← España

PS-00298-2025

1/21  Expediente N.º: EXP202407319 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: La Agencia Española de Protección de Datos ha tenido conocimiento de ciertos hechos que podrían constituir una posible infracción imputable a AGENCIA ESTATAL CONSEJO SUPERIOR DE INVESTIGACIONES CIENTÍFICAS con NIF Q2818002D (en adelante, CSIC). Los hechos que se pusieron en conocimiento de esta autoridad fueron los siguientes: La parte denunciante afirma ser ***PUESTO.1, y expresa que la Estación Biológica de Doñana (EBD) es un centro de investigación perteneciente a la entidad denunciada, donde trabajan más de ***CANTIDAD.1 y cuenta con una gran flota de vehículos. Desde la dirección de la EBD, afirma el denunciante, enviaron un correo electrónico a todo el personal, el 31 de marzo de 2023, en el que informan que han puesto en algún vehículo al azar dispositivos GPS ocultos, sin informar previamente al personal afectado, para detectar irregularidades en el uso de los vehículos. El 30 de octubre de 2023 el director remitió un nuevo correo electrónico en el que informaba de la instalación de dispositivos GPS en todos los vehículos de la flota, siendo un sistema de seguimiento que registra, además de la ubicación en tiempo real, distintos parámetros del funcionamiento de vehículo, tales como encendido, inclinación, carga de batería, velocidad, aceleraciones, kilometraje, conductor, entre otros. La parte denunciante afirma que, a partir de octubre de 2023, se le asigna un dispositivo a cada conductor para identificarlo. En ningún momento se habría solicitado al personal la firma de consentimiento informado sobre el uso de esos dispositivos identificativos del conductor. Expresa la parte denunciante que tiene constancia de que este dispositivo se usa para el control horario del personal, la concesión o denegación de indemnizaciones por desplazamiento (dietas), y la creación de un índice de conducción que valora las habilidades de cada conductor. En la denuncia se indica asimismo que el tratamiento de los datos obtenidos por los dispositivos GPS no figuraría en el registro de actividades de tratamiento de datos personales en el ámbito de los Institutos, Centros y Unidades del CSIC. Anexo a la denuncia se aporta copia de los correos electrónicos mencionados en la denuncia - Correo electrónico de la dirección EBD de fecha de 31 de marzo de 2023; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/21 - Correo electrónico de la misma dirección, de fecha de 30 de octubre de 2023; Asimismo, se aporta copia del Registro de actividades de tratamiento de datos personales en el ámbito de los Institutos, centros y unidades del CSIC SEGUNDO: Como consecuencia de los hechos conocidos, con fecha 20 de mayo de 2024, la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) a iniciar las actuaciones previas de investigación a las que se refiere el artículo 67 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD). Durante las actuaciones se investigó a la AGENCIA ESTATAL CONSEJO SUPERIOR DE INVESTIGACIONES CIENTÍFICAS. Como consecuencia de las actuaciones realizadas, se ha tenido conocimiento de los siguientes extremos: PUNTO 1.- Sobre la aplicación utilizada para el control de los dispositivos GPS instalados en la flota de vehículos de la EBD y de los tratamientos. 1.A) Descripción detallada de la aplicación utilizada y de los datos tratados por la aplicación. Resultados que ofrece la aplicación. Información de cómo se asocian los datos con el conductor. Al respecto informan de lo siguiente: Manifiestan que se utiliza una aplicación de una empresa con sede en España, ***EMPRESA.1. Los datos registrados por el sistema son coordenadas geográficas tridimensionales en latitud, longitud, y altitud del vehículo asociada a una etiqueta de fecha y hora. Los datos son transmitidos a la plataforma por la red 4G siempre que haya cobertura telefónica. El sistema cuenta con identificación del conductor mediante etiquetas RFID (pequeño dispositivo que facilita identificación por radiofrecuencia, inalámbricamente). Cada conductor tiene asignado un dispositivo de identificación RFID que se coloca en un sensor durante el arranque del vehículo. El sistema almacena el identificador de la etiqueta del conductor asociado a la ruta. Los vehículos llevan incorporado el sistema gps con lector de etiqueta RFID. Indican que es relevante que la plataforma únicamente graba la identificación de la etiqueta RFID que hace uso el coche. Se trata de información anonimizada a efectos de la empresa titular de la plataforma, sin que ella pueda relacionar la etiqueta con la identidad del conductor. Indican que, en consecuencia, no se realiza ningún tratamiento de datos personales por parte de la empresa. Así mismo indican que la reidentificación del conductor, (asociación etiqueta - persona) pueden realizarla solo 4 personas de la EBD, que pueden acceder al nombre del conductor y su e-mail corporativo. (…) Manifiestan que la disponibilidad de los nombres de los conductores vinculados al RFID, por parte de las personas habilitadas del CSIC, es de gran importancia ya que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/21 una eventual anonimización puede tener consecuencias secundarias no deseadas. Así, el aviso de una emergencia o un accidente en que no sea posible identificar al conductor no permite saber de quien se trata para contactar con él inmediatamente por teléfono o desplazarse. Indican que si se identificara mediante un número requeriría primero localizar a alguien con acceso a la base de datos de identificación de conductores, para poder identificar el conductor y la forma de contactar con él. Adjuntan múltiple documentación general de seguridad de la empresa responsable de la plataforma. Aportan asimismo copia de los informes de pruebas generados por la aplicación indicando que no incluyeron referencia a conductores. Analizados, se verifica lo siguiente: - Informe de rutas, se comprueba que incluye la matrícula del vehículo utilizado, fechas (marzo, abril y mayo de 2023), horas, kilómetros y una serie de puntuaciones sobre diversos aspectos tales como velocidad, aceleración, frenada y giro. No se aprecian datos identificativos de los conductores. - Informe doc 2.2 de exceso de velocidad. Se comprueba que incluye matrícula, fechas y horas, así como posición de inicio y fin (latitud y longitud), velocidad máxima y media. No se aprecian datos identificativos de los conductores. - Informe de pruebas con el sistema de la otra empresa (***EMPRESA.2) que se probó y desechó. Indican al respecto que fue con la única aplicación que se probó el sistema de identificación de conductores y que solo se usaron dos llaves denominadas ***LLAVE.1 y ***LLAVE.2. Se verifica que en él se recogen datos de fechas (del 28 de julio al 3 de agosto de 2023). Como nombre de conductor aparece “***CONDUCTOR.1” y “***CONDUCTOR.2”. Figuran datos como alarmas: de superación de velocidad con el dato concreto de la velocidad del vehículo, de “Uso fuera del horario del vehículo”, de “control de trabajo: entrada en zona”, y datos de trayectos (ruta realizada). 1.B) Sobre los datos tratados de habilidades o calidad de la conducción del conductor, y las evaluaciones realizadas al respecto en su caso. Manifiestan que no se ha realizado un tratamiento posterior a la fase de pruebas, finalizada en noviembre 2023, sobre las habilidades o calidad de la conducción del conductor ni su evaluación. Ello frente a lo que pudiera deducirse del correo enviado por el Director en marzo de 2023, que manifiestan debe interpretarse en el siguiente sentido: - Se alude a actuaciones/infracciones anteriores al comienzo de las pruebas, de las que se tiene conocimiento sin intermediación del sistema de geolocalización: notificación de multas de tráfico etc.: “hemos detectado conductores que incumplen la normativa de circulación, y no de manera leve. Alguno de vosotros ha realizado conducciones temerarias que conllevan sanciones muy graves (pérdida de 6 puntos de carnet y multas de 600 euros), incluyendo excesos de velocidad, tanto en autopista, como en carreteras e C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/21 incluso conduciendo bastante por encima de la velocidad máxima dentro del Parque Nacional.“ - Y a sistemas potenciales de seguimiento que no han sido puestos en práctica: “Los sistemas actuales de seguimiento de vehículos identifican todo tipo de problemas de conducción. “ 1.C) Sobre los datos tratados sobre control de jornada laboral en su caso. Indican que la plataforma únicamente permite deducir el tiempo de uso de cada vehículo por encima de la jornada laboral, en su caso, al grabar el día y la hora en que el coche está encendido por la llave correspondiente así como su ubicación. Manifiestan que ni en pruebas ni posteriormente a su implantación se ha considerado ni establecido el control de horario como una de las finalidades. 1.D) Sobre el tiempo de almacenado de los datos. Justificación o motivo para el tiempo de permanencia que se especifique. Manifiestan que los datos se almacenan 2 meses, y con la finalidad de optimizar el uso de la flota hasta 1 año anonimizados, salvo que algún interesado argumente interés legítimo para oponerse. Indican que se considera el tiempo necesario a ambos efectos. PUNTO 2. Sobre las finalidades concretas del tratamiento, la base legal en la que se fundamenta el tratamiento, y el motivo de la implantación del sistema. Manifiestan que las finalidades y motivos de implantación del sistema de ubicación de flota mediante GPS en lo que se refiere a la utilización de datos de carácter personal son los siguientes:

  1. a)Mejorar los sistemas de Prevención de Riesgos Laborales (PRL) permitiendo a la dirección y a los responsables de personal conocer en todo momento donde se encuentra el personal desplazado por motivos de trabajo, que esté usando un vehículo. El sistema permite al personal autorizado recibir alertas en caso de accidente para la agilidad de la actuación y proporcionar al personal de la organización implicado en un rescate o a los servicios de emergencias la ubicación de un vehículo que ha sufrido un accidente. Ha de tenerse en cuenta que con mucha frecuencia el personal trabaja en Doñana en lugares donde no hay vías públicas, en dunas y terrenos de difícil orografía y donde resulta difícil ubicar un vehículo que ha sufrido una avería o un accidente, y donde la rapidez de respuesta en el último caso es esencial desde un punto de vista de PRL. Desde un punto de vista de PRL la gran ventaja del sistema es la inmediatez para poder acceder a la ubicación del vehículo y la persona que está conduciendo en tiempo real. El sistema puede enviar una alerta en caso de accidente a las personas que se indique en la plataforma. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/21
  2. b)La detección de usos indebidos graves particulares de vehículos oficiales. Los vehículos sobre los que se ha implementado el sistema son bienes públicos que pueden ser usados sólo por motivos de trabajo, amparados por una autorización de la dirección mediante una Orden de Servicio. Como funcionarios públicos es obligación de la dirección del centro asegurar que los vehículos se usan sólo para trabajo y de acuerdo con la normativa. Indican que los trabajadores han sido advertidos y se cumple lo requerido y previsto en la STS de 20 de septiembre de 2020, que en resumen indica que la trabajadora conocía que el vehículo no podía ser utilizado fuera de la jornada laboral y, junto a ello, que el mismo estaba localizable a través del receptor GPS. Indican que de ahí que no aprecian ninguna invasión en sus derechos fundamentales con la constatación de los datos de geolocalización que permiten ver que el indicado vehículo es utilizado desobedeciendo las instrucciones de la empresa en momentos en que no existía prestación de servicios. Había conocimiento previo y no se aprecia invasión de la esfera privada de la trabajadora, al afectar exclusivamente a la ubicación y movimiento del vehículo del que, eso sí, ella era responsable y debía utilizar con arreglo a lo pactado.
  3. c)Optimizar el uso de los coches ya que permite verificar si un coche reservado está realmente haciendo trabajo de campo o está parado en las instalaciones de Doñana o en algún otro lugar. El sistema también permite correlacionar el uso que se le da a los coches, con las operaciones de mantenimiento y averías que tienen posteriormente. Indican que las bases legales para el tratamiento de datos son: en primer lugar, el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de éste de medidas precontractuales; Y en lo que se refiere a la prohibición del uso para finalidades privadas del uso del vehículo: el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; Manifiestan que la normativa de PRL obliga a la adopción de medidas adecuadas. La especial orografía de la Estación de Doñana puede derivar en accidentes sobre las personas. Así mismo, indican que: - Tras las pruebas realizadas no se han implementado en noviembre de 2023 otras prestaciones que ofrece la aplicación como el análisis de velocidades y uso de los vehículos a los efectos de detección de infracciones graves en la conducción. - Su eventual implantación futura requeriría pruebas adicionales. - Esta prestación la consideran de gran utilidad por las circunstancias concurrentes pero no se ha activado ante las dudas de acuerdo con lo informado por el Delegado de Protección de Datos (DPD) sin que se haya informado en consecuencia a los afectados de este tratamiento, a partir de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/21 finalización de pruebas y comienzo de tratamiento individualizado en noviembre 2023. - En todo caso, en el supuesto de implantación en el futuro se informará previamente a los trabajadores sin que, en fase de pruebas, esté previsto tratar sus datos a tales efectos. PUNTO 3. Registro de Actividades de Tratamiento (RAT), al que se refiere el art. 30 del RGPD, donde conste el tratamiento en de GPS en cuestión. Fecha de la incorporación de este tratamiento en el RAT. Aportan copia, verificándose que consta como nombre de la actividad de tratamiento “Estación Biológica de Doñana. Seguimiento de vehículos de flota” y entre otros los siguientes aspectos: “
  4. b)Los fines del tratamiento: ‐ prevención de riesgos laborales: ubicación de vehículo en caso de necesidad: haber perdido el contacto con alguien, incendio, accidente. ‐ detectar conductas de uso inadecuado del vehículo referente al uso privado injustificado durante y fuera de horario laboral. Tratamientos adicionales como optimización del uso de la flota se realizara de manera anonimizada
  5. c)Una descripción de las categorías de interesados: Interesados: Trabajadores de la Estación Biológica de Doñana usuarios de vehículos de flota Datos personales; Nombre y apellidos del conductor, email corporativo, identificación del conductor con una etiqueta RFID que se coloca en un sensor durante el arranque del vehículo quedando vinculado a la ruta, coordenadas geográficas […]
  6. h)Base legal Art 6 1 RGPD
  7. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  8. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;”. Indican que su publicación según la información disponible se realizó en noviembre de 2024, fecha en que se empezaron a tratar datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/21 En fecha 15/10/2024 se realiza una búsqueda en Internet encontrando la publicación del RAT del CSIC: “REGISTRO DE ACTIVIDADES DE TRATAMIENTO DE DATOS PERSONALES EN EL ÁMBITO DE LOS INSTITUTOS, CENTROS Y UNIDADES DEL CSIC” fechado el 17 de julio de 2023. Se encuentra en la dirección: https://www.csic.es/sites/default/files/2023-09/registro_de_tratamientos_icus_v18.pdf No se encuentra en este RAT la publicación de la actividad de tratamiento “Estación Biológica de Doñana. Seguimiento de vehículos de flota”. Sí se encuentran otras actividades de tratamiento de la EBD a partir de la página 101 del mismo. En fecha 27/01/2025 se realiza una búsqueda en Internet encontrando la publicación del RAT del CSIC: “REGISTRO DE ACTIVIDADES DE TRATAMIENTO DE DATOS PERSONALES EN EL ÁMBITO DE LOS INSTITUTOS, CENTROS Y UNIDADES DEL CSIC” fechado el 8 de enero de 2025. Se encuentra en la dirección: https://www.csic.es/sites/default/files/2025-01/registro-tratamientos-icus-v12.pdf Sí se encuentra en este RAT la publicación de la actividad de tratamiento “Estación Biológica de Doñana. Seguimiento de vehículos de flota”, página 128. Figura la información ya relatada más arriba. PUNTO 4. Sobre la Información facilitada a los empleados con respecto a los nuevos tratamientos y sobre sus derechos de protección de datos. Se ha requerido aportar copia toda la información ofrecida al respecto, incluyendo las fechas en la que se facilitó. Se ha requerido en concreto aportar la información que se facilitó a los empleados antes de la realización de las pruebas que se reflejan en el boletín “[(...)] uso vehículos de la flota” remitido por email al personal el 31 de marzo de 2023. Se pide adicionalmente sobre estas pruebas su descripción detallada, si se trataba de dispositivos ocultos, periodo temporal de las pruebas, número de dispositivos GPS que se instalaron y copia de los informes de resultados que arrojaron, incluyendo la identificación de los conductores y todos los datos personales que dichos informes pudieran contener. Sobre la información que se facilitó a los empleados antes de la realización de las pruebas que se reflejan en el boletín “[(...)] uso vehículos de la flota” remitido por email al personal el 31 de marzo de 2023, indican que la información y su contenido se trasladan como documentación adjunta: Doc.4.1. Acta de 29-3-2023 de la Junta de Instituto de EBD: apartado 2 Se comprueba que en el acta se cita: «En relación con el parque móvil de la EBD, se recuerda que por ahora se consideran “herramientas de trabajo” de servicios generales porque ni el ministerio ni otras entidades financiadoras aceptan que sean “equipos de trabajo científico-técnico por lo que es necesario cuidarlos y establecer un modo de gestión y uso eficiente. Se está estudiando incorporar dispositivos de control por geolocalización.» C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/21 Doc.4.2. Acta de 20-6-2023 de la Junta de Instituto de EBD: apartado 2 Se comprueba que en el acta se cita: “Se va a poner en marcha un sistema de gestión de la flota para la geolocalización y el análisis del uso de los vehículos de la EBD. Se ha contactado con varias empresas del sector y se están evaluando las prestaciones de cada una. Cuando se vaya a implementar se informará a todo el personal para cumplir con la LOPD.” Doc.4.3. Acta de 5-10-2023 de la Junta de Instituto EBD: apartado 3 Se comprueba que en el acta se cita: “Vehículos: están por llegar cuatro vehículos nuevos (y hemos dado de baja los que están en peor estado). Es inminente la implementación de un sistema de control de flotas. Se aprovechará para hacer una actualización de las normas de uso con una reunión con los usuarios más habituales.” Doc.4.4. Envío correo por el Director a [(...)] 21 FEBRERO 2023 informando a todos los trabajadores de que se están realizando pruebas. Se comprueba que en el correo se cita: “Para vuestra información, estamos realizando pruebas en varios vehículos de la casa de diversos sistemas de seguimiento de vehículos de flota. Si las pruebas fuesen satisfactorias procederíamos a instalarlo en todos los vehículos de la casa.” Doc.4.5. Envío correo por el director a [(...)] de la aprobación de la instalación uso vehículos de la flota del 31 de Marzo 2023 a todos los trabajadores y de los problemas que lo justifican. Se verifica que se trata del correo ya aportado por el denunciante. Doc 4.6. Envío correo 30 octubre 2023 a todo el personal [(...)] de la EBD de que se está instalando y sus objetivos. Convocatoria reunión 9-11-2023 en la Sala de Juntas. Se verifica que se trata del segundo correo ya aportado por el denunciante. Doc 4.7. Certificado sobre que todo el personal está incluido en la lista de distribución [(...)] Doc 4.8 Aviso-información a todo el personal noviembre de 2023 publicado en la intranet y ubicado en la guantera de cada vehículo. Se verifica que este comunicado incluye la siguiente información: “AVISO-INFORMACION SOBRE LA IMPLANTACION EN NOVIEMBRE DE 2023 DE UN SISTEMA DE GEOLOCALIZACIÓN EN LA FLOTA DE LA EBD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/21 Como se ha expuesto y tratado en varios correos y reuniones, tras las pruebas pertinentes de diferentes sistemas se ha instalado un sistema de geolocalización en los vehículos de la flota. Aunque ya se ha trasladado en diferentes formas se vuelve a informar sobre los datos de carácter personal que registra el sistema. Todo ello de manera adicional a la información recogida en el Registro de Actividades del Tratamiento:
  9. a)Los fines del tratamiento: -prevención de riesgos laborales: ubicación de vehículo en caso de necesidad: haber perdido el contacto con alguien, avería, incendio, accidente. -detectar conductas de uso inadecuado del vehículo referente al uso privado injustificado durante y fuera de horario laboral. Tratamientos adicionales como optimización del uso de la flota que se realizara de manera anonimizada
  10. b)Datos personales; Nombre y apellidos del conductor, email corporativo, identificación del conductor con una etiqueta RFID que se coloca en un sensor durante el arranque del vehículo quedando vinculado a la ruta seguida por el vehículo en forma de coordenadas geográficas transmitidas por GSM en tiempo real.
  11. c)Las categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales: la información se registrará en la ***PLATAFORMA.1. Solo acceden cuatro personas de EBD: director, gerente y encargados de la implantación del sistema.
  12. d)plazos previstos para la supresión de las diferentes categorías de datos; 2 meses o, anonimizado y a los efectos de optimizar el uso de la flota hasta 1 año, salvo que algún interesado argumente interés legítimo para oponerse.
  13. e)medidas técnicas y organizativas de seguridad a que se refiere el artículo 32, apartado 1 del RGPD. Respecto a ello la EBD-CSIC. de acuerdo con la disposición adicional primera de la LOPDGDD, aplicarán las medidas de seguridad de acceso a datos personales previstas en el Esquema Nacional de Seguridad. Respecto a la ***PLATAFORMA.1 se aplican las que figura en la página ***URL.1 y en la documentación de que dispone la gerencia de la EBD-CSIC ***EMAIL.1
  14. f)Base legal Art 6 1 RGPD
  15. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento;
  16. e)el tratamiento es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/21
  17. g)Podrá ejercitar los derechos de acceso, rectificación, supresión y portabilidad, limitación y oposición a su tratamiento, así como a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado de sus datos, cuando proceda, dirigiéndose a ***EMAIL.1 También puede ejercerlos ante el Consejo Superior de Investigaciones Científicas, C/ Serrano 117, 28006, Madrid a la atención del delegado de protección de datos o en el correo electrónico ***EMAIL.2. Podrá asimismo presentar una reclamación ante la Agencia Española de Protección de Datos.” Sobre las pruebas antes de la implantación definitiva y su descripción detallada, si se trataba de dispositivos ocultos, periodo temporal de las pruebas, número de dispositivos GPS que se instalaron y copia de los informes de resultados que arrojaron, incluyendo la identificación de los conductores y todos los datos personales que dichos informes pudieran contener, aportan la siguiente información y documentación: Indican que los contactos con la empresa que finalmente se instaló el sistema de control de flotas, ***EMPRESA.1, se iniciaron en marzo de 2023. Manifiestan que las pruebas comenzaron el 17/03/2023 sin el tratamiento de datos personales salvo el de los dos encargados de su análisis e implantación: se instaló un único dispositivo GPS conectado a uno de los coches. El sistema estuvo rotando de forma aleatoria por distintos vehículos para comprobar que tipo de información proporcionaba y como de útil resultaba la información para la gestión de la flota. El sistema carecía de identificación del conductor con lo que en ningún momento se almacenó información de los conductores. Manifiestan que también se consideraron otros sistemas: contactaron con varias empresas, (…) que proporcionó otro dispositivo GPS que se instaló en junio de 2023. En este caso sí se instaló el sistema de identificación del conductor pero las llaves ID sólo las usaron los encargados de su análisis e implantación: (…). El sistema sólo almacenaba el dato de llave 1 o 2, cuando las dos personas que realizaban pruebas usaban el vehículo, pero ningún dato personal más, ni se podía asociar los movimientos de los vehículos con información personal de los conductores A este respecto ya han aportado información y documentación indicando que se usaron dos llaves denominadas ***LLAVE.1 y ***LLAVE.2. Aportan documentación, ya referenciada al final del punto 1.A) del presente informe, verificándose que en los informes aportados aparecen como nombres de los conductores “***CONDUCTOR.1” y “***CONDUCTOR.2”, de pruebas realizadas en fechas del 28 de julio al 3 de agosto de 2023. La captación de datos de los usuarios de los vehículos comenzó en noviembre 2023 PUNTO 5. Sobre si se realizó una Evaluación de Impacto (EIPD) o un Estudio previo similar con relación a este tratamiento. Aportan copia de la EIPD realizada por el EBD (doc.5). Se verifica que en esta EIPD consta una descripción del tratamiento, sus finalidades, la necesidad de la realización de la EIPD (ya que se tratan datos de geolocalización), los controles para la reducción C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/21 del riesgo, la identificación y análisis de los factores de riesgo, las medidas para mitigar los riesgos, y un análisis de la necesidad y proporcionalidad del tratamiento. En la descripción del tratamiento se cita lo siguiente: “El tratamiento de los datos de localización puede estar justificado si se lleva a cabo formando parte del control del transporte de personas o bienes o de la mejora de la distribución de los recursos para servicios en puntos remotos (por ejemplo, la planificación de operaciones en tiempo real) o cuando se trate de lograr un objetivo de seguridad en relación con el propio empleado o con los bienes o vehículos a su cargo. Estos medios de control permiten, además, el acceso a otra información, como el comportamiento al volante o incluso una monitorización u observación continua. Por tanto, la geolocalización aplicada a la herramienta conlleva también la geolocalización y el control del propio trabajador/a, por lo que han de tenerse en cuenta cautelas (Dictamen 2/2017 sobre el tratamiento de datos en el trabajo del Grupo de Trabajo del Artículo 29).” En análisis de la necesidad y proporcionalidad del tratamiento, se encuentra un juicio de idoneidad, necesidad y proporcionalidad en sentido estricto en el que se cita que: “La disponibilidad de los nombres de los conductores por las personas habilitadas del CSIC vinculadas al RFID es de gran importancia. Una eventual anonimización puede tener consecuencias secundarias no deseadas. Así, el aviso de una emergencia o un accidente en que no sea posible identificar al conductor con un valor numérico no permite saber inmediatamente de quien se trata para contactar con él por teléfono o desplazarse. Va requerir primero localizar a alguien con acceso a la base de datos de identificación de conductores, para identificar la persona y la forma de contactar con él.” Se comprueba la participación del DPD en la EIPD. Así, figura por ejemplo en las medidas para mitigar el riesgo “Medida: recordatorio por DPD de la improcedencia de utilizar los datos para funciones no declaradas.” Por otro lado la EIDP incluye conclusiones y recomendaciones, y en ellas la visión del DPD que cita por ejemplo: “Se considera que la implantación la localización GPS con los datos expuestos es proporcional al cumplirse estos tres requisitos: - Juicio de idoneidad: la instalación del GPS tiene que ser susceptible de conseguir el objetivo para el que se quiere instalar: localización en caso de accidente, averías o urgencia y para evitar usos particulares indebidos. - Juicio de necesidad: esta medida es precisa porque no hay otra forma más moderada para conseguir el propósito con una eficiencia similar. No existe otra medida menos invasiva que permita alcanzar los objetivos - Juicio de proporcionalidad estricto: esta medida tiene equilibrio, significa más beneficios para un interés común que perjuicios.” La visión del DPD se analiza en el punto siguiente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/21 PUNTO 6. Sobre si se consultó previamente al DPD sobre este tratamiento. En caso afirmativo, estudio realizado por el DPD y resultado de la consulta efectuada. Indican que el DPD analizó la cuestión. Aportan como doc.6 informe titulado “NOTAINFORME DEL DELEGADO DE PROTECCION DE DATOS DEL CSIC SOBRE LA IMPLANTACION DE UN SISTEMA DE GEOLOCALIZACION DE FLOTA POR LA ESTACION BIOLOGICA DE DOÑANA-CSIC”, cuya copia consta en las presentes actuaciones de inspección. Este informe consta también dentro de la EIPD como la visión del DPD. Entre otros aspectos, en el informe se cita que se cumplen los principios de minimización y proporcionalidad respecto a las dos finalidades del tratamiento que se van a realizar según la información disponible. Se indica que los datos tratados son los mínimos para el objetivo pretendido: Nombre y apellidos del conductor, email corporativo, identificación del conductor con una etiqueta RFID que se coloca en un sensor durante el arranque del vehículo quedando vinculado a la ruta, coordenadas geográficas. A tales datos únicamente está previsto que accedan a través de la Plataforma 4 personas de la Estación Biológica de Doñana, incluido su director y la gerente, a través de un enlace de internet mediante usuarios individuales y contraseñas. Por otra parte, por la necesidad de evaluar la implantación y profundizar en el análisis de la proporcionalidad se considera necesario rechazar los registradores de datos de incidencias. Se indica también que se considera que la implantación de la localización GPS con los datos expuestos es proporcional al cumplirse estos de idoneidad, necesidad y proporcionalidad. Se indican que todo ello teniendo en cuenta las finalidades del tratamiento que desborda la justificación del art. 90 de la LOPDGDD que permite el uso de sistemas de geolocalización para el control de las personas trabajadoras, y rechazando, tras las pruebas realizadas, la implantación en noviembre de 2023 otras prestaciones que ofrece la aplicación como el análisis de velocidades y uso de los vehículos a los efectos de detección de infracciones graves en la conducción. TERCERO: Con fecha 9 de septiembre de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 30 del RGPD, tipificada en el Artículo 83.4 del RGPD. CUARTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), constando el correspondiente acuse de recibo de fecha 11/09/2025, y transcurrido el plazo otorgado para la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/21 formulación de alegaciones, se ha constatado que no se ha recibido alegación alguna por la parte reclamada. El artículo 64.2.
  18. f)de la LPACAP -disposición de la que se informó a la parte reclamada en el acuerdo de apertura del procedimiento- establece que si no se efectúan alegaciones en el plazo previsto sobre el contenido del acuerdo de iniciación, cuando éste contenga un pronunciamiento preciso acerca de la responsabilidad imputada, podrá ser considerado propuesta de resolución. En el presente caso, el acuerdo de inicio del expediente sancionador determinaba los hechos en los que se concretaba la imputación, la infracción del RGPD atribuida a la reclamada y la sanción que podría imponerse. Por ello, tomando en consideración que la parte reclamada no ha formulado alegaciones al acuerdo de inicio del expediente y en atención a lo establecido en el artículo 64.2.
  19. f)de la LPACAP, el citado acuerdo de inicio es considerado en el presente caso propuesta de resolución. A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS PRIMERO. El CSIC es titular de la Estación Biológica de Doñana, un centro de investigación donde trabajan más de ***CANTIDAD.1 y cuenta con una flota de vehículos. SEGUNDO. En noviembre de 2023 el CSIC inició la puesta en funcionamiento de un sistema de geolocalización de los vehículos oficiales de dicho organismo. El sistema funciona de la siguiente manera: - Cada conductor de un vehículo oficial dispone de una tarjeta RFID identificativa - El conductor coloca su tarjeta identificativa en un sensor instalado en el vehículo en el momento de su arranque. - Tras el encendido y durante el trayecto del vehículo, el dispositivo de geolocalización instalado transmite datos de ubicación geográfica (coordenadas) del vehículo. Los datos son transmitidos a una aplicación en la nube por la red 4G siempre que haya cobertura telefónica. - Los datos transmitidos son coordenadas geográficas tridimensionales en latitud, longitud, y altitud del vehículo asociada a una etiqueta de fecha y hora TERCERO: El 30 de octubre de 2023 el CSIC publicó un aviso informativo en la intranet con el siguiente contenido: “AVISO-INFORMACION SOBRE LA IMPLANTACION EN NOVIEMBRE DE 2023 DE UN SISTEMA DE GEOLOCALIZACIÓN EN LA FLOTA DE LA EBD (…) se vuelve a informar sobre los datos de carácter personal que registra el sistema (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/21
  20. a)Los fines del tratamiento: -prevención de riesgos laborales (…). -detectar conductas de uso inadecuado del vehículo referente al uso privado injustificado durante y fuera de horario laboral. Tratamientos adicionales como optimización del uso de la flota que se realizara de manera anonimizada (…)
  21. b)Datos personales; Nombre y apellidos del conductor, email corporativo, identificación del conductor con una etiqueta RFID que se coloca en un sensor durante el arranque del vehículo quedando vinculado a la ruta seguida por el vehículo en forma de coordenadas geográficas transmitidas por GSM en tiempo real.
  22. c)Las categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales: la información se registrará en la ***PLATAFORMA.1. Solo acceden cuatro personas de EBD: director, gerente y encargados de la implantación del sistema.
  23. d)plazos previstos para la supresión de las diferentes categorías de datos; 2 meses o, anonimizado y a los efectos de optimizar el uso de la flota hasta 1 año, salvo que algún interesado argumente interés legítimo para oponerse. CUARTO: Entre noviembre de 2023 y, como mínimo, hasta fecha de 15/10/2024, la actividad de tratamiento de datos personales relativa al sistema de geolocalización de vehículos detalla en los anteriores hechos probados no se encontraba inscrita en el Registro de actividades de tratamiento del CSIC. QUINTO: En fecha 27/01/2025 figura en el Registro de actividades de tratamiento del CSIC la actividad de tratamiento “Estación Biológica de Doñana. Seguimiento de vehículos de flota” fechado el 8 de enero de 2025. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/21 II Procedimiento Asimismo, el artículo 63.2 de la LOPDGDD determina que: “Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos.” III Cuestiones previas El artículo 4.1) del RGPD, define «dato personal» como: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. El artículo 4.2) del RGPD, define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” El artículo 4.7) del RGPD, define al «responsable del tratamiento» o «responsable» como: “la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. A su vez el artículo 4.8) del RGPD determina al «encargado del tratamiento» o «encargado» como la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento. En el presente caso, de acuerdo con lo establecido en el artículo 4.1 y 4.2 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que CSIC realiza, entre otros tratamientos, la recogida y conservación de datos personales de personas físicas: (…). CSIC realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/21 IV Obligación incumplida. Artículo 30 RGPD. Registro de las actividades de tratamiento El artículo 30 del RGPD establece lo siguiente: "1 .Cada responsable y, en su caso, su representante llevarán un registro de las actividades de tratamiento efectuadas bajo su responsabilidad. Dicho registro deberá contener toda la información indicada a continuación:
  24. a)el nombre y los datos de contacto del responsable y, en su caso, del corresponsable, del representante del responsable, y del delegado de protección de datos;
  25. b)los fines del tratamiento;
  26. c)una descripción de las categorías de interesados y de las categorías de datos personales;
  27. d)las categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales;
  28. e)ficación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo, la documentación de garantías adecuadas;
  29. f)cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de datos;
  30. g)cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 32, apartado 1. 3. Los registros a que se refieren los apartados 1 y 2 constarán por escrito, inclusive en formato electrónico. Este artículo tiene como finalidad garantizar un control eficaz y transparente de los tratamientos de datos personales, permitiendo al responsable documentar y supervisar sus actividades. Este registro facilita el cumplimiento del principio de responsabilidad proactiva y la ausencia de dicha información respecto a todas o alguna de las actividades de tratamiento que realizado supondría un incumplimiento del citado precepto. Dicho registro además debe elaborarse antes de iniciar el tratamiento, pues en caso contrario desvirtuaría la función como herramienta previa de control y planificación. En el presente caso, las actuaciones previas de investigación llevadas a cabo por esta Agencia han permitido constatar lo siguiente: El sistema de instalación y uso de dispositivos GPS con geolocalización de vehículos oficiales del CSIC estaba en funcionamiento como mínimo desde noviembre de 2023. Conforme al documento aportado por CSIC, se publicó un aviso en la intranet de dicho organismo en el que se afirmaba que el sistema ya se encontraba en funcionamiento desde ese mes. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/21 La instalación y uso de dicho sistema, tal y como se ha indicado anteriormente suponía una actividad de tratamiento por el CSIC y, en consecuencia, se exigía su inclusión en el Registro de Actividades de Tratamiento con la información requerida antes de iniciar el tratamiento. Sin embargo, conforme a las diligencias efectuadas en las actuaciones previas de investigación, se constata lo siguiente: “En fecha 15/10/2024 se realiza una búsqueda en Internet encontrando la publicación del RAT del CSIC: “REGISTRO DE ACTIVIDADES DE TRATAMIENTO DE DATOS PERSONALES EN EL ÁMBITO DE LOS INSTITUTOS, CENTROS Y UNIDADES DEL CSIC” fechado el 17 de julio de 2023. Se encuentra en la dirección: https://www.csic.es/sites/default/files/2023-09/registro_de_tratamientos_icus_v18.pdf No se encuentra en este RAT la publicación de la actividad de tratamiento “Estación Biológica de Doñana. Seguimiento de vehículos de flota” En consecuencia, a fecha de octubre de 2024, es decir, once meses después del inicio del funcionamiento del sistema y, con ello, del tratamiento de datos personales de empleados, el RAT del CSIC no recogía esta actividad de tratamiento. Únicamente se constata el reflejo de este tratamiento en la diligencia posterior de 27/01/2025, con la denominación ““Estación Biológica de Doñana. Seguimiento de vehículos de flota”. Con ello, si bien la deficiencia se habría subsanado, (y sería innecesario prever medidas correctivas al respecto) ello no impide que la infracción se habría cometido, desde el inicio del tratamiento (noviembre de 2023) hasta, al menos, el 15/10/2024, fecha en la que la AEPD comprobó que no se encontraba el tratamiento reflejado en el RAT. Por tanto, de conformidad con las evidencias de las que se dispone, se considera que los hechos son constitutivos de una infracción, imputable a CSIC, por vulneración del artículo 30 del RGPD transcrito anteriormente. V Tipificación de la infracción del artículo 30 del RGPD y calificación a efectos de prescripción El artículo 83.4 del RGPD tipifica como infracción administrativa la vulneración de los artículos siguientes, se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10.000.000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: "
  31. a)las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43;
  32. b)las obligaciones de los organismos de certificación a tenor de los artículos 42 y 43;
  33. c)las obligaciones de la autoridad de control a tenor del artículo 41, apartado 4." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/21 Por su parte, la LOPDGDD en su artículo 71, Infracciones, señala que: “Constituyen infracciones los actos y conductas a las que se refieren los apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que resulten contrarias a la presente ley orgánica”. A los solos efectos del plazo de prescripción, el artículo 74 de la LOPDGDD establece lo siguiente: "Se consideran leves y prescribirán al año las restantes infracciones de carácter meramente formal de los artículos mencionados en los apartados 4 y 5 del artículo 83 del Reglamento (UE) 2016/679 y, en particular, las siguientes:
  34. l)Disponer de un Registro de actividades de tratamiento que no incorpore toda la información exigida por el artículo 30 del Reglamento (UE) 2016/679." VI Declaración de infracción El artículo 83 “Condiciones generales para la imposición de multas administrativas” del RGPD, en su apartado 7, establece: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” El artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados:
  35. d)Los organismos públicos y entidades de Derecho público vinculadas o dependientes de las Administraciones Públicas. 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/21 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo. 6. Cuando la autoridad competente sea la Agencia Española de Protección de Datos, esta publicará en su página web con la debida separación las resoluciones referidas a las entidades del apartado 1 de este artículo, con expresa indicación de la identidad del responsable o encargado del tratamiento que hubiera cometido la infracción. Cuando la competencia corresponda a una autoridad autonómica de protección de datos se estará, en cuanto a la publicidad de estas resoluciones, a lo que disponga su normativa específica.” En el presente caso, conforme al Estatuto de la Agencia Estatal del Consejo Superior de Investigaciones Científicas, aprobado por el Real Decreto 1730/2007, de 21 de diciembre, (artículo 1): “El Consejo Superior de Investigaciones Científicas (CSIC) es una Agencia Estatal para la investigación científica y el desarrollo tecnológico, con personalidad jurídica diferenciada, patrimonio y tesorería propios, autonomía funcional y de gestión, plena capacidad jurídica y de obrar y de duración indefinida, correspondiéndole las potestades administrativas precisas para el cumplimiento de sus fines, en los términos dispuestos en la normativa que le es aplicable.” Su artículo 3.1. establece: “1. El CSIC se rige por la Ley 28/2006, de 18 de julio, de Agencias estatales para la mejora de los servicios públicos, por las disposiciones del presente Estatuto y, supletoriamente, por las previsiones normativas que le sean aplicables de acuerdo con el artículo 2, apartado 2, de la citada ley.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/21 Finalmente, el artículo 2 de la Ley 28/2006, de 18 de julio, de Agencias estatales para la mejora de los servicios públicos, dispone lo siguiente: “Las Agencias Estatales son entidades de Derecho público, dotadas de personalidad jurídica pública, patrimonio propio y autonomía en su gestión, facultadas para ejercer potestades administrativas,” Por todo ello, conforme al artículo 77 LOPDGDD el procedimiento, que tiene causa en infracciones en materia de protección de datos personales cometidas por las categorías de responsables o encargados del tratamiento enumerados en su apartado 1, se ha de resolver, en todo caso, declarando la infracción. Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la AGENCIA ESTATAL CONSEJO SUPERIOR DE INVESTIGACIONES CIENTÍFICAS, con NIF Q2818002D, ha infringido lo dispuesto en el artículo 30 del RGPD, infracción tipificada en el Artículo 83.4 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a AGENCIA ESTATAL CONSEJO SUPERIOR DE INVESTIGACIONES CIENTÍFICAS. TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. CUARTO: Esta resolución será ejecutiva una vez finalice el plazo para interponer el recurso potestativo de reposición (un mes a contar desde el día siguiente a la notificación de esta resolución) sin que el interesado haya hecho uso de esta facultad. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/21 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
  36. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeaepd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-180725 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.