← España

PS-00297-2021

1/29  Expediente Nº: PS/00297/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 25/03/2019, A.A.A. (en adelante, el reclamante), interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el MINISTERIO DE ASUNTOS EXTERIORES Y COOPERACION, actualmente, MINISTERIO DE ASUNTOS EXTERIORES, UNION EUROPEA Y COOPERACION, con CIF ***CIF.1 (en adelante, MAEC, el Ministerio o la entidad reclamada). Los motivos en que basa la reclamación son, en síntesis: el tratamiento de sus datos, sin su consentimiento, en el marco del programa “***PROGRAMA.1”, que incluye el envío de mensajes de texto (SMS) a terminales de telefonía móvil con información sobre consulados, que se materializa cuando un ciudadano español atraviesa la frontera española; y por no haber respondido las solicitudes formuladas ante el MAEC para que suprimieran sus datos personales del archivo utilizado por dicho Ministerio para remitirle información consular asociada al citado programa, de forma que cesara el envío de estos mensajes. Según el reclamante, las solicitudes fueron cursadas en fechas 24/04 y 05/09/18, sin que en ningún caso haya recibido respuesta alguna. Asimismo, advierte que contactó telefónicamente con su operador de telefonía y que este le informó que es ajeno a la cuestión, que utiliza un fichero del Ministerio. Entre otra, el reclamante aporta la siguiente documentación: . Copia de un escrito fechado el 24/04/2018, dirigido a la entidad reclamada. En este escrito consta un estampillado correspondiente a su presentación en el Servicio de Correos en la misma fecha indicada. Hace referencia a una noticia sobre las actividades del Ministerio citado, publicada el 26/10/2015, relativa al programa “***PROGRAMA.1”: “… un servicio de información gratuito para el ciudadano que viaja de España al extranjero, fruto de un trabajo conjunto con Telefónica y Orange. Cuando los clientes de estas operadoras viajen al extranjero, recibirán en su teléfono un SMS con las ciudades de ese país donde hay Embajada y Consulados de España y sus correspondientes números de emergencia consular. El servicio se activará al llegar al país de destino, a través del sistema de itinerancia Roaming”. En este escrito, el reclamante indica su número de telefonía móvil y la entidad con la que opera y solicita que no se envíe ningún aviso del servicio “MAEC.info”, ya sea a través de SMS u otro medio, cada vez que el operador advierte del servicio “Roaming”, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/29 y ser borrado del programa “***PROGRAMA.1”. Solicita expresamente que el Ministerio reclamado asuma las gestiones necesarias para formalizar esta solicitud. Aporta impresión de pantalla con un SMS recibido desde “MAEC.info”, de “29 de marzo”. No consta el número de telefonía destinatario de este SMS. El texto de este mensaje es el siguiente: “***PROGRAMA.1. En caso de emergencia consular llama Consulados en París… (nº de teléfono), Bayona (nº de teléfono)”. . Copia de un escrito fechado el 05/09/2018, dirigido al MAEC. En este escrito consta un estampillado correspondiente a su presentación en el Servicio de Correos en la misma fecha indicada. El contenido de este escrito es, básicamente, similar al anterior. Reitera su solicitud para no recibir SMS del repetido programa “***PROGRAMA.1” y la cancelación de sus datos en el fichero utilizado para este fin o cualquier otro similar del MAEC. Solicita expresamente ser informado al respecto. SEGUNDO: Con fecha 17/05/2019, la reclamación fue trasladada a la entidad reclamada, de conformidad con lo establecido en el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD), a fin de que procediera a su análisis, comunicara al reclamante la decisión adoptada y aportara a esta Agencia información al respecto. Con fecha 08/07/2019 y 01/08/2019, el MAEC respondió al citado traslado exponiendo que el reclamante recibe un SMS en su terminal móvil cuando viaja al extranjero como consecuencia de un Convenio firmado por el Ministerio con determinadas compañías operadoras de telefonía; sin bien no solicita, almacena o trata los datos de los ciudadanos que viajan al extranjero con la finalidad de enviarles dicho SMS, sino que son esas operadoras las que disponen de sus datos personales. Así, al no ser poseedor de los datos del reclamante, considera la reclamada que no procede enviarle ninguna comunicación. Entiende que el ejercicio de sus derechos deberá solicitarlo ante la operadora. La citada entidad, con fecha 01/08/2019, remitió a esta Agencia copia de la comunicación que dirigió al reclamante con motivo de la reclamación formulada. En esta comunicación, fechada el 22/07/2019, el MAEC informa al reclamante que el SMS del programa “***PROGRAMA.1” se envía como consecuencia de un convenio que ese Ministerio firmó con diversos operadores de telefonía. Asimismo, se indica que no posee los datos de los ciudadanos españoles que viajan al extranjero, tampoco el número de móvil, salvo que se inscriban voluntariamente en la aplicación de Registro de Viajeros. Por último, se advierte al reclamante que “si no desea recibir los referidos SMS cuando viaja al extranjero, deberá solicitarlo a su operador de telefonía por ser poseedor de sus datos personales y de su número de móvil”. TERCERO: Una vez analizadas las razones expuestas por la reclamada en su respuesta al traslado, se consideró que no procedía el inicio de un procedimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/29 sancionador al haber sido atendida la reclamación conforme a lo dispuesto en el artículo 65.4 de la LOPDGDD, y se dictó resolución de fecha 09/09/2019 acordando el archivo de la reclamación examinada. Con fecha 03/10/2019, el reclamante interpuso recurso de reposición, señalando que el operador de telefonía envía una información dispuesta por el Ministerio y que corresponde a éste advertir a las operadoras que un interesado concreto no desea recibir la información objeto del programa “***PROGRAMA.1”, es decir, sobre el derecho de oposición ejercitado. Añade que es el Ministerio quién debe atender la reclamación del ciudadano. Este recurso fue estimado mediante resolución de 10/07/2020, en la que se acordó, en consecuencia, admitir a trámite de la reclamación presentada contra el MAEC. CUARTO: A la vista de los hechos denunciados en la reclamación y de los documentos aportados por el reclamante, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 57.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. Por los Servicios de Inspección de esta Agencia se solicitó al MAEC el convenio del servicio suscrito con las operadoras Telefónica de España, S.A. y Orange Espagne, S.A.U., o cualesquiera otras con las que se hubiese acordado este servicio. Con fecha 26/03/2021 se recibió escrito de contestación en el que manifiesta que no constan en los archivos de ese Ministerio ningún Convenio o Acuerdo firmado con las citadas operadoras, ni con cualquier otra, ni ningún otro documento escrito relativo a la campaña “***PROGRAMA.1”. Solicitada información sobre los repetidos convenios a varias operadoras, se recibieron en esta Agencia las respuestas siguientes:

  1. a)Con fecha de 11/05/2021, la operadora Xfera Móviles, S.A. manifestó que no participa en el programa mencionado, ni es un servicio que presten de forma independiente.
  2. b)Con fecha de 18/05/2021, la entidad Orange Espagne, S.A.U. informó que el programa “***PROGRAMA.1” surgió en fecha 26/10/2015 a iniciativa del MAEC, que solicitó la colaboración de las operadoras, y consiste en el envío de mensajes de texto informativos a los clientes en itinerancia cuando se conectan a una red extranjera con acuerdo de “Roaming”. En concreto, se trata de una iniciativa que fue liderada por la Unidad de Emergencia Consular del MAEC, tal y como consta publicado en la página web del Ministerio (indica el enlace). El servicio de itinerancia está activado por defecto en la tarifa de Orange Espagne, S.A.U. pero el usuario puede desactivar el servicio de itinerancia y por consiguiente no se recibirían los SMS informativos del programa “***PROGRAMA.1”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/29 El contenido de los mensajes de texto fue definido por el propio MAEC, que figura como remitente de los mismos. El servicio sigue activo y se actualiza periódicamente mediante la remisión a las operadoras de un fichero Excel con la información actualizada. Añade que no consta en las bases de datos de esa mercantil un documento que formalice la citada iniciativa. Con esta respuesta, aportó: - Impresión de pantalla de varios SMS de emergencia consular, en los que se comprueba que el remitente del mensaje es el MAEC, apareciendo como tal “MAEC-info”. - Correo electrónico de 21/12/2020, remitido por el área de informática del MAEC, con una actualización de los datos de Manchester y Sierra Leona.
  3. c)Con fecha de 08/06/2021, Telefónica de España, S.A. manifestó que el servicio “***PROGRAMA.1” es un servicio de información gratuito para el ciudadano prestado por el MAEC, en colaboración con Telefónica de España, S.A. y Orange Espagne, S.A.U., según nota de prensa del citado Ministerio de 26/10/2015 (indica enlace). Expone que el remitente de los SMS es el propio Ministerio, como puede verse en el ejemplo que facilita (“DE: ***EMAIL.1: en caso de emergencia consular llame Embajada… Mas info www.exteriores.gob.es”). A solicitud del Ministerio, integró el envío de estos mensajes en la plataforma de mensajería de Telefónica de España, S.A., ya existente, dentro del marco de la relación que tenía con dicho Ministerio para la prestación de diversos servicios. Finaliza añadiendo que las Embajadas o Consulados tienen competencia para actuar en situaciones de emergencia consular, como detenciones, expedición de documentos de viaje de emergencia para regresar a España, ayudar a contactar con familiares y amigos, o asistir en caso de catástrofes, a cuyos efectos se desarrolló este servicio en colaboración con Telefónica de España, S.A. Telefónica de España, S.A., que fue requerida expresamente, no aportó ningún documento que formalizara con esta operadora la iniciativa del Ministerio. QUINTO: Con fecha 05/07/2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la entidad MAEC, con arreglo a lo dispuesto en los artículos 63 y 64 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), por las presuntas infracciones de los artículos 21 y 28.3 del RGPD, tipificadas, respectivamente, en los artículos 83.5.
  4. b)y 83.4.
  5. a)del RGPD. En el mismo acuerdo de apertura del procedimiento se advertía que las infracciones imputadas, de confirmarse, podrán conllevar la imposición de medidas, de acuerdo con lo establecido en el citado artículo 58.2
  6. d)del RGPD. SEXTO: Notificado el citado acuerdo de inicio, el MAEC presentó escrito de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/29 alegaciones en el que solicita el archivo del procedimiento sancionador de conformidad con las consideraciones siguiente: . La iniciativa “***PROGRAMA.1” deriva de las obligaciones que la asistencia consular impone a la reclamada (artículo 2.2.
  7. i)de la Ley 20/2014, de 25 de marzo, de la acción y del servicio exterior; Convenio de Viena sobre Relaciones Consulares de 23/04/1963; y artículo 23 de Tratado de Funcionamiento de la Unión Europea). . En el año 2015, momento en que se dispone la colaboración del MAEC con las operadoras Telefónica de España, S.A.U. y Orange Espagne, S.A.U. para el desarrollo de la citada iniciativa, no estaban vigentes la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP) ni el RGPD. . El reclamante no ha probado haber recibido información sobre consulados en su terminal móvil (la documentación aportada no incluye el número de línea de telefonía móvil receptora del SMS al que se refiere). . Los datos personales permanecen bajo la custodia de las compañías telefónicas, sin que el MAEC realice ningún tratamiento de datos que se ajuste a la definición recogida en el artículo 4.2 del RGPD. No puede considerarse, por tanto, al Ministerio como responsable del tratamiento, dado que no solicita, ni recoge, ni almacena, ni accede, ni trata los datos de los ciudadanos clientes de las operadoras telefónicas, ni conoce su identidad. Siendo así, el MAEC no ha dispuesto en ningún momento del nombre y número de teléfono del reclamante, por lo que no es posible “dar de baja” al solicitante de ningún fichero, al no existir ninguno que recoja la identidad, teléfono y planes de viaje de los ciudadanos que se desplazan al exterior con un teléfono móvil operativo en España. . Tampoco el MAEC es el remitente de los mensajes, que carece de las facilidades tecnológicas para ello y no tiene forma de detectar cuándo un cliente de las operadoras de telefonía usa redes de datos en itinerancia. Las remitentes son las compañías telefónicas, que trasladan la información proporcionada por el MAEC, simultáneamente con otros SMS relativos a la utilización y las tarifas de los servicios de telefonía, llamadas de voz o uso de datos móviles en itinerancia. . No puede sancionarse al MAEC por no haber suscrito el convenio regulado en el artículo 28 del RGPD, porque no estaba en vigor en el año 2015 y porque dicho convenio no procede, dado que el MAEC no es encargado del tratamiento de datos personales por cuenta del responsable. El MAEC no ha dispuesto ni va a disponer de tales datos personales, no los recibe de las compañías partícipes de la iniciativa ni los trata por cuenta de éstas. Actualmente esta colaboración debe formalizarse a través de un convenio administrativo, de los regulados en los artículos 47 y siguientes de la LRJSP, pero no desde la perspectiva de la protección de datos. . Corresponde a las operadoras de telefonía, en el momento de recogida de los datos personales de sus clientes, informarles de la finalidad del tratamiento, solicitar su consentimiento para recibir comunicaciones e indicarles el modo de ejercer los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/29 derechos que les asisten. En consecuencia, el derecho de oposición a recibir los referidos SMS debe ejercerse por el reclamante ante la operadora de telefonía con la que tenga contratado sus servicios, la cual es la poseedora y realiza el tratamiento de sus datos personales, y a la que corresponde tramitar la oposición. SÉPTIMO: Con fecha 22/10/2021, se formuló propuesta de resolución en el sentido siguiente: 1. Que por la Directora de la Agencia Española de Protección de Datos se sancione con apercibimiento a la entidad MAEC, por las infracciones de los artículos 21 y 28.3 del RGPD, tipificadas en los artículos 83.5.
  8. b)y 83.4.
  9. a)del mismo Reglamento, y calificadas como muy grave y grave a efectos de prescripción en los artículos 72.1.
  10. k)y 73.
  11. k)de la LOPDGDD, respectivamente. 2. Que por la Directora de la AEPD se requiera a la entidad reclamada para que, en el plazo que se determine, adopte las medidas necesarias para adecuar su actuación a la normativa de protección de datos personales, con el alcance expresado en los Fundamentos de Derechos de la propuesta de resolución. OCTAVO: Notificada a la entidad reclamada la citada propuesta de resolución, se recibe escrito de la misma en el que solicita el archivo del procedimiento sancionador sin imposición de medidas o requiriendo únicamente la formalización de un acuerdo conforme a lo establecido en el artículo 28.3 del RGPD, por cuanto la entidad MAEC no tiene la condición de responsable del tratamiento del programa “***PROGRAMA.1” y no ha incurrido en dolo ni culpa, al haber seguido una interpretación razonable de la norma. La citada entidad basa su petición en las consideraciones siguientes: 1. La AEPD considera que el MAEC es quien decide los fines y los medios del tratamiento que requiere la aplicación del programa “***PROGRAMA.1” y que eso es suficiente, a su juicio, para que tenga la condición de responsable del tratamiento, aun cuando no haya recabado, ni tenga, ni haya tenido nunca, acceso a los datos que se tratan. Frente a las consideraciones de la AEPD, señala que el artículo 4 del RGPD define al responsable del tratamiento como aquel que determina sus fines y medios, sin hacer mención expresa a si ha de tener o no acceso a los datos que se tratan. Entiende que, en este caso, el Ministerio define los fines (la asistencia a los españoles en el exterior), pero no decide los medios que se utilizan (un SMS que se envía a los clientes de las operadoras que tienen activada la itinerancia de sus datos junto con el resto de los mensajes de las propias operadoras) para el cumplimiento del fin (que el mensaje de asistencia del MAEC llegue a los españoles en el exterior). El hecho de que el Ministerio comunique a las operadoras la información que debe transmitirse, en formato “excel”, va dirigido al cumplimiento del fin perseguido, pero no supone que el MAEC decida los medios, que más bien parecen decididos por las operadoras de telefonía, las cuales utilizan el mismo canal que usan para la remisión de otros mensajes a sus clientes en el mismo momento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/29 2. El MAEC no tiene la condición de responsable del tratamiento por cuanto no accede a los datos personales tratados. Esta entidad no comparte la interpretación de la AEPD al respecto, basada en un supuesto de tratamiento de datos con fines publicitarios y en un caso de prestación de servicios conforme a la Ley 9/2017, de 8 de noviembre, de contratos del sector público (LCSP). Entiende que resolver esta cuestión, no prevista en la norma, requiere de una interpretación, como lo prueba el hecho de que la AEPD base su posición en los informes y directrices que se mencionan en la propuesta de resolución; y que haber actuado conforme a la interpretación razonable que defiende el MAEC no permite apreciar negligencia alguna ni la concurrencia del elemento subjetivo de la culpabilidad, indispensable para la imposición de una sanción. A juicio del MAEC, la aplicación de los criterios de interpretación de las normas que se recogen en el artículo 3 del Código Civil permitiría llegar a la conclusión contraria a la propuesta por la AEPD, como se expone a continuación:
  12. a)No hay una norma que establezca que el responsable del tratamiento lo será con independencia de que tenga o haya tenido acceso en algún momento a los datos tratados.
  13. b)Frente a ello, hay previsiones en el RGPD que presuponen que el responsable del tratamiento tiene o ha tenido acceso a los datos, sin perjuicio de que pueda encargar su tratamiento a otros. Así pueden mencionarse las siguientes previsiones: . El MAEC, que no recaba los datos, no está en condiciones de cumplir las obligaciones establecidas en los artículos 13 y 14 del RGPD, previstas para el momento en el que se recojan los datos. Según estos artículos, que identifican al responsable del tratamiento con quien recaba los datos, el MAEC debería cumplir esas obligaciones cuando una compañía recabase los datos de un nuevo cliente. . El MAEC no puede hacer efectivos los derechos de los interesados, por lo que debería trasladar esas peticiones a las operadoras de telefonía. . El artículo 28.3 del RGPD prevé que el contrato o acto jurídico que vincule al responsable del tratamiento y al encargado establezca la obligación de éste de suprimir o devolver los datos al responsable una vez finalice la prestación del servicio. Esto permite entender que el responsable es quien tiene en su poder los datos y/o tiene poder de disposición sobre ellos. Solo en este caso puede entenderse que procede su devolución o supresión.
  14. c)El informe 0007/2019 del Gabinete Jurídico de la AEPD y la Sentencia de la Sala de lo Contencioso-administrativo del Tribunal Supremo 772, referidas a supuestos especiales (contratista encargado del tratamiento, en el primer caso, y tratamiento de datos para fines publicitarios, en el segundo), configuran el acceso e incluso la titularidad de las bases de datos como un elemento determinante de ostentar la condición de responsable del tratamiento, siendo la conclusión contraria aplicable solo en los casos específicos contemplados (la contratación pública y el tratamiento de datos para fines publicitarios). Así resulta de su análisis, en la forma en que se expone a continuación: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/29 . El citado Informe 0007/2019, que versa sobre la correcta interpretación de lo dispuesto en el artículo 33.2 de la LOPDPGDD, se refiere a un supuesto de tratamiento de datos por encargo de una Administración Pública en el marco de la LCSP y determina si las entidades que actúan como concesionarias administrativas en los servicios públicos tienen la condición de encargadas o de responsables de los tratamientos. Según el MAEC, este informe contiene consideraciones que respaldan la identificación del responsable del tratamiento con el responsable del fichero en el que se alojan los datos, como la que señala que el acceso a los datos por parte del encargado para la prestación del servicio no es una comunicación de datos, lo que presupone que el responsable es quien está en poder de los datos (si lo que se quiere evitar es que se configure jurídicamente como una cesión de datos lo que materialmente lo es, es porque se presupone que el responsable es quien está en poder de los datos); o cuando se indica que se reputará que el encargado es responsable si utiliza para fines propios los datos que le hayan comunicado (la referencia a los datos que el responsable le haya comunicado presupone la comunicación previa de los datos por el responsable y, por tanto, que estén en su poder). En el presente caso, no existe esa comunicación porque el MAEC no tiene, ni ha tenido nunca, acceso a los datos de los clientes de las compañías de telefonía. Son éstas las que recaban los datos de sus clientes y las que tienen acceso a ellos. En todo caso, el informe 0007/2020 de la AEPD, supone una excepción al régimen general de conceptuación del responsable del tratamiento; no trasladable a un supuesto diferente como el analizado en el presente procedimiento. . La Sentencia del Tribunal Supremo 772/2020, se refiere a un supuesto de utilización de bases de datos de terceras empresas para la realización de envíos comerciales. Esta Sentencia se fundamenta en previsiones de la regulación de protección de datos referidas específicamente al tratamiento de datos con fines publicitarios, supuesto diferente al ahora analizado, referido al tratamiento de datos para el cumplimiento de una finalidad de interés público. Por tanto, la conclusión que hace recaer en el MAEC la condición de responsable del tratamiento y su obligación de gestionar el ejercicio del derecho de oposición del reclamante, más allá de indicarle que se dirija a su operadora de telefonía, estaría justificada plenamente si estuviéramos ante un tratamiento de datos con fines publicitarios, pero no es tan clara esa conclusión cuando estamos fuera de ese ámbito.
  15. d)Las obligaciones que se imponen al responsable del tratamiento tratan de garantizar y proteger los derechos de los titulares de los datos de carácter personal, por lo que parece razonable que todas esas obligaciones se impongan a quien de una manera eficaz tenga la posibilidad de cumplirlas, siendo ciertamente complejo que pueda hacerlo, al menos de forma eficiente, quien no tiene ni ha tenido nunca acceso a los datos. Es esta una interpretación acorde con el espíritu y finalidad de la norma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/29
  16. e)Por último, señala la reclamada que la única afirmación sobre la posibilidad de que se tenga la condición de responsable del tratamiento sin tener acceso a los datos tratados se recoge en la Directriz 07/2020 del Comité Europeo de Protección de Datos (CEPD), que se menciona en la propuesta de resolución, pero se trata de una afirmación desprovista de explicación o argumentación que permita entender su base; e incompatible con la sostenida por el MAEC, según la cual el legislador atribuye la condición de responsable a quien no tiene acceso a los datos tratados únicamente en casos de utilización de bases de datos de terceros para realizar envíos publicitarios. 3. En relación con las consideraciones contenidas en la propuesta de resolución respecto de la infracción del artículo 83.5.b, por incumplimiento del artículo 21, ambos del RGPD, reitera lo siguiente:
  17. a)El MAEC contestó expresamente a la petición del reclamante, remitiéndole a su operadora de telefonía, por considerar que esa era la vía adecuada al rol del Ministerio en estos tratamientos de datos.
  18. b)El MAEC no tiene la condición de responsable del tratamiento de los datos, ni puede hacer efectivo el derecho de oposición o el de cancelación.
  19. c)La base del tratamiento realizado por el programa “***PROGRAMA.1” no es la mercadotecnia, como en el supuesto contemplado en la Sentencia del Tribunal Supremo 772/2020, de 15 de junio; es razonable entender que la base del tratamiento de los datos para aplicar el programa “***PROGRAMA.1” sería la prevista en el artículo 6.1
  20. e)RGDP, esto es el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. El motivo del tratamiento de los datos es el cumplimiento de un deber que asume el Estado a través del MAEC, de asistencia a los españoles en el exterior. Por tanto, la regulación del derecho de oposición al tratamiento de datos con fines comerciales no es trasladable al tratamiento para la finalidad que nos ocupa en este caso. De este modo, la conclusión que hace recaer en el MAEC la condición de responsable del tratamiento y su obligación de gestionar el ejercicio del derecho de oposición del reclamante estaría justificada si estuviéramos ante un tratamiento de datos con fines publicitarios, pero no es tan clara esa conclusión cuando estamos fuera de ese ámbito. Así, la obligación del responsable del tratamiento que encarga el mismo a una entidad que utiliza sus propias bases de datos o de terceros, de comunicar la solicitud al responsable del fichero a fin de que el mismo atienda el derecho de oposición del afectado no se contempla en ningún otro supuesto que no sea el de realización de campañas publicitarias. Es, por tanto, una regla especial no trasladable a otros supuestos. Así resulta del tenor literal de la normativa aplicable, en particular el artículo 51.4 RGPD. Por tanto, puede razonablemente concluirse que la actuación del MAEC al remitir al interesado a su operadora de telefonía, con la que mantiene una relación contractual C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/29 que es la determinante de que reciba el SMS del programa “***PROGRAMA.1” al activar la itinerancia de sus datos, no supone vulneración alguna del artículo 21 RGPD. 4. La entidad reclamada considera improcedentes las sanciones propuestas de acuerdo con los argumentos siguientes:
  21. a)Debe reconsiderarse la calificación del MAEC como responsable del tratamiento, dado que no tiene ni ha tenido acceso en ningún momento a los datos que se tratan para fines diferentes de los publicitarios, además de la dudosa concurrencia del requisito de definir los medios de tratamiento. Sobre esta cuestión, añade que el último inciso del Considerando

(81)del RGPD permite deducir que la condición de responsable del tratamiento implica el acceso a los datos que se tratan: “
(81)… Una vez finalizado el tratamiento por cuenta del responsable, el encargado debe, a elección de aquel, devolver o suprimir los datos personales, salvo que el Derecho de la Unión o de los Estados miembros aplicable al encargado del tratamiento obligue a conservar los datos”.
  1. b)Aunque se aceptasen las premisas de la propuesta de resolución, la actuación del MAEC se ha basado en una interpretación razonable de la norma, por lo que no puede apreciarse ni dolo ni culpa, y no concurre el elemento subjetivo de la culpabilidad necesario para la imposición de una sanción, de conformidad con lo establecido en el artículo 28 de la Ley 40/2015. Ello sin perjuicio de la conveniencia de formalizar un convenio administrativo entre el MAEC y las operadoras de telefonía participantes en el programa “***PROGRAMA.1” que recoja los términos de la colaboración. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: Con fecha 26/10/2015, la entidad MAEC dispuso el desarrollo de un programa denominado “***PROGRAMA.1”, configurado como “… un servicio de información gratuito para el ciudadano que viaja de España al extranjero”, el cual consiste en remitir a su terminal de telefonía móvil un SMS con las ciudades de ese país donde hay Embajada y Consulados de España y sus correspondientes números de emergencia consular. Este servicio se activa a través del sistema de itinerancia “Roaming”, al llegar al país de destino. Para la puesta en funcionamiento de este servicio, el MAEC convino con las operadoras Telefónica de España, S.A. y Orange Espagne, S.A.U. que estas entidades remitieran a sus clientes un SMS con la información facilitada por el MAEC. Los clientes reciben este mensaje cuando viajan al extranjero, al llegar al país de destino, a través del sistema de itinerancia “Roaming”. Se traslada la información proporcionada por el MAEC, simultáneamente con otros SMS enviados por las operadoras relativos a la utilización y tarifas de los servicios de telefonía, llamadas de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/29 voz o uso de datos móviles en itinerancia. SEGUNDO: No consta en las actuaciones ningún documento mediante el que se formalizara la prestación del servicio reseñado en el Hecho Probado Primero por parte del MAEC y las entidades Telefónica de España, S.A. y Orange Espagne, S.A.U. En su respuesta a los Servicios de Inspección de la AEPD, de fecha 26/03/2021, el MAEC manifestó que no consta en los archivos de ese Ministerio ningún convenio o acuerdo firmado con las citadas operadoras, ni con cualquier otra, ni ningún otro documento escrito relativo a la campaña “***PROGRAMA.1”. Con fecha 18/05/2021, la entidad Orange Espagne, S.A.U. informó que no consta en las bases de datos de esa mercantil un documento que formalice la iniciativa “***PROGRAMA.1”. Telefónica de España, S.A., que fue requerida expresamente, no aportó ningún documento que formalizara con esta operadora la iniciativa del Ministerio. TERCERO: La entidad Orange Espagne, S.A.U. informo a los Servicios de Inspección de la AEPD que el servicio “***PROGRAMA.1” sigue activo y se actualiza periódicamente por parte del MAEC mediante la remisión a las operadoras de un fichero Excel con la información que debe remitirse mediante SMS. CUARTO: Consta en las actuaciones, aportado por el reclamante, un mensaje de texto (SMS) enviado en ejecución del programa “***PROGRAMA.1”; consta como remitente “MAEC.info”, y con el texto siguiente: “***PROGRAMA.1. En caso de emergencia consular llama Consulados en París… (nº de teléfono), Bayona (nº de teléfono)”. QUINTO: El reclamante ha manifestado ante esta AEPD que la entidad MAEC trató sus datos personales, sin su consentimiento, para el envío a su terminal de telefonía móvil de mensajes de texto en el marco del programa “***PROGRAMA.1”, con información sobre consulados. SEXTO: Con fecha 24/04/2018, el reclamante dirigió un escrito a la entidad MAEC en el que indica su número de telefonía móvil y la entidad con la que opera; y solicita que no se envíe ningún aviso del programa “***PROGRAMA.1” cada vez que el operador advierte del servicio “Roaming”, ya sea a través de SMS u otro medio, y ser excluido de dicho programa. En este escrito, el reclamante solicita expresamente que el Ministerio reclamado asuma las gestiones necesarias para formalizar esta solicitud. No consta en las actuaciones ninguna respuesta emitida por el MAEC a esta solicitud de ejercicio de derechos formulada por el reclamante. SÉPTIMO: Con fecha 05/09/2018, el reclamante reiteró ante el MAEC su solicitud anterior, con el objeto de no recibir SMS del programa “***PROGRAMA.1” y para la cancelación de sus datos en el fichero utilizado para este fin o cualquier otro similar del MAEC. Solicita expresamente ser informado al respecto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/29 No consta en las actuaciones ninguna respuesta emitida por el MAEC a esta solicitud de ejercicio de derechos formulada por el reclamante. OCTAVO: Con ocasión del trámite de traslado de la reclamación, la entidad MAEC remitió al reclamante una respuesta, de fecha 22/07/2019, en la que informa que el SMS del programa “***PROGRAMA.1” se envía como consecuencia de un convenio que ese Ministerio firmó con diversos operadores de telefonía. Asimismo, indica que no posee los datos de los ciudadanos españoles que viajan al extranjero, tampoco el número de móvil, salvo que se inscriban voluntariamente en la aplicación de Registro de Viajeros; y advierte al reclamante que “si no desea recibir los referidos SMS cuando viaja al extranjero, deberá solicitarlo a su operador de telefonía por ser poseedor de sus datos personales y de su número de móvil”. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II En este caso, no resulta controvertido el hecho de que el programa “***PROGRAMA.1” es una iniciativa del citado Ministerio, concebida como un servicio al ciudadano que viaja de España al extranjero que dicha entidad decide prestar por razón de las competencias que le otorga la normativa que le es de aplicación. Tampoco es controvertido que la iniciativa y desarrollo del citado programa responde a un claro interés público en beneficio de aquellos ciudadanos que se trasladan al extranjero, de modo que no se cuestiona su legitimidad e idoneidad, ni la proporcionalidad del tratamiento de datos con la finalidad perseguida (el propio MAEC manifiesta que la base jurídica del tratamiento, que no es objeto de análisis en estas actuaciones, es el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento). Dado que la ejecución del programa conlleva la realización de tratamientos de datos personales, con carácter previo conviene precisar el carácter bajo el que la entidad MAEC intervine en el caso analizado, desde el punto de vista de la protección de datos personales. El citado Ministerio fundamenta sus alegaciones, básicamente, en negar su participación en los hechos como entidad responsable o encargada del tratamiento, señalando que no trata los datos personales de los ciudadanos que viajan al extranjero, que no dispone de estos datos, no los registra en ninguna base de datos ni accede a los mismos por cuenta de las operadoras de telefonía. Son estas operadoras, a juicio del MAEC, las que disponen de los datos personales utilizados para los envíos de SMS que motivan las actuaciones, que se encuentran registrados C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/29 en sus propios ficheros, bajo la custodia de estas compañías; y son las remitentes de los mensajes en cuestión. Por la misma razón, entiende el Ministerio que corresponde a las operadoras mencionadas solicitar a sus clientes el consentimiento para recibir comunicaciones, así como indicarles los medios para el ejercicio de sus derechos y atender las solicitudes que aquellos formulen. Las figuras de “responsable del tratamiento” y “encargado del tratamiento” se definen en el artículo 4 del RGPD como sigue: . “Responsable del tratamiento o responsable: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. . “Encargado del tratamiento o encargado: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento”. El artículo 24 del RGPD, referido a la “Responsabilidad del responsable del tratamiento”, establece lo siguiente: “1. Teniendo en cuenta la naturaleza, el ámbito, el contexto y los fines del tratamiento así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento. Dichas medidas se revisarán y actualizarán cuando sea necesario. 2. Cuando sean proporcionadas en relación con las actividades de tratamiento, entre las medidas mencionadas en el apartado 1 se incluirá la aplicación, por parte del responsable del tratamiento, de las oportunas políticas de protección de datos…”. El Informe 0064/2020 del Gabinete Jurídico de la AEPD ha expresado con rotundidad que “El RGPD ha supuesto un cambio de paradigma al abordar la regulación del derecho a la protección de datos personales, que pasa a fundamentarse en el principio de «accountability» o «responsabilidad proactiva» tal y como ha señalado reiteradamente la AEPD (Informe 17/2019, entre otros muchos) y se recoge en la Exposición de motivos de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD)”. Sigue diciendo el citado informe lo siguiente: “…los criterios sobre cómo atribuir los diferentes roles siguen siendo los mismos (apartado 11), reitera que se trata de conceptos funcionales, que tienen por objeto asignar responsabilidades de acuerdo con los roles reales de las partes (apartado 12), lo que implica que en la mayoría de los supuestos deba atenderse a las circunstancias del caso concreto (case by case) atendiendo a sus actividades reales en lugar de la designación formal de un actor como "responsable" o "encargado" (por ejemplo, en un contrato), así como de conceptos autónomos, cuya interpretación debe realizarse al amparo de la normativa europea sobre protección de datos personales (apartado 13), y teniendo en cuenta (apartado 24) que la necesidad de una evaluación fáctica también significa que el papel de un responsable del tratamiento no se deriva de la naturaleza de una entidad que está procesando datos sino de sus actividades C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/29 concretas en un contexto específico…”. Los conceptos de responsable y encargado de tratamiento no son formales, sino funcionales y deben atender al caso concreto. El responsable del tratamiento lo es desde el momento que decide los fines y los medios del tratamiento, no perdiendo tal condición por el hecho de dejar cierto margen de actuación al encargado del tratamiento o por no tener acceso a las bases de datos del encargado. Así se expresa indubitadamente en las Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD) sobre los conceptos de responsable del tratamiento y encargado en el RGPD: “Un responsable del tratamiento es quien determina los propósitos y los medios del tratamiento, es decir, el porqué y el cómo del tratamiento. El responsable del tratamiento debe decidir sobre ambos propósitos y medios. Sin embargo, algunos aspectos más prácticos de la implementación ("medios no esenciales") se pueden dejar en manos del encargado del tratamiento. No es necesario que el responsable tenga realmente acceso a los datos que se están tratando para calificarse como responsable” (la traducción es nuestra). El artículo 28.10 del RGPD también atiende al criterio de la determinación de los fines y medios del tratamiento para establecer la responsabilidad del encargado del tratamiento en la comisión de infracciones al propio Reglamento. De acuerdo con este artículo, si el encargado determina los fines y medios del tratamiento será considerado responsable del mismo: “10. Sin perjuicio de lo dispuesto en los artículos 82, 83 y 84, si un encargado del tratamiento infringe el presente Reglamento al determinar los fines y medios del tratamiento, será considerado responsable del tratamiento con respecto a dicho tratamiento”. En el presente caso, consta que el MAEC es responsable de los tratamientos de datos ahora analizados, toda vez que, conforme define el artículo 4.7 del RGPD, es la entidad que determina la finalidad y medios de los tratamientos realizados. En su condición de responsable del tratamiento está obligada a cumplir con lo dispuesto en el transcrito artículo 24 del RGPD y, en especial, lo relativo al control efectivo y continuado de las “medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme con el presente Reglamento”, entre las que se encuentran las dispuestas en el artículo 28 del RGPD en relación con los encargados de los tratamientos que actúen en nombre y por cuenta del citado Ministerio. En este sentido, y en relación con la alegación evacuada por el MAEC en su escrito de alegaciones al acuerdo de inicio, según las cuales las operadoras de telefonía son las que disponen de las bases de datos y, por ello, no actúan en calidad de encargadas sino en calidad de responsables de esos tratamientos, en las Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD), sobre los conceptos de responsable del tratamiento y encargado en el RGPD, se indica que “42. No es necesario que el responsable del tratamiento tenga realmente acceso a los datos que se están procesando. Quien externalice una actividad de tratamiento y, al hacerlo, tenga una influencia determinante en la finalidad y los medios (esenciales) del tratamiento (por C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/29 ejemplo, ajustando los parámetros de un servicio de tal manera que influya en cuyos datos personales serán tratados), debe ser considerado como responsable aunque nunca tendrá acceso real a los datos” (la traducción es nuestra). El MAEC determina a quién se pueden remitir los mensajes que constituyen el objeto del programa “***PROGRAMA.1” desarrollado por el propio Ministerio. Asimismo, el informe jurídico de la AEPD de fecha 20/11/2019, con referencia interna 0007/2019, y STS 772/2020 (por todas), analizan la figura jurídica de encargado del tratamiento desde la perspectiva del RGPD, que regula esta figura en su artículo 28. La existencia de un encargado del tratamiento depende de una decisión adoptada por el responsable del tratamiento, que podrá decidir realizar por sí mismo determinadas operaciones de tratamiento o contratar la totalidad o parte del tratamiento con un encargado. La esencia de la función del encargado el tratamiento es que los datos personales sean tratados en nombre y por cuenta del responsable del tratamiento. En la práctica, es el responsable el que determina la finalidad y los medios, al menos los esenciales, mientras que el encargado del tratamiento tiene la función de prestar servicios a los responsables del tratamiento. En otras palabras, “actuando en nombre y por cuenta del responsable del tratamiento” significa que el encargado del tratamiento está al servicio del interés del responsable del tratamiento en llevar a cabo una tarea específica y que, por tanto, sigue las instrucciones establecidas por éste, al menos en lo que se refiere a la finalidad y a los medios esenciales del tratamiento encomendado. El responsable del tratamiento es quien tiene la obligación de garantizar la aplicación de la normativa de protección de datos y la protección de los derechos de los interesados, así como ser capaz de demostrarlo (artículos 5.2, 24, 28 y 32 del RGPD). El control del cumplimiento de la legalidad se extiende durante todo el tratamiento, desde el principio hasta el final. El responsable del tratamiento debe actuar, en cualquier caso, de forma diligente, consciente, comprometida y activa. Ese mandato del legislador es independiente de que el tratamiento lo realice directamente el responsable del tratamiento o de que lo efectúe valiéndose de un encargado del tratamiento. Además, el tratamiento ejecutado materialmente por un encargado de tratamiento por cuenta del responsable del tratamiento pertenece a la esfera de actuación de éste último, de igual forma que si lo realizara directamente él mismo. El encargado de tratamiento, en el supuesto examinado, es una extension del responsable del tratamiento. A la luz del principio de responsabilidad proactiva (art 5.2 RGPD), el responsable del tratamiento debe poder demostrar que ha tomado en cuenta todos los elementos previstos en el RGPD. El responsable del tratamiento debe tener en cuenta si el encargado del tratamiento aporta documentación adecuada que demuestre dicho cumplimiento, políticas de protección de la intimidad, las políticas de gestión de archivos, las políticas de seguridad de la información, los informes de auditoría externa, las certificaciones, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/29 gestión de los ejercicios de derechos, etc. Asimismo, antes de externalizar un tratamiento y a fin de evitar posibles vulneraciones de derechos y libertades de los afectados, el responsable del tratamiento debe celebrar un contrato, otro acto jurídico o un acuerdo vinculante con la otra entidad que establezca obligaciones claras y precisas en materia de protección de datos. El encargado del tratamiento solo puede realizar tratamientos sobre las instrucciones documentadas del responsable, a menos que esté obligado a hacerlo por el Derecho de la Unión o de un Estado miembro, que no es el caso. A este respecto, el artículo 29 del RGPD se refiere al “Tratamiento bajo la autoridad del responsable o del encargado del tratamiento” en los términos siguientes: “El encargado del tratamiento y cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo podrán tratar dichos datos siguiendo instrucciones del responsable, a no ser que estén obligados a ello en virtud del Derecho de la Unión o de los Estados miembros”. El encargado del tratamiento tiene también la obligación de colaborar con el responsable en garantizar los derechos de los interesados y cumplir las obligaciones del responsable del tratamiento de conformidad con lo dispuesto en el citado art 28 del RGPD (y conexos). Por tanto, el responsable del tratamiento debe establecer modalidades claras para dicha asistencia y dar instrucciones precisas al encargado del tratamiento sobre cómo cumplirlas de forma adecuada y documentarlo previamente a través de un contrato o bien en otro acuerdo (vinculante) y comprobar en todo momento del desarrollo del contrato su cumplimiento en la forma establecida en el mismo. Solo será el encargado plenamente responsable cuando sea enteramente responsable de los perjuicios ocasionados en cuanto a los derechos y libertades de los interesados afectados. Todo ello, sin eludir la responsabilidad en la que pueda incurrir el responsable del tratamiento en orden a evitar aquellos perjuicios. En el presente caso, la correcta calificación jurídica con arreglo al RGPD de las operadoras de telefonía a las que el MAEC encargó la remisión de los SMS objeto del programa “***PROGRAMA.1” es la de encargadas del tratamiento, toda vez que, actúan plenamente en nombre y por cuenta del MAEC, en beneficio de este Ministerio, que es la entidad responsable del tratamiento a todos lo efectos en materia de protección de datos. Los argumentos expuestos se estiman suficientes para dar respuesta a las alegaciones a la propuesta de resolución planteadas por la entidad MAEC. Sin considerar esos argumentos, la citada entidad alega que no interviene en los hechos bajo la condición de responsable del tratamiento. Aunque acepta que define los fines para los que son tratados los datos personales en el marco del programa “***PROGRAMA.1”, niega que sea el MAEC la entidad que determina los medios, que son decididos por las operadoras. Según la reclamada, su actuación a este respecto se limita a comunicar a las operadoras la información que debe transmitirse, y son estas operadoras las que deciden enviar los mensajes SMS a través de los mismos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/29 canales que usan para la remisión de otros mensajes propios a sus clientes en itinerancia. Esta Agencia no comparte el planteamiento formulado por la entidad MAEC. Es el MAEC quien decide informar sobre la situación de las Embajadas y Consulados de España en el exterior y la forma de contacto con estos centros; y la entidad que decide la información concreta que se transmitirá, sus destinatarios específicos (clientes de las operadoras de telefonía con las que convino la ejecución del programa que viajen al extranjero con la itinerancia activada) y la forma en que se hará llegar la información (mensaje SMS). En definitiva, es el MAEC quien determina las operaciones de tratamiento de datos personales que se llevarán a cabo. Es lo mismo que decir que el MAEC es la entidad que determina por qué (la finalidad) y cómo (los medios) se tratan los datos personales para alcanzar el propósito que se pretende. En cuanto a los “medios del tratamiento”, las Directrices 07/2020 del Comité Europeo de Protección de Datos (CEPD) sobre los conceptos de responsable del tratamiento y encargado en el RGPD, ya citadas, señalan lo siguiente: “Por lo que respecta a la determinación de los medios, se puede hacer una distinción entre medios esenciales y no esenciales. Los "medios esenciales" están tradicional e inherentemente reservados al responsable del tratamiento. Mientras que los medios no esenciales también pueden ser determinados por el encargado, los medios esenciales deben ser determinados por el responsable del tratamiento. "Medios esenciales" son los medios que están estrechamente relacionados con la finalidad y el alcance del tratamiento, como el tipo de datos personales que se tratan ("¿qué datos se tratarán?"), la duración del tratamiento ("¿durante cuánto tiempo se tratarán?"), las categorías de destinatarios ("¿quién tendrá acceso a ellos?") y las categorías de interesados ("cuyos datos personales están siendo procesados"). Junto con la finalidad del tratamiento, los medios esenciales también están estrechamente relacionados con la cuestión de si el tratamiento es legal, necesario y proporcionado. Los "medios no esenciales" se refieren a aspectos más prácticos de la aplicación, tales como la elección de un tipo particular de software o las medidas de seguridad detalladas que pueden dejarse al encargado del tratamiento para que decida” (la traducción es nuestra). No queda duda alguna sobre la condición de responsable del tratamiento del MAEC, que no se ve afectada por el hecho de que convenga con otras entidades (las operadoras de telefonía mencionadas en este acto) la ejecución de las operaciones de tratamiento según sus instrucciones. Se da la circunstancia de que tampoco en este caso existe duda sobre la condición de encargadas del tratamiento que debe atribuirse a aquellas operadoras, que son entidades separadas e independientes del responsable que actúan en beneficio y por cuenta de éste y según sus instrucciones. Estas y no otras son las circunstancias que configuran los conceptos de responsable y encargado del tratamiento y los criterios para el reparto de sus funciones respectivas, que no han cambiado con la aprobación del RGPD. Reitera, asimismo, el MAEC que no puede atribuírsele la condición de responsable del tratamiento porque no accede a los datos, y señala al respecto que no existe norma alguna según la cual el responsable del tratamiento lo será con independencia de que tenga o no acceso a los datos personales tratados en algún momento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/29 Entiende la reclamada que para resolver esta cuestión se requiere de una interpretación, que la AEPD basa en un supuesto de tratamiento de datos con fines publicitarios y en un caso de prestación de servicios conforme a la LCSP, cuyas conclusiones no pueden trasladarse al caso presente, en contra de lo indicado en la propuesta de resolución. Como bien dice el MAEC en sus alegaciones, la norma no prevé si el responsable del tratamiento, para serlo, accede o no a los datos sometidos a tratamiento. Y ello es así porque el RGPD ya establece como suficiente para otorgar esa condición el hecho de que la entidad interviniente determine los fines y medios del tratamiento, de modo que no cabe añadir con interpretaciones de la norma ninguna otra exigencia o condición que dicha norma no prevé y, menos aún, considerar esa otra exigencia como preponderante hasta el punto de anular lo que la norma sí establece. El resultado de la interpretación realizada por el MAEC en su escrito de alegaciones daría lugar a un supuesto en el que una entidad determina los fines y los medios del tratamiento, pero no se la considera responsable del tratamiento por una circunstancia que el RGPD no contempla, como es el acceso o no a los datos personales por parte de esa entidad. La conclusión más acertada lleva a entender que la entidad que decide los fines y los medios del tratamiento es responsable con independencia de si esa entidad accede o no a los datos personales tratados. Según se destacó anteriormente, esta es también la posición defendida por el Comité Europeo de Protección de Datos en las Directrices 07/2020. En contra de lo señalado por el citado Ministerio, esta Agencia basa su conclusión anterior en lo establecido en la norma y en criterio consolidados, anteriores incluso al RPGD que, como se ha dicho, no ha modificado los conceptos de responsable y encargado del tratamiento. Los supuestos de tratamiento de datos con fines publicitarios y en el marco de un contrato de prestación de servicios conforme a la LCSP, analizados en la STS 772/2020 y en el informe jurídico de la AEPD de fecha 20/11/2019, con referencia interna 0007/2019, respectivamente, tan repetidos en el escrito de alegaciones del MAEC, se citan en la propuesta de resolución y en este acto como ejemplos de tratamientos realizados por cuenta del responsable del tratamiento sin que esta entidad acceda a los datos utilizados o de utilización de bases de datos personales de terceros. III Los derechos de las personas en materia de protección de datos personales están regulados en los artículos 15 a 22 del RGPD y 13 a 18 de la LOPDGDD. Se contemplan los derechos de acceso, rectificación, supresión, oposición, derecho a la limitación del tratamiento y derecho a la portabilidad. Los aspectos formales relativos al ejercicio de esos derechos se establecen en los artículos 12 del RGPD y 12 de la LOPDGDD. El artículo 12 “Transparencia de la información, comunicación y modalidades de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/29 ejercicio de derechos” del RGPD establece lo siguiente: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios. 2. El responsable del tratamiento facilitará al interesado el ejercicio de sus derechos en virtud de los artículos 15 a 22. En los casos a que se refiere el artículo 11, apartado 2, el responsable no se negará a actuar a petición del interesado con el fin de ejercer sus derechos en virtud de los artículos 15 a 22, salvo que pueda demostrar que no está en condiciones de identificar al interesado. 3. El responsable del tratamiento facilitará al interesado información relativa a sus actuaciones sobre la base de una solicitud con arreglo a los artículos 15 a 22, y, en cualquier caso, en el plazo de un mes a partir de la recepción de la solicitud. Dicho plazo podrá prorrogarse otros dos meses en caso necesario, teniendo en cuenta la complejidad y el número de solicitudes. El responsable informará al interesado de cualquiera de dichas prórrogas en el plazo de un mes a partir de la recepción de la solicitud, indicando los motivos de la dilación. Cuando el interesado presente la solicitud por medios electrónicos, la información se facilitará por medios electrónicos cuando sea posible, a menos que el interesado solicite que se facilite de otro modo.” 4.Si el responsable del tratamiento no da curso a la solicitud del interesado, le informará sin dilación, y a más tardar transcurrido un mes de la recepción de la solicitud, de las razones de su no actuación y de la posibilidad de presentar una reclamación ante una autoridad de control y de ejercitar acciones judiciales. 5.La información facilitada en virtud de los artículos 13 y 14 así como toda comunicación y cualquier actuación realizada en virtud de los artículos 15 a 22 y 34 serán a título gratuito. Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
  2. a)cobrar un canon razonable en función de los costes administrativos afrontados para facilitar la información o la comunicación o realizar la actuación solicitada, o
  3. b)negarse a actuar respecto de la solicitud. El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud. 6.Sin perjuicio de lo dispuesto en el artículo 11, cuando el responsable del tratamiento tenga dudas razonables en relación con la identidad de la persona física que cursa la solicitud a que se refieren los artículos 15 a 21, podrá solicitar que se facilite la información adicional necesaria para confirmar la identidad del interesado. 7.La información que deberá facilitarse a los interesados en virtud de los artículos 13 y 14 podrá transmitirse en combinación con iconos normalizados que permitan proporcionar de forma fácilmente visible, inteligible y claramente legible una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presenten en formato electrónico serán legibles mecánicamente. 8.La Comisión estará facultada para adoptar actos delegados de conformidad con el artículo 92 a fin de especificar la información que se ha de presentar a través de iconos y los procedimientos para proporcionar iconos normalizados”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/29 Por su parte, el artículo 12 “Disposiciones generales sobre ejercicio de los derechos” de la LOPDGDD, en sus apartados 2, 3 y 4, añade lo siguiente: “2. El responsable del tratamiento estará obligado a informar al afectado sobre los medios a su disposición para ejercer los derechos que le corresponden. Los medios deberán ser fácilmente accesibles para el afectado. El ejercicio del derecho no podrá ser denegado por el solo motivo de optar el afectado por otro medio. 3. El encargado podrá tramitar, por cuenta del responsable, las solicitudes de ejercicio formuladas por los afectados de sus derechos si así se establece en el contrato o acto jurídico que les vincule. 4. La prueba del cumplimiento del deber de responder a la solicitud de ejercicio de sus derechos formulado por el afectado recaerá sobre el responsable”. Cuando se realice un tratamiento de datos por cuenta de un responsable del tratamiento, de conformidad con lo establecido en el artículo 28 del RGPD, el encargado del tratamiento “asistirá al responsable… para que éste pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el Capítulo III”. Esta obligación debe estipularse en el contrato o acto jurídico que vincule al encargado respecto del responsable (apartado 3 del citado artículo 28 del RGPD). De conformidad con lo dispuesto en estas normas, el responsable del tratamiento debe arbitrar fórmulas y mecanismos para facilitar al interesado el ejercicio de sus derechos, que serán gratuitas (sin perjuicio de lo dispuesto en los artículos 12.5 y 15.3 del RGPD); y debe impartir instrucciones al encargado del tratamiento, si lo hubiere, para que le remita las solicitudes que reciba o para que las tramite convenientemente, si así se dispone en el contrato o acto jurídico que les vincule. Asimismo, el responsable del tratamiento o el encargado, en su caso, vienen obligados a responder las solicitudes formuladas a más tardar en un mes, salvo que puedan demostrar que no están en condiciones de identificar al interesado; así como a expresar sus motivos en caso de que no atendieran la solicitud. De lo anterior se desprende que la solicitud de ejercicio de derechos formulada por el interesado debe ser respondida en todo caso, recayendo sobre el responsable la prueba del cumplimiento de este deber. Esta obligación de actuar no resulta exigible cuando el responsable del tratamiento pueda demostrar que no está en condiciones de identificar al interesado (en los casos a que se refiere el artículo 11.2 del RGPD). En supuestos distintos al previsto en este artículo, en los que el responsable del tratamiento tenga dudas razonables en relación con la identidad del solicitante, podrá requerir información adicional necesaria para confirmar esa identidad. A este respecto, el Considerando 64 del RGPD se expresa en los términos siguientes: “
(64)El responsable del tratamiento debe utilizar todas las medidas razonables para verificar la identidad de los interesados que soliciten acceso, en particular en el contexto de los servicios en línea y los identificadores en línea. El responsable no debe conservar datos personales con el único propósito de poder responder a posibles solicitudes”. En lo que se refiere al derecho de oposición, el RGPD estipula en su artículo 21 lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/29 siguiente: “1. El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras
  1. e)o f), incluida la elaboración de perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones. 2. Cuando el tratamiento de datos personales tenga por objeto la mercadotecnia directa, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia. 3. Cuando el interesado se oponga al tratamiento con fines de mercadotecnia directa, los datos personales dejarán de ser tratados para dichos fines. 4. A más tardar en el momento de la primera comunicación con el interesado, el derecho indicado en los apartados 1 y 2 será mencionado explícitamente al interesado y será presentado claramente y al margen de cualquier otra información. 5. En el contexto de la utilización de servicios de la sociedad de la información, y no obstante lo dispuesto en la Directiva 2002/58/CE, el interesado podrá ejercer su derecho a oponerse por medios automatizados que apliquen especificaciones técnicas. 6. Cuando los datos personales se traten con fines de investigación científica o histórica o fines estadísticos de conformidad con el artículo 89, apartado 1, el interesado tendrá derecho, por motivos relacionados con su situación particular, a oponerse al tratamiento de datos personales que le conciernan, salvo que sea necesario para el cumplimiento de una misión realizada por razones de interés público”. La persona titular de los datos de carácter personal puede ejercitar ante el responsable del tratamiento una serie de derechos, entre los que se encuentra el de oposición al tratamiento. En este caso, consta que el reclamante se dirigió formalmente al MAEC manifestando su oposición a la utilización de sus datos personales en el marco del programa “***PROGRAMA.1”, sin que la entidad reclamada diera respuesta al ejercicio del derecho. Ni siquiera el MAEC, como responsable del tratamiento, ha dispuesto los mecanismos y procedimientos necesarios para atender el ejercicio de derechos por los ciudadanos, llegando incluso a afirmar que esta obligación corresponde a las operadoras que le prestan servicio. Obviamente, siendo el MAEC la entidad responsable del tratamiento, el derecho ejercitado por el reclamante en dos ocasiones no puede entenderse atendido, como pretende dicha entidad, con la respuesta por la cual se informa al reclamante que para satisfacer su pretensión debe dirigirse a las operadoras de telefonía. Se da la circunstancia, por otra parte, que las dos solicitudes de ejercicio de derechos formuladas por el reclamante no fueron atendidas por el MAEC y la respuesta a la que se refiere esta entidad se facilita con ocasión del trámite de traslado de la reclamación efectuado por esta Agencia de conformidad con lo establecido en el artículo 65.4 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/29 En consecuencia, de conformidad con las evidencias expuestas, los citados hechos suponen una vulneración de lo dispuesto en el artículo 21, del RGPD, que da lugar a la aplicación de los poderes correctivos que el artículo 58 del citado Reglamento otorga a la Agencia Española de Protección de datos. El incumplimiento del precepto indicado se encuentra tipificado como infracción en el apartado 5.
  2. b)del artículo 83 del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas” dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…)
  3. b)los derechos de los interesados a tenor de los artículos 12 a 22”. A este respecto, la LOPDGDD, en su artículo 71 establece que “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A efectos del plazo de prescripción, la LOPDGDD en su artículo 72, “Infracciones consideradas muy graves”, señala lo siguiente: “1. En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: (…)
  4. k)El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679”. Sobre esta cuestión, la Sentencia del Tribunal Supremo 772/2020, de 15 de junio, declara lo siguiente : “La conducta sancionada de obstaculización o impedimento por XXX del ejercicio por su cliente del derecho de oposición al tratamiento de sus datos, se manifiesta en que dicha sociedad no adoptó ninguna clase de medida o de cautela para evitar el envío de publicidad a las direcciones de correo electrónico de su cliente por parte de aquellas empresas a las que encomendó la realización de las campañas publicitarias. La adopción de las medidas o cautelas necesarias para asegurar la efectividad del derecho de oposición al tratamiento de sus datos por parte de XXX, como responsable del fichero, subsisten aunque las campañas publicitarias no se realicen a partir de los datos de sus propios ficheros, sino con bases de datos de otras compañías contratadas por XXX, y en este caso quedó acreditado que la recurrente no comunicó a las empresas con las que contrató la realización de servicios de publicidad la oposición del denunciante a recibir publicidad de XXX, ni en definitiva adoptó previsión alguna para asegurar la exclusión de su cliente de los envíos publicitarios contratados con terceras entidades”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/29 IV En segundo lugar, se imputa a la entidad reclamada la vulneración del artículo 28 del RGPD, “Encargado del tratamiento”. En su apartado 3, este precepto establece: “3. El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado:
  5. a)tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público;
  6. b)garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria;
  7. c)tomará todas las medidas necesarias de conformidad con el artículo 32;
  8. d)respetará las condiciones indicadas en los apartados 2 y 4 para recurrir a otro encargado del tratamiento;
  9. e)asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III;
  10. f)ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado;
  11. g)a elección del responsable, suprimirá o devolverá todos los datos personales una vez finalice la prestación de los servicios de tratamiento, y suprimirá las copias existentes a menos que se requiera la conservación de los datos personales en virtud del Derecho de la Unión o de los Estados miembros;
  12. h)pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. En relación con lo dispuesto en la letra
  13. h)del párrafo primero, el encargado informará inmediatamente al responsable si, en su opinión, una instrucción infringe el presente Reglamento u otras disposiciones en materia de protección de datos de la Unión o de los Estados miembros”. Estas obligaciones específicas podrán ser supervisadas por las autoridades de protección de datos, sin perjuicio de la fiscalización que pueda realizarse en relación con el cumplimiento del Reglamento o de la LOPDGDD por parte del responsable del tratamiento. De acuerdo con lo establecido en el artículo 28 RGPD, el responsable y el encargado de tratamiento de datos deben regular el tratamiento de datos en un contrato u acto jurídico que vincule al encargado respecto al responsable; ese contrato o acto jurídico deberá establecer el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, las obligaciones y derechos del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/29 responsable, etc. En este caso, no consta que la entidad MAEC y las operadoras de telefonía encargadas de trasladar a los ciudadanos que viajan al extranjero la información dispuesta en el marco del programa “***PROGRAMA.1” hubiesen formalizado ningún contrato o acto jurídico que regule la utilización de los datos personales de esos ciudadanos por parte de las operadoras, en contra de lo dispuesto en el citado artículo 28.3 del RGPD. La necesidad de formalizar la realización de tratamientos por cuenta de terceros mediante un escrito, o en alguna forma que permita acreditar su celebración y contenido, ya se regulaba en la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (LOPD). Por tanto, el incumplimiento de esta obligación por parte del MAEC no se justifica por el hecho de que la iniciativa “***PROGRAMA.1” se hubiese dispuesto con anterioridad a la aplicación del RGPD o de la LRJSP, en contra de lo señalado por dicha entidad en sus alegaciones. Tampoco esta circunstancia exime a la reclamada de la obligación de adaptar su actuación a las citadas normas, una vez fueron plenamente aplicables. En consecuencia, de conformidad con las evidencias expuestas, los citados hechos suponen una vulneración de lo dispuesto en el artículo 28.3 del RGPD, tipificada como infracción en el en el apartado 4.
  14. a)del artículo 83 del RGPD, que bajo la rúbrica “Condiciones generales para la imposición de multas administrativas”, que establece lo siguiente: “4. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  15. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;”. A efectos del plazo de prescripción, la LOPDGDD en su artículo 73 k), “Infracciones consideradas graves”, señala lo siguiente: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  16. k)Encargar el tratamiento de datos a un tercero sin la previa formalización de un contrato u otro acto jurídico escrito con el contenido exigido por el artículo 28.3 del Reglamento (UE) 2016/679”. V Una vez constatado que la entidad realizó las acciones típicas -infracción de lo establecido en los artículos 21 y 28.3 del RGPD-, debemos analizar si concurre el elemento subjetivo de la culpabilidad. La presencia del elemento subjetivo es esencial para exigir en el ámbito del Derecho Administrativo Sancionador responsabilidad por el ilícito cometido, pues no cabe en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/29 este marco imponer sanciones basadas en la responsabilidad objetiva del presunto infractor. Así, en STC 76/1999 el Alto Tribunal afirma que las sanciones administrativas participan de la misma naturaleza que las penales, al ser una de las manifestaciones del ius puniendi del Estado, y que, como exigencia derivada de los principios de seguridad jurídica y legalidad penal consagrados en los artículos 9.3 y 25.1 de la CE, es imprescindible la presencia del elemento de la culpabilidad como condición para que nazca responsabilidad sancionadora. El principio de culpabilidad es exigido en el procedimiento sancionador y así la STC 246/1991 considera inadmisible en el ámbito del Derecho administrativo sancionador una responsabilidad sin culpa. Pero el principio de culpa no implica que sólo pueda sancionarse una actuación intencionada y a este respecto el artículo 28 de la Ley 40/2015 de Régimen Jurídico del Sector Público, bajo la rúbrica “Responsabilidad”, dispone lo siguiente: “1. Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa”. Los hechos expuestos en el Fundamento precedente ponen de manifiesto que la reclamada no obró con la diligencia a la que venía obligada. En este caso, resulta obvio que el programa “***PROGRAMA.1” conlleva la realización de actividades de tratamientos de datos personales. Aun así, la entidad MAEC dispuso su ejecución sin habilitar mecanismos y procedimientos adecuados para la atención de los derechos de los interesados y encomendó a entidades terceras el envío de los mensajes que constituyen el objeto principal del programa sin adoptar las formalidades específicas que impone la normativa aplicable. Esta actuación del MAEC, que se materializa en las infracciones de las que se responsabiliza a la citada entidad, adolece de una grave falta de diligencia. El Tribunal Supremo (STS 16 de abril de 1991 y STS 22 de abril de 1991) considera que del elemento culpabilista se desprende “que la acción u omisión, calificada de infracción sancionable administrativamente, ha de ser, en todo caso, imputable a su autor, por dolo o imprudencia, negligencia o ignorancia inexcusable”. El mismo Tribunal razona que “no basta... para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa” sino que es preciso “que se ha empleado la diligencia que era exigible por quien aduce su inexistencia” (STS 23 de enero de 1998). Conectada también con el grado de diligencia que el responsable del tratamiento está obligado a desplegar en el cumplimiento de las obligaciones que le impone la normativa de protección de datos puede citarse la SAN de 17/10/2007 (Rec. 63/2006), que precisó: “(...) el Tribunal Supremo viene entendiendo que existe imprudencia siempre que se desatiende un deber legal de cuidado, es decir, cuando el infractor no se comporta con la diligencia exigible”. A mayor abundamiento, la Audiencia Nacional en materia de protección de datos de carácter personal, ha declarado que “basta la simple negligencia o incumplimiento de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/29 los deberes que la Ley impone a las personas responsables de ficheros o del tratamiento de datos de extremar la diligencia...” (SAN 29 de junio de 2001). Se concluye, por tanto, en contra de lo objetado por la entidad MAEC, que el elemento subjetivo sí está presente en las dos infracciones imputadas. VI Por otra parte, en el artículo 83.7 del RGPD se dispone que, sin perjuicio de los poderes correctivos de las autoridades de control en virtud del art. 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro. La LOPDGDD en su artículo 77, “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento”, establece lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  17. a)Los órganos constitucionales o con relevancia constitucional y las instituciones de las comunidades autónomas análogas a los mismos.
  18. b)Los órganos jurisdiccionales.
  19. c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local.
  20. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas.
  21. e)Las autoridades administrativas independientes.
  22. f)El Banco de España.
  23. g)Las corporaciones de Derecho público cuando las finalidades del tratamiento se relacionen con el ejercicio de potestades de derecho público.
  24. h)Las fundaciones del sector público. I) Las Universidades Públicas.
  25. j)Los consorcios.
  26. k)Los grupos parlamentarios de las Cortes Generales y las Asambleas Legislativas autonómicas, así como los grupos políticos de las Corporaciones Locales. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución sancionando a las mismas con apercibimiento. La resolución establecerá asimismo las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/29 Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica”. Así, considerando la posibilidad contemplada en este precepto para corregir las actuaciones de los responsables que no se adecúen a la normativa de protección de datos personales, cuando los responsables enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de la citada Ley Orgánica, en este caso procede imponer a la entidad reclamada, es decir a la entidad MAEC, una sanción de apercibimiento. Asimismo, se contempla que la resolución que se dicte pueda establecer las medidas que proceda adoptar para que cese la conducta, se corrijan los efectos de la infracción que se hubiese cometido y se lleve a cabo la necesaria adecuación, en este caso, a las exigencias contempladas en los artículos 21 y 28.3 del RGPD, así como la aportación de medios acreditativos del cumplimiento de lo requerido. Así, conforme a lo establecido en el citado artículo 77 de la LOPDGDD, procede requerir a la entidad responsable para que, en el plazo indicado en la parte dispositiva, adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en los Fundamentos de Derecho anteriores. En concreto, deberá establecer los mecanismos y procesos de gestión necesarios para posibilitar la atención de los derechos reconocidos a los interesados y formalizar, conforme a lo establecido en el artículo 28.3 del RGPD, la relación que vincula al MAEC y a las operadoras de telefonía en el marco del programa “***PROGRAMA.1”. Asimismo, deberá atender el derecho ejercitado por el reclamante y comunicar a las operadoras de telefonía la decisión adoptada al respecto para que cesen en el envío a dicho reclamante de mensajes SMS en el marco del programa “***PROGRAMA.1”. A este respecto, se advierte que no atender los requerimientos de este organismo puede ser considerado como una infracción administrativa grave al “no cooperar con la Autoridad de control” ante los requerimientos efectuados, pudiendo ser valorada tal conducta a la hora de la apertura de un procedimiento administrativo sancionador. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/29 Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de graduación de las sanciones cuya existencia ha quedado acreditada, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad MINISTERIOS DE ASUNTOS EXTERIORES, UNION EUROPEA Y COOPERACION, con CIF ***CIF.1, por la infracción de los artículos 21 y 28.3 del RGPD, tipificadas, respectivamente, en los artículos 83.5.
  27. b)y 83.4.
  28. a)del mismo Reglamento, y calificadas como muy grave y grave a efectos de prescripción en los artículos 72.1.
  29. k)y 73.
  30. k)de la LOPDGDD, una sanción de apercibimiento. SEGUNDO: REQUERIR a la entidad MINISTERIOS DE ASUNTOS EXTERIORES, UNION EUROPEA Y COOPERACION, para que, en el plazo de tres meses, contado desde la notificación de la presente resolución, adecúe su actuación a la normativa de protección de datos personales, con el alcance expresado en el Fundamento de Derecho V, y justifique ante esta Agencia Española de Protección de Datos la atención del presente requerimiento. En el texto de la resolución se establecen cuáles han sido las infracciones cometidas y los hechos que han dado lugar a la vulneración de la normativa de protección de datos, de lo que se infiere con claridad cuáles son las medidas a adoptar, sin perjuicio de que el tipo de procedimientos, mecanismos o instrumentos concretos para implementarlas corresponda a la parte sancionada, pues es el responsable del tratamiento quien conoce plenamente su organización y ha de decidir, en base a la responsabilidad proactiva y en enfoque de riesgos, cómo cumplir con el RGPD y la LOPDGDD. TERCERO: NOTIFICAR la presente resolución a la entidad MINISTERIOS DE ASUNTOS EXTERIORES, UNION EUROPEA Y COOPERACION. CUARTO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  31. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/29 De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-26102021 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.