo que incluye la ausencia de estas— que se vincula con una persona física concreta. Hay que manifestar que PLATAFORMA CABANILLAS tiene como objeto social el "Almacenamiento, transporte y distribución de todo tipo de mercancías. Prestación de servicios logísticos. Prestación de servicios de comercio exterior, importación, exportación y despacho aduanero". Esto conlleva que, por su propia actividad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/37 logística, puede tener personal que, de manera permanente, rotatoria o puntual, puede desarrollar su actividad en zonas de carga aérea a las que resulta aplicable la normativa de seguridad aérea. Teniendo lo anterior en cuenta, la parte reclamada justifica la solicitud de dicho informe, en los siguientes términos: “se ha de tener en cuenta que por el tipo de puesto al que se optaba, aun cuando el puesto no conlleve la presencia del empleado de manera permanente en zonas de carga aérea durante su jornada laboral, dicha presencia es potencial en función de circunstancias relacionadas con la gestión de la actividad laboral. Esa potencialidad obliga a que se verifique si el candidato, en caso de contratación, podría cumplir con los requisitos establecidos en la normativa de seguridad aérea cuando hubiera de desarrollar su actividad laboral en zonas de carga aérea. En relación al certificado de ausencia de antecedentes penales, a raíz de una consulta del Grupo Inditex, la Agencia Estatal de Seguridad Aérea, a través de su Departamento de Normativa de Seguridad (División de Seguridad de la Aviación Civil, Dirección de Seguridad de la Aviación Civil y Protección al Usuario), indicó lo siguiente: "(...). Las persona seleccionadas para efectuar inspecciones, controles de acceso u otros controles de seguridad en cualquier zona que no constituya una zona restringida de seguridad, o para asumir la responsabilidad al respecto, o con acceso no acompañado a carga y correo aéreos, correo y material de la compañía aérea, provisiones de a bordo y suministros de aeropuerto que hayan sido objeto de los controles de seguridad exigidos (apartado 11.1.2) estarán sometidos a una comprobación de antecedentes normal (...)." En este mismo sentido, en relación con el certificado de ausencia de antecedentes penales y el documento de vida laboral, hay que tener en cuenta lo dispuesto en la Resolución de 8 de septiembre de 2022, de la Secretaría General de Transportes y Movilidad, por la que se aprueba la actualización de la parte pública del Programa Nacional de Seguridad para la Aviación Civil” Con carácter general, no es posible solicitar certificados de penales a candidatos que participen en un proceso de selección o que, superado este, procedan a firmar sus contratos de trabajo o a iniciar su prestación de servicios. No obstante, en determinadas profesiones o sectores sí sería admisible en base a la actividad desarrollada y siempre que exista una norma con rango de ley que lo permita. La Sentencia de la Sala de lo Social de la Audiencia Nacional 14/2020, de 10 de febrero de 2020, señala, en lo que respecto a los antecedentes penales: “Los antecedentes penales son datos de carácter personal, que están protegidos por el derecho constitucional fundamental a la protección de datos. Los antecedentes penales están supeditados a unas reglas específicas de tratamiento porque son datos de carácter personal especialmente sensibles. La práctica empresarial consistente en solicitar a los trabajadores de nuevo ingreso un certificado negativo de antecedentes penales o una declaración jurada de carecer de antecedentes penales es un acto de tratamiento de datos personales que tiene lugar en el marco de un contrato de trabajo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/37 El acto de tratamiento de datos personales señalado en el punto anterior será lícito si concurren los dos requisitos siguientes: El tratamiento de datos personales (solicitud de certificado o declaración de antecedentes penales) ha de ser necesario para la ejecución del contrato de trabajo. Una norma de Derecho de la Unión Europea o una norma de Derecho interno y rango legal ha de habilitar al empresario para solicitar los datos personales (antecedentes penales) al trabajador”. Como consecuencia de lo anterior, una vez sentado que el certificado de antecedentes penales que solicita la parte reclamada supone una información relativa a las condenas penales de una persona física identificada y, por ende, un dato personal sujeto a las especiales garantías que establecen los artículos 10 del RGPD y 10 de la LOPDGDD, procede examinar si existe una habilitación que permita que la parte reclamada trate dicha información. Estos preceptos confieren el tratamiento de los referidos datos a los poderes públicos restringiendo a los particulares su tratamiento únicamente para aquellos casos en que una norma de derecho europeo o una norma nacional con rango de ley lo habiliten (amén de lo establecido en el punto 10.3 para el tratamiento de datos penales por parte de abogados y procuradores). Solamente, por tanto, en aquellos supuestos excepcionales en que, autorizados por una Ley y con las debidas garantías, se contemple dicha medida, podría exigirse dicho certificado; en este sentido existen específicas normativas que, en distintos ámbitos, lo contemplan expresamente. Analizando la normativa sectorial traída a colación por la parte reclamada en su escrito, aporta la consulta realizada a la Agencia Estatal de Seguridad Aérea, en el que se indica lo siguiente: “En relación a su consulta, la solicitud del certificado de antecedentes penales es un requisito impuesto por un Reglamento Comunitario (REGLAMENTO DE EJECUCIÓN (UE) 2019/103 DE LA COMISIÓN de 23 de enero de 2019 por el que se modifica el Reglamento de Ejecución (UE) 2015/1998 en lo que respecta a la aclaración, armonización y simplificación, así como al refuerzo de determinadas medidas de seguridad aérea específicas). El punto 11.1 “Selección”, de la mencionada norma establece lo siguiente: “(…). 11.1.2. Las personas seleccionadas para efectuar inspecciones, controles de acceso u otros controles de seguridad en cualquier zona que no constituya una zona restringida de seguridad, o para asumir la responsabilidad al respecto, o con acceso no acompañado a carga y correo aéreos, correo y material de la compañía aérea, provisiones de a bordo y suministros de aeropuerto que hayan sido objeto de los controles de seguridad exigidos deberán haber superado una verificación de antecedentes reforzada o normal. Salvo que el presente Reglamento especifique lo contrario, la autoridad competente determinará con arreglo a las normas nacionales aplicables si es necesario superar una verificación de antecedentes reforzada o normal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/37 11.1.3. De conformidad con la normativa aplicable de la Unión y la legislación nacional, una verificación de antecedentes reforzada deberá, al menos:
39. a)establecer la identidad de la persona sobre la base de los documentos justificativos oportunos;
40. b)referir los posibles antecedentes penales en todos los Estados de residencia durante al menos los cinco años precedentes;
41. c)referir la formación y experiencia profesional, así como las posibles lagunas existentes durante al menos los cinco años precedentes;
42. d)incluir la información de inteligencia y de cualquier otro tipo de que dispongan las autoridades nacionales competentes y que estas consideren pertinente al objeto de determinar la idoneidad de una persona para trabajar en una función que requiera una verificación de antecedentes reforzada. 11.1.4. De conformidad con la normativa aplicable de la Unión y la legislación nacional, una verificación de antecedentes normal deberá:
43. a)establecer la identidad de la persona sobre la base de los documentos justificativos oportunos;
44. b)referir los posibles antecedentes penales en todos los Estados de residencia durante al menos los cinco años precedentes;
45. c)referir la formación y experiencia profesional, así como las posibles lagunas existentes durante al menos los cinco años precedentes. 11.1.5. La verificación de antecedentes normal o las letras
46. a)a
47. c)de una verificación de antecedentes reforzada deberán completarse antes de que la persona reciba formación inicial en materia de seguridad que implique el acceso a información restringida por su carácter sensible para la seguridad. Cuando proceda, la letra
48. d)de una verificación de antecedentes reforzada deberá completarse antes de que la persona sea autorizada a efectuar inspecciones, controles de acceso u otros controles de seguridad o a asumir la responsabilidad al respecto. (…) 11.1.8. El proceso de selección para todas las personas seleccionadas con arreglo a los puntos 11.1.1 y 11.1.2 deberá comprender, al menos, una solicitud por escrito y una fase de entrevista para realizar una evaluación inicial de habilidades y aptitudes. 11.1.9. Las personas seleccionadas para efectuar controles de seguridad deberán poseer las habilidades y aptitudes físicas y psíquicas necesarias para desempeñar las tareas encomendadas con eficacia, y serán informadas de la naturaleza de dichos requisitos al comienzo del proceso de selección. Dichas habilidades y aptitudes serán evaluadas durante el proceso de selección y antes de la conclusión de todo período de prueba. (…)” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/37 En el presente caso, la parte reclamada indicó a la parte reclamante, mediante correo electrónico de fecha 5 de julio de 2023, que en el momento de la entrevista debería llevar, entre otra documentación, un certificado de antecedentes penales. Si bien hay una norma europea que contempla la exigencia del certificado de antecedentes penales cuando los trabajadores desarrollen su actividad laboral en zonas de carga aérea, la misma norma se refiere a “las personas seleccionadas” por lo que es excesivo solicitar tales datos personales en una fase de evaluación de los candidatos, pues no es adecuada, ni pertinente, ni limitada a lo necesario en relación con la finalidad de verificar las aptitudes de tales candidatos. Como regla general, siempre prevalece la intimidad del trabajador ya que, al solicitar este tipo de información confidencial, puede suponer una práctica discriminatoria por parte de las empresas. En segundo lugar, en relación con el que en el momento de la entrevista tuvo que rellenar un cuestionario indicando su estado civil y número de hijos, señala la parte reclamada que es en base a la Resolución de 3 de enero de 2011, del Departamento de Gestión Tributaria de la Agencia Estatal de Administración Tributaria, por la que se aprueba el modelo 145, de comunicación de datos del perceptor de rentas del trabajo a su pagador o de la variación de los datos previamente comunicados. No obstante, hay que considerar que dicha resolución es para la comunicación de datos del perceptor de rentas del trabajo a su pagador, es decir, respecto de personas que ya se encuentran contratadas y con las que mantiene una relación laboral, por lo que la solicitud de dicha información respecto de candidatos a un puesto de trabajo donde no existe dicha relación laboral, no es adecuada, ni pertinente, ni limitada a lo necesario en relación con la finalidad de verificar las aptitudes de tales candidatos. De conformidad con las evidencias de las que se dispone, se considera que los hechos conocidos son constitutivos de dos infracciones, imputables a Plataforma Cabanillas, por vulneración del artículo 5.1
49. c)del RGPD. VI Tipificación y calificación de la infracción La infracción se tipifica en el artículo 83.5 del RGPD, que considera como tal: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
50. a)Los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5,6,7 y 9.” La LOPDGD, a efectos de la prescripción de la infracción, califica en su artículo 72.1 de infracción muy grave, siendo en este caso el plazo de prescripción de tres años, “
51. a)El tratamiento de datos personales vulnerando los principios y garantías establecidos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/37 en el artículo 5 del Reglamento (UE) 2016/679”. VII Sanción La determinación de la sanción que procede imponer en el presente caso exige observar las previsiones de los artículos 83.1 y 2 del RGPD, preceptos que, respectivamente, disponen lo siguiente: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 9 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias.” “2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
52. a)a
53. h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta:
54. a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
55. b)la intencionalidad o negligencia en la infracción;
56. c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
57. d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
58. e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
59. f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
60. g)las categorías de los datos de carácter personal afectados por la infracción;
61. h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
62. i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
63. j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
64. k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/37 como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado “Sanciones y medidas correctivas”: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
65. k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
66. a)El carácter continuado de la infracción.
67. b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
68. c)Los beneficios obtenidos como consecuencia de la comisión de la infracción.
69. d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
70. e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
71. f)La afectación a los derechos de los menores.
72. g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
73. h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado. 3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679.” Por lo que se refiere a las manifestaciones realizadas por la parte reclamante en relación con las circunstancias tenidas en cuenta para la graduación, tal y como se ha señalado anteriormente, no se acogen las alegaciones realizadas respecto de las circunstancias agravantes que se consideran de aplicación a los hechos examinados. Por otra parte, el artículo 83.5 del RGPD dispone que el importe máximo de la sanción que se imponga será la mayor de estas dos cantidades: 20.000.000 de euros o, tratándose de una empresa, una “cuantía equivalente al 4% como máximo del volumen de negocio total anual global del ejercicio financiero anterior”. En ese sentido, como se hace constar en el Hecho Cuarto de este acuerdo, la cifra de negocio de PLATAFORMA CABANILLAS durante el ejercicio 2023 fue de 31.041.021euros. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/37 De acuerdo con los preceptos transcritos, a efectos de fijar el importe de la sanción de multa a imponer a la entidad reclamada como responsable de una infracción tipificada en el artículo 83.5
74. a)del RGPD y 72.1a) de la LOPDGDD, se estiman concurrentes en el presente caso los siguientes factores: Artículo 83.2.
75. k)RGPD en conexión con el artículo 76
76. b)de la LOPDGDD: “La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.” En el desarrollo de la actividad que le es propia necesita de manera habitual tratar datos de carácter personal, lo que incide en la diligencia que le es exigible para el cumplimiento de los principios que presiden el tratamiento de datos de carácter personal y la calidad y efectividad de las medidas técnicas y organizativas que debe tener implementadas para garantizar el respeto de este derecho. La parte reclamada se dedica a la contratación de personal, lo que supone un continuo tratamiento de datos y recoge numerosa información personal relativa a los candidatos. No se aprecian factores de atenuación. El balance de las circunstancias contempladas en el artículo 83.2 del RGPD y el artículo 76.2 de la LOPDGDD, con respecto a la infracción cometida al vulnerar lo establecido en el artículo 5.1 del RGPD, permite fijar las siguientes sanciones: - Por la infracción cometida por solicitar a los candidatos, sin existir relación laboral, el certificado de antecedentes penales, una sanción de 75.000€ (setenta cinco mil euros). - Por la infracción cometida por pedir los datos personales de los candidatos a un puesto de trabajo, a efectos del modelo 145, cuando todavía no existe relación contractual, una sanción de 25.000€ (veinticinco mil euros). Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a PLATAFORMA CABANILLAS SA, con NIF A70350384: -Por la supuesta infracción del artículo 5.1.
77. c)del RGPD, tipificada en el artículo 83.5 de dicha norma, por solicitar para hacer la entrevista de trabajo el certificado de antecedentes penales, una multa de 75.000 € (setenta y cinco mil euros). -Por la supuesta infracción del artículo 5.1.
78. c)del RGPD, tipificada en el artículo 83.5 de dicha norma, por pedir los datos personales para el modelo 145 de la Agencia Tributaria (retenciones sobre rendimientos del trabajo. Comunicación de datos al pagador) antes de existir una relación contractual de carácter laboral, una multa de 25.000 € (veinticinco mil euros). SEGUNDO: NOTIFICAR la presente resolución a PLATAFORMA CABANILLAS SA. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/37 TERCERO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. Se advierte al sancionado que deberá hacer efectiva la sanción impuesta una vez que la presente resolución sea ejecutiva, de conformidad con lo dispuesto en el art. 98.1.
79. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante LPACAP), en el plazo de pago voluntario establecido en el art. 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso, indicando el NIF del sancionado y el número de procedimiento que figura en el encabezamiento de este documento, en la cuenta restringida nº IBAN: ES00-0000-0000-0000-0000-0000 (BIC/Código SWIFT: CAIXESBBXXX), abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A.. En caso contrario, se procederá a su recaudación en período ejecutivo. Recibida la notificación y una vez ejecutiva, si la fecha de ejecutividad se encuentra entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si se encuentra entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
80. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/37 938-100325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es