← España

PS-00201-2019

1/19  Procedimiento Nº: PS/00201/2019 938-090320 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes PRIMERO: Con fecha 4 de enero de 2019 se registra de entrada en la Agencia Española de Protección de Datos reclamación formulada por Dña. A.A.A., (en adelante, la reclamante), contra la Mancomunidad de la Comarca de Pamplona, (en adelante MCP o la Mancomunidad), exponiendo que: “Hace seis meses la Mancomunidad de Pamplona puso en funcionamiento un nuevo sistema de recogida de basuras que implica la necesidad de utilizar tarjetas nominativas por domicilio para poder usar los contenedores de orgánico y resto. Ahora, a punto de terminar la prueba de este nuevo sistema, la Mancomunidad de Pamplona nos envía una carta en la que se nos notifica que en las próximas semanas se nos enviará "información con los datos de apertura registrados en su domicilio". Evidentemente, la Mancomunidad de Pamplona no nos había informado a los usuarios de que se iban a recoger datos, de qué datos concretos son los recogidos, ni el tratamiento y uso que va a hacer de los mismos, obviando así el derecho a la información de los usuarios” La reclamante adjunta copia de dos escritos dirigidos en mayo y diciembre de 2018 por el Presidente de la Mancomunidad a los vecinos y vecinas en relación con la puesta en marcha de una prueba piloto para implantar un nuevo sistema de apertura con tarjeta para los contenedores de materia orgánica (marrón) y de resto (gris) a fin de mejorar los resultados obtenidos en la recogida selectiva de materia orgánica. En el escrito remitido en mayo de 2018 se señalan como novedades del nuevo sistema: “- La llave de apertura del contenedor marrón se sustituye por una tarjeta magnética; - Esta tarjeta abrirá el contenedor marrón y, también desde ahora, el contenedor de resto. - Cada hogar recibirá dos tarjetas asociadas a la dirección del domicilio que permitirán registrar los datos de su utilización.” En el escrito remitido en diciembre de 2018 el Presidente de la Mancomunidad informaba que “En las próximas semanas le enviaremos información con los datos de aperturas registrados en su domicilio o establecimiento, y con aquellos puntos de mejora en los que podrá avanzar en el caso de que no se realice un uso adecuado de los contenedores”. SEGUNDO: De conformidad con el artículo 65.4 de la de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 (en lo sucesivo, LOPDGDD), con fecha 19 de febrero 2019 la Subdirección General de Inspección de Datos trasladó dicha reclamación a la MCP para su análisis y comunicación al reclamante de la decisión adoptada al respecto. Igualmente, se le requería que en el plazo de un mes remitiera a la AEPD determinada información, entre la que se encontraba informase sobre las causas que habían motivado los hechos que han originado la reclamación e informase sobre las medidas adoptadas para evitar que se produzcan incidencias similares. Con fecha 8 de marzo de 2019 se registra de entrada en la AEPD escrito de la MCP señalando que ha procedido a trasladar la reclamación a la sociedad “Servicios de la Comarca de Pamplona, S.A.”, (en adelante, SCPSA), para que proceda a dar contestación al requerimiento efectuado con arreglo a lo siguiente: Que la MCP es la Administración Pública titular de los servicios de abastecimiento y saneamiento de aguas, gestión de residuos y transporte urbano, correspondiendo la gestión de los servicios a SCPSA, sociedad pública de capital exclusivo de aquélla, conforme a lo dispuesto en el artículo 1 del Reglamento de Relaciones entre la Mancomunidad y SCPSA, aprobado por la Asamblea General de aquélla. El artículo 2.3 de dicho Reglamento atribuye a SCPSA la prestación material de la actividad empresarial, entre cuyas funciones se encuentra la titularidad de la relación jurídica con los usuarios de los servicios de gestión de residuos urbanos encomendada. Los artículos 3 y 4 de la Ordenanza reguladora de la Gestión de Residuos en la Mancomunidad de la Comarca de Pamplona (BON nº 245 de 23/12/2013) reafirman la condición de SCPSA como titular de las relaciones con los usuarios del servicio de gestión de los residuos. El artículo 1 de la Ordenanza Reguladora de las Prestaciones Patrimoniales de Carácter Público No Tributario por la Prestación de Los Servicios de Gestión de los Residuos Urbanos 2019 (BON nº 249 de 28/12/2018) determina que la SCPSA presta y gestiona los citados servicios. Los artículos 3, 4.1 y 5.1 de esta Ordenanza recogen el régimen de financiación del servicio, fundado en su naturaleza como de recepción obligatoria, y derivado directamente de la titularidad o uso del inmueble, para lo cual se utilizan los datos del Registro de la Riqueza Territorial de Navarra y del fichero de usuarios registrado con fecha 21/09/2009 en la AEPD por dicha sociedad, siendo el valor catastral la base imponible de la prestación patrimonial pública y no tributaria. Que la MCP no ha puesto en funcionamiento el nuevo sistema de recogida de basuras que implica la necesidad de utilizar tarjetas nominativas por domicilio; que tampoco ha solicitado dato alguno a ningún ciudadano sobre las tarjetas nominativas para poder usar los contenedores de orgánico y resto, careciendo de información alguna sobre el uso de las citadas tarjetas. TERCERO: Con fecha 20 de marzo de 2019 se registra de entrada en la AEPD escrito del Delegado de Protección de Datos de la SCPSA señalando que la reclamación no está justificada al no haberse producido ningún tratamiento de datos de carácter personal, causa por la que no se han adoptado medidas concretas frente a la reclamación. tal y como se ha informado también a la reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 La Mancomunidad ostenta la competencia y responsabilidad de los servicios de recogida y tratamiento de los residuos urbanos, cuya prestación integral gestiona a través de su sociedad de gestión SCPSA, en virtud de lo establecido en la Ordenanza Reguladora de la Gestión de Residuos Urbanos publicada en el Boletín Oficial de Navarra nº 17, de 7 de febrero de 2007. El Plan de Residuos de Navarra 2017-2017, obliga a las administraciones públicas competentes y gestoras de los residuos urbanos a adoptar las medidas necesarias para alcanzar los objetivos de reciclado fijados en el mismo, estableciéndose una separación en origen de la materia orgánica del 50% en 2020 y del 70% en 2027. En cumplimiento del Plan de Gestión Anual 2017 de MCP/SCPSA se puso en marcha el “proyecto piloto para el diseño de un sistema de contenedores de materia orgánica y resto que permita la identificación de los usuarios y la medición de la cantidad de residuos depositada, con el objetivo de incrementar sustancialmente la separación en origen.“ Entre las acciones puestas en marcha para conseguir el incremento de la separación en origen de la materia orgánica ( también MO, en adelante), está la prueba piloto consistente en establecer un sistema de apertura de contenedores de MO cerrados, con apertura mediante tarjeta vinculada a los domicilios que permita la recogida de datos para analizar el impacto y seguimiento de su uso. Para llevar a cabo este seguimiento se ha tomado como unidad de medida la dirección postal, por lo que no se han tenido en cuenta datos personales para la gestión del servicio, Se decidió realizar este proyecto-piloto en dos zonas diferentes de la comarca con una duración de un semestre. Las Tarjetas tienen grabado en su parte exterior la dirección postal a la que está vinculada dicha tarjeta. La entrega de las tarjetas se realizó previa comunicación a las diferentes direcciones postales de la existencia y los objetivos del programa piloto. Se repartieron dos tarjetas para la apertura de contenedores por cada dirección postal (domicilio o local), y las cifras totales al inicio del proyecto fueron 8.266 tarjetas. En cada una de las dos tarjetas consta la misma dirección postal con el fin de poder registrar el uso de la actividad de esa dirección. La información obtenida se conserva en unas bases de datos independiente al objeto de obtener y explotar la información estadística relativa al uso de las mismas. En tanto que el uso de las tarjetas no se ha limitado a los propietarios (persona física o jurídica) o usuarios de la dirección postal ni se ha prohibido que su uso se transfiriera a terceros, la información recabada a través de las tarjetas no permite establecer una relación directa e inequívoca con ninguna persona física identificada o identificable, motivo por el cual la información obtenida no se encuentra sujeta al régimen de protección de datos personales al no cumplirse la definición de dato personal del RGPD. Señalan que para la obtención de las direcciones postales, se han utilizado las direcciones postales de las unidades catastrales del ámbito de la Mancomunidad de la Comarca de Pamplona que figuran en el Registro de la Riqueza Territorial de Navarra y que son susceptibles de facturación de la tasa de residuos, según la ordenanza de precios de este servicio. Aportan impresión de captura del anverso y reverso de una de dichas Tarjetas de “Recogida selectiva de residuos” significando que no contiene ningún dato personal, sólo la dirección postal a la que se entregó la tarjeta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 En cuanto al aplicativo donde se almacenan los datos de tarjeta, del que aportan captura de un registro del mismo, se aduce que sólo contiene datos relativos a la dirección postal, sin almacenar otra información que pueda relacionar dicha dirección postal con una persona física identificada o identificable. Cada tarjeta tiene su número único de identificador y los datos que se obtienen están únicamente referenciados a ese número. El aplicativo de tarjetas y sus datos relacionados se encuentran almacenados en el CPD (Centro de Procesamiento de Datos) de la Mancomunidad. Señalan que durante el desarrollo del mencionado proyecto-piloto se ha realizado un control indirecto del uso de los contenedores por parte de la ciudadanía y sus cambios de hábitos respecto de la situación precedente. Como parte de dicha acción, se consideró de interés remitir a las direcciones postales de las tarjetas las estadísticas de uso de las tarjetas entregadas en las respectivas direcciones postales a los efectos de poder contrastar los resultados con los datos globales. Previamente, en diciembre de 2018 se remitió una carta informativa comunicando que se iba a proceder dicho envío, que es a la que se refiere la reclamante, aunque en la misma sólo se indican datos estadísticos agregados de uso de las tarjetas entregadas en sus respectivas direcciones postales a los efectos de poder contrastarlos con los datos globales del resto de usuarios del programa. En ningún momento se han indicado o utilizado datos que permitan relacionar dicha información con personas físicas identificadas o identificables. CUARTO: A la vista de la documentación aportada por el SCPSA se observa: De la impresión de captura de la tarjeta aportada, se constata: Que en el anverso de la misma aparece denominada como de “Recogida selectiva de residuos”/“Hondakinen gaikako biketa”, figurando, entre otra información relativa al tipo de residuos, el logotipo de la Mancomunidad, una dirección postal con número de calle y piso debajo de la cual hay un número de identificación. Por su parte, en el reverso de la tarjeta consta la siguiente leyenda: “Esta tarjeta es propiedad de la Mancomunidad de la Comarca de Pamplona y su uso está sujeto a las condiciones determinadas por ésta”, que también aparece redactada en euskera, bajo las cuales está el logotipo del reclamado vinculado a la “Mancomunidad Comarca de Pamplona”/“Iruñerriko Mankomunítatea” , constando también los datos de contacto de información del Servicio de Atención Ciudadana de la Mancomunidad. De las comunicaciones enviadas en mayo, junio, julio y diciembre de 2018 a las direcciones de los vecinos afectados por el mencionado proyecto-piloto, cuya copia se ha adjuntado al escrito del SCPSA registrado en esta Agencia con fecha 20 de marzo de 2019, se observa que están encabezadas por el logotipo del reclamado y firmadas por el Presidente de la MCP, sin hacerse en las mismas ninguna referencia a la SCPSA. Así, por ejemplo, en el encabezamiento de la carta remitida en junio de 2018 la siguiente frase: “Tal y como le anunciamos recientemente en la carta remitida por esta Mancomunidad, el pasado día 28 de mayo iniciamos las acciones informativas con motivo de la prueba piloto del nuevo sistema de contenedores.” Asimismo, en el encabezamiento de la carta remitida en julio de 2018 figuraba: “Tal y como le anunciamos recientemente en una carta anterior remitida por esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 Mancomunidad, el pasado 18 de junio comenzó en ***LOCALIDAD.1 la prueba piloto del nuevo sistema de contenedores con apertura mediante tarjeta magnética.” QUINTO: De conformidad con el artículo 65 de la LOPDGDD y a los efectos previstos en su artículo 64.2, con fecha 12 de junio de 2019 la Directora de la AEPD acordó admitir a trámite la reclamación presentada por la reclamante SEXTO: Con fecha 14 de noviembre de 2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador de apercibimiento al reclamado, con arreglo a lo previsto en el artículo 58.2.

  1. b)del RGPD, por la presunta infracción del artículo 14 del RGPD, tipificada en el artículo 83.5.
  2. b)del RGPD. En dicho acuerdo se señalaba: “Que, de confirmarse la existencia de infracción, a los efectos previstos en el artículo 58.2 del RGPD la medida correctiva que podría imponerse a la MANCOMUNIDAD DE LA COMARCA DE PAMPLONA, con NIF (…), en la resolución, consistiría en ORDENARLE, al amparo de lo dispuesto en el artículo 58.2.
  3. d)del RGPD, la adopción de las medidas necesarias para facilitar en las tarjetas magnéticas de apertura de contenedores, utilizadas para la recogida selectiva de residuos la información relativa a los extremos señalados en el artículo 14 del RGPD cuando incluyan datos de personas identificadas o, como en este supuesto, incluyan datos de personas identificables, para lo que deberá tener en cuenta lo dispuesto en el artículo 6 del RGPD en relación con la licitud del tratamiento. Dicha medida se habrá de adoptar, en su caso, en el plazo de un mes computado desde el día siguiente al que se le notifique la resolución sancionadora, debiendo, asimismo, aportarse en ese mismo plazo los medios de prueba acreditativos de su cumplimiento.” El mencionado acuerdo de inicio del procedimiento fue notificado a la Mancomunidad por medios electrónicos con fecha 15 de noviembre de 2019. SÉPTIMO: Con fecha 28 de noviembre de 2019 se registra de entrada en esta Agencia escrito de alegaciones de la Mancomunidad al citado acuerdo de inicio en el que indica las medidas que ha resuelto adoptar para dar cumplimiento a las obligaciones señaladas en el artículo 14 del RGPD, y que se señalan en el Fundamento de Derecho VI de esta resolución. OCTAVO: Con fecha 19 de diciembre de 2019 se formuló propuesta de resolución en el sentido de que por la Directora de la Agencia Española de Protección de Datos: -Se impusiese al reclamado, de conformidad con lo previsto en el artículo 58.2.
  4. b)del RGPD, una sanción de apercibimiento por una infracción del artículo 14 del RGPD, tipificada en el artículo 83.5.
  5. b)del RGPD. - Se ordenase al reclamado en la resolución que pudiera recaer, al amparo de lo establecido en el artículo 58.2.
  6. d)del RGPD, que acreditase el envío a los interesados afectados por la prueba piloto de las comunicaciones informativas que se señalaban en el Fundamento de Derecho V de la propuesta de resolución formulada, así como que, de implantarse en toda la Mancomunidad el sistema de apertura de contenedores estudiado, había previsto la adopción de las medidas necesarias para que en las tarjetas magnéticas de apertura de contenedores que vayan a utilizarse C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 para la recogida selectiva de residuos se ofrezca la información relativa a los extremos señalados en el artículo 14 del RGPD cuando incluyan datos de personas identificadas o identificables. - Comunicar la resolución que recayese al Defensor del Pueblo. La mencionada propuesta de resolución fue notificada a la MCP con fecha 19 de diciembre de 2019. NOVENO: Con fecha 17 de febrero de 2020 se registra de entrada en esta Agencia escrito de alegaciones de la MCP a la referida propuesta en el que comunica las medidas que ha resuelto adoptar a través de la SCPSA, y que se citan en el Fundamento de Derecho VII de esta resolución. HECHOS PROBADOS Primero: Con fecha 4 de enero de 2019 se registra de entrada en la Agencia Española de Protección de Datos reclamación formulada por la reclamante contra la Mancomunidad de la Comarca de Pamplona (MCP), ya que no había informado a los interesados sobre el tratamiento de los datos personales utilizados en el marco de la prueba piloto llevada a cabo para implantar un nuevo sistema de apertura con tarjeta magnética para los contenedores de materia orgánica y resto. Segundo: La MCP es la administración pública titular de los servicios de abastecimiento y saneamiento de aguas, gestión de residuos y transporte urbano, que presta a través de “Servicios de la Comarca de Pamplona, S.A.”, (SCPSA), sociedad mercantil de capital exclusivo de la MCP. Tercero: En cumplimiento del Plan de Gestión Anual 2017 la MCP puso en marcha en dos zonas de la Comarca, entre junio y diciembre de 2018, un proyecto piloto basado en la implantación de un sistema de apertura de contenedores de materia orgánica y resto mediante tarjetas magnéticas vinculadas a la dirección postal de los domicilios y establecimientos que permitiría la identificación de los usuarios, la medición de la cantidad de residuos depositada y el seguimiento de uso de dichos contenedores a través de la actividad de uso de las tarjetas. Cuarto: Por cada dirección postal (domicilios o locales) la MCP facilitó dos tarjetas de apertura de contenedores. En cada una de las tarjetas constaba: En el anverso, la tarjeta se vincula a la “Recogida selectiva de residuos”/“Hondakinen gaikako biketa”, figurando, entre otra información, el logotipo de la MCP, la dirección postal con número de calle y piso a la que se asocia la tarjeta y el número identificador único de la tarjeta. En el reverso, aparece la leyenda: “Esta tarjeta es propiedad de la Mancomunidad de la Comarca de Pamplona y su uso está sujeto a las condiciones determinadas por ésta”, también redactada en euskera, el logotipo de la MCP asociado a la “Mancomunidad Comarca de Pamplona”/“Iruñerriko Mankomunítatea”, y los datos de contacto de información del Servicio de Atención Ciudadana de la Mancomunidad. Quinto: Las direcciones postales utilizadas en las citadas tarjetas de apertura se obtuvieron de las unidades catastrales del ámbito de la MCP que figuran en el Registro C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 de la Riqueza Territorial de Navarra y que son susceptibles de facturación de la tasa de residuos, según la ordenanza de precios de ese servicio. Sexto: La aplicación en la que se almacena la información relativa a la utilización de las tarjetas de apertura registra las direcciones postales de los domicilios de las viviendas y establecimientos a las que aquéllas se vinculan y su número identificador único. Séptimo: Consta en el procedimiento sancionador que en los meses de mayo, junio, julio y diciembre de 2018 el Presidente de la MCP remitió y, firmó como tal, sendas comunicaciones dirigidas a los vecinos y vecinas afectados por la puesta en marcha de la prueba piloto. En estas comunicaciones el Presidente de la MCP informaba sobre las razones y el alcance del nuevo sistema, el funcionamiento de las tarjetas entregadas y el resultado porcentual e separación de materia orgánica obtenido con la información disponible a la fecha del envío en cuestión en relación con el objetivo programado en el Plan de Residuos de Navarra. Todas estas comunicaciones muestran el logotipo de la MCP vinculado a la “Mancomunidad Comarca de Pamplona”/“Iruñerriko Mankomunítatea”, y no hacen ninguna referencia a la sociedad de gestión SCPSA ni a su participación en el desarrollo de la prueba piloto sobre la que se informa. Así, por ejemplo, en el encabezamiento de la carta remitida en junio de 2018 la siguiente frase: “Tal y como le anunciamos recientemente en la carta remitida por esta Mancomunidad, el pasado día 28 de mayo iniciamos las acciones informativas con motivo de la prueba piloto del nuevo sistema de contenedores.” Asimismo, en el encabezamiento de la carta remitida en julio de 2018 figuraba: “Tal y como le anunciamos recientemente en una carta anterior remitida por esta Mancomunidad, el pasado 18 de junio comenzó en ***LOCALIDAD.1 la prueba piloto del nuevo sistema de contenedores con apertura mediante tarjeta magnética.” Octavo: En la comunicación remitida por el Presidente de la MCP en diciembre de 2018 éste indicaba, entre otros extremos: “Con la información disponible en estos momentos se puede confirmar que el nuevo sistema de apertura está ofreciendo unos resultados alentadores: en el caso de ***LOCALIDAD.1 se está depositando de manera adecuada el 63% de la Materia Orgánica generada, lo que supone un importante avance con respecto al 18% con el que se inició la experiencia piloto. En las próximas semanas le enviaremos información con los datos de aperturas registrados en su domicilio o establecimiento, y con aquellos puntos de mejora en los que podrá avanzar en el caso de que no se realice un uso adecuado de los contenedores.” Noveno: Las comunicaciones remitidas por la MCP reseñadas en los hechos probados anteriores y las “Tarjetas de recogida selectiva de residuos” vinculadas a los domicilios que se entregaron a los vecinos y vecinas de las zonas en las que se puso en marcha la reseñada prueba piloto no incluían la información indicada en el artículo 14 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 FUNDAMENTOS DE DERECHO I En virtud de los poderes que los artículos 55.1 y 2, 57.1 y 58.2.
  7. b)del del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, (en adelante RGPD), reconocen a cada autoridad de control, y según lo establecido en los arts. 47, 48.1, 77.1.
  8. c)y 2 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. El artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” II Los artículos 1 y 2.1 del RGPD disponen lo siguiente: “Artículo 1. Objeto 1. El presente Reglamento establece las normas relativas a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y las normas relativas a la libre circulación de tales datos. 2. El presente Reglamento protege los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales. 3. La libre circulación de los datos personales en la Unión no podrá ser restringida ni prohibida por motivos relacionados con la protección de las personas físicas en lo que respecta al tratamiento de datos personales. Artículo 2. Ámbito de aplicación material 1. El presente Reglamento se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.” A estos efectos se recuerda que el artículo 4 del RGPD, bajo la rúbrica “Definiciones”, dispone que: “A efectos del presente Reglamento se entenderá por: 1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” Así, de conformidad con dichas definiciones, constituye un tratamiento de datos de personas físicas identificables la inclusión de la dirección postal objeto de seguimiento de uso junto con un número identificador único en cada una de las dos tarjetas magnéticas entregadas por dirección postal utilizada (domicilio o local) en el marco del proyecto-piloto citado, desarrollado por la Mancomunidad en dos zonas de la Comarca de Pamplona, con la finalidad de recoger en origen datos sobre el uso por parte de la ciudadanía de los nuevos contenedores de residuos de materia orgánica y resto instalados para facilitar la consecución de los objetivos de reciclaje marcados en el Plan de Residuos de Navarra. Por lo que a través de las direcciones postales incluidas en las tarjetas resultan identificables las personas físicas, en su caso, obligadas al pago de las prestaciones patrimoniales de carácter público no tributarias,- condición atribuida a las tarifas por la prestación de los servicios de gestión de los residuos urbanos-, que por cualquier título habiten, ocupen o disfruten las viviendas, locales, establecimientos o centros en cuyo beneficio o provecho se preste o disponga ese servicio de carácter general y obligatorio, pudiendo incluso resultar identificables las personas físicas propietarias de los inmuebles que están obligadas a dicho pago cuando no sean conocidas las personas beneficiarias del servicio. III En el presente procedimiento se imputa a la Mancomunidad la vulneración del deber de informar previsto en el artículo 14 del RGPD, precepto que establece: “Artículo 14. Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado 1. Cuando los datos personales no se hayan obtenidos del interesado, el responsable del tratamiento le facilitará la siguiente información:
  9. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  10. b)los datos de contacto del delegado de protección de datos, en su caso;
  11. c)los fines del tratamiento a que se destinan los datos personales, así como la base jurídica del tratamiento;
  12. d)las categorías de datos personales de que se trate;
  13. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  14. f)En su caso, la intención del responsable de transferir datos personales a un destinatario en un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de ellas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente respecto del interesado:
  15. a)el plazo durante el cual se conservarán los datos personales o, cuando eso no sea posible, los criterios utilizados para determinar este plazo;
  16. b)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable del tratamiento o de un tercero;
  17. c)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  18. d)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el consentimiento antes de su retirada;
  19. e)el derecho a presentar una reclamación ante una autoridad de control;
  20. f)la fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes de acceso público;
  21. g)la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. El responsable del tratamiento facilitará la información indicada en los apartados 1 y 2:
  22. a)dentro de un plazo razonable, una vez obtenidos los datos personales, y a más tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que se traten dichos datos;
  23. b)si los datos personales han de utilizarse para comunicación con el interesado, a más tardar en el momento de la primera comunicación a dicho interesado, o
  24. c)si está previsto comunicarlos a otro destinatario, a más tardar en el momento en que los datos personales sean comunicados por primera vez. 4. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y cualquier otra información pertinente indicada en el apartado 2. 5. Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida en que:
  25. a)el interesado ya disponga de la información;
  26. b)la comunicación de dicha información resulte imposible o suponga un esfuerzo desproporcionado, en particular para el tratamiento con fines de archivo en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 interés público, fines de investigación científica o histórica o fines estadísticos, a reserva de las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en que la obligación mencionada en el apartado 1 del presente artículo pueda imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En tales casos, el responsable adoptará medidas adecuadas para proteger los derechos, libertades e intereses legítimos del interesado, inclusive haciendo pública la información;
  27. c)la obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca medidas adecuadas para proteger los intereses legítimos del interesado, o
  28. d)cuando los datos personales deban seguir teniendo carácter confidencial sobre la base de una obligación de secreto profesional regulada por el Derecho de la Unión o de los Estados miembros, incluida una obligación de secreto de naturaleza estatutaria.” Dicho precepto ha de ponerse en relación con lo dispuesto en el artículo 12 del mismo Reglamento, que en su apartado 1 establece lo siguiente: “Artículo 12. Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado. 1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda la información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativas al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con una lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios.” Por su parte, el artículo 11 de la LOPDGDD, bajo la rúbrica “Transparencia e información al afectado”, en su apartado 3 determina que: “3. Cuando los datos personales no hubieran sido obtenidos del afectado, el responsable podrá dar cumplimiento al deber de información establecido en el artículo 14 del Reglamento (UE) 2016/679 facilitando a aquel la información básica señalada en el apartado anterior, indicándole una dirección electrónica u otro medio que permita acceder de forma sencilla e inmediata a la restante información. En estos supuestos, la información básica incluirá también:
  29. a)Las categorías de datos objeto de tratamiento.
  30. b)Las fuentes de las que procedieran los datos.” Según recoge el apartado 2 del citado artículo 11 de la LOPDGDD, la información básica a la que se refiere el apartado 3 del mismo artículo deberá, al menos, contener: “2. (…)
  31. a)La identidad del responsable del tratamiento y de su representante, en su caso.
  32. b)La finalidad del tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19
  33. c)La posibilidad de ejercer los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679. Si los datos obtenidos del afectado fueran a ser tratados para la elaboración de perfiles, la información básica comprenderá asimismo esta circunstancia. En este caso, el afectado deberá ser informado de su derecho a oponerse a la adopción de decisiones individuales automatizadas que produzcan efectos jurídicos sobre él o le afecten significativamente de modo similar, cuando concurra este derecho de acuerdo con lo previsto en el artículo 22 del Reglamento (UE) 2016/679. IV Partiendo de que en el Fundamento de Derecho II anterior ha quedado justificado que, en las fechas en que se desarrolló la citada prueba piloto, la MCP llevó a cabo un tratamiento de datos personales consistente en incluir en las tarjetas magnéticas objeto de seguimiento las direcciones postales de personas físicas que resultaban fácilmente identificables, se estima que la MCP resulta responsable de dicho tratamiento con arreglo al propio contenido de las Tarjetas Magnéticas entregadas a los vecinos y vecinas de las direcciones postales incluidas en las mismas y que, a su vez, avala la información facilitada por el Presidente de la MCP a dichos vecinos y vecinas en las comunicaciones que les dirigió entre mayo y diciembre de 2018 con motivo de la implantación y desarrollo del proyecto-piloto asociado al nuevo sistema de contenedores (Hechos Probados Cuarto, Séptimo y Octavo), documentación, en la que, por otra parte, no aparece mención alguna a la SCPSA. Sentado lo anterior, consta también probado en el procedimiento que durante la puesta en marcha de la mencionada prueba piloto la MCP no facilitó a las personas interesadas afectadas por dicho tratamiento la información relativa a los extremos señalados en el artículo 14 del RGPD que debe proporcionárseles cuando los datos personales no se hayan obtenido de los mismas, tal y como ha ocurrido en este caso en el que la información de las direcciones postales tratadas en la prueba piloto procedía de las unidades catastrales del ámbito de la MCP que figuran en el Registro de la Riqueza Territorial de Navarra, y que son susceptibles de facturación de la tasa de residuos, según la ordenanza de precios de ese servicio (Hecho Probado Quinto). De este modo, la MCP incumplió el deber de información que le resultaba exigible no proporcionando en las comunicaciones dirigidas a los interesados ni en las tarjetas repartidas a los mismos para la apertura de contenedores la información relativa a los extremos señalados en el artículo 14 del RGPD anteriormente citado. Deber que podría haber cumplido facilitando en dichos documentos la información básica señalada en los apartados 2 y 3 del artículo 11 de la LOPDGDD e indicando una dirección electrónica u otro medio que permitiese acceder de forma sencilla e inmediata al resto de la información. En consecuencia, la MCP, en su condición de responsable del tratamiento efectuado con los datos personales utilizados en la prueba piloto desarrollada para implantar un nuevo sistema de apertura con tarjeta para los contenedores de materia orgánica y resto, no ha mostrado la diligencia que le resultaba exigible para facilitar a los interesados afectados por ese tratamiento la información reseñada en el artículo 14 del RGPD, vulnerando de este modo el derecho de los mismos a ser informados de los aspectos reseñados en dicho precepto, ya que los datos personales utilizados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19 no habían sido obtenidos de los propios interesados afectados por el tratamiento estudiado. V En virtud de lo establecido en el artículo 58.2 del RGPD, la Agencia Española de Protección de Datos, en cuanto autoridad de control, dispone de un conjunto de poderes correctivos en el caso de que concurra una infracción a los preceptos del RGPD. Los apartados b),
  34. d)e
  35. i)del artículo 58.2 del RGPD, “Poderes”, disponen lo siguiente: “2 Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
  36. b)sancionar a todo responsable o encargado del tratamiento con apercibimiento cuando las operaciones de tratamiento hayan infringido lo dispuesto en el presente Reglamento;” (...) “
  37. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” “
  38. i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” A los efectos de determinar la sanción que pudiera llevar aparejada la conducta descrita han de tenerse en cuenta los siguientes preceptos: El artículo 83 del RGPD, bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, establece en su apartado 5.
  39. b)que: “5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  40. b)los derechos de los interesados a tenor de los artículos 12 a 22;” A su vez, el artículo 72.1.
  41. h)de la LOPDGDD, bajo la rúbrica “Infracciones consideradas muy graves”, dispone: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  42. h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/19 (UE) 2016/679 y 12 de esta ley orgánica.” Paralelamente, el artículo 83.7 del RGPD establece que: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro” En tal sentido, los apartados 1.c), 2, 4 y 5 del artículo 77 de la LOPDGDD, bajo la rúbrica “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento“, establecen lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
  43. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso.” “4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” Con arreglo a lo expuesto, el tratamiento efectuado por la MCP durante el desarrollo de la prueba piloto constituye infracción a lo dispuesto en el artículo 14 del RGPD, tipificada en el artículo 83.5.
  44. b)del citado texto legal y calificada como muy grave a efectos de prescripción en el artículo 72.1.
  45. h)de la LOPDGDD, pudiendo ser sancionada con apercibimiento, de acuerdo con lo dispuesto en el artículo 58.2.
  46. b)del RGPD en su relación con lo previsto en el artículo 77.1.
  47. c)y 2 de la LOPDGDD. VI En este caso, la MCP en su escrito de alegaciones al acuerdo de inicio comunicó que había “resuelto adoptar las medidas necesarias para dar cumplimiento a las obligaciones señaladas en el artículo 14 del Reglamento General de Protección de Datos y por lo tanto informará, a través de su Sociedad de Gestión, Servicios de la Comarca de Pamplona, S.A. a todos los interesados sobre los extremos señalados en el citado artículo 14 del RGPD.”, añadiendo que “Ante la imposibilidad de que esta información figure en la tarjeta ya repartida en la prueba piloto, la información se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/19 llevará a cabo mediante comunicación a los interesados.”, señalando también que se aportarán a esta Agencia “los medios de prueba acreditativos de las citadas comunicaciones, una vez sean realizadas.” A la vista de lo cual, la Instructora del procedimiento estimó conveniente proponer a la Directora de la AEPD la aplicación de lo establecido en el artículo 58.2.
  48. d)del RGPD, proponiendo ordenar a la MCP no sólo la acreditación del envío de las reseñadas comunicaciones a los interesados afectados por la prueba piloto con la información relativa a las exigencias contempladas en el artículo 14 del RGPD, sino también la realización de las actuaciones necesarias para adecuar los tratamientos semejantes al estudiado a lo dispuesto en el precepto del RGPD que ha resultado conculcado. De modo que en el caso de que el sistema de apertura de contenedores mediante tarjeta magnética que incluya datos de carácter personal que no se hayan obtenido de los interesados llegue a implantarse en toda la Mancomunidad acredite el establecimiento de los mecanismos necesarios para dar cumplimiento al deber de informar recogido en el mencionado artículo 14 del RGPD. VII Con posterioridad a la notificación de la propuesta de resolución, la MCP alegó haber resuelto adoptar, a través de la SCPSA, las medidas que a continuación se señalan, y cuya comunicación efectuaba, “antes de llevar a cabo las comunicaciones y de implementar las medidas previstas en el futuro”:
  49. a)Comunicación informativa a remitir a las personas interesadas afectadas por la prueba piloto. En el ejemplar adjuntado, fechado en febrero de 2020, encabezado con el logotipo de la MCP y firmado por su Presidente, aparece, entre otra, la siguiente información: “En junio de 2018, ***LOCALIDAD.1 (Pamplona) y ***LOCALIDAD.2 (Baerrioplano) fueron las dos zonas en las que se inició la experiencia piloto en de implantación del nuevo sistema de recogida de residuos, que incorpora la apertura de los contenedores de materia orgánica (Marrón) y de resto (gris) mediante una tarjeta magnética identificada con la dirección postal en su exterior. En relación con los datos registrados por estas tarjetas y su tratamiento posterior, la Agencia Española de Protección de datos ha señalado la necesidad de facilitar a los usuarios y usuarias la información que a continuación reproducimos: <<Cada una de las tarjetas entregadas incorpora un dispositivo que permite registrar el número de aperturas de los diferentes contenedores, dato que será asociado a la dirección postal indicada en el exterior de la tarjeta. Al tratarse de datos, en ocasiones relativos a una persona física identificada o identificable, la información obtenida referente a la apertura de contenedores será tratada conforme a la normativa de protección de datos de carácter personal. Todos los datos que se recaban como consecuencia de la utilización de estas tarjetas serán tratados bajo la responsabilidad de Servicios de la Comarca de Pamplona S.A. (SCPSA), para analizar la utilización de los contenedores en las fracciones de materia orgánica y resto, y en concreto para conocer su grado de utilización con el fin de lograr los objetivos normativos de aplicación, así como para la realización de actividades de información, promoción del servicio y sus resultados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/19 Asimismo, le informamos de que podrá ejercitar sus derechos de acceso, rectificación, supresión y el resto de los derechos que le asisten, dirigiéndose al Responsable del Tratamiento a través del correo proteccióndatos@mcp.es. Puede consultar información www.mcp.es/fichadatosresiduos>> adicional sobre privacidad en El objetivo de cumplir la legislación europea en materia de residuos y de lograr una Comarca ambientalmente sostenible y comprometida en a lucha contra el cambio climático es un trabajo colectivo que requiere la contribución de cada vecino y cada vecina. (…)”
  50. b)Para dar cumplimiento al deber de infirmar recogido en el artículo 14 del RGPD en la implantación en toda la mancomunidad del nuevo sistema de apertura de contenedores mediante tarjeta, han previsto la introducción de la siguiente información básica sobre protección de datos en las tarjetas de apertura, con indicación de una dirección electrónica que permite acceder de forma sencilla e inmediata al resto de información: Responsable: Servicios de la Comarca de Pamplona, S.A. Puede ejercitar sus derechos en proteccióndatos@mcp.es Información adicional en www.mcp.es/fichadatosresiduos. Se aduce que debido al escaso espacio disponible para incluir en la citada tarjeta toda la información básica prevista en la normativa de aplicación, se ha dispuesto facilitar una información mínima que puede ser ampliada a través de la dirección electrónica indicada, que contendrá la información adicional sobre protección de datos, cuyo contenido es el señalado en el fichero de Tarjetas de Residuos.
  51. c)Fichero de tarjetas de residuos, alojada en la url a la cual remite la carta informativa www.mcp.es/fichadatosresiduos, (en adelante, la tarjeta). En el ejemplar adjuntado con la información adicional en cuestión se constata que aparecen cumplimentados los siguientes apartados: ¿Quién es el responsable del tratamiento de sus datos?, donde se identifica como tal a SCPSA, cuya dirección postal y correo electrónico son facilitados. También se identifica al Delegado de Protección de Datos, facilitándose su dirección y correo electrónico. ¿Con qué finalidad tratamos sus datos?, en el que se señala que “Los datos de apertura de los contenedores por cada una de las tarjetas serán tratados para analizar la utilización de los contenedores en las fracciones de materia orgánica y resto y en concreto para conocer su grado de utilización para así lograr los objetivos normativos de aplicación, así como para la realización de actividades de promoción del servicio y sus resultados. ¿Por cuánto tiempo conservamos sus datos? ¿Cuál es la legitimación para el tratamiento de sus datos? ¿A qué destinatarios se comunicarán sus datos? ¿Cuáles son sus derechos cuando nos facilita sus datos?, donde se citan los derechos de acceso, rectificación, supresión, limitación del tratamiento, oposición y portabilidad. Se añade que “Si considera que los datos no han sido correctamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/19 tratados, podrá ponerlo en nuestro conocimiento a través de la dirección de correo electrónico protecciondatos@mcp.es y posteriormente acudir ante la autoridad de control: Agencia Española de Protección de Datos.” “¿Cómo hemos obtenido sus datos? De los datos de uso de la tarjeta por el interesado. Del registro de Riqueza Territorial aprobado por Ley Foral 12/206, de 21 de noviembre. Los tipos de datos que se tratan son: Identificativos. Nombre y apellidos, Dirección postal asociada. De transacciones. Datos de uso de las tarjetas vinculadas a la dirección postal.” A la vista del contenido de dichos documentos, se observa lo siguiente: - Respecto de la comunicación informativa a remitir a las personas interesadas afectadas por la prueba piloto deberá eliminarse la siguiente afirmación “En relación con los datos registrados por estas tarjetas y su tratamiento posterior, la Agencia Española de Protección de datos ha señalado la necesidad de facilitar a los usuarios y usuarias la información que a continuación reproducimos:”, toda vez que resulta incierto que la AEPD haya requerido la facilitación textual de la información que se da por reproducida en el texto entrecomillado, lo que resulta probado de la simple lectura de los actos obrantes en el procedimiento. - Respecto de la información adicional sobre protección de datos accesible a través de la url www.mcp.es/fichadatosresiduos que figuraría incluida en las tarjetas, se detectan las siguientes irregularidades en relación con la información que debe facilitarse conforme a lo dispuesto en el artículo 14 del RGPD: No constando que los datos personales objeto de tratamiento hayan sido obtenidos de los interesados, sin embargo en el apartado relativo al tiempo de conservación de los mismos se reseña que “Los datos personales proporcionados se conservarán (…)” En cuanto a las categorías de datos personales o tipos de datos que se tratan se informa del tratamiento de nombre y apellidos vinculados a la dirección postal que figura en las tarjetas, cuando en la documentación obrante en el procedimiento únicamente consta el tratamiento de la dirección postal como dato personal objeto de tratamiento en dichas tarjetas. En relación con la información referida a que “Si considera que los datos no han sido correctamente tratados, podrá ponerlo en nuestro conocimiento a través de la dirección de correo electrónico protecciondatos@mcp.es y posteriormente acudir ante la autoridad de control: Agencia Española de Protección de Datos.”, se observa que el artículo 14.2.
  52. e)se limita a indicar el deber de informar sobre “el derecho a presentar una reclamación ante una autoridad de control” sin introducir ningún tipo de condición previa al ejercicio de ese derecho. VIII Constatada la existencia de la infracción al deber de informar previsto en el artículo 14 del RGPD por parte de la MCP durante el desarrollo del proyecto analizado, y a la vista de las irregularidades observadas en la documentación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/19 reseñada se estima adecuado aplicar lo establecido en el artículo 58.2.
  53. d)del RGPD, ordenando a la MCP eliminar de la comunicación informativa a remitir a las personas interesadas afectadas por la prueba piloto la afirmación contenida en la misma referida a la Agencia Española de Protección de Datos. Asimismo, se considera adecuado ordenar a la MCP la realización de las actuaciones necesarias para que el tratamiento de datos de carácter personal incluidos en las tarjetas magnéticas de apertura de contenedores a implantar en toda la Mancomunidad lleve aparejado que, por parte del responsable del tratamiento, se adecue la información a incluir en el sistema de información por capas que se ha alegado se iba a utilizar por el responsable del tratamiento a las exigencias contempladas en el mencionado precepto, lo que exigirá la subsanación de las irregularidades informativas puestas de manifestó en el anterior Fundamento de Derecho en relación con la información adicional. (Fichero de Tarjeta de Residuos) Tales medidas habrán de adoptarse el plazo de UN MES, computado desde el día siguiente a aquel en que se notifique la resolución recaída en el procedimiento, debiendo acreditarse por el reclamado su cumplimiento en idéntico plazo mediante la aportación de documentación o cualquier otro medio de prueba válido en derecho que permita verificar su adopción e implementación en forma fehaciente. Por lo tanto, de acuerdo con la legislación aplicable y valoradas las circunstancias concurrentes en la infracción cuya existencia ha quedado acreditada, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la MANCOMUNIDAD DE LA COMARCA DE PAMPLONA, con NIF P3112070B, de conformidad con lo previsto en el artículo 58.2.
  54. b)del RGPD, una sanción de apercibimiento por una infracción del Artículo 14 del RGPD, tipificada en el artículo 83.5.
  55. b)del RGPD. SEGUNDO: ORDENAR a la MANCOMUNIDAD DE LA COMARCA DE PAMPLONA, con NIF P3112070B, al amparo de lo establecido en el artículo 58.2.
  56. d)del RGPD, la adopción de las medidas indicadas en el Fundamento de Derecho VIII a los efectos de adecuar la información a ofrecer a lo previsto en el artículo 14 del RGPD. TERCERO: NOTIFICAR la presente resolución a la MANCOMUNIDAD DE LA COMARCA DE PAMPLONA. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/19 la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  57. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contenciosoadministrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.