← España

PS-00310-2022

1/20  Expediente Nº: EXP202206486 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 29 de julio de 2022, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a XASTRE DO PETO, S.L. (en adelante, la parte reclamada), mediante el Acuerdo que se transcribe: << Procedimiento Nº: PS/00310/2021(EXP202206486) ACUERDO DE INICIO DE PROCEDIMIENTO SANCIONADOR De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la entidad, XASTRE DO PETO, S.L. con CIF.: B70353677, (en adelante “la parte reclamada”), en base al escrito presentado por D. A.A.A., por la presunta vulneración de la normativa de protección de datos: Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27/04/16, relativo a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la Libre Circulación de estos Datos (RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales (LOPDGDD), y atendiendo a los siguientes: HECHOS PRIMERO: Con fecha 04/09/21, tuvo entrada en esta Agencia, escrito presentado por la parte reclamante, en la que indicaba, entre otras que, en el restaurante XASTRE DO PETO, le dejaron, el pasado día 27/08/21 un formulario para rellenar por cuestiones sanitarias, sin más información y en el que le indicaban, además, la posibilidad de enviarle comunicaciones comerciales Junto con el escrito anterior se aporta la siguiente documentación: - Fotografía de un formulario para incluir el nombre, apellidos, DNI, Teléfono y Firma. Dicho formulario tiene como título: “ORDEN de 14 de abril de 2021 por la que se modifica la Orden de 25 de febrero de 2021 por la que se establecen las actuaciones necesarias para la puesta en marcha del Plan de hostelería segura de la Comunidad Autónoma de Galicia (DOG Núm. 69-Bis): SEGUNDO: Con fecha 30/09/21, por parte de esta Agencia se trasladó la reclamación a la parte reclamada para que diese respuesta a la misma, de conformidad con lo estipulado en el artículo 65.4 de la Ley LOPDGDD. TERCERO: Con fecha 09/11/21, la entidad reclamada presenta en esta Agencia escrito de contestación a la solicitud realizada, en el cual, entre otras, se indica: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/20 En cuanto a la decisión adoptada a propósito de la presente reclamación, la empresa ha revisado los protocolos de actuación implementados a raíz de la normativa sanitaria de la Xunta de Galicia y manifiesta lo siguiente: 1. En fecha 15/04/2021 la XUNTA DE GALICIA, publica la “ORDEN de 14 de abril de 2021 por la que se modifica la Orden de 25 de febrero de 2021 por la que se establecen las actuaciones necesarias para la puesta en marcha del Plan de hostelería segura de la Comunidad Autónoma de Galicia.” 2. Entre otras obligaciones para los establecimientos de hostelería en el artículo Sétimo bis, en el apartado 2, se indica de forma literal: “Con el objetivo de facilitar el seguimiento de contactos ante casos positivos de COVID-19, se llevará un registro de los clientes del servicio de cenas que incluya nombre y apellidos, DNI y número de teléfono; teniendo la persona responsable del establecimiento la obligación de custodiar el mismo durante por lo menos un mes después del evento, con la información del contacto disponible para las autoridades sanitarias y cumpliendo con las normas de protección de datos de carácter personal”. Se acompaña copia del Doga. 3. Se ha verificado que en el local existía la cartelería prevista para el plan de Hostelería Segura de la Xunta de Galicia, que se acompaña al presente escrito. En dicha cartelería se hacía referencia a la legislación aplicable y al cumplimiento de la normativa de la Xunta de Galicia en materia sanitaria. 4. En dicha normativa, se indica que el establecimiento está obligado a guardar la información del contacto durante al menos un mes. El protocolo seguido en este caso es reservar en un sobre con la fecha del día correspondiente, los formularios de los clientes, para tener a disposición de la administración, durante un plazo de 5 semanas, y si no ha obrado requerimiento de las autoridades sanitarias, destruir dicha información. 5. Los datos, no se han procesado informáticamente y sólo se han guardado para poner a disposición de las autoridades sanitarias, siendo posteriormente destruidos. 6. La empresa, ha establecido un protocolo específico en su manual de protección de datos referido al tema de reservas, motivado precisamente por las obligaciones nuevas surgidas en materia de información a las adm. públicas. 7. A los clientes se les ha informado debidamente, tanto a través de los carteles informativos como en el momento de la entrega de la hoja de datos, indicándoles los derechos que les asisten de acuerdo con la legislación vigente y advirtiéndoles que los datos se solicitan por imposición de la administración y que en todo caso, pueden anular la reserva sin coste, en caso de que no deseen cubrir los mismos, puesto que el local cumple con la normativa impuesta para evitar ser sancionado por la administración. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/20 8. El responsable del tratamiento, no ha recibido ninguna reclamación o requerimiento en relación a los derechos que tiene el cliente de supresión, oposición, etc., por lo que no entendemos cual es el objeto de la reclamación a la Agencia de Protección de Datos, cuando el cliente, según se desprende de su escrito, firmó el consentimiento, no reclama por haber recibido ninguna comunicación comercial, sino por el hecho de se le facilitara una “hoja, en la que se la pedía que incluyera sus datos personales y de los comensales que le acompañaban, por cuestiones sanitarias vinculadas con el COVID 19, sin que esté previsto en ninguna norma, algo completamente incierto, como puede comprobarse de la legislación que se adjunta. 9. Debido a que la AEPD, no ha identificado al reclamante, no podemos remitir la respuesta facilitada al reclamante en el supuesto de ejercicio de los derechos, regulados en el artículo 15. La empresa ha tenido una sola incidencia en ese sentido con un cliente desconociendo si este es el que formula la reclamación. Por todo ello, entendiendo que, pudiese darse el caso de que el reclamante, viniese de otra comunidad autónoma en donde esta norma no estuviese en vigor, al tratarse de normativa autonómica, se sintiese violentado por tener que atender el requerimiento de datos, pero, el local, se ha ceñido exclusivamente al cumplimiento de la legalidad vigente, motivo por el cual se solicita que previos los trámites oportunos se resuelva el presente expediente abierto, con el archivo definitivo del mismo”. CUARTO: Con fecha 18/11/21, por parte de la Directora de la Agencia Española de Protección de Datos se dicta acuerdo de admisión de trámite de la reclamación presentada por la reclamante, de conformidad con el artículo 65 de la Ley LPDGDD, al apreciar posibles indicios racionales de una vulneración de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos. QUINTO: Con fecha 19/01/22, por parte de esta Agencia se realizó petición de información la Conselleria de Sanidad de la XUNTA de GALICIA, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del RGPD y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. SEXTO: Con fecha 21/02/22, la Conselleria de Sanidad de la XUNTA de GALICIA, remite a esta Agencia escrito de contestación, en el cual, entre otras, indica lo siguiente: 1. Evolución de la normativa autonómica en relación con la obligación de registro de clientes en establecimientos de acceso público con indicación de las fechas en las que se ha encontrado en vigor en cada momento hasta la actualidad. Facilite copia de las normas que refiera. A. La primera obligación de registro se creó en base a lo recogido a la ORDEN de 14 de abril de 2021 por la que se modifica la Orden de 25 de febrero de 2021 por la que se establecen las actuaciones necesarias para la puesta en marcha del Plan de hostelería segura de la Comunidad Autónoma de Galicia, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/20 I. Que indicaba que se llevará un registro de los clientes para el servicio de cenas. La orden fue modificada por sucesivas órdenes que en algunos casos recogían la necesidad de mantener registro de clientes o asistentes a determinados locales, actividades o eventos. Se relacionan a continuación: ORDEN de 25 de junio de 2021 por la que se establecen medidas de prevención específicas como consecuencia de la evolución de la situación epidemiológica derivada de la COVID-19 en la Comunidad Autónoma de Galicia. Orden del DOG Nº 120Bis de 2021/6/25 - Xunta de Galicia I. Que indicaba que se llevará un registro de los clientes para : a. Celebración de competiciones deportivas con público, actividades en cines, teatros, auditorios y espacios similares, así como en recintos al aire libre y en otros locales y establecimientos destinados a espectáculos públicos y actividades recreativas. b. Realización de procesos selectivos por las administraciones públicas y entidades del sector público. c. Celebración de eventos deportivos y otras actividades deportivas no federadas de carácter organizado como campus deportivos, campamentos deportivos y otras actividades análogas. d. Establecimientos de ocio nocturno ( en las condiciones que se establezcan por la orden de la Conselleria de Sanidad que apruebe el protocolo de ocio nocturno) B. ORDEN de 22 de julio de 2021 por la que se prorroga y se modifica la Orden de 25 de junio de 2021, por la que se establecen medidas de prevención específicas como consecuencia de la evolución de la situación epidemiológica derivada de la COVID-19 en la Comunidad Autónoma de Galicia, y se modifica la Orden de 1 de julio de 2021 por la que se aprueba el Protocolo para la reactivación del ocio nocturno en el marco de la crisis sanitaria ocasionada por la COVID-19 Que indica los establecimientos de ocio nocturno (tales como discotecas, pubs, cafés-espectáculo, salas de fiestas, así como las salas de conciertos que desarrollen sus actividades de forma análoga a los anteriores) deberán disponer de un registro de clientes en las condiciones que se establezcan por la orden de la Conselleria de Sanidad que apruebe el Protocolo de ocio nocturno. C. ORDEN de 13 de agosto de 2021 por la que se modifica la Orden de 25 de junio de 2021 por la que se establecen medidas de prevención como consecuencia de la evolución de la situación epidemiológica derivada de la COVID-19 en la CA de Galicia y se suspende la exigencia de la exhibición de documentación para el acceso a determinados establecimientos prevista en la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/20 misma y en la Orden de 1 de julio de 2021 por la que se aprueba el Protocolo para la reactivación del ocio nocturno en el marco de la crisis sanitaria ocasionada por la COVID-19, y se sustituye por una regulación transitoria. I. Donde se interrumpe la necesidad de llevar registros de clientes o asistentes. D. ORDEN de 20 de agosto de 2021 por la que se prorroga y se modifica la Orden de 25 de junio de 2021 por la que se establecen medidas de prevención específicas como consecuencia de la evolución de la situación epidemiológica derivada de la COVID-19 en la Comunidad Autónoma de Galicia y se mantiene la suspensión de la exigencia de la exhibición de documentación para el acceso a determinados establecimientos prevista en la misma y en la Orden de 1 de julio de 2021 por la que se aprueba el protocolo para la reactivación del ocio nocturno en el marco de la crisis sanitaria ocasionada por la COVID-19, y se sustituye por una regulación transitoria y provisional. Orden del DOG Nº 160-Bis de 2021/8/20 - Xunta de Galicia I. Donde sigue sin recogerse la necesidad de llevar un registro de clientes o asistentes. E. ORDEN de 14 de septiembre de 2021 por la que se aprueba el nuevo Plan de hostelería segura de la Comunidad Autónoma de Galicia. I. Donde se incluye el registro de clientes en aquellos locales de hostelería que deseen obtener la categoría “dos cunchiñas”, que es uno de los dos niveles en función de las buenas prácticas llevadas a cabo en los establecimientos y de la aplicación de medidas sanitarias adicionales que fomenten espacios más seguros y que ofrezcan todas las garantías posibles. Sólo es obligatorio el nivel “una cunchiña”, que excluye dicho registro. Se vuelve esta posibilidad de llevar el registro en los locales de hostelería dado que el Tribunal Supremo avala la implantación del pasaporte COVID y su exhibición en los establecimientos de restauración y ocio de Galicia al considerar al recurso de casación interpuesto contra el Auto, de 20 de agosto de 2021, de la Sala de lo Contencioso-administrativo del Tribunal Superior de Justicia de Galicia, y autorizar o ratificar la medida que se postula. F. ORDEN de 22 de octubre de 2021 por la que se establecen medidas de prevención específicas como consecuencia de la evolución de la situación epidemiológica derivada de la COVID-19 en la Comunidad Autónoma de Galicia y se modifica la Orden de 14 de septiembre de 2021 por la que se aprueba el nuevo Plan de hostelería segura de la Comunidad Autónoma de Galicia. I. Que indica que el registro es necesario en los siguientes casos: a. Realización de procesos selectivos por las administraciones públicas y entidades del sector público. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/20 b. Celebración de eventos deportivos y otras actividades deportivas no federadas de carácter organizado como campus deportivos, campamentos deportivos, escuelas deportivas y otras actividades análogas. c. Fiestas, verbenas y otros eventos populares. G. ORDEN de 25 de noviembre de 2021 por la que se prorroga y se modifica la Orden de 22 de octubre de 2021, por la que se establecen medidas de prevención específicas como consecuencia de la evolución de la situación epidemiológica derivada de la COVID-19 en la Comunidad Autónoma de Galicia y se modifica la Orden de 14 de septiembre de 2021 I. Por el que se aprueba el nuevo Plan de hostelería segura de la Comunidad Autónoma de Galicia. II. Este plan no recoge en ningún punto la posibilidad de llevar un registro de clientes e indica la necesidad de mostrar el certificado COVID para determinadas actividades. III. También se indica “(…) no se podrán conservar los datos personales o crear ficheros con ellos; se establece que en ningún caso se realizarán operaciones de tratamiento sobre datos personales, ya sea por procedimientos automatizados o no, como la recogida, el registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso u otra operación no permitida por la normativa vigente.” En las siguientes modificaciones registradas hasta la fecha se mantiene esta condición de no llevar registros de asistentes, clientes, participantes... H. ORDEN de 29 de diciembre de 2021 por la que se establecen medidas cualificadas de prevención como consecuencia de la evolución de la situación epidemiológica derivada de la COVID-19 en la Comunidad Autónoma de Galicia, y se modifica la Orden de 14 de septiembre de 2021 por la que se aprueba el nuevo Plan de hostelería segura de la Comunidad Autónoma de Galicia. I. ORDEN de 3 de enero de 2022 por la que se modifica la Orden de 14 de septiembre de 2021 por la que se aprueba el nuevo Plan de hostelería segura de la Comunidad Autónoma de Galicia. J. ORDEN de 12 de enero de 2022 por la que se prorrogan y modifican diversas órdenes por las que se establecen medidas cualificadas de prevención a consecuencia de la evolución de la situación epidemiológica derivada de la COVID-19 en la Comunidad Autónoma de Galicia En todos los casos en que se estableció la necesidad de llevar un registro el periodo de conservación es de un mes, tras el cual deberían cancelarse. Además, teniendo en cuenta que el tratamiento asociado al registro de clientes a determinados establecimientos no está vigente desde el 26 de noviembre de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/20 2021, fecha de publicación de la ORDEN de 25 de noviembre de 2021 por la que se modifica la Orden de 14 de septiembre de 2021 por la que se aprueba el nuevo Plan de hostelería segura de la Comunidad Autónoma de Galicia; cualquier tratamiento o registro previo ha dejado de tener vigencia. 2. Finalidad del tratamiento de datos personales, base jurídica en la que se sustenta y motivación. En todos los casos, se establecía la obligación de llevar un registro que incluyese nombre y apellidos, DNI y número de teléfono con la finalidad de facilitar el seguimiento de contactos ante casos positivos de COVID-19 En el preámbulo de las órdenes se indica como base legal: “Las medidas que se adoptan en esta orden tienen su fundamento normativo en el artículo 26 de la Ley 14/1986, de 25 de abril, general de sanidad; en los artículos 27.2 y 54 de la Ley 33/2011, de 4 de octubre, general de salud pública, y en los artículos 34 a 38.1 de la Ley 8/2008, de 10 de julio, de salud de Galicia. Conforme al artículo 33 de la Ley 8/2008, de 10 de julio, la persona titular de la Conselleria de Sanidad tiene la condición de autoridad sanitaria, por lo que es competente para adoptar las medidas de prevención específicas para hacer frente al riesgo sanitario derivado de la situación epidemiológica existente en el territorio de la Comunidad Autónoma de Galicia, con la urgencia que la protección de la salud pública demanda. En su virtud, en aplicación del punto sexto del Acuerdo del Consello de la Xunta de Galicia, de 12 de junio de 2020, sobre medidas de prevención necesarias para hacer frente a la crisis sanitaria ocasionada por la COVID-19, una vez superada la fase III del Plan para la transición hacia una nueva normalidad, en su redacción vigente, y en la condición de autoridad sanitaria, conforme al artículo 33 de la Ley 8/2008, de 10 de julio” En cada una de las órdenes se establece la motivación particular de dicha orden, siempre vinculada a la evolución de la situación epidemiológica y sanitaria en la Comunidad Autónoma de Galicia, que hizo necesario que en ese momento las autoridades sanitarias autonómicas adoptasen determinadas medidas de prevención orientadas a contener la propagación de la infección y dirigidas a hacer frente a la crisis sanitaria derivada de la COVID-19. También se indica que “Conforme al punto sexto del Acuerdo del Consello de la Xunta de Galicia, de 12 de junio de 2020, las medidas preventivas previstas en él serán objeto de seguimiento y evaluación continua a fin de garantizar su adecuación a la evolución de la situación epidemiológica y sanitaria. Con esta finalidad podrán ser objeto de modificación o supresión mediante acuerdo del Consello de la Xunta de Galicia, a propuesta de la consejería competente en materia de sanidad. Se establece, además, que la persona titular de la Conselleria competente en materia de sanidad, como autoridad sanitaria, podrá adoptar las medidas necesarias para la aplicación del acuerdo y podrá C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/20 establecer, de conformidad con la normativa aplicable y en vista de la evolución de la situación sanitaria, todas aquellas medidas adicionales o complementarias a las previstas en el acuerdo que sean necesarias. Dentro de esta habilitación quedan incluidas aquellas medidas que resulten necesarias para hacer frente a la evolución de la situación sanitaria en todo o en parte del territorio de la Comunidad Autónoma de Galicia y que modifiquen o, de modo puntual y con un alcance temporalmente limitado, impliquen el desplazamiento de la aplicación de las medidas concretas contenidas en el anexo del citado acuerdo.”. Por último, las medidas se apoyan en informes de la Dirección General de Salud Pública, de tal modo que la adopción de las medidas contenidas en las órdenes viene determinada por la evolución de la situación epidemiológica y sanitaria de la Comunidad Autónoma y pueden adaptarse a dicha evolución en ayuntamiento s determinados. 3. Detalle de las categorías de datos personales objeto de tratamiento y valoración del cumplimiento con el principio de minimización de datos. Los datos tratados siempre han sido siempre los mínimos para poder hacer el seguimiento de posibles contactos de un positivo por parte de la autoridad sanitaria, limitándose a los datos identificativos esenciales (nombre y apellidos, DNI) y de contacto (únicamente teléfono). Son los datos mínimos imprescindibles para:

  1. a)Contactar con una persona en caso de que existencia de un brote (el teléfono) o
  2. b)Para que la autoridad sanitaria pueda intentar localizarlo por otros medios (apoyándose en las fuerzas y cuerpos de seguridad del estado, por ejemplo) en caso de que exista algún error en el número de teléfono registrado (nombre, apellidos y DNI). 4. Descripción del proceso que permite la consecución de la finalidad prevista con indicación, para cada uno de los participantes en el mismo, de: 4.1. Vinculación con el tratamiento (responsable, corresponsable, encargado, tercero, interesado) de cada participante. Detalle, en su caso, del contrato o acto jurídico que vincula al encargado del tratamiento con el responsable de este de acuerdo con lo estipulado en el artículo 28 del RGDP. Cada local o entidad es responsable de elaborar el registro correspondiente, por lo que es el responsable de tratamiento, con base en el artículo 6.1.
  3. c)del RGPD (el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento). Tras la publicación de la Ley 8/2021, de 25 de febrero, de modificación de la Ley 8/2008, de 10 de julio, de salud de Galicia; el apartado 1) del artículo 38 de la citada Ley 8/2008 establece: “1. Al objeto de proteger la salud pública, las autoridades sanitarias autonómicas y locales, dentro del ámbito de sus competencias, podrán adoptar medidas preventivas de obligado cumplimiento cuando exista o se sospeche razonablemente la existencia de un riesgo inminente y grave para la salud de la población. Estas medidas podrán consistir en: (...)
  4. k)La obligación de suministro de datos necesarios para el control y la contención del riesgo para la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/20 salud pública de que se trate y el registro de los datos suministrados, en especial de datos que permitan la identificación de personas procedentes de lugares o asistentes a actividades o establecimientos que presenten un riesgo de transmisión de enfermedades infectocontagiosas, al objeto de que las autoridades sanitarias puedan desarrollar su labor de control e investigación epidemiológica de brotes o situaciones de especial riesgo para la salud de la población. En todo caso, los datos registrados serán los estrictamente indispensables para cumplir con dicha finalidad de control y contención del riesgo, siendo tratados los datos de carácter personal con estricto respeto a la normativa en materia de protección de datos. (...)” En cuanto al receptor de los datos en caso de comunicación por parte de los responsables del registro; dentro de las actividades de tratamiento del Sistema Público de Saúde, que tienen como responsable de tratamiento a la Consellería de Sanidade, existen 2: “Identificación de usuarios y profesionales del sistema público sanitario” y “Sistema de vigilancia de problemas de salud pública”. Es en estos tratamientos donde se incorporan los datos de carácter personal comunicados por parte de los locales o entidades en caso de ser requeridos por la autoridad sanitaria. Tienen la condición de interesadas las personas que acudían de manera voluntaria a dichos locales, actividades o eventos y daban sus datos si deseaban acceder, participar o consumir en los mismos. Reiteramos la voluntariedad de dicho acto y hay que destacar que los locales, actividades o eventos para los que se exigía registro nunca han sido aquellos en que se desarrollan actividades esenciales (como podrían ser supermercados, farmacias, centros sanitarios, oficinas de atención al público…) sino centros de restauración, ocio o espectáculos. El acto jurídico que avala la llevanza de los registros y la comunicación a la autoridad sanitaria es la propia orden de publicación en el D.O.G. que obligaba a llevar el registro y a cumplir con lo recogido en la legislación de protección de datos a los locales. 4.2. Descripción del tratamiento concreto que realiza (registro, consulta, comunicación, supresión, etc.) cada participante. Especificación, en su caso, del formato en que almacenará los datos personales (digital / papel). El tratamiento es el registro, la comunicación y la supresión. La comunicación a la autoridad sanitaria sólo se produjo en caso de existir alguna causa que así lo requiera como por ejemplo en caso de un brote y se suprimirían en el plazo de un mes. No se especificaba el formato de almacenamiento, que podía ser digital o en papel. 4.3. Procedimiento de comunicación de los datos del registro de cada establecimiento a las autoridades sanitarias: detalle del canal de comunicación C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/20 (postal, correo electrónico, telefónico, etc.) y de los eventos que provocan el envío (frecuencia concreta y/o a petición de las autoridades sanitarias). Los datos sólo podrán ser comunicados a instancia de las autoridades sanitarias (Jefaturas territoriales de la Conselleria de Sanidad o Dirección General de Salud Pública, que tienen reconocida tal condición en el DECRETO 136/2019, de 10 de octubre, por el que se establece la estructura orgánica de la Conselleria de Sanidad y en el artículo 33 de la Ley 8/2008, de 10 de julio, de salud de Galicia). La comunicación se realizará en el formato que en ese momento decida la autoridad sanitaria y siempre en el marco de la investigación o seguimiento de un brote epidemiólogo. Se ha garantizado en todo caso el cumplimiento de la normativa vigente en materia de protección de datos. 5. Copia, en su caso, de las resoluciones de carácter judicial favorables y desfavorables que se hubieran dictado en relación con la medida de registro de clientes. En todos casos las medidas se han trasladado a la autoridad judicial para su valoración, pero en ningún caso se ha solicitado habilitación para el registro de clientes al disponer la Conselleria de Sanidade de base legal suficiente para ello; establecida en la Ley 8/2008, de 10 de julio, de salud de Galicia. FUNDAMENTOS DE DERECHO I-Competencia Es competente para iniciar y resolver este Procedimiento Sancionador la Directora de la Agencia Española de Protección de Datos, en virtud de los poderes establecidos en el artículo 58.2 del RGPD y en la Ley LOPDGDD. II.- Síntesis de los Hechos: Según el reclamante, el día 27/08/21, en un establecimiento hostelero XASTRE DO PETO, S.L., le pidieron rellenar un formulario con datos personales de los comensales (nombre, apellidos, DNI, número de teléfono y firma). El formulario referenciaba la Orden de 14 de abril de 2021 de la Conselleria de Sanidad de Galicia -Orden 14A- y la finalidad de recopilar la información necesaria en cumplimiento de las medidas establecidas como prevención del Covid-19. Según la entidad reclamada se trataba de una medida obligada por la Orden 14A y que el protocolo para la custodia de la información era almacenar en un sobre con la fecha del día correspondiente los formularios para su puesta a disposición de la administración durante un plazo de cinco semanas y que, en caso de no obrar requerimiento de las autoridades en dicho plazo, se destruía la información. Por su parte, La Conselleria de Sanidad de la XUNTA de GALICIA señala que la obligación de registro de estos datos se impuso por primera vez con la Orden 14A cuya entrada en vigor se produjo el 16/04/21 y expresa que la finalidad del tratamiento fue facilitar el seguimiento de contactos ante casos positivos de Covid-19. Igualmente, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/20 apunta que el tratamiento se fundamenta en las leyes 14/1986 General de Sanidad, 33/2011 General de Salud Pública, y 8/2018 de salud de Galicia. En concreto cita, en relación con ésta última, al artículo 38.1.k y la posibilidad que otorga a la autoridad sanitaria de dictar medidas de registro de los datos necesarios para la identificación de asistentes a actividades o establecimientos que presenten riesgo de transmisión de enfermedades contagiosas y en cuanto a los datos personales tratados (nombre, apellidos, DNI, número de teléfono), manifiesta que son los datos imprescindibles en atención a una doble motivación: contactar con una persona en caso de que existencia de un brote (el teléfono); para que la autoridad sanitaria pueda intentar localizarlo por otros medios (apoyándose en las fuerzas y cuerpos de seguridad del estado, por ejemplo) en caso de que exista algún error en el número de teléfono registrado (nombre, apellidos y DNI). No obstante, mediante Orden del DOG Nº 155-Bis de 2021/8/13, de 13/08/21se modifica la Orden de 25/06/21, por la que se establecen medidas de prevención específicas como consecuencia de la evolución de la situación epidemiológica derivada de la COVID-19 en la Comunidad Autónoma de Galicia y se suspende la exigencia de la exhibición de documentación para el acceso a determinados establecimientos, y se sustituye por una regulación transitoria y provisional y 20/08/21 se dicta un nueva Orden en la que se mantiene la no obligatoriedad de llevar registros de clientes o asistentes (Orden del DOG Nº 160-Bis de 2021/8/20 - Xunta de Galicia ORDEN de 20 de agosto de 2021). III.- Sobre el presunto tratamiento ilícito de datos personales. Según lo expuesto, cuando la entidad reclamada solicita, el 27/08/21, al reclamante que le proporcione los datos personales de los comensales en base a lo estipulado en la Orden de la Conselleria de Sanidad de la XUNTA de GALICIA de fecha 14/06/21, su obligatoriedad ya no estaba en vigor pues existía una Orden de fecha 13/08/21 (DOG Nº 155-Bis de 2021/8/13), por la que, entre otras, se suspendía la exigencia de la exhibición de documentación para el acceso a determinados establecimientos. En este sentido, el artículo 6.1.c RGPD, establece que: 1.El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
  5. c)el tratamiento es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento; Por tanto, el hecho de que el reclamado solicitase los datos personales del reclamante, en base a una obligación legal que ya no estaba en vigor podría ser constitutivo de una infracción al artículo 6.1 del RGPD. Esta infracción puede ser sancionada con multa de 20.000.000 € como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía, de acuerdo con el artículo 83.5.
  6. a)del RGPD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/20 Con respecto a ello, el artículo 72.1.
  7. b)de la LOPDGDD, considera muy grave, a efectos de prescripción, “El tratamiento de datos personales sin que concurra alguna de las condiciones de licitud del tratamiento establecidas en el artículo 6 del Reglamento (UE) 2016/679.” El balance de las circunstancias contempladas en el artículo 83 del RGPD, con respecto a la infracción cometida al vulnerar lo establecido en su artículo 6.1 RGPD, en relación con el permite fijar una sanción inicial de 2.500 euros, (dos mil quinientos euros). IV- Sobre la presunta falta de información a los clientes sobre el tratamiento de sus datos personales: Establece el considerando 61) del RGPD que: “Se debe facilitar a los interesados la información sobre el tratamiento de sus datos personales en el momento en que se obtengan de ellos (…)”. En este sentido, el artículo 12.1 del RGPD establece, sobre los requisitos que debe cumplir la información que el responsable del tratamiento debe poner a disposición de los interesados, lo siguiente: “1. El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo, en particular cualquier información dirigida específicamente a un niño. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. Cuando lo solicite el interesado, la información podrá facilitarse verbalmente siempre que se demuestre la identidad del interesado por otros medios (…)”. Y por su parte, el artículo 13 del RGPD, detalla la información que se debe facilitar al interesado cuando los datos son recogidos directamente de él, estableciéndose que: “1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará:
  8. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
  9. b)los datos de contacto del delegado de protección de datos, en su caso;
  10. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
  11. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
  12. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
  13. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/20 2.Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
  14. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
  15. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
  16. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
  17. d)el derecho a presentar una reclamación ante una autoridad de control;
  18. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
  19. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado”. En el caso que nos ocupa, en la hoja de formulario que la entidad reclamada presentaba a los clientes para que indicaran sus datos personales, se podía leer lo siguiente: “ORDEN de 14 de abril de 2021 por la que se modifica la Orden de 25 de febrero de 2021 por la que se establecen las actuaciones necesarias para la puesta en marcha del Plan de hostelería segura de la Comunidad Autónoma de Galicia (DOG Núm. 69-Bis) “PROTECCIÓN DE DATOS: XASTRE DO PETO, S.L, Como responsable del tratamiento le informa que la finalidad del tratamiento de sus datos personales es recopilar la información necesaria para reserva de mesa o cita previa en cumplimiento de las medidas establecidas como prevención del SARS-COVID 19 y no se tomaran decisiones automatizadas en base a los datos proporcionados. Sus datos se conservarán mientras el interesado no se solicite su supresión y en su caso, durante los años necesarios para cumplir con las obligaciones legales. Le indicamos la base legal para el tratamiento de sus datos: Ejecución de un contrato: gestión fiscal, contable y administrativa. Interés Legítimo del Responsable: envío de comunicaciones comerciales incluso por vía telefónica (RGPD considerando 47 LSSICE art. 21.2). Sus datos serán comunicados a Administraciones Públicas con competencia en la materia con la finalidad de cumplir las obligaciones legales y a terceros en los supuestos necesarios para el desarrollo, control y cumplimiento de las finalidades expresadas en los supuestos previstos en la Ley con la finalidad de cumplimiento de otras obligaciones legales. Las personas interesadas tienen derecho a acceder a sus datos personales, así como solicitar la rectificación de los datos inexactos o en su caso solicitar la supresión cuando, entre otros motiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/20 vos, los datos ya no sean necesarios para los fines para los que fueron recogidos. Igualmente tiene derecho a la portabilidad de sus datos. En determinadas circunstancias, los interesados podrán la limitación del tratamiento de sus datos en cuyo caso los conservaremos para el ejercicio o la defensa de reclamaciones. Podrá ejercitar sus derechos de la siguiente forma: dirigiéndose a info@elpapatorio.com o en RUA DO FRANCO 10 BJ - C.P. 15702-SANTIAGO DE COMPOSTELA (A CORUÑA). Cuando se realicen comunicaciones comerciales en base al interés legítimo, el interesado podrá oponerse al tratamiento de sus datos con este fin. En caso de que siente vulnerados sus derechos con respecto al tratamiento de sus datos personales, especialmente cuando no haya obtenido satisfacción en el ejercicio de sus derechos, puede presentar una reclamación ante la autoridad de control en materia de protección de datos a través del sitio: www.aedp.es. Los datos personales que tratamos en XASTRE DO PETO, S.L. proceden el propio interesado. En el presente caso, se puede constatar cómo, el formulario carece de información sobre la finalidad por la que es necesario introducir los datos personales, esto es, para facilitar el seguimiento de contactos ante casos positivos de COVID, fundamentado en las Leyes: 14/1986 General de Sanidad, 33/2011 General de Salud Pública, y 8/2018 de salud de Galicia. Por tanto, en el caso que nos ocupa, la falta de información con arreglo a la normativa vigente podría suponer la vulneración del artículo 13 del RGPD. Esta infracción puede ser sancionada según lo establecido en el artículo 83.5.
  20. b)del RGPD, donde se establece que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía:
  21. a)los derechos de los interesados a tenor de los artículos 12 a 22”. En este sentido, el artículo 74.
  22. a)de la LOPDGDD, considera leve, a efectos de prescripción, “El incumplimiento del principio de transparencia de la información o el derecho de información del afectado por no facilitar toda la información exigida por los artículos 13 y 14 del Reglamento (UE) 2016/679.” El balance de las circunstancias contempladas, con respecto a la infracción cometida, al vulnerar lo establecido en su artículo 13 del RGPD, permite fijar una sanción inicial de 1.000 euros (mil euros), V.- Sobre el envío de comunicaciones comerciales a los clientes y la imposibilidad de éstos de oponerse a ello en el momento de la recogida sus datos: En el presente caso, la entidad reclamada, en el formulario que se le proporciona al cliente se le indica lo siguiente: “Le indicamos la base legal para el tratamiento de sus datos: Ejecución de un contrato: gestión fiscal, contable y administrativa. Interés Legítimo del Responsable: envío de comunicaciones comerciales incluso por vía telefónica (RGPD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/20 considerando 47 LSSICE art. 21.2) No obstante, el formulario que se proporcionaba a los clientes para que le rellenaran con sus datos personales, no estaba destinado a la ejecución de un contrato, en este caso, la ejecución de un servicio de hostelería o restauración, sino para dar cumplimiento a la ORDEN de 14 de abril de 2021 de la Xunta de Gallega, por la que se establecían las actuaciones necesarias para la puesta en marcha del Plan de hostelería segura de la Comunidad Autónoma de Galicia. En este sentido, el artículo 21 de la LSSI, dispone que: “1. Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de estas. 2. Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.” No obstante, en el artículo 21 RGPD, sobre el derecho de oposición, se establece que : “1. El interesado tendrá derecho a oponerse en cualquier momento, por motivos relacionados con su situación particular, a que datos personales que le conciernan sean objeto de un tratamiento basado en lo dispuesto en el artículo 6, apartado 1, letras
  23. e)o f), incluida la elaboración de perfiles sobre la base de dichas disposiciones. El responsable del tratamiento dejará de tratar los datos personales, salvo que acredite motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, los derechos y las libertades del interesado, o para la formulación, el ejercicio o la defensa de reclamaciones. 2. Cuando el tratamiento de datos personales tenga por objeto la mercadotecnia directa, el interesado tendrá derecho a oponerse en todo momento al tratamiento de los datos personales que le conciernan, incluida la elaboración de perfiles en la medida en que esté relacionada con la citada mercadotecnia. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/20 3. Cuando el interesado se oponga al tratamiento con fines de mercadotecnia directa, los datos personales dejarán de ser tratados para dichos fines. 4. A más tardar en el momento de la primera comunicación con el interesado, el derecho indicado en los apartados 1 y 2 será mencionado explícitamente al interesado y será presentado claramente y al margen de cualquier otra información. 5. En el contexto de la utilización de servicios de la sociedad de la información, y no obstante lo dispuesto en la Directiva 2002/58/CE, el interesado podrá ejercer su derecho a oponerse por medios automatizados que apliquen especificaciones técnicas. 6. Cuando los datos personales se traten con fines de investigación científica o histórica o fines estadísticos de conformidad con el artículo 89, apartado 1, el interesado tendrá derecho, por motivos relacionados con su situación particular, a oponerse al tratamiento de datos personales que le conciernan, salvo que sea necesario para el cumplimiento de una misión realizada por razones de interés público”. La persona titular de los datos de carácter personal puede ejercitar ante el responsable del tratamiento una serie de derechos, entre los que se encuentra el de oposición al tratamiento En el presente caso, la entidad reclamada indica en el formulario que, “Cuando se realice el envío de comunicaciones comerciales utilizando como base jurídica el interés legítimo del responsable, el interesado podrá oponerse al tratamiento de sus datos con ese fin”. Pero lo cierto es que, según el art. 21.2 de la LSSI indicado anteriormente, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija y esto implica que, en el mismo momento de la recogida de los datos se tiene que suministrar al interesado la posibilidad de oponerse (art. 21 del RGPD) y no esperar, como se deduce de lo indicado por la parte reclamada cuando el interesado lo solicite a través de los medios indicados en el formulario. Por tanto, en el caso que nos ocupa, la falta de un mecanismo sencillo y gratuito que posibilitase la oposición del cliente a utilizar sus datos personales para el envío de comunicaciones comerciales en el momento de la recogida de éstos por parte del responsable podría suponer la vulneración del artículo 21 del RGPD. Esta infracción puede ser sancionada según lo establecido en el artículo 83.5.
  24. b)del RGPD, donde se establece que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/20 anterior, optándose por la de mayor cuantía:
  25. a)los derechos de los interesados a tenor de los artículos 12 a 22”. En este sentido, el artículo 72.1.
  26. k)de la LOPDGDD, considera muy grave, a efectos de prescripción, “El impedimento o la obstaculización o la no atención reiterada del ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679.” El balance de las circunstancias contempladas, con respecto a la infracción cometida, al vulnerar lo establecido en su artículo 21 del RGPD, permite fijar una sanción inicial de 2.500 euros (dos mil quinientos euros), Por lo tanto, a tenor de lo anteriormente expuesto, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: INICIAR: PROCEDIMIENTO SANCIONADOR a la entidad XASTRE DO PETO, S.L. con CIF.: B70353677 por: - Infracción del 6.1) RGPD, respecto del tratamiento ilícito de datos personales de los clientes, al solicitarles sus datos en base a una obligación legal que ya no estaba en vigor. - Infracción del artículo 13 RGPD respecto de la falta de información sobre las finalidades en el tratamiento de sus datos personales incluidas en el formulario de recogida de datos. - Infracción del artículo 21 RGPD respecto de la falta de un mecanismo sencillo y gratuito para oponerse, en el momento de la obtención de los datos personales, al envío de comunicaciones comerciales NOMBRAR: como Instructor a D. R.R.R., y Secretaria, en su caso, a Dª S.S.S., indicando que cualquiera de ellos podrá ser recusado, en su caso, conforme a lo establecido en los art 23 y 24 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP). INCORPORAR: al expediente sancionador, a efectos probatorios, la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por la Subdirección General de Inspección de Datos durante la fase de investigaciones, todos ellos parte del presente expediente administrativo. QUE: a los efectos previstos en el art. 64.2
  27. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de 6.000 euros (seis mil euros), por la infracción del artículo 6.1) RGPD (2.500 euros), por la infracción del artículo 13 RGPD (1.000 euros) y por la infracción del artículo 21 RGPD (2.500 euros), sin perjuicio de lo que resulte de la instrucción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/20 NOTIFICAR: el presente acuerdo de inicio de expediente sancionador a la entidad XASTRE DO PETO, S.L., otorgándole un plazo de audiencia de diez días hábiles para que formule las alegaciones y presente las pruebas que considere convenientes. Si en el plazo estipulado no efectuara alegaciones a este acuerdo de inicio, el mismo podrá ser considerado propuesta de resolución, según lo establecido en el artículo 64.2.
  28. f)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP). De conformidad con lo dispuesto en el artículo 85 de la LPACAP, en caso de que la sanción a imponer fuese de multa, podrá reconocer su responsabilidad dentro del plazo otorgado para la formulación de alegaciones al presente acuerdo de inicio; lo que llevará aparejada una reducción de un 20% de la sanción que proceda imponer en el presente procedimiento, equivalente en este caso a 1.200 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.800 euros, resolviéndose el procedimiento con la imposición de esta sanción. Del mismo modo podrá, en cualquier momento anterior a la resolución del presente procedimiento, llevar a cabo el pago voluntario de la sanción propuesta, lo que supondrá una reducción de un 20% del importe de esta, equivalente en este caso a 1.200 euros. Con la aplicación de esta reducción, la sanción quedaría establecida en 4.800 euros y su pago implicará la terminación del procedimiento. La reducción por el pago voluntario de la sanción es acumulable a la que corresponde aplicar por el reconocimiento de la responsabilidad, siempre que este reconocimiento de la responsabilidad se ponga de manifiesto dentro del plazo concedido para formular alegaciones a la apertura del procedimiento. El pago voluntario de la cantidad referida en el párrafo anterior podrá hacerse en cualquier momento anterior a la resolución. En este caso, si procediera aplicar ambas reducciones, el importe de la sanción quedaría establecido en 3.600 euros (tres mil seiscientos euros). En todo caso, la efectividad de cualquiera de las dos reducciones mencionadas estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. Si se optara por proceder al pago voluntario de cualquiera de las cantidades señaladas anteriormente, deberá hacerlo efectivo mediante su ingreso en la cuenta Nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A., indicando en el concepto el número de referencia del procedimiento que figura en el encabezamiento de este documento y la causa de reducción del importe a la que se acoge. Asimismo, deberá enviar el justificante del ingreso a la Subdirección General de Inspección para continuar con el procedimiento en concordancia con la cantidad ingresada. El procedimiento tendrá una duración máxima de nueve meses a contar desde la fecha del acuerdo de inicio o, en su caso, del proyecto de acuerdo de inicio. Transcurrido ese plazo se producirá su caducidad y, en consecuencia, el archivo de actuaciones; de conformidad con lo establecido en el artículo 64 de la LOPDGDD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/20 Por último, se señala que conforme a lo establecido en el artículo 112.1 de la LPACAP, contra el presente acto no cabe recurso administrativo alguno. Mar España Martí Directora de la Agencia Española de Protección de Datos. >> SEGUNDO: En fecha 12 de septiembre de 2022, la parte reclamada ha procedido al pago de la sanción en la cuantía de 3600 euros haciendo uso de las dos reducciones previstas en el Acuerdo de inicio transcrito anteriormente, lo que implica el reconocimiento de la responsabilidad. TERCERO: El pago realizado, dentro del plazo concedido para formular alegaciones a la apertura del procedimiento, conlleva la renuncia a cualquier acción o recurso en vía administrativa contra la sanción y el reconocimiento de responsabilidad en relación con los hechos a los que se refiere el Acuerdo de Inicio. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II El artículo 85 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP), bajo la rúbrica “Terminación en los procedimientos sancionadores” dispone lo siguiente: “1. Iniciado un procedimiento sancionador, si el infractor reconoce su responsabilidad, se podrá resolver el procedimiento con la imposición de la sanción que proceda. 2. Cuando la sanción tenga únicamente carácter pecuniario o bien quepa imponer una sanción pecuniaria y otra de carácter no pecuniario pero se ha justificado la improcedencia de la segunda, el pago voluntario por el presunto responsable, en cualquier momento anterior a la resolución, implicará la terminación del procedimiento, salvo en lo relativo a la reposición de la situación alterada o a la determinación de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/20 indemnización por los daños y perjuicios causados por la comisión de la infracción. 3. En ambos casos, cuando la sanción tenga únicamente carácter pecuniario, el órgano competente para resolver el procedimiento aplicará reducciones de, al menos, el 20 % sobre el importe de la sanción propuesta, siendo éstos acumulables entre sí. Las citadas reducciones, deberán estar determinadas en la notificación de iniciación del procedimiento y su efectividad estará condicionada al desistimiento o renuncia de cualquier acción o recurso en vía administrativa contra la sanción. El porcentaje de reducción previsto en este apartado podrá ser incrementado reglamentariamente.” De acuerdo con lo señalado, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR la terminación del procedimiento EXP202206486, de conformidad con lo establecido en el artículo 85 de la LPACAP. SEGUNDO: NOTIFICAR la presente resolución a XASTRE DO PETO, S.L.. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
  29. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, los interesados podrán interponer recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 936-040822 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.