1/19 Expediente N.º: EXP202410000 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Como consecuencia de reclamación presentada ante la Agencia Española de Protección de Datos, apreciándose indicios de un posible incumplimiento de las normas en el ámbito de las competencias de la Agencia Española de Protección de Datos, se iniciaron actuaciones con número de expediente EXP202402611. La reclamación fue admitida a trámite en fecha 26 de abril de 2024. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD en lo sucesivo). En el marco de las actuaciones de investigación, se remitió por tres veces a AGENCIA PARA LA ADMINISTRACIÓN DIGITAL DE LA COMUNIDAD DE MADRID (en adelante, MADRIDDIGITAL), con NIF Q7850054C, un requerimiento de información para que, en el plazo de quince días hábiles, presentase ante esta Agencia la información y documentación que se señalaba. TERCERO: El referido requerimiento de información se notificó en las tres ocasiones conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP). Las dos primeras veces, el requerimiento no fue recogido por MADRIDDIGITAL dentro del plazo de puesta a disposición, como consta en los acuses de recibo que obran en el expediente, entendiéndose rechazadas las notificaciones y efectuado el trámite, conforme a lo previsto en los art. 43.2 y 41.5 de la LPACAP, en fechas 5 y 22 de abril de 2024. La tercera vez, el requerimiento se envió por correo postal, siendo recogido por MADRIDDIGITAL con fecha 23 de mayo de 2024, como consta en el acuse de recibo que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/19 CUARTO: Respecto a la información requerida, MADRIDDIGITAL no ha remitido respuesta alguna a esta Agencia Española de Protección de Datos en los plazos otorgados para ello. QUINTO: Con fecha 6 de agosto de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a MADRIDDIGITAL, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por la presunta infracción del Artículo 58.1 del RGPD, tipificada en el Artículo 83.5 del RGPD. SEXTO: El citado acuerdo de inicio fue recogido por MADRIDDIGITAL con fecha 12 de agosto de 2024, como consta en el acuse de recibo que obra en el expediente. SÉPTIMO: Con fechas 26 de agosto y 19 de septiembre de 2024 y números de registro de entrada REGAGE24e00063388935, REGAGE24e00063559794 y REGAGE24e00070277568, MADRIDDIGITAL presenta escrito de alegaciones en el que responde al requerimiento de información formulado en el marco del expediente EXP202402611 y, respecto al objeto del actual procedimiento sancionador, manifiesta lo siguiente. “Segunda.- En lo relativo a la atención del requerimiento efectuado a instancias de la AEPD a propósito de esta intrusión, Madrid Digital tiene confirmación del CRTM de haberlo contestado, según consta en el correspondiente Recibo de Presentación en Oficina de Registro General de la Agencia Española de Protección de Datos O00007128 Fecha y hora de registro en 17/04/2024 17:44:07 (Horario peninsular) Número de registro: O00007128e24P0005550. GEISER-1ad5-7815-db0f-4663-8fb9b11b-9dea-4323) De hecho, toda solicitud de información recibida en Madrid Digital, abstracción hecha de la autoridad o institución ordenante, fue de inmediato puesta en conocimiento del CRTM y del DPD de dicho organismo, quienes nos consta que las atendieron a la luz de la información facilitada por sus contratistas y el apoyo de Madrid Digital como colaborador institucional y asesor técnico puntual en materia de seguridad de la información. Madrid Digital siempre se ha conducido bajo la creencia de que el CRTM contestaría, en su condición de responsable de tratamiento, cualquier requerimiento, y de que la idea de emitir por separado respuesta a requerimientos de igual o similar contenido, podría generar duplicidades tan ineficaces como indeseadas, pareciendo a todas luces más razonable que el CRTM evacuara en cada ocasión una respuesta unívoca. Pese a haber obrado con esta creencia y buena voluntad en un intento de gestionar adecuadamente este proceso, cabe pensar que quizás hubiera sido más apropiado que Madrid Digital informara expresamente a la AEPD de que no encarnaba en esta ocasión la figura de responsable ni encargado de tratamiento, y que por consiguiente y salvo mejor criterio de la AEPD, era al CRTM a quien competía ofrecer una respuesta. En cuanto a la ausencia de recepción de las notificaciones electrónicas, es cierto que por una incidencia de coordinación no se tuvo conocimiento de las notificaciones giradas, siendo dicha circunstancia, aunque involuntaria, achacable exclusivamente a esta entidad, por lo que sólo cabe lamentar la inconveniencia que se haya podido C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/19 ocasionar a esa Agencia Española de Protección de Datos, y trabajar para que esta situación no se repita. Tercera. - En lo relativo a la presunta comisión de una infracción tipificada en el art. 83.5.
- e)RGPD, viene al caso aclarar que, según el tenor literal del acuerdo de inicio de procedimiento sancionador notificado por la AEPD (…) se imputa a priori a Madrid Digital la comisión de una infracción administrativa consistente en no facilitar a la AEPD la información que ésta requería en el asunto de referencia, propiciando con ello una obstaculización a la labor investigadora ejercida por dicha autoridad. Dicha infracción consta tipificada en el art. 83.5.
- e)RGPD y lleva aparejada la propuesta de sanción que especifica el propio texto. No obstante, y habida cuenta que los preceptos invocados por la AEPD han de ser interpretados en consonancia con el art. 70 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (…) Se infiere de la lectura de este precepto, que Madrid Digital no pertenece a ninguna de estas categorías en el contexto de la brecha de seguridad de datos personales declarada por el CRTM, al haber obrado entonces como colaborador institucional, pero en ningún caso como responsable o encargado de tratamiento de los datos personales alojados en los SSII objeto de contratación por iniciativa del propio Consorcio con empresas externas ajenas a Madrid Digital. No cabe pues exigir responsabilidad administrativa a Madrid Digital por unos hechos que no conculcan la norma, en tanto su rol no fue en ese momento el que exigen tanto el art. 70 LOPDGDD como el art. 58.1 RGPD (ser responsable o encargado de tratamiento) sino que fue un colaborador institucional al amparo del art. 140 de la Ley 40/2015, LRJSP. Y la circunstancia de haber atendido o no directamente los requerimientos girados por la AEPD, no tiene relevancia administrativa en el seno de un procedimiento sancionador para quien no es responsable, encargado o su representante; máxime cuando dichos requerimientos fueron remitidos al CRTM, como responsable del tratamiento, quien sí dio debido cumplimiento a los mismos. A mayor abundamiento, Madrid Digital no sólo no ha obstaculizado en ningún momento la investigación, sino todo lo contrario, ha remitido al CRTM todos los oficios y ha colaborado y asesorado técnicamente en materia de seguridad de la información, suministrando al CRTM la información de que disponía. Consecuentemente, entendemos que no procede el inicio de expediente sancionador contra quien no consta expresamente como potencial sujeto infractor del régimen sancionador que ejerce esa autoridad de control a nivel estatal.” Por lo expuesto, MADRIDDIGITAL solicita que esta Agencia “revoque la propuesta de sanción y acuerde el archivo del expediente sancionador incoado, teniendo asimismo por contestado en tiempo y forma el requerimiento dirigido a Madrid Digital, con motivo de la comunicación de la ocurrencia de una brecha de seguridad de datos personales en el seno de Consorcio Regional de Transportes.” OCTAVO: Con fechas 23 y 24 de septiembre de 2024 y números de registro de entrada REGAGE24e00071161625 y REGAGE24e00071646769, MADRIDDIGITAL solicita la concertación de citas, petición que se deniega debido a que los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/19 procedimientos que abre esta Agencia se siguen con carácter formal, no procediendo la celebración de actos o realización de trámites no reglados. NOVENO: Con fecha 13 de marzo de 2025, se formuló propuesta de resolución, proponiendo que por la Presidencia de la Agencia Española de Protección de Datos se declare que MADRIDDIGITAL ha infringido lo dispuesto en el Artículo 58.1 del RGPD, infracción tipificada en el Artículo 83.5 del RGPD. Asimismo, se puso de manifiesto el procedimiento a fin de que en el plazo de diez días MADRIDDIGITAL pudiera alegar cuanto considerara en su defensa y presentar los documentos e informaciones que considerara pertinentes, de acuerdo con el artículo 89.2 de la LPACAP. DÉCIMO: La propuesta de resolución se notificó conforme a las normas establecidas en la LPACAP mediante notificación electrónica, siendo recogida por MADRIDDIGITAL con fecha 14 de marzo de 2025, como consta en el acuse de recibo que obra en el expediente. UNDÉCIMO: Con fecha 28 de marzo de 2025 y números de registro de entrada REGAGE25e00024964872, REGAGE25e00024966090, REGAGE25e00024968776, REGAGE25e00024969495, EGAGE25e00024970079 y REGAGE25e00024970879, MADRIDDIGITAL presenta escrito de alegaciones en el que, respecto al objeto del actual procedimiento sancionador, manifiesta lo siguiente. En la primera alegación, MADRIDDIGITAL se refiere a una supuesta infracción del principio de tipicidad y afirma que las actuaciones previas de investigación llevadas a cabo por esta Agencia “no son conformes a los principios de legalidad y tipicidad que deben regir el ejercicio de toda potestad sancionadora por parte de las Administraciones Públicas. El principio de tipicidad, íntimamente ligado al de legalidad, implica que el ejercicio de la potestad sancionadora sea una actividad rigurosamente reglada, sin perjuicio de que hayan de operar circunstancias que integran conceptos jurídicos indeterminados. De acuerdo con los arts. 9.3 y 25 de la Constitución, el principio de legalidad es incompatible con cualquier resquicio de discrecionalidad en la calificación de la infracción y en la graduación de la sanción.” En primer término, MADRIDDIGITAL dice que “no es cierto que Madrid Digital haya dejado de facilitar la información de que disponía; al contrario, se ha puesto a disposición de la AEPD, por medio del CRTM, toda la información disponible por parte de Madrid Digital. Debe subrayarse que Madrid Digital facilitó y puso a disposición de la AEPD toda la información requerida que se hallaba en su poder, y lo hizo a través del organismo que legalmente es responsable del tratamiento de datos personales y responsable del cumplimiento de las obligaciones de información previstas en el RGPD.” En segundo término, MADRIDDIGITAL dice que “no ostenta la condición ni de Responsable ni de Encargado del Tratamiento. Es el Consorcio Regional de Transportes (“CRTM”) el organismo que decide sobre el contenido, finalidad y uso de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/19 los datos tratados; y será la entidad que haya eventualmente contratado con aquél la que tenga la condición de encargado del tratamiento.” En tercer término, MADRIDDIGITAL dice que “la infracción señalada en la Propuesta, consistente en “no facilitar el acceso del personal de la autoridad” no guarda relación con el hecho de no acceder dos notificaciones electrónicas, siendo conductas distintas.” MADRIDDIGITAL afirma que la ausencia de alguno de los requisitos de tipicidad “impide la aplicación del precepto y la consiguiente calificación de infractora de la conducta observada.” Así, MADRIDDIGITAL procede a analizar por separado los dos requisitos de tipicidad. Respecto a la puesta a disposición de la información requerida, MADRIDDIGITAL dice que MADRIDDIGITAL y CRTM son “dos entidades con personalidad jurídica propia y diferenciada”. Adicionalmente, MADRIDDIGITAL dice lo siguiente. “- No existe contrato vigente entre Madrid Digital y CRTM respecto a los sistemas de información de CRTM afectados por la brecha. - Las medidas de seguridad técnicas y organizativas de Madrid Digital no son aplicables a dichos sistemas (dado que no se trataba de sistemas de Madrid Digital ni gestionados por esta Agencia, sino por proveedores contratados directamente por el CRTM). - El Delegado de Protección de Datos de Madrid Digital no elaboró ningún informe de la brecha de seguridad dado que Madrid Digital no era ni responsable ni encargado del tratamiento. - Toda la información que Madrid Digital tenía sobre la brecha fue comunicada a la AEPD por el CRTM, como acredita la documentación que se aporta con el presente escrito y que reseñamos más adelante, por lo que, conforme al artículo 28.2 de la Ley 30/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, “los interesados tienen derecho a no aportar documentos que ya se encuentren en poder de la Administración actuante o hayan sido elaborados por cualquier otra Administración”.” MADRIDDIGITAL dice que “Existe constancia fehaciente de que la información sobre la brecha que la AEPD requirió a Madrid Digital llegó y fue puesta a disposición de la AEPD con anterioridad a dicho requerimiento por medio del CRTM, por lo que ya obraba en su poder.” MADRIDDIGITAL considera que su intervención “a lo largo del proceso de gestión de la brecha se produjo con el ánimo de cooperar en la solución de un problema ajeno, al ser un ente que atesora un bagaje considerable en materia de ciberseguridad, y merced al principio de colaboración inter e intra Administraciones consagrado en el art. 140 y ss. de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público (LRJSP).” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/19 MADRIDDIGITAL asevera que “esta forma de actuar era totalmente conforme con la doctrina emanada de la propia AEPD en su Guía para la notificación de brechas de datos, IV. Notificación a la autoridad de control. G. Obligaciones del responsable tras notificar una brecha de datos personales”, según la cual, notificada una brecha de datos personales a la Autoridad de Control “el responsable de tratamiento ha de estar preparado para recibir y atender los posibles requerimientos, órdenes o comunicaciones que la AEPD pueda realizarle electrónicamente en relación con la brecha de datos personales notificada”. Respecto a la afirmación de MADRIDDIGITAL de que carece de condición de responsable del tratamiento, MADRIDDIGITAL recuerda la Sentencia de 5 de diciembre de 2023 (asunto C-807/21) del Tribunal de Justicia de la Unión Europea, según la cual: “73. La existencia de un sistema de sanciones que permita imponer, cuando las circunstancias específicas de cada caso lo justifiquen, una multa administrativa con arreglo al artículo 83 del RGPD crea un incentivo para que los responsables y encargados del tratamiento cumplan el Reglamento. Con su efecto disuasorio, las multas administrativas contribuyen a reforzar la protección de las personas físicas en lo que respecta al tratamiento de datos personales y constituyen, por ende, un elemento clave para garantizar el respeto de los derechos de dichas personas, de conformidad con la finalidad del citado Reglamento de asegurar un elevado nivel de protección de esas personas en lo que respecta al tratamiento de los datos personales.” Según MADRIDDIGITAL, esta Agencia obvia “que la propia LOPDG delimita claramente en su artículo 70 quiénes son sujetos sometidos al régimen sancionador del RGPD y la LOPDG y en esa enumeración no se encuentra esta entidad, dado que no se incluye la posibilidad de sancionar al responsable de unos documentos o al responsable de entregar dichos documentos a la AEPD (documentos que, como indicamos en este escrito, o bien no existían o bien habían sido ya aportados por el CRTM). Efectivamente, el artículo 70.1 sólo recoge como sujetos sometidos al régimen sancionador a los responsables del tratamiento, los encargados del tratamiento, los representantes de aquellos cuando no estén establecidos en la Unión Europea, las entidades de certificación y las entidades acreditadas de supervisión de los códigos de conducta. A mayor abundamiento, el artículo 77 LOPDG relativo al régimen sancionador aplicable al sector público, se refiere expresa y únicamente a entidades que sean responsables o encargados del tratamiento. Sucede, pues, lo mismo que en el Derecho Penal con los delitos especiales, que solo pueden ser cometidos por sujetos activos que reúnan determinadas cualidades.” Respecto a la afirmación de MADRIDDIGITAL de que “La infracción señalada en la Propuesta, consistente en “no facilitar el acceso del personal de la autoridad” no guarda relación con el hecho de no acceder dos notificaciones electrónicas, siendo conductas distintas”, MADRIDDIGITAL dice que “lo que ha acontecido en el presente caso es que no se accedido a dos notificaciones electrónicas sin que tal acceso haya perjudicado la investigación que se estaba cursando.” Al respecto, MADRIDDIGITAL C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/19 transcribe el artículo 27 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público para aseverar que “el principio de tipicidad también es aplicable en el Derecho Administrativo Sancionador, prohibiendo la aplicación de la analogía en dicho ámbito”. Como soporte a lo anterior, MADRIDDIGITAL menciona los artículos 9.3 y 25.1 de la Constitución Española y dos sentencias del Tribunal Supremo, en concreto, la Sentencia 3547/2012, de 11 de mayo de 2012, rec. 485/2011 de 11 de mayo de 2012, ECLI:ES:TS:2012:3547 y la la Sentencia 3423/2011, de 27 de mayo de 2011, rec. 207/2010, ECLI:ES:TS:2011:3423. Por otra parte, MADRIDDIGITAL recuerda que “El principio de legalidad impone una interpretación restrictiva que resulta del art. 4.2 del Código Civil, de tal modo queda vedado a los órganos competentes en el ejercicio de la potestad sancionadora proceder a una interpretación ampliatoria de los supuestos tipificados como infracciones en la norma.” MADRIDDIGITAL señala al respecto la Sentencia del Tribunal Supremo de 25 de enero de 1989 y dice que “Ni siquiera está permitido el empleo de la analogía en materia sancionadora (art. 27.4 LRJSP y 4.2 CC; SSTCo 196/1991; 182/1990).” MADRIDDIGITAL dice, respecto a la calificación de muy grave de la conducta según el artículo 72.1.ñ) de la LOPDGDD, que esta Agencia realiza “una interpretación que va más allá de los términos de la norma sin que conste la voluntad del legislador de hacer que la consecuencia prevista en ella alcance a preceptos o supuestos distintos de los concretamente expresados en el precepto. La mera circunstancia de no remitir la información a la Agencia sino al verdadero obligado a aportarla, el Responsable del Tratamiento, no tiene relevancia jurídica en el seno de un procedimiento sancionador para quien no es responsable, encargado o su representante; máxime cuando dichos requerimientos fueron remitidos al CRTM, como responsable del tratamiento, quien sí dio debido cumplimiento a los mismos. Tampoco la tiene desde un punto de vista práctico porque la información fue efectivamente puesta a disposición de la AEPD, tal y como consta acreditado en el Expediente Administrativo.” En la segunda alegación, MADRIDDIGITAL se refiere a una supuesta infracción del principio de personalidad. Al respecto, MADRIDDIGITAL dice que “Al amparo de lo prevenido en el art. 28 de la LRJSP no concurre tampoco el principio de personalidad que permita atribuir a Madrid Digital una conducta constitutiva de infracción administrativa en materia de protección de datos”, y cita el art. 70 de la LOPDGDD. MADRIDDIGITAL dice que “El concepto de autoría de la acción está íntimamente unido al principio de culpabilidad de forma que la sanción solo se puede imponer al autor de una conducta que sea típica, antijurídica y culpable, siempre que sea, además, punible. Esto supone la aplicación del principio del carácter personal de la pena o sanción, conocido como principio de responsabilidad o principio de personalidad de la pena, lo que tiene la consecuencia de que es contrario a Derecho exigir a terceros, en este caso Madrid Digital, el cumplimiento de las responsabilidades derivadas de infracción y sanción.” En la tercera alegación, MADRIDDIGITAL se refiere a una supuesta falta de concurrencia de culpabilidad. Al respecto, MADRIDDIGITAL dice que “Toda C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/19 responsabilidad derivada de la comisión de un ilícito ha de ser imputable y reprochable a su autor conforme a lo dispuesto en el art. 28 LRJSP (…) Es exigible el concurso de, al menos, un principio de culpa; no cabe una responsabilidad objetiva, por el mero hecho de una actuación ilícita (TCo 246/1991; TS 26-3-86, EDJ 2260; TEAC 6-3-96; 23-6-92). La existencia de culpa y, por ello, de responsabilidad, requiere prueba de cargo suficiente, aportada por la Administración, en la que se acredite el componente objetivo de la infracción -la comisión de la conducta- y su elemento subjetivo -la culpabilidad del sancionado-, sin que este, por tanto, tenga la carga de acreditar su falta de culpabilidad (TS 5-11-98, EDJ 28649; TEAC 21-12-94). No se puede presumir conducta culposa o dolosa en función de las circunstancias concurrentes, al menos de manera automática (AN 2-11-94). La conducta debe ser reprochable, al menos, a título de negligencia, lo que excluye que necesariamente deba concurrir como elemento subjetivo de lo injusto el dolo -en cualquiera de sus grados-; basta con que se presencie la falta de una debida y básica diligencia (TS 20-12-96), salvo que el elemento intencional sea elemento subjetivo del tipo.” MADRIDDIGITAL transcribe los artículos 58.4 y 83.2 del RGPD y dice que “Estas disposiciones han sido interpretadas por el Tribunal de Justicia de la Unión Europea, que en su Sentencia de 5 de diciembre de 2023 (asunto C-807/21) establece expresamente que no puede interpretarse el artículo 83 del RGPD en el sentido de que permita la imposición de multas administrativas “sin que se haya demostrado que la infracción del RGPD sancionada con la multa se haya cometido de forma intencionada o negligente” (apartados 63 y 64). Desarrolla el Tribunal esta argumentación en diversos párrafos de los apartados 65 y siguientes. (…) Y tanto el Tribunal Supremo como el Tribunal Constitucional han establecido reiteradamente que los principios del Derecho Penal han de aplicarse al Derecho Administrativo sancionador. Así lo dictaminó el Tribunal Constitucional en su Sentencia 18/1981, 8 de junio de 1981, con respecto a las garantías previstas en el artículo 24 de la Constitución Española. (…) Y, en concreto, respecto al principio de culpabilidad, establece el Tribunal Supremo en su Sentencia 174/1994, de 24 de enero de 1994, la necesidad no solo de que concurra culpa en la conducta sancionada sino también que dicha culpa quede acreditada por la Administración, siendo el error eficaz como elemento de exclusión de la culpa. (…) En el presente caso, como queda acreditado con la documental aportada, Madrid Digital actuó en todo momento en la legítima confianza de estar colaborando con la AEPD a través del CRTM, lo que, como se ha alegado anteriormente, efectivamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/19 acaeció ya que la AEPD tuvo a su disposición la información facilitada por Madrid Digital a través del CRTM.” En la cuarta alegación, MADRIDDIGITAL se refiere a una supuesta ausencia de proporcionalidad en la imposición de sanción. Al respecto, MADRIDDIGITAL dice que “La Propuesta de sanción no respeta la debida relación entre el ilícito cometido (mera irregularidad formal sin consecuencias materiales sobre el curso de la investigación) y la sanción a imponer, vulnerando con ello lo dispuesto en el art. 29 LRJSP (STCo 55/1996; 161/1997).” Así, MADRIDDIGITAL procede a examinar los criterios legales de graduación. MADRIDDIGITAL dice que “no concurre conducta antijurídica que merezca un reproche culpabilístico merecedor de una sanción. Al contrario, Madrid Digital, pese a no estar obligado jurídicamente a hacerlo, siempre colaboró con el CRTM y, por ende, con la AEPD. - La continuidad o persistencia en la conducta infractora. No existe persistencia, sino hechos puntuales sin relevancia práctica en el resultado de la investigación de la brecha de seguridad. - La naturaleza de los perjuicios causados. Son inexistentes. La investigación sobre los derechos de los ciudadanos, titulares de los datos afectados, que se llevó a cabo, en modo alguno se ha visto alterada por el hecho de que no se recogieran unas notificaciones porque la información fue puesta a disposición de la AEPD, como ha quedado acreditado en el Expediente. Según doctrina consolidada del Tribunal Constitucional, una mera irregularidad formal carece de virtualidad invalidante si no se han lesionado derechos o intereses susceptibles de protección legal. - La reincidencia, por comisión en el término de un año de más de una infracción de la misma naturaleza, cuando así haya sido declarado por resolución firme -firmeza administrativa. No concurre esta circunstancia. La Jurisprudencia del Tribunal Supremo tiene declarado que resulta relevante, asimismo, la aplicación en este campo de la regla de la «confianza legítima» del interesado en la actuación de la Administración (STS 21-11-90, EDJ 10581). En este caso, huelga reiterar su concurrencia.” En la quinta alegación, MADRIDDIGITAL se refiere a una supuesta falta de motivación en la propuesta de resolución. Al respecto, MADRIDDIGITAL dice que “La sanción impuesta ha de tener fundamento adecuado en el tipo infractor aplicado. Lo contrario, tanto en sede de interpretación normativa como de motivación, lesiona el art. 25.1 de la Constitución. La AEPD interpreta que una mera falta de acceso a unas notificaciones y el hecho de responder a un requerimiento a través de otro organismo público constituye nada más y nada menos que una obstrucción a un proceso de investigación. Pues bien, la posibilidad de que se produzca una vulneración del citado precepto constitucional como consecuencia de las pautas interpretativas empleadas para la subsunción de la conducta en el tipo de infracción ha sido expresamente recogido por el Tribunal C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/19 Constitucional (TCo 196/2002; 129/2003). La validez constitucional de la aplicación de las normas sancionadoras depende tanto del respeto al tenor literal del enunciado normativo, que marca en todo caso una zona de exclusión de comportamientos, como de su previsibilidad (TCo 151/1997; 236/1997), hallándose en todo caso vinculadas por los principios de legalidad y de seguridad jurídica, aquí en su vertiente subjetiva que lleva consigo la evitación de resoluciones que impidan a los ciudadanos programar sus comportamientos sin temor a posibles condenas por actos no tipificados previamente (TCo 133/1987; 137/1997; 64/2001). Concretamente, la previsibilidad de tales decisiones debe ser analizada desde las pautas axiológicas que informan la Constitución, y conforme a los modelos de argumentación aceptados por la comunidad jurídica (TCo 137/1997; 161/1997; 42/1999; 87/2001). Aplicando esta doctrina al caso del presente Expediente, puede afirmarse que, no solo vulnera el principio de legalidad la Propuesta de resolución al sustentarse en una subsunción de hechos ajena al significado posible de los términos de la norma aplicada, sino que la Propuesta resulta también constitucionalmente rechazable en la medida en que tiene un soporte axiológico conducente a soluciones esencialmente opuestas a la orientación material de la norma y, por ello, imprevisibles para sus destinatarios (TCo 30/2013; 45/2013). Es decir, concurre vulneración del derecho a la legalidad sancionadora en la medida en que la Propuesta contiene aplicación extensiva o analógica de la norma y ausencia de fundamentación suficiente.” En la sexta alegación, MADRIDDIGITAL se refiere a una supuesta falta de respeto del principio de interpretación de la norma de manera favorable al interesado. Al respecto, MADRIDDIGITAL dice que “Este principio ha de respetarse igualmente en el ejercicio de la potestad sancionadora, pues las normas relativas al ejercicio de derechos -como el defensa- deben interpretarse de manera menos rigurosa que las reguladoras de obligaciones o deberes de los interesados (TEAR La Rioja 29-11-00). Nos hallamos ante una mera irregularidad formal no invalidante que en modo alguno tiene efecto sobre la investigación realizada ni sobre el esclarecimiento de los hechos.” En la séptima alegación, MADRIDDIGITAL enumera la documentación aportada con el escrito de alegaciones. En virtud de cuanto antecede, MADRIDDIGITAL solicita “que, teniendo por presentado el presente escrito junto con la documentación que se acompaña, declare atendido el requerimiento de información dirigido a esta Agencia; y, teniendo en cuenta las alegaciones contenidas en el cuerpo del presente escrito, dicte Resolución por la que se acuerde la inexistencia de infracción administrativa y, por tanto, el archivo del procedimiento sancionador.” A la vista de todo lo actuado, por parte de la Agencia Española de Protección de Datos en el presente procedimiento se consideran hechos probados los siguientes, HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/19 PRIMERO: El requerimiento de información indicado en los antecedentes segundo y tercero fue notificado con arreglo a lo dispuesto en la LPACAP. SEGUNDO: MADRIDDIGITAL no ha respondido al requerimiento de información efectuado por esta Agencia en el marco de las actuaciones de investigación del expediente EXP202402611 con anterioridad a que se dictase el acuerdo de inicio del presente procedimiento sancionador. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del RGPD, otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Alegaciones al acuerdo de inicio En respuesta a las alegaciones presentadas por MADRIDDIGITAL se debe señalar lo siguiente. Respecto a la afirmación de que “En lo relativo a la atención del requerimiento efectuado a instancias de la AEPD a propósito de esta intrusión, Madrid Digital tiene confirmación del CRTM de haberlo contestado”, cabe señalar que la respuesta a la que se refiere MADRIDDIGITAL es el registro de entrada REGAGE24e00028456502, con el que el Consorcio Regional de Transportes de Madrid (CRTM) respondió con fecha 17 de abril de 2024 a un requerimiento de información hecho por esta Agencia a dicho organismo en el marco del expediente EXP202402611. No se trata, pues, de la respuesta al requerimiento de información hecho por esta Agencia a MADRIDDIGITAL. A mayor abundamiento, la respuesta del CRTM fue presentada con fecha 17 de abril de 2024, mientras que el requerimiento de información dirigido por esta Agencia a MADRIDDIGITAL se reiteró con fecha 24 de abril de 2024, siendo finalmente recogido por MADRIDDIGITAL con fecha de 23 de mayo de 2024, tras dos intentos infructuosos de notificación electrónica. Por lo tanto, el requerimiento recogido por MADRIDDIGITAL no debió sin más ignorarse y entenderse respondido con un escrito anterior que ni siquiera fue presentado por MADRIDDIGITAL. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/19 De todo ello se puede desprender una actuación no diligente de MADRIDDIGITAL con respecto al requerimiento de esta Agencia realizado en el expediente EXP202402611. Asimismo, se señala que la respuesta al requerimiento de información dada durante la instrucción de este procedimiento no afecta a la existencia de los hechos probados constitutivos de infracción. Por lo que se refiere a la información comunicada, por parte de esta Agencia se acusa recibo de la misma, sin que esta declaración suponga ningún pronunciamiento sobre su idoneidad. Respecto a la aseveración de que MADRIDDIGITAL “no pertenece a ninguna de estas categorías”, (se refiere aquí MADRIDDIGITAL a responsables y encargados de los tratamientos), “en el contexto de la brecha de seguridad de datos personales declarada por el CRTM”, que “No cabe pues exigir responsabilidad administrativa a Madrid Digital por unos hechos que no conculcan la norma, en tanto su rol no fue en ese momento el que exigen tanto el art. 70 LOPDGDD como el art. 58.1 RGPD (ser responsable o encargado de tratamiento) sino que fue un colaborador institucional al amparo del art. 140 de la Ley 40/2015, LRJSP” y que “Madrid Digital no sólo no ha obstaculizado en ningún momento la investigación, sino todo lo contrario, ha remitido al CRTM todos los oficios y ha colaborado y asesorado técnicamente en materia de seguridad de la información, suministrando al CRTM la información de que disponía”, se ha de indicar lo siguiente. El artículo 67.1 de la LOPDGDD establece que “Antes de la adopción del acuerdo de inicio de procedimiento, y una vez admitida a trámite la reclamación si la hubiese, la Agencia Española de Protección de Datos podrá llevar a cabo actuaciones previas de investigación a fin de lograr una mejor determinación de los hechos y las circunstancias que justifican la tramitación del procedimiento”. Dichas actuaciones, de acuerdo con el art. 67.2 LOPDGDD “se someterán a lo dispuesto en la sección 2.ª del capítulo I del título VII de esta ley orgánica”. El art. 52.1 de dicha ley establece que “Las Administraciones Públicas, incluidas las tributarias y de la Seguridad Social, y los particulares estarán obligados a proporcionar a la Agencia Española de Protección de Datos los datos, informes, antecedentes y justificantes necesarios para llevar a cabo su actividad de investigación.” Por tanto, MADRIDDIGITAL no actúa como un mero colaborador institucional conforme al art. 140 LRJSP, sino como una entidad sujeta a una obligación legal con la Agencia Española de Protección de Datos en el marco de una actuaciones de investigación regulada en la LOPDGDD, y así, como responsable de facilitar los documentos que se solicitaban en el requerimiento de información, en la medida en que eran relevantes para determinar los hechos y las circunstancias relativas a la responsabilidad por las potenciales infracciones investigadas. Los documentos requeridos a MADRIDDIGITAL le son requeridos en cuanto responsable de los mismos, así se refleja en el requerimiento, que comprendía: - Copia del contrato firmado por MADRIDDIGITAL con el CRTM. Informe elaborado por el DPD de MADRIDDIGITAL. Información actualizada relacionada con la brecha de la que dispusiera MADRIDDIGITAL. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/19 - Medidas organizativas y técnicas de MADRIDDIGITAL. Finalmente, no se puede dar por cumplida la obligación de proporcionar esta información a la Agencia con la simple actuación de remitir y trasladar estos requerimientos al CRTM, pues esto no traslada en ningún caso la responsabilidad sobre el cumplimiento de la obligación que pesa sobre MADRIDDIGITAL. III Alegaciones a la propuesta de resolución En respuesta a las alegaciones a la propuesta de resolución del presente expediente presentadas por el MADRIDDIGITAL se debe señalar lo siguiente. Respecto a la primera alegación, referida a la supuesta infracción del principio de tipicidad, las alegaciones presentadas contra la propuesta de resolución de este expediente reproducen en parte los mismos argumentos esgrimidos contra el Acuerdo de inicio y que, por tanto, ya han sido contestados por esta Agencia en el anterior Fundamento de Derecho. Así, al no responder el requerimiento de información en los plazos otorgados para ello, MADRIDDIGITAL incurrió en la conducta tipificada en el artículo 83.5.
- e)del RGPD, que considera como tal: “no facilitar acceso en incumplimiento del artículo 58, apartado 1.” El mencionado artículo 58.1 otorga una serie de poderes de investigación a las autoridades de control, y entre ellos está el de “
- a)ordenar al responsable y al encargado del tratamiento y, en su caso, al representante del responsable o del encargado, que faciliten cualquier información que requiera para el desempeño de sus funciones;“. Finalmente, la LOPDGDD concreta esta obligación en su art. 52.1, así: “(…) Las Administraciones Públicas, incluidas las tributarias y de la Seguridad Social, y los particulares estarán obligados a proporcionar a la Agencia Española de Protección de Datos los datos, informes, antecedentes y justificantes necesarios para llevar a cabo su actividad de investigación”. Por tanto, esta Agencia considera que no se ha vulnerado el mencionado principio de tipicidad, ni puede admitir que el incumplimiento de los deberes impuestos por la normativa carezca de toda relevancia jurídica. En cuanto a la afirmación de que “la infracción señalada en la Propuesta, consistente en “no facilitar el acceso del personal de la autoridad” no guarda relación con el hecho de no acceder dos notificaciones electrónicas, siendo conductas distintas”, se señala que la afirmación de MADRIDDIGITAL no es correcta, y como se señala en los hechos, esta Agencia no considera que la infracción cometida sea la falta de acceso a notificaciones electrónicas sino la falta de respuesta al requerimiento notificado fehacientemente a MADRIDDIGITAL con fecha 23 de mayo de 2024. MADRIDDIGITAL afirma que “no existe contrato vigente entre Madrid Digital y CRTM respecto a los sistemas de información de CRTM afectados por la brecha”, que “las medidas de seguridad técnicas y organizativas de Madrid Digital no son aplicables a dichos sistemas (dado que no se trataba de sistemas de Madrid Digital ni gestionados por esta Agencia, sino por proveedores contratados directamente por el CRTM)” y que “El Delegado de Protección de Datos de Madrid Digital no elaboró ningún informe de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/19 la brecha de seguridad dado que Madrid Digital no era ni responsable ni encargado del tratamiento.” No obstante, dicha información no fue proporcionada a esta Agencia por MADRIDDIGITAL con anterioridad a que se dictase el acuerdo de inicio del presente procedimiento sancionador. Respecto a la segunda alegación, referida a la supuesta infracción del principio de personalidad, MADRIDDIGITAL dice que “es contrario a Derecho exigir a terceros, en este caso Madrid Digital, el cumplimiento de las responsabilidades derivadas de infracción y sanción.” Sin embargo, según se ha explicado por esta Agencia en el anterior Fundamento de Derecho, en el presente caso pesa sobre MADRIDDIGITAL directamente la obligación antes referida, concretada en el deber de colaboración del art. 52.1 de la LOPDGDD, al que MADRIDDIGITAL no puede hacerse ajeno, siendo la entidad responsable de la información que se le requería y siendo esta necesaria para la actividad de la investigación que se estaba desarrollando. A mayor abundamiento, se señala que el CRTM, preguntado sobre la relación con MADRIDDIGITAL para el tratamiento de datos personales, manifestó, en el ya mencionado registro de entrada REGAGE24e00028456502, que MADRIDDIGITAL actúa como encargado del tratamiento, conforme a la respuesta que a continuación se reproduce. “El apartado 15 del art. 10 de la Ley 7/2005, de 23 de diciembre, de medidas fiscales y administrativas (apartado introducido por la Ley 11/2022, de 21 de diciembre con efectos de 23 de diciembre de 2022) por la que se crea la Agencia para la Administración Digital de la Comunidad de Madrid, dispone que, cuando esta Agencia, en el ejercicio de sus fines y funciones, trate datos personales cuyo responsable del tratamiento esté comprendido en el ámbito de su responsabilidad subjetiva (conforme al apartado Dos del artículo 10 este ámbito comprende la Administración General de la Comunidad de Madrid y sus Organismos Autónomos entre los que se encuentra el CRTM), se considerará que actúa como encargado del tratamiento, de conformidad con lo establecido en el apartado 5 del artículo 33 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.” Respecto a la tercera alegación, referida a la supuesta falta de concurrencia de culpabilidad, se ha de manifestar lo siguiente. Ciertamente, el principio de responsabilidad previsto en el artículo 28.1 de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, dispone que: “Sólo podrán ser sancionadas por hechos constitutivos de infracción administrativa las personas físicas y jurídicas, así como, cuando una Ley les reconozca capacidad de obrar, los grupos de afectados, las uniones y entidades sin personalidad jurídica y los patrimonios independientes o autónomos, que resulten responsables de los mismos a título de dolo o culpa.” No obstante, según lo dictaminado en la STS 7887/2011 de 24 de noviembre de 2011, Rec. 258/2009, “(…) desde su sentencia 76/1990, de 26 de abril, el Tribunal Constitucional viene declarando que no cabe en el ámbito sancionador administrativo la responsabilidad objetiva o sin culpa, doctrina que se reafirma en la sentencia 164/2005, de 20 de junio de 2005 , en cuya virtud se excluye la posibilidad de imponer sanciones por el mero resultado, sin acreditar un mínimo de culpabilidad aun a título C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/19 de mera negligencia. Ahora bien, el modo de atribución de responsabilidad, a las personas jurídicas no se corresponde con las formas de culpabilidad dolosas o imprudentes que son imputables a la conducta humana. Sucede así, y con ello entramos en el examen del motivo, que en el caso de infracciones cometidas por personas jurídicas, incluyendo a las Administraciones públicas, aunque haya de concurrir el elemento de la culpabilidad (véase la sentencia de esta Sala del Tribunal Supremo de 20 de noviembre de 2011 recurso de casación en interés de ley 48/2007), éste se aplica necesariamente de forma distinta a como se hace respecto de las personas físicas. Según la STC 246/1991 que acabamos de citar «(...) esta construcción distinta de la imputabilidad de la autoría de la infracción a la persona jurídica nace de la propia naturaleza de ficción jurídica a la que responden estos sujetos. Falta en ellos el elemento volitivo en sentido estricto, pero no la capacidad de infringir las normas a las que están sometidos. Capacidad de infracción y, por ende, reprochabilidad directa que deriva del bien jurídico protegido por la norma que se infringe y la necesidad de que dicha protección sea realmente eficaz y por el riesgo que, en consecuencia, debe asumir la persona jurídica que está sujeta al cumplimiento de dicha norma».” A lo expuesto debe añadirse, siguiendo la sentencia de 23 de enero de 1998, parcialmente trascrita en la STS 6262/2009, de 9 de octubre de 2009, Rec 5285/2005, y STS 6336/2009, de 23 de octubre de 2009, Rec 1067/2006, que "aunque la culpabilidad de la conducta debe también ser objeto de prueba, debe considerarse en orden a la asunción de la correspondiente carga, que ordinariamente los elementos volitivos y cognoscitivos necesarios para apreciar aquélla forman parte de la conducta típica probada, y que su exclusión requiere que se acredite la ausencia de tales elementos, o en su vertiente normativa, que se ha empleado la diligencia que era exigible por quien aduce su inexistencia; no basta, en suma, para la exculpación frente a un comportamiento típicamente antijurídico la invocación de la ausencia de culpa". Por consiguiente, se desestima la falta de culpabilidad ya que resulta acreditado que MADRIDDIGITAL no contestó al requerimiento efectuado por esta Agencia hasta que no se inició el procedimiento sancionador contra ella, quedando de esta forma en entredicho la diligencia empleada y no procediendo por tanto el archivo solicitud. Respecto a la cuarta alegación, referida a la supuesta ausencia de proporcionalidad en la imposición de sanción, se señala lo siguiente. El artículo 83 del RGPD establece que cada autoridad de control debe garantizar que las multas impuestas sean en cada caso individual efectivas, proporcionadas y disuasorias. No obstante, en el presente procedimiento sancionador, de acuerdo con lo dispuesto por el art. 77.2 de la LOPDGDD y por el art. 83.7 del RGPD, y atendiendo a la categoría del sujeto responsable de la infracción, la multa que pudiera corresponder se sustituye por la declaración de la infracción y el establecimiento, en su caso, de las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción, siendo estas las medidas correctivas elegidas por el legislador estatal ante un incumplimiento del RGPD sin opción de poder determinarse multa administrativa alguna por esta Agencia, y por tanto no existiendo la señalada ausencia de proporcionalidad en la imposición de sanción. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/19 Respecto a la quinta alegación, referida a la supuesta falta de motivación en la propuesta de resolución, este acto incluye referencia de los hechos y los fundamentos jurídicos que fundamentan la determinación de la infracción y la propuesta de sanción, por tanto, no puede ser admitida. Respecto a la sexta alegación, referida a la supuesta falta de respeto del principio de interpretación de la norma de manera favorable al interesado, esta Agencia no comparte la afirmación de MADRIDDIGITAL de que “Nos hallamos ante una mera irregularidad formal no invalidante que en modo alguno tiene efecto sobre la investigación realizada ni sobre el esclarecimiento de los hechos.” Como ya se señaló, MADRIDDIGITAL cometió la infracción señalada al no responder el requerimiento de información que se le hizo en el marco del expediente EXP202402611 en los plazos otorgados para ello. Respecto a la documentación aportada con el escrito de alegaciones que se enumera en la alegación séptima, esta Agencia acusa recibo de la misma. IV Obligación incumplida A tenor de los hechos expuestos, se considera que MADRIDDIGITAL no ha procurado a la Agencia Española de Protección de Datos la información que le requirió en los plazos otorgados para ello. Con la señalada conducta de MADRIDDIGITAL, la potestad de investigación que el artículo 58.1 del RGPD confiere a las autoridades de control, en este caso, la AEPD, se ha visto obstaculizada. Por tanto, los hechos descritos en el apartado de “Hechos probados” se estiman constitutivos de una infracción, imputable a MADRIDDIGITAL, por vulneración del artículo 58.1 del RGPD, que dispone que cada autoridad de control dispondrá, entre sus poderes de investigación: “
- a)ordenar al responsable y al encargado del tratamiento y, en su caso, al representante del responsable o del encargado, que faciliten cualquier información que requiera para el desempeño de sus funciones;“ V Tipificación y calificación de la infracción Los hechos expuestos se consideran constitutivos de una infracción, imputable a MADRIDDIGITAL. Esta infracción se tipifica en el artículo 83.5.
- e)del RGPD, que considera como tal: “no facilitar acceso en incumplimiento del artículo 58, apartado 1.” En el mismo artículo se establece que esta infracción puede ser sancionada con multa de veinte millones de euros (20.000.000 €) como máximo o, tratándose de una empresa, de una cuantía equivalente al cuatro por ciento (4%) como máximo del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/19 volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía. A efectos del plazo de prescripción de las infracciones, la infracción imputada prescribe a los tres años, conforme al artículo 72.1 de la LOPDGDD, que califica de muy grave la siguiente conducta: “ñ) No facilitar el acceso del personal de la autoridad de protección de datos competente a los datos personales, información, locales, equipos y medios de tratamiento que sean requeridos por la autoridad de protección de datos para el ejercicio de sus poderes de investigación. VI Sanción El artículo 83.7 del RGPD dispone lo siguiente: “Sin perjuicio de los poderes correctivos de las autoridades de control en virtud del artículo 58, apartado 2, cada Estado miembro podrá establecer normas sobre si se puede, y en qué medida, imponer multas administrativas a autoridades y organismos públicos establecidos en dicho Estado miembro.” Asimismo, el artículo 77 “Régimen aplicable a determinadas categorías de responsables o encargados del tratamiento” de la LOPDGDD dispone lo siguiente: “1. El régimen establecido en este artículo será de aplicación a los tratamientos de los que sean responsables o encargados: (…)
- c)La Administración General del Estado, las Administraciones de las comunidades autónomas y las entidades que integran la Administración Local. (…) 2. Cuando los responsables o encargados enumerados en el apartado 1 cometiesen alguna de las infracciones a las que se refieren los artículos 72 a 74 de esta ley orgánica, la autoridad de protección de datos que resulte competente dictará resolución declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción que se hubiese cometido, con excepción de la prevista en el artículo 58.2.i del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016. La resolución se notificará al responsable o encargado del tratamiento, al órgano del que dependa jerárquicamente, en su caso, y a los afectados que tuvieran la condición de interesado, en su caso. 3. Sin perjuicio de lo establecido en el apartado anterior, la autoridad de protección de datos propondrá también la iniciación de actuaciones disciplinarias cuando existan indicios suficientes para ello. En este caso, el procedimiento y las sanciones a aplicar serán las establecidas en la legislación sobre régimen disciplinario o sancionador que resulte de aplicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/19 Asimismo, cuando las infracciones sean imputables a autoridades y directivos, y se acredite la existencia de informes técnicos o recomendaciones para el tratamiento que no hubieran sido debidamente atendidos, en la resolución en la que se imponga la sanción se incluirá una amonestación con denominación del cargo responsable y se ordenará la publicación en el Boletín Oficial del Estado o autonómico que corresponda. 4. Se deberán comunicar a la autoridad de protección de datos las resoluciones que recaigan en relación con las medidas y actuaciones a que se refieren los apartados anteriores. 5. Se comunicarán al Defensor del Pueblo o, en su caso, a las instituciones análogas de las comunidades autónomas las actuaciones realizadas y las resoluciones dictadas al amparo de este artículo.” Por lo dispuesto en este precepto, probada la infracción se resolverá declarando la infracción y estableciendo, en su caso, las medidas que proceda adoptar para que cese la conducta o se corrijan los efectos de la infracción. Por lo tanto, de acuerdo con la legislación aplicable, la Presidencia de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR que la AGENCIA PARA LA ADMINISTRACIÓN DIGITAL DE LA COMUNIDAD DE MADRID (MADRIDDIGITAL), con NIF Q7850054C, ha infringido lo dispuesto en el Artículo 58.1 del RGPD, infracción tipificada en el Artículo 83.5 del RGPD. SEGUNDO: NOTIFICAR la presente resolución a la AGENCIA PARA LA ADMINISTRACIÓN DIGITAL DE LA COMUNIDAD DE MADRID (MADRIDDIGITAL). TERCERO: COMUNICAR la presente resolución al Defensor del Pueblo, de conformidad con lo establecido en el artículo 77.5 de la LOPDGDD. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/19 Finalmente, se señala que conforme a lo previsto en el art. 90.3
- a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronicaweb/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contenciosoadministrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. 938-100325 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es