1/20 Expediente Nº: EXP202104456 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 11 de agosto de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a FECAM-( FED. DEP. PARA PERSONAS CON DISCAPACIDAD INTELECTUAL DE CASTILLA LA MANCHA) (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Expediente N.º: EXP202104456 ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos y en base a los siguientes HECHOS PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 24/10/2021 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra FEDERACIÓN DE DEPORTES PARA PERSONAS CON DISCAPACIDAD INTELECTUAL DE CASTILLA LA MANCHA-FECAM con NIF G45351236 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: La reclamante manifiesta que la entidad reclamada solicita datos médicos de participantes en sus competiciones, vinculados a la realización de test de antígenos para detectar situaciones de Covid-19, sin mediar un consentimiento previo, sin informar sobre el plazo de conservación de datos y sin designar un Delegado de Protección de Datos. Aporta impresión de pantalla de dicha Federación, “medidas de prevención en la competición” en la que se indica que “será obligatoria” la realización de un test de antígenos previa a la participación de todos los inscritos en cualquier campeonato a realizar en las 48 horas anteriores a la celebración. Este test se realizará en la localidad de origen y será facilitado por FECAM. El Club se tendrá que encargar de que un médico o enfermero colegiado realice el test a todos los inscritos y certifique el resultado por escrito, que se tendrá que enviar a FECAM por email en un modelo concreto. En caso de que algún inscrito dé positivo en el test de antígenos previo al campeonato, desde FECAM se devolverá la cantidad correspondiente a su inscripción de modo que esta situación no suponga ningún coste para él” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/20 SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 28/11/2021 como consta en el certificado que obra en el expediente. Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, a título informativo se envió una copia por correo postal el 13/12/2021 que fue devuelta por ausente en reparto, reiterando y siendo entregada el 12/01/2022. TERCERO: Con fecha 24/01/2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Con fecha 16/03/2022, la reclamada manifiesta: -La reclamada en todo momento informa y recaba el consentimiento para el tratamiento de los datos personales de los deportistas adscritos a la FECAM. Esta información del tratamiento de sus datos personales se realiza a través de ficha, que es cumplimentada y firmada por los deportistas, y remitida a FECAM. Aporta copia del escrito que se cumplimenta cuando se solicita el alta en la Federación para ser titular de la licencia de la Federación, en este caso un federado de 12/02/2021, con el nombre del Club Deportivo. No se contiene extremo alguno sobre el tratamiento concreto de datos de salud, prueba COVID para competiciones. Si se contiene un apartado que indica: “autorizo como titular de la licencia a que la Federación de Deportes para personas con discapacidad intelectual de Castilla la Mancha trate mis datos de salud con la finalidad de gestionar el control médico y psicológico para ayuda del gimnasta. Los datos se entenderá que serán utilizados cuando el federado entre en un nivel de pruebas, acceso e incorporación a la alta competición”.” En caso afirmativo marque el recuadro”. -Se adjunta como documento núm.3 , capturas de pantalla de su página web en la que se localiza en la botonera superior de la página web un apartado específico relativo a COVID19 y captura de pantalla de dicha subpágina, en la que se encuentra accesible para su descarga archivo en formato PDF del “PROTOCOLO ADOPTADO FRENTE AL COVID-19” por FECAM y “modelo de certificado para competiciones” que debe ser cumplimentado por cada Club participante en las competiciones deportivas organizadas por FECAM.” En el Protocolo figura: “8. Funciones y responsabilidades Dada la evolución de la pandemia de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/20 Covid-19, se recomienda la realización (48 horas antes del inicio de la competición) de una prueba específica Covid-19, cuya finalidad será conocer la situación de los deportistas y miembros de los equipos técnicos inscritos, y la eventual detección temprana de posibles positivos o brotes. Aspectos como el tipo de prueba a realizar, su financiación, la evaluación de su utilidad y si se debe realizar más veces con posterioridad, serán determinados con criterios sanitarios, en el marco de los mecanismos existentes de coordinación con las CCAA. Estos analizarán la evolución de los contagios. - En virtud de la situación de pandemia por la COVID 19, FECAM, siguiendo las directrices fijadas por el “PROTOCOLO DE ACTUACIÓN PARA LA VUELTA DE COMPETICIONES OFICIALES DE ÁMBITO ESTATAL Y CARÁCTER NO PROFESIONAL (TEMPORADA 2020-2021)” dictado y publicado por el CONSEJO SUPERIOR DE DEPORTES (CSD) (copia en documento 4) y suscrito según la portada, por: “todas las Comunidades Autónomas, Federación Española de Municipios y Provincias, Federaciones Deportivas Españolas, Asociación del Deporte Español, Comité Paralímpico Español, Comité Olímpico Español y otros interlocutores del deporte y organizadores de competiciones integrados en el Grupo de Tareas para el Impulso del Deporte del CSD”, resulta justificada la solicitud de información a los deportistas que se inscriben en las competiciones. Dicho Protocolo establece en su apartado 8, relativo a “Reconocimientos médicos previos a toda competición” (página 10 del citado Protocolo) lo siguiente: -“8. Reconocimientos médicos previos a la competición. Dada la evolución de la pandemia de COVID 19, el CSD recomienda que en todas las competiciones, organizadas por las FFDDEE (sin perjuicio de trasladar esta recomendación al resto de organizadores) al iniciar los entrenamientos pretemporada o en su defecto 72 horas antes del inicio de las competiciones, se realice una prueba específica COVID 19, cuya finalidad será conocer la situación de los deportistas y miembros de los equipos técnicos inscritos, y la eventual detección temprana de posibles positivos o brotes Aspectos como el tipo de prueba a realizar, su financiación, la evaluación de su utilidad y si se debe realizar más veces con posterioridad (incluido a través de un mecanismo de pruebas aleatorias no anunciadas) serán determinados con criterios sanitarios, en el marco de los mecanismos existentes de coordinación con las CCAA. Estos analizarán la evolución de los contagios en estas competiciones deportivas de forma regular”. - Manifiesta la reclamada que “Conforme a la normativa estatal dictada por el Ministerio de Sanidad y por las propias Comunidades Autónomas sobre medidas de prevención y control necesarias para hacer frente a la crisis sanitaria ocasionada por la COVID-19, la FECAM ha de disponer de un Protocolo Sanitario en el que se identifiquen las actuaciones preventivas y las situaciones potenciales de contagio, atendiendo a las directrices reconocidas por las autoridades sanitarias, y en el que se establezcan las medidas de tratamiento de riesgo de contagio adaptadas a cada situación particular. Conforme a las normas y recomendaciones emanadas de las autoridades competentes, la FECAM, mediante declaración responsable, se obliga al cumplimiento del protocolo sanitario y de prevención frente a COVID-19 en sus competiciones y entrenamientos”. Se adjunta como documento 5 el “PROTOCOLO DE PREVENCIÓN COVID-19 PARA C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/20 ENTRENAMIENTOS Y COMPETICIONES PARA EL AÑO 2021” que establece que para la participación en el Campeonato, es obligatorio que los participantes se inscriban oficialmente en la web de FECAM, www.fecamclm.es, la firma de “un documento de aceptación de condiciones de participación, obligación de información y consentimiento informado para participar en las actividades. … 8. Será obligatoria la realización de un test de antígenos previa a la participación de todos los inscritos en cualquier campeonato, a realizar en las 48 h anteriores a la celebración. Este test se realizará en la localidad de origen y será facilitado por FECAM. El Club se tendrá que encargar de que un médico/a o enfermero/a colegiado realice el test a todos los inscritos y certifique el resultado por escrito, que se tendrá que enviar a FECAM por email en un modelo concreto. Manifiesta que: “Es por ello por lo que todos los clubs y deportistas adscritos a ellos que se han inscrito a las Competiciones y Campeonatos organizados por FECAM han realizado dichos trámites, han sido informados y han prestado su consentimiento informado, a través de la aceptación de las normas y protocolos sanitarios adoptados, tanto por la FECAM como por las autoridades competentes en materia de salud pública.” “Este consentimiento informado se ha obtenido mediante la aceptación del Protocolo y mediante la cumplimentación voluntaria de los Deportistas y Clubs inscritos de aceptación de las normas de participación y la remisión de los siguientes documentos a FECAM: - Formulario de Localización de Personal - Certificado de Responsable del Club. - Declaración responsable individual. - Certificado de Prueba Test de Antígenos Covid-19” “El Club se tendrá que encargar de que un médico/a o enfermero/a colegiado realice el test a todos los inscritos y certifique el resultado por escrito, que se tendrá que enviar a FECAM por email en un modelo concreto. De esta manera, la información recepcionada por FECAM relativa a pruebas de test de antígenos previa a la competición ha sido realizada: Primero.- Por los servicios médicos de los clubs, quienes nuevamente han informado a todos los deportistas adscritos a los citados clubes de la necesidad de realización de dichos test, de acuerdo no solo al Protocolo adoptado por FECAM sino conforme a sus propios protocolos sanitarios adoptados y a las normas y recomendaciones fijadas por las autoridades sanitarias competentes en la materia y, muy concretamente, las recomendaciones adoptadas por el Consejo Superior de Deportes, el Ministerio de Sanidad y la Consejería de Sanidad de la Junta de Comunidades de Castilla La Mancha. Segundo.- Han recabado el consentimiento del deportista adscrito a su Club y que se inscribe en los campeonatos organizados por FECAM conforme al Protocolo de FECAM, las normas y protocolos sanitarios adoptados por los propios Clubes, la ley 41/2002, de 14/11, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica y conforme a la normativa vigente de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/20 protección de datos de carácter personal, fijada tanto por el Reglamento UE 2016/679, de 27/04l, General de Protección de Datos como por la Ley Orgánica 3/2018, de 5/12, de Protección de Datos de Carácter Personal y Garantía de los Derechos Digitales.” -En cuanto a la reclamación por la recogida y tratamiento de datos sin especificar el plazo de conservación de los datos, señala que los datos recogidos con el DNI, nombre y apellidos y negativo/positivo en las pruebas efectuadas por el Club, de los deportistas que van a participar en las competiciones, son remitidos por el medico a FECAM a través de correo electrónico a una dirección que señala, siguiendo las siguientes pautas: “1º.- Recepción de correos electrónicos de los clubes. 2º.- Validación de la información: verificación que el certificado viene suscrito por parte del Club emisor. 3º.- Incorporación a la lista definitiva de deportistas inscritos del club aquellos que presentan un resultado negativo, facilitado por el club de origen. 4º.- Borrado seguro del correo electrónico recibido de la carpeta de elementos recibidos y del servidor de correo de FECAM.” - “La FECAM había designado a D. …, de manera interna, para que desarrolle las funciones de Delegado de Protección de Datos conforme a las competencias y funciones que se establecen en el artículo 39 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD). Por parte de FECAM no se había procedido a notificar a la Autoridad Competente dicho nombramiento al no encontrarse FECAM dentro de la relación de entidades que deben proceder al nombramiento de un Delegado de Protección de Datos conforme a lo dispuesto en el artículo 34.1 de la Ley Orgánica 3/2018, ni al realizarse un tratamiento de datos a gran escala de datos especialmente protegidos recogidos en el artículo 9 del RGPD. Como medida correctiva, se ha procedido a la notificación a la Agencia Española de Protección de Datos del nombramiento del Delegado de Protección de Datos de FECAM y a la incorporación de los datos de contacto del Delegado de Protección de Datos en la política de privacidad localizada en la url https://www.fecamclm.es/politica-de-privacidad. Asimismo, se está procediendo por FECAM a la incorporación de dichos datos de contacto del Delegado de Protección de Datos en todas las cláusulas y leyendas de información de recogida de datos de carácter personal utilizadas en los diferentes tratamientos de datos realizados por FECAM.” Aporta copia de documento de consulta en la página de la AEPD del DPD, a 14/03/2022, figurando la reclamada, y sus datos como entidad, así como “datos de contacto del DPD”, un e mail, sin nominación de persona o entidad que realiza las funciones. En su web, de la que aporta impresión de pantalla, solo figura: “datos de contacto del Delegado”, sin la denominación completa, “de Protección de Datos”, y el e mail. - “Medidas que ha adoptado FECAM en relación a las solicitudes de información recibidas de deportistas de clubs en relación a la no realización de pruebas de antígenos necesarias para la participación en campeonatos”. “La reclamada ha recibido una solicitud de oposición a la necesidad de la realización de pruebas de antígenos por parte de un entrenador federado en todo el ejercicio 2021, y ha procedido a dar cumplida respuesta a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/20 la misma de acuerdo a los procedimientos implementados por FECAM para atender tales solicitudes.” Se adjunta como DOCUMENTO núm. 6 al presente escrito la solicitud recibida, de fecha de 9/11/2021, anonimizando los datos del solicitante y relación de las respuestas dadas al solicitante. Se procedió a dar respuesta de la misma a través de un correo electrónico inicial y una llamada directa del Presidente de FECAM al entrenador para informarle de la necesidad de realizarse dicha prueba de antígenos, como se habían realizado por parte de todos los deportistas adscritos a clubes participantes en el campeonato organizado por FECAM, entendiéndose por dicho entrenador que esta realización de una prueba de antígenos no estaba destinada a generar un riesgo para el entrenador, sino para la protección de la salud de todos los deportistas, indicándole asimismo que, en caso de no realizarse voluntariamente dicha prueba, la única consecuencia que sería adoptada por parte de FECAM es la no inscripción del entrenador a dicha competición. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II El artículo 4 del RGPD define: “A efectos del presente Reglamento se entenderá por: 1) datos personales: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) tratamiento: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/20 o destrucción; 15) datos relativos a la salud: datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud;” Además, para una comprensión cabal del concepto de dato de salud, hay que acudir para su interpretación a las normas internacionales, según especifica el artículo 10 de la Constitución Española. La Organización Mundial de la Salud en su Carta Magna definió el término la "salud" como "el estado de completo bienestar físico, mental o social, y no solamente la ausencia de afecciones o enfermedades". Es el apartado 45 de la Memoria Explicativa del Convenio 108 del Consejo de Europa, el que indica que su concepto abarca "las informaciones concernientes a la salud pasada, presente y futura, física o mental, de un individuo", "pudiendo tratarse de informaciones sobre un individuo de buena salud, enfermo o fallecido", añadiendo que "debe entenderse que estos datos comprenden igualmente las informaciones relativas al abuso del alcohol o al consumo de drogas". Se trata de un concepto amplio, según la sentencia del Tribunal de Justicia de las Comunidades Europeas, Sala Pleno, de 6/11/2003, asunto C-101/2001 (Caso Lindqvist), en la que se razona que la indicación, en una pagina web de Internet, de que una persona se ha lesionado un pie y está en situación de baja parcial constituye un dato personal relativo a la salud en el sentido del artículo 8, apartado 1 de la Directiva. Es decir, según el citado Tri bunal, la expresión datos relativos a la salud, empleada por la Directiva 95/46 /CE, debe ser interpretada de forma amplia, que comprenda la información relativa a los aspectos físicos y psíquicos de la salud de una persona. Los deportistas que pertenecen a la FECAM han dado sus datos para pertenecer a la misma cuyas normas aceptan, y cumplimentan por tal pertenencia al inicio de su incorporación mediante los formularios-ficha declarando datos referidos a su salud, al menos así se deduce de la primera parte, pero la finalidad de la recogida y el contenido de esos datos es distinta y de distinto carácter de la recogida que se hace on ocasión de la vuelta a las competiciones en el curso del COVID 19, que es un supuesto especifico aplicable a cada competición y sin cuya practica y previa inscripción previa no se puede participar, siguiendo, según manifiesta la reclamada, el protocolo del CSD, que recomienda, no obliga, permaneciendo los requisitos de necesidad y proporcionalidad de instauración del tratamiento conforme a los requisitos legales de obtención de dicho consentimiento que habría de ser según define el artículo 4.11 del RGPD: “toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen; En la situación de crisis sanitaria ocasionada por la COVID19, el reclamado adopta las medidas encaminadas a prevenir nuevos contagios de COVID-19, bajo sus instrucciones. Considerando que las medidas deben aplicarse atendiendo a los criterios definidos por las autoridades sanitarias que son las que definen las medidas generales de prevención e higiene, se ha de analizar si a los deportistas, por el hecho de aceptar estar Federados les C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/20 resulta exigible de modo obligatorio por dichas circunstancias, y para participar en la competición, someterse a una prueba que trata datos de salud por parte de la FECAM, al amparo del consentimiento como medio de recoger datos de salud, entendiendo que si no se somete a dicha prueba de detección diagnóstica, es decir si no da el consentimiento y se realiza la prueba de antígenos, no podría participar en la competición. El artículo 3 de la Ley Orgánica 3/1986, de 14/04, de Medidas Especiales en materia de Salud Pública, es una norma de cobertura de las medidas sanitarias que comporten alguna restricción de derechos fundamentales, en concreto, cuando dispone que "con el fin de controlar las enfermedades transmisibles, la autoridad sanitaria, además de realizar las acciones preventivas generales, podrá adoptar las medidas oportunas para el control de los enfermos, de las personas que estén o hayan estado en contacto con los mismos y del medio ambiente inmediato, así como las que se consideren necesarias en caso de riesgo de carácter transmisible". A los tratamientos de datos personales en situaciones de emergencia sanitaria, le siguen siendo aplicables la normativa de protección de datos personales (RGPD y LOPDGDD), por lo que se aplican todos sus principios, contenidos en el artículo 5 del RGPD, y entre ellos el de tratamiento de los datos personales con licitud, lealtad y transparencia, de limitación de la finalidad, principio de limitación del plazo de conservación, y por supuesto, y hay que hacer especial hincapié en ello, el principio de minimización de datos. La declaración del estado de alarma mediante Real Decreto 463/2020, de 14/03, por la que se declara el estado de alarma para la gestión de la situación de crisis sanitaria ocasionada por el COVID-19 en todo el territorio nacional, ha supuesto la centralización de la adopción de las medidas en él previstas en una única autoridad competente a estos efectos, esto es, en el Gobierno de la nación y, bajo la superior dirección del Presidente del Gobierno, en las autoridades competentes delegadas (la Ministra de Defensa, el Ministro del Interior, el Ministro de Transportes, Movilidad y Agenda Urbana y el Ministro de Sanidad), en sus respectivas áreas de responsabilidad, tal y como refiere el artículo 4 del citado Real Decreto, y desde su entrada en vigor el mismo 14/03/2020, conforme a su Disposición final tercera. De conformidad con el artículo 6 del citado Real Decreto, cada Administración conservará las competencias que le otorga la legislación vigente en la gestión ordinaria de sus servicios para adoptar las medidas que estime necesarias, en el marco de las órdenes directas de la autoridad competente. La Orden SND/344/2020, de 13/04, por la que se establecen medidas excepcionales para el refuerzo del Sistema Nacional de Salud y la contención de la crisis sanitaria ocasionada por el COVID-19, acuerda tanto la puesta a disposición de la autoridad sanitaria de cada Comunidad Autónoma de todos aquellos centros, servicios y establecimientos sanitarios de diagnóstico clínico de titularidad privada ubicados en ellas, como el sometimiento de la realización de pruebas diagnósticas para la detección del COVID-19 a las directrices, instrucciones y criterios acordados al efecto por la autoridad sanitaria autonómica, El fundamento Segundo de la citada Orden, determina: “Requisitos para la realización de pruebas diagnósticas para la detección del COVID-19.”:La indicación para la realización de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/20 pruebas diagnósticas para la detección del COVID-19 deberá ser prescrita por un facultativo de acuerdo con las directrices, instrucciones y criterios acordados al efecto por la autoridad sanitaria competente.” “Tal y como se indica en el preámbulo de esa norma, se trata con ello de limitar la realización de las pruebas diagnósticas para la detección del COVID-19 a aquellos casos en los que exista una prescripción previa por un facultativo y se ajusten a criterios establecidos por la autoridad sanitaria competente, sometiendo de esta forma el régimen de realización de esta clase de pruebas a la previa existencia de criterios médicos que aconsejen su realización.” III El RGPD establece un concepto muy amplio de los datos de salud, y le otorga un régimen específico, el correspondiente a las denominadas “categorías especiales de datos” a que se refiere el artículo 9 del texto normativo. El RGPD y la LOPDGDD legitiman el tratamiento de datos de salud, o salva la prohibición del tratamiento de los datos de salud de los afectados, en algunos de los mencionados supuestos, añadiéndose, que además, como cualquier tratamiento, ha de ajustarse a una base jurídica legitimadora que establece el artículo 6.1 del RGPD, y cumplir los principios generales establecidos en el artículo 5 del citado RGPD. Este artículo 9 RGPD, tras establecer en su apartado 1 una prohibición general para el tratamiento de estos datos, contempla, su apartado 2, una serie de excepciones en las que el tratamiento de los datos es posible, cuando concurra una de las circunstancias siguientes, (se refieren solo las que tienen alguna relación con el caso). “
- a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado; […]”
- c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
- g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
- i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/20 medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional” Por su parte la LOPDGGD, dedica su disposición adicional decimoséptima a los tratamientos de datos de salud, en los siguientes términos: “Disposición adicional decimoséptima. Tratamientos de datos de salud. 1. Se encuentran amparados en las letras g), h),
- i)y
- j)del artículo 9.2 del Reglamento (UE) 2016/679 los tratamientos de datos relacionados con la salud y de datos genéticos que estén regulados en las siguientes leyes y sus disposiciones de desarrollo:
- a)La Ley 14/1986, de 25 de abril, General de Sanidad.
- b)La Ley 31/1995, de 8 de noviembre, de Prevención de Riesgos Laborales.
- c)La Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica.
- d)La Ley 16/2003, de 28 de mayo, de cohesión y calidad del Sistema Nacional de Salud.
- e)La Ley 44/2003, de 21 de noviembre, de ordenación de las profesiones sanitarias.
- f)La Ley 14/2007, de 3 de julio, de Investigación biomédica.
- g)La Ley 33/2011, de 4 de octubre, General de Salud Pública.
- h)La Ley 20/2015, de 14 de julio, de ordenación, supervisión y solvencia de las entidades aseguradoras y reaseguradoras.
- i)El texto refundido de la Ley de garantías y uso racional de los medicamentos y productos sanitarios, aprobado por Real Decreto Legislativo 1/2015, de 24 de julio.
- j)El texto refundido de la Ley General de derechos de las personas con discapacidad y de su inclusión social, aprobado por Real Decreto Legislativo 1/2013 de 29 de noviembre.” En el presente caso, las normas recogidas en los protocolos del CSD recomiendan y la FECAM , en las normas dictadas para la vuelta a la competición, y en el protocolo que lo desarrolla, impone “al deportista como imperativo” la obligación de que se “aportará”, una declaración responsable y le obliga a registrar y enviar los datos a través de los Clubes, produciéndose tratamientos de datos de salud en cuanto se recogen, se envían y se almacenan. Además de que la reclamada no ha aportado ningún consentimiento explícito de algún deportista con la información sobre lo que se consiente, y sus garantías, aduciendo que trataría los datos, primero, basándose en la ficha que cumplimentan para pertenecer a la federación, se debe indicar que en esa ficha no se contempla la finalidad especifica, , ni la posibilidad de retirarlo, no pudiendo calificarse de “consentimiento libre”, cuando no hay alternativa, y el deportista se quedaría sin competir. El consentimiento únicamente puede ser válido si el interesado puede elegir una opción real y no hay ningún riesgo de engaño, intimidación, coerción o consecuencias negativas significativas en caso de que no consienta. Si las consecuencias del consentimiento socavan la libertad de elección de la persona, el consentimiento no es libre. Tampoco se puede acreditar que por el hecho de inscribirse en la competición, el deportista “ha sido informado, y ha prestado su consentimiento informado, a través de la aceptación de las normas y protocolos sanitarios adoptados”, dado que además, la prestación del consentimiento en este caso es “explicita”, requiriéndose algún tipo de acción, una clara acción afirmativa, ni se detallan las consecuencias de la negativa a dar ese consentimiento. La decisión por la que una persona acepta una operación de tratamiento de datos debe estar sujeta a requisitos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/20 estrictos, teniendo en cuenta que dicha decisión puede implicar la renuncia a un derecho fundamental La cumplimentación de declaración responsable en cuanto a que no se tiene la enfermedad, así como la realización de la prueba de detección necesaria para participar en las competiciones, aparece impuesta por la Federación, que no cumple el requisito que alega como excepción al tratamiento de datos de salud, considerándose que infringe el artículo 9.2.) del RGPD. IV El artículo 6.1 del RGPD, establece los supuestos que permiten considerar lícito el tratamiento de datos personales. 1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
- a)el interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;
- b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales;
- c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
- d)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física;
- e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
- f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño. Lo dispuesto en la letra
- f)del párrafo primero no será de aplicación al tratamiento realizado por las autoridades públicas en el ejercicio de sus funciones La pertenencia de personas a la Federación reclamada, presupone en su régimen normal, que sus datos pueden ser tratados con la finalidad de su relación asociativa, con el fin de la promoción y extensión de la actividad deportiva ordinaria, finalidad que marca el tratamiento de esos datos, pudiendo tratar los datos en esos supuestos, que no son los que aquí se analizan, que postulan como medida obligatoria para participar en las competiciones, en cada una de ellas, la de someterse y aportar una prueba de detección diagnostica como medidas de salud COVID-19. Es decir, sobre la pertenencia asociativa del colectivo, la federación trata los datos de los mismos, estimándose que esta podría ser una primera base legitimadora del grupo común al que pertenecen, con un marco legal C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/20 para llevar a cabo el cumplimiento de lo legalmente establecido que procede del Plan de desconfinamiento. V Por otro lado, se desprende que la reclamada considerada en este caso una finalidad especifica relacionada con la COVID 19, no ha acreditado que informe de los extremos que debe contener la recogida de datos en este supuesto, pudiendo infringir el artículo 13 del RGPD que indica: “1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
- a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
- b)los datos de contacto del delegado de protección de datos, en su caso;
- c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
- d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
- e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
- f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
- a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
- b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
- c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
- d)el derecho a presentar una reclamación ante una autoridad de control;
- e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/20 los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
- f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3.Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4.Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información” VI De conformidad con las evidencias de las que se dispone en el presente acto de trámite de acuerdo de inicio de procedimiento sancionador, y sin perjuicio de lo que resulte de la instrucción, se considera que los hechos expuestos podrían vulnerar lo dispuesto en los artículos: 9.2
- a), y 13 del RGPD, con el alcance expresado en los Fundamentos de Derecho anteriores, lo que, de confirmarse, podría suponer la comisión de las infracciones tipificadas en el artículo 83 apartado 5.
- a)y
- b)del RGPD que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
- a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9;
- b)los derechos de los interesados a tenor de los artículos 12 a 22.” A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, el artículo 72 de la LOPDGDD indica: “Infracciones consideradas muy graves. “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: […] C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/20
- e)El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas en dicho precepto y en el artículo 9 de esta ley orgánica. […]
- h)La omisión del deber de informar al afectado acerca del tratamiento de sus datos personales conforme a lo dispuesto en los artículos 13 y 14 del Reglamento (UE) 2016/679 y 12 de esta ley orgánica. (…)” VII Los apartados
- d)e
- i)del artículo 58.2 del RGPD disponen lo siguiente: “Cada autoridad de control dispondrá de todos los siguientes poderes correctivos indicados a continuación: (…) “
- d)ordenar al responsable o encargado del tratamiento que las operaciones de tratamiento se ajusten a las disposiciones del presente Reglamento, cuando proceda, de una determinada manera y dentro de un plazo especificado;” “
- i)imponer una multa administrativa con arreglo al artículo 83, además o en lugar de las medidas mencionadas en el presente apartado, según las circunstancias de cada caso particular;” En este caso, se acude al procedimiento sancionador de multa administrativa, dada la categoría de los datos que se recogen y los riesgos de los derechos y libertades que con ellos resultan comprometidos. La imposición de medidas de ajuste en el tratamiento es compatible con la sanción consistente en multa administrativa, según lo dispuesto en el art. 83.2 del RGPD. VIII La determinación de las sanciones que procede imponer en el presente caso, exige observar las previsiones de los artículos 83.1) y.2) del RGPD, preceptos que, respectivamente, disponen lo siguiente: “1. Cada autoridad de control garantizará que la imposición de las multas administrativas con arreglo al presente artículo por las infracciones del presente Reglamento indicadas en los apartados 4, 5 y 6 sean en cada caso individual efectivas, proporcionadas y disuasorias. 2. Las multas administrativas se impondrán, en función de las circunstancias de cada caso individual, a título adicional o sustitutivo de las medidas contempladas en el artículo 58, apartado 2, letras
- a)a
- h)y j). Al decidir la imposición de una multa administrativa y su cuantía en cada caso individual se tendrá debidamente en cuenta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/20
- a)la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;
- b)la intencionalidad o negligencia en la infracción;
- c)cualquier medida tomada por el responsable o encargado del tratamiento para paliar los daños y perjuicios sufridos por los interesados;
- d)el grado de responsabilidad del responsable o del encargado del tratamiento, habida cuenta de las medidas técnicas u organizativas que hayan aplicado en virtud de los artículos 25 y 32;
- e)toda infracción anterior cometida por el responsable o el encargado del tratamiento;
- f)el grado de cooperación con la autoridad de control con el fin de poner remedio a la infracción y mitigar los posibles efectos adversos de la infracción;
- g)las categorías de los datos de carácter personal afectados por la infracción;
- h)la forma en que la autoridad de control tuvo conocimiento de la infracción, en particular si el responsable o el encargado notificó la infracción y, en tal caso, en qué medida;
- i)cuando las medidas indicadas en el artículo 58, apartado 2, hayan sido ordenadas previamente contra el responsable o el encargado de que se trate en relación con el mismo asunto, el cumplimiento de dichas medidas;
- j)la adhesión a códigos de conducta en virtud del artículo 40 o a mecanismos de certificación aprobados con arreglo al artículo 42, y
- k)cualquier otro factor agravante o atenuante aplicable a las circunstancias del caso, como los beneficios financieros obtenidos o las pérdidas evitadas, directa o indirectamente, a través de la infracción.” Dentro de este apartado, la LOPDGDD contempla en su artículo 76, titulado: “Sanciones y medidas correctivas”: “1. Las sanciones previstas en los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679 se aplicarán teniendo en cuenta los criterios de graduación establecidos en el apartado 2 del citado artículo. 2. De acuerdo a lo previsto en el artículo 83.2.
- k)del Reglamento (UE) 2016/679 también podrán tenerse en cuenta:
- a)El carácter continuado de la infracción.
- b)La vinculación de la actividad del infractor con la realización de tratamientos de datos personales.
- c)Los beneficios obtenidos como consecuencia de la comisión de la infracción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/20
- d)La posibilidad de que la conducta del afectado hubiera podido inducir a la comisión de la infracción.
- e)La existencia de un proceso de fusión por absorción posterior a la comisión de la infracción, que no puede imputarse a la entidad absorbente.
- f)La afectación a los derechos de los menores.
- g)Disponer, cuando no fuere obligatorio, de un delegado de protección de datos.
- h)El sometimiento por parte del responsable o encargado, con carácter voluntario, a mecanismos de resolución alternativa de conflictos, en aquellos supuestos en los que existan controversias entre aquellos y cualquier interesado. 3. Será posible, complementaria o alternativamente, la adopción, cuando proceda, de las restantes medidas correctivas a las que se refiere el artículo 83.2 del Reglamento (UE) 2016/679.” De acuerdo con los preceptos transcritos, a efectos de fijar los importes de las sanciones de multa a imponer en el presente caso tipificadas en el artículo 83.5.
- a)del RGPD, de la que se responsabiliza al reclamado, para la infracción del artículo 9.2 del RGPD, se estiman concurrentes en calidad de agravantes los siguientes factores que revelan una mayor antijuridicidad y/o culpabilidad en la conducta del reclamado: -Artículo 83.2.
- a)RGPD “naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;”. Los datos se recogieron durante un período, afectando a todos los deportistas que hayan participado en las competiciones -Artículo 83.2
- g)“las categorías de los datos de carácter personal afectados por la infracción” se han recabado datos de salud. Con estos factores, se estima adecuada una sanción de 4.000 euros, sin perjuicio de lo que resulte de la instrucción. Para la infracción del artículo 13 del RGPD, se estiman concurrentes en calidad de agravantes los siguientes factores que revelan una mayor antijuridicidad y/o culpabilidad en la conducta del reclamado: -Articulo 83.2.
- a)“la naturaleza, gravedad y duración de la infracción, teniendo en cuenta la naturaleza, alcance o propósito de la operación de tratamiento de que se trate, así como el número de interesados afectados y el nivel de los daños y perjuicios que hayan sufrido;” significando su gravedad determinada por la absoluta falta de referencia informativa en una medida de gran calado que afectaba a todos los socios y que se produce por un tiempo amplio, estimando que cuando se inician actividades que conllevan el tratamiento de datos personales, un responsable del tratamiento debe siempre detenerse a considerar cuál va a ser el fundamento jurídico del tratamiento previsto y garantizar los mínimos exigibles en cuanto a los derechos de los afectados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/20 -Artículo 83.2.
- b)“la intencionalidad o negligencia en la infracción”, concurriendo en este caso la negligencia pues era exigible otra conducta distinta que la de omitir absolutamente cualquier referencia. Con estos factores, se estima adecuada una sanción de 2.000 euros, sin perjuicio de lo que resulte de la instrucción. Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: INICIAR PROCEDIMIENTO SANCIONADOR a FECAM-( FED. DEP. PARA PERSONAS CON DISCAPACIDAD INTELECTUAL DE CASTILLA LA MANCHA), con NIF G45351236, por la presunta infracción del artículo 9.2.
- a)y 13 del RGPD, de conformidad con el artículo 83.5.
- a)y 83.5.
- b)del RGPD. SEGUNDO: NOMBRAR como instructor a R.R.R. y, como secretaria, a S.S.S., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los artículos 23 y 24 de la Ley 40/2015, de 1/10 de Régimen Jurídico del Sector Público (LRJSP). TERCERO: INCORPORAR al expediente sancionador, a efectos probatorios, la reclamación interpuesta por la parte reclamante y su documentación, así como los documentos obtenidos y generados por la Subdirección General de Inspección de Datos en las actuaciones previas al inicio del presente procedimiento sancionador. CUARTO: QUE a los efectos previstos en el art. 64.2
- b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, (LPCAP) la sanción que pudiera corresponder sería de 4.000 euros y de 2.000 euros, según lo especificado, sin perjuicio de lo que resulte de la instrucción. QUINTO: NOTIFICAR el presente acuerdo a FECAM-( FED. DEP. PARA PERSONAS CON DISCAPACIDAD INTELECTUAL DE CASTILLA LA MANCHA), con NIF G45351236, otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. En su escrito de alegaciones deberá facilitar su NIF y el número de procedimiento que figura en el encabezamiento de este documento. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
- f)de la LPACAP. De conformidad con lo dispuesto en el artículo 85 de la LPACAP, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento. Con la aplicación de esta reducción, la sanción del artículo 9.2 .
- a)del RGPD quedaría establecida en 3.200 euros, y la del artículo 13 del RGPD, en 1.600 euros, resolviéndose el procedimiento con la imposición de esta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/20 sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá la reducción de un 20% de su importe. Con la aplicación de esta reducción, la sanción del artículo 9.2 .
- a)del RGPD quedaría establecida en 3.200 euros, y la del artículo 13 del RGPD, en 1.600 euros, y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción del artículo 9.2 .
- a)del RGPD quedaría establecida en 2.400 euros, y la del artículo 13 del RGPD, en 1.200 euros. En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. En caso de que optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente 3.200/2.400 euros o 1.600/1.200 euros deberá hacerlo efectivo mediante su ingreso en la cuenta nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en la entidad bancaria CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. En cumplimiento de los artículos 14, 41 y 43 de LPACAP, se advierte que, en lo sucesivo, las notificaciones que se le remitan se realizarán exclusivamente de forma electrónica por comparecencia en la sede electrónica del Punto de Acceso General de la Administración o a través de la Dirección Electrónica Habilitada única y que, de no acceder a ellas, se hará constar su rechazo en el expediente, dando por efectuado el trámite y siguiéndose el procedimiento. Se le informa que puede identificar ante esta Agencia una dirección de correo electrónico para recibir el aviso de puesta a disposición de las notificaciones y que la falta de práctica de este aviso no impedirá que la notificación sea considerada plenamente válida. Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. 935-110422 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/20 Mar España Martí Directora de la Agencia Española de Protección de Datos >> SEGUNDO: En fecha 7 de octubre de 2022, la parte reclamada ha procedido al pago de la sanción en la cuantía de 3600 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Terminación del procedimiento El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/20 salvo en lo relativo a la reposición de la situación alterada o a la determinación de la indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202104456, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a FECAM-( FED. DEP. PARA PERSONAS CON DISCAPACIDAD INTELECTUAL DE CASTILLA LA MANCHA). De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es