1/11 Expediente N.º: EXP202305884 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 4 de noviembre de 2022, por la Directora de la Agencia Española de Protección de Datos se dictó resolución en el procedimiento sancionador con número de expediente EXP202105669, seguido contra el DEPARTAMENTO DE EDUCACIÓN, CULTURA Y DEPORTE DEL GOBIERNO DE ARAGÓN (en adelante, la parte reclamada). En la resolución constan los siguientes hechos probados: “PRIMERO: Consta que en fecha 8 de noviembre de 2021, la parte reclamante interpuso reclamación ante la Agencia Española de Protección de Datos, toda vez que la parte reclamada ha revelado información y datos de carácter personal a terceros, sin el consentimiento expreso de los titulares de dichos datos. SEGUNDO: Se verifica que se trata de un correo electrónico en el que se adjunta una hoja Excel en la que se pueden visualizar los datos de más de 200 empleados dando a conocer a terceros, sus nombres y apellidos, DNI, puesto de trabajo y una celda adicional para indicar si deseaban realizar un reconocimiento médico. TERCERO: La parte reclamada expone que procederá a la revisión de la adecuación del procedimiento a la normativa vigente en la materia.” En dicha resolución, además de sancionar con apercibimiento, se requería la adopción de las siguientes medidas: “TERCERO: REQUERIR al DEPARTAMENTO DE EDUCACIÓN, CULTURA Y DEPORTE, que implante, en el plazo de un mes, las medidas correctoras necesarias para adecuar su actuación a la normativa de protección de datos personales, que impidan que en el futuro se repitan hechos similares, así como que informe a esta Agencia en el mismo plazo sobre las medidas adoptadas.” SEGUNDO: La notificación electrónica de la resolución, en la que se concedía a la parte reclamada el plazo de un mes para la adopción de las medidas impuestas, se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP). Al no ser recogida por el responsable dentro del plazo de puesta a disposición, dicha notificación se entendió rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 18 de noviembre de 2022, como consta en acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/11 TERCERO: Tras el transcurso del plazo indicado sin que en esta Agencia se hubiera recibido escrito alguno sobre las medidas implementadas por la parte reclamada, se procedió a requerirles nuevamente para que, en el plazo de diez días hábiles, acreditaran ante esta Agencia haber adoptado las medidas correctoras oportunas, en atención a lo acordado en la citada Resolución. La notificación de este requerimiento no fue recogida por el responsable dentro del plazo de puesta a disposición y resultó expirada con fecha 3 de febrero de 2023, como consta en acuse de recibo que obra en el expediente. CUARTO: Con fecha 22 de febrero de 2023, se envía un nuevo requerimiento a la parte reclamada, en el que se adjunta copia de la citada Resolución, para que, en el plazo de diez días hábiles, acreditara ante esta Agencia haber adoptado las medidas correctoras que en la misma se señalaban. Dicho requerimiento fue notificado fehacientemente el 28 de febrero de 2023 como consta en el acuse de recibo que obra en el expediente. QUINTO: En fecha 24 de febrero de 2023, con número de registro de entrada REGAGE23e00011904245, se recibió escrito del Defensor del Pueblo en el que solicitaba información sobre las actuaciones llevadas a cabo por la parte reclamada conducentes a cumplir con lo ordenado en la antedicha resolución. SEXTO: La parte reclamada no ha remitido respuesta a esta Agencia que acredite el cumplimiento de las medidas impuestas en los plazos otorgados para ello. SÉPTIMO: Contra la citada resolución, en que se requiere la adopción de medidas, no cabe ningún recurso ordinario en vía administrativa por el transcurso de los plazos establecidos para ello. Asimismo, el interesado no ha manifestado su intención de interponer recurso contencioso-administrativo, ni esta Agencia tiene constancia de que el mismo se haya interpuesto y se haya solicitado suspensión cautelar de la resolución. OCTAVO: Con fecha 22 de mayo de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 58.2 del RGPD, tipificada en el Artículo 83.6 del RGPD Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). NOVENO: La notificación del citado acuerdo de inicio, que fue registrado de salida en fecha 23 de mayo de 2023 con número de registro REGAGE23s00032830862, no fue recogida por la parte reclamada dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 3 de junio de 2023, como consta en el acuse de recibo que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/11 acuerdo de inicio se volvió a enviar por correo postal y fue recogido por la parte reclamada en fecha 26 de junio de 2023, como consta en el acuse de recibo que obra en el expediente. DÉCIMO: Con fecha 3 de julio de 2023, la parte reclamada presenta escritos de alegaciones, registrados de entrada con los números REGAGE23e00044331819 y REGAGE23e00044358925, en los que manifiesta que, si bien es cierto en la Secretaría General Técnica de la parte reclamada tuvo entrada la resolución del procedimiento sancionador del expediente EXP202105669, también lo es que en la Administración autonómica de Aragón los cargos públicos y funcionarios no tienen firma de representante que les permita acceder a las notificaciones electrónicas que se dirijan al Gobierno de Aragón o cualquiera de sus departamentos o unidades administrativas. De modo que, señala, sin perjuicio de la obligación legal de dar cumplimiento a la resolución del expediente sancionador EXP202105669, no hay constancia en el mismo de las notificaciones y requerimientos que se recogen en los antecedentes del acuerdo de inicio de este nuevo expediente sancionador. Asimismo, la parte reclamada informa que sólo desde el Departamento de Hacienda y Administración Pública de esa Administración se tiene acceso a la carpeta del Gobierno de Aragón. En este sentido, indica que el acuerdo de inicio del presente expediente ha sido notificado mediante escrito impreso en papel, de lo que, dice, cabe deducir que esta Agencia tiene constancia de las imposibilidades técnicas descritas. Respecto a las actuaciones impulsadas a la vista de la resolución del procedimiento sancionador EXP202105669, la Secretaría General Técnica de la parte reclamada informa de que notificó la sanción acordada en el procedimiento EXP202105669 a la Dirección General de Personal de su departamento, al ser la competente, por delegación, del ejercicio de la competencias atribuidas a esa Secretaría General Técnica en el Decreto 201/2018, de 21 de noviembre, del Gobierno de Aragón, por el que se aprueba el Reglamento por el que se regula el Sistema de Prevención de Riesgos Laborales y Promoción de la Salud del personal de la Administración de la Comunidad Autónoma de Aragón, en materia tanto del personal no docente como del personal docente no universitario adscrito al Departamento de Educación, Cultura y Deporte. Detalla en sus alegaciones que la resolución de 13 de noviembre de 2020, de la Secretaria General Técnica, por la que se delegan competencias en materia de personal no docente y docente no universitario fue publicada en el Boletín Oficial de Aragón, número 231, de 20 de noviembre de 2020. Del mismo modo se notificó también a la Dirección General de Personal del departamento el requerimiento de información remitido por el Defensor del Pueblo. No obteniendo una respuesta satisfactoria, indica que se toma la iniciativa desde esa Secretaría General Técnica y se pone en conocimiento del Servicio de Prevención y Riesgos Laborales y Promoción de la Salud de la Dirección General de Función Pública y Calidad de los Servicios del Departamento de Hacienda y Administración Pública del Gobierno de Aragón la sanción impuesta y la necesidad de responder al Defensor del Pueblo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/11 Además, afirma que se consideró por su Secretaría General Técnica que lo ocurrido podría suceder en otros departamentos y que las medidas a adoptar a resultas de la sanción impuesta era conveniente que fueran trasversales a toda la Administración autonómica. También refiere que, tras conversaciones informales mantenidas por teléfono y correo electrónico sobre las medidas a adoptar, se consideró oportuno convocar una reunión entre su Secretaría General Técnica y el Servicio de Prevención y Riesgos Laborales y Promoción de la Salud de la Dirección General de Función Pública y Calidad de los Servicios, que permitiera analizar la situación, la sanción y las medidas a adoptar. A esta reunión asistió personal adscrito a la Secretaría General Técnica y personal del Servicio de Prevención y Riesgos Laborales y Promoción de la Salud, así como los Delegados de Protección de Datos del Gobierno de Aragón, de la parte reclamada y del Departamento de Hacienda y Administración Pública. La parte reclamada concreta que en dicha reunión celebrada el 18 de abril de este año, se analizaron los siguientes puntos: el marco jurídico en el que la parte reclamada desarrolló las actuaciones sancionadas por la Agencia Española de Protección de Datos; medidas adoptadas por la Administración autonómica a fin de que cesen o se corrijan los efectos de la infracción y análisis del avance de las medidas que se adoptarán en un futuro a medio y largo plazo. La parte reclamada señala que, de las conclusiones acordadas por los dos departamentos en la reunión, se dio cuenta al Defensor del Pueblo mediante escrito firmado por su Secretaría General Técnica el día 27 de abril de 2023, del que adjuntan copia. En respuesta al anterior, afirman que el Defensor del Pueblo les informó que había dado traslado de su escrito a esta Agencia. Adjunta también el oficio del Defensor del Pueblo. Por todo lo anterior, la parte reclamada presenta las siguientes alegaciones al acuerdo de inicio del presente procedimiento sancionador: Por un lado, la parte reclamada señala que, aunque fuera del plazo de un mes, sí ha tomado medidas, que son las descritas y ya notificadas al Defensor del Pueblo. Por otro lado, entiende que el procedimiento sancionador se ha iniciado por considerar insuficientes las medidas expuestas anteriormente, tras haber tenido conocimiento de ellas esta Agencia a través del Defensor del Pueblo. Informa de que dichas medidas han sido adoptadas tomando en consideración el régimen jurídico aplicable a esa Administración Pública en materia de prevención de riesgos, así como de los Acuerdos adoptados dentro de los procedimientos de negociación colectiva. Considera, además, que las medidas antes descritas impiden que vuelvan a producirse los hechos que dieron lugar al expediente sancionador EXP202105669. Por todo lo anterior, la parte reclamada solicita que su escrito sea admitido a trámite y aceptadas las alegaciones en él contenidas y dando por cumplida la resolución que puso fin al procedimiento sancionador EXP202105669, se acuerde el archivo de las actuaciones iniciadas dentro del expediente EXP202305884. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/11 UNDÉCIMO: Con fecha 12 de julio de 2023 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se declare que la parte reclamada ha infringido lo dispuesto en el Artículo 58.2 del RGPD, infracción tipificada en el Artículo 83.6 del RGPD. Esta propuesta de resolución fue notificada fehacientemente a la parte reclamada. DUODÉCIMO: Con fecha 3 de agosto de 2023 y número de registro de entrada REGAGE23e00052955073, la parte reclamada presenta escrito de alegaciones a la Propuesta de resolución. La parte reclamada señala que en la propuesta de resolución se hace constar expresamente que por parte de esta Agencia se acusa recibo de las medidas comunicadas, sin que esta declaración suponga ningún pronunciamiento sobre su regularidad o licitud. Por otra parte, ha recibido un escrito de la Directora de la Agencia Española de Protección de Datos en el que se indica que dichas medidas se consideran insuficientes. Por ello informa que ha presentado alegaciones a ese escrito, poniendo en conocimiento la adecuación de las medidas acordadas respecto a la observación manifestada, a fin de que se tenga por cumplida la resolución del EXP202105669 con relación a las medidas a adoptar. Asimismo, respecto al incumplimiento consistente en la falta de notificación a esta Agencia de las medidas adoptadas relativas a la Resolución del procedimiento sancionador EXP202105669, la parte reclamada indica lo siguiente: Que no se ha producido un incumplimiento de falta de adopción de medidas por este Departamento. Éstas no sólo se han adoptado, sino que además se ha conseguido efectivamente que sean medidas a cumplir en toda la Administración autonómica. Que las medidas adoptadas han sido notificadas al Defensor del Pueblo, a sabiendas de que tendría conocimiento de esa notificación y de su contenido esta Agencia. Que la falta de notificación expresa a esta Agencia de esas medidas fue a causa de un error, no existiendo ninguna voluntad de falta de transparencia o de incumplimiento, ni mala fe. Que, en la Administración autonómica de Aragón, los cargos públicos y funcionarios no tienen tarjeta electrónica de representante siendo de todo inviable que puedan acceder a notificaciones que no sean recibidas en el Registro Público “físico” del Gobierno de Aragón (REFGIA) o en el Registro Electrónico del Gobierno de Aragón (REGA). Por ello, sin poner en duda que desde alguna instancia se hayan aceptado esas notificaciones, a ninguna de ellas ha tenido acceso ninguna persona de su Secretaría General Técnica. Además, son varios los procedimientos en los que se ha advertido a esta Agencia de esta circunstancia. Añade que frente a cada escrito o notificación de esta Agencia que se ha dirigido por los medios accesibles a sus funcionarios ha habido siempre una respuesta con predisposición al cumplimiento de la normativa vigente. Que una vez conocidas por esta Agencia las medidas adoptadas, ha seguido mostrándose proactiva tanto en su adecuación a lo observado por esta Agencia, como a que las medidas sean adoptadas en la Administración autonómica en general. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/11 Que la propuesta de resolución remitida propone la imposición de la sanción remitiéndose exclusivamente a los artículos 58.2, del que sólo transcribe su cuerpo sin distinción de cada uno de sus apartados, y el 89.2 del RGPD, que se transcribe sin hacer ninguna ponderación. Que entiende que el precepto concreto al que se refiere la propuesta con la referencia al artículo 58.2 del RGPD es su apartado:
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular. Por último, la parte reclamada solicita que se tome en consideración que en ningún momento ha habido una intención de incumplimiento o mala fe por su parte, que su voluntad ha sido siempre la del cumplimiento de lo acordado por esta Agencia y en consecuencia ha ido actuando conforme tenía conocimiento efectivo de lo que ésta acordaba, así como que las medidas adoptadas en cumplimiento de la resolución que puso fin al EXP202105669 se ajustan a lo exigido y observado por esta Agencia y se han hecho extensivas a todos los departamentos de la Administración de la Comunidad Autónoma de Aragón, y que aunque se ha dado un incumplimiento formal de la notificación expresa a esta Agencia, nunca se ha pretendido ocultar las medidas adoptadas con el fin de cumplir la citada resolución, algo que no hubiera tenido ningún sentido y que, de ser así, tampoco se hubieran notificado al Defensor del Pueblo. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La resolución del procedimiento sancionador y los requerimientos para el cumplimiento de las medidas impuestas en la misma indicados en los antecedentes primero a cuarto fueron notificados con arreglo a lo dispuesto en la LPACAP. Dicha resolución devino firme y ejecutiva por el transcurso de los plazos previstos para la interposición de los recursos en ella indicados. SEGUNDO: La parte reclamada no ha remitido respuesta a esta Agencia que acredite el cumplimiento de las medidas impuestas con anterioridad a que se dictase el acuerdo de inicio del presente procedimiento sancionador. TERCERO: La notificación del acuerdo de inicio del presente procedimiento sancionador fue recogida por la parte reclamada con fecha 26 de junio de 2023. CUARTO: La parte reclamada ha presentado alegaciones al acuerdo de inicio de este procedimiento sancionador según se recoge en el antecedente décimo. QUINTO: La notificación de la propuesta de resolución del presente procedimiento sancionador fue recogida por la parte reclamada el 21 de julio de 2023. SEXTO: La parte reclamada ha presentado alegaciones a la propuesta de resolución de este procedimiento sancionador recogidas en el antecedente duodécimo. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/11 I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente. Respecto a las imposibilidades técnicas descritas para acceder a las notificaciones electrónicas, se señala que el 28 de febrero de 2023 la parte reclamada recogió un requerimiento enviado por notificación postal en el que se adjuntaba copia de la Resolución del procedimiento sancionador con número de expediente EXP202105669, para que, en el plazo de diez días hábiles, acreditara ante esta Agencia haber adoptado las medidas correctoras que en la misma se señalaban. Asimismo, se recuerda la obligación de la parte reclamada de relacionarse a través de medios electrónicos en cumplimiento del artículo 14.2 de la LPACAP, siendo cuestión interna asegurar el acceso por el personal autorizado a dichas notificaciones. Si bien la parte reclamada aporta copia del informe que firmó el 27 de abril de 2023 y remitió al Defensor del Pueblo, se señala que la citada Resolución requería tanto que la parte reclamada implantara, en el plazo de un mes, las medidas correctoras necesarias para adecuar su actuación a la normativa de protección de datos personales, que impidieran que en el futuro se repitieran hechos similares, como que informara a esta Agencia en el mismo plazo sobre las medidas adoptadas. Esta Agencia no ha tenido noticias de las medidas adoptadas por la parte reclamada hasta el momento en que se presentaron las alegaciones al Acuerdo de inicio del presente procedimiento sancionador. Además, en el oficio del Defensor del Pueblo aportado, se señala que la información dada por la parte reclamada queda incorporada al expediente de dicha institución, cuya finalización y archivo se producirá tan pronto como esta Agencia les informe sobre la idoneidad de las medidas adoptadas. No se indica que será el Defensor del Pueblo quien informará a esta Agencia, obligación que recae en la parte reclamada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/11 La comunicación de medidas adoptadas durante la instrucción de este procedimiento no afecta a la existencia de los hechos probados constitutivos de infracción. Por lo que se refiere a las medidas comunicadas, por parte de esta Agencia se acusa recibo de las mismas, sin que esta declaración suponga ningún pronunciamiento sobre la regularidad o licitud de las medidas adoptadas. Se advierte sobre lo dispuesto en el artículo 5.2 del RGPD, que establece el principio de responsabilidad proactiva cuando señala que “El responsable del tratamiento será responsable del cumplimiento de lo dispuesto en el artículo 1 y capaz de demostrarlo”. Este principio hace referencia a la obligación que recae en el responsable del tratamiento no solo de diseñar, implementar y observar las medidas jurídicas, técnicas y organizativas adecuadas para que el tratamiento de datos sea acorde con la normativa, sino de permanecer activamente atento a lo largo de todo el ciclo de vida del tratamiento para que ese cumplimiento sea correcto, siendo además capaz de demostrarlo. III Alegaciones a la Propuesta de resolución En respuesta a las alegaciones a la Propuesta de resolución del presente expediente presentadas por la parte reclamada se debe señalar lo siguiente. Respecto al escrito de la Directora de la Agencia Española de Protección de Datos en el que se consideraban insuficientes las medidas acordadas y la posterior comunicación realizada por la parte reclamada sobre la adecuación de las medidas acordadas, cabe señalar que el presente procedimiento sancionador tiene por objeto determinar si la parte reclamada incumplió la Resolución del expediente EXP202105669 al no acreditar ante esta Agencia la implantación de las medidas correctoras ordenadas en la misma, en el plazo dado para su adecuación (y reiterado hasta en dos ocasiones como se señala en los antecedentes, antes de iniciar este procedimiento). La determinación de esta infracción no requiere un pronunciamiento sobre la amplitud de las medidas comunicadas con posterioridad, lo cual se verifica en el marco del expediente EXP202105669 en el que se impusieron dichas medidas, y en el que se emitió el escrito referido. Asimismo, respecto al motivo alegado para justificar la falta de notificación de las medidas implantadas a causa de un error, afirmando que no existe falta de transparencia o de incumplimiento, ni mala fe, cabe señalar que una administración pública debiera disponer de procedimientos establecidos para el cumplimiento de las obligaciones que contempla la normativa de protección de datos, entre ellas, para responder a los requerimientos de la autoridad de control dentro del plazo otorgado para ello, debiendo relacionarse a través de medios electrónicos y asegurando el acceso por el personal autorizado a las notificaciones electrónicas cursadas. Por último, se puntualiza que la propuesta de resolución transcribía en sus Fundamentos de Derecho los artículos que fundamentaban tanto la obligación incumplida por la vulneración del artículo 58.2.
- d)del RGPD, como la tipificación y calificación de la infracción. Por lo tanto, la propuesta de resolución es clara con C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/11 relación al apartado concreto del artículo 52.2 del RGPD infringido y no se cita el apartado
- i)de dicho artículo que infiere la parte reclamada. No obstante, se aclara que, si bien la sanción que pudiera corresponder por los hechos que motivan la incoación del procedimiento y su posible calificación sería de multa administrativa, de acuerdo con el art. 83.7 del RGPD, y lo dispuesto por el art. 77.2 de la LOPDGDD transcritos más adelante, por la categoría del sujeto responsable de la infracción, dicha sanción se sustituye por la declaración de infracción. IV Obligación incumplida De conformidad con las evidencias de las que se dispone, se considera que la parte reclamada ha incumplido la resolución de la Agencia Española de Protección de Datos con relación a las medidas que se le impusieron. Por tanto, los hechos descritos en el apartado de “Hechos probados” se estiman constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 58.2.
- d)del RGPD, que dispone lo siguiente: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” V Tipificación y calificación de la infracción Esta infracción se tipifica en el artículo 83.6 del RGPD, que estipula lo siguiente: “El incumplimiento de las resoluciones de la autoridad de control a tenor del artículo 58, apartado 2, se sancionará de acuerdo con el apartado 2 del presente artículo con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.” A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que califica de muy grave la siguiente conducta: “
- m)El incumplimiento de las resoluciones dictadas por la autoridad de protección de datos competente en ejercicio de los poderes que le confiere el artículo 58.2 del Reglamento (UE) 2016/679.” VI Sanción imputada El artículo 83.7 del RGPD dispone lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/11 “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/11 Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que el DEPARTAMENTO DE EDUCACIÓN, CULTURA Y DEPORTE DEL GOBIERNO DE ARAGÓN, con NIF S5011001D, ha infringido lo dispuesto en el Artículo 58.2 del RGPD, infracción tipificada en el Artículo 83.6 del RGPD. SEGUNDO: NOTIFICAR la presente resolución al DEPARTAMENTO EDUCACIÓN, CULTURA Y DEPORTE DEL GOBIERNO DE ARAGÓN. DE TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-010623 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es