PS-00241-2023

1/12  Expediente N.º: EXP202305967 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 27 de diciembre de 2022, por la Directora de la Agencia Española de Protección de Datos se dictó resolución en el procedimiento sancionador número PS/00441/2021, seguido contra Consejería de Sanidad de la Junta de Comunidades de Castilla-La Mancha (en adelante, la parte reclamada). En dicha resolución, además de sancionar con apercibimiento, se requería la adopción de las siguientes medidas cautelares: “SEGUNDO: Requerir en aplicación de los artículos 90.3 de la LPCAP, y 58. 2.f), del RGPD, a la CONSEJERÍA DE SANIDAD DE LA JUNTA DE COMUNIDADES DE CASTILLA-LA MANCHA, para que en el plazo de diez días, “limite temporal o definitivamente el tratamiento” del sistema de control horario mediante la huella dactilar, en tanto no disponga de una evaluación de impacto de protección de datos del tratamiento válida, que tenga en cuenta los riesgos para los derechos y libertades de los empleados y las medidas y garantías adecuadas para su tratamiento, o incluso si se realizara, precisara efectuar la previsión de consulta que se establece en el artículo 36 del RGPD. Transcurrido el tiempo otorgado, deberá informar a esta AEPD.” SEGUNDO: La resolución del procedimiento sancionador fue notificada fehacientemente en fecha 27 de diciembre de 2022 a la parte reclamada, concediéndole el plazo de diez días para la adopción de las medidas impuestas, tal como consta acreditado en el expediente. TERCERO: Con fecha 2 de enero de 2023 y número de entrada REGAGE23e00000149432, se registra oficio en el que la parte reclamada solicita la suspensión del Resuelvo segundo de dicha resolución sancionadora. Dicha pretensión se tramita como recurso de reposición en virtud del artículo 115.2 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). Además, la parte reclamada interpone recurso de reposición frente a citada resolución, que se registra en esta Agencia el 25 de enero de 2023 con número de entrada REGAGE23e00005078385. Con fecha 26 de enero de 2023, por la Directora de la Agencia Española de Protección de Datos se dictó resolución en el procedimiento RR/00027/2023, por la que se desestima el recurso de reposición interpuesto, consistente en la solicitud de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 suspensión del resuelve segundo de la resolución del procedimiento con número PS/00441/2021. En el Fundamento de derecho III de la resolución del recurso de reposición, se señala lo siguiente: “Dado que la medida impuesta pretende que la resolución administrativa no pierda su eficacia mientras no sea ejecutiva y su objetivo fundamental es que se garanticen los derechos y libertades de los interesados, la continuidad del tratamiento vulneraría gravemente los mismos. Teniendo en cuenta que la recurrente no acredita que se de alguna de las circunstancias señaladas. Considerando que la suspensión hasta la realización de la evaluación de impacto, o si procediera, hasta la consulta de la autoridad que prevé el artículo 36.1 del RGPD, vaciaría de contenido la medida, que busca proteger los derechos y libertades de los interesados con carácter inmediato y en tanto no exista un resultado de dicha evaluación. Estando acreditado además, que la recurrente disponía de posibles alternativas para la misma finalidad del control horario que no serían tan intrusivas como la que fue objeto de la resolución del procedimiento, sin que por tanto los eventuales perjuicios superen el interés del colectivo y bien jurídico protegido de sus empleados, no procede autorizar la suspensión solicitada.” Lo que se notifica a la parte reclamada con fecha 26 de enero de 2023, como acredita el acuse de recibo que obra en el expediente. CUARTO: Con fecha 1 de febrero de 2023 y número de entrada REGAGE23e00006365589, la parte reclamada presenta escrito en el que informa de su intención de interponer recurso contencioso-administrativo y solicita nuevamente la suspensión de la resolución. QUINTO: El 17 de febrero de 2023, la Directora de la Agencia Española de Protección de Datos dicta acuerdo por el que resuelve desestimar la solicitud de suspensión sobre la ejecución de la resolución del procedimiento sancionador con número PS/00441/2021. En el Fundamento de derecho III de dicho acuerdo, se reproduce nuevamente la motivación reflejada en el recurso de reposición para denegar la suspensión. SEXTO: Con fecha 15 de marzo de 2023 y número de entrada REGAGE23e00016344517, se registra de entrada en esta Agencia escrito del Defensor del Pueblo solicitando información sobre las actuaciones llevadas a cabo por la parte reclamada en cumplimiento de la resolución del procedimiento con número PS/00441/2021. SÉPTIMO: Tras el transcurso del plazo dado sin que en esta Agencia se hubiera recibido escrito alguno sobre las medidas implementadas por la parte reclamada, se procedió a requerirles nuevamente para que, en el plazo de diez días hábiles, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 acreditaran ante esta Agencia haber adoptado las medidas correctoras oportunas, en atención a lo acordado en la citada Resolución. Este requerimiento fue recogido por el responsable con fecha 24 de marzo de 2023, como consta en el acuse de recibo que obra en el expediente. OCTAVO: Con fecha 31 de marzo de 2023 y número de entrada REGAGE23e00021618320, en respuesta al requerimiento realizado, la parte reclamada presenta un escrito en el que informa de que con fecha 21 de marzo de 2023 ha interpuesto recurso contencioso-administrativo ante la Audiencia Nacional, solicitándose en el mismo la suspensión de la ejecutividad de la sanción impuesta, lo que acredita con la aportación del recurso contencioso y el justificante de su presentación. Añade que, hasta que el Tribunal se pronuncie sobre la suspensión solicitada, entiende que no resulta procedente el cumplimiento de la Resolución. En este mismo sentido, argumentan, se pronuncia el Tribunal Constitucional, entre otras, en la Sentencia núm. 199/1998, de 13 octubre, Fundamento de Derecho segundo. NOVENO: Con fecha 5 de mayo de 2023, se registra de entrada con número REGAGE23e00028801099, auto de la Audiencia Nacional en el que se acuerda la denegación de la suspensión de la resolución; de la desestimación por silencio administrativo del recurso de reposición de 25 de enero de 2023 frente resolución de 27 de diciembre de 2022, recaída en el procedimiento sancionador número PS/00441/2021, y de la resolución de 17 de febrero de 2023, por la que Agencia deniega la petición de suspensión de la resolución del procedimiento RR/00027/2023 de 26 de enero de 2023, así como de la que trae causa en el procedimiento número PS/00441/2021 de 27 de diciembre de 2022. DÉCIMO: La parte reclamada no ha remitido respuesta alguna a esta Agencia que acredite el cumplimiento de las medidas impuestas. UNDÉCIMO: Contra la citada resolución, en que se requiere la adopción de medidas, no cabe ningún recurso ordinario en vía administrativa. DUODÉCIMO: Con fecha 14 de junio de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 58.2 del RGPD, tipificada en el Artículo 83.6 del RGPD Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). DECIMOTERCERO: El citado acuerdo de inicio fue recogido por la parte reclamada con fecha 16 de junio de 2023, como consta en el acuse de recibo que obra en el expediente. DECIMOCUARTO: Con fecha 29 de junio de 2023 y número de registro de entrada REGAGE23e00042797422, la parte reclamada presenta escrito de alegaciones al acuerdo de inicio en el que manifiesta que si bien la Audiencia Nacional, sin entrar en el fondo del recurso contencioso-administrativo interpuesto, desestima la medida C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 cautelar de solicitud de suspensión, frente a dicho auto cabe recurso de reposición, el cual ha sido interpuesto en tiempo y forma, según se acredita con la Diligencia de Ordenación de la Audiencia Nacional de fecha 12 de mayo de 2023 que aporta. En consecuencia, indica que está pendiente de que la Audiencia Nacional, a la vista del recurso de reposición interpuesto, se pronuncie sobre si concede o no la solicitud de suspensión de la resolución de esta Agencia de fecha 27 de diciembre de 2022. Por ello, entiende precipitado el inicio del presente procedimiento sancionador, siendo más adecuado y prudente, en su opinión, esperar a que la Audiencia Nacional se pronuncie sobre el recurso de reposición interpuesto antes de iniciar un nuevo procedimiento sancionador e, incluso, a que se finalice la evaluación de impacto que se está llevando a cabo. Además, añade, toda vez que el control horario mediante fichaje de huella dactilar lleva implantado en la Delegación Provincial de Sanidad de Guadalajara desde 23 de septiembre de 2016, no cree que vaya a perjudicar a los empleados públicos, ni a nadie, esperar algo más. Asimismo, en el momento de la puesta en marcha del control horario mediante fichaje de huella dactilar, su tratamiento se realizó conforme a la legislación vigente en ese momento, esto es, la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en concreto, conforme al artículo 6 de dicha ley. Así, de acuerdo con dicho precepto: “No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento...”. La parte reclamada también señala que en la sede electrónica de esta Agencia, en el apartado de preguntas frecuentes, a la consulta formulada sobre si los tratamientos iniciados antes del RGPD deben someterse a evaluación de impacto, se contesta: “No, el mandato del RGPD no se extiende a las operaciones de tratamiento que ya estén en curso”, contemplando únicamente la excepción de que se hayan producido cambios en los riesgos que el tratamiento implica en relación con el momento en el que el mismo se puso en marcha, no habiendo existido tales cambios en la Delegación Provincial de Sanidad en Guadalajara. A continuación, argumenta que en ningún momento en la resolución del recurso de reposición RR/00027/2023 se hace mención al recurso de reposición interpuesto en plazo y forma con fecha de 25 de enero de 2023, en el que a lo largo de las 16 páginas se argumenta de contrario frente a la resolución sancionadora del procedimiento con número PS/00441/2021 con lo que, dice, se ha vulnerado, entre otros, el principio de legalidad reconocido en la Constitución Española. Considera totalmente acreditado que la Resolución sancionadora de 27 de diciembre de 2022 es el resultado de un procedimiento sancionador cuya resolución no ha adquirido firmeza en vía administrativa, al no haberse resuelto el recurso de reposición interpuesto frente a la misma. Así, considera que se vulnera lo dispuesto por el artículo 98.1.

1. a)y
2. b)de la LPACAP. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 Añade la parte reclamada que, sin perjuicio de lo anterior, se está realizando una evaluación de impacto sobre el tratamiento de dichos datos con la participación de la Dirección General de Administración Digital y de la Dirección General de Función Pública, ambas pertenecientes a la Consejería de Hacienda y Administraciones Públicas, al ser esta Consejería la que ostenta las competencias en materia de sociedad de la información así como la coordinación de la administración electrónica, además de las competencias en Función Pública (artículo 1 del Decreto 80/2019, de 16 de julio, por el que se establece la estructura orgánica y competencias de la Consejería de Hacienda y Administraciones Públicas). A efectos de justificar que efectivamente dicha evaluación de impacto se está llevando a cabo y está en una fase avanzada, aporta lo que lleva efectuado de dicha evaluación. Indica que la propuesta de informe, que se efectuará desde la Dirección General de Administración Digital (borrador actual de 20 de junio de 2023), está casi finalizada y que posteriormente, a la vista de la propuesta, se elaborará el informe de evaluación por el responsable. Relaciona las actas y reuniones de este año. Por todo lo expuesto, solicita que se proceda al archivo del presente procedimiento. DECIMOQUINTO: Con fecha 24 de julio de 2023 se formuló propuesta de resolución, proponiendo que por la Directora de la Agencia Española de Protección de Datos se declare que la parte reclamada ha infringido lo dispuesto en el Artículo 58.2 del RGPD, infracción tipificada en el Artículo 83.6 del RGPD y se le ordene que, en virtud del artículo 58.2.
3. d)del RGPD, en el plazo de 10 días hábiles, acredite haber procedido a la adopción de las medidas impuestas en la resolución del procedimiento sancionador con número PS/00441/2021. Esta propuesta de resolución fue notificada fehacientemente a la parte reclamada. DECIMOSEXTO: Con fecha 3 de agosto de 2023 y número de registro de entrada REGAGE23e00053029660, la parte reclamada presenta escrito de alegaciones a la Propuesta de resolución. En primer lugar, la parte reclamada manifiesta que durante la tramitación del procedimiento PS/00441/2021 ya se hicieron alegaciones sobre la conformidad de sus tratamientos con la legalidad vigente. En segundo lugar, la parte reclamada considera que la resolución del procedimiento sancionador PS/00441/2021 no debiera considerarse ejecutiva puesto que contra la misma se interpuso el correspondiente recurso de reposición con fecha 25 de enero de 2023 y dicho recurso no ha sido resuelto. Si esta Agencia considera que dicho recurso fue desestimado por silencio administrativo, cabe señalar que la figura del silencio administrativo desestimatorio no deja de ser una ficción legal a los efectos de que los interesados, trascurridos los plazos establecidos por la ley sin que la administración haya cumplido con su obligación de resolver, puedan acudir ante el órgano judicial competente. En este sentido, señala que el Tribunal Constitucional ha declarado en reiteradas ocasiones que la Administración no puede verse beneficiada por el incumplimiento de su obligación de resolver expresamente en plazo solicitudes de los ciudadanos, pues este deber entronca con la cláusula del Estado de Derecho (art. 1.1 CE), así como con los valores que proclaman los arts. 24.1, 103.1 y 106.1 CE (entre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 otras, Sentencia Tribunal Constitucional núm. 220/2003 (Sala Primera), de 15 diciembre). Por otra parte, la parte reclamada insiste en que no se han producido en la Delegación Provincial de Sanidad en Guadalajara cambios en los riesgos que el tratamiento implica en relación con el momento en el que el mismo se puso en marcha que obliguen a una evaluación de impacto, así como en que, en el momento de la puesta en marcha del control horario mediante fichaje de huella dactilar, su tratamiento se realizó conforme a la legislación vigente en ese momento, volviendo a mencionar la respuesta que la AEPD ofrece en su sede electrónica, en el apartado de preguntas frecuentes a la consulta formulada sobre si los tratamientos iniciados antes del RGPD deben someterse a evaluación de impacto. Lo expuesto, en opinión de la parte reclamada, sería suficiente para haber inadmitido en su día la reclamación formulada o al menos proceder al archivo del presente procedimiento sancionador, máxime cuando se ha acreditado que se está a punto de finalizar la evaluación de impacto. Finalmente, la parte reclamada solicita que se proceda a declarar la inexistencia de infracción y al archivo del presente procedimiento. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento, se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO: La resolución de 27 de diciembre de 2022 del procedimiento sancionador y el requerimiento para el cumplimiento de las medidas impuestas en la misma indicados en los antecedentes primero, segundo y séptimo fueron notificados electrónicamente, con arreglo a lo dispuesto en el artículo 43 de la LPACAP. Contra dicha resolución no cabe ningún recurso en vía administrativa tras la resolución del procedimiento RR/00027/2023 de fecha 26 de enero de 2023, por la que se desestima el recurso de reposición interpuesto, y la interposición de recurso contencioso administrativo contra dicha resolución del recurso de reposición RR/00027/2023, la desestimación por silencio administrativo del recurso de reposición de 25 de enero de 2023, y el acuerdo de 17 de febrero de 2023 por el que se deniega la petición de suspensión. SEGUNDO: En ningún momento ha sido suspendida la ejecutividad de la medida cautelar ordenada en el apartado segundo de la resolución de 27 de diciembre de 2022, que por tanto resulta plenamente exigible desde la finalización del plazo concedido para su implantación. Ello deviene de lo reflejado en el antecedente tercero (desestimación del recurso de reposición en lo referente a la imposición de la medida cautelar), quinto (desestimación de la solicitud de suspensión sobre la ejecución de la resolución por la intención del sancionado de interponer recurso contencioso administrativo) y noveno (auto de la Audiencia Nacional por el que se desestima la suspensión cautelar solicitada por el recurrente). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 TERCERO: La parte reclamada no ha remitido respuesta alguna a esta Agencia que acredite el cumplimiento de las medidas impuestas. CUARTO: La notificación del acuerdo de inicio del presente procedimiento sancionador fue recogida por la parte reclamada con fecha 16 de junio de 2023. QUINTO: La parte reclamada ha presentado alegaciones al acuerdo de inicio de este procedimiento sancionador recogidas en el antecedente decimocuarto. SEXTO: La notificación de la propuesta de resolución del presente procedimiento sancionador fue recogida por la parte reclamada el 24 de julio de 2023. SÉPTIMO: La parte reclamada ha presentado alegaciones a la propuesta de resolución de este procedimiento sancionador recogidas en el antecedente decimosexto. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por la entidad reclamada se debe señalar lo siguiente. Respecto a la interposición del recurso de reposición contra el auto de la Audiencia Nacional que desestima la medida cautelar de solicitud de suspensión, cabe señalar que en ningún momento se ha suspendido la ejecución de la resolución del procedimiento sancionador número PS/00441/2021. La suspensión cautelar del art. 90.3 de la LPACAP no sólo no es automática, sino que es potestativa para la Administración, tal como se argumentó en el acuerdo de fecha 17 de febrero de 2023, mencionado anteriormente, y que reproduce parte de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 fundamentos de la Sentencia 355/2022 de 16 Mar. 2022, Rec. 677/2021 del Tribunal Superior de Justicia de Castilla y León de Valladolid, Sala de lo Contenciosoadministrativo, Sección 1ª. Por tanto, si la Administración no suspende cautelarmente la resolución, esta es ejecutiva sine die, a no ser que, solicitada judicialmente, así lo acuerde el órgano judicial. Debe tenerse en cuenta que la medida impuesta busca proteger los derechos y libertades de los interesados con carácter inmediato y que está acreditado, además, que la parte reclamada disponía de posibles alternativas para la misma finalidad del control horario menos intrusivas. Argumenta por otra parte que, en el momento de la puesta en marcha del control horario mediante fichaje de huella dactilar, su tratamiento se realizó conforme a la legislación vigente en ese momento y que el mandato del RGPD no se extiende a las operaciones de tratamiento anteriores a dicho Reglamento, contemplando únicamente la excepción de que se hayan producido cambios en los riesgos que el tratamiento implica en relación con el momento en el que el mismo se puso en marcha. Al respecto cabe señalar que el presente procedimiento sancionador se inicia por el incumplimiento de la medida ordenada en la resolución del procedimiento PS/00441/2021, medida que como ya se ha argumentado es plenamente ejecutiva. Cualesquiera alegaciones sobre la conformidad de sus tratamientos con la legalidad vigente pudieron y debieron haberse presentado durante la tramitación de dicho procedimiento. Respecto a la afirmación de que en ningún momento en la resolución del RR/00027/2023 se hace mención al escrito de interposición del recurso de reposición de 25 de enero de 2023, se indica nuevamente que la medida incumplida es plenamente ejecutiva, puesto que se denegó su suspensión, y asimismo se resolvió su impugnación en la resolución del RR/00027/2023, de 26 de enero de 2023. Dicha resolución del recurso de reposición RR/00027/2023 es firme, y contra ella no cabe ningún recurso en vía administrativa. A mayor abundamiento, la falta de respuesta que afirma la reclamada con respecto al recurso de 25 de enero, determina la desestimación por silencio por el transcurso de los plazos legalmente previstos, y la habilitación para acudir a la vía judicial, como así ha hecho la reclamada presentando el correspondiente recurso contencioso administrativo. Por último, sobre la indicación de que se está realizando una evaluación de impacto que está en una fase avanzada, se recuerda que en la resolución del procedimiento sancionador PS/00441/2021 se imponía el “límite temporal o definitivo” del tratamiento de los datos de los empleados de la parte reclamada para el control horario mediante el uso de la huella dactilar en tanto no dispusiera de una evaluación de impacto de protección de datos del tratamiento válida, que tenga en cuenta los riesgos para los derechos y libertades de los empleados y las medidas y garantías adecuadas para su tratamiento, o incluso si se realizara, precisara efectuar la previsión de consulta que se establece en el artículo 36 del RGPD. Con la reiterada petición de suspender su cumplimiento hasta que no finalice la evaluación de impacto, está pretendiendo de hecho vaciar de contenido dicha medida cautelar, que busca precisamente que se garanticen los derechos y libertades de los interesados de forma inmediata y en tanto no exista un resultado de dicha evaluación. Por tanto, dicha alegación refleja una vez C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 más una manifiesta voluntad de incumplir lo contenido en dicha medida cautelar, incluida en una resolución dictada el 27 de diciembre de 2022 con un plazo de cumplimiento de diez días, y cuya ejecutividad en ningún momento ha sido suspendida. III Alegaciones a la Propuesta de resolución En respuesta a las alegaciones a la Propuesta de resolución del presente expediente presentadas por la parte reclamada se debe señalar lo siguiente. Las alegaciones presentadas contra la Propuesta de resolución de este expediente reproducen en su mayoría los mismos argumentos esgrimidos contra el Acuerdo de inicio y, por tanto, ya han sido rebatidos por esta Agencia en el anterior Fundamento de Derecho, no correspondiendo responder en el presente procedimiento sancionador a las alegaciones relativas al objeto del procedimiento sancionador PS/00441/2021, remitiendo asimismo a lo ya contestado respecto a que la resolución de dicho procedimiento sancionador no debiera considerarse ejecutiva, ni procede por tanto el archivo solicitado del presente procedimiento. IV Obligación incumplida De conformidad con las evidencias de las que se dispone, se considera que la parte reclamada ha incumplido la resolución de la Agencia Española de Protección de Datos con relación a las medidas que se le impusieron. Por tanto, los hechos descritos en el apartado de “Hechos probados” se estiman constitutivos de una infracción, imputable a la parte reclamada, por vulneración del artículo 58.2.
4. d)del RGPD, que dispone lo siguiente: “2. Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…)
5. d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” V Tipificación y calificación de la infracción Esta infracción se tipifica en el artículo 83.6 del RGPD, que estipula lo siguiente: “El incumplimiento de las resoluciones de la autoridad de control a tenor del artículo 58, apartado 2, se sancionará de acuerdo con el apartado 2 del presente artículo con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12 A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que califica de muy grave la siguiente conducta: “
6. m)El incumplimiento de las resoluciones dictadas por la autoridad de protección de datos competente en ejercicio de los poderes que le confiere el artículo 58.2 del Reglamento (UE) 2016/679.” VI Sanción imputada El artículo 83.7 del RGPD dispone lo siguiente: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
7. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” VII Adopción de medidas Esta Agencia acuerda imponer al responsable la adopción de medidas adecuadas para ajustar su actuación a la normativa mencionada en este acto, de acuerdo con lo establecido en el citado artículo 58.2
8. d)del RGPD, según el cual cada autoridad de control podrá “ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado…”. Se advierte que no atender la orden de adopción de medidas impuestas por este organismo en la resolución sancionadora puede ser considerado como una infracción administrativa conforme a lo dispuesto en el RGPD, tipificada como infracción en su artículo 83.6, pudiendo motivar tal conducta la apertura de un ulterior procedimiento administrativo sancionador. Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la CONSEJERIA DE SANIDAD DE LA JUNTA DE COMUNIDADES DE CASTILLA LA MANCHA, con NIF S1911001D, ha infringido lo dispuesto en el Artículo 58.2 del RGPD, infracción tipificada en el Artículo 83.6 del RGPD. SEGUNDO: ORDENAR a la CONSEJERIA DE SANIDAD DE LA JUNTA DE COMUNIDADES DE CASTILLA LA MANCHA, con NIF S1911001D, que en virtud del artículo 58.2.
9. d)del RGPD, en el plazo de 10 días hábiles, acredite haber procedido a la adopción de las medidas impuestas en la resolución del procedimiento sancionador con número PS/00441/2021. TERCERO: NOTIFICAR la presente resolución a CONSEJERIA DE SANIDAD DE LA JUNTA DE COMUNIDADES DE CASTILLA LA MANCHA. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
10. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-010623 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es